AD域控服务器选型，配置和系统镜像选择推荐？

Active Directory（AD）域控制器是 Windows Server 环境的核心基础设施，其稳定性、安全性和性能直接影响整个企业的网络认证、权限管理和策略分发。选型不当可能导致单点故障、性能瓶颈或安全风险。

以下是针对 AD 域控服务器 的硬件选型、配置建议及系统镜像选择的详细指南：

一、 核心原则

1. 高可用性（HA）：生产环境中至少部署 2 台 域控制器，避免单点故障。
2. 最小化原则：域控服务器上只运行 AD DS 和 DNS 服务，不安装其他角色（如文件服务器、Exchange、Web 服务等），以减少攻击面和维护复杂度。
3. 备份优先：配置再好的服务器也需配合定期备份（System State Backup）。

二、 硬件选型推荐（Physical vs. Virtual）

场景 A：虚拟化环境（主流推荐）

绝大多数企业将 AD DS 作为虚拟机运行在 VMware vSphere、Hyper-V 或 Proxmox 上。

✅ 优势：快照备份方便、资源利用率灵活、易于迁移和克隆。

场景 B：物理服务器（传统或高性能需求）

适用于超大规模企业（数万用户）、特殊合规要求或对虚拟化开销敏感的极端场景。

三、 系统镜像与版本选择

1. Windows Server 版本

• ✅ 推荐：Windows Server 2022 Standard/Datacenter
  • 当前最新长期支持通道（LTSC）版本。
  • 支持更长的安全更新周期（截至 2031 年）。
  • 更好的加密算法默认设置（如 TLS 1.3、SHA-256 证书签名）。
  • 改进的安全基线（Secure Core Server 支持）。
• ⚠️ 可选：Windows Server 2019
  • 如果现有环境统一为 2019，且无新功能需求，可继续使用。
  • 支持结束日期：2029 年 1 月。
• ❌ 不推荐：Windows Server 2016 及更早版本
  • 即将或已经停止主流支持，存在已知漏洞风险。
  • 不支持现代安全特性（如 Credential Guard 增强版）。

2. 安装类型

• ✅ 推荐：Server with a GUI（带图形界面）
  • 虽然“最小安装”更安全，但管理员通常需要图形界面进行故障排查、查看事件日志或使用本地工具。
  • 可通过 PowerShell 实现自动化，GUI 仅用于应急。
• ❌ 不推荐：Server Core（无图形界面）
  • 虽减少攻击面，但现代管理工具（如 ADAC、部分第三方监控）对 Core 支持有限。
  • 维护成本较高，适合极客团队，不适合大多数企业 IT 部门。

3. 镜像来源

• 从 Microsoft Evaluation Center 下载官方 ISO。
• 使用 Media Creation Tool 制作启动 U 盘。
• 确保校验 SHA-256 哈希值，防止镜像被篡改。

四、 关键配置最佳实践

1. 静态 IP 地址

• 所有域控必须配置静态 IPv4 地址。
• DNS 服务器指向自身（首选）和另一台域控（备用）。
• 禁用不必要的协议（如 NetBIOS over TCP/IP，除非遗留系统需要）。

2. 时间同步（NTP）

• 根域控（PDC Emulator FSMO 角色持有者） 应配置为与外部可信 NTP 源同步（如 time.windows.com 或内部高精度时钟）。
• 其他域控自动从 PDC 同步时间。
• 重要性：Kerberos 认证依赖时间差 ≤5 分钟，否则会导致登录失败。

3. 防火墙规则

• 仅开放必要端口：
  • LDAP: 389/TCP, 636/TCP (LDAPS)
  • Kerberos: 88/TCP & UDP
  • DNS: 53/TCP & UDP
  • SMB: 445/TCP (用于 SYSVOL 复制)
  • RPC: 动态端口范围（需特别配置）
• 关闭所有非必要端口。

4. 安全加固

• 启用 BitLocker 加密系统盘（尤其物理服务器）。
• 禁用 Guest 账户。
• 实施严格的密码策略和账户锁定策略。
• 定期更新补丁（通过 WSUS 或 Intune）。
• 启用 Event Log Auditing（特别是安全日志中的登录事件）。

5. 备份策略

• 每日备份系统状态（包含 AD 数据库、SYSVOL、注册表）。
• 使用 Veeam、Altaro 等备份软件创建 VM 快照+增量备份。
• 测试恢复流程：每季度至少一次演练还原一台域控。
• 考虑启用 AD Recycle Bin（活动目录回收站），防止误删对象。

五、 总结推荐清单

💡 最后提醒：不要将域控放在同一台物理宿主机上！务必分散部署以实现真正的容灾能力。