部署Windows Server 2008 R2域控制器

部署Windows Server 2008 R2域控制器通过多年来AD在企业中的部署，技术人员几乎都知道与活动目录相关的一系列概念了，如：域、域树、域林、OU和站点，还有域控制器（DC）等。

那么，对于一个AD来讲是从哪里开始实现的呢？也许有人将是从第一台DC开始的。

的确，AD的起点是从安装第一台DC开始的。

但是，可能很少有人会意识到在安装第一台DC时，实际上是在部署AD的第一个域——根域，第一棵域树，乃至实现一个单域的域林。

只不过这个林中只有一棵域树，这棵域树中只有一个域，而且域中就只有这一台计算机——第一个DC。

由此可见，在企业中即使是在部署安装第一台DC之前，所考虑的并不仅仅是怎样去安装一台域控制器那么简单，而是要考虑好整个域林、域树的规划，以及相关服务，如：DNS服务等的规划的部署。

并且要考虑清楚，每一个服务实现的位置，每一个步骤实现的做法。

只有这样走下来，所部属的AD才能更大的满足现在和以后的需要。

在此，由安装域林中第一台DC的过程，可以了解到在部署前需要考虑的一系列基本问题。

一、DC网络属性的基本配置对于将要安装成为DC的服务器来讲，其系统配置以及基本的磁盘规划在此就不在累述了，但是关键的网络连接属性是必须要注意的。

可以通过打开本地连接的属性来进行配置其IP 属性。

作为服务器DC的IP地址一定要是静态的IP地址，虽然不一定需要配置默认网关，但是DNS服务器指向一定要配置正确，因为AD的工作是紧密依赖于DNS服务的。

本实例中整个微软网络环境都是白手起家的，考虑让这第一台DC同时充当企业网络中的DNS服务器，故需要将其首选DNS服务器地址配置为本台计算机的IP地址（如图1）。

图1由于WIN08R2默认防火墙配置是根据连接网络类型来实施过滤的，所以，最好通过“网络和共享中心”将其网络类型有默认识别为的“公用网络”更改为“专用网络”（如图2）。

图2当然，除此之外，当前计算机的NetBIOS名，也就是计算机需要设置好，因为安装完DC后，再去进行修改操作是不明智的。

二、准备安装AD服务WIN08R2对于AD服务的安装与早期版本略有不同，可以通过“服务器管理”的角色添加来完成初始化的准备工作（如图3），打开“服务器管理”工具，展开“角色”节点，在右边窗口中点击“添加角色”。

图3打开“添加角色向导”（如图4），在该页中会得到系统的三点提示，其中最重要的是第二点。

对于第一、三点来讲，可以不按提示配置，也不影响安装，点击“下一步”。

图4在“服务器角色”列表中勾选“Active Directory域服务”（如图5），此时，系统会自动弹出对话框，图5要求安装“.NET Framework 3.5.1功能”（如图6），由于AD在WIN08R2上必须该功能的支持，图6所以在此必须点击“添加必需的功能”按钮，返回“选择服务器角色”对话框后点击“下一步”（如图7）。

图7在“Active Directory域服务”对话框中，向导会给出四点注意事项（如图8），根据这些注意事项可以了解到安装AD前后操作应该执行的任务和AD需要的服务。

图8点击“下一步”进行安装（如图9）。

图9当出现“安装结果”对话框时，如果没有错误，证明AD的安装准备已经完成，但是由于该台计算机还不能完全正常运行DC，所以提示需要启用AD安装向导（dcpromo.exe）来完成安装（如图10）。

可以直接点击“关闭该向导并启动Active Directory域服务安装向导（dcpromo.exe）”进入安装向导，也可以直接点击“关闭”按钮之后，手动打开AD安装向导。

图10三、完成AD服务器的安装1、需要运行AD域服务器安装向导才能完成该服务器的部署，所以在“运行”对话框中输入“dcpromo”点击“确定”启动向导（如图11）。

图112、经过系统自动检测后，将出现AD安装向导的欢迎界面（如图12）。

在该对话框中可以选择使用标准或高级模式来进行安装。

对于高级模式是提供给有经验的用户对安装过程有更多的控制，图12但是在此建议使用高级模式来进行操作。

高级模式较之标准模式的功能增强可以参考表1所示。

此外，还可直接在命令提示符下运行带有/adv开关的dcpromo命令（dcpromo /adv）来启动高级向导。

表13、点击“下一步”，对部属配置进行选择（如图13），由于目的是部属企业中的第一个DC，所以在此应选择“在新林中新建域”。

因为，创建新林需要管理员权限，所以必须是正在其上安装AD的服务器本地管理员组的成员。

图134、点击“下一步”，对域林的根域进行命名（如图14）。

需要在之前对DNS基础结构有一个完整的计划。

必须了解该林的完整DNS名称。

可以在安装AD之前先安装DNS服务器服务，或者如本实例一样选择让AD安装向导安装DNS服务器服务。

图14让AD向导来安装DNS服务器服务，将使用此处的DNS名称为林中的第一个域自动生成NetBIOS名称。

点击“下一步”，向导会验证DNS名称和NetBIOS名称在网络中的唯一性。

由于使用的是高级模式，所以NetBIOS无论是否发生冲突，都会出现“域NetBIOS名称”步骤（如图15）。

当然，在标准模式下，只有检查到自动生成的NetBIOS名称与现有网络中名称冲突时，才会出现该步骤。

图155、点击“下一步”，“设置林功能级别”（如图16），功能级别确定了在域或林中启用AD 的功能，还将限制可以在域或域林中DC上运行的Windows服务器版本。

但是，功能级别不会影响在连接到域或域林的工作站和成员服务器上运行的操作系统。

图16创建新域或新林时，建议将域和林功能级别设置为当前环境可以支持的最高值，这样可以尽可能的充分发挥AD的功能。

如果肯定不会将运行Windows Server 2008（以后简称WIN08）或任何更早版本的操作系统的域控制器添加到域或林，可以选择WIN08R2功能级别。

另外，如果可能会保留或添加运行WIN08或早版本的域控制器，则在安装期间应选择 Windows Server 2008 功能级别。

若确定不会添加这类域控制器或这类域控制器不再使用，则安装后可以提升功能级别。

需要注意的是不能将域功能级别设置为低于林功能级别的值。

例如将林功能级别设置为WIN08，则只能将域功能级别设置为WIN08或WIN08R2。

Windows 2000（以后简称WIN2K）和Windows Server 2003（以后简称WIN03）域功能级别值在“设置域功能级别”向导页中将不可选择。

因此，若选择林功能级别为WIN08R2，那么，向导将不会出现“设置域功能级别”步骤，默认情况下向林添加的所有域都将为WIN08R2域功能级别。

特别需要注意：将域功能级别设置为某个特定值后，将无法回滚或降低域功能级别，但以下情况例外：将域功能级别提升至WIN08R2，并且林功能级别为WIN08或更低时，可以将域功能级别回滚到WIN08，且只能将其从WIN08R2降到WIN08，而不能将其回直接滚到WIN03。

将林功能级别设置为某个值之后，就不能回滚或降低林功能级别，但有一种情况例外：当您将林功能级别提升到WIN08R2且没有启用AD回收站时，则可以选择将林功能级别回滚到WIN08。

且只能将其从WIN08R2降到WIN08，而不能将其回直接滚到WIN03。

以下表2列出了每种域功能级别启用的功能和支持的域控制器操作系统表2以下表3列出了每种林功能级别启用的功能和支持的域控制器操作系统表36、点击“下一步”，配置“其它域控制器选项”（如图17）。

在AD安装期间，可以为DC 选择安装DNS服务、或将其设置成为全局编录服务器（GC）或只读域控制器（RODC）。

图17DNS服务器选项正如“DC网络属性的基本配置”一节中谈到的在DC上同时安装DNS服务，此处就需要勾选“DNS服务器”选项。

该选项的默认设置取决于此前选择的部署配置和当前网络中的DNS环境等因素。

表4中列出了不同AD部署配置的默认DNS服务安装配置。

表4需要注意的是：如果启动AD安装向导之前已经安装了DNS服务，但AD没有 DNS 基础结构，则DNS 服务将继续为它承载的任何基于文件的区域解析名称，但不会承载它作为域控制器所在的域的任何AD集成的DNS区域。

全局编录选项由于林中的第一台DC必须是GC，因此在创建域林时“全局编录”复选框处于会被自动选中，而且变灰不能被取消。

在现有域中安装其他DC时，默认也会选中该复选框。

但是，可以手动取消选择。

在创建新的子域或域树时，默认情况下不会选中“全局编录”复选框，因为新域中的第一个域控制器承载着所有域范围的操作主机角色（FSMO角色），包括基础结构操作主机角色。

在多域林中，除非域中的所有DC都是GC，否则在GC上承载基础结构主机角色可能会出现问题。

因此，在新子域或域树的第一个DC上安装全局编录，则需要在将其他DC安装到域中之后转移基础结构主机角色，或是确保安装到域中的所有其他DC也都是GC。

而且，在安装其他可写域控制器时，AD安装向导会验证基础结构主机是否承载于合适的DC上，并且会验证它是否可以修复使用所选安装选项引发的问题。

RODC选项以下条件下不允许安装 RODC：∙新林中安装第一个域控制器∙新域中安装第一个域控制器∙林功能级别不是WIN03、WIN08或WIN08R2∙要安装RODC的域中没有WIN08 或WIN08R2的可写域控制器选项间的关系如果选中“只读域控制器（RODC）”复选框，除非无法选中“DNS 服务器”复选框，否则向导会自动选中此选项。

如果在向导选中“DNS 服务器”复选框之后将其清除，则向导会发出警告：“如果不同时安装 DNS 服务器，分支机构中的客户端可能无法找到RODC”。

默认情况下，“全局编录”复选框可能也处于选中状态，具体取决于选择的其他安装选项。

默认情况下，如果选中“只读域控制器”复选框，向导就会自动选中“全局编录”复选框。

验证检查选项在“其他域控制器选项”页上选择选项，然后点击“下一步”之后，向导会执行以下验证检查，之后才会继续进行操作。

静态 IP 地址验证——如果选中“DNS 服务器”复选框，AD安装向导会验证服务器的所有物理网络适配器是否都具有一个静态地址，包括静态的IPv4和IPv6地址。

尽管不使用静态IP地址便可以完成AD安装，但不建议这样做，因为如果DC的 IP地址发生变化，客户端可能无法联系DC。

基础结构主机检查——如果选择在域中安装其他域控制器的选项，AD安装向导默认会选中“全局编录”复选框。

如果正在安装可写域控制器（“只读域控制器”复选框处于清除状态），而且清除了“全局编录”复选框，向导会检查域中的全局编录服务器上当前是否承载了基础结构主机角色。

如果检查结果为是，向导会提示将该角色转移到正在安装的DC上。