Cloned virtualized domain controller（克隆虚拟化部署的域控制器）

Cloned virtualized domain controller（克隆虚拟化部署的域控制器）

在Windows Server 2012之前的版本中，在域控制器升级的过程中，添加额外的虚拟域控制器涉及到的数据复制方法有两种，分别是"复制"网络、使用IFM媒体。但如果数据库 (NTDS.DIT)本身比较大，这两种方法都需要大量时间来复制Active Directory(活动目录)数据库。

但在Windows Server 2012中，克隆虚拟域控制器就不再像以前那么费事了。Server 2012引入了全新的克隆功能，不仅加快了建立新的额外域控制器的过程，还节省了快速部署时配置域控制器的时间。

现在，当Windows Server 2012虚拟域控制器运行在Hyper-V及VMware的vSphere 上时，它会识别出这是一个虚拟化的平台，这点相比于运行在Windows Server 2008 R2或者更早版本上的虚拟域控制器来说，是一个相当显著的改进。

运行在虚拟化平台上的Windows Server 2012域控制器自带复制和安全恢复的功能，并且这些功能是不能被禁用的。

为了防止复制错误(旧对象)，微软改良了Hyper-V虚拟机管理程序的代码，并加入了VM-Generation-ID功能，VM-Generation-ID (VMGID)功能可以让Windows Server 2012虚拟域控制器被安全、成功的复制。

一、安装注意事项

虚拟化域控制器不存在任何特殊的角色或功能安装；所有域控制器都将自动包含克隆和安全还原功能。无法删除或禁用这些功能。

使用 Windows Server 2012 域控制器要求 Windows Server 2012 AD DS 架构版本 56 或更高版本，以及与 Windows Server 2003 本机或更高版本相等的林功能级别。

可写和只读域控制器都支持虚拟化 DC 的所有方面，全局编录和 FSMO 角色也是如此。

克隆开始时，PDC 模拟器 FSMO 角色所有者必须处于联机状态。

二、平台要求

虚拟化域控制器克隆要求：

Windows Server 2012 DC 上托管的 PDC 模拟器 FSMO 角色

克隆操作期间 PDC 模拟器可用

克隆和安全还原都要求：

Windows Server 2012 虚拟化来宾

虚拟化主机平台支持 VM 生成 ID (VMGID)

三、虚拟化域控制器克隆

在该过程存在几个点，你可以在那时选择如何创建克隆的计算机以及如何添加 xml 文件；下面详细注明了这些步骤。此过程不可以其他方式更改。

下图说明了虚拟化域控制器克隆的过程，其中域已经存在。

步骤 1  验证虚拟机监控程序

通过查看供应商文档，确保源域控制器在支持的虚拟机监控程序上运行。虚拟化域控制器与虚拟机监控程序无关，且不需要 Hyper-v。

如果虚拟机监控程序是 Microsoft Hyper-V，请确保它在 Windows Server 2012 上运行。你可以使用设备管理对此进行验证

打开 Devmgmt.msc 并检查系统设备中的已安装 Microsoft Hyper-V 设备和驱动程序。虚拟化域控制器需要的特定系统设备是 Microsoft Hyper-V 生成计数器（驱动程序：vmgencounter.sys）

步骤 2  验证 PDCE FSMO 角色

在尝试克隆 DC 之前，你必须验证托管主域控制器模拟器 FSMO 的域控制器运行 Windows Server 2012。PDC 模拟器 (PDCE） 是必需的，原因有多种：

• PDCE 将创建特殊的可克隆的域控制器组，并在域的根上设置其权限以允许域控制器克隆其自身。

• 克隆域控制器将使用 DRSUAPI RPC 协议直接联系 PDCE，以便为克隆 DC 创建计算机对象。

使用 Dsa.msc 管理单元，右键单击域，然后单击操作主机。注意在 PDC 选项卡上命名的域控制器，然后关闭对话框。

右键单击该 DC 的计算机对象，再单击属性，然后验证操作系统信息。

步骤 3  授予源 DC 权限

添加权限以允许DC被克隆

把需要被复制的域控制器机器账号加入到Cloneable Domain Controllers组。

步骤 4  删除不兼容的应用程序或服务（此步骤可选）

在克隆之前，必须删除任何之前由 Get-ADDCCloningExcludedApplicationList 返回（且未添加到 CustomDCCloneAllowList.xml）的程序或服务。卸载应用程序或服务是建议的方法。

任何未卸载或添加到 CustomDCCloneAllowList.xml 的不兼容程序或服务都会阻止克隆。

使用 Get-AdComputerServiceAccount cmdlet 在域中查找任何独立的托管服务帐户 (MSA)，并检查此计算机是否正在使用其中任何帐户。如果已安装任一 MSA，则使用 Uninstall-ADServiceAccount cmdlet 来删除本地已安装的服务帐户。完成第 6 步中使源域控制器脱机的操作后，在服务器重新联机时，你可以使用 Install-ADServiceAccount 重新添加 MSA。

在 Windows Server 2012 中，已将独立 MSA（在 Windows Server 2008 R2 中首次发布）替换为组 MSA。组 MSA 支持克隆。

检查当前的服务中不适用于克隆的服务

Get-ADDCCloningExcludedApplicationList

如果有，则排查该服务，并卸载该服务或生成排除文件

Get-ADDCCloningExcludedApplicationList -GenerateXML

未完待续……