Windows XP Windows 7 Windows 2003 Windows Vista Windows 綜合教學 Linux 系統教學
Windows 10 Windows 8 Windows 2008 Windows NT Windows Server 電腦軟體教學
您现在的位置： Windows教程網 >> Windows教程 >  >> Windows 2003 系統教學 >> Windows 2003 常見問題解答

將 Windows Server 2008 域控制器加入 Windows 2000/2003 域：adprep 林/域準備完整操作手冊

編輯：Windows 2003 常見問題解答

場景：存量 AD 遷移/擴容，不重建林，引入 Server 2008 DC

企業現有 Windows 2000/2003 Active Directory 林，需部署 Server 2008 DC 以利用新特性 (RODC、細粒度密碼策略、DFS-R 等) 或替換老舊硬體。**核心前提：現有林/域功能級別至少為 Windows 2000 原生模式**。操作分兩階段：**林準備** → **域準備**，必須按序執行，且需最高權限賬號。

權限需求矩陣

操作階段必需群組成員身份操作位置
林準備Enterprise Admins + Schema Admins + 架構主機所在域的 Domain Admins架構主機 (Schema Master)
域準備Domain Admins (目標域) —— Enterprise Admins 不夠！基礎結構主機 (Infrastructure Master)
RODC 準備 (可選)Enterprise Admins架構主機

階段一：林準備 —— 更新架構與 RODC 支持

  1. 使用上述林準備賬號登錄 架構主機 (查看方法：ADSI Edit / `dsquery server -hasfsmo schema`)。
  2. 插入 Server 2008 安裝光盤/掛載 ISO (假設光盤機為 D:)。
  3. 以管理員身份打開 CMD (開始 → 運行 → `cmd` → Ctrl+Shift+Enter)。
  4. 執行 架構更新：
    D:\sources\adprep\adprep /forestprep
  5. 等待完成，提示「Forest preparation completed successfully」。
  6. 關鍵等待：讓架構變更**複寫至全林所有 DC** (跨站點按站點鏈接排程，可用 `repadmin /syncall /AdeP` 強制)。
  7. 可選：RODC 準備 (若未來部署只讀域控)：
    D:\sources\adprep\adprep /rodcprep
    同樣等待全林複寫完成。
CMD執行adprep示意

階段二：域準備 —— 更新目標域容器與 GPO 容器

  1. 確認目標域的 基礎結構主機 (查看：AD 用戶和計算機 → 右鍵域 → 操作主機 → 基礎結構)。
  2. 使用該域 Domain Admins** 賬號登錄基礎結構主機。
  3. 插入 Server 2008 光盤 (D:)。
  4. 管理員 CMD 執行：
    D:\sources\adprep\adprep /domainprep /gpprep
  5. 參數說明：
    /domainprep：更新域容器 ACL、顯示說明符、新增容器 (如 RODC 相關)。
    /gpprep：更新系統策略容器 (Sysvol) 權限，支持 Server 2008 GPO 新功能。
  6. 等待完成 → 等待域內複寫收斂 (`repadmin /syncall /AdeP`)。

階段三：提升 Server 2008 為 DC (DCPROMO / 安裝 AD DS 角色)

  1. 在目標 Server 2008 服務器：服務器管理器 → 添加角色 → Active Directory 域服務 (AD DS) → 安裝。
  2. 運行 dcpromo (或 Server Manager → AD DS → 運行精靈) → 現有林 → 現有域 → 輸入域名 (如 contoso.com)。
  3. 提供域管理員憑證 → 選擇站點 → 資料庫/日誌/SYSVOL 路徑 (建議非系統盤) → 目錄服務還原模式 (DSRM) 密碼 → 確認 → 安裝。
  4. 重啟後驗證：`dcdiag /v`、`repadmin /replsum`、`netlogon` 服務運行、DNS 區域載入正常。

關鍵注意事項與避坑指南

風險點後果預防措施
未等待架構複寫即執行域準備/提升 DC架構不一致導致提升失敗/AD 損壞強制 `repadmin /syncall /AdeP` 並驗證 `repadmin /showrepl` 所有 DC 同步成功
在非架構主機執行 forestprep命令失敗/寫入錯誤 DC執行前 `dsquery server -hasfsmo schema` 確認
使用 Enterprise Admins 執行 domainprep權限不足，提示「Access Denied」必須用目標域 Domain Admins 在基礎結構主機執行
跳過 /gpprepServer 2008 GPO 新功能 (如偏好項) 無法正常應用必須包含 /gpprep
林功能級別低於 Win2000 原生adprep 拒絕執行先提升林/域功能級別 (需所有 DC 為 Win2000+)
Server 2008 DC 時間與 PDC 偏差 >5minKerberos 失敗，複製中斷部署前配置 NTP (PDC 指向權威源，其餘指向 PDC)

驗證清單 (提升後必查)

  1. `dcdiag /v /c /e` 無錯誤 (關注 Advertising, FrsEvent, DFSREvent, LocatorCheck, MachineAccount, NCSecDesc, NetLogons, ObjectsReplicated, Replications, RidManager, Services, SystemLog, TopologyCheck)。
  2. `repadmin /replsum` 總結無失敗，`repadmin /showrepl` 新 DC 入站/出站複製正常。
  3. DNS 管理器：`_msdcs.域名` 區域載入正常，SRV 記錄 (`_ldap._tcp.dc._msdcs`, `_kerberos._tcp.dc._msdcs` 等) 自動註冊。
  4. SYSVOL 共享就緒：`net share` 顯示 `SYSVOL`、`NETLOGON`。
  5. 功能級別：按需提升域/林功能級別以啟用新特性 (如細粒度密碼策略需域級別 2008+)。

結語

「不重建林引入新版 DC」是 AD 生命週期管理的核心技能。**adprep 雙階段準備 (林→域) + 權限精準匹配 (EA+SA+DA / DA) + 複寫收斂等待 + 提升驗證** 是不可省略的鐵律。將此流程固化為變更標準作業程序 (SOP)，每次執行必雙人複核、全程錄屏、事後歸檔，讓 AD 演進在可控軌道上平穩推進。Server 2008 雖已停止支持，但此方法論對 Server 2012/2016/2019/2022 引入新版 DC 同樣適用 (adprep 整合至 dcpromo/AD DS 精靈，自動執行)，理解本質，版本無憂。

Windows 2003 常見問題解答
Windows Server 2003 啟用 IIS 6.0 ASP 腳本支援圖文教程 Windows Server 2003 啟用 IIS 6.0 ASP 腳本支援圖文教程
Windows Server 2008 忘記密碼重置：利用放大鏡漏洞替換 Sticky Keys Windows Server 2008 忘記密碼重置：利用放大鏡漏洞替換 Sticky Keys
透過 Web 介面遠端管理 Windows Server 2003 完整教學 透過 Web 介面遠端管理 Windows Server 2003 完整教學
  • Windows 2003 系統技巧
  • Windows 2003 教學
  • Windows 2003 常見問題解答

    • Windows Server 2008 R2 桌面圖示無法更改？善用「搜尋」功能秒解決

    Windows Server 2003 轉型工作站：四大預設「故障」一鍵修復指南

    Windows Server 2008 與 Windows 7 多重開機修復實戰：BCD 編輯器完整指南

    Hyper-V 快速入門：Windows Server 2008 核心設定與虛擬機建立

    Windows Server 2003 IE 瀏覽器加速優化 (精簡版)

    Windows 2000 十大進階技巧：自動結束當機程式、共享上網、磁碟配額、啟動碟製作等

    Windows Server 2003 安全優化：徹底關閉 IE 安全提示對話框

    Windows Server 2003 內建 Internet 連線防火牆完整配置指南

    Copyright © Windows教程網 All Rights Reserved