网站搜索
预防：无法联系 Active Directory 域控制器
错误描述
当我尝试将新的 Windows 工作站或服务器加入 Active Directory (AD) 域时，有时会遇到以下错误：“域 'domainname' 的 Active Directory 域控制器 (AD DC)”无法联系上。”
发生此错误的原因有多种，从简单的不正确的 DNS 服务器 IP 地址到更复杂的问题。在这篇博客中，我将引导您完成解决此问题所需的步骤，从最简单到最复杂。
当错误出现时
当您尝试将工作站或服务器加入域时，可能会显示该错误。以下是导致错误的步骤：
右键单击开始按钮并选择系统：
阅读更多 →
修复：无法联系域的 Active Directory 域控制器。 （解决了）
本教程包含当您尝试将基于 Windows 的计算机加入现有域时解决以下问题的详细说明：“无法联系该域的 Active Directory 域控制器”。
问题详情： 尝试将 Windows 客户端计算机添加/加入 Active Directory 域时，出现以下错误：
“无法联系域 %domain-name% 的 Active Directory 域控制器 (AD DC)。
确保域名输入正确。
如果名称正确，则显示故障排除信息的详细信息。
在 DNS 查询用于查找域 %domain-name% 的 Active Directory 域控制器 (AD DC) 的服务位置 (SRV) 资源记录时，出现以下错误：
错误是：“DNS 名称不存在。” （错误代码 0x0000232B RCODE_NAME_ERROR）”
阅读更多 →
如何删除（降级）域控制器
现在您已经在 Active Directory 中运行了新的域控制器，是时候降级旧的域控制器了。有两种删除域控制器的选项。这取决于域控制器是否可以访问。在本文中，您将了解如何逐步删除域控制器。
域控制器删除选项
降级域控制器的首选方法是使用服务器管理器或 PowerShell。您选择哪一个取决于您。归根结底，它们是一样的。但有时域控制器无法再启动，并且您无法再将其恢复。然后，您必须选择手动删除它的方法。
为了更容易，您有以下选项：
选项 1：可访问域控制器 - 使用服务器管理器或 PowerShell 删除域控制器。
选项 2：无法访问域控制器 - 手动删除域控制器。
让我们看看在 Active Directory 中删除域控制器的两个选项及其清理过程。
使用服务器管理器删除域控制器
要使用服务器管理器降级域控制器，请执行以下步骤：
步骤 1. 移动 FSMO 角色（可 阅读更多 →
如何禁用域控制器上的打印后台处理程序
许多组织在 Windows Server 上安装和共享打印机。没有什么不妥。这是维护和分发打印机的好方法。唯一的问题是，出于安全原因，您不应在域控制器上安装打印机。在本文中，您将了解如何在域控制器上禁用打印后台处理程序。
什么是打印后台处理程序服务？
Print Spooler 是一种管理打印过程的软件服务。后台处理程序接受来自计算机的打印作业并确保打印机资源可用。假脱机程序还安排打印作业发送到打印队列进行打印的顺序。在个人计算机的早期，用户必须等到文件打印完毕才能执行其他操作。得益于现代打印假脱机程序，打印现在对整体用户生产力的影响最小。
域控制器上打印后台处理程序服务的风险
虽然看似无害，但任何经过身份验证的用户都可以远程连接到域控制器的打印后台处理程序服务，并请求更新新的打印作业。此外，用户还可以告诉域控制器通过无约束委派将通知发送到系统。这些操作测试连接并公开域控制器计算机帐户凭据（后台打印程序归 SYSTEM 所有）。
由于存在暴露的可能性，域控制器和 Active Directory 管理系统需要禁用打印后台处理程序服务。建议的方法是使用组策略对象 (GPO)。
阅读更多 →如何检查域控制器健康状况
域控制器是网络的重要组成部分。它们允许您组织网络并管理用户、计算机和其他资源。因此，定期检查域控制器的运行状况非常重要。但如何做到这一点，以及需要寻找哪些信号？
特别是当您运行多个域控制器时，密切关注域控制器之间的复制非常重要。
在本文中，我将解释如何检查域控制器的运行状况，并且我编写了一个脚本来自动检查所有域控制器的运行状况。
检查域控制器健康状况
域控制器是网络的骨干。域控制器的任何问题都可能导致用户无法再登录，这不是开始新一天的好方法。为了发现任何潜在问题，我们需要定期检查域控制器的运行状况。
您的 Windows 服务器附带了一些内置工具，可让您检查域控制器和 Active Directory 的运行状况。最重要的是 DCDiag 工具，它会通过默认测试在 21 个点上检查您的服务器。
要检查域控制器之间的复制，您可以使用 RepAdmin 工具。该工具允许您快速检查复制是否正在运行且没有任何错误。 （您还可以使用 DCDiag 测试复制，但 RepAdmin 为您提供更多信息）
如果您定期运行这两个工具，那么您可以快速发现潜在问题。
但是每周手动运行这些工具来检查域控制器的运行状况实际上并不起作用。输出也并没有
阅读更多 →所有必需的域控制器端口
域控制器是网络的重要组成部分。为了保护它们，您应该确保启用防火墙并且仅打开域控制器所需的端口。但那些端口是哪些？
域控制器的主要功能当然是Active Directory。为了使客户端能够与 AD 通信，需要在防火墙中打开某些端口。
在本文中，我们将了解域控制器需要哪些端口。
域控制器端口
当您安装新的域控制器时，Windows 防火墙会自动配置。 Active Directory 所需的所有端口都会自动添加。但是，例如，当您想要使用 VLAN 对网络进行分段时，您将需要确保在域控制器和客户端之间打开正确的端口。
我们首先看一下域控制器上需要打开的端口：
>如何更改域控制器的IP
域控制器是网络的重要组成部分。它们处理用户的身份验证并通常运行 DHCP 和 DNS 等服务。因此，当您需要更改域控制器的 IP 时，您需要小心行事。
值得高兴的是，当您有多个域控制器时，更改 IP 地址非常容易。但当你只有一个 DC 时，事情就更具挑战性了。
在本文中，我将解释如何更改域控制器的 IP、需要准备什么以及完成后需要检查什么。
准备IP变更
您的网络中至少应该有两个域控制器。特别是当您需要更改域控制器的配置时。因此，以下步骤基于您至少有两个域控制器的情况。
在更改域控制器的 IP 之前，我们需要确保我们的域是健康的。这意味着复制是最新的并且没有错误。您可以使用 DCDiag 工具快速检查域健康状况。只需打开 PowerShell 或终端并运行：
# Check health Domain Controller dcdiag # Check DNS health dcdiag /test:dns /v除了域控制器的运行状况之外，我们还需要检查 DNS 的运行状况并确保 DNS 服务器在域控制器上配置正确。
域控制器上的首选 DNS 服务器应指向其他 DNS 服务器（域控制
阅读更多 →将额外的域控制器添加到现有 AD 域
要构建容错的 Active Directory 基础结构并平衡客户端请求的负载，您至少需要两个域控制器。还建议在远程站点创建额外的域控制器。在本文中，我们将了解如何向现有 AD 域添加额外的（辅助、第三等）域控制器。
准备 Windows Server 进行域控制器部署
部署运行 Windows Server 的新主机（物理或虚拟）。建议在 Active Directory 中的所有 DC 上使用相同版本的 Windows Server。在我的示例中，这是 Windows Server 2019。
从新 Windows Server 主机的初始配置开始。
使用服务器管理器或 PowerShell 命令设置与您的基础结构相对应的域控制器的名称（例如，mun-dc02）：
为服务器设置静态 IP 地址并提供 DNS 设置。作为首选 DNS 服务器，输入
（让您的 DNS 查询运行得更快）。然后输入与备用 DNS 相同的 AD 站点中最近的域控制器的 IP 地址。您
阅读更多 →如何在 Azure 中部署域控制器
如果在 Azure 中部署域控制器是您的云之旅的下一步，那么在这篇文章中我们将这样做。在 Azure 中拥有域控制器不仅可以让您构建安全且有弹性的基础架构，还可以为您的 Active Directory 和连接提供灵活性。
页面内容
为什么您应该在 Azure 中拥有域控制器
如何在 Azure 中创建域控制器
在 Azure 中配置域控制器
概括
为什么您应该在 Azure 中拥有域控制器
Azure 为你构建虚拟机提供了一个安全且有弹性的平台。您可以按需创建服务器和其他服务，而无需等待购买、交付和物理配置。这意味着，一旦您在 Azure 中运行了域控制器，它不仅可以向上和向下扩展（增加或减少容量），还可以横向扩展以构建更好的弹性或更快的来自不同区域的连接。
如何在 Azure 中创建域控制器
创建您的虚拟机
首先登录到 Azure 门户：portal.azure.com。确保您使用全局管理员帐户登录（也可以使用较少的权限）。
在Azure
阅读更多 →PowerShell：如何使用服务器核心安装域控制器
随着 Server Core 的引入，Windows 世界发生了一些变化。图形界面消失了。 Windows Server 不再需要运行完整的图形用户界面才能充当域控制器。没关系。在本文的第一部分中，我将在现有域中安装额外的 DC。在第二部分中，我将创建一个新的林根域。
准备
安装 Server Core 后，请确保服务器具有有效的 IP 地址、子网掩码、网关以及符合命名约定的计算机名称。最简单的方法是使用 sconfig 命令。顺便说一句：sconfig 在所有 Windows Server 版本上都可用，而不仅仅是在 Core 上。在 cmd 中只需输入 sconfig。我喜欢它。
阅读更多 →