Windows Server 2025 / 如何添加第二个域控制器
要添加第二个域控制器，请在新的 DC2 上安装 Active Directory 域服务（AD DS），并将其提升为现有域的附加域控制器。DC2 会复制域目录并提供身份验证服务；提升前应使用正常运行的 DC1 解析域名，完成后先检查双向复制、DNS、SYSVOL 和 NETLOGON，再调整客户端 DNS。
为现有域准备 DC2
本实验要求 DC1 已正常提供 ad.example.test 域服务，地址为 172.24.50.10。新建 Windows Server 2025 虚拟机 DC2，使用唯一名称和静态地址 172.24.50.11/24（子网掩码 255.255.255.0），并保留虚拟机控制台访问。提升前将 DC2 的 DNS 指向 DC1 的 172.24.50.10，不要用公共 DNS 或尚未就绪的 DC2 自身代替。Microsoft 的域控制器 DNS 客户端配置建议说明了复制正常前依赖其他域控制器 DNS 的原因。
- 确认 DC1 的目录、DNS 和复制状态正常，并具备可恢复的备份；增加第二台域控制器不能代替备份。
- 确认 DC2 的名称和 IP 地址未被占用，时间正确且必要更新已完成。
- 安装角色需要 DC2 的本地管理员权限；向现有域添加域控制器还需要域管理员或已获适当委派的域权限。不要把本地管理员身份当作域提升授权。
- 确认两台实验虚拟机之间允许所需的 DNS、身份验证和 AD 复制通信。能 ping 通或一次 DNS 查询成功，都不能证明所有必要协议可用；不要通过关闭防火墙排除问题。
Resolve-DnsName '_ldap._tcp.dc._msdcs.ad.example.test' -Type SRV -Server 172.24.50.10
nltest /dsgetdc:ad.example.test在 DC2 上执行上面的发现检查：SRV 记录应指向该域中实际存在的控制器，例如 dc1.ad.example.test；nltest 应能找到 ad.example.test。第一条命令明确查询 DC1，第二条则使用 DC2 实际配置的名称解析路径。若失败，先处理 DNS、网络和时间问题。这里使用全新虚拟机，而不是复制 DC1 后仅修改名称。根据域与林功能级别兼容性确认现有域允许添加 Windows Server 2025 控制器，不要为完成实验而直接提高生产环境功能级别。
选择向现有域添加域控制器
- 在 DC2 上打开“服务器管理器”，选择“管理”→“添加角色和功能”，使用基于角色或功能的安装，确认目标服务器为 DC2，选择“Active Directory 域服务”，并添加所需管理工具后安装。
- 角色安装完成后，在服务器管理器通知中选择“将此服务器提升为域控制器”。仅安装角色并不会使 DC2 成为域控制器。
- 在部署配置中选择“将域控制器添加到现有域”。不要选择添加新林或向现有林添加新域。
- 输入 ad.example.test，并提供具有提升权限的域账户凭据。DC2 的本地管理员密码不能代替此域授权。
- 在域控制器选项中确认 DNS 服务器、全局编录（GC）以及计划使用的站点。本实验需要可写域控制器，不选择只读域控制器（RODC）。
- 为 DC2 设置并确认目录服务还原模式（DSRM）密码，安全保存该恢复凭据。检查数据库、日志和 SYSVOL 路径，不将其放在 ReFS 卷上；查看警告与先决条件检查结果，解决阻止安装的问题后安装，并准备通过控制台处理重启。
站点应与实际子网和站点规划一致。小型实验可能使用 Default-First-Site-Name，但不能据此替生产环境选择站点。使用 PowerShell 且省略 SiteName 时，站点取决于关联子网；没有适用子网时可能采用复制源域控制器的站点。参数及条件请参阅 Install-ADDSDomainController 官方说明。
如果尚未提升，请使用 PowerShell 替代方法
如果尚未通过图形界面完成提升，可在 DC2 的管理员 PowerShell 中使用下面的替代方法。第一行安装角色和工具，第二行交互式获取获授权的域账户，第三行向现有域添加控制器并安装 DNS；若已安装角色，请确认其状态，不要将两套流程当作必须依次重复的操作。DSRM 密码用于目录服务恢复，与域登录凭据用途不同；由提升命令交互式询问，不要把密码写入脚本。
Install-WindowsFeature -Name AD-Domain-Services -IncludeManagementTools
$promotionCredential = Get-Credential
Install-ADDSDomainController -DomainName 'ad.example.test' -InstallDns -Credential $promotionCredential服务器即使事先未作为普通成员加入域，也可以在提升时使用获授权的域凭据。本例未指定禁止自动重启的参数，操作过程中应按提示确认 DSRM 密码并准备重启。重启后使用实际获授权的域管理员身份检查控制台登录；不要因远程连接断开而再次运行提升命令。在确认入站和出站复制正常前，继续使用正常工作的 DC1 DNS，不要过早让 DC2 只依赖自身解析。
验证复制、DNS 和 SYSVOL
在 DC2 上以管理员身份打开具备 AD 管理工具的 PowerShell，执行下面的检查。域控制器列表中出现 DC2 并不等于复制已收敛；需要结合实际复制伙伴、目录分区、最近成功时间和错误判断。最后一条 Get-SmbShare 查询的是命令所在的 DC2 本机共享，不是在管理电脑上远程查询 DC2。
Get-ADDomainController -Filter * | Select-Object HostName,IPv4Address,Site,IsGlobalCatalog
repadmin /replsummary
repadmin /showrepl DC2
dcdiag /s:DC2 /test:dns
Get-SmbShare -Name SYSVOL,NETLOGON先确认列表中的 DC1、DC2 主机名、IP 地址、站点和全局编录状态符合规划。repadmin /replsummary 的失败数和最大延迟要结合最近是否实际发生复制判断；repadmin /showrepl DC2 用于检查 DC2 各伙伴与分区的入站复制及最近成功时间。再将该行中的 DC2 改为 DC1，检查另一方向的入站复制，不能仅凭 DC2 的结果断定两个方向均正常。
Get-SmbShare 应在 DC2 上返回 SYSVOL 和 NETLOGON。然后在 CLIENT1 上分别执行最前面的同一条 SRV 查询，仅将 Server 参数先设为 172.24.50.10，再设为 172.24.50.11。复制完成后，两台 DNS 应能提供一致的域服务信息，但记录排列顺序不必固定，回答查询的 DNS 服务器也不等于 SRV 记录中的目标控制器。AD 集成 DNS 区域按配置的复制范围传播；此前练习使用的基于文件的 lab.example.test 区域不会仅因新增 DC2 就自动转为 AD 集成区域并复制。
DCDiag DNS 测试失败时，应记录具体失败项目、时间与相关服务器，并检查 Directory Service、DNS Server 和 DFS Replication 日志。区分初始同步尚未结束与持续失败；SYSVOL 或 NETLOGON 缺失时，不应让客户端依赖这台控制器。按 DNS、复制伙伴、网络、时间和权限逐项查明原因，修正后重新检查，不要通过删除重建目录或关闭安全保护掩盖问题。
要检查实际目录数据，可使用上一课创建的实验用户 labuser1。在“Active Directory 用户和计算机”（dsa.msc）中明确通过“更改域控制器”连接 DC1，打开该用户属性，完整记录“描述”的原值（包括原本为空的情况），写入容易辨认的临时实验值并应用。随后明确切换至 DC2，重新打开该对象确认值已复制；最后通过 DC1 恢复原值，再到 DC2 确认恢复。不要修改生产账户。一个属性的复制成功不能代表所有分区均已收敛；异常时参阅 Active Directory 复制失败诊断。
验证后再更新客户端 DNS
先在一台 CLIENT1 上试验，不要立即修改整个 DHCP 作用域或所有客户端。通过控制台记录该网卡原来的 DNS 地址及其自动或手动获取方式，打开 ncpa.cpl，进入实验网卡的“属性”→“Internet 协议版本 4 (TCP/IPv4)”→“属性”，仅将 DNS 改为首选 172.24.50.10、备用 172.24.50.11，保持 IP 地址、子网掩码和网关不变。检查域控制器发现、实验用户登录和名称解析。若出现问题，恢复记录的实际 DNS 地址和获取方式；原来由 DHCP 自动提供 DNS 的网卡应恢复自动获取，而不是随意填写一个看似默认的地址。单机试验通过后再规划更大范围的配置。
新增域控制器不会自动复制 DHCP 租约、FS1 文件数据或所有 DNS 区域，也不会自动转移灵活单主机操作（FSMO，Flexible Single Master Operations）角色。两台虚拟机位于同一宿主机时，仍共享该宿主机的故障风险，不能取代独立备份。后续实验保留两台控制器；需要移除 DC2 时，应先检查客户端和服务器的 DNS 依赖、复制、全局编录及角色依赖，再按计划降级，不要直接删除虚拟机。
