企业官网建设流程全解析

实施Active Directory（AD 域服务）的必要条件，核心可以概括为：

服务器可用、DNS 正常、时间一致、网络互通、域名规划明确、管理员和备份机制到位。

一、明确实施目标

先确定是哪一种场景：

• 新建 AD 域；
• 将现有服务器加入域；
• 建立多域或子域；
• 与现有 AD 合并；
• 与 Microsoft 365/Entra ID 同步；
• 为 Windows、Linux、终端和应用提供统一认证。

不同目标对域结构、DNS、网络和迁移方案要求不同。

二、服务器条件

至少需要一台符合要求的 Windows Server：

• Windows Server 版本符合组织许可要求；
• 已安装最新安全补丁；
• 服务器硬件资源满足 DC 运行需求；
• 使用固定 IP 地址；
• 主机名已经规划；
• 不建议将域控制器作为普通应用服务器使用；
• 生产环境建议至少部署两台域控制器。

建议配置：

DC01：主要域控制器、DNS、全局编录 DC02：辅助域控制器、DNS、全局编录

不要只部署一台域控制器。单台 DC 故障会导致：

• 用户无法登录；
• DNS 解析异常；
• 组策略无法刷新；
• 文件服务器和业务系统认证失败；
• 管理操作受影响。

三、域名规划条件

必须提前确定 AD 域名。

推荐使用企业正式域名的子域，例如：

ad.example.com corp.example.com

不建议使用：

单标签域名：corp .local .localdomain

推荐规划：

AD 域名：ad.example.com NetBIOS 名称：EXAMPLE 域管理员账号：EXAMPLE\Administrator

还要确认：

• 是否与公网域名冲突；
• 是否与现有 AD 域冲突；
• 是否存在旧域；
• 是否需要林和子域；
• 是否需要未来对接 Microsoft 365；
• 是否符合公司命名规范。

如果未来要同步到 Microsoft Entra ID/M365，建议从一开始就合理规划用户 UPN，例如：

user@example.com

四、DNS 条件

DNS 是 AD 的关键依赖。

AD 依靠 DNS 定位：

• 域控制器；
• Kerberos；
• LDAP；
• 全局编录；
• 组策略；
• 站点和服务。

域内客户端的首选 DNS 应指向域控制器：

首选 DNS：DC01 IP 备用 DNS：DC02 IP

不要让域成员直接把公网 DNS 作为首选 DNS，例如：

8.8.8.8 114.114.114.114

公网 DNS 不能解析内部 AD 记录。

部署前检查：

ipconfig/all nslookup ad.example.com

部署后检查：

dcdiag/test:dns nslookup-type=SRV _ldap._tcp.dc._msdcs.ad.example.com

如果需要访问公网，应该在 AD DNS 上配置：

• DNS 转发器；
• 或根提示；
• 或企业内部 DNS 转发。

五、网络和防火墙条件

域控制器、成员服务器和客户端之间必须互通。

常见端口包括：

在严格防火墙环境中，尤其要处理：

客户端 → DC 成员服务器 → DC DC01 ↔ DC02 分支机构 → 总部 DC

还需要规划：

• VLAN；
• 路由；
• 防火墙策略；
• 分支机构站点；
• VPN；
• DNS 访问路径；
• 域控制器之间的复制链路。

六、时间同步条件

Kerberos 对时间非常敏感。域成员与域控制器的时间偏差通常不能超过约 5 分钟。

部署前检查：

w32tm/query/status w32tm/query/source

推荐时间层级：

PDC Emulator ↓ 企业时间源/NTP ↓ 其他域控制器 ↓ 域成员服务器和客户端

域内成员加入域后，通常自动从域层级同步时间。

不要让每台服务器分别配置不同的公网 NTP，避免时间层级混乱。

七、账号和权限条件

需要准备：

• 本地管理员权限；
• 安装 AD DS 的权限；
• DNS 配置权限；
• 域名和 IP 规划审批；
• 域管理员账号管理策略；
• 紧急恢复账号；
• 账号命名规则；
• OU 和组结构设计。

不建议日常使用默认Administrator账号进行所有管理操作。

建议区分：

普通办公账号 日常管理账号 域管理员账号 应急恢复账号 服务账号 应用账号

原则是：

管理员账号不用于日常办公，普通账号不承担域管理权限。

八、组织架构和组策略条件

部署 AD 前要先设计 OU，而不是安装完成后随意堆放对象。

例如：

example.com ├── Users ├── Computers ├── Servers ├── Workstations ├── Admins ├── Service Accounts ├── Departments │ ├── IT │ ├── Finance │ └── HR └── Disabled Objects

需要明确：

• 用户放在哪个 OU；
• 计算机放在哪个 OU；
• 服务器和终端是否分离；
• 管理员账号是否单独 OU；
• 服务账号是否单独管理；
• 哪些 OU 绑定安全基线；
• 哪些 OU 允许委派管理。

组策略至少规划：

• 密码策略；
• 锁定策略；
• Windows 防火墙；
• 防病毒；
• 补丁策略；
• 管理员组；
• USB 和外设控制；
• 脚本执行；
• 审计策略；
• RDP 安全策略；
• 本地管理员密码管理。

九、安全条件

AD 上线前至少要考虑：

• 域管理员启用 MFA 或强化保护；
• 禁止使用弱密码；
• 禁用不必要的旧协议；
• 限制 NTLM；
• 保护域控制器；
• 启用安全审计；
• 配置备份；
• 限制域管理员登录工作站；
• 管理员使用专用管理终端；
• 部署 Windows LAPS 管理本地管理员密码；
• 监控异常登录和权限变更。

域控制器应尽量做到：

• 不安装无关应用；
• 不作为文件服务器；
• 不作为普通办公终端；
• 不开放不必要的远程管理入口；
• 限制登录来源；
• 定期安装安全更新。

十、备份与恢复条件

AD 不是只备份C:\Windows\SYSVOL就够了，需要具备系统状态备份和恢复能力。

至少规划：

• 域控制器系统状态备份；
• 备份存储位置；
• 备份保留周期；
• 离线或异地副本；
• Tombstone 生命周期；
• 非授权恢复流程；
• 林级恢复方案；
• 定期恢复演练。

Windows Server 备份示例：

Install-WindowsFeatureWindows-Server-Backup

备份和恢复方案必须在上线前完成设计，不能等域控制器故障后再考虑。

十一、与现有系统兼容条件

需要提前盘点：

• 现有 DNS；
• 现有 DHCP；
• 现有邮件系统；
• 文件服务器；
• 打印服务器；
• ERP、OA、数据库；
• Linux 服务器；
• 网络设备；
• 堡垒机；
• VPN；
• 监控系统；
• 现有 LDAP；
• 现有域或工作组。

特别注意：

• 应用是否支持 LDAP/Kerberos；
• 是否依赖旧域名；
• 是否硬编码域控制器 IP；
• 是否使用 NTLM；
• Linux 是否需要加入 AD；
• 是否需要 LDAPS；
• 是否影响系统账号和服务账号。

十二、部署后的验证条件

新建域后至少验证：

dcdiag repadmin/replsummary repadmin/showrepl

DNS：

dcdiag/test:dns nslookup-type=SRV _ldap._tcp.dc._msdcs.ad.example.com

时间：

w32tm/query/status

客户端：

whoami gpresult/r nltest/dsgetdc:ad.example.com

还要测试：

• 域用户登录；
• 修改密码；
• 锁定和解锁；
• 组策略刷新；
• 文件共享访问；
• 打印访问；
• 应用认证；
• 域控制器故障切换；
• DNS 故障切换；
• 域成员重新登录。

最低实施条件

如果要正式建设一个基础 AD 环境，至少满足：

1. 已明确建设目标 2. 已完成域名和 NetBIOS 名称规划 3. 至少一台受支持的 Windows Server 4. 生产环境最好两台域控制器 5. 域控制器使用固定 IP 6. DNS 规划清晰并可正常解析 7. 网络和 AD 所需端口已放通 8. 时间同步正常 9. OU、账号和组策略已有初步设计 10. 已准备管理员和应急账号 11. 已制定安全基线 12. 已配置 AD 备份和恢复方案 13. 已完成现有系统兼容性盘点 14. 已安排测试、上线和回退窗口 15. 已明确日常运维责任人

一句话总结

没有可靠 DNS、固定 IP、统一时间、双 DC 规划、备份恢复和权限设计，不建议直接创建生产 AD。