什麼是網域控制器？
網域控制器 是 Active Directory (AD) 網域環境中的核心伺服器角色。它儲存目錄資料庫、處理使用者登入驗證、授權存取資源、執行目錄複寫等關鍵任務。簡單說，它是企業身分識別與存取管理的「中央大腦」。
建立第一個網域控制器的連鎖效應
當您在組織中佈署第一台執行 Windows Server 2003 (或更新版本) 的網域控制器並執行 Active Directory 安裝精靈 時，系統會自動完成下列動作：
- 建立第一個 網域、第一個 樹系、第一個 站台。
- 安裝 Active Directory 目錄服務與 SYSVOL 共享資料夾。
- 指派操作主機角色（FSMO），如結構描述主機、網域命名主機、PDC 模擬器、RID 主機、基礎結構主機。
注意： Windows Server 2003 Web Edition 無法安裝 Active Directory，僅能加入現有網域作為成員伺服器。
規劃網域控制器數量與配置
高可用性原則
- 小型組織（單一 LAN）： 至少部署 兩台 網域控制器，提供容錯與負載分散。
- 跨地點大型組織： 每個實體站台至少部署一台網域控制器，縮短用戶端登入延遲，減少跨站台複寫流量。
全域類別目錄與效能優化
將站台內的網域控制器設為 全域類別目錄伺服器，可讓用戶端在本站台完成整個樹系的物件查詢，大幅提升登入與搜尋速度。但需注意：
- 多台 GC 會增加複寫流量，請依實際負載平衡。
- 執行基礎結構主機角色的網域控制器 不應 同時設為 GC（單一網域環境除外）。
複寫排程
透過「站台連結」設定複寫可用時間，例如僅在離峰時段進行跨站台複寫，避免佔用業務頻寬。
實體安全與 Syskey 強化
網域控制器存有加密後的密碼雜湊，實體存取風險極高。建議採取：
- 鎖置於管制機房，限制人員進出。
- 啟用 Syskey (系統金鑰工具)，以 128-bit 金鑰加密 SAM 資料庫，防止離線破解。
備份與還原策略
系統狀態資料包含項目
使用 Windows Server 備份工具備份「系統狀態」時，會自動包含：
- 開機檔案、登錄表、COM+ 類別註冊資料庫
- SYSVOL 目錄（群組原則、腳本）
- Active Directory 資料庫 (NTDS.dit) 與記錄檔
- 憑證服務資料庫、DNS 區域資料（若已安裝）
- 叢集服務資料（若已安裝）
最佳實務： 每日備份系統狀態至異地儲存體，並定期演練「非權威還原」與「權威還原」流程。
從舊版升級路徑
| 來源環境 | 升級順序 | 關鍵步驟 |
|---|
| Windows NT 4.0 網域 | PDC → BDC | 必須先升級主網域控制器 (PDC)，再升級備份網域控制器 (BDC)。 |
| Windows 2000 樹系 | 樹系準備 → 網域準備 → DC 升級 | 執行 adprep /forestprep 與 adprep /domainprep 後，再升級各 DC。 |
快速檢核清單
- ☐ 每站台至少 1 台 DC，關鍵站台 2 台以上
- ☐ 關鍵 DC 啟用 GC，但避開基礎結構主機
- ☐ 實體安全與 Syskey 已啟用
- ☐ 系統狀態每日異地備份，每季演練還原
- ☐ FSMO 角色分散於不同 DC，避免單點故障
