一台旧电脑，域服装个Windows Server 2019，搭建就能撑起公司两百号人的教程账号认证。别不信，域服我上个月刚给一家做外贸的搭建小公司搭完。老板起初想买云上的教程Azure AD，一问价格，域服每年好几万，搭建立刻缩了回去。教程其实他们那点需求，域服一台配置过得去的搭建物理机就够了，两千块的教程二手ThinkStation都能跑得飞快。

先准备系统。域服Windows Server的搭建评估版能免费用180天，到期后可以重装，教程或者直接上KMS激活。装系统时注意磁盘分区，系统盘留个80G足矣，数据盘单独挂一块，放NTDS和SYSVOL。安装过程没什么特殊，一路下一步，唯一要记得的是设置一个强密码，至少十二位，大小写数字符号都得有。别用admin或password这种，我见过太多企业栽在这上面。

系统装完，改计算机名。这步不能省，默认那串随机字符后期管理起来想骂人。改成类似"DC01"这种有意义的名字，然后重启。接着打开服务器管理器，添加角色和功能，勾选Active Directory域服务。安装过程会提示需要重启，别急着重启，先做下一步操作。

提升为域控制器。这一步是核心，在通知标志那里点"将此服务器提升为域控制器"，选择"添加新林"，根域名就填公司名加.local或.com后缀。别用.pub或.internal，有些第三方证书服务不认。设置林功能级别时，如果全是新机器，直接选最新版；如果有老客户端，得迁就一下。目录服务还原模式密码，务必记牢，忘了就只能用特殊工具重置，麻烦得很。

DNS选项会自动勾选，这是域控的标配。安装向导会跑一遍先决条件检查，如果报错，多半是密码强度不够或者IP配置有问题——说到IP，服务器必须设静态IP，这算是个常识，但确实有人用DHCP给域控分配地址，结果客户端解析全乱套。

等安装完成自动重启，登录后就能看到管理工具里多了"Active Directory用户和计算机"。建几个组织单元，把部门结构划出来，比如销售部、技术部、财务部。再建几个测试账号，试着用域账号登录一台加域的Windows 10机器，如果顺利，说明认证链路没问题。

把客户端加进域。每台电脑都在系统属性里改"隶属于"域，输入域名，弹窗要管理员凭据。这里有个坑：客户端的DNS必须指向域控IP，否则找不到域。手动改完DNS后，ping一下域名，通了再操作加域，能少走弯路。

做完这些，域就算立起来了。之后可以组策略统一桌面壁纸、禁USB口、设密码策略。但别急着铺开，先在测试机上演一遍，确认没误伤再批量推行。域控这东西，初期配置得当，后期就省心；配得糙，天天有人找你报障说登录不上。

对了，别忘了定时备份系统状态。域控挂了重建很麻烦，但备份恢复也就半小时的事。备份目标别放本机磁盘，丢台机器全完蛋。搞个外接硬盘或网络共享位置，每周跑一次备份任务。就这么简单，没有玄学。