ad多域森林规划核心是按业务边界而非组织规模设域，单域+ou通常足够；确需多域时，林根域须用企业子域（如corp.yourcompany.com）并禁用公网域名，子域仅用于法律隔离等强边界场景，且避免三层以上嵌套，基础结构主机不可与gc共存。
规划 active directory 多域森林拓扑，核心是平衡安全隔离、管理效率与复制开销。不是“要不要建多域”，而是“哪些业务边界必须用域来承载”。多数企业其实只需要单域+合理 ou 划分，真正需要多域的场景有限，比如法律强制隔离、收购后长期并行运营、或跨主权区域需独立身份治理。
先确认是否真需要多域
域是安全边界和复制边界，但也是运维复杂度倍增点。常见误判是把“部门多”“分支机构多”等同于“要建子域”。实际上：
- OU 足以支撑不同部门的策略分发、委派管理和对象组织
- 站点（Site）负责控制复制流量和登录定位，和域层级无关
- 跨地域延迟高？优先优化站点链接、GC 配置和 DNS 解析，而非拆域
- 合规要求数据不出境？可考虑林（Forest）级隔离，而非域内拆分
若确需多域，按三段式 DNS 命名规范设计林根
林根域是整个 AD 架构的锚点，不可更改，必须一次规划到位：
- 使用企业自有域名的子域，如 corp.yourcompany.com，禁用
local、lan或公网域名（如yourcompany.com）作根域 - 避免与公有 DNS 冲突：根域不能是已注册的公开域名，否则影响外部邮件、证书和联合身份验证
- 林功能级别至少设为 Windows Server 2008 R2，否则无法启用 AD 回收站等关键恢复能力
- 架构主机（Schema Master）和域命名主机（Domain Naming Master）建议部署在物理分离的两台 DC 上，防止单点硬件故障导致全林变更冻结
子域部署只用于强边界场景，且慎用基础结构主机
子域适用于法律实体独立、审计严格分离、或长期并购整合过渡期。部署时注意：
- 子域默认不自动包含父域的全局编录（GC），跨域组策略、权限解析会变慢；需手动在子域 DC 上启用 GC 角色
- 基础结构主机（Infrastructure Master）在多域环境中极易出问题——如果它和 GC 运行在同一台 DC 上，该角色将停止更新跨域引用；应确保 IM 不与 GC 共存
- 子域 DC 必须能稳定访问根域 DC（尤其 PDC 模拟器），否则密码同步、时间同步、信任验证都会失败
- 不推荐“树状嵌套多层子域”（如 corp.yourcompany.com → na.corp.yourcompany.com → ny.na.corp.yourcompany.com），三层以上会显著增加信任链复杂度和故障排查难度
信任关系与全局编录必须显式验证
同一林内域间是双向可传递信任，但实际运行中常因配置疏漏失效：
- 新域加入后，立即用
nltest /trusts和repadmin /showrepl验证信任状态和复制连通性 - 所有域控制器都应被配置为全局编录服务器，除非有明确性能或带宽限制；否则用户搜索、Exchange 地址解析、跨域组成员展开会失败或极慢
- 跨域登录失败时，优先检查 DNS 是否能正向/反向解析对方域的 SRV 记录（_ldap._tcp.dc._msdcs.目标域），而非直接怀疑信任配置
- 禁用“选择性身份验证”这类高级信任选项，除非你完全理解 Kerberos 约束委派和资源 SID 筛选的影响
