虛擬化測試環境的第一步通常是建立 Active Directory 網域。本文不僅提供建置步驟，更深度解析樹系、樹、網域、子網域、DNS、GC、RODC 等核心概念，並說明 AD 資料庫內部結構，為後續虛擬化服務部署奠定堅實基礎。
工作群組 vs 網域：核心差異
- 工作群組：鬆散的邏輯分組，電腦獨立管理帳號，資源存取需逐台設定權限，如「免費停車場」
- 網域：集中式身分驗證與授權，至少一台網域控制站 (DC)，電腦加入網域並用域帳號登入才能存取域資源，如「刷卡管制的收費停車場」
本機帳號登入時電腦行為同工作群組；域帳號登入後可單一登入存取所有授權資源（如 SQL Server Windows 驗證）。
測試網域網路規劃
- 管理網路：專供 DC 與管理流量，規劃兩台 DC 互為備援
- IP 規劃範例：DC1 192.168.10.10、DC2 192.168.10.11、閘道 192.168.10.1、DNS 指向雙 DC
- 雖 Server 2008+ 不分 PDC/BDC，但 FSMO 角色持有者仍有操作差異
核心概念深度解析
1. 樹系、樹、網域、子網域
- 第一個網域 = 樹系根網域 = 樹根網域，同時建立第一個樹與第一個樹系
- 同名稱空間的根域與子域構成樹（如 corp.example.com → hr.corp.example.com）
- 不同名稱空間的樹構成樹系（如 example.com 與 corp.net）
- 樹系名稱 = 第一個樹名稱 = 第一個網域名稱，命名極重要，事後修改風險極高
命名建議：
- 擁有兩個公網域名：一個對外 (example.com)，一個對內做樹系根 (corp.example.com)
- 僅有一個公網域名：建立子域做樹系根 (ad.example.com 或 corp.example.com)
- 測試環境可用任意合法名稱（本文實驗用
cloud.z.com）
2. DNS 伺服器、全域類別服務器 (GC)、唯讀網域控制站 (RODC)
| 角色 | 功能 | 部署建議 |
|---|
| DNS 伺服器 | 網域內名稱解析、SRV 記錄發佈、AD 整合區域儲存 | 每台 DC 皆建議勾選安裝 |
| 全域類別 (GC) | 樹系級唯讀快取：本域完整屬性 + 其他域部分屬性，加速跨域查詢 | 每站台至少一台 GC，通常所有 DC 皆啟用 |
| RODC | 唯讀 AD 資料庫複本，適用物理安全性不足的分支機構/邊緣環境 | 不儲存密碼雜湊（可選擇性快取），減輕洩露風險 |
3. AD 資料庫內部結構 (ESE/JET Blue)
資料庫引擎：Extensible Storage Engine (ESE)，又稱 JET Blue，支援 16TB、10 億物件
預設路徑：%SystemRoot%\NTDS\
| 檔案 | 功能 |
|---|
| ntds.dit | 主資料庫檔案，含所有物件與屬性 |
| edb.chk | 檢查點檔，記錄交易認可進度 |
| edb.log / edbxxxxx.log | 交易記錄檔，每檔 10MB，循環使用 |
| edbresxxxxx.jrs | 記錄保留檔，預留磁碟空間防止記錄檔寫入失敗 |
| edbtmp.log | 暫存記錄檔，當前 edb.log 滿時接管寫入 |
| SYSVOL | 群組原則、登入腳本、啟動腳本等可複寫內容 (FRS/DFSR) |
DC 部署關鍵前置檢查
- 登入帳號具本機管理員權限
- 作業系統版本支援 (Server 2012+)
- TCP/IP 靜態 IP、正確 DNS 尾碼
- NTFS 磁碟分割且有足夠空間 (AD 資料庫、記錄、SYSVOL)
- 預先修改電腦名稱並重開機（事後改 DC 名稱極麻煩）
部署流程概略 (Server 2012)
- 伺服器管理員 → 「新增角色與功能」 → 「Active Directory 網域服務」
- 安裝完成後，旗標通知 → 「將此伺服器提升為網域控制站」
- 選「新增樹系」 → 輸入根網域名稱 (如 cloud.z.com)
- 設定 DSRM 密碼、DNS 選項、GC、NetBIOS 名稱
- 指定資料庫、記錄、SYSVOL 路徑（建議分離到不同磁碟）
- 完成精靈 → 自動重開機
第二台 DC 同樣安裝 AD DS 角色，提升時選「將網域控制站新增至現有網域」並指定樹系根網域。
結語
網域是企業 IT 基礎設施的基石。理解樹系/樹/網域階層、DNS/GC/RODC 角色分工、AD 資料庫運作機制，能避免架構設計錯誤，並在故障排除時快速定位問題層級。下一篇將進入儲存虛擬化實戰。
