导出作为域控制器运行的 VM

Question

有一篇 Microsoft KB 文章讨论了在 VM 上运行 DC 的最佳实践。其中一个注意事项是“不要在运行域控制器的虚拟机上使用导出功能”。要导出 VM，需要关闭 VM。如果您关闭 DC VM，将其导出，将其导入另一台服务器，然后重新打开 VM，只要原始（导出的）VM 从未重新打开电源，就不会有风险。有人可以向我解释为什么不支持吗？在谷歌上进行了一些搜索后，我发现的网站只是从知识库文章中反驳了这一行，但没有提供任何关于为什么不支持的解释。

Answer 1

问题的核心在于每个域控制器由域唯一标识的方式，以及域信息如何通过系统复制。

至关重要的是：

A) 每个域控制器始终保持自己的唯一 ID，不变。克隆 DC 或更改其 SID 的操作将破坏这一点。

B) 新 DC 仅通过 DCPROMO 过程添加到域中。域取决于此过程添加到域中的信息，以识别网络上的 DC。任何使看似有效 DC 的机器联机但并未在域中唯一推广的操作，都会引起各种头痛。

C) DC 永远不会恢复到时间倒退的点。所以没有快照等。这是因为域依赖于不断增加的票号类型系统来识别对域的更改。恢复到先前状态的 DC 将具有较低的票证 ID，而域具有较高的票证 ID。这会让您进入 Grizly 描述的 USN 回滚场景。

总结：运行虚拟 DC 是可能的，但您必须格外小心，不要执行违反 DC 操作要求的 VM 操作。