公司 AD 域搭建实记：从工作组到可管的身份底座

公司里三十来台 Windows，原先全是工作组：装软件靠 U 盘，改密码靠吼，离职账号靠「好像那台还登得上」。老板要的是「以后电脑统一管、共享盘按部门看」，我要的是 别在第一周把业务电脑加域加到进不了桌面。这篇按真实落地顺序写：目标、骨架、迁移、回滚，而不是从「如何安装 Windows Server」截图教程开始。

目标收敛成三句话

1. 身份：域账号登录，离职禁用一条生效
2. 策略：屏幕锁定、Windows Update 源、映射盘、软件分发有落点
3. 解析：内网主机名稳定，别让每台机自己记 IP

不在第一期做：复杂联邦、整站单点登录所有 SaaS、完美零信任。先把 AD + DNS + 基础 GPO 立住。

架构：两台比一台踏实

单 DC 能跑，但补丁日重启或磁盘满时，全员登录一起排队。预算紧也至少规划好 DC02 的位置和复制，而不是「以后再说」。

硬件/虚拟机：4C/8G 起（用户少可再压），系统盘与 AD 数据库盘分开更好；快照策略要清楚——域控不是随便回滚快照的普通机，回滚可能引发 USN 回滚问题，变更前看微软建议。

安装日：DNS 比「装角色」更致命

提升为域控时，内网 DNS 必须指向自己（或已存在的计划中的 DNS），对外递归再指上游。最常见翻车：

• 客户端 DNS 仍是路由器 192.168.1.1，加域时找不着 SRV
• 域控自己 DNS 指公网 8.8.8.8，复制与定位抽风
• 与旧内网同名冲突（有人建过同名工作组「幻想域」）

域名前缀我选了尚未对外滥用的内网名（例如 corp.example.local 或公司注册的子域），并在文档写清：邮箱后缀 ≠ 域名后缀可以不同，别和老板口头一个「咱们就叫 xxx.com」混成事故。

# 提升后自检（在 DC 上）
dcdiag /v
repadmin /showrepl
Get-ADDomain
Get-ADDomainController -Filter *

OU 与组：先树后策略

不要一上来按「每台电脑一个 OU」精细到疯。我用的骨架：

corp
├── Users
│   ├── Dept-HR
│   ├── Dept-Fin
│   └── Dept-Ops
├── Computers
│   ├── Workstations
│   └── Servers
├── Groups
│   ├── G-HR-Share-RW
│   └── G-VPN-Users
└── ServiceAccounts

权限一律 AGDLP 思路：账户进全局组，全局组进域本地组，域本地组挂 NTFS/共享权限。避免「直接把用户 ACE 打满磁盘」。

组策略：第一期只上「不惹怒全员」的

第一周不上「禁用 U 盘且无例外」——除非老板签了业务影响确认。策略是政治，不只是技术。

迁移窗口：分批加域

1. IT 自己的两台电脑先加域，验证登录、策略、打印机
2. 自愿部门试点（10%）
3. 业务低峰批次加域；远程用户先保证 VPN 与 DNS 后缀
4. 本地管理员密码进 LAPS 或至少受控台账（第一期没 LAPS 也要有清单）

加域命令本身不神秘：

Add-Computer -DomainName "corp.example.local" -Restart

翻车点在旧配置文件、漫游与「用户以为桌面文件在域配置里」——加域前备份桌面与浏览器书签，话术要比命令更早发出去。

文件服务器与共享

单独成员服务器扛共享；共享权限 Authenticated Users 或部门组，细粒度走 NTFS。DFS 命名空间可以第二期再上，先让 \\files\dept 稳定。

备份：系统状态（DC）+ 共享数据分道。只备份数据盘、不备份 DC 系统状态，某天 ntds.dit 损坏时你会重新认识「身份底座」四个字。

上线后 30 天观察清单

• 复制是否延迟、DC 磁盘与事件日志
• 加域失败是否集中在 DNS 后缀与旧杀软
• 离职流程是否真的变成「禁用账户 + 移出组」
• 有没有业务软件绑死本地用户 SID（老财务软件常见）

收尾

AD 不是装完角色就胜利，是 身份、解析、策略、权限 四条线同时收束。网络工程师做这活，价值往往在：DNS 与站点（Sites）别踩坑、加域批次与回滚话术、别把域控当文件柜。

后来人事说「离职当天盘就进不去了」，这才是第一期验收通过的标志——不是 dcdiag 全绿那么浪漫，但比全绿管用。