Windows Server Core: установка контроллера домена Active Directory

Windows Server Core — хорошая платформа для размещения роли контроллера домена Active Directory благодаря меньшим требованиям к ресурсам, повышенной стабильности и безопасности (из-за меньшего количества кода и обновлений). В этой статье мы покажем, как установить контроллер домена на Windows Server Core 2019 в новом или существующем лесу Active Directory с помощью PowerShell.

Как установить контроллер домена Active Directory с помощью PowerShell?

Установите Windows Server Core на новый хост (физический или виртуальный), настройте основные параметры хоста: задайте его имя хоста, настройки сети (статический IP-адрес, маска подсети, шлюз, DNS), дату/время, часовой пояс и т. д.

Rename-Computer -NewName hb-dc03
Get-NetAdapter
$ip = "192.168.13.11"
$gw="192.168.13.1"
$dns = "192.168.13.10"
New-NetIPAddress -InterfaceAlias Ethernet -IPAddress $ip -AddressFamily IPv4 -PrefixLength 24 -DefaultGateway $gw
Set-DnsClientServerAddress -InterfaceAlias Ethernet -ServerAddresses $dns

Следующим шагом является установка роли доменных служб Active Directory (ADDS). Для этого выполните следующую команду в консоли PowerShell:

Install-WindowsFeature AD-Domain-Services -IncludeManagementTools -Verbose

Get-WindowsFeature -Name *AD*

После установки роли ADDS вы можете использовать командлеты модуля ADDSDeployment для развертывания нового домена, леса или дополнительного контроллера домена:

Get-Command -Module ADDSDeployment

Есть три возможных сценария:

• Установка нового леса Active Directory:

  Install-ADDSForest -DomainName active-directory.ru -ForestMode Win2016 -DomainMode Win2016 -DomainNetbiosName WOSHUB -InstallDns:$true

• Этот

  Install-ADDSDomain

  командлет позволяет создать новый домен в существующем лесу Active Directory

• Install-ADDSDomainController

  - позволяет добавить новый (дополнительный) контроллер домена в существующий домен Active Directory

Add-ADDSReadOnlyDomainControllerAccount

В большинстве случаев вы будете использовать третий сценарий — добавление дополнительного контроллера домена в существующий домен Active Directory.

Dcdiag /v

repadmin /showrepl

repadmin /replsum

В простом сценарии, если вы хотите добавить новый дополнительный контроллер домена на сайт Default-First-Site-Name, выполните следующую команду:

Install-ADDSDomainController -DomainName active-directory.ru -InstallDns -Credential (get-credential WOSHUB\Administrator) -DatabasePath "D:\ADDS\DB" -LogPath "D:\ADDS\Log" -SysvolPath "D:\ADDS\SYSVOL"

%SYSTEMROOT%\NTDS

%SYSTEMROOT%\SYSVOL

Кроме того, вы можете указать сайт Active Directory, на котором хотите разместить новый контроллер домена. Мы также укажем, что DC будет глобальным каталогом, и установим пароль DSRM (режим восстановления служб каталогов) с помощью команды ConvertTo-SecureString:

Install-ADDSDomainController -DomainName active-directory.ru -InstallDns:$true -NoGlobalCatalog:$false -SiteName 'Hamburg' -NoRebootOnCompletion:$true -Force:$true -SafeModeAdministratorPassword (ConvertTo-SecureString 'R0DCP@ssw0rd' -AsPlainText -Force) -Credential (get-credential WOSHUB\Administrator) -verbose

Внимательно проверьте вывод команды, если все в порядке, перезагрузите хост:

Restart-Computer

Проверка работоспособности контроллера домена на сервере Core

После установки контроллера домена выполните несколько базовых проверок, чтобы убедиться, что новый контроллер домена успешно добавлен в домен и принимает участие в репликации.

Управлять контроллером домена на Windows Server Core можно с другого сервера с помощью стандартных графических оснасток Active Directory (

dsa.msc

,

gpmc.msc

,

dnsmgmt.msc

,

dssite.msc

,

adsiedit.msc

,

domain.msc

) или с компьютера под управлением Windows 10 с установленным RSAT (

Rsat.ActiveDirectory.DS-LDS.Tool

).

Откройте ADUC (

dsa.msc

) на любом компьютере и убедитесь, что новый контроллер домена появился в подразделении Контроллеры домена.

После перезапуска Windows Server Core вам необходимо войти на хост под учетной записью администратора домена.

С помощью командлета Get-ADDomainController убедитесь, что контроллер домена расположен на правильном сайте AD:

Get-ADDomainController -Discover

Убедитесь, что службы Active Directory запущены:

Get-Service adws,kdc,netlogon,dns

Помимо встроенных скрытых общих ресурсов администратора, необходимо предоставить общий доступ к папкам SYSVOL и NETLOGON:

Get-SMBShare

Убедитесь, что в средстве просмотра событий есть события ADDS:

Get-Eventlog "Directory Service" | Select-Object entrytype, source, eventid, message
Get-Eventlog "Active Directory Web Services" | Select-Object entrytype, source, eventid, message

Затем выполните тест с помощью

dcdiag

(должны быть пройдены все этапы) и проверьте репликацию между контроллерами домена с помощью следующих команд:

repadmin /replsummary

или

Get-ADReplicationFailure -Target DC03

Проверьте, где в вашем домене и лесу расположены роли FSMO. При необходимости перенесите роли FSMO на новый DC:

Netdom /query FSMO

Установка контроллера домена AD с помощью Центра администрирования Windows (WAC)

Чтобы установить контроллер домена в Windows Server Core, вы также можете использовать веб-интерфейс Центр администрирования Windows (WAC).

1. Добавьте хост Windows Server Core в интерфейс Windows Admin Center;

2. Чтобы установить роль ADDS, откройте раздел Роли и функции, выберите Доменные службы Active Directory в списке доступных ролей и нажмите Установить;

3. Подтвердите установку роли и средств администрирования;

   

4. Чтобы назначить ядро Windows Server Core контроллеру домена, откройте веб-консоль PowerShell и используйте командлеты, показанные выше, для настройки контроллера домена;

   

5. Когда установка DC завершится, перезапустите Server Core и повторно подключите его к WAC, используя учетную запись домена;

6. Чтобы управлять Active Directory из веб-интерфейса, установите специальное расширение WAC (оно пока доступно в режиме Preview). Таким образом, в вашем Центре администрирования Windows появится новый раздел, где вы сможете просматривать свое дерево AD и управлять им.