1. 從零到一為什么企業(yè)需要自建AD域如果你管理過超過十臺(tái)電腦的辦公網(wǎng)絡(luò)大概率經(jīng)歷過這樣的場景新同事入職IT需要在他的電腦上手動(dòng)創(chuàng)建本地賬戶、配置郵箱、設(shè)置共享文件夾權(quán)限、安裝一堆辦公軟件同事離職又得挨個(gè)去每臺(tái)電腦上刪除他的賬戶、清理數(shù)據(jù)、回收權(quán)限。更別提統(tǒng)一部署安全策略、軟件更新或者密碼策略了。這種“人肉運(yùn)維”模式在小型團(tuán)隊(duì)還能勉強(qiáng)應(yīng)付一旦公司規(guī)模擴(kuò)大簡直就是IT人員的噩夢。Active Directory活動(dòng)目錄簡稱AD域就是微軟為終結(jié)這種混亂而生的企業(yè)級解決方案。簡單來說你可以把它理解為一個(gè)集中式的“員工花名冊”和“權(quán)限管理中心”。所有員工、電腦、打印機(jī)等資源都在這個(gè)中心注冊管理員在這里統(tǒng)一制定規(guī)則。員工只需記住一套賬號(hào)密碼就能在公司任何一臺(tái)加入域的電腦上登錄訪問他被授權(quán)使用的所有網(wǎng)絡(luò)資源。對于運(yùn)維而言一次策略下發(fā)全網(wǎng)生效一個(gè)軟件推送批量安裝。其帶來的管理效率提升和安全性增強(qiáng)是革命性的。Windows Server 2012 R2作為一款經(jīng)典且穩(wěn)定的服務(wù)器操作系統(tǒng)至今仍在許多中小型企業(yè)中服役。它內(nèi)置的AD域服務(wù)功能成熟、文檔豐富是學(xué)習(xí)企業(yè)網(wǎng)絡(luò)管理、理解域控概念的絕佳起點(diǎn)。雖然微軟已停止對其主流支持但在內(nèi)網(wǎng)隔離、測試環(huán)境或?qū)Τ杀久舾械膱鼍跋麓罱ㄒ粋€(gè)Server 2012 R2的域環(huán)境依然是性價(jià)比極高的實(shí)踐方案。接下來我將以一個(gè)真實(shí)的內(nèi)部測試環(huán)境搭建為例帶你一步步走通整個(gè)流程并分享那些官方手冊里不會(huì)寫的“坑”和技巧。2. 搭建前的核心準(zhǔn)備不只是裝個(gè)系統(tǒng)那么簡單很多人以為搭建域控就是找臺(tái)服務(wù)器安裝系統(tǒng)然后點(diǎn)幾下“添加角色”就完事了。實(shí)際上前期的規(guī)劃決定了后期運(yùn)維的順暢程度。盲目操作后期可能會(huì)遇到域名無法解析、客戶端加域失敗、時(shí)間不同步導(dǎo)致認(rèn)證故障等一系列棘手問題。2.1 環(huán)境與資源規(guī)劃我的實(shí)驗(yàn)環(huán)境是在VMware Workstation上進(jìn)行的這同樣適用于物理服務(wù)器或Hyper-V。核心規(guī)劃點(diǎn)如下服務(wù)器配置為虛擬機(jī)分配至少2核CPU、4GB內(nèi)存運(yùn)行ADDS和DNS服務(wù)4GB是底線8GB更佳、60GB系統(tǒng)盤。網(wǎng)絡(luò)適配器選擇“橋接模式”或“NAT模式”需做端口轉(zhuǎn)發(fā)確保能與客戶端物理機(jī)或同網(wǎng)段虛擬機(jī)通信。IP地址與網(wǎng)絡(luò)這是重中之重。域控服務(wù)器必須使用靜態(tài)IP地址絕對不能是DHCP自動(dòng)獲取。我將其設(shè)置為192.168.1.10子網(wǎng)掩碼255.255.255.0網(wǎng)關(guān)192.168.1.1。同時(shí)將首選DNS服務(wù)器指向自己即127.0.0.1或192.168.1.10。這是因?yàn)锳D域嚴(yán)重依賴DNS來定位域控制器DC、全局編錄服務(wù)器等。如果DNS指向外部如114.114.114.114客戶端將無法找到域加域必然失敗。計(jì)算機(jī)名安裝系統(tǒng)時(shí)或之后給服務(wù)器起一個(gè)有意義且簡短的名字比如DC01。加域前務(wù)必完成此操作因?yàn)楦拿枰貑⒍蚩匾坏┨嵘拿麡O其麻煩。域名規(guī)劃這是AD域的靈魂。不建議使用真實(shí)的公網(wǎng)域名如company.com以免與公網(wǎng)解析沖突。最佳實(shí)踐是使用一個(gè)子域如ad.company.com或一個(gè)內(nèi)部專用的域名如company.local。我選擇的是lab.local。注意域名一旦創(chuàng)建后期更改極為困難幾乎等于重建。2.2 系統(tǒng)安裝與基礎(chǔ)配置從鏡像安裝Windows Server 2012 R2 Datacenter/Standard版的過程不再贅述。安裝完成后進(jìn)行以下關(guān)鍵操作啟用遠(yuǎn)程桌面方便后續(xù)管理。在“服務(wù)器管理器” - “本地服務(wù)器”中點(diǎn)擊“遠(yuǎn)程桌面”設(shè)置為“允許”。關(guān)閉IE增強(qiáng)安全配置否則每次訪問網(wǎng)頁都會(huì)彈警告影響效率。在“服務(wù)器管理器” - “本地服務(wù)器”中點(diǎn)擊“IE增強(qiáng)的安全配置”將其關(guān)閉。安裝VMware Tools/VirtualBox Guest Additions提升虛擬機(jī)性能方便文件拖拽。執(zhí)行Windows Update安裝所有重要更新確保系統(tǒng)安全穩(wěn)定。完成后重啟。完成以上步驟你的服務(wù)器應(yīng)該有一個(gè)靜態(tài)IP、一個(gè)合適的計(jì)算機(jī)名并且能正常訪問網(wǎng)絡(luò)。這是搭建域控的堅(jiān)實(shí)基石。3. 核心戰(zhàn)役安裝AD域服務(wù)并提升為域控制器這是將一臺(tái)普通Windows Server轉(zhuǎn)變?yōu)橛蚩胤?wù)器的關(guān)鍵步驟。微軟通過“服務(wù)器管理器”提供了向?qū)讲僮鞯斫饷恳徊奖澈蟮囊饬x更重要。3.1 添加AD域服務(wù)角色打開“服務(wù)器管理器”點(diǎn)擊“添加角色和功能”。在“選擇安裝類型”頁面保持默認(rèn)的“基于角色或基于功能的安裝”?！斑x擇目標(biāo)服務(wù)器”頁面選擇當(dāng)前服務(wù)器如DC01。在“選擇服務(wù)器角色”頁面勾選“Active Directory 域服務(wù)”。此時(shí)會(huì)彈出窗口提示需要安裝相關(guān)管理工具點(diǎn)擊“添加功能”。后續(xù)的“功能”、“AD DS”說明頁面直接點(diǎn)擊“下一步”。在“確認(rèn)安裝所選內(nèi)容”頁面務(wù)必勾選“如果需要自動(dòng)重新啟動(dòng)目標(biāo)服務(wù)器”。因?yàn)榘惭bAD DS角色需要重啟。點(diǎn)擊“安裝”。安裝過程會(huì)自動(dòng)進(jìn)行完成后會(huì)提示“安裝成功”。但請注意此時(shí)域服務(wù)只是安裝了二進(jìn)制文件還沒有配置服務(wù)器還不是域控制器。3.2 使用向?qū)嵘秊橛蚩刂破鬟@是最核心的配置環(huán)節(jié)。在“服務(wù)器管理器”的儀表板上你會(huì)看到一個(gè)黃色的感嘆號(hào)警告旗點(diǎn)擊它選擇“將此服務(wù)器提升為域控制器”。部署配置選擇部署操作因?yàn)槭侨律种械牡谝粋€(gè)域控制器所以選擇“添加新林”。根域名輸入我們規(guī)劃好的內(nèi)部域名例如lab.local。點(diǎn)擊“下一步”后系統(tǒng)會(huì)檢查域名是否有效。域控制器選項(xiàng)林功能級別和域功能級別這里選擇“Windows Server 2012 R2”。功能級別決定了域內(nèi)可以啟用的高級功能并限制了可以加入的域控制器的操作系統(tǒng)版本。選擇2012 R2意味著后續(xù)可以加入更高版本如20162019的域控但不能再加入更低版本如2008 R2的域控。對于純2012 R2環(huán)境這是最佳選擇。指定域控制器功能默認(rèn)勾選“域名系統(tǒng)(DNS)服務(wù)器”和“全局編錄(GC)”。第一臺(tái)域控必須也是DNS和GC。目錄服務(wù)還原模式(DSRM)密碼這是一個(gè)特殊的恢復(fù)模式密碼用于在AD數(shù)據(jù)庫損壞時(shí)進(jìn)行修復(fù)。務(wù)必設(shè)置一個(gè)復(fù)雜且牢記的密碼并與其他密碼區(qū)分開。這個(gè)密碼平時(shí)用不到但用到時(shí)就是救命稻草。DNS選項(xiàng)如果出現(xiàn)關(guān)于DNS委派的警告直接忽略即可因?yàn)槲覀兪莿?chuàng)建新林不存在父域需要委派。點(diǎn)擊“下一步”。其他選項(xiàng)NetBIOS域名會(huì)自動(dòng)生成如LAB通常無需修改。確認(rèn)無誤后下一步。路徑設(shè)置AD數(shù)據(jù)庫、日志文件和SYSVOL文件夾的存儲(chǔ)路徑。除非C盤空間特別緊張否則保持默認(rèn)即可。SYSVOL存放組策略、腳本等需要被所有域成員訪問。查看選項(xiàng)這里會(huì)顯示所有配置的摘要。強(qiáng)烈建議點(diǎn)擊“查看腳本”按鈕這會(huì)生成一個(gè)PowerShell腳本里面包含了剛才所有選擇的配置參數(shù)。保存這個(gè)腳本以后如果需要通過命令行比如在自動(dòng)化部署中執(zhí)行相同操作就非常方便。先決條件檢查向?qū)?huì)進(jìn)行一系列檢查包括網(wǎng)絡(luò)連接、DNS配置、管理員權(quán)限等。必須全部通過綠色對勾才能繼續(xù)。常見的失敗原因有計(jì)算機(jī)名包含非法字符如下劃線回去改計(jì)算機(jī)名并重啟。IP地址是動(dòng)態(tài)獲取DHCP改為靜態(tài)IP。DNS服務(wù)器未指向自己將首選DNS改為127.0.0.1。管理員密碼不符合復(fù)雜性要求修改密碼。全部檢查通過后點(diǎn)擊“安裝”。系統(tǒng)會(huì)自動(dòng)配置并重啟。重啟后使用你之前設(shè)置的本地管理員賬戶登錄你會(huì)發(fā)現(xiàn)登錄名已經(jīng)變成了LAB\Administrator的形式這表示你已經(jīng)成功登錄到lab.local域了。4. 初探AD管理工具與基礎(chǔ)配置服務(wù)器重啟后以域管理員身份登錄。你會(huì)看到“服務(wù)器管理器”的儀表板左側(cè)多了一個(gè)“AD DS”的菜單。日常管理我們主要使用兩個(gè)工具Active Directory 用戶和計(jì)算機(jī) (dsa.msc)這是最常用的工具用于管理組織單元(OU)、用戶、計(jì)算機(jī)、組等對象。Active Directory 管理中心一個(gè)較新的、功能更豐富的管理界面但老手可能更習(xí)慣前者。4.1 創(chuàng)建組織單元OU結(jié)構(gòu)不要把所有用戶和計(jì)算機(jī)都扔在默認(rèn)的“Users”和“Computers”容器里。良好的OU結(jié)構(gòu)是實(shí)施精細(xì)化管理策略的基礎(chǔ)。通常我們會(huì)根據(jù)部門、地點(diǎn)或職能來劃分OU。在“Active Directory 用戶和計(jì)算機(jī)”中右鍵域名lab.local選擇“新建” - “組織單位”。我通常會(huì)創(chuàng)建以下OU公司名_部門(如Lab_IT,Lab_Finance)公司名_計(jì)算機(jī)(下面再分子OU如Desktops,Servers,Laptops)公司名_服務(wù)賬戶(用于存放運(yùn)行服務(wù)的專用賬戶)公司名_安全組(用于存放權(quán)限分配組)將對象放入對應(yīng)的OU后續(xù)可以針對整個(gè)OU應(yīng)用組策略GPO實(shí)現(xiàn)批量管理。4.2 創(chuàng)建域用戶賬戶在目標(biāo)OU如Lab_IT上右鍵選擇“新建” - “用戶”。填寫姓名、用戶登錄名如zhangsan。用戶登錄名Windows 2000以前版本會(huì)自動(dòng)生成通常保持默認(rèn)。設(shè)置一個(gè)符合密碼策略的初始密碼并勾選“用戶下次登錄時(shí)須更改密碼”這樣用戶第一次登錄時(shí)會(huì)強(qiáng)制修改密碼增強(qiáng)安全性。完成創(chuàng)建?，F(xiàn)在用戶LAB\zhangsan就存在了。4.3 將客戶端計(jì)算機(jī)加入域現(xiàn)在我們有一臺(tái)Windows 10/11的客戶端電腦需要加入域。確保網(wǎng)絡(luò)連通客戶端必須能與域控制器DC01.lab.localIP192.168.1.10通信。可以ping一下主機(jī)名和IP測試。修改客戶端DNS將客戶端的首選DNS服務(wù)器地址設(shè)置為域控制器的IP192.168.1.10。這是最關(guān)鍵的一步無數(shù)加域失敗都源于此。如果客戶端DNS指向路由器或公網(wǎng)DNS它根本無法解析lab.local這個(gè)域名。執(zhí)行加域操作在客戶端電腦上右鍵“此電腦” - “屬性” - “高級系統(tǒng)設(shè)置” - “計(jì)算機(jī)名”選項(xiàng)卡 - “更改”。選擇“域”輸入我們的域名lab.local點(diǎn)擊確定。彈出憑據(jù)窗口輸入有權(quán)限將計(jì)算機(jī)加入域的賬戶通常是域管理員如LAB\Administrator或其權(quán)限委派賬戶。成功后會(huì)提示歡迎加入域要求重啟。重啟后登錄界面會(huì)出現(xiàn)“其他用戶”選項(xiàng)。此時(shí)可以使用域賬戶如LAB\zhangsan和密碼登錄。首次登錄可能會(huì)稍慢因?yàn)橄到y(tǒng)正在創(chuàng)建本地用戶配置文件。5. 實(shí)戰(zhàn)排坑那些官方手冊不會(huì)告訴你的“暗礁”搭建過程看似順利但實(shí)際環(huán)境中總會(huì)遇到各種問題。下面是我總結(jié)的幾個(gè)高頻“坑點(diǎn)”及其解決方案。5.1 客戶端加域失敗“找不到網(wǎng)絡(luò)路徑”或“域不可用”癥狀輸入域名后提示“找不到網(wǎng)絡(luò)路徑”、“無法聯(lián)系域”或“域不可用”。根因排查網(wǎng)絡(luò)層在客戶端cmd中ping DC01.lab.local和ping 192.168.1.10。如果IP能通但主機(jī)名不通100%是DNS問題。如果IP都不通檢查防火墻、網(wǎng)段、VLAN。DNS配置確認(rèn)客戶端DNS指向域控IP。然后在客戶端cmd執(zhí)行nslookup lab.local和nslookup _ldap._tcp.dc._msdcs.lab.local。前者應(yīng)返回域控IP后者應(yīng)返回域控的SRV記錄。如果失敗說明域控的DNS服務(wù)未正確注冊或客戶端DNS配置錯(cuò)誤。防火墻確保域控制器上的“文件和打印機(jī)共享”、“遠(yuǎn)程管理”等規(guī)則已啟用。最粗暴的測試方法是暫時(shí)關(guān)閉域控的Windows防火墻測試后請恢復(fù)。時(shí)間同步AD Kerberos認(rèn)證對時(shí)間差非常敏感默認(rèn)要求不超過5分鐘。檢查客戶端和服務(wù)器的時(shí)間、時(shí)區(qū)是否一致。5.2 域用戶登錄緩慢或提示“正在準(zhǔn)備Windows”癥狀輸入域賬戶密碼后登錄圓圈轉(zhuǎn)很久或提示“正在準(zhǔn)備Windows”。根因與解決組策略處理慢首次登錄或策略更新后客戶端需要從域控下載并處理組策略。如果策略多或網(wǎng)絡(luò)慢就會(huì)卡住。可以觀察客戶端的C:\Windows\Debug\UserMode\userenv.log日志需啟用策略日志。漫游配置文件/文件夾重定向問題如果配置了這些功能但網(wǎng)絡(luò)路徑不可達(dá)或權(quán)限不足會(huì)導(dǎo)致登錄超時(shí)。檢查網(wǎng)絡(luò)共享和NTFS權(quán)限。DNS后綴搜索列表在客戶端的網(wǎng)絡(luò)適配器IPv4高級設(shè)置中確保DNS后綴是lab.local并且勾選了“在DNS中注冊此連接的地址”。5.3 域控自身DNS服務(wù)的疑難雜癥域控的DNS是AD的神經(jīng)中樞。常見問題SRV記錄丟失在域控的DNS管理器里展開_msdcs.lab.local等文件夾查看是否有_ldap,_kerberos等SRV記錄。如果沒有可以在域控上以管理員身份運(yùn)行CMD執(zhí)行net stop netlogon然后net start netlogon強(qiáng)制重新注冊。動(dòng)態(tài)更新未啟用在DNS管理器中右鍵lab.local區(qū)域 - 屬性 - 常規(guī)確保“動(dòng)態(tài)更新”設(shè)置為“安全”或“非安全”。AD依賴動(dòng)態(tài)更新來注冊計(jì)算機(jī)和服務(wù)的記錄。轉(zhuǎn)發(fā)器配置域控DNS需要能解析外網(wǎng)域名以便服務(wù)器更新和用戶上網(wǎng)。在DNS管理器中右鍵服務(wù)器名 - 屬性 - 轉(zhuǎn)發(fā)器添加可靠的公共DNS如114.114.114.114,8.8.8.8。6. 超越基礎(chǔ)安全加固與日常運(yùn)維要點(diǎn)搭建成功只是開始讓域環(huán)境穩(wěn)定、安全地運(yùn)行才是長期課題。6.1 基礎(chǔ)安全策略配置密碼策略通過“組策略管理”編輯器在“Default Domain Policy”或新建的GPO中找到“計(jì)算機(jī)配置 - 策略 - Windows設(shè)置 - 安全設(shè)置 - 賬戶策略 - 密碼策略”。這里可以統(tǒng)一設(shè)置密碼復(fù)雜性要求、最小長度、最長使用期限等。注意修改密碼策略對已存在的密碼立即生效但用戶會(huì)在下次登錄時(shí)被要求更改。賬戶鎖定策略同上路徑設(shè)置賬戶鎖定閾值如5次失敗嘗試、鎖定時(shí)間等防止暴力破解。管理員賬戶保護(hù)重命名默認(rèn)的Administrator賬戶并創(chuàng)建一個(gè)名為Administrator的普通用戶作為誘餌。禁用Guest賬戶。6.2 組策略GPO的初步應(yīng)用組策略是AD域的“魔法棒”。一個(gè)簡單的應(yīng)用為所有域計(jì)算機(jī)統(tǒng)一設(shè)置IE主頁和禁用USB存儲(chǔ)。打開“組策略管理”在lab.local下創(chuàng)建一個(gè)新的GPO命名為“統(tǒng)一桌面設(shè)置”。右鍵編輯這個(gè)GPO。在“用戶配置 - 策略 - 管理模板 - Windows組件 - Internet Explorer”中找到“設(shè)置主頁”啟用并設(shè)置URL。在“計(jì)算機(jī)配置 - 策略 - 管理模板 - 系統(tǒng) - 可移動(dòng)存儲(chǔ)訪問”中找到“所有可移動(dòng)存儲(chǔ)類拒絕所有訪問”啟用它。將這個(gè)GPO鏈接到“公司名_計(jì)算機(jī)”O(jiān)U。下次域內(nèi)計(jì)算機(jī)刷新組策略gpupdate /force或重啟后策略就會(huì)生效。6.3 備份與災(zāi)難恢復(fù)定期備份AD是鐵律可以使用Windows Server Backup功能。系統(tǒng)狀態(tài)備份這包含了AD數(shù)據(jù)庫、SYSVOL、注冊表等核心數(shù)據(jù)。務(wù)必定期執(zhí)行并測試還原。DSRM密碼務(wù)必牢記這是修復(fù)損壞AD的最后手段。多域控對于生產(chǎn)環(huán)境強(qiáng)烈建議部署至少兩臺(tái)域控制器實(shí)現(xiàn)自動(dòng)冗余和負(fù)載均衡。第二臺(tái)域控通過“添加額外域控制器”的方式部署過程類似但選擇“將域控制器添加到現(xiàn)有域”。搭建一個(gè)Windows Server 2012 R2的AD域環(huán)境就像搭建一個(gè)企業(yè)數(shù)字世界的管理骨架。這個(gè)過程充滿了細(xì)節(jié)從IP、DNS的底層配置到OU、用戶、組策略的上層設(shè)計(jì)每一步都需要理解其背后的邏輯。我見過太多人因?yàn)镈NS沒配好在加域這一步卡上半天。也見過OU結(jié)構(gòu)混亂后期組策略應(yīng)用得一塌糊涂的案例。把這次搭建當(dāng)成一次學(xué)習(xí)理解每個(gè)設(shè)置的意義遠(yuǎn)比機(jī)械地點(diǎn)擊“下一步”更有價(jià)值。當(dāng)你的第一臺(tái)客戶端成功用域賬戶登錄并自動(dòng)應(yīng)用了你下發(fā)的策略時(shí)那種一切盡在掌控的感覺正是系統(tǒng)管理員這份工作的魅力所在。