題外話——謹(jǐn)以此文紀(jì)念“痛苦”的交規(guī)考試以98分通過(guò)。小弟準(zhǔn)備考駕照，最近被交規(guī)，就把博文之事放下了。哈哈哈，今天剛一通過(guò)就馬上來(lái)碼字兒了！

通過(guò)《部署企業(yè)中第一臺(tái)Windows Server 2008 R2域控制器》（）已經(jīng)完成了企業(yè)中Windows網(wǎng)絡(luò)域森林的建立。但是，在企業(yè)中對(duì)于AD來(lái)講，為了保證安全穩(wěn)定運(yùn)行，至少需要兩臺(tái)以上的物理域控制器。

在早期的Windows中可以部署備份域控制器（BDC）；到WIN2K后，AD使用額外域控制器和操作主機(jī)角色來(lái)解決域控制器備份的問(wèn)題；到了WIN08后，為了增加在分支機(jī)構(gòu)的應(yīng)用，引入了只讀域控制器（RODC）概念，其和讀寫域控制器同時(shí)一同部署從而提高Windows AD的可用性。在此，主要討論關(guān)于部署當(dāng)前域的額外域控制器，即讀寫額外域控制器。

額外域控制器由于不是企業(yè)中的第一臺(tái)域控制器，所以在其部署之前，亦即在創(chuàng)建域森林的時(shí)候就應(yīng)該將其規(guī)劃妥當(dāng)。由此，雖然其沒(méi)有首臺(tái)DC部署那樣需要注意的事項(xiàng)多，但是對(duì)于WIN08R2來(lái)講還是有很多地方值得提及，也與早期的版本不同。

一、DC網(wǎng)絡(luò)屬性的基本配置

其配置情況主要應(yīng)該參考當(dāng)前網(wǎng)絡(luò)規(guī)劃和首臺(tái)DC的配置而定，在此就延續(xù)前一篇文章所述內(nèi)容來(lái)描述。由于首臺(tái)DC被規(guī)劃為同時(shí)充當(dāng)DNS服務(wù)器，因此該臺(tái)額外域控制器首選DNS服務(wù)器配置項(xiàng)中的值應(yīng)該指向首臺(tái)DC的IP地址（如圖1）。但是，在規(guī)劃時(shí)這臺(tái)額外域控制器同時(shí)還要作為域中的DNS服務(wù)器，并已經(jīng)安裝配置好DNS服務(wù)了，而且還從首臺(tái)DC同步的DNS區(qū)域數(shù)據(jù)，那么可以將首選的DNS服務(wù)器選項(xiàng)設(shè)置為其自身IP地址。

圖2

三、完成AD服務(wù)器的安裝

1、通過(guò)“運(yùn)行”對(duì)話框執(zhí)行“dcpromo”，打開“Active Directory域服務(wù)安裝向?qū)А保ㄈ鐖D3），根據(jù)建議勾選“使用高級(jí)模式安裝”，單擊“下一步”。

圖4

3、指定要將此額外域控制器安裝到的森林，即為哪個(gè)森林添加額外域控制器。在這里建議填寫該服務(wù)器將要安裝到的域，而不要寫森林中的其它域。WIN8R2在這一過(guò)程中還同時(shí)需要指定具有升級(jí)額外域控制器權(quán)限的用戶。如果是在工作組中直接升級(jí)為額外域控制器，則不能用當(dāng)前賬戶憑證進(jìn)行，只能使用備用憑證。此外，即使之前將該臺(tái)作為額外域控制器的服務(wù)器已經(jīng)加入了域，登錄進(jìn)行升級(jí)操作的域用戶也必須要有在域中添加刪除DC權(quán)限才能直接使用當(dāng)前用戶憑證，否則也只能使用備用憑證進(jìn)行操作（如圖5）。

表1

4、指定要將該服務(wù)器安裝到哪個(gè)域，作為其額外域控制器存在（如圖6）。選中之后單擊“下一步”。

圖7

5、單擊“下一步”，配置“其它域控制器選項(xiàng)”（如圖8）。此處，由于是安裝域中的額外域控制器，對(duì)于其是否成為“DNS服務(wù)器”，“全局編錄”，“只讀域控制器（RODC）”在此過(guò)程中均可忽略。其原因如下：

圖9

IM更新的引用信息是來(lái)自其它域的信息，即非本域信息。在以下兩種情況，IM其實(shí)是不工作的：

而且IM在GC上運(yùn)行，將會(huì)停止更新對(duì)象信息，原因是其已包含對(duì)其所擁有的對(duì)象的引用。所以，強(qiáng)烈建議IM和GC不要在同一臺(tái)DC上共存。在此，選擇“將結(jié)構(gòu)主機(jī)角色傳送到此域控制器”。

7、對(duì)于WIN08R2安裝額外域控制器時(shí)，可以從介質(zhì)安裝（IFM），而不用通過(guò)網(wǎng)絡(luò)復(fù)制所有的目錄數(shù)據(jù)。將安裝介質(zhì)存儲(chǔ)在本地驅(qū)動(dòng)器、可移動(dòng)媒體（如 DVD）或網(wǎng)絡(luò)共享文件夾上。執(zhí)行IFM操作來(lái)創(chuàng)建額外域控制器，可以大大降低安裝AD時(shí)所使用的網(wǎng)絡(luò)帶寬。但是，網(wǎng)絡(luò)連接仍然是必要的，以便將所有的新對(duì)象和對(duì)現(xiàn)有對(duì)象的最新更改復(fù)制到新的域控制器。

創(chuàng)建安裝介質(zhì)有兩種不同的方法：

注意：若用另一個(gè)DC的備份作為安裝介質(zhì)，則應(yīng)該使用最新的可用備份。較早的備份需要更多網(wǎng)絡(luò)帶寬來(lái)執(zhí)行復(fù)制。并且所使用的備份不能比域的墓碑生存時(shí)間更早，該生存時(shí)間被默認(rèn)設(shè)置為180天（早期版本的服務(wù)器上創(chuàng)建的林中，默認(rèn)值為60天）。

但是，出于操作的方便和穩(wěn)妥，在網(wǎng)絡(luò)資源和服務(wù)器資源允許的情況下，建議還是采用通過(guò)網(wǎng)絡(luò)復(fù)制來(lái)完成（如圖10）。選擇“通過(guò)網(wǎng)絡(luò)從現(xiàn)有域控制器復(fù)制數(shù)據(jù)”，單擊“下一步”。

圖11

建議指定安裝伙伴時(shí)，應(yīng)選擇入站和出站連接數(shù)較低的DC，并且不是重要負(fù)責(zé)使用文件復(fù)制服務(wù)（FRS）復(fù)制伙伴生產(chǎn)或轉(zhuǎn)發(fā)更改的設(shè)備。此外，若不使用IFM，系統(tǒng)將在安裝伙伴上創(chuàng)建或修改新的NTDS設(shè)置對(duì)象和新的計(jì)算機(jī)賬戶；安裝伙伴還會(huì)將SYSVOL內(nèi)容復(fù)制到新域控制器上。

注意：

9、指定活動(dòng)目錄數(shù)據(jù)庫(kù)文件、日志文件、SYSVOL文件夾存放的位置，并且設(shè)置目錄還原模式的管理員密碼。在“摘要”頁(yè)面確認(rèn)相關(guān)設(shè)置信息無(wú)誤，單擊“下一步”，直接進(jìn)行網(wǎng)絡(luò)復(fù)制安裝額外域控制器（如圖12）。

圖12

此處，可以勾選“完成后重新啟動(dòng)”，以便安裝完后自動(dòng)重啟更新。

四、完成后簡(jiǎn)單驗(yàn)證和其它操作

1、與第一臺(tái)DC相同，安裝完成后依然需要對(duì)其進(jìn)行基本的測(cè)試和驗(yàn)證。

2、可以把該DC作為DNS服務(wù)器，為域中DNS進(jìn)行備份。

3、為了對(duì)域內(nèi)DC進(jìn)行負(fù)載平衡和降低風(fēng)險(xiǎn)，可以將操作主機(jī)進(jìn)行遷移，盡量分布在不同的DC上。

本文出自 “胖哥技術(shù)堂” 博客