Active Directory 部署四大經典拓撲完整實作指南

環境基準設定

前置作業：建議先安裝 DNS 服務、建立正向/反向區域、啟用動態更新、設定靜態 IP 與首碼，再執行 DCPROMO。

情況一：單網域、單一網域控制器

目標

SERVER1 為 DC (test.com)，SERVER2 為成員伺服器

實作步驟

1. SERVER1 安裝 DNS：建立 test.com 正向區域、192.168.0.x 反向區域，啟用動態更新
2. 網路設定：DNS 指向 192.168.0.1，首碼設為 test.com，重新開機
3. 驗證 DNS：確認 test.com 區域出現 SERVER1 A 記錄與 PTR 記錄
4. DCPROMO：新網域 → 新樹系 → 新樹系根網域 test.com
5. 驗證 AD 整合：DNS test.com 區域出現 _msdcs、_sites、_tcp、_udp 四資料夾 (SRV 記錄)
6. SERVER2 加入網域：DNS 指向 SERVER1，首碼 test.com，重開機 → 加入 test.com 網域

情況二：單網域、雙網域控制器 (高可用)

目標

SERVER1、SERVER2 皆為 test.com DC

關鍵差異：SERVER2 前置準備

1. DNS 指向 SERVER1 (192.168.0.1)
2. 首碼設為 test.com，重開機
3. 驗證 SERVER1 DNS 中出現 SERVER2 A 記錄 (必要時 ipconfig /registerdns)

DCPROMO 選項

「現有網域的額外網域控制器」→ 輸入 Enterprise Admin 認證 (test.com\Administrator) → 選擇 test.com

驗證清單

• AD 使用者與電腦 → Domain Controllers OU 見兩台電腦帳號
• DNS SRV 記錄含 SERVER2 註冊
• 雙向建立測試物件，確認複寫正常 (repadmin /showrepl)
• 事件檢視器無 Directory Service 錯誤

情況三：單一樹系、單一樹、雙網域 (父子網域)

目標

test.com (SERVER1) + sub.test.com (SERVER2)

DNS 部署關鍵：委派子網域

1. SERVER1 DNS 建立 sub.test.com 區域，啟用動態更新
2. SERVER2 DNS 指向 SERVER1，首碼 sub.test.com，重開機
3. 驗證 SERVER1 DNS 的 sub.test.com 區域出現 SERVER2 A 記錄

DCPROMO 選項

「新網域的網域控制器」→ 「現有樹系中的新網域」→ 「子網域」→ 父網域 test.com、子網域名稱 sub → Enterprise Admin 認證

驗證重點

• SERVER2 AD 網域與信任顯示 sub.test.com 在 test.com 之下
• AD 站台與服務含完整站台資訊 (Configuration 分割區複寫正常)
• DNS sub.test.com 區域有 SRV 記錄

情況四：單一樹系、雙樹、雙網域 (樹系根網域間信任)

目標

test.com (SERVER1) + lab.com (SERVER2)

DNS 部署：獨立樹系根區域

1. SERVER1 DNS 建立 lab.com 區域，啟用動態更新
2. SERVER2 DNS 指向 SERVER1，首碼 lab.com，重開機
3. 驗證 SERVER1 DNS 的 lab.com 區域出現 SERVER2 A 記錄

DCPROMO 選項

「新網域的網域控制器」→ 「新樹系中的新網域」→ 「現有樹系」→ 樹系名稱 lab.com → Enterprise Admin 認證 (test.com\Administrator)

驗證重點

• SERVER2 AD 網域與信任顯示 lab.com 與 test.com 同層 (樹系根信任)
• AD 站台與服務含完整站台資訊
• DNS lab.com 區域有 SRV 記錄

通用驗證與維運建議

1. 事件檢視器：每階段完成必檢 Directory Service、DNS Server、File Replication Service 日誌
2. 複寫監控：repadmin /showrepl * /csv 匯出分析、dcdiag /v /test:replications
3. DNS 健康：dcdiag /test:dns /v /s:<DC名稱> /DnsDomain:<網域>
4. 備份策略：建立系統狀態備份排程，驗證還原流程
5. 命名規範：避免單一標籤網域、網域首碼與電腦名稱重複

依據企業規模、地理分佈、管理自主性需求選擇適當拓撲，並建立標準化部署檢查清單，確保 AD 基礎設施穩健可擴展。