Windows Server 2022 Standard安装域控服务器？

在 Windows Server 2022 Standard 上安装 Active Directory 域服务（AD DS）并将其提升为域控制器（Domain Controller, DC），是构建企业网络身份验证和管理的基础步骤。

以下是完整、详细、分步操作指南，适用于 Windows Server 2022 Standard 版：

✅ 前提条件

1. 服务器要求：

   • 已安装 Windows Server 2022 Standard（建议全新安装或干净环境）。
   • 固定 IP 地址（如 192.168.1.10，子网掩码 255.255.255.0，网关和 DNS 指向自身）。
   • 主机名已设置（如 DC01）。
   • 重启后确认网络连通性。

2. 权限要求：

   • 以本地管理员账户登录。

3. 网络配置建议：

   • DNS 服务器首选地址设置为服务器自身的 IP（即 127.0.0.1 或本机 IP）。
   • 不要将 DNS 指向外部公共 DNS（如 8.8.8.8），除非你手动配置了正向查找区域。

📦 第一步：安装 AD DS 角色

方法一：使用服务器管理器（推荐 GUI 方式）

1. 打开 服务器管理器（Server Manager）。
2. 点击左上角 “管理” → “添加角色和功能”。
3. 在“安装类型”中选择 “基于角色或基于功能的安装” → 下一步。
4. 选择目标服务器（当前服务器）→ 下一步。
5. 在“服务器角色”中勾选 “Active Directory 域服务”。
   • 弹出提示框时，点击 “添加功能”。
6. 继续下一步，直到“功能”页面（无需额外勾选）。
7. 在“AD DS”摘要页，点击 “安装”。
8. 等待安装完成（约 2–5 分钟）。
9. 安装完成后，服务器管理器顶部会出现一个黄色警告图标 🔔，点击它，选择 “将此服务器提升为域控制器”。

💡 如果未看到提示，可稍后通过 PowerShell 或手动运行 dcpromo（不推荐）进行提升。

方法二：使用 PowerShell（自动化/无 GUI 环境）

Install-WindowsFeature -Name AD-Domain-Services -IncludeManagementTools

安装完成后，继续下一步。

🌐 第二步：提升为域控制器

方法一：通过服务器管理器（GUI）

1. 在服务器管理器中，点击右上角的黄色警告图标 🔔。
2. 点击 “将此服务器提升为域控制器”。
3. 在“部署配置”中，选择：
   • ✅ “向新林添加域控制器”（首次搭建域控必须选此项）
   • 输入新的域名（如 contoso.com）
   • 设置 DNS 服务器委派（默认勾选即可）
   • 设置 目录服务还原模式（DSRM）密码（务必记住！用于故障恢复）
4. 点击“下一步”，检查净荷依赖项（确保无误）。
5. 在“常规选项”中：
   • 数据库路径、日志路径、SYSVOL 路径可使用默认值。
6. 在“DNS 选项”中，若无特殊需求，保持默认。
7. 在“附加选项”中，确认域名正确。
8. 点击“下一步”，查看先决条件检查。
9. 若全部通过，点击 “安装”。
10. 服务器将自动重启。重启后即为域控制器。

方法二：使用 PowerShell（静默安装）

Install-ADDSDomainController `
    -DomainName "contoso.com" `
    -Credential (Get-Credential) `
    -SafeModeAdministratorPassword (ConvertTo-SecureString "YourDSRMPassword!" -AsPlainText -Force) `
    -NoRebootOnCompletion $false `
    -LogPath "C:WindowsNTDSdcpromo.log" `
    -InstallDns $true `
    -Confirm:$false

⚠️ 注意：首次创建域时，需使用 Install-ADDSForest 而非 Install-ADDSDomainController：

Install-ADDSForest `
    -DomainName "contoso.com" `
    -SafeModeAdministratorPassword (ConvertTo-SecureString "YourDSRMPassword!" -AsPlainText -Force) `
    -InstallDns $true `
    -NoRebootOnCompletion $false `
    -LogPath "C:WindowsNTDSdcpromo.log" `
    -Confirm:$false

✅ 第三步：验证域控制器状态

重启完成后，执行以下操作验证：

1. 检查事件日志

• 打开 事件查看器 → 应用程序和服务日志 → Directory Service
• 确认无严重错误（Event ID 1000+ 通常为正常信息）

2. 检查服务

• 按 Win + R，输入 services.msc
• 确认以下服务正在运行：
  • Active Directory Domain Services
  • DNS Server
  • Kerberos Key Distribution Center

3. 测试 DNS 解析

• 打开命令提示符，执行：

  nslookup contoso.com

  应返回服务器 IP 和 _msdcs.contoso.com 等 SRV 记录。

4. 使用 ADSI Edit 或 LDP.exe 验证

• 打开 ADSI Edit（需安装 RSAT 工具包）
• 连接至默认命名上下文，查看 CN=Users,DC=contoso,DC=com 是否存在

5. 尝试加入一台客户端计算机到域

• 在另一台 Windows 10/11 机器上：
  • 系统属性 → 更改 → 输入域名 contoso.com
  • 使用域管理员账户（如 Administrator@contoso.com）登录
  • 成功加入域即表示域控工作正常

🔒 第四步：安全加固建议

1. 重命名默认 Administrator 账户（可选但推荐）
2. 启用 GPO 策略：
   • 强制密码复杂度
   • 设置密码过期策略
   • 限制失败登录次数
3. 备份域控制器：
   • 使用 Windows Server Backup 或第三方工具定期备份 NTDS.dit 和 SYSVOL
4. 禁用不必要的服务（如 FTP、Telnet）
5. 配置防火墙规则：
   • 允许 LDAP（389）、LDAPS（636）、Kerberos（88）、SMB（445）、DNS（53）等必要端口

❗ 常见问题与排查

📎 补充：RSAT 工具安装（用于管理域）

在任意 Windows 10/11 或服务器上安装远程管理工具：

# PowerShell 5.1+
Add-WindowsCapability -Online -Name Rsat.ActiveDirectory.DS-LDS.Tools~~~~

# 或通过“添加功能”图形界面安装：
# 控制面板 → 程序和功能 → 启用或关闭 Windows 功能 → 选中“远程服务器管理工具”

✅ 总结流程图

[准备服务器] → [设置固定IP & 主机名] 
       ↓
[安装 AD DS 角色] → [通过服务器管理器或 PowerShell]
       ↓
[提升为域控制器] → [新建林 + 设置域名 & DSRM 密码]
       ↓
[重启并验证] → [检查 DNS、服务、事件日志、客户端加入]
       ↓
[安全加固 & 备份] → [GPO、防火墙、定期备份]

如需后续添加第二台域控制器、配置多站点、迁移 FSMO 角色等高级操作，可继续提问。

祝你部署顺利！🎉