搭建领域环境的“官方实践”

Question

这是我们的场景。

我们有两台机器，机器 A 是一台设置为域控制器的 Windows Server 2003 SP2 机器。机器 B 是一台 Windows XP SP3 机器，它要加入到机器 A 的域控制器中。两台机器都有一个 LAN 卡。

两台计算机都连接到我们的公司局域网。由于我们公司的 LAN 启用了 DHCP，两台计算机都自动分配了它们的动态 IP 和 DNS 服务器（两个 LAN 卡都设置为“自动获取 IP 地址”和“自动获取 DNS 服务器地址”）

机器 B 已加入域（ian.sd.local -- 机器 A）。在请求域管理员帐户后，该计算机已成功加入域（通过欢迎消息验证）。然后它要求重新启动。

重新启动后，我们使用域管理员帐户登录到域。正常进去了。然后我们创建了一个新文件夹，然后共享它以检查我们是否可以从域控制器检索帐户，我们不能。从共享选项卡 -> 权限 -> 添加 -> 选择用户或组对话框中，单击位置按钮，DC 不会显示。

另一件事，使用 FQDN 从客户端计算机 ping 域控制器将失败。仅使用机器名称对其进行 ping 操作会成功。

我以某种方式知道问题是什么。由于客户端机器设置为自动获取DNS服务器地址，我们公司局域网给了我们自己的“公司DNS服务器”（由我们公司域控制器使用），从而导致客户端机器无法“解析”FQDN . 但是，我仍然不确定为什么在“选择用户或组”对话框中找不到“域控制器”。

无论如何，将域控制器的 IP 地址硬编码为客户端的首选主 DNS 服务器可以解决问题。

我的问题是，是否有“官方”Microsoft 文档告诉用户将域控制器的 IP 地址设置为客户端的首选主 DNS 服务器？我问是因为我们公司的测试人员使用上述设置来安装我们的一个软件，因此它失败了。我需要向他证明这是一个配置问题，而不是软件的问题。

谢谢！

Answer 1

DNS 对 Active Directory 的正常运行至关重要；任何和所有 Microsoft 文档都非常清楚地说明了这一点。

您的 DNS 服务器实际上并不需要是域控制器，甚至根本不需要是 Windows 机器；但是域成员计算机（包括 DC！）使用的 DNS 服务器必须对该域具有权威性；它们还需要支持SRV记录，并且应该允许动态 DNS 更新（除非您想要非常头疼地管理它们）。

以下是成员计算机配置的最佳实践：http :
//support.microsoft.com/kb/825036

这些链接是关于 DNS 和 Active Directory：
http://support.microsoft.com/kb/291382/en-us
http://technet.microsoft.com/en-us/library/cc759550(WS.10).aspx

这是使用非 Microsoft DNS 服务器的指南（有助于了解幕后实际发生的情况）：http :
//technet.microsoft.com/en-us/library/dd316373.aspx

虽然根据您的网络和域配置，事情当然会变得更加复杂，但 AD 环境中 DNS 的最佳实践非常简单，可归结为两个基本规则：

• 让您的 DC 成为 DNS 服务器。
• 让所有域计算机（包括 DC）使用它们，并且只使用它们。