Windows Server 2025 / AD DS를 설치하고 첫 번째 도메인 컨트롤러를 만드는 방법
Windows Server 2025에서 첫 도메인을 만들려면 AD DS 역할을 설치한 뒤 새 포리스트의 도메인 컨트롤러로 승격해야 합니다. 이 실습은 DC1에 ad.example.test 도메인을 만들고 DNS·공유·도메인 상태를 확인하며, 기존 조직의 도메인에는 적용하지 않습니다.
새 포리스트 실습의 준비 값을 확인합니다
| 항목 | 실습 값 |
|---|---|
| 서버 | DC1 / Windows Server 2025 |
| IPv4 | 172.24.50.10/24, 격리망 |
| 도메인 DNS 이름 | ad.example.test |
| NetBIOS 이름 | AD |
| 기존 연습 영역 | lab.example.test, AD 영역과 별도 유지 |
서버 이름과 고정 IP, 업데이트·시간을 먼저 확인합니다. 앞서 DNS 역할을 설치한 DC1은 자신의 정상 동작하는 DNS .10을 사용하도록 확인합니다. 아직 DNS가 없는 새 서버에서 시작한다면 승격 마법사의 DNS 설치를 포함하고 설치 후 설정을 확인하세요.
새 도메인과 포리스트는 실습 전체의 인증 기반을 만듭니다. 실제 운영 도메인과 충돌하지 않는 이름을 설계하고, 복구용 DSRM(Directory Services Restore Mode) 암호를 따로 안전하게 보관해야 합니다. DSRM 암호를 스크립트 평문이나 화면 캡처에 남기지 않습니다.
AD DS 역할을 설치하고 승격을 시작합니다
- 서버 관리자 → 관리 → 역할 및 기능 추가에서 DC1을 대상 서버로 선택합니다.
- Active Directory Domain Services와 필요한 관리 도구를 추가하고 설치합니다.
- 설치 완료 후 알림에서 이 서버를 도메인 컨트롤러로 승격하는 항목을 선택합니다.
- 배포 구성에서 새 포리스트 추가를 선택하고 루트 도메인 이름 ad.example.test를 입력합니다.
역할 파일 설치와 DC 승격은 다른 단계입니다. Microsoft의 AD DS 설치 안내에 따라 승격까지 진행해야 도메인 서비스를 제공합니다. 이미 같은 도메인이 있는 실습에 두 번째 DC를 만들 때는 새 포리스트를 선택하지 않습니다.
기능 수준과 DNS·복구 암호를 선택합니다
- 포리스트와 도메인 기능 수준을 검토합니다. 이 실습은 앞으로 추가할 DC도 모두 Windows Server 2025인 새 환경이므로 2025 수준을 선택할 수 있습니다.
- DNS 서버와 글로벌 카탈로그 설정을 확인하고 쓰기 가능한 DC로 구성합니다.
- 고유한 DSRM 암호를 입력합니다. 일반 로그인 계정 암호와 용도를 구분합니다.
- DNS 위임 경고가 나타나면 상위 DNS 영역의 존재와 위임 필요성을 확인합니다. 이 격리 예시에는 외부 부모 영역을 관리하는 DNS가 없으므로 그 조건을 기록합니다.
- NetBIOS 이름 AD, 데이터베이스·로그·SYSVOL 경로와 검토 화면을 확인합니다.
- 필수 조건 검사를 실행하고 실제 오류를 해결한 뒤 설치합니다. 설치 후 재시작을 예상하고 콘솔 접근을 유지합니다.
기능 수준은 DC 운영체제와 AD 기능에 관한 조건이며 클라이언트 OS 버전과 같은 개념이 아닙니다. 기존 도메인에 2025 DC를 추가할 때는 최소 기능 수준 등 조건을 기능 수준 안내에서 따로 확인해야 합니다. 새 실습 설정을 기존 포리스트에 일괄 적용하지 않습니다.
PowerShell로 구성하는 대안은 아래와 같습니다. GUI를 완료했다면 다시 실행하지 마세요. 관리자 Windows PowerShell에서 실행하면 DSRM 암호 입력과 설치 확인을 요구할 수 있으며, 승격 후 재시작됩니다.
Install-WindowsFeature -Name AD-Domain-Services -IncludeManagementTools Install-ADDSForest -DomainName 'ad.example.test' -DomainNetbiosName 'AD' -InstallDns
재시작 후 DNS와 도메인 서비스를 확인합니다
콘솔에서 AD\Administrator 등 실제 도메인 관리자 계정으로 로그인하고 현재 계정을 확인합니다. 로컬 관리자 화면과 도메인 계정 관리가 달라졌다는 점을 구분하세요. 아래 명령은 DC1에서 실행합니다.
whoami Get-ADDomain | Select-Object DNSRoot,NetBIOSName,DomainMode Get-ADForest | Select-Object RootDomain,ForestMode Get-DnsServerZone Resolve-DnsName '_ldap._tcp.dc._msdcs.ad.example.test' -Type SRV -Server 172.24.50.10 Get-SmbShare -Name SYSVOL,NETLOGON dcdiag /test:dns
도메인 이름과 기능 수준을 확인하고, SRV 응답의 대상에 DC1이 나타나는지 봅니다. SYSVOL·NETLOGON 공유와 DNS 진단 결과도 확인하세요. 새 구성 직후의 처리 지연과 지속되는 오류를 구분하며, 실제 오류 코드와 이벤트를 기록합니다. 기존 lab.example.test가 있다고 AD 도메인 생성이 완료됐다고 판단하지 않습니다.
기존 DHCP 실습을 새 도메인에 맞춥니다
앞서 DC1에 DHCP를 설치했다면 도메인 구성 후 승인 상태를 다시 확인합니다. DHCP의 AD 승인 절차에 따라 권한 있는 도메인 계정으로 필요한 경우에만 승인합니다. 이미 승인된 항목을 중복 추가하지 않습니다.
Get-DhcpServerInDC Add-DhcpServerInDC -DnsName 'dc1.ad.example.test' -IPAddress 172.24.50.10 Set-DhcpServerv4OptionValue -ScopeId 172.24.50.0 -DnsServer 172.24.50.10 -DnsDomain 'ad.example.test'
현재 DHCP 역할과 해당 범위가 있을 때만 적용합니다. CLIENT1은 콘솔에서 임대를 갱신하고 DNS .10과 접미사 ad.example.test를 확인합니다. DNS 접미사가 바뀌었다고 도메인 가입까지 된 것은 아닙니다.
승격을 되돌릴 때는 역할 파일을 먼저 제거하거나 VM을 삭제하지 않습니다. 마지막 DC인지, 계정·DNS·DHCP와 클라이언트가 의존하는지 확인하고 정상 강등·복구 절차를 별도로 계획해야 합니다. 이 실습을 이어 갈 때는 도메인과 서버를 유지합니다.
