前言

對于活動目錄（AD）來講，從Windows 2000到現(xiàn)在有非常多的文章在對其進行探討，微軟公司每推出一代新的Windows系統(tǒng)，這一重要服務技術不管是從功能上還是從性能上都在不斷進步。在此，以最新Windows Server 2008 R2（以后簡稱WIN08R2）系統(tǒng)為例，從零開始講述關于WIN08R2活動目錄相關技術。希望能一直堅持寫完！

——胖哥

通過多年來AD在企業(yè)中的部署，技術人員幾乎都知道與活動目錄相關的一系列概念了，如：域、域樹、域林、OU和站點，還有域控制器（DC）等。那么，對于一個AD來講是從哪里開始實現(xiàn)的呢？

也許有人將是從第一臺DC開始的。的確，AD的起點是從安裝第一臺DC開始的。但是，可能很少有人會意識到在安裝第一臺DC時，實際上是在部署AD的第一個域——根域，第一棵域樹，乃至實現(xiàn)一個單域的域林。只不過這個林中只有一棵域樹，這棵域樹中只有一個域，而且域中就只有這一臺計算機——第一個DC。

由此可見，在企業(yè)中即使是在部署安裝第一臺DC之前，所考慮的并不僅僅是怎樣去安裝一臺域控制器那么簡單，而是要考慮好整個域林、域樹的規(guī)劃，以及相關服務，如：DNS服務等的規(guī)劃的部署。并且要考慮清楚，每一個服務實現(xiàn)的位置，每一個步驟實現(xiàn)的做法。只有這樣走下來，所部屬的AD才能更大的滿足現(xiàn)在和以后的需要。在此，由安裝域林中第一臺DC的過程，可以了解到在部署前需要考慮的一系列基本問題。

一、DC網(wǎng)絡屬性的基本配置

對于將要安裝成為DC的服務器來講，其系統(tǒng)配置以及基本的磁盤規(guī)劃在此就不在累述了，但是關鍵的網(wǎng)絡連接屬性是必須要注意的?？梢酝ㄟ^打開本地連接的屬性來進行配置其IP屬性。作為服務器DC的IP地址一定要是靜態(tài)的IP地址，雖然不一定需要配置默認網(wǎng)關，但是DNS服務器指向一定要配置正確，因為AD的工作是緊密依賴于DNS服務的。本實例中整個微軟網(wǎng)絡環(huán)境都是白手起家的，考慮讓這第一臺DC同時充當企業(yè)網(wǎng)絡中的DNS服務器，故需要將其首選DNS服務器地址配置為本臺計算機的IP地址（如圖1）。

圖1

由于WIN08R2默認防火墻配置是根據(jù)連接網(wǎng)絡類型來實施過濾的，所以，最好通過“網(wǎng)絡和共享中心”將其網(wǎng)絡類型有默認識別為的“公用網(wǎng)絡”更改為“專用網(wǎng)絡”（如圖2）。

圖2

當然，除此之外，當前計算機的NetBIOS名，也就是計算機需要設置好，因為安裝完DC后，再去進行修改操作是不明智的。

二、準備安裝AD服務

WIN08R2對于AD服務的安裝與早期版本略有不同，可以通過“服務器管理”的角色添加來完成初始化的準備工作（如圖3），打開“服務器管理”工具，展開“角色”節(jié)點，在右邊窗口中點擊“添加角色”。

圖3

打開“添加角色向導”（如圖4），在該頁中會得到系統(tǒng)的三點提示，其中最重要的是第二點。對于第一、三點來講，可以不按提示配置，也不影響安裝，點擊“下一步”。

圖4

在“服務器角色”列表中勾選“Active Directory域服務”（如圖5），此時，系統(tǒng)會自動彈出對話框，

圖5

要求安裝“.NET Framework 3.5.1功能”（如圖6），由于AD在WIN08R2上必須該功能的支持，

圖6

所以在此必須點擊“添加必需的功能”按鈕，返回“選擇服務器角色”對話框后點擊“下一步”（如圖7）。

圖7

在“Active Directory域服務”對話框中，向導會給出四點注意事項（如圖8），根據(jù)這些注意事項可以了解到安裝AD前后操作應該執(zhí)行的任務和AD需要的服務。

圖8

點擊“下一步”進行安裝（如圖9）。

圖9

當出現(xiàn)“安裝結果”對話框時，如果沒有錯誤，證明AD的安裝準備已經完成，但是由于該臺計算機還不能完全正常運行DC，所以提示需要啟用AD安裝向導（dcpromo.exe）來完成安裝（如圖10）。可以直接點擊“關閉該向導并啟動Active Directory域服務安裝向導（dcpromo.exe）”進入安裝向導，也可以直接點擊“關閉”按鈕之后，手動打開AD安裝向導。

圖10

三、完成AD服務器的安裝

1、需要運行AD域服務器安裝向導才能完成該服務器的部署，所以在“運行”對話框中輸入“dcpromo”點擊“確定”啟動向導（如圖11）。

圖11

2、經過系統(tǒng)自動檢測后，將出現(xiàn)AD安裝向導的歡迎界面（如圖12）。在該對話框中可以選擇使用標準或高級模式來進行安裝。對于高級模式是提供給有經驗的用戶對安裝過程有更多的控制，

圖12

但是在此建議使用高級模式來進行操作。高級模式較之標準模式的功能增強可以參考表1所示。此外，還可直接在命令提示符下運行帶有/adv開關的dcpromo命令（dcpromo /adv）來啟動高級向導。

表1

3、點擊“下一步”，對部屬配置進行選擇（如圖13），由于目的是部屬企業(yè)中的第一個DC，所以在此應選擇“在新林中新建域”。因為，創(chuàng)建新林需要管理員權限，所以必須是正在其上安裝AD的服務器本地管理員組的成員。

圖13

4、點擊“下一步”，對域林的根域進行命名（如圖14）。需要在之前對DNS基礎結構有一個完整的計劃。必須了解該林的完整DNS名稱。可以在安裝AD之前先安裝DNS服務器服務，或者如本實例一樣選擇讓AD安裝向導安裝DNS服務器服務。

圖14

讓AD向導來安裝DNS服務器服務，將使用此處的DNS名稱為林中的第一個域自動生成NetBIOS名稱。點擊“下一步”，向導會驗證DNS名稱和NetBIOS名稱在網(wǎng)絡中的唯一性。由于使用的是高級模式，所以NetBIOS無論是否發(fā)生沖突，都會出現(xiàn)“域NetBIOS名稱”步驟（如圖15）。當然，在標準模式下，只有檢查到自動生成的NetBIOS名稱與現(xiàn)有網(wǎng)絡中名稱沖突時，才會出現(xiàn)該步驟。

圖15

5、點擊“下一步”，“設置林功能級別”（如圖16），功能級別確定了在域或林中啟用AD的功能，還將限制可以在域或域林中DC上運行的Windows服務器版本。但是，功能級別不會影響在連接到域或域林的工作站和成員服務器上運行的操作系統(tǒng)。

圖16

創(chuàng)建新域或新林時，建議將域和林功能級別設置為當前環(huán)境可以支持的最高值，這樣可以盡可能的充分發(fā)揮AD的功能。如果肯定不會將運行Windows Server 2008（以后簡稱WIN08）或任何更早版本的操作系統(tǒng)的域控制器添加到域或林，可以選擇WIN08R2功能級別。另外，如果可能會保留或添加運行WIN08或早版本的域控制器，則在安裝期間應選擇 Windows Server 2008 功能級別。若確定不會添加這類域控制器或這類域控制器不再使用，則安裝后可以提升功能級別。需要注意的是不能將域功能級別設置為低于林功能級別的值。例如將林功能級別設置為WIN08，則只能將域功能級別設置為WIN08或WIN08R2。Windows 2000（以后簡稱WIN2K）和Windows Server 2003（以后簡稱WIN03）域功能級別值在“設置域功能級別”向導頁中將不可選擇。因此，若選擇林功能級別為WIN08R2，那么，向導將不會出現(xiàn)“設置域功能級別”步驟，默認情況下向林添加的所有域都將為WIN08R2域功能級別。

特別需要注意：

將域功能級別設置為某個特定值后，將無法回滾或降低域功能級別，但以下情況例外：將域功能級別提升至WIN08R2，并且林功能級別為WIN08或更低時，可以將域功能級別回滾到WIN08，且只能將其從WIN08R2降到WIN08，而不能將其回直接滾到WIN03。

將林功能級別設置為某個值之后，就不能回滾或降低林功能級別，但有一種情況例外：當您將林功能級別提升到WIN08R2且沒有啟用AD回收站時，則可以選擇將林功能級別回滾到WIN08。且只能將其從WIN08R2降到WIN08，而不能將其回直接滾到WIN03。

以下表2列出了每種域功能級別啟用的功能和支持的域控制器操作系統(tǒng)

表2

以下表3列出了每種林功能級別啟用的功能和支持的域控制器操作系統(tǒng)

表3

6、點擊“下一步”，配置“其它域控制器選項”（如圖17）。在AD安裝期間，可以為DC選擇安裝DNS服務、或將其設置成為全局編錄服務器（GC）或只讀域控制器（RODC）。

圖17

DNS服務器選項

正如“DC網(wǎng)絡屬性的基本配置”一節(jié)中談到的在DC上同時安裝DNS服務，此處就需要勾選“DNS服務器”選項。該選項的默認設置取決于此前選擇的部署配置和當前網(wǎng)絡中的DNS環(huán)境等因素。表4中列出了不同AD部署配置的默認DNS服務安裝配置。

表4

需要注意的是：

如果啟動AD安裝向導之前已經安裝了DNS服務，但AD沒有 DNS 基礎結構，則 DNS 服務將繼續(xù)為它承載的任何基于文件的區(qū)域解析名稱，但不會承載它作為域控制器所在的域的任何AD集成的DNS區(qū)域。

全局編錄選項

由于林中的第一臺DC必須是GC，因此在創(chuàng)建域林時“全局編錄”復選框處于會被自動選中，而且變灰不能被取消。在現(xiàn)有域中安裝其他DC時，默認也會選中該復選框。但是，可以手動取消選擇。

在創(chuàng)建新的子域或域樹時，默認情況下不會選中“全局編錄”復選框，因為新域中的第一個域控制器承載著所有域范圍的操作主機角色（FSMO角色），包括基礎結構操作主機角色。在多域林中，除非域中的所有DC都是GC，否則在GC上承載基礎結構主機角色可能會出現(xiàn)問題。因此，在新子域或域樹的第一個DC上安裝全局編錄，則需要在將其他DC安裝到域中之后轉移基礎結構主機角色，或是確保安裝到域中的所有其他DC也都是GC。而且，在安裝其他可寫域控制器時，AD安裝向導會驗證基礎結構主機是否承載于合適的DC上，并且會驗證它是否可以修復使用所選安裝選項引發(fā)的問題。

RODC選項

以下條件下不允許安裝 RODC：

新林中安裝第一個域控制器 新域中安裝第一個域控制器 林功能級別不是WIN03、WIN08或WIN08R2 要安裝RODC的域中沒有WIN08 或WIN08R2的可寫域控制器

選項間的關系

如果選中“只讀域控制器（RODC）”復選框，除非無法選中“DNS 服務器”復選框，否則向導會自動選中此選項。如果在向導選中“DNS 服務器”復選框之后將其清除，則向導會發(fā)出警告：“如果不同時安裝 DNS 服務器，分支機構中的客戶端可能無法找到RODC”。默認情況下，“全局編錄”復選框可能也處于選中狀態(tài)，具體取決于選擇的其他安裝選項。默認情況下，如果選中“只讀域控制器”復選框，向導就會自動選中“全局編錄”復選框。

驗證檢查選項

在“其他域控制器選項”頁上選擇選項，然后點擊“下一步”之后，向導會執(zhí)行以下驗證檢查，之后才會繼續(xù)進行操作。

靜態(tài) IP 地址驗證——如果選中“DNS 服務器”復選框，AD安裝向導會驗證服務器的所有物理網(wǎng)絡適配器是否都具有一個靜態(tài)地址，包括靜態(tài)的IPv4和IPv6地址。盡管不使用靜態(tài)IP地址便可以完成AD安裝，但不建議這樣做，因為如果DC的 IP地址發(fā)生變化，客戶端可能無法聯(lián)系DC。

基礎結構主機檢查——如果選擇在域中安裝其他域控制器的選項，AD安裝向導默認會選中“全局編錄”復選框。如果正在安裝可寫域控制器（“只讀域控制器”復選框處于清除狀態(tài)），而且清除了“全局編錄”復選框，向導會檢查域中的全局編錄服務器上當前是否承載了基礎結構主機角色。如果檢查結果為是，向導會提示將該角色轉移到正在安裝的DC上。可以點擊“是”將基礎結構主機角色轉移到此DC上，或點擊“否”稍后更改配置。

Adprep /rodcprep檢查——如果安裝 RODC，向導會驗證adprep /rodcprep命令是否成功完成，以及該命令導致的更改是否復制到整個林中。如果adprep /rodcprep命令沒有成功完成，或是更改尚未復制到整個林中，會收到一條錯誤消息，指出在繼續(xù)進行安裝之前必須運行該命令。如果收到此消息，可以在林中的任何計算機上再次運行adprep /rodcprep，或是等待更改復制到整個林中。

7、點擊“下一步”，系統(tǒng)會彈出DNS服務委派警告對話框（如圖18）。在此，點擊“是”繼續(xù)完成向導。這個對話框的出現(xiàn)是由于配置其它服務器時，選擇了“DNS服務器”選項，而當前計算機又未找到指定域的權威父域Windows DNS服務器，從而無法確定是否對指定域進行了委派導致的。

圖18

8、確定AD數(shù)據(jù)庫、日志文件和SYSVOL放置的位置（如圖19）。對于數(shù)據(jù)庫來講主要存儲有關用戶、計算機和網(wǎng)絡中其它對象的信息；日志文件記錄與AD有關的活動；SYSVOL存儲組策略對象和腳本，其默認是位于%windir%目錄中的操作系統(tǒng)文件的一部分。

圖19

在決定AD文件的存儲位置時，可以從以下兩個因素來考慮——

備份和恢復

對于只有一個硬盤的服務器來將，只需接受AD安裝向導的默認安裝設置即可。但是，必須至少在該硬盤上創(chuàng)建兩個卷。其中一個卷用于存儲關鍵卷數(shù)據(jù)，另一個卷用于存儲備份。 在使用Windows Server Backup或Wbadmin.exe命令行工具備份DC時，至少必須備份系統(tǒng)狀態(tài)數(shù)據(jù)，以便使用備份恢復服務器。用于存儲備份的卷不能與承載系統(tǒng)狀態(tài)數(shù)據(jù)的卷相同。構成系統(tǒng)狀態(tài)數(shù)據(jù)的系統(tǒng)組件由安裝在計算機上的服務器角色來決定。系統(tǒng)狀態(tài)數(shù)據(jù)至少包括下列數(shù)據(jù)（根據(jù)所安裝的服務器角色，還可能包括其他數(shù)據(jù)）：

注冊表 COM+ 類注冊數(shù)據(jù)庫 引導文件 Active Directory 證書服務 (AD CS) 數(shù)據(jù)庫 承載 Active Directory 數(shù)據(jù)庫 (Ntds.dit) 的卷 承載 Active Directory 數(shù)據(jù)庫日志文件的卷 SYSVOL 目錄 群集服務信息 Microsoft Internet Information Services (IIS) 元目錄 Windows 資源保護下的系統(tǒng)文件

性能

對于更加復雜的安裝，可能需要配置硬盤存儲以優(yōu)化 AD的性能。由于數(shù)據(jù)庫和日志文件以不同方式利用磁盤存儲空間，因此可以通過將每種內容分配到不同的硬盤主軸來提高 AD的性能。

例如，一臺服務器具有四個可用的硬盤驅動器，它們的驅動器卷標分別為：

驅動器 C，包含操作系統(tǒng)文件 驅動器 D，未使用 驅動器 E，未使用 驅動器 F，用于備份

在此服務器上，可以通過將數(shù)據(jù)庫和日志文件分別安裝到專用的驅動器（如D和E）中而最大限度提高AD的性能。這有助于提高數(shù)據(jù)庫的搜索性能，因為有一個驅動器主軸可以專用于搜索活動。在同時進行大量更改的情況下，這種配置也會降低承載日志文件的磁盤出現(xiàn)瓶頸問題的幾率?？梢詫?SYSVOL 與操作系統(tǒng)文件一起存儲在驅動器 C 中。

9、點擊“下一步”，向導要求輸入“目錄還原模式的Administrator密碼”（如圖20）。在 AD未運行時，目錄服務還原模式（DSRM）密碼是登錄域控制器所必需的。

圖20

特別注意

DSRM密碼與域管理員帳戶的密碼不同。

當創(chuàng)建林中第一臺DC時，AD安裝向導會將本地服務器上生效的密碼策略強制作用于此。對于所有的其他DC的安裝，AD安裝向導將現(xiàn)有DC上生效的密碼策略強制作用于此。這意味著，指定的DSRM密碼必須符合包含現(xiàn)有DC所在域的最小密碼長度、歷史記錄和復雜性要求。默認情況下，必須包含大寫和小寫字母組合、數(shù)字和符號的強密碼。

10、點擊“下一步”，顯示安裝摘要（如圖21），并且可以單擊“導出設置”將在此向導中指定的設置保存到一個應答文件。然后，可以使用應答文件自動執(zhí)行AD的后續(xù)安裝。

圖21

應答文件是包含 [DCInstall] 標題的純文本文件，應答文件提供了對AD安裝向導所需配置的設置值。使用該應答文件時，管理員無需與該向導進行交互。向導會向該應答文件中添加文本，說明如何使用該文件，例如，說明如何使用dcpromo命令來調用該文件以及必須更新哪些設置才能使用該文件。

若要使用應答文件來安裝AD，在命令提示符下輸入：

dcpromo /answer[:filename]

其中 filename 為應答文件的名稱。

11、點擊“下一步”，安裝向導執(zhí)行安裝操作（如圖22）。如果沒有勾選“完成后重新啟動”復選框，

圖22

則執(zhí)行完畢后，AD安裝向導將出現(xiàn)完成安裝頁（如圖23）。點擊“完成”，

圖23

系統(tǒng)會提示需要重新啟動計算機配置才能生效（如圖24）。點擊“立即重新啟動”完成DC安裝操作。

圖24

四、完成后簡單驗證安裝情況

重啟服務器后，可以通過以下幾點的驗證來確定DC的基本安裝成功。

1、AD數(shù)據(jù)文件是否產生（如圖25）。

圖25

2、DNS服務是否工作正常，與域相關的資源記錄，特別是SRV記錄是否正確寫入（如圖26）。

圖26

3、SYSVOL文件夾是否存在，能正常訪問。

4、日志中是否有錯誤事件等。

若均無問題，則表明當前部署的企業(yè)中第一臺DC工作基本正常。

本文出自 “胖哥技術堂” 博客

最新評論