额外域控制器是除首台外的域控制器，通过复制AD数据库实现身份验证分担、故障容错与负载均衡；部署需正确配置DNS指向主DC、运行dcpromo选择“现有域的额外域控制器”、指定存储路径并设DSRM密码，完成后验证复制与登录。
搭建额外域控制器不是简单复制一台服务器，而是让新节点真正融入现有活动目录（ad）架构，实现身份验证分担、故障自动接管和数据多点冗余。关键不在于“装上”，而在于“连得稳、同步准、切得顺”。
网络与系统基础配置必须一步到位
这是90%失败案例的根源。新服务器不能以默认设置直接进域控流程：
- IP地址必须设为静态，且与主域控在同一子网；
- 首选DNS必须指向主域控的IP（例如192.168.10.10），绝不能填127.0.0.1或公网DNS；
- 计算机名需提前修改并重启生效，名称中不含下划线、空格或特殊字符；
- 用nslookup 域名（如nslookup corp.example.com）确认能解析出主域控的SRV记录；
- 用ping 主域控IP和telnet 主域控IP 389验证网络层与LDAP端口连通性。
通过dcpromo提升为额外域控制器
Windows Server 2012 R2及之后版本虽已改用图形化向导，但底层仍调用dcpromo逻辑。操作核心是明确选择“向现有域添加域控制器”：
- 运行dcpromo或在服务器管理器中点击黄色警告图标→“将此服务器提升为域控制器”；
- 部署配置页选择“现有林” → “向现有域添加域控制器”；
- 输入完整域名（FQDN，如corp.example.com），非NetBIOS名；
- 凭据页输入域管理员账号（如CORP\Administrator）及密码，该账户必须属于Domain Admins组；
- 勾选“DNS服务器”和“全局编录”（GC），除非有特殊安全策略限制；
- 数据库与日志路径建议分盘存放（如NTDS数据库放D:\NTDS，日志放E:\NTDSLogs），避免I/O争抢；
- 设置目录服务还原模式（DSRM）密码——它独立于域账户密码，用于单用户修复场景。
验证数据同步是否真实生效
重启后不能只看“Domain Controllers容器里多了台机器”，要验证活动目录内容是否真正流动起来：
- 在主域控上新建一个测试用户（如test-sync），等待2–5分钟；
- 登录额外域控，打开“Active Directory 用户和计算机”，确认该用户已出现；
- 在额外域控上执行命令：repadmin /showrepl，检查输出中是否有"Last Success"时间戳且无ERROR；
- 运行repadmin /replsummary，查看各域控制器间复制状态是否为"0"（失败数为0）；
- 用nltest /dsgetdc:corp.example.com分别在客户端和额外域控上运行，确认返回的是不同DC主机名，证明负载分发已启用。
DNS辅助配置与客户端容灾准备
额外域控的价值不仅在AD同步，更在DNS层面形成双活支撑：
- 安装时已勾选DNS服务器，需在主域控DNS控制台中，右键正向查找区域→“属性”→“区域传送”→勾选“允许区域传送”，并添加额外域控IP；
- 客户端网络设置中，DNS应填写两个地址：首选为主域控IP，备用为额外域控IP；
- 当主域控宕机时，客户端仍可解析域名、登录域、应用组策略——这才是高可用落地的关键表现；
- 若需手动切换角色，可通过ntdsutil转移FSMO角色，但日常无需干预，AD本身具备自动故障转移能力。
