نصب اکتیودایرکتوری و ساخت دامین در ویندوز سرور

این آموزش برای Windows Server 2025 Standard با Desktop Experience و یک کلاینت Windows 11 Pro است. سناریو از صفر و در شبکه‌ای جدا از شبکهٔ فعال شرکت شروع می‌شود؛ ساخت کنترلر دوم، مهاجرت دامین موجود، تغییر نام دامین و طراحی چندسایتی موضوع این راهنما نیستند. برای شناخت نقش دامین ابتدا اکتیودایرکتوری چیست؟ را بخوانید.

در نمونهٔ پایه، Default Gateway خالی است چون ارتباطی خارج از این زیرشبکه لازم نداریم. اگر آزمایش شما روتر واقعی دارد، آدرس همان روتر را وارد کنید. این انتخاب به معنی غیرفعال کردن IPv6 نیست؛ آدرس‌های جدول فقط بخش IPv4 سناریو هستند. حساب مدیر محلی سرور و اختیار تغییر این محیط را لازم دارید.

ad.example.com فقط نام نمونه است. برای سازمان، زیرنامی از دامنهٔ ثبت‌شده و تحت کنترل همان سازمان انتخاب کنید؛ نامی مانند ad به‌تنهایی یا پسوندی مثل .local انتخاب این سناریو نیست. نام عمومی وب‌سایت می‌تواند جدا بماند و رکوردهای داخلی دامین نباید به همین دلیل روی DNS عمومی منتشر شوند. تغییر نام دامین پس از وابسته شدن کاربران و برنامه‌ها، اصلاح سادهٔ یک برچسب نیست.

• روی سرور تازه، نام رایانه را DC1 بگذارید و تغییر نام و راه‌اندازی مجدد را پیش از نصب AD DS تمام کنید. نسخهٔ سیستم‌عامل، به‌روزرسانی‌های لازم، فضای دیسک و ساعت صحیح را کنترل کنید.
• برای رابط آزمایش، IPv4 را 192.168.50.10 با ماسک 255.255.255.0 تنظیم کنید. این IP باید آزاد باشد و در محدودهٔ واگذاری DHCP قرار نگیرد.
• چون DC1 اولین و تنها کنترلر این آزمایش و میزبان DNS است، Preferred DNS را روی IP خودش، 192.168.50.10، بگذارید و Alternate DNS را خالی نگه دارید. این دستور برای اضافه کردن کنترلر به دامین موجود قابل تعمیم نیست.

DNS عمومی را به‌عنوان DNS دوم کلاینت یا کنترلر وارد نکنید؛ آن سرور رکوردهای داخلی دامین را نمی‌شناسد. پاسخ منفی از DNS اول نیز الزاماً باعث پرسش از سرور دوم نمی‌شود. حل نام‌های اینترنتی، در صورت وجود مسیر خروجی، از طریق DNS داخلی و تنظیم Forwarder بررسی می‌شود.

در Server Manager، مسیر Manage → Add Roles and Features را باز کنید. نصب Role-based or feature-based و سرور DC1 را انتخاب کنید؛ در Server Roles، نقش Active Directory Domain Services و ابزارهای پیشنهادی Add Features را اضافه کنید. مراحل نصب نقش را تمام کنید.

وجود نقش AD DS هنوز به معنی ساخته شدن دامین نیست. از اعلان Server Manager گزینهٔ Promote this server to a domain controller را باز کنید. در Deployment Configuration، برای همین محیط خالی Add a new forest را انتخاب کنید و Root domain name را ad.example.com بنویسید. اگر سازمان از قبل دامین دارد، در این نقطه متوقف شوید؛ Forest تازه جای عضویت در دامین موجود را نمی‌گیرد.

در Domain Controller Options، سطح Forest و Domain را بر اساس کنترلرهایی انتخاب کنید که قرار است عضو شوند. در این آزمایش که همهٔ کنترلرهای موردنظر Windows Server 2025 هستند، هر دو سطح 2025 انتخاب می‌شوند. اگر نیاز به کنترلر Windows Server 2022 یا 2019 دارید، سطح 2025 مناسب نیست؛ این نسخه‌ها از سطح 2016 استفاده می‌کنند. Functional Level نسخهٔ مجاز ویندوز کلاینت‌ها را تعیین نمی‌کند.

• گزینهٔ DNS Server را نگه دارید. اولین کنترلر Forest باید Global Catalog باشد و نمی‌تواند Read-only DC باشد.
• برای Directory Services Restore Mode یا DSRM رمز قوی و مجزا تعیین و در محل امن نگهداری کنید. این رمز برای بازیابی است و رمز ورود روزمرهٔ کاربر دامین نیست.
• در DNS Options، هشدار نبودن Delegation را با ساختار DNS بسنجید. در آزمایش تازهٔ ما، کلاینت‌ها مستقیماً از DC1 می‌پرسند و DNS والدِ مدیریت‌شده‌ای برای ایجاد Delegation نداریم؛ این هشدار به‌تنهایی نشانهٔ شکست نصب نیست. سایر خطاها را با همین استدلال نادیده نگیرید.
• نام NetBIOS را AD کنترل کنید. مسیرهای Database، Log و SYSVOL را برای این سرور تازه و دارای فضای کافی روی مقادیر پیش‌فرض بگذارید؛ انتخاب دیسک و ظرفیت در محیط واقعی باید با طرح همان سرور هماهنگ شود.
• Review Options و سپس Prerequisites Check را بخوانید. خطاهای مانع نصب را رفع کنید و پیش از Install مطمئن شوید راه‌اندازی مجدد مجاز است؛ ارتقا می‌تواند سرور را خودکار Restart کند.

بعد از راه‌اندازی مجدد، با حساب مدیریتی دامین وارد شوید. در اولین کنترلر، حساب Administrator سرور به حساب مدیریتی دامین تبدیل می‌شود؛ برای ورود عادی از رمز آن حساب استفاده می‌کنید، نه رمز DSRM. این حساب را برای کار روزانهٔ کاربر آزمایشی به کار نبرید.

از Tools در Server Manager، کنسول Active Directory Users and Computers را باز کنید. دامین ad.example.com و حساب رایانهٔ DC1 در Domain Controllers باید قابل مشاهده باشند. در DNS Manager، ناحیهٔ دامین و رکوردهای مکان‌یابی سرویس زیر ساختار _msdcs را بررسی کنید؛ رکوردهای خودکار AD را دستی حذف یا با ناحیهٔ خالی جایگزین نکنید.

dcdiag /test:dns /DnsBasic /v
dcdiag /test:dns /DnsRecordRegistration /v

در خروجی، جدول جمع‌بندی و موارد Warn یا Fail را همراه توضیح همان آزمون بخوانید. دستور دوم ثبت رکوردهای موردنیاز AD را بررسی می‌کند. صرف اجرای دستور یا دیدن یک مورد Passed، سلامت تمام اجزای دامین را ثابت نمی‌کند.

Resolve-DnsName -Name _ldap._tcp.dc._msdcs.ad.example.com -Type SRV -Server 192.168.50.10 -DnsOnly -NoHostsFile

پاسخ مورد انتظار این سناریو، رکورد مکان‌یابی کنترلری مانند DC1.ad.example.com با پورت LDAP برابر 389 است؛ سپس نام همان کنترلر باید به IP درست برسد. این توصیف معیار پذیرش است، نه خروجی ثبت‌شدهٔ آزمایش نت‌مسترز. دسترسی به اشتراک‌های SYSVOL و NETLOGON روی DC1 را نیز کنترل کنید.

روی Windows 11 Pro، IP موقت 192.168.50.50/24 و DNS برابر 192.168.50.10 را تنظیم کنید. ساعت و تاریخ را کنترل کنید. ابتدا از همین کلاینت پرسش SRV بخش قبل را انجام دهید؛ سپس همان پرسش را بدون پارامتر Server تکرار کنید تا استفادهٔ واقعی کلاینت از DNS تنظیم‌شده نیز بررسی شود. نسخهٔ Home برای عضویت در دامین AD مناسب نیست.

• در تنظیمات Windows، Accounts → Access work or school → Connect را باز کنید و گزینهٔ Join this device to a local Active Directory domain را انتخاب کنید. نام ad.example.com و اعتبار حساب دارای مجوز Join را وارد کنید؛ بعد از موفقیت، کلاینت را Restart کنید.
• روی DC1، در Active Directory Users and Computers، ظرف یا OU آزمایشی مناسب را انتخاب کنید و از Action → New → User یک حساب عادی مانند lab.user بسازید. نام ورود و رمز مطابق سیاست دامین تعیین کنید و آن را عضو گروه‌های مدیریتی نکنید.
• روی کلاینت، Other user را انتخاب کنید و با AD\lab.user وارد شوید. قابل مشاهده بودن حساب رایانه در دامین و ورود این کاربر را ثبت کنید.

ورود موفق به دامین، انتقال خودکار پروفایل محلی قبلی یا دسترسی به همهٔ پوشه‌ها و نرم‌افزارها نیست. برای کاربران واقعی، انتقال دادهٔ پروفایل، مجوز منابع و برنامه‌های وابسته جداگانه بررسی می‌شوند. طراحی OU، گروه و GPO پس از راه‌اندازی اولیه ادامه پیدا می‌کند.

اگر DNS نصب شده ولی نام‌های داخلی درست پاسخ نمی‌گیرند، مراحل رکورد و آزمون را در راه‌اندازی DNS داخلی ادامه دهید. پس از تثبیت دامین، DHCP ویندوز سرور می‌تواند تنظیم IP و DNS کلاینت‌های این آزمایش را خودکار کند.

حداقل نتیجهٔ این آزمایش باید شامل نام و IP مستند کنترلر، DNS و رکوردهای سرویس سالم، Join یک کلاینت و ورود کاربر عادی باشد. یک کنترلر تنها، طرح تداوم سرویس نیست. پیش از استفادهٔ سازمانی، کنترلر دوم در صورت نیاز، پشتیبان شامل System State و روش بازیابی آزموده‌شده، دسترسی مدیریتی و نگهداری رمز DSRM را طراحی کنید. کنترلر دوم جای پشتیبان را نمی‌گیرد.

برای برگشت از نصب ناموفق، وضعیت و وابستگی‌ها تعیین‌کننده‌اند. فقط آزمایش کاملاً جدا و بدون کاربر یا وابستگی واقعی را می‌توان کنار گذاشت و از محیط تازه شروع کرد. حذف آخرین کنترلر، خود دامین را از بین می‌برد؛ برگرداندن بی‌برنامهٔ Snapshot یا حذف نقش، دستور عمومی بازیابی AD نیست.

اگر قرار است شبکهٔ موجود شرکت به دامین منتقل شود، راه‌اندازی اکتیودایرکتوری باید وضعیت کاربران، DNS و برنامه‌های فعلی را هم پوشش دهد. این مرحله با ساخت یک Forest آزمایشی تفاوت عملی دارد.