活动目录AD（Active Directory）是微软服务的核心组件。AD能实现高效管理，例如批量管理用户、部署应用和更新补丁等。许多微软组件（例如Exchange）和故障转移群集也需要AD域环境。本文以Windows Server 2012 R2 Datacenter操作系统为例，介绍如何搭建AD域。

前提条件

已创建两台ECS实例，分别作为域控制器（DC）和客户端（Client）。创建的ECS实例需满足以下条件：
  • 分区为NTFS分区。
  • 实例支持DNS服务。
  • 实例支持TCP/IP协议，并且需要有固定私网IP地址。
    说明 建议使用固定IP地址，防止重启实例后IP地址发生变化。本文采用的是专有网络VPC，手动修改IP地址会导致IP失效。

背景信息

活动目录AD（Active Directory）是微软服务的核心组件，相关名词概念如下：
  • DC：Domain Controllers，域控制器
  • DN：Distinguished Name，识别名
  • OU：Organizational Unit，组织单位
  • CN：Canonical Name，正式名称
  • SID：Security Identifier，安全标识符
本文以Windows Server 2012为例介绍如何搭建AD域，搭建过程中采用的环境示例如下：
  • 组网信息：网络类型采用专有网络VPC，交换机的私网网段为192.168.100.0/24。
  • 域名信息：示例域名为example.com，作为DC的ECS实例IP地址为192.168.100.105，作为客户端的ECS实例IP地址为192.168.100.106。

步骤一：部署AD域控制器

说明 阿里云不推荐您使用已有的域控制器创建自定义镜像来部署新的域控。如果必须使用，请注意新建实例的主机名（hostname）和创建自定义镜像之前实例的主机名必须保持一致 ，否则可能会报错服务器上的安全数据库没有此工作站信任关系；您也可以在创建实例后修改成相同的主机名，解决此问题。
  1. 远程连接作为DC的ECS实例。
  2. 打开服务器管理器，添加角色和功能。
    添加角色和功能
    说明 除额外说明的配置外，部分配置步骤已省略，配置时保持默认配置，单击 下一步即可。
    1. 选择安装类型。
      选择安装类型
    2. 选择要安装角色和功能的服务器。
      选择要安装角色和功能的服务器
    3. 选择要安装在服务器上的角色。

      此处以将AD域服务和DNS服务部署在同一台服务器上为例，选择安装AD域服务和DNS服务。

      选择要安装在服务器上的角色
    4. 安装完成后，关闭对话框。
  3. 在服务器管理器页面的右上角单击三角图标，将此服务器提升为域服务器。
    说明 除额外说明的配置外，部分配置步骤已省略，配置时保持默认配置，单击 下一步即可。
    将此服务器提升为域服务器
    1. 添加新林，设置域名。

      AD域的域名示例为example.com。

      AD域1
    2. 配置域服务器参数。
      配置域服务器参数
    3. 配置DNS选项。
      AD域2
    4. 配置NetBIOS域名。
      AD域3
    5. 检查并确认您的选择，单击下一步。
      AD域4
    6. 单击安装，开始安装AD域服务器。
      AD域5
      安装完成后将自动重启服务器，重新连接该服务器后可以查看安装结果。 AD域6

步骤二：修改客户端的SID

如果您使用自定义镜像创建的ECS实例部署域控制器，必须按照本文中的步骤修改SID。如果您使用自定义镜像创建的ECS实例部署域控制器，已经默认修改了SID，无需手动修改，可跳过该步骤。

  1. 远程连接作为客户端的ECS实例。
  2. 下载修改客户端SID的PowerShell脚本。
  3. 打开CMD，输入powershell切换至Windows PowerShell界面。
    说明 如果您的实例操作系统是64位，则不能使用32位的PowerShell（即 Windows PowerShell (x86)），否则会报错。
  4. 切换至脚本存储的路径，执行如下命令，查看脚本工具说明。 
    .\AutoSysprep.ps1 -help
  5. 执行如下命令，重新初始化服务器的SID。 
    .\AutoSysprep.ps1 -ReserveHostname -ReserveNetwork -SkipRearm -PostAction "reboot"
    初始化完成后，会重启实例，您需要注意以下事项。
    • 实例IP地址会从DHCP变成固定IP地址。您可以重新改成DHCP，请参见修改私有IP地址。重新改成DHCP
    • 初始化SID后，云服务器防火墙的配置被修改成微软的默认配置，导致云服务器无法Ping通。您需要关闭防火墙来宾或公用网络，或者放行需要开放的端口。下图表示防火墙来宾或公用网络的状态是已连接。来宾或公用网络
  6. 打开控制面板修改防火墙设置，关闭来宾或公用网络防火墙。
    关闭来宾或公用网络防火墙
    关闭后，可以Ping通服务器。 PING通服务器示意图

步骤三：将客户端加入AD域

  1. 远程连接作为客户端的ECS实例。
  2. 修改DNS服务器地址。

    在步骤一中已经将AD域服务和DNS服务部署在同一台ECS实例上（IP地址为192.168.100.105），此处指定DNS服务器的地址为192.168.100.105。

    修改DNS服务器地址
  3. 检查是否能Ping通DNS服务器IP地址。
    PING通DNS服务器的地址
  4. 修改主机名并加入AD域。
    1. 打开控制面板修改系统属性，将该客户端加入到AD域中。
      AD域7
    2. 重新启动服务器，使修改生效。
    说明 对于作为客户端的ECS实例，阿里云不推荐您使用已加入域的客户端实例来创建自定义镜像 ，否则新镜像创建的实例会报错服务器上的安全数据库没有此工作站信任关系。如果确实需要，建议您在创建新的自定义镜像前先退出域。