子域与域树扩展需围绕命名空间连续性、信任自动性、管理可分性和复制可控性设计：子域属同一域树、共享DNS命名空间并自动建立双向可传递信任；域树为独立命名空间分支，需手动配置林信任，适用于收购整合或安全隔离场景。
子域与域树的扩展不是简单地“多加一个域”，而是围绕命名空间连续性、信任自动性、管理可分性和复制可控性来设计的。关键在于明确扩展目标：是为组织结构分层（如按地域/部门），还是为安全边界隔离（如研发与生产环境），或是为迁移过渡做准备。
子域扩展的核心逻辑
子域必须属于同一域树，共享根域的 DNS 命名空间（如 sales.corp.com 是 corp.com 的子域）。它自动继承父域的双向可传递信任，无需手动配置；所有子域共用同一套架构（Schema）和配置（Configuration）分区；组策略、用户对象、全局编录（Global Catalog）均可跨子域生效（需合理设计 OU 结构和 GPO 链接位置）。
- 适合场景：分支机构、业务部门、项目团队等需要逻辑隔离但又需统一身份和策略的单位
- 部署要点：使用 dcpromo 或 PowerShell 的 Install-ADDSDomain 命令，指定 -ParentDomainName 和 -NewDomainName；DNS 必须已为子域做好委派或集成
- 注意限制：子域不能更改林功能级别，也不能独立设置架构修改权限——这些仍由林根域控制器统一控制
域树扩展的关键特征
域树是独立的命名空间分支，与现有域树无 DNS 层级关系（如 corp.com 和 partner.net 各自成树），但同属一个林。两棵树之间默认没有自动信任，需手动建立林内信任（forest trust）或通过林信任（forest trust）实现跨树访问。它们共享林级架构、配置和全局编录，但用户和组默认不互通，需显式授权。
- 适合场景：收购合并后的异构系统整合、严格隔离的合作伙伴环境、多品牌并行运营
- 部署要点：运行 Install-ADDSDomain 时设置 -DomainType TreeRoot；必须确保林功能级别支持该操作（Windows Server 2012 及以上支持多树林）
- 注意限制：跨树资源访问需额外配置 DNS 转发、SPN 注册和 Kerberos 约束委派，否则常见 “KDC_ERR_S_PRINCIPAL_UNKNOWN” 错误
扩展前必须验证的三项基础
无论选子域还是树域，跳过以下检查大概率导致后续复制失败、登录异常或 GPO 不生效：
- DNS 解析必须双向可达：新域控制器能解析旧域所有 SRV 记录（_ldap._tcp.dc._msdcs），旧域也需能解析新域的同类型记录；推荐使用条件转发器或集成 DNS 区域
- 时间同步必须稳定：Kerberos 要求域内时间偏差 ≤5 分钟；建议所有 DC 指向同一层级的 PDC 模拟器或外部 NTP 源
- FSMO 角色持有者网络连通性：特别是架构主机（Schema Master）和域命名主机（Domain Naming Master），扩展操作需向其注册新域元数据
扩展后不可忽略的管理动作
完成安装只是起点。真正影响可用性的是后续配置：
- 立即在新域中创建至少一个组织单元（OU），避免将用户/计算机直接放在默认容器下——这会阻碍组策略精准应用
- 检查并调整站点拓扑：若新域控制器位于不同物理位置，需在“Active Directory 站点和服务”中将其加入对应站点，并配置合适的复制间隔
- 验证全局编录状态：在新 DC 上运行 nltest /dsgetdc:corp.com /gc，确认能定位 GC；若失败，需在“服务器属性”中勾选“全局编录”并等待复制
- 测试跨域信任：用 netdom trust 或“Active Directory 域和信任关系”工具验证信任方向、密码同步状态及 Kerberos 路径
