云服务器
部署 Active Directory（AD）域控制器是构建企业IT基础设施的核心环节。选择正确的服务器硬件、云平台配置以及操作系统版本，直接关系到身份验证的安全性、稳定性和性能。
以下是针对 AD域控服务器选型 的详细指南，分为 本地物理/虚拟化环境 和 云服务器环境 两部分，并包含关键的系统选择建议。
一、 核心原则：高可用与冗余
无论选择何种环境，AD域控必须遵循以下原则：
- 至少两台域控：防止单点故障。如果一台宕机，另一台可继续提供认证服务。
- 多站点分布：如果业务分布在多个地理位置，应在每个主要地点部署至少一台域控，以减少网络延迟。
- 数据备份：定期执行系统状态备份或完整备份。
二、 云服务器环境下的 AD 选型指南
随着混合云架构的普及，越来越多的企业选择在云上运行部分或全部域控角色。以下是主流云厂商的配置建议：
1. 云厂商推荐
- 阿里云 (Alibaba Cloud)：推荐使用 专有网络 VPC + 弹性计算 ECS。支持通过 AD Connector 连接本地AD到云端，或直接部署 Windows Server VM。
- 腾讯云 (Tencent Cloud)：类似阿里云，提供 CVM 实例，支持快速部署 Windows Server 镜像。
- AWS (Amazon Web Services)：
- 首选方案：Managed Microsoft AD（托管式Microsoft AD）。这是 AWS 完全托管的服务，无需管理底层Windows服务器，自动处理补丁、备份和高可用，但成本较高。
- 自建方案：在 EC2 上运行 Windows Server，需自行维护。
- Azure (微软云)：
- 首选方案：Azure Active Directory Domain Services (AAD DS)。微软原生集成，无缝对接 Office 365 和 Azure 资源，适合纯云环境。
- 传统方案：在 Azure VM 上安装 Windows Server。
2. 云服务器配置建议（以自建 Windows Server 为例）
| 组件 | 最小配置（小型企业 <50用户） | 推荐配置（中型企业 50-500用户） | 高性能配置（大型企业 >500用户） |
|---|---|---|---|
| vCPU | 2 vCPU | 4 vCPU | 8+ vCPU |
| 内存 | 4 GB RAM | 8–16 GB RAM | 32+ GB RAM |
| 磁盘类型 | SSD 云盘（通用型） | SSD 云盘（高效型/极速型） | ESSD PL1/PL2 级别 |
| 磁盘容量 | 50 GB（系统+日志） | 100–200 GB（含SYSVOL复制） | 500 GB+（考虑大型GPO和日志） |
| 网络 | 内网带宽 ≥ 1 Mbps | 内网带宽 ≥ 5 Mbps | 内网带宽 ≥ 10 Mbps，启用多可用区 |
| 高可用 | 无（不推荐） | 跨可用区部署2台 | 跨地域/多可用区集群 |
注意：AD对磁盘I/O敏感，尤其是SYSVOL文件夹中的组策略对象（GPO）。务必使用高性能SSD存储。
三、 本地物理/虚拟化环境选型指南
1. 硬件选型建议
- CPU：主频比核心数更重要。AD认证过程是CPU密集型操作，建议选择 高主频 处理器（如 Intel Xeon Scalable 或 AMD EPYC）。
- 内存：至少 8GB，推荐 16GB+。确保有足够内存用于 NTDS.dit 数据库缓存。
- 存储：
- RAID 10：最佳选择，兼顾性能和冗余。
- NVMe SSD：显著提升登录速度和GPO应用速度。
- 避免使用 RAID 5/6：写入惩罚高，不适合AD工作负载。
- 电源与网络：双电源冗余，双网卡绑定（NIC Teaming）以提高网络可用性。
2. 虚拟化平台
- VMware vSphere / ESXi：行业标准，支持HA（高可用）和DRS（动态资源调度），适合大多数企业。
- Microsoft Hyper-V：与Windows Server深度集成，许可证成本低，适合已拥有Windows数据中心许可证的企业。
- Proxmox VE / ZFS：开源方案，适合预算有限但具备技术能力的团队。
四、 操作系统选择指南
1. 版本选择
- ✅ 推荐：Windows Server 2022 Datacenter Edition
- 最新长期支持版本（LTSC），安全更新支持至2031年。
- 支持更强大的加密功能（如 SMB 3.1.1、AES-256 GCM）。
- 更好的容器支持和安全性增强（如受信任的平台模块 TPM 集成）。
- ⚠️ 可选：Windows Server 2019
- 目前仍广泛使用，稳定可靠。
- 支持至2029年1月。
- 如果现有环境已是2019，且无新功能需求，可继续使用。
- ❌ 不推荐：Windows Server 2016 及更早版本
- 即将或已经停止主流支持，存在安全风险。
- 缺少现代安全协议支持。
2. 版本类型
- Datacenter（数据中心版）：
- 允许无限数量的Windows Server虚拟机。
- 强烈推荐用于虚拟化环境，因为通常会在多台主机上运行域控副本。
- Standard（标准版）：
- 仅授权2个虚拟机实例。
- 适用于物理服务器直装，或只有1-2台虚拟域控的场景。
3. 系统优化建议
- 禁用非必要服务：如 Print Spooler（除非需要打印）、Bluetooth Support等。
- 启用防火墙：默认开启Windows防火墙，仅开放必要端口（LDAP 389/636, Kerberos 88, DNS 53, RPC 动态端口等）。
- 配置事件日志：增加日志文件大小，避免频繁轮转导致信息丢失。
- 时间同步：确保所有域控与同一外部NTP源同步，避免Kerberos认证失败。
五、 关键注意事项
- IP地址固定：域控必须使用静态IP地址，不能依赖DHCP自动分配。
- DNS集成：AD严重依赖DNS。确保域控同时充当内部DNS服务器，并正确配置正向查找区域和反向查找区域。
- 防火墙端口：
- TCP/UDP 53 (DNS)
- TCP/UDP 88 (Kerberos)
- TCP 135 (RPC Endpoint Mapper)
- TCP 389/636 (LDAP/LDAPS)
- TCP 445 (SMB for SYSVOL/NETLOGON)
- UDP 123 (NTP)
- 动态RPC端口范围（需在注册表中固定，便于防火墙配置）
- 权限最小化：不要将普通用户加入“Domain Admins”组。使用UAC（用户账户控制）提升权限。
- 监控与告警：部署监控系统（如Zabbix, Prometheus, 或云厂商自带的CloudMonitor），监控CPU、内存、磁盘空间、事件日志错误（特别是Event ID 4768, 4776等认证失败事件）。
六、 总结建议
| 场景 | 推荐方案 |
|---|---|
| 纯云环境（新公司） | AWS Managed Microsoft AD 或 Azure AAD DS（免运维，高可用） |
| 混合云（已有本地AD） | 本地部署2台Windows Server 2022域控 + 云端AD Connector |
| 中小企业（<100人） | 2台Hyper-V/VMware虚拟机，Windows Server 2022 Standard/Datacenter，跨主机部署 |
| 大型企业（>500人） | 多站点分布式部署，每站点2-4台高性能物理机或虚拟机，Windows Server 2022 Datacenter |
最终建议：对于大多数企业，“2台Windows Server 2022虚拟机 + 跨主机/跨可用区部署” 是最平衡性能、成本和易用性的选择。务必做好备份和高可用规划。