Настройка Active Directory на Windows Server 2019 — основа для централизованного управления пользователями, компьютерами и политиками в сети. Без неё сложно организовывать доступ к ресурсам, контролировать безопасность и автоматизировать задачи. В этой статье разберём процесс от установки роли до базовой настройки, чтобы вы могли быстро развернуть домен в своей инфраструктуре.

Сразу скажу: если вы новичок, не пугайтесь терминов вроде «леса», «домены» или «контроллеры». В большинстве случаев для небольшой сети хватит одного сервера с ролью AD DS (Active Directory Domain Services). Далее — пошаговая инструкция с нюансами, которые чаще всего упускают.

Подготовка сервера перед установкой Active Directory

Перед тем как настроить Active Directory на Windows Server 2019, нужно подготовить систему. Во-первых, проверьте требования: минимально 4 ГБ ОЗУ, 32 ГБ на диске и статический IP-адрес. Во-вторых, обновите сервер через Windows Update — это избавит от проблем с совместимостью.

Назначьте серверу статический IP-адрес в настройках сетевого адаптера. Для этого:

1. Откройте Панель управления > Центр управления сетями и общим доступом > Изменение параметров адаптера.

2. Выберите активный адаптер, кликните правой кнопкой — Свойства > Протокол версии 4 (TCP/IPv4).

3. Укажите IP-адрес (например, 192.168.1.10), маску подсети (255.255.255.0), шлюз и DNS-сервер (можно указать этот же IP, если сервер будет выполнять роль DNS).

💡

Если сервер будет единственным в сети, укажите его IP в качестве предпочтительного DNS-сервера. Это ускорит разрешение имён в домене.

Также убедитесь, что имя сервера соответствует стандартам DNS (например, DC01 или SRV-AD-01). Изменить его можно через Панель управления > Система > Дополнительные параметры системы > Имя компьютера.

КомпонентОписаниеОбязателен?
Службы домена Active Directory (AD DS)Основная роль для создания домена и управления имДа
DNS-серверНужен для разрешения имён в доменеРекомендуется
Средства управления AD DSГрафические инструменты для администрированияДа
Службы сертификатов ADДля работы с сертификатами в доменеНет

Установка роли Active Directory Domain Services

Теперь переходим к установке роли. Откройте Диспетчер серверов — это основной инструмент для управления ролями и функциями. В верхнем меню выберите Добавить роли и компоненты.

В мастере установки:

  1. Выберите Установка ролей или компонентов и нажмите Далее.
  2. Оставьте выбранным текущий сервер в пуле серверов.
  3. В списке ролей отметьте Службы домена Active Directory.
  4. В всплывшем окне добавьте требуемые компоненты (например, Средства управления AD DS) и нажмите Добавить компоненты.
  5. Нажмите Далее до завершения установки.

После установки роли сервер ещё не становится контроллером домена. Это просто подготовка системы к промоушну (повышению до контроллера).

Повышение сервера до контроллера домена

Чтобы преобразовать сервер в контроллер домена, запустите мастер промоушна. Сделать это можно двумя способами:

  • Через уведомление в Диспетчере серверов (появится после установки роли AD DS). Кликните по жёлтому треугольнику с предупреждением и выберите Повысить этот сервер до контроллера домена.
  • Через PowerShell: запустите.command Install-WindowsFeature AD-Domain-Services -IncludeManagementTools, а затем Install-ADDSForest (для нового леса) или Install-ADDSDomainController (для добавления в существующий домен).

В мастере промоушна:

  • Выберите Добавить новый лес (если это первый контроллер в сети) или Добавить контроллер домена в существующий домен.
  • Укажите имя корневого домена (например, contoso.local).
  • Задайте пароль для режима восстановления Directory Services (DSRM). Не теряйте его! — он понадобится для восстановления системы.
  • Настройте параметры DNS. Рекомендуется установить флажок Установить DNS-сервер.
  • Проверьте путь к базе данных и журналам (по умолчанию C:\Windows\NTDS).

Настройка для Active Directory

DNS — неотъемлемая часть Active Directory. Без правильной настройки клиенты не смогут найти контроллер домена, а аутентификация будет невозможна. После промоушна сервера в контроллер домена DNS-сервер устанавливается автоматически, но его нужно настроить.

Откройте Диспетчер DNS через Администрирование > DNS. Проверьте:

  1. Зону прямого просмотра для вашего домена (например, contoso.local).
  2. Зону обратного просмотра (если нужно разрешение в имена).
  3. Записи типа A для контроллера домена (должна быть запись с именем сервера и его IP).
  4. Записи типа SRV в папке _tcp — они указывают клиентам, где искать контроллер домена.
⚠️ Внимание: Если в сети уже есть DNS-сервер, убедитесь, что он поддерживает динамические обновления и интегрирован с Active Directory. В противном случае клиенты не смогу к домену.
Какой способ промоушна сервера вы используете чаще?
Через Диспетчер серверов
Через PowerShell
Через командную строку (dcpromo)
Другой вариант

Создание оргонизационных единиц (OU) и пользователей

После установки Active Directory на Windows Server 2019 можно приступать к созданию структуры домена. Организационные единицы (OU) помогают группировать объекты (пользователей, компьютеры, группы) для удобного управления.

Для создания OU:

  1. Откройте Пользователи и компьютеры Active Directory (dsa.msc).
  2. Кликните правой кнопкой на домене (например, contoso.local) и выберите Создать > Организационная единица.
  3. Укажите имя OU (например, Отдел продаж или Серверы).
Тип объектаНазначениеПример
Организационная единица (OU)Группировка объектов для управленияОтдел маркетинга, IT-отдел
ПользовательУчётная запись для входа в системуIvanov_I, Petrov_A
ГруппаОбъединение пользователей с одинаковыми правамиАдминистраторы, Пользователи бухгалтерии
КомпьютерУчётная запись для компьютера в доменеPC-Sales-01, Laptop-HR-02

Чтобы создать пользователя:

  1. В Пользователи и компьютеры Active Directory выберите OU, где нужно создать пользователя.
  2. Кликните правой кнопкой — Создать > Пользователь.
  3. Заполните поля: имя, фамилия, имя входа (например, Ivanov_I), пароль.
  4. Нажмите Далее и Готово.

Организационные единицы (OU) упрощают применение групповой политики (GPO) к конкретным группам пользователей или компьютеров.

Настройка групповой политики (GPO)

Групповая политика позволяет централизованно управлять конфигурацией пользователей и компьютеров. Например, можно задать автоматическое маппирование сетевых дисков, запретить доступ к панели управления или настроить параметры безопасности.

Для создания GPO:

  1. Откройте Управление групповой политикой (gpmc.msc).
  2. Кликните правой кнопкой на OU, для которой нужно создать политику, и выберите Создать объект групповой политики в этом домене и связать его здесь.
  3. Укажите имя политики (например, Блокировка USB-портов).
  4. Кликните правой кнопкой на созданной политике и выберите Изменить.
  5. В редакторе групповой политики настройте нужные параметры (например, в разделе Конфигурация пользователя > Административные шаблоны > Система).
Как проверить применение GPO на клиентском компьютере?

Запустите командную строку от имени администратора и выполните команду gpupdate /force, чтобы применить политики немедленно. Затем проверьте результат с помощью rsgp.msc (Отчёт о результирующей политике).

Практика: пошаговый план настройки Active Directory

Чтобы ничего не упустить при настройке Active Directory на Windows Server 2019, следуйте этому плану:

Чек-лист по настройке Active Directory на Windows Server 2019

Выполнено: 0 / 9

Часто задаваемые вопросы

Можно ли установить Active Directory на Windows Server 2019 без GUI?

Да, можно использовать Server Core — минимальную установку без графического интерфейса. Для этого используйте PowerShell-команды: Install-WindowsFeature AD-Domain-Services -IncludeManagementTools, а затем Install-ADDSForest с нужными параметрами. Однако для новичков проще работать с полной версией сервера.

Что делать, если после установки клиенты не могут подключиться к домену?

Проверьте настройки DNS: клиенты должны использовать IP-адрес контроллера домена в качестве основного DNS-сервера. Также убедитесь, что время на клиенте и сервере синхронизировано (разница не должна превышать 5 минут). Для диагностики используйте команду nslookup на клиентском компьютере.

Как перенести роль на другой контроллер домена?

Для переноса ролей FSMO (Flexible Single Master Operations) используйте команду Move-ADDirectoryServerOperationMasterRole в PowerShell. Например: Move-ADDirectoryServerOperationMasterRole -Identity "SRV-02" -OperationMasterRole SchemaMaster, DomainNamingMaster, PDCEmulator, RIDMaster, InfrastructureMaster. Перед переносом убедитесь, что новый сервер внесен в домен и синхронизирован.

Нужно ли устанавливать сертификаты для работы Active Directory?

Сертификаты не обязательны для базовой работы Active Directory, но они нужны для таких функций, как LDAP over SSL (LDAPS), Kerberos с шифрованием или Smart Card. Для их установки используйте роль Службы сертификатов Active Directory.