Windows 2000 Active Directory 安裝與配置完整實戰指南：從規劃到部署

前言：安裝前規劃決定成敗

Active Directory 安裝本身透過 Dcpromo 精靈極為簡單，但安裝前的規劃與準備工作才是成功關鍵。AD 並非孤立組件，它與 DNS、網路拓撲、安全策略、命名標準、組織架構深度綁定。輕率安裝將導致無法發揮優勢，甚至無法正常運作。本文遵循「先規劃、後安裝、再配置」原則，提供完整實戰指南。

一、 安裝前四大準備階段

1. 基礎設施就緒

• 至少一台 Windows 2000 Server / Advanced Server。
• 至少一個 NTFS 磁碟區 (存放 SYSVOL、NTDS.DIT、日誌)。
• TCP/IP 已配置靜態 IP；DNS 協議已安裝並支援 SRV 記錄與動態更新 (RFC 2136) — 這是最常被忽略的硬性門檻。

2. 網域結構與根網域命名規劃

AD 可包含一或多個網域；結構規劃不佳將嚴重限制擴展性。根網域名稱選擇四大策略：

3. 網域與帳戶命名策略

• AD 網域名 = 完整 DNS 名稱；為相容舊版用戶端，每網域保留 NetBIOS 名稱 (≤15 字元)。
• 使用者帳戶三要素：User Logon Name (UPN) (如 user@domain.com)、Pre-Windows 2000 Logon Name (SAM 名稱，前 20 字元)、UPN Suffix (預設為森林根網域 DNS 名)。
• 深層子網域導致 UPN 過長 (如 user@grandchild.child.root.com) → 解決方案：新增替代 UPN 尾碼 (如 root.com)，讓使用者以 user@root.com 登入。
• 命名策略直接影響網路結構、效能、擴展性；建議建立企業命名標準文件。

4. 信任關係規劃

• 樹系/樹系內：Kerberos v5 雙向可傳遞信任 (自動建立)。
• 跨森林/NT 4.0：單向不可傳遞外部信任 (手動建立)。
• 升級情境：保留現有 NT 4.0 信任；新增 Win2K 網域需手動建立外部信任。

二、 Active Directory 安裝實戰步驟

1. 角色定位：先安裝 Member Server

所有新安裝預設為 Member Server。勿在安裝精靈中勾選「Active Directory」 (舊版精靈選項)，以免鎖定網域名稱無法變更。保留規劃時間窗口。

2. 執行 Dcpromo 精靈

1. 命令列執行 dcpromo 或「開始→執行→dcpromo」。
2. 精靈偵測目前角色 (Member Server) → 選擇操作類型：
   • 新增網域樹系 — 建立第一個森林、第一個樹系、第一個網域 (根網域)。
   • 新增網域樹 — 在現有森林中建立新樹系 (不連續命名空間)。
   • 新增子網域 — 在現有樹系下建立子網域 (連續命名空間)。
   • 額外網域控制器 — 現有網域新增 DC (擴充容量/容錯)。
3. 依精靈輸入：網域名稱、NetBIOS 名稱、資料庫/日誌/SYSVOL 路徑 (建議分離磁碟)、Directory Services Restore Mode (DSRM) 密碼、DNS 設定 (若未偵測到合格 DNS，精靈可自動安裝配置 DNS)。
4. 完成 → 重新啟動生效。

3. 安裝後驗證

• 檢查 Dcpromo.log 確認無錯誤。
• 確認 DNS 區域已建立 (含 _msdcs, _sites, _tcp, _udp SRV 記錄)。
• 確認 SYSVOL 共用 (\\\SYSVOL) 可存取、GPO 範本存在。
• 執行 dcdiag /v、netdiag /v 完整健康檢查。

三、 安裝後核心管理配置

1. 三大 MMC 管理主控台

• AD Users & Computers (dsa.msc) — 單網域物件管理 (使用者、群組、電腦、OU、GPO 連結)。
• AD Domains & Trusts (domain.msc) — 多網域信任管理、功能等級提升、UPN 尾碼管理。
• AD Sites & Services (sitesrv.msc) — 站台/子網/站台連結/橋接/橋頭伺服器配置、複寫拓撲管理。

2. SDOU (站台/網域/OU) 群組原則管理

• 對任一 SDOU 右鍵 → Properties → Group Policy → 新增/編輯/刪除/連結順序/封鎖繼承/強制 (No Override)。
• 站台內 DC 複寫自動 (預設 15 秒通知)；站台間需手動配置連結、排程、間隔、成本。

3. 委派控制精靈 — 顆粒化授權

• SDOU 右鍵 → Delegate Control → 選擇受委派用戶/群組 → 選擇預設/自訂任務 (如：重設密碼、讀取所有使用者資訊、建立/刪除使用者帳號、管理群組成員資格)。
• 範例：Service Desk 僅獲「重設密碼」權限，無法建立/刪除帳號 — 實現最小權限原則。

4. 備份與災難復原

• Windows Backup → 選擇「System State」包含 AD 資料庫、SYSVOL、登錄、啟動檔案、COM+ 類別資料庫。
• 災難發生：重啟 → F8 → 選擇「Directory Services Restore Mode」 (DSRM) → 使用 DSRM 密碼登入 → 還原系統狀態 (非權威還原) 或權威還原 (配合 ntdsutil authoritative restore)。

四、 常見安裝失敗原因與排查

結語

Active Directory 安裝雖有精靈護航，但規劃決定架構上限，配置決定運維下限。遵循「基礎設施就緒 → 命名/信任規劃 → Dcpromo 精靈部署 → 三大 MMC 配置 → 委派/備份/監控落地」完整流程，並建立標準化操作手冊 (Runbook)，才能構建穩健、安全、可擴展的企業級身分基礎設施。記住：成功的 AD 部署，始於第一張白紙上的規劃筆觸。