安装AD域控制器需先配置静态IP、正确DNS、合规主机名，关闭防火墙或开放必要端口，确保时间同步；再用PowerShell安装AD DS与DNS角色，运行Install-ADDSForest部署林，设置DSRM密码；重启后验证DNS、AD数据库、SYSVOL、功能级别及客户端加域。
安装Active Directory域控制器前的准备工作
确保服务器运行windows server 2016或更高版本，已配置静态ip地址、正确dns指向（建议先指向自身或另一台可用域控），主机名符合规范（不含下划线、不以数字开头、长度不超过15字符）。关闭windows防火墙或开放必要端口（如tcp 53、88、135、389、445、464，udp 53、88、123、137、389、464），并确认系统时间同步准确——域身份验证对时间偏差极为敏感，超过5分钟将导致kerberos认证失败。
通过PowerShell快速部署域控制器
推荐使用PowerShell而非图形向导，便于复现和脚本化。以管理员身份运行PowerShell，执行以下命令：
- 安装AD DS与DNS角色：Install-WindowsFeature AD-Domain-Services, DNS -IncludeManagementTools
- 导入模块：Import-Module ADDSDeployment
- 运行部署命令（示例为新建林）：Install-ADDSForest -CreateDnsDelegation:$false -DatabasePath "C:\Windows\NTDS" -DomainMode "Win2016" -DomainName "corp.local" -DomainNetbiosName "CORP" -ForestMode "Win2016" -InstallDns:$true -LogPath "C:\Windows\NTDS" -NoRebootOnCompletion:$false -SysvolPath "C:\Windows\SYSVOL" -Force:$true
过程中会提示设置目录服务还原模式（DSRM）密码，请务必记录——这是恢复域控的关键凭证。安装完成后服务器自动重启。
验证域控制器核心服务是否正常
重启后登录，检查以下几项是否就绪：
- DNS服务：在DNS管理器中确认正向查找区域corp.local已创建，且包含_msdcs.corp.local子域及SRV记录（如_ldap._tcp.dc._msdcs.corp.local）
- AD数据库与SYSVOL：路径C:\Windows\NTDS和C:\Windows\SYSVOL应存在且非空；用repadmin /replsummary检查复制状态（单域控可忽略复制错误）
- 域功能级别：运行Get-ADForest | fl DomainMode,ForestMode确认匹配操作系统版本，避免后续升级受阻
- 客户端加入测试：另起一台Windows客户端，设置DNS指向该域控IP，尝试加入域（需提供具有Domain Admin权限的账户）
基础安全与日常维护要点
域控不是普通服务器，需持续关注其稳定性与安全性：
- 禁用不必要的本地账户（如Guest），所有管理操作通过域账户+组策略控制
- 定期备份系统状态（使用wbadmin start systemstatebackup），至少保留两份离线备份
- 启用审核策略：在“组策略管理”中编辑默认域控制器策略，开启“账户登录事件”“目录服务访问”等审核类别
- 避免在域控上安装第三方软件、浏览网页或运行未知脚本——最小化攻击面是首要原则
