Windows Server 2025 / 추가 도메인 컨트롤러를 설치하고 DNS와 복제를 확인하는 방법
추가 도메인 컨트롤러는 기존 도메인 데이터를 복제받아 같은 도메인의 인증과 디렉터리 서비스를 제공합니다. DC2의 DNS를 정상 DC1로 맞추고 기존 도메인에 DC를 추가하는 방식으로 승격한 뒤, AD 복제와 DNS·SYSVOL 상태를 확인해야 합니다.
새 포리스트가 아닌 기존 도메인에 추가합니다
DC1은 ad.example.test를 정상 서비스하고 있어야 합니다. DC2는 새 Windows Server 2025 VM으로 만들고 이름 DC2, 고정 IP 172.24.50.11/24를 지정합니다. 승격 전 DNS는 기존 도메인을 찾을 수 있는 DC1의 172.24.50.10을 사용합니다.
- DC1의 도메인·DNS 진단과 백업 상태를 확인합니다.
- DC2의 이름·주소가 중복되지 않고 시간과 업데이트 상태가 정상인지 확인합니다.
- 도메인에 DC를 추가할 권한과 DC2의 관리자 권한을 준비합니다.
- 두 VM이 같은 실습망에서 필요한 AD 통신을 할 수 있는지 확인합니다.
Resolve-DnsName '_ldap._tcp.dc._msdcs.ad.example.test' -Type SRV -Server 172.24.50.10 nltest /dsgetdc:ad.example.test
DC1 VM을 복제해 컴퓨터 이름만 바꾸는 방식은 이 절차의 대안이 아닙니다. 별도 설치한 서버를 정상 승격합니다. 기존 도메인의 기능 수준과 DC 버전 조건도 확인하고, 그 조건을 맞추려고 운영 포리스트의 수준을 무계획으로 올리지 않습니다.
역할을 설치하고 기존 도메인을 선택합니다
- DC2의 서버 관리자에서 AD DS 역할과 관리 도구를 설치합니다.
- 설치 후 알림에서 DC 승격을 엽니다.
- 배포 구성에서 기존 도메인에 도메인 컨트롤러 추가를 선택합니다.
- ad.example.test와 권한 있는 자격 증명을 지정합니다. 새 포리스트 추가를 선택하지 않습니다.
- DNS 서버와 글로벌 카탈로그, 사이트를 확인합니다. 이 실습은 쓰기 가능한 DC이며 RODC는 선택하지 않습니다.
- DC2용 DSRM 암호와 데이터 경로를 정하고 필수 조건 검사를 통과한 뒤 설치·재시작합니다.
사이트는 실제 서브넷과 AD 사이트 설계를 반영해야 합니다. 이 작은 실습에서는 기본 사이트가 보일 수 있지만 운영 환경에서 무조건 기본값을 선택하는 기준으로 삼지 않습니다. 승격 절차와 매개변수는 Install-ADDSDomainController 설명을 참고할 수 있습니다.
PowerShell 대안과 인증 정보를 확인합니다
아직 GUI 승격을 하지 않은 DC2에서 실행하는 대안입니다. 자격 증명과 DSRM 암호를 평문으로 코드에 넣지 않습니다. -Credential의 계정과 DSRM은 서로 다른 용도입니다.
Install-WindowsFeature -Name AD-Domain-Services -IncludeManagementTools $promotionCredential = Get-Credential Install-ADDSDomainController -DomainName 'ad.example.test' -InstallDns -Credential $promotionCredential
기존 도메인에 가입하지 않은 새 서버라도 승격 마법사에서 필요한 도메인 자격 증명을 사용할 수 있습니다. 구성원 서버로 먼저 가입한 경우에도 기존 도메인에 DC 추가를 선택합니다. 승격 재시작 뒤에는 도메인 관리자 계정으로 콘솔 접근을 확인하세요.
두 DC의 복제와 DNS를 확인합니다
DC2가 보인다는 사실만으로 복제 완료를 판단하지 않습니다. DC의 관리자 셸에서 아래 조회와 진단을 실행합니다. 각 디렉터리 파티션의 복제 상대·최근 성공과 오류를 함께 봅니다.
Get-ADDomainController -Filter * | Select-Object HostName,IPv4Address,Site,IsGlobalCatalog repadmin /replsummary repadmin /showrepl DC2 dcdiag /s:DC2 /test:dns Get-SmbShare -Name SYSVOL,NETLOGON
SYSVOL·NETLOGON 명령은 DC2에서 실행합니다. DNS는 CLIENT1에서 .10과 .11 각각을 -Server로 지정하여 같은 AD 서비스 레코드를 조회합니다. lab.example.test처럼 DC1에만 파일로 저장한 연습 영역은 AD 통합 영역과 달리 자동 AD 복제로 DC2에 생기지 않는 점을 구분하세요.
새 사용자나 OU 하나의 설명을 DC1을 지정해 수정한 뒤 DC2를 지정해 조회하면 실제 데이터 수렴도 확인할 수 있습니다. 운영 계정 대신 실습 객체를 사용하고 변경 전 값을 기록하여 검증 후 되돌립니다. 복제 문제의 의존성은 AD 복제 실패 진단 안내를 참고합니다.
클라이언트 DNS와 장애 대응 조건을 검토합니다
DC2 DNS가 정상임을 확인한 뒤 구성원 서버·클라이언트가 두 내부 DNS를 사용하도록 설정하거나 DHCP 옵션을 변경합니다. 모든 컴퓨터의 DNS를 한꺼번에 바꾸지 말고 한 대에서 도메인 검색·로그인·이름 조회를 먼저 확인하세요.
추가 DC가 생겨도 DHCP 서비스, 파일 데이터, 모든 DNS 영역과 FSMO 역할이 자동 복제·이동되는 것은 아닙니다. AD 복제 범위와 다른 서비스의 이중화는 별도입니다. 두 VM이 같은 호스트에 있으면 호스트 전원 장애를 함께 겪을 수도 있습니다.
DC2를 제거할 때는 서버 관리자 또는 해당 AD DS 강등 절차로 정상 제거하고 DNS·복제와 역할 의존성을 확인합니다. VM 삭제를 강등 대신 사용하지 않습니다. 뒤의 실습에서는 두 DC를 유지하며 일시 중지했던 서버도 복제를 확인한 뒤 사용합니다.
