Как поднять контроллер домена на Windows Server 2019 — вопрос, который возникает у системных администраторов при развертывании новой инфраструктуры или миграции с устаревших версий. Процесс включает установку роли Active Directory Domain Services (AD DS), настройку первого контроллера в лесу или добавление дополнительного в существующий домен. В этой статье разберем все этапы: от подготовки сервера до проверки работоспособности.

Windows Server 2019 поддерживает два варианта развертывания: через графический интерфейс Server Manager или PowerShell. Оба способа ведут к одному результату, но ускоряет процесс при автоматизации или настройке нескольких серверов. Перед началом убедитесь, что сервер соответствует минимальным требованиям и имеет статический IP-адрес.

Требования к серверу и предварительная подготовка

Прежде чем поднимать контроллер домена, нужно убедиться, что сервер готов к установке роли AD DS. Минимальные требования для Windows Server 2019:

  • Процессор: 1.4 ГГц, 64-разрядный, с поддержкой NX и DEP.
  • Оперативная память: 512 МБ (рекомендуется 2 ГБ и более для производственной среды).
  • Жесткий диск: минимум 32 ГБ, но для доменных контроллеров лучше выделить не менее 60 ГБ.
  • Сетевой адаптер: статический IP-адрес (обязательно!).

Также проверьте, что имя сервера соответствует стандартам DNS (без пробелов и специальных символов), а время на сервере синхронизировано с NTP-сервером. Разница во времени между контроллерами домена не должна превышать 5 минут.

💡

Перед установкой AD DS отключите IPv6, если он не используется в вашей сети. Это избавит от потенциальных проблем с репликацией и DNS.

Способ установки Время выполнения Необходимость перезагрузки Автоматизация
Server Manager 5–10 минут Да (рекомендуется) Нет
PowerShell 2–5 минут Да (если требуется) Да
Answer File (offline) Зависит от конфигурации Да Да

Установка роли Active Directory Domain Services

Первый шаг — добавление роли AD DS на сервер. Это можно сделать через Server Manager или PowerShell. Рассмотрим оба варианта.

Способ 1: через Server Manager

  1. Откройте Server Manager и выберите Add roles and features.
  2. На странице Before You Begin нажмите Next.
  3. Выберите Role-based or feature-based installation и укажите текущий сервер.
  4. В списке ролей отметьте Active Directory Domain Services.
  5. На странице Features добавьте Group Policy Management (опционально, но полезно для дальнейшей настройки).
  6. Нажмите Install и дождитесь завершения.

Способ 2: через PowerShell

Откройте от имени администратора и выполните команду:

Install-WindowsFeature -Name AD-Domain-Services -IncludeManagementTools

Для установки вместе с инструментами управления (включая Active Directory Administrative Center) используйте флаг -IncludeManagementTools. После завершения установки перезагрузите сервер, если это потребуется.

Настройка первого контроллера домена

После установки роли AD DS нужно повысить сервер до контроллера домена. Для этого запустите dcpromo (в Windows Server 2019 это делается через Server Manager или PowerShell).

В графическом интерфейсе:

  1. В Server Manager нажмите на флаг с восклицательным знаком в верхнем правом углу и выберите Promote this server to a domain controller.
  2. Выберите вариант развертывания:
    • Add a new forest — если это первый контроллер в новой инфраструктуре.
    • Add a domain controller to an existing domain — если добавляете контроллер в существующий домен.
  3. Укажите имя нового домена (например, contoso.local) и функциональный уровень леса и домена. Для Windows Server 2019 можно выбрать уровень Windows Server 2016 или Windows Server 2019.
  4. Настройте параметры DNS:
    • Убедитесь, что галочка Domain Name System (DNS) server установлена.
    • Укажите пароль для режима восстановления каталога (DSRM).
  5. Проверьте параметры и нажмите Install.

Сервер перезагрузится автоматически после завершения установки.

В аналогичные действия выполняются командой:

Install-ADDSForest -DomainName "contoso.local" -DomainNetbiosName "CONTOSO" -ForestMode Win2019 -DomainMode Win2019 -InstallDns -SafeModeAdministratorPassword (ConvertTo-SecureString "P@ssw0rd" -AsPlainText -Force)

Проверка установки и базовая настройка

После перезагрузки сервер станет контроллером домена. Теперь нужно проверить, что все работает корректно.

  • Проверка ролей: Откройте Server Manager и убедитесь, что в разделе Roles and Features отображается Active Directory Domain Services.
  • Проверка DNS: Запустите DNS Manager (dnsmgmt.msc) и убедитесь, что зоны прямого и обратного просмотра созданы.
  • Проверка репликации: Если это не первый контроллер в домене, используйте команду repadmin /replsummary для проверки репликации.
  • Проверка времени: Убедитесь, что время на сервере синхронизировано с источником. Используйте w32tm /query /status.

Если все параметры в порядке, можно приступать к настройке дополнительных ролей, таких как DHCP или Group Policy.

Какой способ настройки контроллера домена вы используете чаще?
Через Server Manager
Через PowerShell
Через Answer File
Другой вариант

Допалнительные роли и функции для контроллера домена

Контроллер домена часто выполняет и другие задачи в инфраструктуре. Рассмотрим, какие роли и функции можно добавить для повышения функциональности.

Роль/Функция Назначение Рекомендуется ли устанавливать на DC?
DHCP Server Автоматическое распределение IP-адресов Да (длясетей)
DNS Server Разрешение имен в домене Да (обязательно)
File Services Общие папки и хранилище данных Нет (лучше выделять отдельный сервер)
Group Policy Management Управление групповыми политиками Да
Windows Server Update Services (WSUS) Управление обновлениями Нет (лучше отдельный сервер)

Установка дополнительных ролей на контроллере домена может упростить управление, но увеличивает нагрузку на сервер. В производственной среде критичные роли (например, DHCP или WSUS) лучше размещать на отдельных серверах.

Устранение типовых ошибок при установке

При подъеме контроллера домена могут возникать ошибки. Рассмотрим наиболее распространенные и способы их решения.

  1. Ошибка: "The domain name could not be found"

    Причина: неверное имя домена или проблемы с DNS.

    Решение: проверьте имя домена на наличие ошибок, убедитесь, что DNS-сервер доступен и правильно настроен.

  2. Ошибка: "The Netlogon service is not running"

    Причина: служба Netlogon не запущена.

    Решение: запустите службу вручную через services.msc или PowerShell: Start-Service Netlogon.

  3. Ошибка: "The directory service is not available"

    Причина: проблемы с репликацией или недоступность других контроллеров домена.

    Решение: проверьте сетевое подключение, репликацию (repadmin /syncall) и доступность других контроллеров.

  4. Ошибка: "Insufficient access rights to perform the operation"

    Причина: недостаточно прав для выполнения операции.

    Решение: выполните установку от имени администратора домена или локального администратора сервера.

⚠️ Внимание: Если при установке возникают ошибки, связанные с репликацией или синхронизацией времени, не игнорируйте их. Неправильная работа контроллера домена может привести к сбоям в всей инфраструктуре Active Directory. В сложных случаях обратитесь к логам Event Viewer (журналы Directory Service и DNS Server).

Резервное копирование и восстановление контроллера домена

Контроллер домена — критически важный элемент инфраструктуры, поэтому его резервное копирование должно быть настроено в обязательном порядке. В Windows Server 2019 можно использовать встроенные инструменты или сторонние решения.

Способы резервного копирования:

  • Windows Server Backup — встроенный инструмент для создания резервных копий. Поддерживает копирование состояния системы, включая AD DS.
  • wbadmin — утилита командной строки для резервного копирования.
  • Сторонние решения: Veeam Backup, Acronis Backup, Commvault.

Для восстановления контроллера домена можно использовать:

  • Authoritative Restore — восстановление с повышением приоритета для отдельных объектов.
  • Non-authoritative Restore — стандартное восстановление, после которого данные синхронизируются с другими контроллерами.
  • Bare-metal recovery — полное восстановление сервера из резервной копии.
Как выполнить Authoritative Restore

Для восстановления отдельного объекта с повышением приоритета: 1. Загрузите сервер в режиме восстановления каталога (DSRM). 2. Восстановите состояние системы из резервной копии. 3. Запустите ntdsutil и выполните команды: authoritative restore, затем restore object "CN=User,DC=contoso,DC=local". 4. Перезагрузите сервер. После этого объект будет восстановлен с меткой времени, превышающей текущую, и реплицирован на другие контроллеры.

Практическая инструкция: поднимаем контроллер домена за 30 минут

Если вам нужно быстро развернуть контроллер домена, следуйте этой пошаговой инструкции. Время выполнения — около 30 минут (без учета загрузки и установки обновлений).