袁与张 - AD
type: channel
link: https://ytyzhn.top/tag/AD/
items: AD域控中遇到坑（随笔记录）
items: AD域控从window server 2003升级到2008之路

AD域控中遇到坑（随笔记录）
type: item
date: 2023-02-03T15:15:00+08:00
description: 需求：windows server 2016 域控制器，用户终端登录时，能够自动挂载文件共享盘？（脚本使用bat）e10adc3949ba59abbe56e057f20f883e1、为用户添加配置文件2、将配置bat文件拷贝到指定目录下，路径为：“C:\Windows\SYSVOL\sysvol\hdxy.local\scripts”，该路径对应共享路径为“\dc\netlogon”；3、域控上执行“gpupdate /force”刷新组策略，终端PC上同样执行该命令刷新组策略；4、终端上注销当前用户，然后使用域用户登录；注意：bat脚本文件只能部署在默认的“C:\Windows\SYSVOL\sysvol\hdxy.local\scripts”中，该目录问域控的默认目录；出现的问题？坑1：用户登录时，脚本没有执行？解决：排查发现，由于DNS A记录域控名字太长，所以使用域名访问samba就失败了。（云主机新建时，主机名默认为加密形式名称字符较长，搭建域控时，DNS自动生成的A记录也很长），解决方法,1，修改AD名字短一点；2，在AD的DNS发布一条正向记录。坑2：在使用 Windows Server 2016 的时候，发现一个问题：登录后无法使用IP地址访问 DC 的 “Sysvol” 和 “Netlogon” 两个文件夹。例如：访问 “\192.168.0.1\Sysvol” 时，会提示 “拒绝访问”，这个时候如果输入的是域名则可以访问，例如访问 “\DC域名\Sysvol” 则是正常的。解决：在网上找了一下，说是 Windows 10 开始，默认无法通过 UNC 路径访问 Sysvol 和 Netlogon 共享。运行 “gpedit.msc” 打开组策略，转到 “计算机 → 管理模板 → 网络 → 网络提供程序 → 强化UNC路径”，启用该策略，然后点击 “显示”按钮，将服务器名称（例如 “\DC” ）输入到“值名称”。并在“值”字段中输入以下文本“RequireMutualAuthentication = 0，RequireIntegrity = 0，RequirePrivacy = 0”。PS：1、此方法应该也适用与 Windows 102、我测试的是只需要把服务器名称输入到“值名称”即可，“值”可以保持为空。资料：https://blog.51cto.com/stynzf/1933489

AD域控从window server 2003升级到2008之路
type: item
date: 2023-02-01T15:06:00+08:00
description: 场景客户老环境为，一台使用电脑主机搭建的AD window server 2003 域控（单域环境）目的迁移主机上云（云专线私网环境），为了能成功升级到2016，无感升级。思路1、经查阅资料，2003AD无法直接升级到2016，需要中间系统做跳板；2、流程为：2003->2008->2012->2016；3、本文只介绍2003->2008，后需思路是一样的；4、从用主域控增加额外域的方式将数据复制过来，然后提升额外域控为主，将原主降级，依次循环到2016；步骤1、首先给2003安装Ntdsutil工具（方便查看域控权限）将window server 2003安装CD插入CD-ROM或DVD-ROM驱动器中（当然也可以将iso安装包解压点击安装），选择“开始”，选择“运行”，键入“drivr_letter：\Support\Tools\suptools.msi”,然后回车。若要启动Ntdsutil，请选择“开始”，选择“运行”，在“打开”框中键入Ntdsutil，然后回车。注意：若要访问可用命令列表，请键入 ？，然后回车。2、为sever 2003 做域控扩展操作（为了适应高版本）我实测使用的是2012镜像做的扩展，其实都无所谓，高版本兼容低版本；在客户本地环境安装2012server，加入2003域控中，安装AD域，安装完成之后，接下来我们将要进行AD的扩展了，这里注意的是win2003是32位系统，不能使用64位的命令执行域扩展命令，于是我将Windows Server 2012的光盘加载到Win2012服务器上，并用命令定位到adprep 目录下，将命令提示符转到D盘的support/adprep目录，升级2003 AD Schema 林架构；输入adprep.exe /forestprep提示我们要保证林架构和域架构为windows server 2003以上版本，于是切换到win2003服务器，进行林架构和域架构的提升。在ad域和信任关系中，右键域名，提升域功能级别为windows server 2003模式。在右键选择域和信任关系，选择提升林功能级别为windows server 2003返回到win2012，继续进行林架构扩展adprep.exe /forestprep,按C继续,等待扩展完成。升级2003 AD Schema 域架构； adprep.exe /domainprep更新组策略对象权限；adprep.exe /domainprep /gpprep更新AD对RODC只读域控器的支持； adprep.exe /rodcprep至此ＡＤ的林和域架构升级成功。注意：2012AD林和架构是兼容2008.3、开始安装2008AD域控，加入2003成为额外域控以域administrator身份登录成员服务器 Server 2008。 开始 －运行 －dcpromo出现”欢迎使用Active Directory 域服务安装向导“，在该向导中，我们选中” 使用高级模式“，点击” 下一步“。在” Active Directory 域服务安装向导“中，我们选中”现有林“中的”向现有域添加域控制器“，并点击“下一步”点击“下一步> ”继续（加入2003域控后默认域名自动键入）选择域，点击“ Next> ”继续选择站点，点击“ Next> ”继续“ 其它域控制器选项”，以这个选项中，默认的 选项为“ DNS 服务器“和” 全局编录“ ，而” 只读域控制器（RODC）“，则为不可选，点击“ Next> ”继续如果您在刚刚开始的时候，还未为 Server2008配置静态的 IP地址话，在这里您将会遇到以下提示，请选择 “ 否，将静态IP地址分配给所有物理网络适配器。“ 项来为该成员服务器配置静态 IP。正在检查 DNS配置。 选择“ 是“继续默认选项，从现有的域控制器上接收更新数据。点击“ Next> ”继续点击“ Next> ”继续点击“ Next> ”继续设置目录服务还原模式密码。 （这里设置为18-show）点击“ Next> ”开始提升 Server 2008为域控制器。安装过程图：完成之后，重启系统，要等待30分钟左右，AD目录和DNS才会同步过来（实测）。4、5大权限转移（图形化）首先要进行的是对架构主机角色的转移，在这之前，必须使用 regsvr32 schmmgmt.dll来注册 Active Directory 架构 。以便利用 MMC工具来添加 Schema管理控制台。开始 －运行 －MMC，打开微软管理控制台。这里要添加 Activer Directory架构 管理控制台。如下图。右键单击“ Active Directory 架构 “根部，并且选择 “ 连接到架构操作主机“选择“更改 Active Direc…