#yyds干货盘点#Windows Server之额外域控

Posted 2021-12-13 qingfenghaha

  大多数情况，一家公司的AD域信息是很重要的，一旦AD域服务器宕机，整个就属于瘫痪状态，所以需要一个东西来做冗余来保护我们的AD域信息是完整不可丢失的。这就是额外域控制器，也叫备域。一般情况下，根据公司的规模，AD域备域不止一个，一方面是冗余一方面是长距离的数据通信问题。比如北京分公司要来访问深圳的总公司的主域由此来登陆AD域的话，基本是不会有体验可言的。风险很大，但不是不行。所以可以在北京分公司里面搭建一个备域，让北京的用户使用的时候用北京的域控，由此来保证效率。AD域之间用户的信息仅仅由主域和备域这两台服务器进行DNS的信息同步（DNS同步，AD域才能有记录信息，才有可能添加到用户正常使用）

1.和创建主域控的开头都是一样的，先配置静态IP地址，以便可以被DNS创建映射的A记录。但是要注意一点，DNS要填写主域控的DNS！而不是公网DNS！

2.运行——dcpromo打开ad域安装界面——下一步直到是否创建新林这一步，我们选择在现有域中添加域控制器——下一步。

3.会向你确认你的所要连接的主域是什么名字。注意这里是模糊匹配。假如主域名是www.shini.com，你在此处输入shini.com或者shini也都是可以通过的。不过一般还是shini.com这个格式。

​

4.备用凭据会自动填写，你只需要去输入主域的管理权限的账号验证一下。

5.选择要添加的域，下一步。

6.为这个额外域控选择一个站点，就默认站点就行了。

7.接下来就有其他域控制器选项，可以选DNS或者全局编录（GC）或者只读域控制器（RODC）

全局编录：又称GC，包含了所有对象连续请求信息的子集，比如用户登陆ID。这个是最重要的功能：用户登陆。

具体的作用是：（1）存储林中对象的副本，（2）组成员身份信息（3）提高用户主体名称身份验证信息（4）验证林内对象（大部分是域）的参考。

如果这出了问题，用户就不能登陆域去访问资源。GC里面保存的是域的副本，所以如果域很多的话。GC的数据库就会非常的大。如果每一个域控制器都是全局编录的话，对整个网络的性能和带宽都是有影响的。

还需要注意的一点就是 全局编录服务器是不能和基础结构主机在一个服务器上存在的。

基础结构主机：功能是负责对跨域对象引用进行更新。单个域情况下基础结构主机不需要工作 默认是不能和GC在一起工作的（单域控除外）。

可以仔细的阅读下面图片的警告，上面一句话：除非所有的DC都是全局编录。这是因为GC和基础结构主机的功能太相近了，如果两个在一起，而其他的主机没有GC，数据更新的时候，这台主机就会认为自己是最新的而不会和其他的域控制器包括只读域制器更新。说白了就是不兼容。

建议配置：单域环境下主DC和额外DC都启用GC就行，infrastructure master不工作也没影响。因为它不需要跨域引用对象。

多域环境下，将两个角色分开。否则基础结构主机不工作，就不会更新信息了。

只读域控制器（RODC）：RODC是可读写域控制器的一个副本域控制器，只能将可读写域控制器中Active Directory数据库创建的域对象复制到RODC，RODC管理员没有权限对RODC中的Active Directory数据库进行更改。可读写域控制器不会从RODC主动“拉”数据，只能被动的接受数据。用作：passwd管理，只读DNS，GC服务器，但不能安装操作主控角色。

​

8.点击下一步 等待安装结束后重启，就成了额外域控制器了。需要注意的是，2008的系统，额外域控制器的主机，组策略默认不允许普通用户登陆的，只能管理员账号登陆。

​