Что такое Active Directory Domain Services (AD DS)
Сервер, на котором установлена роль Active Directory Domain Services (AD DS) и который был повышен до контроллера домена, становится ключевым элементом инфраструктуры Windows. Контроллеры домена отвечают за аутентификацию и авторизацию пользователей и компьютеров в доменной среде.
Active Directory позволяет централизованно управлять учётными записями пользователей и компьютеров, разграничивать доступ к ресурсам и применять групповые политики. На базе доменной инфраструктуры также можно централизованно настраивать рабочие станции, параметры безопасности и развёртывание программного обеспечения.
Настройка контроллера домена (Domain Controller)
Настройка первого контроллера домена включает несколько основных этапов. Сначала необходимо подготовить Windows Server, затем установить роль AD DS и после этого повысить сервер до контроллера домена с созданием нового леса.
Минимальные требования к установке
Перед тем как устанавливать роль Active Directory Domain Services (AD DS), убедитесь, что сервер подготовлен к работе. Не стоит начинать развёртывание контроллера домена сразу после установки Windows Server без предварительной настройки системы.
Перед продолжением рекомендую пройти следующие этапы:
Как минимум, перед установкой AD DS необходимо задать серверу понятное имя, настроить статический IP-адрес, установить обновления и проверить сетевые параметры.
Установка роли доменных служб Active Directory
Когда сервер подготовлен, можно переходить к установке роли Active Directory Domain Services (AD DS).
Откройте Server Manager, перейдите на вкладку Dashboard и выберите Manage → Add Roles and Features.
В открывшемся мастере установки ролей нажмите Next (Далее), чтобы перейти к выбору типа установки.
На шаге Installation Type выберите Role-based or feature-based installation (Установка ролей или компонентов) и нажмите Next.
На шаге Server Selection выберите нужный сервер из пула доступных. Обычно это локальный сервер.
В нашем примере используется сервер DC01-2019 со статическим IP-адресом 192.168.1.51.
Нажмите Next для перехода к выбору роли.
На этапе Server Roles установите флажок напротив роли Active Directory Domain Services.
Появится окно с предложением установить дополнительные компоненты, необходимые для работы AD DS.
Нажмите Add Features (Добавить компоненты), чтобы подтвердить их установку.
После добавления компонентов нажмите Next.
На этапе Features (Компоненты) для нашего сценария дополнительно ничего выбирать не требуется. Нажмите Next.
На экране с описанием Active Directory Domain Services ознакомьтесь с информацией и нажмите Next.
На этапе Confirmation убедитесь, что всё указано верно, и нажмите Install для начала установки роли.
Начнётся установка роли Active Directory Domain Services. Дождитесь завершения процесса — обычно это занимает несколько минут.
Повышение сервера до контроллера домена
После установки роли Active Directory Domain Services в Server Manager появится уведомление с жёлтым треугольником.
Нажмите Promote this server to a domain controller (Повысить этот сервер до контроллера домена).
В открывшемся мастере Deployment Configuration выберите Add a new forest (Создать новый лес), поскольку мы разворачиваем первый контроллер нового домена.
В поле Root domain name укажите имя корневого домена.
В нашем примере используется:
exoip.localНажмите Next для продолжения.
На этапе Domain Controller Options задаются параметры нового контроллера домена. Здесь также необходимо указать пароль для режима восстановления служб каталогов — Directory Services Restore Mode (DSRM).
Введите надёжный пароль дважды и сохраните его в защищённом месте. Он может понадобиться для восстановления Active Directory.
На шаге DNS Options в верхней части окна может появиться предупреждение о невозможности создать DNS delegation.
При создании нового леса в отдельном DNS-пространстве такое предупреждение может быть ожидаемым. Убедитесь, что оно связано именно с отсутствием родительской DNS-зоны, после чего можно продолжить установку.
На этапе Additional Options мастер предложит NetBIOS-имя домена. Проверьте предложенное значение и нажмите Next.
На этапе Paths указываются пути для базы данных Active Directory, журналов и каталога SYSVOL. В обычной тестовой или небольшой инфраструктуре можно оставить значения по умолчанию.
На этапе Review Options проверьте выбранные параметры.
Здесь же можно нажать View Script и посмотреть автоматически сформированный PowerShell-код, соответствующий выбранной конфигурации.
Сгенерированный код можно сохранить в файл .ps1 и использовать как основу для автоматизации последующих развёртываний.
После просмотра параметров нажмите Next, чтобы перейти к проверке конфигурации.
На этапе Prerequisites Check мастер автоматически проверит выполнение необходимых требований.
Если проверка завершилась успешно, нажмите Install, чтобы начать повышение сервера до контроллера домена.
После завершения процесса сервер автоматически перезагрузится.
Проверка и вход в домен
После перезагрузки сервера вы попадёте на экран входа в систему. Теперь вход выполняется уже в созданную доменную среду.
После успешной авторизации сервер является первым контроллером домена нового леса.
После первого входа рекомендую открыть Server Manager → Tools и убедиться, что доступны основные средства администрирования Active Directory, включая Active Directory Users and Computers и DNS.
Для первичной диагностики контроллера домена также можно запустить:
dcdiagА для проверки DNS:
dcdiag /test:dnsПоскольку это первый контроллер нового домена, на нём также будут находиться все пять ролей FSMO. Проверить их можно командой:
netdom query fsmoFAQ
Достаточно ли просто установить роль Active Directory Domain Services?
Нет. Установка роли AD DS добавляет необходимые компоненты, но после этого сервер необходимо повысить до контроллера домена через пункт Promote this server to a domain controller.
Что выбрать при создании самого первого контроллера домена?
Если создаётся совершенно новая инфраструктура Active Directory, в мастере Deployment Configuration необходимо выбрать Add a new forest и указать имя нового корневого домена.
Зачем нужен пароль DSRM?
Пароль Directory Services Restore Mode используется при загрузке контроллера домена в специальном режиме восстановления Active Directory. Его необходимо хранить в защищённом месте.
Нужно ли настраивать статический IP-адрес контроллеру домена?
Да. Для контроллера домена и DNS-сервера следует использовать стабильную сетевую конфигурацию со статическим IP-адресом, чтобы клиенты и другие серверы могли постоянно обращаться к нему по одному адресу.
Можно ли использовать доменное имя с окончанием .local?
Для тестовой лаборатории такое имя встречается часто, поэтому в статье используется exoip.local. Для новой рабочей инфраструктуры имя Active Directory лучше спроектировать заранее с учётом принадлежащего организации DNS-домена и общей схемы именования.
Как проверить контроллер домена после установки?
Для базовой диагностики можно использовать команды dcdiag и dcdiag /test:dns. Также стоит проверить работу DNS и доступность административных оснасток Active Directory.
Нужен ли второй контроллер домена?
Active Directory технически может работать с одним контроллером домена, но для рабочей инфраструктуры рекомендуется иметь как минимум два контроллера. Это позволяет повысить отказоустойчивость доменных служб и DNS.
Заключение
В этой статье мы разобрали полный процесс настройки первого контроллера домена на Windows Server. Сначала подготовили сервер, затем установили роль Active Directory Domain Services и после этого создали новый лес и повысили сервер до контроллера домена.
После установки важно не ограничиваться успешным завершением мастера. Проверьте состояние AD DS и DNS, сохраните пароль DSRM и убедитесь, что доменные службы работают без ошибок.
Следующим логичным шагом для рабочей инфраструктуры станет установка второго контроллера домена, который обеспечит дополнительную отказоустойчивость Active Directory и DNS.
Вам понравилась эта статья? Тогда вам, скорее всего, будет интересна другая полезная статья Как добавить второй контроллер домена в существующий домен.