Windows Server域控配置：从装角色到加域验证的完整步骤
Windows Server域控配置的核心流程只有四步：固定服务器IP和DNS、安装AD DS角色、把服务器提升为域控制器、创建用户并让客户端加域。
这套操作适用于Windows Server 2016/2019/2022的图形界面环境，下面按顺序给出每一步的路径和验证方式，照着做即可搭出一台可用的域控制器。
开始前需要确认的环境条件
域控对网络和命名有硬性要求，提前确认能省掉大量返工。
- 服务器已安装Windows Server，并设置好管理员密码。
- 为服务器规划一个静态IP，域控不要使用DHCP获取的地址。
- 想好域名，例如
corp.example.local或ad.company.com。内部测试常用.local后缀，但正式环境建议用你实际拥有的域名后缀。 - 如果这台机器之前装过AD DS又放弃，先确认没有残留配置再重来。
固定IP与DNS指向
域控同时充当DNS服务器，所以它的DNS地址要指向自己。
- 打开
控制面板 > 网络和共享中心 > 更改适配器设置，右键网卡进入属性，双击Internet 协议版本 4 (TCP/IPv4)。 - 填入静态IP，例如
192.168.1.10，子网掩码255.255.255.0，网关按实际填写。 - 首选DNS服务器填本机IP，即
192.168.1.10。这一步很关键，填错会导致后续提升域控失败。 - 用
ipconfig /all确认IP、DNS、主机名无误。
安装AD DS角色
可以用图形界面，也可以用PowerShell，两种方式效果一致。
图形界面路径：打开服务器管理器 > 管理 > 添加角色和功能，一路下一步，在“服务器角色”里勾选Active Directory 域服务，按提示添加所需功能，然后安装。
命令行方式（以管理员身份打开PowerShell）：
Install-WindowsFeature -Name AD-Domain-Services -IncludeManagementTools安装完成后，服务器管理器顶部会出现黄色的部署后配置提示，这是正常的，说明角色已就位但还没提升为域控。
把服务器提升为域控制器
点击服务器管理器里的黄色旗帜，选择“将此服务器提升为域控制器”。
- 部署配置里选择
添加新林，填入根域名，例如corp.example.local。 - 域控制器选项里选择林和域的功能级别，设置DSRM密码（目录服务还原模式密码），这个密码用于灾难恢复，务必记牢。
- DNS选项保持默认即可，因为这台机器本身就是第一台DNS。
- 数据库、日志、SYSVOL的路径默认在
C:\Windows\NTDS和C:\Windows\SYSVOL，磁盘空间充足时保持默认。 - 检查“先决条件检查”通过后点击安装，服务器会自动重启。
重启后用域账号登录，打开服务器管理器，看到AD DS和DNS角色都已列出，说明提升成功。
创建组织单位和用户
提升完成后，通过服务器管理器 > 工具 > Active Directory 用户和计算机来管理对象。
- 右键域名，新建
组织单位(OU)，例如按部门建IT、Sales。 - 在OU里右键选择“新建 > 用户”，填写登录名和密码。
- 用户首次登录时若要求改密码，可在用户属性的“账户”里调整相关选项。
批量创建时可用命令：
New-ADUser -Name "zhangsan" -SamAccountName "zhangsan" -UserPrincipalName "zhangsan@corp.example.local" -Path "OU=IT,DC=corp,DC=example,DC=local" -AccountPassword (Read-Host -AsSecureString "输入密码") -Enabled $true客户端加域与验证
客户端要能加域，DNS必须指向域控。
- 在客户端网卡的IPv4设置里，把首选DNS改为域控IP，例如
192.168.1.10。 - 用
ping corp.example.local测试域名能否解析，能解析出域控IP才继续。 - 进入
系统属性 > 更改设置 > 更改，选择“域”，输入域名，再输入有加域权限的域账号和密码。 - 提示“欢迎加入域”后重启客户端。
- 重启后用域账号登录，或用
whoami确认当前身份带域名前缀。
在域控上打开Active Directory 用户和计算机，查看Computers容器，能看到刚加入的计算机即表示加域成功。
容易踩的坑
- DNS填错：域控自己的DNS没指向本机，提升过程会报“无法联系域”之类的错误。
- 域名规划随意：正式环境不要随便用不归自己所有的公网域名后缀，避免解析冲突。
- DSRM密码丢失：这个密码不在日常登录里用，但恢复时需要，建议用密码管理器保存。
- 加域失败先查DNS：客户端能ping通IP但解析不了域名，基本都是DNS指向问题，而不是域控故障。
- 多台域控的复制：只有一台域控时不存在复制问题，但后续增加第二台时，要保证时间同步和DNS互通。
常见疑问
一台服务器能同时做域控和文件服务器吗？
可以，但域控承载认证和DNS，负载较高时建议把文件共享等业务分到成员服务器上，减少对认证服务的影响。
域控的IP可以改吗？
可以，但改IP后要同步更新DNS记录，并检查所有客户端的DNS指向，否则会出现加域或登录异常。
没有公网域名能不能搭域？
可以，内部环境用.local这类后缀即可，只是不要和已存在的公网域名冲突。
完成以上步骤后，你就拥有了一台能提供认证和DNS服务的域控制器。
后续如果要做组策略、映射盘符或统一桌面，可以在这个基础上继续配置；
遇到加域或解析异常时，优先回头检查DNS指向和域名拼写，这两处覆盖了大部分新手问题。
