Windows Server 2025 / Cómo crear el primer dominio y bosque de Active Directory

Para crear el primer dominio en Windows Server 2025, instale los Servicios de dominio de Active Directory (AD DS, Active Directory Domain Services) y promueva DC1 como primer controlador de un bosque nuevo. Este ejercicio crea ad.example.test en una red aislada. La elección de un bosque nuevo corresponde a este laboratorio; no la aplique para añadir un controlador a una organización que ya tiene dominio.

Verifique los prerrequisitos del nuevo bosque

Use la consola de la máquina virtual DC1 con una cuenta de administrador local y mantenga ese acceso durante la promoción y el reinicio. Confirme nombre, IP estática, actualizaciones y hora, y que el adaptador esté en la red aislada 172.24.50.0/24; /24 equivale a 255.255.255.0. Si siguió la práctica DNS, compruebe que su DNS local 172.24.50.10 funciona. Un servidor sin DNS puede instalarlo durante la promoción y debe revisar el resultado después. Mantenga lab.example.test separada del nuevo dominio; la explicación de bosque, dominio y OU ayuda a comprobar el diseño antes de modificar el servidor.

Prepare y guarde de forma segura una contraseña única para el modo de restauración de servicios de directorio (DSRM, Directory Services Restore Mode). Se usa para tareas de recuperación del directorio y no debe confundirse con el inicio de sesión ordinario del dominio. Elija una contraseña robusta que cumpla la política aplicable, sin incluirla en texto plano en scripts, registros ni capturas. La descripción del asistente de configuración AD DS explica estos campos. Resuelva primero el espacio de nombres y la conservación de credenciales de recuperación.

Instale AD DS y comience la promoción.

1. En DC1, abra Administrador del servidor → Administrar → Agregar roles y características. Elija instalación basada en roles o características y confirme DC1 como servidor de destino.
2. Seleccione Servicios de dominio de Active Directory, acepte Agregar características para las herramientas requeridas y revise la selección antes de Instalar. Compruebe que finaliza la instalación del rol.
3. En el resultado o la notificación de configuración posterior a la instalación, elija Promover este servidor a un controlador de dominio. Eso abre el asistente de configuración; el rol instalado por sí solo no crea un dominio.
4. En Configuración de implementación, elija Agregar un nuevo bosque y escriba ad.example.test como dominio raíz. Revise la escritura y confirme que se trata del laboratorio nuevo antes de continuar.

Instalar los archivos del rol y promover el servidor son dos etapas distintas. La guía de instalación de AD DS de Microsoft presenta ambos métodos. Elija el recorrido de interfaz o la alternativa PowerShell posterior; no ejecute de nuevo una creación de bosque si ya terminó la promoción. Cuando añada DC2 a este dominio, deberá agregar un controlador al dominio existente, sin crear otro bosque.

Revise niveles, DNS y configuraciones de recuperación.

1. En Opciones del controlador de dominio, revise los niveles funcionales de dominio y bosque. Este laboratorio puede seleccionar 2025 para ambos si DC1 y todos los controladores previstos son Windows Server 2025; registre lo elegido.
2. Mantenga DNS para este diseño y compruebe el catálogo global (GC, Global Catalog). El primer DC del bosque debe ser catálogo global y no puede ser un controlador de solo lectura (RODC, Read-Only Domain Controller).
3. Introduzca y confirme la contraseña DSRM preparada. Guárdela por el procedimiento seguro elegido, sin copiarla al registro del ejercicio.
4. En las opciones DNS, valore una advertencia de delegación respecto a la zona padre real. Aquí no existe un DNS padre externo administrado para .test, por lo que esa advertencia puede ser esperable. Esto no permite ignorar otros errores DNS o de requisitos.
5. Compruebe el nombre NetBIOS AD y las rutas de base de datos, registros y SYSVOL. Puede conservar las ubicaciones propuestas del disco local si no diseñó otras; anótelas y no utilice un volumen ReFS para esos datos.
6. Revise las opciones y ejecute la comprobación de requisitos previos. Corrija los errores que impidan la instalación, distinga cada advertencia y solo entonces instale. Mantenga la consola disponible para el reinicio.

Los niveles funcionales determinan capacidades de AD y versiones admitidas en los controladores; no fijan la versión del sistema operativo de CLIENT1. Para los niveles de dominio y bosque 2025, todos los DC previstos deben cumplir el requisito Windows Server 2025. La matriz de compatibilidad de niveles funcionales permite verificarlo. Antes de añadir un DC 2025 a un dominio existente, este debe tener al menos nivel funcional 2016; la guía para elevar niveles funcionales detalla requisitos y verificaciones. No eleve un entorno operativo solo para imitar este laboratorio.

Como alternativa al asistente, abra Windows PowerShell como administrador en DC1 y use el bloque siguiente únicamente para este bosque nuevo. La primera línea instala el rol y las herramientas; si solo instaló el rol mediante la interfaz, esa etapa ya está hecha, pero todavía falta la promoción. La segunda crea el bosque y solicita la contraseña DSRM sin incluirla en el texto del comando. Este ejemplo no especifica -DomainMode ni -ForestMode: no promete un nivel predeterminado concreto. Si necesita fijar ambos a 2025, revise primero la ayuda de la versión instalada y los requisitos, o use la selección explícita del asistente. La referencia de Install-ADDSForest describe los parámetros:

Install-WindowsFeature -Name AD-Domain-Services -IncludeManagementTools
Install-ADDSForest -DomainName 'ad.example.test' -DomainNetbiosName 'AD' -InstallDns

Lea las solicitudes de contraseña y confirmación en la propia consola antes de aceptarlas. El comando no incluye -NoRebootOnCompletion, por lo que prevé un reinicio al finalizar. No cierre la consola suponiendo que instalar el rol completó el trabajo ni vuelva a ejecutar Install-ADDSForest al recuperar la sesión; continúe con la verificación del dominio creado y sus niveles reales.

Verifique los servicios de dominio después del reinicio

Tras el reinicio, inicie sesión en la consola de DC1 con el administrador de dominio previsto. AD\Administrator es un ejemplo para una instalación que conserve ese nombre; use el nombre real si está localizado o se cambió. Abra Windows PowerShell como administrador en DC1 y ejecute las consultas y el diagnóstico siguientes, no en CLIENT1:

whoami
Get-ADDomain | Select-Object DNSRoot,NetBIOSName,DomainMode
Get-ADForest | Select-Object RootDomain,ForestMode
Get-DnsServerZone
Resolve-DnsName '_ldap._tcp.dc._msdcs.ad.example.test' -Type SRV -Server 172.24.50.10
Get-SmbShare -Name SYSVOL,NETLOGON
dcdiag /test:dns

Whoami debe identificar la cuenta del dominio prevista. DNSRoot y RootDomain deben corresponder a ad.example.test, y NetBIOSName a AD; DomainMode y ForestMode muestran los niveles realmente establecidos. Compárelos con su decisión de diseño, sin deducirlos solo de que el servidor ejecuta Windows Server 2025. Estas son comprobaciones de configuración; la incorporación de CLIENT1 y su acceso a recursos se verifican por separado.

Revise las zonas DNS y compruebe que el registro de servicio solicitado apunta al controlador esperado, como dc1.ad.example.test. SYSVOL y NETLOGON deben existir como recursos compartidos; la presencia de lab.example.test por sí sola no confirma la instalación del dominio. Examine los resultados de DCDiag y anote la comprobación concreta que falla. Distinga la inicialización posterior al reinicio de errores persistentes: revise los eventos relacionados y vuelva a ejecutar la misma prueba tras resolver su causa, sin dar por correcto un fallo que se repite.

Actualice el laboratorio DHCP anterior para el dominio

Solo si DC1 ya proporciona DHCP, consulte la autorización en Active Directory con la primera línea del bloque siguiente. Compare nombre y dirección con dc1.ad.example.test y 172.24.50.10. Ejecute Add-DhcpServerInDC únicamente si falta la autorización adecuada y dispone de permisos para autorizar en AD; si ya está registrada, omita esa segunda línea. Siga la guía de autorización DHCP. La tercera línea corresponde exclusivamente al ámbito 172.24.50.0 ya existente. No copie las tres líneas como una operación incondicional ni cree un ámbito para ocultar una discrepancia:

Get-DhcpServerInDC
Add-DhcpServerInDC -DnsName 'dc1.ad.example.test' -IPAddress 172.24.50.10
Set-DhcpServerv4OptionValue -ScopeId 172.24.50.0 -DnsServer 172.24.50.10 -DnsDomain 'ad.example.test'

Si el ámbito existe, revise primero sus opciones y después establezca DNS 172.24.50.10 y sufijo ad.example.test según el nuevo dominio. Desde la consola de CLIENT1, renueve el adaptador del laboratorio y compruebe en ipconfig /all el servidor DHCP, DNS y sufijo recibidos. Mantenga la configuración automática de IP y DNS cuando utilice DHCP; no renueve adaptadores de otras redes por error. Recibir el sufijo no une CLIENT1 al dominio: la incorporación y la prueba de inicio de sesión son operaciones distintas.

Para retirar una promoción no empiece eliminando la máquina virtual ni quitando los archivos del rol. Determine si DC1 es el último controlador y qué cuentas, zonas DNS, ámbitos DHCP y clientes dependen del dominio. La despromoción y la recuperación requieren un plan que considere esas dependencias y las credenciales necesarias. Conserve este dominio para las prácticas posteriores; si la instalación falla, registre el punto y el error antes de repetir una creación de bosque.