Active Directory 管理五大常見錯誤操作

透過前幾篇文章，相信讀者已對 Active Directory 有基本認識，許多人迫不及待想在公司部署。筆者結合多年管理經驗與論壇常見提問，整理出 AD 管理的五大常見錯誤，拋磚引玉，供參考。

一、安裝 AD 卻不安裝 DNS

新手常忽略安裝精靈的警告，嘗試用 WINS 替代 DNS。雖技術上可行，但登入極慢且無法正常使用網域資源。DNS 在網域環境中不僅解析名稱，更透過 SRV 記錄定位服務（如 LDAP、Kerberos），WINS 無法取代。建議 AD 與 DNS 同機安裝，若非迫不得已，勿分離。

二、在網域控制站隨意安裝軟體

DC 是網域核心，穩定性優先。筆者曾見 DC 安裝遊戲、播放器等三十餘款軟體，導致系統不穩。軟體安裝/移除會留下登錄殘留，相容性風險隨數量增加。伺化大師等工具風險自負，伺服器不比個人電腦可隨時重灌。穩定大於一切！筆者 DC 僅安裝 AD、DNS 與 SUS，運行年半零故障。

三、不正確安裝與移除網域控制站

隨意提升/降級 DC、格式化重裝而不降級，導致 AD 殘留失效物件、複寫錯誤。雖可用 Ntdsutil 清理元資料，但曾遇清理後仍無法新增 DC（「拒絕存取」），最終重建網域。預防勝於補救！

四、FSMO 角色任意轉移與強制取得

除 PDC Emulator 外，其他角色（Schema Master、Domain Naming Master、RID Master、Infrastructure Master）離線短期內不影響運作。建議等待原 DC 恢復上線，勿輕易轉移或強制取得。強制取得後原 DC 若回網域，將導致角色唯一性衝突，後果嚴重。除非確認原 DC 永不回歸，否則禁用強制取得。

五、濫用 Ghost 備份還原 DC

Ghost 適合單機/工作群組，不適網域環境。電腦帳號密碼定期自動變更，還原舊映像會導致密碼不符，無法聯繫 DC。若硬體相同用 Ghost 盤對盤複製，會造成 SID 重複。DC 還原更具災難性：Tombstone Lifetime 預設 60 天，離線超過 60 天的 DC 還原後，可能將過時資料（已刪除帳號、舊 GPO）複寫回網域，造成毀滅性破壞。DC 勿用 Ghost，災難復原方案優於映像還原。

歡迎指正：hzswg@sohu.com