Для установки контроллера домена достаточно следовать следующим ниже инструкциям. Очень много настроек уже предусмотрены Microsoft, по этому менять их категорически противопоказано, т.к. это может привести к нестабильной работе служб AD. Весь процесс установки очень прост и не требует много времени. А так же не сильно отличается от процесса для 2008 R2, поэтому в комментариях будут встречаться повторения.
Исходные данные:
- Хостовой сервер: Intel 2700, 8 GB RAM, ATI 4550, Windows Server 2012 Eval,Hyper-V, виртуальный коммутатор в режиме INTERNAL, RRAS для подключения гостевого сервера к интернету.
- Гостевой сервер: Intel 2700 x4, 2 GB RAM, ATI 4550. x4 для гостевого означает, что добавлено 4 виртуальных процессора.
- Сетевые настройки гостевого сервера: статический адрес, ДНС указывает на мой корпоративный контроллер домена.
Запускаем Server Manager, и визард установки ролей и возможностей. Выполняем по умолчанию до пункта выбора ролей:
Отмечаем только Active Directory Domain Services. Роль ДНС сервера будет установлена в процессе.
На шаге выбора возможностей я добавляю для себя Desktop Experience и Telnet Client. Они не нужны для работы Контроллера домена по этому не обязательны. Все остальные пункты - по умолчанию.
Promted this server to domain controller - запускает мастер настройки служб AD.
Выбираем "Add a new forest" - добавить новый лес. Это случай когда у вас нет домена. Наш случай.
"Add a domain controller to existing domain" - это случай, когда вы добавляете второй и более контроллеров домена в существующий домен.
"Add a new domain to an exitsting forest" - это случай, когда вы создаёте дочерний домен в существующем домене.
Имя корневого домена выбираем на своё усмотрение. Однако есть некоторые особенности в именовании домена.
Во-первых если вы используете интернет зону ".ru", ".com" то при наличии веб-сайта с одноименным доменом потребуется дополнительная настройка ДНС.
Во-вторых если вы используете зону ".local" некоторые клиенты, по отзывам в интернете, не смогут корректно взаимодействовать с доменом. Например МАС OS. Однако, при установки Windows Server Small Business 2011 зона будет ".local", и при этом мои клиенты МАС OS в нашей организации работают с доменом 2008 R2 без проблем. Вряд ли в 2012 стало хуже. Для подключения MAC OS к Windows домену я не использую встроенные средства в MAC OS. Я использую бесплатную программу Power Broker Open Edition.
Делегирование ДНС невозможно по причине того, что ДНС ещё не установлен. После перезагрузки создастся зона, и ДНС будет делегирован для AD доменной зоны.
На следующем этапе не нужно менять расположение данных папок! Т.к. вненесение измений на этом этапе не гарантирует корректную работу служб AD.
После перезгрузки в журналах мы увидим предупреждения. Это нормальное поведение, и некотрые из них будут повторятся при последующих перезагрузках контроллера домена. Однако их не будет во время работы, и через некоторое время они не будут регистрироваться DCDIAG.
Далее изобрежена оснастка ADUC, с уже созданной некоторой структурой. После установки контроллера домена, не забудьте отключить учётную запись Administrator. Для административных задач создайте новую административную учётную запись. Она может быть копией встроенного Administratora. Эти действия исключительно из соображений безопасности.
Оснастка управления групповыми политиками. Если кто будет менять Default политики - тот будет иметь много сложностей в работе домена и контроллера домена.
После установки служб AD сетевые настройки сервера будут изменены. Вам нужно их слегка подправить следуя рекомендациям Microsoft.
Configure adapter settings to add the loopback IP address to the list of DNS servers on all active interfaces, but not as the first server in the list
Сконфигурируйте настройки адаптера, добавив петлевой IP адрес в список ДНС серверов во всех активных интерфейсах, но не как первый сервер в списке.
Единственные необходимые настройки ДНС сервера - добавление "внешнего" ДНС сервера (куда будут перенаправляться интернет-запросы) и создание обратной зоны для вашей сети. Список ДНС для перенаправления уже может содержать предыдущий ДНС сервер или список будет пустой в случае, если никаких ДНС не было указано перед установкой.
Для корректной работы служб, сервисов (к примеру Exchange), которым нужны службы AD необходимо определить сети, которые обслуживает домен. Оснастка ADSS.
На этом всё. Многие оснастки вы можете найти в "пуске".
Заключение. Важные моменты (точно такие же как и для 2008 R2):
- Не рекомендуется использовать контроллер домена в роли маршрутизатора в целях безопасности из-за угроз из сети Интернет.
- Я не рекомендую совмещать "тяжёлые" и наиболее используемые пользователями роли (Exchange, File Server, Hyper-V) с ролями AD DS. Это связанно не столько с доступом пользователей к серверу, сколько к обслуживанию и восстановлению ролей. Я считаю, что в случае, если какая-либо роль даёт сбой, то на время её восстановления приходится выключать\перезагружать сервер, а следовательно пропадает авторизация, необходимая для доступа к другим ресурсам.
- Для контроллера домена необходим статический IP адрес.
- В настройках сетевого адаптера в поле ДНС должны быть указаны только IP адреса контроллеров домена и только после петлевой адрес 127.0.0.1.
- Для работы с интернетом необходимо проверить вкладку Forwarders в настройках ДНС сервиса.
- При наличии внешней сетевой карты исключить её из регистрации в ДНС. Настройки для внешней сетевой карты выдаются провайдером. На моей практике в одном из "двадцати" случаев наличие ДНС на внешнем интерфейсе не влияет на работу контроллера домена.
- После установки роли AD DS необходимо создать обратную зону в ДНС, определить сеть для вашего сайта.
18.10.2012
