Windows Server 2025 / 如何创建第一个 Active Directory 域和林

在 Windows Server 2025 中创建第一个域，需要先安装 Active Directory 域服务（AD DS，Active Directory Domain Services），再将 DC1 提升为新林中的第一台域控制器。本实验在隔离网络中创建 ad.example.test。“添加新林”适用于这个全新实验环境；向组织现有域添加控制器时，不应选择此项。

检查新林的先决条件

使用本地管理员账户在 DC1 虚拟机控制台操作，并确保提升和重启期间仍能访问控制台。检查计算机名、静态 IP、更新和时间，确认网卡连接隔离的 172.24.50.0/24 网络；/24 对应子网掩码 255.255.255.0。如果 DC1 已提供 DNS，应先确认本地 DNS 服务器 172.24.50.10 正常工作。尚未安装 DNS 时，可在提升过程中安装，但必须随后核对实际配置。练习区域 lab.example.test 与新域保持分开。操作前可结合林、域和 OU 的关系说明复核设计。

为目录服务还原模式（DSRM，Directory Services Restore Mode）准备唯一、足够强且符合适用密码策略的密码，并安全保存。此密码用于目录恢复，其用途不同于日常域登录凭据。不要把它以明文保存在脚本、日志或截图中。AD DS 配置向导页面说明介绍了相关字段。开始前先明确命名空间和恢复凭据的保管方式。

安装 AD DS 并开始提升

1. 在 DC1 上打开“服务器管理器 → 管理 → 添加角色和功能”，选择“基于角色或基于功能的安装”，确认目标服务器为 DC1。
2. 选择“Active Directory 域服务”，接受“添加功能”以安装所需工具，检查选择后安装。确认角色安装成功完成。
3. 在安装后的配置通知中选择“将此服务器提升为域控制器”，打开配置向导。仅安装角色还没有创建域。
4. 在“部署配置”中选择“添加新林”，将根域名填写为 ad.example.test。继续前核对拼写，并确认目标确实是全新实验林。

安装角色只提供文件和管理工具；提升是创建域控制器的另一阶段。Microsoft AD DS 安装指南说明了两种方法。选择图形向导或后面的 PowerShell 替代方法之一，不要在提升完成后再次创建同一个林。后续增加 DC2 时，应将域控制器添加到现有域，而不是另建一个林。

核对功能级别、DNS 与恢复设置

1. 在“域控制器选项”中检查域和林功能级别。如果 DC1 及所有计划中的域控制器均运行 Windows Server 2025，本实验可将两项都选为 2025，并记录选择。
2. 按本设计保留 DNS，核对全局编录（GC，Global Catalog）。林中的第一台域控制器必须是全局编录，不能是只读域控制器（RODC，Read-Only Domain Controller）。
3. 输入并确认已准备的 DSRM 密码，按选定的安全方式保管，不要复制到实验记录中。
4. 根据实际父区域判断 DNS 委派警告。本隔离 .test 实验没有受管理的外部父 DNS，因此相应警告可能符合预期；这不代表其他 DNS 错误或先决条件错误都可忽略。
5. 核对 NetBIOS 名称 AD，以及数据库、日志和 SYSVOL 路径。没有其他存储设计时可保留建议的本地路径并记录，不能将这些数据放在 ReFS 卷上。
6. 审阅选项并运行先决条件检查，解决阻止安装的错误，逐项判断警告后再安装。保持控制台可用，以便观察重启过程。

功能级别决定可用的 AD 能力和域控制器支持的操作系统版本，不决定 CLIENT1 的操作系统版本。域和林功能级别为 2025 时，所有域控制器都必须运行 Windows Server 2025，可查看功能级别兼容性矩阵。向现有域加入 Windows Server 2025 域控制器前，该域至少需要 2016 域功能级别；提升域和林功能级别指南说明了前提与检查事项。不要仅为了照搬实验而提升生产环境的功能级别。

若选择 PowerShell 方法，在 DC1 上以管理员身份打开 Windows PowerShell，仅针对这个新实验林执行以下代码。第一行安装角色和工具；如果刚在图形界面中只安装了角色，该阶段已经完成，但尚未完成提升。第二行创建林并交互式请求 DSRM 密码，不需要把密码写进命令。示例没有指定 -DomainMode 或 -ForestMode，因此不能据此保证某个默认功能级别。若需要明确设置两者为 2025，应先核对本机已安装版本的帮助和先决条件，或在向导中明确选择。Install-ADDSForest 参数参考提供了参数说明：

Install-WindowsFeature -Name AD-Domain-Services -IncludeManagementTools
Install-ADDSForest -DomainName 'ad.example.test' -DomainNetbiosName 'AD' -InstallDns

在控制台阅读密码及确认提示，再决定是否继续。命令未使用 -NoRebootOnCompletion，因此结束时会涉及重启。不要把角色安装完成当成整个域部署完成，也不要在重新连接后再次运行 Install-ADDSForest；应转入对已创建域和实际功能级别的检查。

重启后验证域服务

重启后，通过 DC1 控制台使用预定的域管理员账户登录。AD\Administrator 仅适用于账户确实保留该名称的情况；本地化或重命名后应使用真实账户名。在 DC1 上以管理员身份打开 Windows PowerShell，执行以下查询和诊断，而不是在 CLIENT1 上执行：

whoami
Get-ADDomain | Select-Object DNSRoot,NetBIOSName,DomainMode
Get-ADForest | Select-Object RootDomain,ForestMode
Get-DnsServerZone
Resolve-DnsName '_ldap._tcp.dc._msdcs.ad.example.test' -Type SRV -Server 172.24.50.10
Get-SmbShare -Name SYSVOL,NETLOGON
dcdiag /test:dns

Whoami 应显示预定的域账户；DNSRoot 和 RootDomain 应为 ad.example.test，NetBIOSName 应为 AD。DomainMode 与 ForestMode 显示实际建立的功能级别，应与设计决定逐项核对，不能只根据 Windows Server 版本推断。这里检查的是配置，尚不能证明 CLIENT1 已加入域或能访问资源。

检查 DNS 区域及所查询的 SRV 服务记录，响应目标应为预期域控制器，例如 dc1.ad.example.test。SYSVOL 和 NETLOGON 应作为共享存在；仅有原来的 lab.example.test 区域不能证明 AD 域已建立。阅读DCDiag 诊断结果时，应记录具体失败的测试。区分重启后的初始化过程与持续错误，检查相关事件，在解决原因后重复同一测试。不要把反复失败一概视为正常初始化。

将现有 DHCP 实验配置调整为新域

仅当 DC1 已经提供 DHCP 时，才用第一行查询 Active Directory 中的授权，并核对 dc1.ad.example.test 和 172.24.50.10。第二行 Add-DhcpServerInDC 只在缺少正确授权且当前账户具备相应 AD 授权权限时执行；已存在则跳过。参考DHCP 授权指南。第三行仅适用于已经存在的 172.24.50.0 作用域，不要不加判断地把三行当成一次必做操作：

Get-DhcpServerInDC
Add-DhcpServerInDC -DnsName 'dc1.ad.example.test' -IPAddress 172.24.50.10
Set-DhcpServerv4OptionValue -ScopeId 172.24.50.0 -DnsServer 172.24.50.10 -DnsDomain 'ad.example.test'

先检查作用域是否存在及其原有选项，再按新域设计设置 DNS 172.24.50.10 和后缀 ad.example.test。在 CLIENT1 控制台仅续订实际实验网卡的 DHCP 配置，通过 ipconfig /all 核对 DHCP 服务器、DNS 服务器和收到的后缀。使用 DHCP 时，应让 IP 和 DNS 都保持自动获取，避免误操作其他网络的网卡。收到 DNS 后缀不代表 CLIENT1 已加入域；加入域和域账户登录需要单独操作并验证。

撤销提升时，不要先删除虚拟机或移除角色文件。应先判断 DC1 是否为最后一台域控制器，并梳理依赖该域的账户、DNS 区域、DHCP 作用域和客户端。降级与恢复需要单独制定计划，考虑这些依赖和所需凭据。保留本域供后续实验使用；如果安装失败，先记录失败阶段与错误信息，再决定如何处理，不要立即重复创建林。