基于 Windows Server 2019 部署域控服务器

在 Windows Server 2019 上搭建域控（AD DC）是中小企业内网基建里最常见的一件事。本文按规划、角色安装、权限提升、账号管理、加域退域五个阶段梳理完整流程，并说明域环境启用前后系统表现的差异，方便运维同学照着落地。

部署前的规划

先确定一台专用服务器承载域控，建议一次把关键信息列清楚，避免中途改主机名或域名带来的额外工作量：

项目	规划值
操作系统	Windows Server 2019 Datacenter
主机名	DCSVR
IP 地址	172.16.206.1
根域名	labtest.com
NetBIOS 名	LABTEST

安装 Active Directory 域服务角色

通过服务器管理器添加角色，勾选 Active Directory 域服务（AD DS）。注意这一步只是安装角色二进制，并不会把本机变成域控，还需要后续提升操作才能生效。

提升为域控制器

安装完成后在服务器管理器顶部会弹出警告提示，点击将此服务器提升为域控制器，选择添加新林，填入根域名，设置目录服务还原模式（DSRM）密码，确认后系统会自动重启，重启过程大约持续几分钟。回到桌面后，这台机器就已经是 labtest.com 的域控了。

域环境启用后的三处差异

1. 默认登录账户从本地账号变成域账号，登录界面需要输入域账号密码。
2. 系统会自动接管 DNS 服务配置，域控同时承担内网 DNS 解析。
3. 计算机管理里看不到本地用户和组，用户管理入口改到 AD 用户和计算机控制台。

域账号管理

打开 AD 用户和计算机，建立两个层级的账号：一个是域管理员，用来日常管理域内资源；另一个是普通域账号，供员工登录使用。按需把他们放进对应组织单元，后续做组策略时结构会更清楚。

备份权限配置

如果需要让某个专用账号能够登录域控做系统备份，可以建一个名为 DBBAK 的域账号，把它加入目标服务器的 Backup Operators 组，这样它就具备本地登录执行备份的权限，而不必放进管理员组，权限粒度更合理。

客户端加域与退域

其他服务器加入域时，在系统中把 DNS 指向域控，用域管理员账号执行加域操作，重启后即可使用域账号登录。退域时先让计算机脱离域，再把主机名改回独立工作组名称，同时注意在域控的 DNS 里删除对应的 A 记录，避免留下失效解析继续指向旧地址。

qidao123.com企服评测-应用市场 编辑提示