关键在前期准备、PowerShell部署和部署后验证：需确认DNS自解析、主机名与时间合规、AD DS角色含管理工具；用Install-ADDSForest脚本化安装；重启后验证DNS SRV记录、NTDS/DNS/Netlogon服务状态、DNS注册及时间同步。
从零开始搭建windows ad域控制器，关键不在“点下一步”，而在前期准备是否扎实、命令是否可控、验证是否到位。生产环境强烈推荐用powershell脚本化部署，避免图形向导掩盖错误。
安装前必须确认的三件事
很多故障其实发生在重启之前——不是AD没装好，而是基础没打牢。
- DNS必须就位且自解析：服务器IP设为静态后，DNS服务器地址必须指向自己（如127.0.0.1或本机IP），并能成功解析自身域名（nslookup corp.example.com返回本机IP）；否则Install-ADDSForest会直接报“Verification of prerequisites failed”
- 主机名与时间要合规：主机名不能含下划线、不能以连字符开头、不能全数字；系统时间偏差必须小于5分钟（Kerberos认证硬性要求），建议统一设为UTC+8
- AD DS角色+管理工具必须一起装：仅装AD-Domain-Services不够，必须加-IncludeManagementTools参数，否则没有Install-ADDSForest等核心命令
用PowerShell完成首次域控制器部署
不推荐用图形向导——它不暴露参数、难复现、难审计。以下命令适用于全新环境（新建林）：
- 安装角色：Install-WindowsFeature AD-Domain-Services -IncludeManagementTools
- 执行提升：Install-ADDSForest -DomainName "corp.example.com" -SafeModeAdministratorPassword (ConvertTo-SecureString "P@ssw0rd123" -AsPlainText -Force) -ForestMode Win2016 -DomainMode Win2016 -DatabasePath "D:\NTDS" -LogPath "D:\NTDSLogs" -SysvolPath "D:\SYSVOL"
- 注意：corp.example.com是合法FQDN，不要用corp.local；数据库和日志路径务必挪出C盘，防止打满导致DC瘫痪
部署后必须立刻验证的四个关键点
重启完不等于可用。很多“能ping通、能加域”的表象背后，认证链路早已断裂。
- DNS SRV记录是否完整：运行nslookup _ldap._tcp.dc._msdcs.corp.example.com，应返回DC的IP和端口；缺SRV记录，客户端根本找不到域控制器
- 核心服务是否运行中：执行Get-Service NTDS, DNS, Netlogon，状态必须全为Running（不是Starting或Stopped）
- 域控制器是否注册到DNS：检查DNS管理器中_msdcs.corp.example.com区域，是否有对应主机的A记录和LDAP/Kerberos SRV记录
- 时间同步是否生效：运行w32tm /query /status，确保源为本机或可靠上级时间服务器，Last Successful Sync Time不是“never”
常见踩坑提醒
这些细节不写在官方文档里，但90%的线上问题都源于它们：
- 云服务器务必分配固定私网IP，IP变动会导致DNS记录失效、客户端失联、信任关系中断
- 别用镜像克隆新DC——主机名不一致会触发“安全数据库无此工作站信任关系”错误；如必须克隆，先改主机名再提升
- 功能级别（ForestMode/DomainMode）宁高勿低：选Win2016可兼容Server 2016/2019/2022，但选Win2012后续升级麻烦，且无法启用Authentication Policy Silos等现代策略
- DSRM密码和登录密码无关，它是目录服务还原模式专用密码，必须记住——忘了就只能重装
