简介：面向具备一定 Windows Server 基础的企业网络运维与 IT 技术人员，这份 PDF 文档系统讲解 Windows Server 2022 环境下主域控与备域控的搭建及同步机制，帮助读者解决单点故障下域控服务中断、业务连续性难以保障的问题，适合从事 AD 域部署与高可用架构实践的中级技术人员参考。资源包共 1 个 PDF 文件，约 15.25MB，以图文操作指南形式呈现，便于按步骤对照实践。目前已有 897 人学习。内容围绕主机名修改、静态 IP 配置、AD 域服务角色安装、DNS 与全局编录设置、DSRM 密码及 NetBIOS 名称等核心环节展开，并完整覆盖备域控的添加与配置流程，最后通过多组测试验证主备域之间的数据同步效果，展示主域控中断时备域控无缝接管的过程，可帮助读者理解 AD 域服务、DNS 解析与全局编录的协同关系，掌握高可用域控体系的部署与验证思路。

1. 域控不是装完就完事：为什么主备两台才是起点

很多人第一次搭 AD 域控，都是在一台机器上装完角色、提升成域控、把电脑加进域，看到登录框里出现域名前缀就以为收工了。真到生产环境里，单台域控一旦宕机，全公司的登录、文件共享、打印机映射、组策略下发会同时卡死，这时候才想起来补第二台，往往已经手忙脚乱。Windows Server 2022 的 AD 域控安装本身不复杂，难的是把主域控和备域控搭成一套能互相同步、能扛住单点故障的结构，并且把 DNS、全局编录、DSRM 这些容易被一路“下一步”带过去的参数配对。这篇笔记围绕一套可复现的主备域控搭建流程展开，从 Hyper-V 建虚拟机、改主机名、配静态 IP，到装 AD DS 角色、提升为新林、再部署备域控并验证同步，每一步都落到具体操作和参数上。适合手里有 Windows Server 基础、要为企业内网做高可用认证服务的人，也适合在实验环境里想把 AD 这套东西真正摸一遍的从业者。

2. 主域控落地：从裸机到可登录的域

2.1 虚拟机与网络底座先定死

整套实验我一般放在 Hyper-V 里做，主备两台虚拟机都装 Windows Server 2022，网络用外部虚拟交换机，保证和宿主机、其他测试机在同一网段。之所以强调先定网络，是因为 AD 域控对 IP 极其敏感：域控提升之后再去改 IP，DNS 记录、SRV 记录、客户端缓存全要跟着动，属于典型的自找麻烦。规划上给主域控一个固定地址，比如192.168.10.230，备域控192.168.10.231，网关和网段按实际环境填，DNS 先指向自己，等域起来后再按需调整。

装完系统第一件事是改主机名。用Win+R打开运行框，输入sysdm.cpl进系统属性，点“更改”，把计算机名改成能一眼看出角色的名字，比如DC01、DC02。改完必须重启，这一步没有捷径。主机名在 AD 里会注册成计算机对象，后期排错时看名字比看 IP 直观得多，别用默认的随机名糊弄过去。

接着配静态 IP。Win+R输入ncpa.cpl打开网络连接，找到 Hyper-V 那块虚拟网卡，进 IPv4 属性，填地址、掩码、网关，DNS 先填自己的 IP。这里有个常见疑问：DNS 到底填127.0.0.1还是本机实际 IP？两种都能用，提升域控后系统通常会把 DNS 指向回环地址。我的习惯是先填实际 IP，等域控装完再确认一遍解析是否正常，避免一开始就回环导致某些安装阶段的名字解析绕圈。

提示：域控提升前把补丁更新做一遍。AD DS 和 DNS 的不少安装期报错，追到最后是系统组件版本不一致，先更新能省掉一轮排查。

2.2 装 AD DS 角色：DNS 是被“顺带”装上的

打开服务器管理器，点“管理”→“添加角色和功能”，安装类型选“基于角色或基于功能的安装”，服务器选择本机。角色列表里勾选Active Directory 域服务，弹窗提示添加所需功能时点“添加功能”，这里面会带上 AD DS 和 AD LDS 工具、Active Directory 模块，组策略管理工具也在其中，后面下发策略要靠它。

这里有个细节值得说清楚：角色列表里没有手动勾 DNS 服务器，但 AD DS 安装过程中系统会提示需要 DNS 服务，最终 DNS 角色会被一并装上。原因是域控靠 DNS 解析主机名和域名，客户端加域时要把自己的服务记录、资源记录动态注册到 DNS 里，域内身份验证和通信都依赖这些记录；同时 Windows 域要求域名唯一，DNS 承担了防止冲突的角色。所以“装域控必须配 DNS”不是可选项，是结构决定的。

角色装完建议手动重启一次再进配置阶段。重启后服务器管理器右上角会出现小旗子，点开能看到“部署后配置”，提示“将此服务器提升为域控制器”。注意，装完角色不等于成了域控，只有走完提升流程，这台机器才真正承担域控职责。

2.3 提升为新林：域名、功能级别、DSRM 一次配对

点“将此服务器提升为域控制器”，部署操作选第三项“添加新林”，因为这是公司第一台域控。根域名按规划填，比如example.com这类自有域名。域名选择上有个老生常谈的取舍：.com适合生产环境、可走公共 DNS 解析，前提是你确实拥有该域名；.local适合纯内网、不与公网冲突、不需要向公共 DNS 注册。内网自用选.local更省心，要对外或强调唯一性就选自有.com。

功能级别这里会看到最高只到 Windows Server 2016，别慌，这是域功能级别，不是操作系统版本，系统本身仍是 2022。DNS 服务器和全局编录默认勾选，全局编录存储整个域内用户、计算机、组等对象信息，域控之间会复制这份数据，保证认证和资源管理的一致性，主备都保留它。

DSRM 密码是这一页最容易被随手填的项。它是目录服务还原模式的凭据，域数据库损坏、域控起不来时，靠它进还原模式做修复、系统状态还原，甚至重置遗忘的域管理员密码。设一个独立于域管理员密码的强密码并单独留存，别和日常账号混用。

DNS 选项阶段可能报“无法创建该 DNS 服务器委派”，内网没有上级 DNS 委派时直接跳过即可。NetBIOS 名称默认由域名截取生成，保持默认或按需改，它服务于局域网内的名称解析和老系统兼容，客户端加域时输入 NetBIOS 名也能识别。后续数据库、日志、SYSVOL 路径保持默认，走完先决条件检查，点安装，系统会自动重启进入域控状态。

3. 备域控落地：把第二台机器接进同一个域

3.1 加域前的准备和“附加域控”选项

备域控不是重新建一个新林，而是作为现有域的额外域控加入。先在DC02上重复改主机名、配静态 IP 的动作，IP 用规划好的192.168.10.231，DNS 指向主域控192.168.10.230，这样它才能解析到域并找到可写域控。然后把这台机器加入现有域：sysdm.cpl→ 更改 → 隶属于“域”，填根域名，用域管理员凭据认证，成功后重启。

重启后用域管理员登录，再走一遍“添加角色和功能”，同样勾Active Directory 域服务。角色装完，点小旗子进入部署后配置，这次部署操作不选“添加新林”，而选“将域控制器添加到现有域”，域信息会自动带出或手动填根域名。关键在下一屏的“附加选项”：站点默认，勾选“全局编录”，如果这台要承担 DNS 角色就同时勾 DNS 服务器。复制来源选“从任意域控制器复制”，让系统自己挑主域控拉数据。

3.2 复制流量与验证同步是否真的生效

备域控提升过程中，AD 数据库、SYSVOL、DNS 区域会从主域控复制过来，数据量不大时几分钟内完成。提升完成后，验证不能只看“装成功了”，要落到具体检查：

repadmin /replsummary是我每次必跑的一条，它把复制伙伴、最近一次复制结果、失败计数汇总出来，比逐个看事件日志快。dcdiag输出较长，重点看 replication、advertising、netlogon 几项，任何 FAIL 都要当场处理，别留到“以后再说”。

同步验证还可以做一次实际动作：在主域控上新建一个测试用户或改一个组策略，等复制间隔过去（默认站点内 15 秒左右触发通知复制），到备域控上确认对象已出现。更直接的做法是关掉主域控，用域账号在客户端登录，看备域控能否完成认证——这一步能同时验证 DNS 指向、全局编录和认证链路，比单看命令更有说服力。

3.3 客户端加域与 DNS 指向的配合

客户端加域时，网络配置里的 DNS 必须指向域控 IP，否则找不到域。加域入口同样是sysdm.cpl→ 更改 → 域，输入根域名或 NetBIOS 名都行，凭据用有加域权限的域账号。加域成功后建议重启，登录时选域账号，确认能正常加载组策略。

这里有个容易忽略的点：客户端 DNS 最好同时配主备两个域控地址，主域控挂了还能解析到备域控。如果只配一个，主域控一停，客户端连域都找不到，备域控再健康也白搭。DNS 客户端缓存也可能造成“明明改了指向还不生效”，必要时ipconfig /flushdns清一下。

4. 避坑与排查：这几处翻车最集中

4.1 提升后改 IP，SRV 记录全乱

现象：域控装好后发现 IP 规划错了，直接改网卡地址，结果客户端加域报“找不到域”，nltest /dsgetdc也失败。 原因：AD 的 SRV 记录、主机 A 记录都绑在旧 IP 上，改 IP 后没有重新注册，DNS 里还留着旧地址。 解决：改 IP 后执行ipconfig /registerdns，再net stop netlogon && net start netlogon触发重新注册，必要时在 DNS 管理器里手动清理旧记录。根治办法是提升前把 IP 定死。

4.2 DSRM 密码随手填，恢复时进不去

现象：域数据库出问题需要进目录服务还原模式，发现当初的 DSRM 密码根本没记，或者和域管理员密码搞混。 原因：提升向导里这一页被当成普通“下一步”，密码没单独留存。 解决：DSRM 密码要独立记录在密码管理里。已经忘了的，可以在域控上用ntdsutil的set dsrm password重置，但前提是还能正常登录域控，真到起不来的时候就没这个机会了。

4.3 备域控 DNS 指向自己，复制卡住

现象：备域控提升时卡在复制阶段，或者提升后repadmin报复制失败。 原因：备域控的 DNS 指向了自己，而它还没有完整的区域数据，解析不到主域控。 解决：备域控加域和提升期间，DNS 必须指向主域控；提升完成、DNS 角色就绪后再调整为指向自身或主备互指。

4.4 只配一个 DNS 地址，主域控一停全断

现象：模拟主域控宕机，客户端登录转圈，提示找不到域。 原因：客户端只配了主域控一个 DNS，主域控不可达时没有备用解析。 解决：客户端 DNS 配主备两个域控地址；同时确认备域控是全局编录，否则跨域认证场景仍可能失败。

4.5 时间不同步导致认证异常

现象：备域控加入后，部分客户端认证时好时坏，事件日志出现 Kerberos 相关错误。 原因：域内认证依赖时间偏差在允许范围内，虚拟机快照恢复或长时间挂起容易造成时间漂移。 解决：确认主域控作为域内时间源，备域控和客户端向域控同步；虚拟机环境关掉与宿主机的时间同步冲突项，统一走域时间层级。

5. 进阶：把同步验证做成一套可重复的检查动作

主备域控搭完只是开始，真正决定这套结构靠不靠谱的，是你能不能在下一次变更后快速确认“同步还是好的”。我习惯把验证拆成三层：第一层看复制健康度，repadmin /replsummary和repadmin /showrepl确认没有失败伙伴；第二层看服务可用性，dcdiag /test:dns和nltest /dsgetdc:域名 /GC确认 DNS 与全局编录都能应答；第三层做故障演练，主动停掉主域控，用域账号在客户端登录、访问域内共享，确认备域控接管。

演练时有个细节：停主域控不要直接关机了事，先确认备域控已经拿到最新复制，否则你验证的是“旧数据能不能登录”，不是高可用。停掉后客户端可能需要重新登录或klist purge清掉旧票据，才能走到备域控认证。恢复主域控后，再跑一遍repadmin /replsummary，确认它重新加入复制环且没有冲突。

还有一个常被忽略的收尾动作：给两台域控都做系统状态备份，并且定期验证还原流程。DSRM 密码、备份介质、还原步骤三者缺一，真出事时域控就是黑匣子。我一般会在实验环境里完整走一遍“备份 → 破坏 → 还原”，确认每一步都能对上，再把这套动作固化到变更流程里。

从那以后我每次搭完主备域控，都会强制走一遍“停主域控 + 客户端登录 + 恢复后查复制”的闭环，不看到备域控真的接住流量，就不算搭完。希望这套流程帮到你，少在 DNS 指向和 DSRM 密码上翻车。

本文还有配套的精品资源，点击获取