Windows Server 2003 Active Directory 建立與首個網域控制站部署完整教學

Active Directory (AD) 是 Windows Server 網域環境的核心，提供集中身分驗證、授權、群組原則部署與資源發布。本文詳細記錄將獨立 Windows Server 2003 昇級為新樹系首個網域控制站 (DC) 的完整步驟，包含 DNS 整合、資料庫/日誌/SYSVOL 放置、目錄服務還原模式 (DSRM) 密碼設定與安裝後驗證。

前置需求

• Windows Server 2003 安裝光碟 (CD/DVD)。
• 伺服器已設定靜態 IP、慣用 DNS 指向自身 (127.0.0.1)。
• 磁碟分區採用 NTFS，預留足夠空間給 AD 資料庫與日誌。
• 管理員帳號密碼符合複雜度需求。

部署步驟

1. 插入 Windows Server 2003 光碟。
2. 執行 dcpromo（開始 → 執行 → dcpromo → 確定）。
3. Active Directory 安裝精靈 啟動 → 下一步。
4. 選擇 「新網域的網域控制站」 → 下一步。
5. 選擇 「新樹系中的網域」 → 下一步。
6. 輸入新網域完整 DNS 名稱（實驗環境可用 corp.local、lab.internal 等非公用尾碼） → 下一步。
7. 確認 NetBIOS 網域名稱（通常為 DNS 首段） → 下一步。
8. 設定資料庫與日誌資料夾位置（預設 %SystemRoot%\NTDS，建議放置於非系統磁碟） → 下一步。
9. 設定 SYSVOL 資料夾位置（預設 %SystemRoot%\SYSVOL，必須在 NTFS 磁碟） → 下一步。
10. 選擇 「在此電腦上安裝並設定 DNS 伺服器」 → 下一步（整合 DNS 為 AD 必備）。
11. 權限相容性：選 「僅與 Windows 2000 或 Windows Server 2003 相容」 → 下一步。
12. 目錄服務還原模式 (DSRM) 管理員密碼：輸入強式密碼（生產環境嚴禁留空），確認 → 下一步。
13. 檢視摘要確認無誤 → 下一步，開始安裝（需數分鐘）。
14. 安裝完成提示重新開機 → 重新開機。

安裝後驗證 DNS 服務位置 (SRV) 記錄

1. 開始 → 管理工具 → DNS 開啟 DNS 管理主控台。
2. 展開伺服器名稱 → 正向查詢區域 → 您的網域 (如 corp.local)。
3. 確認下列四個資料夾存在：_msdcs、_sites、_tcp、_udp。
4. 展開各資料夾，驗證包含 _ldap、_kerberos、_gc 等關鍵 SRV 記錄。

若缺少上述記錄，請檢查 DNS 服務是否啟動、區域類型為「Active Directory 整合」、動態更新設為「安全」或「非安全和安全」。

建立首個管理使用者並加入電腦至網域

1. 開始 → 管理工具 → Active Directory 使用者與電腦。
2. 右鍵 Users 容器 → 新增 → 使用者，輸入姓名、登入名稱（如 admin）。
3. 設定密碼，勾選「使用者下次登入時必須變更密碼」（建議），或「密碼永不過期」（服務帳號適用）。
4. 完成建立後，右鍵該使用者 → 內容 → 成員 → 加入 Domain Admins 群組。
5. 於用戶端電腦：系統內容 → 電腦名稱 → 變更 → 選擇「網域」輸入網域名稱 → 以新建管理帳號驗證加入 → 重新開機。

常見問題排除

結語

完成首個 DC 部署後，建議立即：建立額外 DC 提供容錯、設定網站與子網拓撲、規劃 OU 結構與群組原則、啟用 AD 回收筒 (需功能等級提升)、排程系統狀態備份。穩固的 AD 基礎設施是企業 IT 治理的基石。