域控服务器（Domain Controller，域控简称DC）是服务Windows网络里管人的那台机器。所有用户账号、域控密码、服务权限，域控全都攥在它手里。服务你上班登录电脑，域控系统背后就是服务在问它：“这人靠谱吗？”它说行，你才能进桌面。域控

我见过一家小公司，服务三十来号人，域控图省事，服务所有电脑都设了同一个本地管理员密码。域控后来有个员工离职，服务顺手把财务的域控共享盘拷走了一大半。老板才急了，找我帮忙。我给他上了台域控，每个人一个账号，权限按组分配。离职当天账号一禁用，他连开机都进不去。这就是域控最直白的作用——把“谁是谁、能干什么”这件事，从每台电脑上收回来，集中管。

域控的核心是AD（Active Directory），你可以把它想象成一个巨大的通讯录加门禁系统。通讯录里存着用户、计算机、打印机、共享文件夹这些对象。门禁系统负责验证身份，也就是认证。认证通过之后，再根据你所在的组，决定你能访问哪些资源，这叫授权。认证和授权分开，是AD设计里比较聪明的一点。

一台域控显然不够。它要是挂了，全公司都别想登录。所以实际部署至少两台，互为主备。它们之间会同步数据，默认十五秒一次。你在一号机上改了密码，十几秒后二号机也知道了。这个同步机制有个坑：如果两台域控之间的网络断了，各自还能独立工作，但数据就不一致了。等网络恢复，冲突解决规则是按时间戳，后改的覆盖先改的。所以别没事去动域控的系统时间，容易出乱子。

域控的部署方式这几年变化不小。以前都是物理机，一台服务器只干这一件事。现在虚拟化普及了，很多公司把域控跑在VMware或Hyper-V上。方便是方便，但要注意别把域控和宿主机的时间同步搞混。虚拟机默认跟宿主机对时，宿主机又跟外部NTP对时，域控自己还要给域内所有机器授时。这条时间链一乱，Kerberos认证就会失败，用户登录报错，查起来很头疼。

还有个细节：域控最好别兼任其他角色。我见过把域控和文件服务器装同一台机器的，结果文件服务被攻击，域控也跟着沦陷。域控一旦被拿下，攻击者就能给自己建个管理员账号，整个域就全完了。所以条件允许的话，域控就干认证这一件事，别的活交给别的机器。

日常运维里，最常打交道的工具是AD用户和计算机、组策略管理。组策略是个好东西，能批量推桌面背景、映射网络驱动器、限制U盘使用。但组策略生效有延迟，默认九十秒刷新一次。你改完策略，别指望用户立刻看到效果。急的话，在客户机上跑gpupdate /force，或者重启。不过重启之前最好确认一下，别把人家没保存的文档搞丢了。

域控的备份也特殊。不能用普通的文件备份，得用系统状态备份，把AD数据库、注册表、SYSVOL目录都包含进去。恢复的时候更麻烦，分授权恢复和非授权恢复。非授权恢复是把备份的数据同步回域里，授权恢复是强制把某个对象恢复到备份时的状态，然后复制到其他域控。后者操作不当会把旧数据扩散出去，得小心。

说到底，域控服务器不是装完就完事的。它像公司的门禁系统，装好只是开始，日常得有人盯着日志、管着权限、定期备份。没人管的话，要么权限乱成一锅粥，要么哪天崩了全公司干瞪眼。