windows 2000 Active Directory部署体会

        一年前参与部署了超大型的Active Directory，范围遍及全国。一年下来感觉微软的Active Directory是一个相当复杂的东西。而微软将windows大部分的工作交由程序来完成，而不是告知用户。这一点上我很佩服微软的自信。但是却给管理人员带来了不小的麻烦。
        以下提供一些安装部署活动目录的心得体会。
        Active Directory对DNS的依赖相当严重。为了部署一个正常工作的AD，大部分的工作实际上都是在部署DNS。而且AD的大部分故障都是由于DNS运行不正常或者是资源记录有问题造成的。在安装AD前最好将DNS服务配置妥当，修改将要安装计算机的DNS后缀。并使用ipconfig/registerdns命令将计算机名注册到DNS中。虽然不做这些安装AD时windows会自动帮你完成这些工作。但是根据我的经验，十几次就会有那么一两次安装完后DNS工作不正常。如果需要安装子域，最好将对子域的DNS服务做委派。将子域工作委派到子域的域控制器可以避免一台DNS服务器的负担太大。当然，在子域的DNS上要设置好转发器。
        即使按照这些操作步骤进行，使用Dcpromo命令安装重启后运行管理工具中的DNS，可能发现在域名下没有出现_msds,_dc,_tcp,_upd这四个资源记录。如果是这样，开机后稍等五分钟有可能出现这些资源记录。这是因为windows启动时netlogon和dns server的启动顺序不是一定的。netlogon负责在dns server上注册这些资源记录。如果运气不好先启动dns server后启动netlogon，那就不能完成注册。这个问题的解决方法是首先将首选DNS指向该域的DNS。然后先重启DNS server服务，再重启netlogon服务。


    
        比如说安装域控制器，运行dcpromo安装完毕重启后windows还在忙着设置SYSVOL和NETLOGON这两个共享目录。要是你这时就以为安装完了兴冲冲的开始安装额外域控制器或子域控制器，结果就是安装的这几台域控制器都不正常。