ad集成dns区域同步完全依赖ad多主复制机制，非传统axfr/ixfr；需勾选“与active directory集成”，单域选domaindnszones、多域林选forestdnszones分区，并确保安全动态更新启用及dns服务每5分钟从ad加载变更。
windows dns 集成 active directory 后，区域记录的同步完全依赖 ad 的多主复制机制，不是靠传统 dns 区域传送（axfr/ixfr）。只要配置正确，所有参与对应应用分区复制的域控制器，都会自动获得可读写、一致的 dns 数据副本。
必须启用 AD 集成并选对复制范围
新建或修改区域时，务必勾选“与 Active Directory 集成”。关键在后续的复制范围选择：
- 单域环境：选“到此域中域控制器上运行的所有 DNS 服务器”——数据存入 DomainDnsZones 分区，仅在本域 DC 间同步
- 多域林环境（含跨域 SRV 记录如 _msdcs）：选“到此林中域控制器上运行的所有 DNS 服务器”——数据存入 ForestDnsZones 分区，全林所有 DC 均可读取
- 避免选“到此域中的所有域控制器（Windows 2000 兼容）”，它把 DNS 数据塞进 Domain 分区，效率低且已过时
确保安全动态更新与 ACL 权限生效
AD 集成区域默认支持安全动态更新，但需人工确认是否真正启用：
- 在 DNS 管理器中右键区域 → “属性” → “常规”选项卡，确认“允许动态更新”设为仅安全
- 用 adsiedit.msc 检查对应分区（如 DomainDnsZones 或 ForestDnsZones），确保 Authenticated Users 或具体计算机账户拥有“创建子对象”和“写入属性”权限
- 客户端加域后执行 ipconfig /registerdns 才能写入 A 和 SRV 记录；失败常见原因是权限不足或 DNS 客户端指向错误
理解并控制 DNS 服务加载变更的延迟
AD 复制完成 ≠ DNS 服务立即响应新记录。DNS 服务默认每 5 分钟主动从 AD 拉取一次变更（zoneupdatefromds），这是正常设计：
- 若需立即生效，在目标 DC 上运行：dnscmd /zoneupdatefromds contoso.com
- 如需缩短轮询间隔，运行：dnscmd /config /dspollinginterval 60（最小支持 30 秒）
- 注意：该设置只影响 DNS 服务读取 AD 的频率，不影响 AD 自身复制速度
验证同步是否真正就绪
不能只看 AD 复制成功，还要确认 DNS 服务已加载最新数据：
- 运行 repadmin /replsummary，确保所有 DC 间 AD 复制无错误
- 在两台不同 DC 上分别执行：dnscmd /enumrecords contoso.com @ /type A，比对关键主机（如 dc.contoso.com）的 A 记录是否一致
- 查 SRV 记录：nslookup -type=SRV _ldap._tcp.dc._msdcs.contoso.com，应返回所有 DC 的记录，且 IP 与当前实际部署匹配
