Windows Server 2025 安装 Active Directory 域服务（AD DS）教程
详解 Windows Server 2025 安装 Active Directory（AD DS）并提升为域控制器的完整步骤，附前提条件、PowerShell 脚本与常见问题，照做即可搭建企业域控。
企业 IT 基础架构Windows Server 2025 安装 Active Directory 域服务（AD DS）完整教程
阅读本文你将能独立完成：在 Windows Server 2025 上安装 Active Directory 域服务（AD DS）角色、将服务器提升为林中第一台域控制器，并完成登录验证。全文按操作步骤为主、截图辅助进行说明，预计耗时 30 分钟左右。
一、Active Directory 域服务是什么
Active Directory（AD）是微软在企业环境中使用最广泛的目录服务，用于集中管理用户身份验证、访问控制以及网络资源授权。通过部署 Active Directory 域服务（AD DS），企业可以实现统一的账户管理、安全策略配置、资源权限控制以及站点级复制机制，为网络提供一套可扩展、可控且一致的身份管理基础架构。
在 Windows Server 2025 中，AD DS 继续提供高可用、集中式管理、可扩展架构与安全性增强能力，是构建企业 IT 基础设施的核心组件。下面详细介绍如何在 Windows Server 2025 中完成 AD DS 的安装与配置。
二、部署前提条件
在开始安装前，请依次确认以下 4 项，缺一不可。
1. 全新部署 Windows Server 2025
使用干净的 Windows Server 2025 镜像（Datacenter 或 Standard 均可）安装系统。建议不要在长期运行的旧系统上”就地加装”角色，避免环境变量干扰。
2. 操作系统补丁更新到最新
登录后先运行 Windows Update，把系统补丁更新到最新。补丁不仅修复漏洞，也可能修复 AD DS 相关组件的已知问题。
3. 服务器重命名
根据单位命名规则给服务器设置一个规范的计算机名（如 DC-01），重命名后需要重启。建议在入域前完成，因为域控的计算机名一旦加入域后不建议再随意修改。
4. 配置静态 IP 地址
默认安装使用 DHCP 自动获取 IP。作为域控，服务器必须使用静态 IP，步骤：打开「网络连接」→ 网卡属性 → IPv4 → 填入固定的 IP、掩码、网关。
先决条件检查会强制校验”静态 IP”，不配置会直接报错。如果环境内还没有 DNS 服务器，可先把首选 DNS 填成这台服务器自己的 IP（或 127.0.0.1），域控默认会安装并接管 DNS。
三、安装 Active Directory 域服务（AD DS）角色
- 打开「服务器管理器」，点击右上角的「添加角色和功能」。
- 「开始之前」直接下一步。
- 「安装类型」保持默认「基于角色或基于功能的安装」，下一步。
- 「目标服务器」保持默认（本机），下一步。
- 在「服务器角色」列表中勾选 Active Directory 域服务。
- 弹出「添加功能」提示框，保持默认，点击「添加功能」。
- 完成角色选择后，一路「下一步」直到「确认」。
- 在「确认」页勾选 「如果需要，自动重新启动目标服务器」，然后点击「安装」。勾选后部署完成会自动重启；不勾选则需要手动重启。
- 等待角色安装完成。
- 安装完成后，在「安装进度」结果页点击 「将此服务器提升为域控制器」，进入 AD DS 配置向导。
四、把服务器提升为域控制器（添加新林）
4.1 选择部署操作：添加新林
由于本次是环境中的第一台域控，在「部署配置」中选择 「添加新林」，填写根域名后点击下一步。
根域名一定要规划好再填。 部署完成后根域名无法直接修改，想改只能做域迁移，不像计算机名那样可以随便改。
命名建议：不要使用已在公网生效的域名（例如公司官网
example.com），也不要使用纯单标签名称（如contoso）。推荐用公网域名的子域（如ad.example.com）或内部专用后缀（如contoso.local、contoso.intra），避免内外网解析冲突。本文示例用contoso.intra。
4.2 域控制器选项：功能级别与 DSRM 密码
「林、域功能级别」默认选择 Windows Server 2025（最高支持到 2025，用满新特性即可，无需改动）。勾选「域名系统（DNS）服务器」和「全局编录（GC）」保持默认。
「目录服务还原模式（DSRM）密码」必须设置一个符合复杂性要求的强密码。如果忘了也没关系，之后可以用 ntdsutil 重置，但不要因此就用弱密码。
4.3 DNS 选项：忽略委派警告
首次安装 DNS 且林内还没有权威父区域时，会出现「无法创建 DNS 委派」的警告。这是正常现象，点下一步即可（如果将来要与公网 DNS 集成，再在外部父区域手动建委派记录）。
4.4 NetBIOS 名称与路径：保持默认
「其他选项」页会自动生成 NetBIOS 域名（通常为根域名的第一个标签，如 CONTOSO）。保持默认，不要修改（修改 NetBIOS 名易与现有环境冲突）。
「路径」页中 AD DS 数据库（NTDS.DIT）、日志文件和 SYSVOL 的位置保持默认即可，除非你有专门的磁盘规划。
4.5 查看选项：导出 PowerShell 部署脚本
点击「查看选项」页的 「查看脚本」 可以导出本次配置对应的 PowerShell 一键部署脚本，便于存档和批量自动化部署。脚本内容如下（路径中的反斜杠是必备的，复制时请不要丢失）：
# 用于 AD DS 部署的 Windows PowerShell 脚本
# 注意：请把 contoso.intra / CONTOSO 替换为你自己的域名
Import-Module ADDSDeployment
Install-ADDSForest `
-CreateDnsDelegation:$false `
-DatabasePath "C:\Windows\NTDS" `
-DomainMode "Win2025" `
-DomainName "contoso.intra" `
-DomainNetbiosName "CONTOSO" `
-ForestMode "Win2025" `
-InstallDns:$true `
-LogPath "C:\Windows\NTDS" `
-NoRebootOnCompletion:$false `
-SysvolPath "C:\Windows\SYSVOL" `
-Force:$true
4.6 先决条件检查与安装
确认配置后进入「先决条件检查」，等待检查完成。最常见的失败项是”未配置静态 IP”，按第四节补配后点击「重新运行先决条件检查」即可。检查通过后点击「安装」。
部署过程持续约 10 分钟，完成后服务器提示需要重启（若未勾选自动重启则手动重启）。
五、登录与验证
5.1 使用域名账户登录
重启后，本地 Administrator 账号已不再可用，必须使用 域名\用户名 的格式登录，例如 CONTOSO\Administrator，密码与原来的本地管理员密码一致。
5.2 验证域控关键服务
登录后在管理员 PowerShell 中执行以下命令，确认以下 4 个服务均为 Running 状态：
Get-Service adws,kdc,netlogon,dns
5.3 验证 DNS 与 AD 健康状态（建议）
-
把 DNS 客户端里首选 DNS 指向本机（域控 IP），确保自解析正常。
-
执行 AD 健康检查（推荐）：
# 目录服务整体健康检查
dcdiag /v
# 复制拓扑与状态
repadmin /replsum- 打开「DNS 管理器」确认已自动创建正向查找区域（如
contoso.intra），并在_msdcs下注册了_tcp/_udpSRV 记录。SRV 记录存在即说明域名定位正常。
六、常见问题（FAQ）
1. 先决条件检查报”未将静态 IP 地址分配给网卡”怎么办？
按第二章第 4 步把网卡改为静态 IP，然后回到向导点击「重新运行先决条件检查」。
2. DNS 委派警告可以忽略吗？
可以。新林第一台域控没有父区域，系统无法自动建委派，警告是预期内的。按默认「不创建委派」继续即可，不影响 AD 功能。
3. 忘了 DSRM 密码怎么办？
可以用 ntdsutil 重置：进入目录服务还原模式后执行重置 DSRM 密码命令，或用 Active Directory 用户和计算机 中”重置密码”的替代方案后同步。印象里丢失不致命，但仍建议妥善保管。
说明：DSRM 密码可通过
ntdsutil（dirsrv reset）在目录服务还原模式下重置。
4. 功能级别选错了能改吗？
能，但只能提升不能降低。新部署建议直接用最高级别 Windows Server 2025，用满功能，避免日后要升级时做额外操作。
5. 为什么本地管理员账号登录不上？
提升为域控后，本机本地账户被禁用，必须用 域名\Administrator（密码为原本地管理员密码）或后续创建的域账户登录。这是正常行为。
6. 根域名用 .com 可以吗？
如果该 .com 域名已在公网生效，不建议直接作为内网根域，会造成内外网解析冲突。推荐使用公网域名的子域（ad.example.com）或 .local/.intra 内部后缀。
七、后续配置建议
域控上线后，企业级功能的下一步通常是：
- 创建组织单位（OU）与树形结构，规划用户与计算机分组。
- 创建域用户与用户组，配置加入域的权限。
- 配置组策略（GPO），统一下发密码策略、安全基线等。
- 启用 Active Directory 回收站，防止误删对象无法恢复。
- 规划第二台域控与分支机构站点（Site），提升冗余与复制能力。