Windows Server 2025 / Come creare il primo dominio e la prima foresta Active Directory

Per creare il primo dominio in Windows Server 2025, installare i Servizi di dominio Active Directory (AD DS, Active Directory Domain Services) e promuovere DC1 a primo controller di una nuova foresta. Questa esercitazione crea ad.example.test in una rete isolata. La scelta di una nuova foresta riguarda questo laboratorio e non serve ad aggiungere un controller a un dominio aziendale già esistente.

Verificare i prerequisiti della nuova foresta

Operare dalla console della macchina virtuale DC1 con un account amministratore locale e mantenere l’accesso alla console durante promozione e riavvio. Verificare nome del computer, IP statico, aggiornamenti, ora e collegamento alla rete isolata 172.24.50.0/24; /24 corrisponde alla maschera 255.255.255.0. Se DC1 fornisce già DNS, accertarsi che il DNS locale 172.24.50.10 funzioni. In assenza del ruolo DNS è possibile installarlo durante la promozione, controllandone poi le impostazioni. Conservare lab.example.test separata dal nuovo dominio. La spiegazione di foresta, dominio e OU aiuta a verificare il progetto prima delle modifiche.

Preparare una password univoca e robusta per la modalità ripristino servizi directory (DSRM, Directory Services Restore Mode) e conservarla in modo sicuro. Serve per attività di ripristino della directory e non coincide per funzione con le normali credenziali di accesso al dominio. Deve rispettare i criteri applicabili e non va scritta in chiaro in script, log o schermate. La descrizione delle pagine della procedura guidata AD DS illustra i campi. Definire prima lo spazio dei nomi e la custodia delle credenziali di ripristino.

Installare AD DS e avviare la promozione

1. In DC1 aprire Server Manager → Gestisci → Aggiungi ruoli e funzionalità. Scegliere l’installazione basata su ruoli o funzionalità e confermare DC1 come server di destinazione.
2. Selezionare Servizi di dominio Active Directory e accettare Aggiungi funzionalità per gli strumenti necessari. Verificare la selezione, scegliere Installa e controllare il completamento dell’installazione del ruolo.
3. Nella notifica di configurazione successiva all’installazione, scegliere Promuovi questo server a controller di dominio. Si apre la configurazione guidata; il solo ruolo installato non crea ancora il dominio.
4. In Configurazione distribuzione scegliere Aggiungi una nuova foresta e inserire ad.example.test come nome del dominio radice. Verificare scrittura e destinazione prima di proseguire.

L’installazione del ruolo fornisce file e strumenti; la promozione è la fase separata che crea il controller di dominio. La guida Microsoft all’installazione di AD DS descrive entrambi i percorsi. Scegliere la procedura grafica oppure l’alternativa PowerShell seguente e non creare nuovamente la foresta dopo una promozione completata. Quando si aggiungerà DC2, occorrerà aggiungere un controller al dominio esistente, senza creare un’altra foresta.

Controllare livelli di funzionalità, DNS e ripristino

1. In Opzioni controller di dominio verificare i livelli di funzionalità di dominio e foresta. Per questo laboratorio si può scegliere 2025 per entrambi se DC1 e tutti i controller previsti usano Windows Server 2025. Annotare la scelta.
2. Mantenere DNS per questo progetto e controllare il catalogo globale (GC, Global Catalog). Il primo DC della foresta deve essere un catalogo globale e non può essere un controller di dominio di sola lettura (RODC, Read-Only Domain Controller).
3. Inserire e confermare la password DSRM preparata. Conservarla con il metodo sicuro scelto, senza copiarla nel resoconto dell’esercitazione.
4. Valutare l’avviso di delega DNS rispetto alla zona padre reale. Nel laboratorio .test isolato non esiste un DNS padre esterno gestito, quindi tale avviso può essere previsto. Ciò non autorizza a ignorare altri errori DNS o di prerequisiti.
5. Verificare il nome NetBIOS AD e i percorsi di database, log e SYSVOL. Senza un progetto di archiviazione diverso si possono mantenere le posizioni locali proposte, annotandole. Non usare volumi ReFS per questi dati.
6. Rivedere le opzioni ed eseguire il controllo dei prerequisiti. Risolvere gli errori che impediscono l’installazione e valutare ogni avviso prima di installare. Mantenere disponibile la console per il riavvio.

I livelli di funzionalità determinano le capacità di AD e le versioni supportate dei controller di dominio, non la versione del sistema operativo di CLIENT1. Per i livelli di dominio e foresta 2025, tutti i DC devono usare Windows Server 2025. Consultare la matrice di compatibilità dei livelli di funzionalità. Prima di aggiungere un DC Windows Server 2025 a un dominio esistente, il livello del dominio deve essere almeno 2016. La guida all’innalzamento dei livelli di funzionalità spiega requisiti e controlli. Non innalzare un ambiente di produzione solo per riprodurre il laboratorio.

Come alternativa alla procedura grafica, aprire Windows PowerShell come amministratore su DC1 e usare il blocco seguente esclusivamente per la nuova foresta di laboratorio. La prima riga installa ruolo e strumenti; dopo la sola installazione grafica del ruolo questo passaggio è già completo, ma manca ancora la promozione. La seconda riga crea la foresta e richiede la password DSRM senza inserirla nel comando. Poiché -DomainMode e -ForestMode non sono specificati, l’esempio non garantisce valori predefiniti particolari. Per impostare entrambi a 2025, verificare prima la guida della versione installata e i prerequisiti oppure sceglierli esplicitamente nella procedura grafica. La documentazione di Install-ADDSForest descrive i parametri:

Install-WindowsFeature -Name AD-Domain-Services -IncludeManagementTools
Install-ADDSForest -DomainName 'ad.example.test' -DomainNetbiosName 'AD' -InstallDns

Leggere le richieste di password e conferma nella console prima di accettarle. Il comando non include -NoRebootOnCompletion, quindi prevede un riavvio al termine. Non confondere l’installazione del ruolo con il completamento della distribuzione e non rieseguire Install-ADDSForest quando la sessione torna disponibile. Passare invece alla verifica della foresta creata e dei livelli effettivi.

Verificare i servizi di dominio dopo il riavvio

Dopo il riavvio, accedere dalla console di DC1 con l’account amministratore di dominio previsto. AD\Administrator è solo un esempio se l’account mantiene quel nome; usare il nome effettivo se localizzato o rinominato. Aprire Windows PowerShell come amministratore su DC1, non su CLIENT1, ed eseguire queste interrogazioni e il test diagnostico:

whoami
Get-ADDomain | Select-Object DNSRoot,NetBIOSName,DomainMode
Get-ADForest | Select-Object RootDomain,ForestMode
Get-DnsServerZone
Resolve-DnsName '_ldap._tcp.dc._msdcs.ad.example.test' -Type SRV -Server 172.24.50.10
Get-SmbShare -Name SYSVOL,NETLOGON
dcdiag /test:dns

Whoami deve identificare l’account di dominio previsto. DNSRoot e RootDomain devono corrispondere ad ad.example.test, mentre NetBIOSName deve essere AD. DomainMode e ForestMode mostrano i livelli realmente configurati: confrontarli con il progetto, senza dedurli dalla sola versione di Windows Server. Queste verifiche non sostituiscono l’aggiunta di CLIENT1 al dominio o la prova di accesso alle risorse.

Controllare le zone DNS e il record di servizio SRV richiesto: la risposta deve indicare il controller previsto, per esempio dc1.ad.example.test. SYSVOL e NETLOGON devono essere presenti come condivisioni. La sola zona lab.example.test non dimostra che il dominio AD sia stato distribuito. Esaminare DCDiag individuando il test preciso che fallisce. Distinguere l’inizializzazione dopo il riavvio dagli errori persistenti, controllare gli eventi correlati e ripetere lo stesso test dopo averne risolto la causa. Un errore ripetuto non va considerato automaticamente normale.

Adeguare il DHCP esistente al dominio

Solo se DC1 fornisce già DHCP, usare la prima riga per controllare l’autorizzazione in Active Directory. Confrontare nome e IP con dc1.ad.example.test e 172.24.50.10. Eseguire Add-DhcpServerInDC nella seconda riga soltanto se manca l’autorizzazione corretta e l’account dispone dei permessi necessari; saltarla se il server è già registrato. Seguire la guida all’autorizzazione DHCP. La terza riga riguarda esclusivamente l’ambito 172.24.50.0 già esistente. Non eseguire tutte e tre le righe senza valutarne le condizioni:

Get-DhcpServerInDC
Add-DhcpServerInDC -DnsName 'dc1.ad.example.test' -IPAddress 172.24.50.10
Set-DhcpServerv4OptionValue -ScopeId 172.24.50.0 -DnsServer 172.24.50.10 -DnsDomain 'ad.example.test'

Verificare prima l’esistenza dell’ambito e le opzioni attuali, quindi impostare DNS 172.24.50.10 e suffisso ad.example.test secondo il nuovo dominio. Dalla console di CLIENT1, rinnovare la configurazione DHCP della scheda di laboratorio corretta e controllare server DHCP, DNS e suffisso con ipconfig /all. Con DHCP lasciare automatici sia l’indirizzo IP sia il DNS, evitando di rinnovare altre schede di rete. Ricevere il suffisso non aggiunge CLIENT1 al dominio: l’aggiunta e la prova di accesso al dominio sono operazioni separate.

Per annullare una promozione, non iniziare eliminando la VM o rimuovendo i file del ruolo. Stabilire se DC1 è l’ultimo controller e quali account, zone DNS, ambiti DHCP e client dipendono dal dominio. Declassamento e ripristino richiedono un piano specifico che consideri dipendenze e credenziali necessarie. Conservare il dominio per le esercitazioni successive. Se l’installazione fallisce, annotare prima il punto e l’errore, senza ripetere subito la creazione della foresta.