Windows Server 2012 虚拟化实战：域

在WindowsServer系统中，一些服务必需要构建在域的环境中，这不仅是为了统一验证和资源共享，同时也是为了网络安全。为构建虚拟化测试，我们需要先搭建域环境。之前先来大概了解一下域。
在使用工作组时，计算机是相对独立的，工作组仅是网络中计算机分类的一种方式，在不在一个工作组中，对网络资源的访问影响并不大。工作组好比允许自由进出的免费停车场，加入工作组，好比你可以停在A区，也可以停在B区，如果停在A区，就与A区的其他汽车形成一个松散的组合。
在使用Windows域（Domain）时则不同，域是经过严格组织的，计算机加入域并且使用域账户登录才能访问某些共享资源。在域中至少有一台域控制器（DomainController,简称DC）负责计算机和用户的验证工作。域好比收费停车场，需要刷卡验证才能进出（可以有多于一个门禁，即DC），但验证通过后即可使用里面的共享设施，甚至其他汽车。例如当你的计算机使用具有管理员权限的域账户成功登录后，就可以使用该域账户登录同域中其他计算机上SqlServer，那么你可以不再使用sa账户了。当然加入域的计算机并不代表只能呆在域中，如果只是用本地账户而非域账户登录，计算机和在工作组中没有什么不同。一般情况下，你的汽车可以停在收费停车场，也可以停在免费停车场，除非对汽车做了特别的限制（使用组策略可以限制计算机只能使用域账号登录）。你的计算机只使用本地账号登录，要想访问其他计算机上SqlServer，这时你无法使用WindowsAuthentication，但依然可以使用SQLServerAuthentication，使用sa账户登录。
一、域测试网络
接下来我们在WindowServer2012中部署域，为以后需要，我们将连接域的网络称为管理网络，并以如下图参数配置网络。图中配置两个域控制器互为备份，虽然windowsserver2003以后已经不再区分主域控和备份域控，但由于主机角色的客观存在，域控制器的作用还是有一定差别的，下文将讲述。




二、配置域控制器
WindowsServer上安装域控制器（DomainController,DC）是一件简单的事，但安装之前需要确认几件事：登陆账号是否拥有本地管理员权限，操作系统是否支持，TCP/IP是否配置正确，磁盘是否有NTFS分区和充足的空间以存放ActiveDirectory(AD)数据库，DNS服务器是否支持等。另外最好预先修改计算机名称并重新启动，以免完成安装后再修改域控制器名称所带来的麻烦。
WindowsServer2008及以后版本都可以以角色的方式安装ActiveDirectory域服务（ADDS），并提升为域控制器。WindowsServer2008中也可以直接在运行中使用dcpromo命令，进行AD域服务的安装和提升为域控制器。但Server2012中dcpromo命令已经不被支持，所以在以角色的方式安装AD域服务后，可以在服务器管理界面上面的事件提示中找到提升为域控制器的链接。
关于具体安装域控制器的步骤不再赘述，网络中有很多网页已经对此进行了详细描述，但是关于域配置还需要深入了解下面的一些内容：
1、林（Forest）、域树（Tree）、域（Domain）和子域（ChildDomain）
这些名词已经非常形象的解释了它们之间的关系，但还需说明的是：我们建立的第一个域是根域（RootDomain），于此同时也建立了第一个域树和第一个林，因而这个根域既是林根域也是树根域，因而在网络中建立全新的域时，其实就是建立一个新林，在配置域控的时候不要选错了。根域也是域，只是地位特殊，一个林中只有一个林根域，但可以有多个树根域。拥有共同命名空间的根域和子域构成域树，拥有不同命名空间的域树构成林。域树的名称与第一个域相同，林的名称与第一个域树相同，也与第一个域相同。因而域名称的选择是很重要的，搭建好域后修改域名称虽然可行，但是毕竟存在很大的风险。
如下图，我们根据AssigningtheForestRootDomainName文章中的规则建立了两个林。如果你所在组织拥有两个通用域名，其中一个用于外部互联网，比如用于组织的网站首页，则另一个可以用于组织内部网络作为林的名称（即第一个域的名称），这样建立的林将和下图左侧的林x.com类似。如果只拥有一个通用域名，为了内外有别，可以建立一个二级域名用于内部网络作为林的名称，这样建立的林将和下图右侧的林cloud.z.com类似。使用通用域名的是为了方便林与林之间通过互联网建立信任关系，但如果在测试中可以使用任何符合域名规则的名称，我们的实验环境将使用cloud.z.com作为林名称。



2、DNS服务器、全局编录服务器（GC）和只读域控制器（RODC）
配置域控过程中会遇到选择这几个选项：DNS服务、全局编录服务器（GC）和只读域控制器（RODC）
DNS服务器即域名服务器。在域中计算机、集群等名称的解析，需要DNS服务的支持。建立域必须在域中提供DNS服务，如果在配置域过程中勾选DNS服务器，则本机将被配置为DNS服务器（配置程序会检测当前DNS基础结构来决定DNS服务是否默认勾选）。全局编录服务器（GlobalCatalog,GC）可以理解为林中只读的全局缓存，缓存中存储了林中本域内的所有对象的所有属性和其他域的所有对象的部分属性。“全局编录使用户能够在林中的所有域上搜索目录信息，无论数据存储在什么位置。将以最大的速度和最低的网络流量在林中执行搜索。”如果在配置中勾选全局编录服务器，将会使这台域控制器同时成为全局编录服务器。只读域控制器（ReadOnlyDomainController,RODC）。“只读域控制器（RODC）是WindowsServer2008操作系统中的一种新类型的域控制器。借助RODC，组织可以在无法保证物理安全性的位置中轻松部署域控制器。RODC承载ActiveDirectory域服务（ADDS）数据库的只读分区。”“物理安全性不足是考虑部署RODC的最常见原因。RODC提供了一种在要求快速、可靠的身份验证服务但不能确保可写域控制器的物理安全性的位置中更安全地部署域控制器的方法。”
3、AD数据库、日志文件和SYSVOL文件夹
ActiveDirectory使用文件型数据库，数据库引擎是基于JET开发的ExtensibleStorageEngine(ESE)，也叫做JETBlue。JETBlue计划用于升级Access的数据库引擎JETRed的，但却用于Microsoft的其他产品中，如AD，WINS，ExchangeServer等。ESE有能力扩展至16TB容量，容纳10亿对象。数据库所有相关文件默认在%systemroot%\ntds\文件夹内，主要包括：
ntds.dit数据库文件。有兴趣可以查阅ActiveDirectorydatabasefileNTDS.DIT详细了解。
edb.chk检查点文件。对数据库的增删改，在提交更新到数据库之前，检查点文件会记录事务完成情况，如果事务完成就从日志文件提交更新到数据库。edb.log和edbxxxxx.log等为日志文件。每个日志文件10MB，edb.log文件填满之后，会被重新命名为edbxxxxx.log，文件名编号自增。对数据库的增删改会写入日志文件，用以事务处理。edbresxxxxx.jrs为日志保留文件。为日志文件占据磁盘空间，仅当日志文件所在的磁盘空间不足时使用。edbtmp.log临时日志文件。当前edb.log被填满时，会创建edbtmp.log继续记录日志，同时当前edb.log被重命名为edbxxxxx.log，而后edbtmp.log被重名为edb.log。
ActiveDirectory使用SYSVOL文件夹（需要放置在NTFS分区中）在DC间共享公共文件，包括登录脚本和策略配置文件等。详细可参考SysvolandnetlogonshareimportanceinActiveDirectory
4、FSMO主机角色
ActiveDirectory在多个域控制器（DC）间进行数据复制的时有两种模式：单主机复制模式（Single-MasterModel）和多主机复制模式（Multi-MasterModel）。
DC间数据复制多采用的多主机复制模式，即允许在任意一台DC上更新数据，然后复制到其他DC，当出现数据冲突时采用一些算法解决（如以最后被写入的数据为准）。多主机复制模式实现了DC间负载均衡和高可用的目的。但对一些数据多主机复制模式带来了难以解决的数据冲突或解决冲突需要付出太大代价的问题，这时ActiveDirectory会采用单主机复制模式，即允许只有一台DC更新数据，然后复制到其他DC。这些数据主要由5种操作主机角色来承担更新的职责，这些角色可以被分配到林中不同DC中，这些角色也称为灵活的单主机操作角色（FlexibleSingleMasterOperation,FSMO），他们分别是：
林级别（在林中只能有一台DC拥有该角色）：
架构主机（SchemaMaster）：架构是林中所有对象和属性的定义，具有架构主机角色的域控制器（DC）才允许更新架构。架构更新会从架构主机复制到林中的其它域控制器中。整个林中只能有一个架构主机。域命名主机（DomainNamingMaster）：具有域命名主机角色的域控制器才允许在林中新增和删除域或新增和删除域的外部引用。整个林中只能由一个域命名主机。
域级别（在域中只有一台DC拥有该角色）：
PDC模拟器（PDCEmulator）：WindowsServer2000及以后版本中域控制器不再区分PDC(PrimaryDomainController)和BDC(BackupDomainController)，但为兼容旧系统和实现PDC上的一些功能，就需要PDC模拟器发挥作用了。这些包括：密码实时更新；域内时间同步；兼容旧有系统（如NT4和Win98）等。RID主机（RIDMaster）：在Windows系统中，安全主体（如用户和用户组）的唯一标识取决于SID（如用户名不同但是SID相同的用户Windows仍然认为是同一用户）。SID由域SID（同域内都一样）和RID组成。RID主机的作用是负责为安全主体生成唯一的RID。为避免安全主体SID重复，造成安全问题，RID统一从RID主机分配的RID池中生成。结构主机（InfrastructureMaster）：结构主机的作用是负责对跨域对象引用进行更新，以确保所有域间操作对象的一致性。在活动目录中有可能一些用户从一个OU转移到另外一个OU，那么用户的DN名就发生变化，这时其它域对于这个用户引用也要发生变化。这种变化就是由基础结构主机来完成。如果架构主机与GC在同一台DC上，架构主机将不会更新任何对象，因为GC已经拥有所有对象和属性的拷贝。所以在多域情况下，建议不要将架构主机设为GC。
5、功能级别
ActiveDirectory新建林时需要确定林和域的功能级别，功能级别决定了ActiveDirectory域服务（ADDS）的功能，也决定了哪些WindowsServer操作系统可以被林和域支持成为域控制器。WindowsServer在历次改版，也对ActiveDirectory进行改进，形成了不同功能级别，更高的功能级别提供更多的功能，目前已有功能级别包括：Windows2000本机模式、WindowsServer2003、WindowsServer2008、WindowsServer2012等。
运行WindowsServer2008的操作系统上可以设定林和域的功能级别为WindowsServer2003，运行WindowsServer2003操作系统的服务器可以加入成为域控制器。但设定林和域的功能级别为WindowsServer2008，运行WindowsServer2003操作系统的服务器将无法加入成为域控制器，但运行WindowsServer2012操作系统的服务器可以。
另外设定的功能级别可以升级不能降价，域功能级别不能低于林的功能级别。
6、域信任
域信任就是在域之间建立一种关系，使得一个域中的用户可以在另一个域的域控制器上进行验证，但建立信任仅仅是为实现跨域访问资源提供了可能，只有在资源上对用户进行了授权才能最终实现跨域访问。
域信任分为单向和双向，单向就是我信任你但是你不信任我或者反之，双向就是相互信任。另外域信任可配置为具有可传递，就是我信任你所信任的（第三方），可传递的信任省去了在复杂域环境中配置信任关系工作。
同一个林中父域和子域默认存在双向的可传递的信任。域树之间默认存在双向的可传递的信任（TreeTrust），两个不同域树中的域之间可以建立快捷信任（ShortcutTrust），以加快验证过程。不同林之间可以建立林信任（ForestTrust）。
与其他使用Kerberos做验证的目录系统可以建立领域信任（RealmTrust）。与较老的NT4系统可以建立外部信任（ExternalTrust）。



7、站点
理论上Windows域与物理网络拓扑无关，域中多个域控制器只要满足能够相互通信的条件，可以在同一个子网，也可以分属不同子网；可以在同一个物理位置，也可以分别在不同的物理位置。但域控制器以及域中的计算机之间的通信最终受制于物理的网络拓扑，如域控制器之间的复制和账户验证等与物理位置关系密切。
站点可以看成是域中高速连接的一组计算机，按物理位置将域控制器和计算机部署在不同站点内，可以提高域内域控制器间复制和账户验证的效率。例如一个域中，北京站点有两个域控A和B，上海站点有两个域控C和D，他们之间的复制如果按照BCDA的顺序复制，那将是没有效率的。按ABCD顺序，同一个站点内的域控相互复制，站点间只要复制一次即可。
三、测试和维护域
1、修改域控制器计算机名
修改域控制器计算机名不能简单的打开计算机属性直接进行修改，涉及域内名称解析，修改不当可能会造成找不到域控制器的麻烦。建议升级为控制器前先修改计算机名并重启计算机，如的确需要修改域控制器计算机名可以使用netdom命令。在Powershell命令行提示符下：

#ShowallcomputernamesofaDC

netdowmcomputernamedc02.cloud.z.com/enumerate

#ChangecomputernameofaDCfromdc02todc03

netdomcomputernamedc02.cloud.z.com/add:dc03.cloud.z.com
netdomcomputernamedc02.cloud.z.com/makeprimary:dc03.cloud.z.com

#Restartthecomputer

netdomcomputernamedc03.cloud.z.com/remove:dc02.cloud.z.com

2、迁移FSMO角色

前文介绍了AD中5个FSMO角色，为在域中多个DC间合理部署这些角色，或者迁移DC时，我们需要考虑迁移FSMO角色。转移FSMO角色有两种方式，第一种通过GUI：

Windows2012中在“服务器管理器”菜单“工具”中开“ActiveDirectory用户和计算机”。默认情况下已经连接到域，在域名上右键选择“操作主机”，这里可以迁移RID、PDC和结构主机。

在“ActiveDirectory域和信任关系”右键选择“操作主机”，这里可以迁移域命名主机。

在“ActiveDirectory架构”右键选择“操作主机”，这里可以迁移架构主机。但是“ActiveDirectory架构”不会出现在服务器管理器中，我们需要事先注册regsvr32schmmgmt.dll，然后再mmc控制台中通过菜单“文件”添加“ActiveDirectory架构”管理单元，而后进行后续的管理。

第二种使用ntdsutil命令，过程中可以输入“?”以查询帮助：

#ShowFSMOroles

netdomqueryfsmo

#MoveFSMOrolesfromdc01todc03

ntdsutil
roles
connections
connecttoserverdc03.cloud.z.com
quit

transferschemamaster
transfernamingmaster
transferinfrastructuremaster
transferpdc
transferridmaster
quit

quit

3、清理AD元数据

当DC降级后，需要手动清除它在AD中的信息，可以使用utdsutil命令：

#RemovemetadataofaDCthatneedtobedeleted

ntdsutil
metadatacleanup
connections
connecttoserverdc03.cloud.z.com
quit
selectoperationtarget

listsite

selectdomain0

listdomains

selectdomain0

listseversfordomaininsite

#SelecttheDCthatneedtobedeleted

selectserver0
removeselectserver
quit
quit

4、迁移域控制器

从dc01到dc03迁移域控制主要包含以下几个步骤：

提升dc03为域控制器（WS2012以前使用命令dcpromo），全局编录、DNS服务器选择与dc01一致。
如果dc01是DNS服务器，配置dc03网络DNS服务器地址指向dc01，等待dc03和dc01上的DNS数据同步。
在dc01上迁移FSMO角色至dc03。
降级dc01（WS2012以前使用命令dcpromo/forcemoval），在服务器管理器中删除ADDS角色将提示降级域控制器。
清理DNS记录，使用ntdsutil清理dc01的AD元数据。

5、其他维护工具

ntdsutil.exe。ntdsutil.exe是一个命令行工具，提供对ActiveDirectory域服务（ADDS）和ActiveDirectory轻量目录服务（ADLDS）的管理功能。可以使用ntdsutil命令执行ADDS数据库维护、管理和控制FSMO角色以及删除没有被正确卸载的域控制器的元数据。

netdom.exe。

dcdiag.exe。

adsiedit.msc。adsiedit用于编辑ActiveDirectory中的单个对象或少量对象。在WS2012服务器管理器中的ADDS服务器右键菜单可以找到。

ldp.exe。ldp.exe用于管理ActiveDirectory轻型目录服务(ADLDS)

replmon.exe。

repadmin.exe。