别再手动配电脑了手把手教你用Windows Server 2022搭建企业AD域附DNS配置避坑指南在IT这行混了十几年我最大的感受就是很多企业的网络管理根本谈不上管理就是一台一台电脑手动折腾。今天帮张三装打印机驱动明天给李四重新映射网络驱动器后天新员工入职又得从头配一遍系统。这种日子我过够了也看够了。后来我花了很大力气把公司整个环境切到Windows Server 2022的AD域架构上才终于从救火队员变成了管理者——当然这中间踩了很多坑尤其是DNS配置那块差点让我把服务器重装了。这篇东西我打算把从零搭建AD域的完整过程写出来重点放在DNS配置上顺便聊聊域用户登录后出现temp临时账户这类高频问题的排查方法。它适合谁看我觉得主要给三类人刚接触Windows Server的桌面运维、准备把公司网络改造成域环境但没人带的中小企业IT以及在AD域配置上反复折腾但始终没搞懂为什么一定要这么配的朋友。只要跟着步骤走我保证你能在一台Windows Server 2022上把域控跑起来并且把客户端成功拉进域里。1. 为什么说AD域不是大公司才需要的玩具很多人觉得AD域是面子工程小公司几十台电脑用什么域直接工作组模式不也能干活吗这话在只有三五台电脑的时候勉强成立但一旦电脑数量超过20台或者你开始遇到权限管控、软件统一部署、文件共享安全这些需求手动模式会让你痛不欲生。1.1 手动配置PC的成本远超想象我们先算一笔账。假设公司有30台电脑每台电脑需要设置IP地址、安装打印机驱动、创建本地用户、配置邮件客户端、设置共享文件夹权限、安装常用软件。每台电脑即使熟练工来做平均也要40分钟到1小时30台就要整整两天。这还只是一次的成本后面每来一个新员工、每换一台电脑都要再来一遍。更可怕的是这种模式下的权限和配置完全是分散的。谁的电脑出了故障你永远不知道它的标准配置应该长什么样员工离职了他本地的文件可能根本没备份有人乱装软件导致全网病毒爆发你也不知道是哪台电脑惹的祸。AD域解决的就是这个集中管控的问题所有用户、密码、权限、策略都放在域控上客户端电脑只是听话的执行者。这就是域最核心的价值——它把分散的操作变成了统一的管理。1.2 DNS是AD域沉默的神经中枢搭建AD域的过程中DNS的重要性经常被低估但它恰恰是决定成败的一环。简单说AD域和DNS是深度绑定的域控制器必须把自己注册到DNS里客户端加入域、登录域、找到域控、甚至应用组策略全部依赖DNS解析。你可以把DNS想象成公司的总机话务员。你要找财务处不用自己一层楼一层楼跑直接拨总机转分机就行了。如果话务员手里的分机表写错了你拨过去就是空号或者拨到了完全无关的部门。AD域也一样客户端登录时它会向DNS询问我这个域名的域控制器在哪里如果DNS里没有对应的SRV记录或者记录指向了错误的IP客户端就找不到域控登录自然失败。很多人在配置AD域时总想着DNS嘛填个8.8.8.8或者路由器地址不就行了结果客户端加域怎么都不成功或者登录后各种莫名其妙的问题根源就在这里。2. 部署Windows Server 2022前的三件必办事项磨刀不误砍柴工在正式动工之前有几件事必须先确认好。如果这些前置条件没做好后面出了问题排查起来会像大海捞针。2.1 静态IP和主机名规范域控服务器最忌讳的就是使用DHCP动态获取IP。你想想如果域控的IP地址三天两头变一次客户端怎么找到它DNS里的记录怎么更新所以第一件事就是给服务器配置静态IP。具体操作很简单在网络适配器属性里把IP地址、子网掩码、默认网关、首选DNS都手动填好。这里有个关键点也是新手最容易犯的错——首选DNS要填什么如果当前就这一台服务器要成为域控首选DNS应该填它自己的IP地址。比如服务器静态IP是192.168.10.10那首选DNS就填192.168.10.10。因为在AD域环境里DNS服务是域控的左膀右臂域控必须能在自己身上找到DNS解析。如果你填了像114.114.114.114或8.8.8.8这样的公共DNS那它自己的SRV记录就没地方注册了后面客户端加域必然失败。主机名也要规范。不要用PC-01-01这种自定义千奇百怪的命名建议用能体现服务器角色的名称比如DC-01、DC-02这样。主机名在域控建立之后想再改那可就是大麻烦了虽然技术上能改但容易引发一系列客户端信任问题所以现在一次性定好。2.2 服务器时间同步很多人一开始就忽略的细节时间同步听起来跟AD域八竿子打不着但实际上Kerberos身份验证协议对时间非常敏感。默认情况下客户端和域控之间的时间偏差不能超过5分钟一旦超过Kerberos验证就会失败登录时会出现服务器上的时钟与客户端主时钟不一致之类的报错。所以域控服务器的系统时间必须准。Windows Server 2022默认会通过系统时间服务自动同步但在虚拟机环境里特别容易出问题——宿主机休眠、快照回滚、服务器重启都可能导致时间漂移。我建议在部署完域控之后在计划任务或者时间设置里手动指定一个可靠的时间源比如time.windows.com国内环境可以配置阿里云等时间源并设置每天定时同步。这个细节看着不起眼但关键时刻真的能救命。2.3 部署前检查清单在动工前先确认这6项在开始搭建之前我强烈建议把下面这张清单过一遍。每项都确认没问题了再开始安装角色能省掉后面很多排查的麻烦。检查项预期状态不满足的后果服务器操作系统版本Windows Server 2022推荐Standard或Datacenter版版本不对会限制功能服务器系统盘空间至少留出50GB以上数据库和SYSVOL需要空间静态IP配置已手动配置且符合规划客户端找不到域控首选DNS指向本机IP单DC场景SRV记录无法注册主机名规范、固定、便于辨识后续改名困难网关和外部DNS网关正常可达备用DNS可填外部DNS仅作备用内网能解析但外网访问异常这里多说一句关于网关和外部DNS。域控自己的DNS服务器除了解析内网的AD域记录之外还需要能把公司员工上网时的外网域名解析出来。怎么做到你可以把备用DNS填成公共DNS比如223.5.5.5让它做转发也可以在DNS服务器属性里配置转发器把无法解析的域名转发给上层DNS。这个细节我会在后面的DNS配置章节详细讲现在先记住别把公共DNS当首选DNS就行。3. 实操从零搭建企业AD域Windows Server 2022前置条件都确认清楚了接下来就是动手环节。我会一步步带你走完整个搭建过程尽量把每个操作背后的原因也讲透。3.1 安装AD域服务角色别在这里偷懒打开服务器管理器点击添加角色和功能弹出向导后一路下一步到你看到服务器角色那一页。找到Active Directory域服务勾选它系统会弹出一个提示框让你一并添加管理工具直接点添加功能确认。这一步要注意的是AD域服务角色安装好后服务器并不会自动变成域控它还只是装好了成为域控所需的组件。真正的转型需要接下来执行提升为域控制器的操作。很多人在这里会犯懵我明明勾选了AD域服务怎么还是不能把电脑加进来因为你还差最后一步——提升。安装过程大概一两分钟完成后服务器管理器左上角会有一个黄色感叹号的通知标志提示你将此服务器提升为域控制器。先别急着点我们把那台服务器的DNS和网络检查一遍再提升。3.2 提升域控设置域名和DSRM密码点击黄色感叹号或者从服务器管理器→工具→Active Directory域服务配置进入Active Directory域服务配置向导。这里会问你将服务器提升为域控制器的部署操作。如果你是从零搭的第一个域选添加新林然后输入根域名。根域名用什么我建议用公司已经拥有的正式域名或者像corp.example.com、ad.example.com这样带子域的命名。不要用local结尾虽然很多老教程这么教但非ICANN标准的域名在现代云服务和证书申请中容易遇到阻力尽量规范。接下来设置林功能级别和域功能级别直接选最新支持的版本就行Windows Server 2022一般可以选Windows Server 2016或更高。这里会同时要求你设置DSRM密码——这是目录服务还原模式的管理员密码不是域管理员密码。你要记好最好存到密码管理器里以后忘记密码想恢复域控时要用它。系统会提示你创建DNS委派默认勾选就行。之后会有一个其他选项页面要指定SYSVOL文件夹的位置——默认放在C盘也可以但如果条件允许我建议把数据库日志和SYSVOL放到非系统盘一是性能好一点二是避免将来系统盘满了影响域控运行。这个因人而异没特殊要求就直接下一步。最后向导会做先决条件检查如果有错误会列出来。最常见的问题是无法创建DNS服务器的委派这类警告一般不用管因为还没配置DNS。检查没有红色错误后点击安装服务器会自动重启。重启之后这台服务器就是一台真正的域控制器了。3.3 手工验证DNS和SRV记录而不是下一步、下一步很多人以为服务器重启回来就算大功告成了其实恰恰是到了最关键的验证环节。我见过有人域控建好后客户端死活加不上域查了半天才发现DNS里的SRV记录根本没注册成功。重启后用域管理员账号一般是域名\Administrator登录。打开命令提示符输入dcdiag运行域控诊断工具如果输出的结果里没有大红叉说明域控基础状态没问题。再输入dnslint /d 你的域名 /s 你域控的IP或者简单点用nslookup查询域控的SRV记录是否存在。SRV记录是AD域的核心命脉客户端就是靠这些记录找到域控服务的。打开DNS管理器展开你的域名正常情况下你会看到一个_msdcs文件夹点进去里面应该有_dc、_ldap、_kerberos等子文件夹里面记录了指向你域控的SRV记录。如果没有说明DNS的动态更新有问题你需要检查DNS区域的属性确保允许安全动态更新。3.4 将客户端电脑加入域域控准备好之后客户端加域就相对简单了。以Windows 10/11为例打开系统属性右键此电脑→属性→高级系统设置在计算机名选项卡里点击更改然后选择域输入你的域名比如corp.example.com。系统会弹出窗口要求输入有权限加域的账号和密码。这时的账号要填域名\管理员账号比如CORP\Administrator。输入正确后提示欢迎加入域然后重启电脑。这里有个隐蔽的坑如果客户端首选DNS没有指向域控加域时会报错找不到网络路径或指定的域不存在或无法联系。所以我在客户端的网卡属性里把首选DNS也手动改成域控的IP。这一步你看着简单但恰恰是最多人卡住的地方。4. DNS配置避坑指南故障90%都源自这里我之前说过AD域和DNS是深度绑定的所以搭建过程中的绝大多数故障查到最后十有八九都是DNS的问题。这里我把DNS相关的几个高频雷区单独拿出来讲每个都是我自己踩过或者帮别人排过的实际案例。4.1 DNS指向错误引起的登录慢/找不到域先说一个最常见的场景域控搭好了客户端加域也成功了但员工电脑开机后要转圈圈好几分钟才能出现登录界面甚至偶尔还会弹找不到域控制器。这类问题十次有八次是因为DNS指向错了。很多客户端为了上网方便把DNS填成了路由器的地址比如192.168.1.1或者公共DNS比如8.8.8.8。这样做的结果就是当客户端需要找域控时它去问路由器域控制器在哪里路由器又不是DNS服务器它能答上来才有鬼了。就算路由器有DNS转发功能内网的SRV记录它也不可能知道。正确做法是客户端首选DNS必须指向域控的IP备用DNS在有第二台域控时填第二台域控的IP没有的话可以留空或者填一个你的上行转发DNS。这样做有个附带好处——只要DNS解析正常客户端登录域控的速度会非常快基本是秒进。如果你发现登录时要等很久先别改什么网卡驱动、优化启动项第一时间检查DNS指向。4.2 为什么会出现域用户登录temp临时账户这个热词出现的频率很高我猜很多运维都遇到过来自HR、财务的这种报修电脑登录进去怎么桌面是空的之前的文件都没了等你去一看用户的桌面上写着临时配置文件文件夹名带了TEMP字样。这个temp账户问题的本质是Windows不能正常加载用户的配置文件于是创建了一个临时的默认配置文件给你用。登录进去看似能用但里面干净得像刚装的系统所有个性化设置、文件、桌面图标、软件配置全都不见了。一般触发原因有这么几种一是用户配置文件对应的注册表项损坏或被修改。每个用户在注册表的HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList下都有一个以用户SID命名的键如果这个键的值比如ProfileImagePath指向的文件夹不存在了或者键本身有权限异常Windows就会放弃加载正式配置文件转而用临时配置。二是配置文件的实际文件夹被移动或删除但注册表还保留着旧路径。三是杀毒软件或备份软件在不知情的情况下锁定了配置文件的某些文件导致加载超时。排错的思路分三步。第一步看事件日志在事件查看器→Windows日志→应用程序里搜Event ID 1500、1501或1511它会明确告诉你Windows无法加载用户的配置文件但已尝试用临时配置文件登录。第二步打开注册表定位上面那个ProfileList路径找到以该用户SID命名的项如果存在一个同名的.bak项说明这个配置文件的注册表项已经损坏。这时把.bak改名备份然后把原键删掉或者干脆把损坏的键重命名让系统重新生成。操作前千万记得备份注册表别直接乱删。第三步去C:\Users看一下对应SID或用户名的文件夹是否还在如果还在可以把正式文件夹复制一份出来然后删掉注册表里的旧键重启后再让用户登录Windows会重新创建配置文件结构。还有种情况是漫游配置文件路径配置错误。如果你在AD里给用户设置了漫游配置文件的UNC路径但那个共享路径访问不了用户登录时也会走临时配置文件。这种情况先去确认共享文件夹的权限和路径是否正确。4.3 主备域控之间的DNS和复制同步公司规模再大一点只有一台域控就像只有一台发电机的单独供电系统一旦这台服务器宕机全公司电脑无法登录IT就被钉在耻辱柱上了。所以很多企业会搭第二台域控也就是备用域控。但主备这个说法其实不太准确正确理解应该是多域控它们之间是对等的关系都可以提供验证服务。部署第二台域控时同样需要先配好静态IP和主机名首选DNS指向第一台域控的IP接着把系统提升为额外域控制器加入到现有域而不是新创建一个林。成功加入之后第二台域控会自动从第一台复制全局编录和SYSVOL目录。这台域控也会自动注册DNS的SRV记录所以它的DNS也要指向自己前提是DNS是域集成的。在备用域控同步方面最需要留意的是时间。如果两台域控的时间不同步它们之间的Kerberos复制验证也会失败复制无法正常进行。另外就是FRS或DFSR复制服务Windows Server 2008以后默认使用DFSR复制SYSVOL如果这个复制出问题组策略脚本会出现旧的不去新的不来的现象——你在新DC上改了组策略但老DC和客户端的表现还是老一套。排查复制状态最常用的工具是repadmin /replsum它能汇总显示所有域控之间的复制谁成功谁失败。我在日常运维里几乎每周都会跑一遍这个命令如果发现复制失败先查网络连通性、防火墙端口尤其135、139、445、49152-65535动态RPC端口再看时间同步最后看DNS能否相互解析。4.4 排查DNS的常用命令和日志路径最后给一套我自己常用的DNS排错命令清单遇到域环境里的怪问题不妨挨个试一遍首先nslookup 域名能确认DNS普通解析是否正常。其次nslookup -typeSRV _ldap._tcp.dc._msdcs.你的域名这个命令是检查SRV记录的关键如果查不到记录说明DNS动态更新失败。第三dcdiag /test:dns这是AD域自带的DNS测试工具会给出比较全面的诊断结论。第四ipconfig /all和ipconfig /flushdns确认客户端的DNS指向和清空本地缓存。如果你怀疑DNS区域本身有问题可以打开DNS管理器右键你的DNS服务器名字看事件查看器里的DNS日志。Windows Server 2022的DNS日志会区分服务器和客户端两类事件专业排错时可以把日志级别调高看到具体的查询记录。不过日常维护状态我们只要确认那几个SRV记录在并且动态更新是安全模式即可。5. 加餐备域控、FSMO和常见故障速查表最后这章我把之前提到的散碎知识点汇总一下方便你按图索骥。它不是日常必读的但出了问题翻一翻能省不少时间。5.1 FSMO角色与备域控的关系多域控环境里有一个概念叫FSMO角色灵活单一主机操作角色。简单理解AD域里有些操作是一个域里只能有一台DC来做的比如添加新域控、修改域功能级别、密码重设和复制全局编录这类操作。一旦主角色DC宕机了对应的FSMO操作就得手动夺取到另一台域控上。当你部署了第二台域控之后建议你用netdom query fsmo命令查询当前这些角色的归属。生产环境一般会把这些角色也分散到两台域控上避免一台机器背负全部重任。如果主域控彻底挂了你可以在任意一台剩余DC上运行ntdsutil进入roles菜单执行seize connection来接管角色。这个操作要谨慎因为它是在原角色DC可能还活着但网络分区的情况下使用的处理不当可能会引起僵尸DC问题所以除非万不得已别乱seize。5.2 常见故障速查表症状→原因→解决症状常见原因解决思路客户端加域提示找不到网络路径客户端DNS未指向域控把首选DNS改成域控IP再试加域域用户登录后桌面是空的且带TEMP标记配置文件注册表损坏或路径异常按上文ProfileList排查方法处理开机登录转圈很久DNS解析慢或客户端首选DNS指向外网改为指向域控检查SRV记录域控之间组策略不生效DFSR复制失败或时间不同步用repadmin /replsum查复制同步时间两台域控的DNS记录不一致DNS动态更新异常或分区复制问题检查DNS区域是否允许安全动态更新KDC报错时钟偏斜太大服务器时间不同步配置统一外部时间源确保差距小于5分钟无法登录域控提示凭据不工作UPN或SAM账号格式错误或密码过期记得用域名\用户名格式检查账号状态5.3 日常维护和备份别等崩了才后悔每次搭完一个域环境我都会嘱咐客户三件事记住DSRM密码、定期备份系统状态、监控SYSVOL和AD数据库大小。Windows Server 2022的Windows Server Backup功能可以备份系统状态其中就包含AD数据库NTDS.dit、注册表、SYSVOL这些核心组件。我建议至少每周做一次备份并且在重大变更比如升级功能性级别、批量调整组策略之前手动再做一次。备份不是扔给组策略完事最好每个月做一次恢复演练确保备份真的可用而不是备份了个寂寞。另外还要定期看一下AD的用户数、组策略数量、DNS区域大小。很多人把域环境搭完就扔在那儿不管结果两三年后AD数据库膨胀到好几个GB每次复制都慢得像蜗牛。平时注意清理失效的计算机账号用Active Directory Users and Computers里的有旧计算机账号功能批量清理删除离职员工的账号保持AD干干净净可以少很多麻烦。最后的个人体会讲真的文档里写再多步骤都不如自己踩坑来得刻骨铭心。我第一次搭AD域是在一台没有任何准备的物理机上做的IP用的DHCPDNS填了路由器地址结果我浪费了一整天都没搞定客户端加域。后来被一个老工程师点醒才明白DNS指向这四个字的分量。从那次以后我每次部署Windows Server 2022的AD域都先把DNS这关理得清清楚楚再动手。其实这行的很多问题都是这样——你以为是什么高深莫测的底层故障最后查来查去往往就栽在最初那几步最基础、最不起眼的设置上。希望这篇从实操出发的搭建和排错指南能帮你少走点弯路哪怕只少走半公里我觉得也值了。
别再手动配电脑了手把手教你用Windows Server 2022搭建企业AD域附DNS配置避坑指南在IT这行混了十几年我最大的感受就是很多企业的网络管理根本谈不上管理就是一台一台电脑手动折腾。今天帮张三装打印机驱动明天给李四重新映射网络驱动器后天新员工入职又得从头配一遍系统。这种日子我过够了也看够了。后来我花了很大力气把公司整个环境切到Windows Server 2022的AD域架构上才终于从救火队员变成了管理者——当然这中间踩了很多坑尤其是DNS配置那块差点让我把服务器重装了。这篇东西我打算把从零搭建AD域的完整过程写出来重点放在DNS配置上顺便聊聊域用户登录后出现temp临时账户这类高频问题的排查方法。它适合谁看我觉得主要给三类人刚接触Windows Server的桌面运维、准备把公司网络改造成域环境但没人带的中小企业IT以及在AD域配置上反复折腾但始终没搞懂为什么一定要这么配的朋友。只要跟着步骤走我保证你能在一台Windows Server 2022上把域控跑起来并且把客户端成功拉进域里。1. 为什么说AD域不是大公司才需要的玩具很多人觉得AD域是面子工程小公司几十台电脑用什么域直接工作组模式不也能干活吗这话在只有三五台电脑的时候勉强成立但一旦电脑数量超过20台或者你开始遇到权限管控、软件统一部署、文件共享安全这些需求手动模式会让你痛不欲生。1.1 手动配置PC的成本远超想象我们先算一笔账。假设公司有30台电脑每台电脑需要设置IP地址、安装打印机驱动、创建本地用户、配置邮件客户端、设置共享文件夹权限、安装常用软件。每台电脑即使熟练工来做平均也要40分钟到1小时30台就要整整两天。这还只是一次的成本后面每来一个新员工、每换一台电脑都要再来一遍。更可怕的是这种模式下的权限和配置完全是分散的。谁的电脑出了故障你永远不知道它的标准配置应该长什么样员工离职了他本地的文件可能根本没备份有人乱装软件导致全网病毒爆发你也不知道是哪台电脑惹的祸。AD域解决的就是这个集中管控的问题所有用户、密码、权限、策略都放在域控上客户端电脑只是听话的执行者。这就是域最核心的价值——它把分散的操作变成了统一的管理。1.2 DNS是AD域沉默的神经中枢搭建AD域的过程中DNS的重要性经常被低估但它恰恰是决定成败的一环。简单说AD域和DNS是深度绑定的域控制器必须把自己注册到DNS里客户端加入域、登录域、找到域控、甚至应用组策略全部依赖DNS解析。你可以把DNS想象成公司的总机话务员。你要找财务处不用自己一层楼一层楼跑直接拨总机转分机就行了。如果话务员手里的分机表写错了你拨过去就是空号或者拨到了完全无关的部门。AD域也一样客户端登录时它会向DNS询问我这个域名的域控制器在哪里如果DNS里没有对应的SRV记录或者记录指向了错误的IP客户端就找不到域控登录自然失败。很多人在配置AD域时总想着DNS嘛填个8.8.8.8或者路由器地址不就行了结果客户端加域怎么都不成功或者登录后各种莫名其妙的问题根源就在这里。2. 部署Windows Server 2022前的三件必办事项磨刀不误砍柴工在正式动工之前有几件事必须先确认好。如果这些前置条件没做好后面出了问题排查起来会像大海捞针。2.1 静态IP和主机名规范域控服务器最忌讳的就是使用DHCP动态获取IP。你想想如果域控的IP地址三天两头变一次客户端怎么找到它DNS里的记录怎么更新所以第一件事就是给服务器配置静态IP。具体操作很简单在网络适配器属性里把IP地址、子网掩码、默认网关、首选DNS都手动填好。这里有个关键点也是新手最容易犯的错——首选DNS要填什么如果当前就这一台服务器要成为域控首选DNS应该填它自己的IP地址。比如服务器静态IP是192.168.10.10那首选DNS就填192.168.10.10。因为在AD域环境里DNS服务是域控的左膀右臂域控必须能在自己身上找到DNS解析。如果你填了像114.114.114.114或8.8.8.8这样的公共DNS那它自己的SRV记录就没地方注册了后面客户端加域必然失败。主机名也要规范。不要用PC-01-01这种自定义千奇百怪的命名建议用能体现服务器角色的名称比如DC-01、DC-02这样。主机名在域控建立之后想再改那可就是大麻烦了虽然技术上能改但容易引发一系列客户端信任问题所以现在一次性定好。2.2 服务器时间同步很多人一开始就忽略的细节时间同步听起来跟AD域八竿子打不着但实际上Kerberos身份验证协议对时间非常敏感。默认情况下客户端和域控之间的时间偏差不能超过5分钟一旦超过Kerberos验证就会失败登录时会出现服务器上的时钟与客户端主时钟不一致之类的报错。所以域控服务器的系统时间必须准。Windows Server 2022默认会通过系统时间服务自动同步但在虚拟机环境里特别容易出问题——宿主机休眠、快照回滚、服务器重启都可能导致时间漂移。我建议在部署完域控之后在计划任务或者时间设置里手动指定一个可靠的时间源比如time.windows.com国内环境可以配置阿里云等时间源并设置每天定时同步。这个细节看着不起眼但关键时刻真的能救命。2.3 部署前检查清单在动工前先确认这6项在开始搭建之前我强烈建议把下面这张清单过一遍。每项都确认没问题了再开始安装角色能省掉后面很多排查的麻烦。检查项预期状态不满足的后果服务器操作系统版本Windows Server 2022推荐Standard或Datacenter版版本不对会限制功能服务器系统盘空间至少留出50GB以上数据库和SYSVOL需要空间静态IP配置已手动配置且符合规划客户端找不到域控首选DNS指向本机IP单DC场景SRV记录无法注册主机名规范、固定、便于辨识后续改名困难网关和外部DNS网关正常可达备用DNS可填外部DNS仅作备用内网能解析但外网访问异常这里多说一句关于网关和外部DNS。域控自己的DNS服务器除了解析内网的AD域记录之外还需要能把公司员工上网时的外网域名解析出来。怎么做到你可以把备用DNS填成公共DNS比如223.5.5.5让它做转发也可以在DNS服务器属性里配置转发器把无法解析的域名转发给上层DNS。这个细节我会在后面的DNS配置章节详细讲现在先记住别把公共DNS当首选DNS就行。3. 实操从零搭建企业AD域Windows Server 2022前置条件都确认清楚了接下来就是动手环节。我会一步步带你走完整个搭建过程尽量把每个操作背后的原因也讲透。3.1 安装AD域服务角色别在这里偷懒打开服务器管理器点击添加角色和功能弹出向导后一路下一步到你看到服务器角色那一页。找到Active Directory域服务勾选它系统会弹出一个提示框让你一并添加管理工具直接点添加功能确认。这一步要注意的是AD域服务角色安装好后服务器并不会自动变成域控它还只是装好了成为域控所需的组件。真正的转型需要接下来执行提升为域控制器的操作。很多人在这里会犯懵我明明勾选了AD域服务怎么还是不能把电脑加进来因为你还差最后一步——提升。安装过程大概一两分钟完成后服务器管理器左上角会有一个黄色感叹号的通知标志提示你将此服务器提升为域控制器。先别急着点我们把那台服务器的DNS和网络检查一遍再提升。3.2 提升域控设置域名和DSRM密码点击黄色感叹号或者从服务器管理器→工具→Active Directory域服务配置进入Active Directory域服务配置向导。这里会问你将服务器提升为域控制器的部署操作。如果你是从零搭的第一个域选添加新林然后输入根域名。根域名用什么我建议用公司已经拥有的正式域名或者像corp.example.com、ad.example.com这样带子域的命名。不要用local结尾虽然很多老教程这么教但非ICANN标准的域名在现代云服务和证书申请中容易遇到阻力尽量规范。接下来设置林功能级别和域功能级别直接选最新支持的版本就行Windows Server 2022一般可以选Windows Server 2016或更高。这里会同时要求你设置DSRM密码——这是目录服务还原模式的管理员密码不是域管理员密码。你要记好最好存到密码管理器里以后忘记密码想恢复域控时要用它。系统会提示你创建DNS委派默认勾选就行。之后会有一个其他选项页面要指定SYSVOL文件夹的位置——默认放在C盘也可以但如果条件允许我建议把数据库日志和SYSVOL放到非系统盘一是性能好一点二是避免将来系统盘满了影响域控运行。这个因人而异没特殊要求就直接下一步。最后向导会做先决条件检查如果有错误会列出来。最常见的问题是无法创建DNS服务器的委派这类警告一般不用管因为还没配置DNS。检查没有红色错误后点击安装服务器会自动重启。重启之后这台服务器就是一台真正的域控制器了。3.3 手工验证DNS和SRV记录而不是下一步、下一步很多人以为服务器重启回来就算大功告成了其实恰恰是到了最关键的验证环节。我见过有人域控建好后客户端死活加不上域查了半天才发现DNS里的SRV记录根本没注册成功。重启后用域管理员账号一般是域名\Administrator登录。打开命令提示符输入dcdiag运行域控诊断工具如果输出的结果里没有大红叉说明域控基础状态没问题。再输入dnslint /d 你的域名 /s 你域控的IP或者简单点用nslookup查询域控的SRV记录是否存在。SRV记录是AD域的核心命脉客户端就是靠这些记录找到域控服务的。打开DNS管理器展开你的域名正常情况下你会看到一个_msdcs文件夹点进去里面应该有_dc、_ldap、_kerberos等子文件夹里面记录了指向你域控的SRV记录。如果没有说明DNS的动态更新有问题你需要检查DNS区域的属性确保允许安全动态更新。3.4 将客户端电脑加入域域控准备好之后客户端加域就相对简单了。以Windows 10/11为例打开系统属性右键此电脑→属性→高级系统设置在计算机名选项卡里点击更改然后选择域输入你的域名比如corp.example.com。系统会弹出窗口要求输入有权限加域的账号和密码。这时的账号要填域名\管理员账号比如CORP\Administrator。输入正确后提示欢迎加入域然后重启电脑。这里有个隐蔽的坑如果客户端首选DNS没有指向域控加域时会报错找不到网络路径或指定的域不存在或无法联系。所以我在客户端的网卡属性里把首选DNS也手动改成域控的IP。这一步你看着简单但恰恰是最多人卡住的地方。4. DNS配置避坑指南故障90%都源自这里我之前说过AD域和DNS是深度绑定的所以搭建过程中的绝大多数故障查到最后十有八九都是DNS的问题。这里我把DNS相关的几个高频雷区单独拿出来讲每个都是我自己踩过或者帮别人排过的实际案例。4.1 DNS指向错误引起的登录慢/找不到域先说一个最常见的场景域控搭好了客户端加域也成功了但员工电脑开机后要转圈圈好几分钟才能出现登录界面甚至偶尔还会弹找不到域控制器。这类问题十次有八次是因为DNS指向错了。很多客户端为了上网方便把DNS填成了路由器的地址比如192.168.1.1或者公共DNS比如8.8.8.8。这样做的结果就是当客户端需要找域控时它去问路由器域控制器在哪里路由器又不是DNS服务器它能答上来才有鬼了。就算路由器有DNS转发功能内网的SRV记录它也不可能知道。正确做法是客户端首选DNS必须指向域控的IP备用DNS在有第二台域控时填第二台域控的IP没有的话可以留空或者填一个你的上行转发DNS。这样做有个附带好处——只要DNS解析正常客户端登录域控的速度会非常快基本是秒进。如果你发现登录时要等很久先别改什么网卡驱动、优化启动项第一时间检查DNS指向。4.2 为什么会出现域用户登录temp临时账户这个热词出现的频率很高我猜很多运维都遇到过来自HR、财务的这种报修电脑登录进去怎么桌面是空的之前的文件都没了等你去一看用户的桌面上写着临时配置文件文件夹名带了TEMP字样。这个temp账户问题的本质是Windows不能正常加载用户的配置文件于是创建了一个临时的默认配置文件给你用。登录进去看似能用但里面干净得像刚装的系统所有个性化设置、文件、桌面图标、软件配置全都不见了。一般触发原因有这么几种一是用户配置文件对应的注册表项损坏或被修改。每个用户在注册表的HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList下都有一个以用户SID命名的键如果这个键的值比如ProfileImagePath指向的文件夹不存在了或者键本身有权限异常Windows就会放弃加载正式配置文件转而用临时配置。二是配置文件的实际文件夹被移动或删除但注册表还保留着旧路径。三是杀毒软件或备份软件在不知情的情况下锁定了配置文件的某些文件导致加载超时。排错的思路分三步。第一步看事件日志在事件查看器→Windows日志→应用程序里搜Event ID 1500、1501或1511它会明确告诉你Windows无法加载用户的配置文件但已尝试用临时配置文件登录。第二步打开注册表定位上面那个ProfileList路径找到以该用户SID命名的项如果存在一个同名的.bak项说明这个配置文件的注册表项已经损坏。这时把.bak改名备份然后把原键删掉或者干脆把损坏的键重命名让系统重新生成。操作前千万记得备份注册表别直接乱删。第三步去C:\Users看一下对应SID或用户名的文件夹是否还在如果还在可以把正式文件夹复制一份出来然后删掉注册表里的旧键重启后再让用户登录Windows会重新创建配置文件结构。还有种情况是漫游配置文件路径配置错误。如果你在AD里给用户设置了漫游配置文件的UNC路径但那个共享路径访问不了用户登录时也会走临时配置文件。这种情况先去确认共享文件夹的权限和路径是否正确。4.3 主备域控之间的DNS和复制同步公司规模再大一点只有一台域控就像只有一台发电机的单独供电系统一旦这台服务器宕机全公司电脑无法登录IT就被钉在耻辱柱上了。所以很多企业会搭第二台域控也就是备用域控。但主备这个说法其实不太准确正确理解应该是多域控它们之间是对等的关系都可以提供验证服务。部署第二台域控时同样需要先配好静态IP和主机名首选DNS指向第一台域控的IP接着把系统提升为额外域控制器加入到现有域而不是新创建一个林。成功加入之后第二台域控会自动从第一台复制全局编录和SYSVOL目录。这台域控也会自动注册DNS的SRV记录所以它的DNS也要指向自己前提是DNS是域集成的。在备用域控同步方面最需要留意的是时间。如果两台域控的时间不同步它们之间的Kerberos复制验证也会失败复制无法正常进行。另外就是FRS或DFSR复制服务Windows Server 2008以后默认使用DFSR复制SYSVOL如果这个复制出问题组策略脚本会出现旧的不去新的不来的现象——你在新DC上改了组策略但老DC和客户端的表现还是老一套。排查复制状态最常用的工具是repadmin /replsum它能汇总显示所有域控之间的复制谁成功谁失败。我在日常运维里几乎每周都会跑一遍这个命令如果发现复制失败先查网络连通性、防火墙端口尤其135、139、445、49152-65535动态RPC端口再看时间同步最后看DNS能否相互解析。4.4 排查DNS的常用命令和日志路径最后给一套我自己常用的DNS排错命令清单遇到域环境里的怪问题不妨挨个试一遍首先nslookup 域名能确认DNS普通解析是否正常。其次nslookup -typeSRV _ldap._tcp.dc._msdcs.你的域名这个命令是检查SRV记录的关键如果查不到记录说明DNS动态更新失败。第三dcdiag /test:dns这是AD域自带的DNS测试工具会给出比较全面的诊断结论。第四ipconfig /all和ipconfig /flushdns确认客户端的DNS指向和清空本地缓存。如果你怀疑DNS区域本身有问题可以打开DNS管理器右键你的DNS服务器名字看事件查看器里的DNS日志。Windows Server 2022的DNS日志会区分服务器和客户端两类事件专业排错时可以把日志级别调高看到具体的查询记录。不过日常维护状态我们只要确认那几个SRV记录在并且动态更新是安全模式即可。5. 加餐备域控、FSMO和常见故障速查表最后这章我把之前提到的散碎知识点汇总一下方便你按图索骥。它不是日常必读的但出了问题翻一翻能省不少时间。5.1 FSMO角色与备域控的关系多域控环境里有一个概念叫FSMO角色灵活单一主机操作角色。简单理解AD域里有些操作是一个域里只能有一台DC来做的比如添加新域控、修改域功能级别、密码重设和复制全局编录这类操作。一旦主角色DC宕机了对应的FSMO操作就得手动夺取到另一台域控上。当你部署了第二台域控之后建议你用netdom query fsmo命令查询当前这些角色的归属。生产环境一般会把这些角色也分散到两台域控上避免一台机器背负全部重任。如果主域控彻底挂了你可以在任意一台剩余DC上运行ntdsutil进入roles菜单执行seize connection来接管角色。这个操作要谨慎因为它是在原角色DC可能还活着但网络分区的情况下使用的处理不当可能会引起僵尸DC问题所以除非万不得已别乱seize。5.2 常见故障速查表症状→原因→解决症状常见原因解决思路客户端加域提示找不到网络路径客户端DNS未指向域控把首选DNS改成域控IP再试加域域用户登录后桌面是空的且带TEMP标记配置文件注册表损坏或路径异常按上文ProfileList排查方法处理开机登录转圈很久DNS解析慢或客户端首选DNS指向外网改为指向域控检查SRV记录域控之间组策略不生效DFSR复制失败或时间不同步用repadmin /replsum查复制同步时间两台域控的DNS记录不一致DNS动态更新异常或分区复制问题检查DNS区域是否允许安全动态更新KDC报错时钟偏斜太大服务器时间不同步配置统一外部时间源确保差距小于5分钟无法登录域控提示凭据不工作UPN或SAM账号格式错误或密码过期记得用域名\用户名格式检查账号状态5.3 日常维护和备份别等崩了才后悔每次搭完一个域环境我都会嘱咐客户三件事记住DSRM密码、定期备份系统状态、监控SYSVOL和AD数据库大小。Windows Server 2022的Windows Server Backup功能可以备份系统状态其中就包含AD数据库NTDS.dit、注册表、SYSVOL这些核心组件。我建议至少每周做一次备份并且在重大变更比如升级功能性级别、批量调整组策略之前手动再做一次。备份不是扔给组策略完事最好每个月做一次恢复演练确保备份真的可用而不是备份了个寂寞。另外还要定期看一下AD的用户数、组策略数量、DNS区域大小。很多人把域环境搭完就扔在那儿不管结果两三年后AD数据库膨胀到好几个GB每次复制都慢得像蜗牛。平时注意清理失效的计算机账号用Active Directory Users and Computers里的有旧计算机账号功能批量清理删除离职员工的账号保持AD干干净净可以少很多麻烦。最后的个人体会讲真的文档里写再多步骤都不如自己踩坑来得刻骨铭心。我第一次搭AD域是在一台没有任何准备的物理机上做的IP用的DHCPDNS填了路由器地址结果我浪费了一整天都没搞定客户端加域。后来被一个老工程师点醒才明白DNS指向这四个字的分量。从那次以后我每次部署Windows Server 2022的AD域都先把DNS这关理得清清楚楚再动手。其实这行的很多问题都是这样——你以为是什么高深莫测的底层故障最后查来查去往往就栽在最初那几步最基础、最不起眼的设置上。希望这篇从实操出发的搭建和排错指南能帮你少走点弯路哪怕只少走半公里我觉得也值了。
