域服务

一、环境准备（图形界面操作）
1.1 设置静态 IP 地址

域控制器必须使用固定 IP，不能通过 DHCP 自动获取。

打开 控制面板 → 网络和共享中心 → 更改适配器设置。

右键当前使用的网络连接（如“以太网”），选择 属性。

双击 Internet 协议版本 4 (TCP/IPv4)。

选择 使用下面的 IP 地址，填写：

IP 地址：192.168.1.10（根据实际网络规划填写）

子网掩码：255.255.255.0

默认网关：192.168.1.1（根据实际路由器填写）

选择 使用下面的 DNS 服务器地址：

首选 DNS 服务器：127.0.0.1（先临时填写，安装 DNS 后生效）

点击 确定 → 关闭。

1.2 修改计算机名（可选）

建议修改为易识别的名称，例如 windows1。

右键 此电脑 → 属性 → 更改设置。

在“计算机名”选项卡中点击 更改。

计算机名输入 windows1，点击确定，按提示重启。

1.3 设置本地 Administrator 密码

安装域控制器前，必须为本地 Administrator 账户设置密码。

右键 此电脑 → 管理 → 展开 本地用户和组 → 用户。

右键 Administrator → 设置密码 → 输入强密码（如 P@ssw0rd）→ 确定。

二、安装 AD DS 和 DNS 角色（图形界面）

打开 服务器管理器（任务栏图标或开始菜单）。

点击右上角 管理 → 添加角色和功能。

安装类型：选择 基于角色或基于功能的安装 → 下一步。

服务器选择：选择当前服务器（默认已选中）→ 下一步。

服务器角色：

勾选 Active Directory 域服务。

勾选 DNS 服务器。

弹出“添加功能”窗口，点击 添加功能。
![示例：勾选AD DS和DNS]

功能：保持默认，直接下一步。

确认：勾选 如果需要，自动重启目标服务器 → 点击 安装。

等待安装完成（约几分钟），点击 关闭。

三、将此服务器提升为域控制器（图形界面）

安装完成后，服务器管理器右上角会出现黄色感叹号提示 “将此服务器提升为域控制器”，请点击它。
3.1 部署配置

选择 添加新林。

根域名输入：skills.com

点击 下一步。

3.2 域控制器选项

林功能级别：选择 Windows Server 2016（或你的 Server 2019 最高支持级别）。

域功能级别：与上面保持一致。

指定域控制器功能：保持默认（勾选“DNS 服务器”和“全局编录”）。

目录服务还原模式密码：输入一个强密码（如 P@ssw0rd!），务必记住，用于灾难恢复。

点击 下一步。

3.3 DNS 选项

会出现“无法创建 DNS 委派”的警告，这是新建林的正常现象，忽略警告，直接点击 下一步。

3.4 其他选项

NetBIOS 域名：自动填充为 SKILLS，保持默认 → 下一步。

3.5 路径

数据库、日志文件、SYSVOL 文件夹路径保持默认（C:\Windows\NTDS 和 C:\Windows\SYSVOL）→ 下一步。

3.6 查看选项

确认所有设置无误 → 下一步。

3.7 先决条件检查

系统会执行一系列检查。如果出现“Administrator 密码为空”等错误，请返回设置密码后点击 重新运行先决条件检查。

检查通过后，点击 安装。

服务器将自动重启（无需人工干预）。

3.8 登录域

重启后，登录界面用户名改为：

用户名：SKILLS\Administrator

密码：之前设置的 Administrator 密码

首次登录可能需要等待配置完成。
四、验证域控制器及 DNS 配置
4.1 确认域控制器状态

登录后打开 服务器管理器，右上角应显示当前用户为 SKILLS\Administrator。

打开 Active Directory 用户和计算机（开始菜单中搜索 “Active Directory” 即可）。

验证域名 skills.com 下已包含默认容器。

4.2 确认 DNS 正向区域存储在 Active Directory 中

打开 DNS 管理器（开始菜单 → Windows 管理工具 → DNS）。

展开 正向查找区域 → 右键 skills.com → 属性。

在 常规 选项卡中，确认 类型 显示为 Active Directory 集成区域。

关闭属性窗口。

4.3 创建反向查找区域（图形界面）

为使域内设备可以反向解析，需手动创建反向区域：

在 DNS 管理器中，右键 反向查找区域 → 新建区域。

区域类型：选择 Active Directory 集成区域 → 下一步。

选择 IPv4 反向查找区域 → 下一步。

网络 ID：输入你的网段，例如 192.168.1（只输入前三段）→ 下一步。

动态更新：选择 只允许安全的动态更新 → 下一步 → 完成。

五、启用 Windows Defender 防火墙（图形界面）

打开 控制面板 → Windows Defender 防火墙。

点击左侧 启用或关闭 Windows Defender 防火墙。

将 专用网络设置 和 公用网络设置 均选择 启用 Windows Defender 防火墙。

点击 确定。

注意：启用防火墙后，域服务所需的端口（DNS、LDAP、SMB 等）默认已被允许，一般无需额外配置。如果遇到客户端无法加入域，可以临时关闭防火墙测试，但生产环境务必保持开启并配置适当的入站规则。

六、后续操作：将其他主机加入域（图形界面示例）

以一台 Windows 10 客户端为例：

将该客户端的 DNS 服务器设置为域控制器的 IP（192.168.1.10）。

控制面板 → 网络和共享中心 → 更改适配器设置 → 右键以太网 → 属性 → IPv4 → 首选 DNS 改为 192.168.1.10。

右键 此电脑 → 属性 → 更改设置。

在“计算机名”选项卡中点击 更改。

选择 域，输入 skills.com，点击 确定。

弹出认证窗口，输入具有域加入权限的账号：SKILLS\Administrator 及其密码。

出现“欢迎加入 skills.com 域”提示，重启计算机。

重启后使用 SKILLS\Administrator 登录。

七、常见图形界面问题排查
现象 解决方法
提升域控制器时提示“Administrator 密码为空” 使用本地用户管理为 Administrator 设置密码，然后重新运行先决条件检查
客户端加入域时找不到域控制器 检查客户端的 DNS 是否指向域控 IP，并在域控上运行 dcdiag 检查服务状态
DNS 管理器中没有 skills.com 区域 说明提升时 DNS 未正确集成，可手动新建 AD 集成区域：右键正向查找区域→新建区域→选择“Active Directory 集成区域”→输入域名 skills.com
防火墙启用后客户端无法访问域共享 检查防火墙 → 允许的应用 → 确保“文件和打印机共享”已勾选