# 搭建第一台域控（AD DS）

## 场景

小公司要从工作组切到域，统一账号、组策略、共享权限。

## 前置条件

- Windows Server，**静态 IP**
- DNS 指向自己（`127.0.0.1` 或本机 IP），不能指向外部 DNS
- 想好域名，别用 `.local`（和 mDNS 冲突）
- 有本机管理员密码

## 配置

```powershell
# 1. 装角色
Install-WindowsFeature -Name AD-Domain-Security, DNS -IncludeManagementTools

# 2. 提升为域控（会重启）
Install-ADDSForest `
  -DomainName "corp.example.com" `
  -DomainNetbiosName "CORP" `
  -InstallDns `
  -ForestMode Win2016 `
  -DomainMode Win2016 `
  -Force
```

重启后登录名变成 `CORP\Administrator`。

## 验证

```powershell
Get-ADDomain
Get-ADForest
dcdiag /test:dns /v
dcdiag /test:netlogons
Get-Service NTDS, DNS, KDC, Netlogon | Format-Table Name, Status
```

`dcdiag` 全绿、`\\corp.example.com\SYSVOL` 能访问，才算健康。

## 回滚

域控没有「卸载角色」这种回滚，只能：

- 虚拟机：直接回快照
- 物理机：`dcpromo` 已移除，只能重装系统

所以**先在虚拟机上练一遍**。

## 坑

- **DNS 指向外网**，域控会把自己注册到错误的地方，客户端加域直接失败。
- 域名用 `.local` 会和 mDNS 打架，Linux / macOS 客户端解析异常。
- 时间不同步会导致 Kerberos 票据失败，登录报「信任关系失败」。
- 域控装完再改计算机名/IP，需要额外处理，尽量一次到位。
- 只部署一台域控没有冗余，第二台要额外配 DNS 和 `repadmin` 检查复制。
- 加入域的机器要重启才能用域账号登录。