前言：安裝前規劃決定成敗
AD 安裝精靈 (DCPROMO) 操作簡單，但安裝前規劃極其複雜：涉及 DNS、網域結構、命名策略、信任關係、站台拓撲。規劃失誤將導致無法發揮 AD 優勢，甚至安裝失敗。
一、安裝前四大準備工作
1. 基礎設施就緒
- 至少一台 Win2000 Server/Advanced Server
- ≥ 1 個 NTFS 分區（存放 SYSVOL、資料庫、記錄檔）
- TCP/IP 已配置，DNS 服務支援 SRV 記錄與動態更新（關鍵）
2. 網域結構規劃
根網域選擇四大策略：
- 使用已註冊 DNS 網域名（公私網同名）
- 使用已註冊 DNS 網域的子網域
- 使用完全不同的內部網域名（內外命名完全分離）
- 公共部份用公網域名，私有部份用內部網域名（名稱空間隔離）
3. 命名策略規劃
- AD 網域名 = 完整 DNS 名稱
- 相容性：每網域保留 Win2000 前版本名稱 (NetBIOS 名)
- 使用者帳號：使用者登入名 (UPN) =
使用者@網域.com 格式，自動加 @，不可手動輸入多個 @
- 深層子網域 UPN 過長問題：Win2000 允許在根網域後綴建立替代 UPN 後綴，簡化登入
4. 信任關係規劃
- 網域樹內：父子網域自動建立雙向可傳遞信任
- 樹系間：樹系根網域與各樹根網域自動建立 Kerberos 信任
- 升級自 NT 4.0：保留既有單向信任
- 新建與 NT 4.0 信任：必須手動建立外部信任（非傳遞）
二、執行安裝：DCPROMO 精靈
- 新安裝 Win2000 Server 時不勾選 AD，安裝為 Member Server，留時間規劃
- 事後執行
DCPROMO（圖形化精靈）：
可建立新樹系、新網域樹、新網域、或既有網域的額外 DC
- DNS、DHCP、憑證服務等可稍後整合安裝，便於原則管理
三、安裝後管理介面與核心功能
安裝完成會產生三大 MMC 主控台：
- AD 使用者與電腦：網域物件管理（帳號、群組、電腦、OU）
- AD 網域與信任：多網域信任關係管理
- AD 站台與服務：站台拓撲、複寫排程、橋頭伺服器設定
四、進階管理功能
- 群組原則 (GPO)：在站台/網域/OU 右鍵→「內容」→「群組原則」→ 精細管理使用者/電腦設定
- 管理委派：右鍵站台/網域/OU→「委派控制權精靈」→ 顆粒化授權（如：技支組僅能重設密碼）
- 備份與還原：Win2000 備份工具含「系統狀態」選項（含 AD 資料庫）。災難時 F8 進入「目錄服務還原模式」恢復
總結
AD 部署成功三要素：DNS 就緒 → 命名/信任規劃完善 → DCPROMO 執行 → 站台/OU/GPO/委派/備份全鏈建立。缺一不可。
