AD域控服务器选型，配置和系统镜像选择推荐？

选 AD 域控（Active Directory Domain Controller, DC）不是买消费品，别只看参数跑分。AD 的核心诉求是：高可用、低延迟、数据一致性。一旦挂掉，全公司登录、权限、组策略全部瘫痪。

以下是基于生产环境实战经验的选型、配置和镜像建议，去伪存真，直接上干货。

一、 硬件选型：稳字当头，拒绝花哨

1. 服务器品牌与系列

• 首选：Dell PowerEdge R 系列（如 R740/R750）、HPE ProLiant DL380 Gen10/Gen11。
  • 理由：这两家在企业级市场的占有率最高，驱动兼容性最好，售后响应最快。AD 对硬件性能要求不高，但对稳定性要求极高。
• 避坑：不要为了省钱买二手拆机件或杂牌 OEM 服务器。内存 ECC 错误、硬盘背板故障在早期可能不明显，但会在域控负载下引发灾难性后果。

2. CPU

• 核心数：不需要多核堆砌。2-4 颗物理 CPU，每颗 8-16 个逻辑核心足够支撑数千到数万用户规模。
• 注意：如果未来有虚拟化整合计划（见下文），CPU 主频比核心数更重要，因为虚拟化开销会吃掉部分资源。

3. 内存

• 容量：至少 64GB，推荐 128GB。
  • 原因：Windows Server 本身占用不大，但如果你的 DC 同时承载 DNS、DHCP，或者运行了一些轻量级服务（如 PowerShell 远程处理、日志收集X_X），内存越大，页面交换越少，查询响应越快。
• 类型：必须使用 DDR4/DDR5 ECC Registered 内存。

4. 存储（最关键的一环）

• 系统盘：必须 SSD/NVMe RAID 1。
  • AD 数据库（NTDS.dit）是高频随机读写操作。机械硬盘做系统盘会导致登录慢、GPO 下X_X顿。
• 数据盘：如果单独存放日志或备份，可使用大容量 HDD RAID 5/6。
• RAID 卡：带缓存（Cache）且断电保护（BBU/FBWC）的硬件 RAID 卡。没有缓存的 RAID 卡会让小文件写入性能暴跌。

5. 网卡

• 双口或多口万兆/千兆电口。
  • 原则：冗余！至少两个网口绑定（NIC Teaming/LACP），分别接不同交换机端口，防止单点故障。

二、 系统镜像选择：纯净、稳定、长期支持

1. 版本选择

• 推荐：Windows Server 2022 Standard/Datacenter 或 Windows Server 2019 LTSC。
  • 为什么选 LTSC（长期服务频道）？LTSC 版本没有预装多余应用（如 Edge、Store、Cortana 等），后台服务更少，攻击面更小，重启频率极低，最适合做基础设施角色。
  • 为什么不选 2025？除非你有特殊新功能需求，否则 2022 已经非常成熟，社区文档丰富，兼容性好。新系统往往意味着未知的 Bug 和驱动问题。

2. 安装介质来源

• 严禁从第三方 Ghost 站、下载站获取 ISO。
• 正确做法：
  1. 通过微软官方 MSDN / Volume Licensing Service Center (VLSC) 下载原版 ISO。
  2. 或使用微软官方 Media Creation Tool 制作启动 U 盘。
  3. 校验 SHA-256 哈希值，确保文件完整无篡改。

3. 初始化配置要点

• 静态 IP：DC 必须配置固定 IPv4 地址，DNS 指向自己（如果是唯一 DC）或另一台 DC。
• 主机名规范：遵循 DC-站点-序号 格式，如 DC-BJ-01，便于识别。
• 时间同步：确保 NTP 设置正确，所有 DC 必须与权威时间源同步，否则 Kerberos 认证会失败（时间偏差超过 5 分钟即报错）。

三、 架构与高可用设计：单点故障是禁忌

1. 至少两台 DC

• 永远不要只部署一台域控。即使公司只有 10 个人，也要有两台。
• 主备模式：其中一台作为 PDC Emulator（主域控制器仿真器），负责时间同步和密码修改；另一台作为辅助 DC，分担认证请求。
• 跨机架/跨供电：两台 DC 应放置在不同机架、不同 UPS 回路，甚至不同机房。

2. 虚拟机 vs 物理机

• 当前主流趋势：虚拟机化。
  • 使用 VMware ESXi 或 Microsoft Hyper-V 托管 DC。
  • 优势：快照备份、快速迁移、资源隔离。
  • 关键规则：
    1. 不要对 DC 进行“检查点”（Checkpoint/Snapshot）合并操作，除非你完全理解其影响并测试过。
    2. 确保 hypervisor 层的存储 I/O 不成为瓶颈。
    3. 如果必须用物理机，请确保硬件冗余级别足够高。

3. DNS 集成

• AD 深度依赖 DNS。确保每台 DC 都安装了 DNS 服务，并将区域复制到所有 DC。
• 客户端 PC 的 DNS 优先指向本地 DC，次指向外部 DNS（如 114.114.114.114 或运营商 DNS），避免内部解析失败。

四、 安全加固与运维建议

1. 最小权限原则

• 日常办公电脑绝不使用 Domain Admin 账号登录。
• 域管账号仅用于维护，且应启用 MFA（多因素认证），并通过跳板机（Jump Server）访问。

2. 定期备份

• 系统状态备份：每周至少一次完整备份，包含 NTDS.dit、注册表、SYSVOL。
• 工具：Windows Server Backup 即可胜任，无需昂贵第三方软件（除非有合规要求）。
• 验证：每季度做一次恢复演练，确认备份能真正还原。

3. 打补丁策略

• 开启 Windows Update，但不要在 DC 上自动重启。
• 建立月度补丁窗口，先在测试环境验证，再在生产环境推送。
• 特别关注针对 Kerberos、SMB、RDP 的安全补丁，这些是黑客高频攻击入口。

4. 监控告警

• 使用 Zabbix、PRTG 或 SCOM 监控：
  • DC 在线状态
  • 磁盘空间
  • 事件日志中的异常登录（如 Event ID 4771, 4776）
  • 复制状态（Replication Status）——确保多台 DC 间数据同步正常。

总结清单

记住：AD 是企业的数字心脏。它的价值不在于快，而在于不出错。宁可多花 20% 预算在冗余和备份上，也不要省那 10% 导致全天停摆。