域控服务器搭建，域控域控说穿了就是服务方法给公司局域网立个“户口本”。没有它，器搭每台电脑各自为政；有了它，建及加入老板一句话就能锁死所有员工的域控域控屏幕。我上个月刚给一家五十人的服务方法贸易公司搭完，整个过程比想象中粗暴直接。器搭

硬件别贪贵，建及加入普通四核CPU、域控域控16G内存的服务方法旧服务器就行，硬盘倒是器搭建议上两块SSD组RAID1——毕竟域控挂了，全公司连打印机都点不亮。建及加入系统我装的域控域控是Windows Server 2019，其实2016也够用，服务方法但2019的器搭组策略界面更顺手，特别是那个“受控文件夹访问”，对付勒索病毒比杀毒软件实在。

装完系统先改计算机名，别用默认那串随机字符。我习惯叫“DC-公司拼音缩写”，比如“DC-HXWL”。改完重启，接着装AD DS角色和DNS服务。这里有个坑：一定要把静态IP先设好，我见过有人用DHCP分配地址搭域控，某天路由器重启，全公司电脑集体“找不到域”。

角色装完，重点在“配置”环节。选“添加新林”，根域名用“公司名.local”最省事——别用“.com”，万一以后公司真买了公网域名，和内部域重名会惹出DNS解析的幺蛾子。林功能级别选2016，兼容性好，老掉牙的XP电脑也能加进来。

DNS正向查找区域会自动创建，别手贱去改。接下来设置组策略，密码策略我直接上强度：最小长度10位，强制历史5次，锁定阈值3次。小公司老板嫌麻烦，我就拿财务部电脑举例——去年隔壁公司就是因为某个会计的密码是“123456”，被钓鱼邮件拖走了客户名单，老板听完立马闭嘴。

域控本身搭完，客户端加入域才是重头戏。Windows 10/11操作几乎一样：设置—系统—关于—“重命名此电脑”，选“域”，输入域名。弹窗会让你填域账号，注意这里填的是“域管理员”或你授权的域账号，不是本地管理员。输完会提示欢迎加入域，重启就完事。

有个细节特容易卡住：客户端的DNS必须指向域控服务器IP。要是客户端自动获取IP，就在路由器DHCP里把DNS改成域控地址；手动IP的机器，直接改网卡属性。我遇到最离谱的一次，客户公司路由器里被前任网管写死了DNS，害得我排查了一个小时。

加入域后，用域账号登录，桌面会出现“域用户配置文件”，第一次登录会慢点，因为要从服务器拉取策略。如果发现桌面被锁死、壁纸变成默认蓝——别慌，那是组策略生效了。想放开，就在域控上编辑“Default Domain Policy”，把“桌面墙纸”和“隐藏桌面图标”改成未配置。

最后说个容易忽略的点：域控服务器时间必须准。我见过时钟慢了三分钟，结果所有客户端Kerberos认证失败，报错“找不到服务器”。在域控上配好NTP时间源，指向time.windows.com，一劳永逸。

搭完域控，公司电脑就归你管了。谁在偷偷装盗版软件、谁的U盘往主机里插过，都能在“事件查看器”里翻出来。那种掌控感，挺爽的，但责任也大——域控挂了，全公司都来敲你办公室门。