Windows 2000/2003 server域和活动目录(二)
3、域成员计算机
（1）将计算机加入到域
首先将客户机TCP/IP配置中所配的DNS服务器，指向DC所用的DNS服务器。然后我的电脑/右键/属性/网络标识/属性/隶属于，选择域：输入域名，确定。提示输入用户口和口令，确定后提示重启。
说明：
加入域时，如果输入的域名为FQDN格式，形如mcse.com，必须利用DNS中的SRV记录来找到DC，如果客户机的DNS指的不对，就无法加入到域。
加入域时，如果输入的域名为NetBIOS格式，如mcse，也可以利用浏览服务（广播方式）直接找到DC，但它不是一个完善的服务，有时就会不好使。
这样虽然也可把计算机加入到域，而且在等较长时间后也可以登录到域上去，但不推荐。因为客户机的DNS指的不对，则它无法利用2000DNS的动态更新动能，也就是说无法在DNS区域中自动生成关于这台计算机的A记录和PTR记录。那么同一域另一子网的2000及以上计算机就无法利用DNS找到它，这本应是可以的。
再者，管理员无法在客户机上利用域的管理工具来远程管理域，因为这些管理工具必须使用DNS，出错提示：找不到域命名信息（有时客户机的DNS Client服务有问题也会出现上述提示，重启服务即可）。这种情况下，要进行远程管理，就只能利用TS（终端服务）基于IP来连了。
当然用户也可以手动配置WINS或Lmhosts文件，来查找DC。这主要用于95/98/NT老版本计算机跨子网（路由）查找DC或加入域，因为这些老版本计算机无法利用DNS来查找DC，浏览服务又是广播方式，只能在本网段进行，因为广播信息是无法通过路由器的，RFC1542标准的路由器，可设置成允许DHCP的广播数据通过，仅是一个特例。需要说明的是：95/98可以使用域用户帐号登录到域，但并不能加入到域，在AD中也没有计算机帐号，而NT可以。
计算机加入域成功后，未重启，即已在AD用户和计算机/computer容器下生成计算机帐号了，实验中查看时，需要手动刷新一下。而在DNS中记录必须在计算机重启后（不必登录）或15分钟后才能自动注册或更新到DNS区域。但若我们平常修改一个计算机的名字或IP，要马上更新到DNS区域，倒不一定非得重启，可利用ipconfig /registerdns命令就行。明白以上讨论可用于排错，不一定非得重启登录后才知道结果。
加入到NT4域时，需要有管理特权才行；从Windows 2000开始，微软作了改进：在Windows 2000/03域中，默认Authenticated Users即可在域中最多创建 10 个计算机帐户。Authenticated Users指被验证的用户组，也就是说任何经过身份验证的普通域用户都可以加最多10台计算机到域。常见问题：在实际中用普通域帐号加计算机到域，有时会不好使，原因是同名计算机帐号（极可能是它自己已经失效的计算机帐号）已存在而无权覆盖，这时就得用域管理员帐号了。
（2）在加入域的计算机上，用域用户帐号登录到域。
说明：
在域中的非DC计算机上，可以选择登录到域或本机，这是因为它同时还拥有本地用户帐号。而在DC上只能选择登录到域了，因为整个域都是DC的，它没有必要再保留本地帐号了。2000是个红叉，03干脆就没有了。
安装AD时，会自动删除本地帐号，即使将来删除AD，也无法将本地帐号复原，而是重新生成的。这一点一定要注意：如果本地有EFS加密的文件，一定要将证书导出或将文件解密后，再在这台计算机上做AD安装实验。
在2000及以上计算机上登录到域的过程是这样的：域成员计算机根据本机DNS配置去找DNS服务器，DNS根据SRV记录告诉它DC是谁，客户机联系DC，验证后登录。
（3）深入讨论：
如果是在林中跨域登录，是首先查询DNS服务器，问林的GC是谁。
前面我们在步骤（1）中强调“加入域前，首先将客户机TCP/IP配置中所配的DNS服务器，指向DC所用的DNS服务器。”其实如果域中有多个DNS服务器，也可以指向其它的DNS服务器，当然这些DNS服务器之间得有区域复制关系。这样做的目的恰恰是：大中型网络为了平衡DNS负载。
三、建立其它域控制器
前面我们讨论了“建立第一个域中的第一台域控制器”，分析得很细。以下相同知识点的内容将不再赘述。
1、安装附加DC
（1）以本机管理员身份登录，在独立或成员服务器上，启动AD安装向导。
说明：
将成为附加DC的计算机，不必非得先加入域。
DNS指向已有DC所用DNS服务器，以便找到已有DC。安装结束后，一般应该手动在本机上再装一个DNS服务器，以实现DNS的容错。
（2）选择：现有域的额外域控制器
（3）输入域管理员帐号，如：administrator，password，mcse.com（或mcse）。
常见找不到域的出错提示：域“mcse.com”不是AD域，或用于域的AD域控制器无法联系上。
解决：确保DNS指向已有DC所用DNS的服务器。
其它：Ping一下，检查物理连通性。高级用户是否设过TCP/IP筛选器或RRAS筛选器。
（4）输入域名，如：mcse.com。
（5）指定AD库和日志文件位置
（6）指定sysvol文件夹位置
（7）一般选：“与Windows 2000服务器之前的版本相兼容的权限”
（8）目录服务恢复模式的管理员密码
（9）几分后，安装完成，需要重启。
（10）手动在本机上安装DNS服务器，以实现DNS的容错。
A、开始/设置/控制面板/添加删除程序/Windows组件/网络服务/域名系统（DNS）。
B、开始/程序/管理工具/DNS
C、正向搜索区域/右键/新建区域，建议选择“AD集成区域”，区域名已有区域的名称，如mcse.com。自动生成起始授权机构（SOA）、名称服务器（NS）、主机（A）三条记录，但此时SRV记录并未被复制过来。需要等待5-15分钟后，利用刷新或重新加载就可以看到复制过来的DNS记录了（对于03马上就可以看到复制过来的全部DNS记录）。
深入讨论：
03和2000比，功能更强大了。但在域和AD的体系结构上并没有什么大的变化，而且MS的产品十分讲究向前兼容。在一个域中可以既有2000DC，又有03DC；也可以既有2000DNS，又有03DNS，并且DC间的AD复制，DNS间的区域传输，都好像没有版本差异一样。
在我们这里要说的就是：2000可作为03域的附加DC，03也可以作为2000域的附加DC，但第二种情况需要在2000DC（SP2及更高）上运行03光盘/I386/adprep命令来做准备。
具体第一步：adprep /forestprep进行林准备，第二步adprep /domainprep进行域准备。
2、建立子域
（1）以本机管理员身份登录，在独立或成员服务器上，启动AD安装向导。
说明：
DNS指向林根域已有DC所用DNS服务器，以便找到已有DC。
保证域命名主控必须有效，它默认在林根域的第一台DC上，且具有林唯一性。利用管理工具“AD域和信任关系”可转移域命名主控。
（2）选择：新域的域控制器，下一步，在现有的树中创建一个新的子域
（3）输入林管理员帐号，如：administrator，password，mcse.com（或mcse）。
常见出错提示：域“mcse.com”不是AD域，或用于域的AD域控制器无法联系上。解决方法见前。
（4）输入父域名，如：mcse.com；输入子域名，如sub，注意不要输成sub.mcse.com。
（5）指定AD库和日志文件位置
（6）指定sysvol文件夹位置
（7）一般选：“与Windows 2000服务器之前的版本相兼容的权限”
（8）目录服务恢复模式的管理员密码
（9）几分后，安装完成，需要重启。
如果域命名主控失效将会出现如下出错提示：“由于以下原因，操作失败：AD无法与域命名主机xxx联系。指定的服务器无法运行指定的操作。”
解决：保证域命名主控联机，如果确信其已无法正常工作，可强制传给林内的任意一个DC，子域的DC也可以。原来的主机将必须被重做系统后，才可连入网络，以保证域命名主控的林唯一性。
深入讨论：
关于子域（子Domain）所对应的DNS子区域（子zone）是否委派的问题。（以下简称：子区域）
如果网络规模不是很大，虽然实现了子域，但总部、二级单位的网管可能就是同一个人。这种情况下就不需要委派了。可以把区域、子区域都放在同一个DNS服务器上，由同一名管理员来管理就可以了。默认值即如此，不需要手动设置。
如果网络规模较大，且二级单位需要能够控制自己的DNS子区域，比如自己增加www1,www2……这样的主机记录；在自己的子区域下再建子区域。这种情况下就需要委派子区域了，由二级单位的DNS管理员自己来管理。否则二级单位涉及DNS的每一个小变化，都需要找总部DNS管理员批准。
子区域委派，操作步骤如下：（最好按如下步骤进行，不容易出问题）
A、DNS指向林根域（如：mcse.com）已有DC所用DNS服务器
B、利用AD安装向导，安装子域（如：sub.mcse.com），重启机。
C、在林根DNS控制台上查看，确保已在mcse.com生成子文件夹sub，且sub下有4个以下划线开头的，保存有SRV记录的子文件夹（_msdcs、_sites、_tcp、_udp）已生成；sub下还应有如下2条A记录：（第二条记录如果未生成，手动补上也可以。）
（与父文件夹相同）主机 IP
SUBdc 主机 IP
D、在父域（如：mcse.com）右键/新建委派/下一步/子区域名：sub。（不必担心重名，因为委派完成后，灰颜色的委派的sub夹将取代黄颜色的sub夹，但注意操作过程中会共存一段时间）接下来，指定负责子区域的名称服务器：SUBdc.sub.mcse.com及它的IP，以生成粘合记录，下一步，完成。
E、在子域DC上安装DNS，操作：开始/设置/控制面板/添加删除程序/Windows组件/网络服务/域名系统（DNS）。
F、开始/程序/管理工具/DNS
G、正向搜索区域/右键/新建区域，建议选择“AD集成区域”，区域名：sub.mcse.com。自动生成SOA、NS、A、A四条记录（后两条A记录，如C步中述），此时SRV记录也被复制过来了。
H、在DNS服务器的计算机名上/右键/属性/转发器：指向上一级或林根DNS的IP。
I、将子域DC的DNS指向自己，以后加入子域的计算机也使用子域的DNS，以实现DNS分担负荷。（当然，子域中的计算机可以使用林中任一台DNS，也都好使）
注意：
由上述过程，大家可以了解到，做为被委派的DNS子区域的二级单位DNS管理员，是不能随意更改自己的DNS服务器的。比如修改DNS服务器的IP，需要通知上级管理员，及时更新委派子区域的NS记录，否则林中其它用户就会找不到你这个子域的计算机。
3、新域—新树—加入林
此种情况平常较少用到，因为一般企业只用一套命名体系，很少采用两上或两个以上的树。微软举的例子：一个大企业兼并另一企业，并且想保留它的命名体系，技术上对应实现就是目录树和DNS名称空间。
说明：此种应该预先建好DNS正向搜索区，因为它不能像建子域那样，利用AD向导自动在已有DNS区域中创建子区域。下面以前文中的mcse.com，sub.mcse.com，my.com图示为例进行说明。
（1）在林根DNS上，与mcse.com并列，创建区域my.com，最好选AD集成区域。
（2）以本机管理员身份登录，在独立或成员服务器上，启动AD安装向导。
说明：
DNS指向林根域已有DC所用DNS服务器，并保证域命名主控必须有效。
（3）选择：新域—新树—加入林
（4）输入林管理员帐号，如：administrator，password，mcse.com（或mcse）。
说明：
输入的欲登录的林根域名，也就告诉了系统要加入哪个林。
（5）输入新域的DNS全名，如：my.com；域NetBIOS名：MY。
（6）指定AD库和日志文件位置
（7）指定sysvol文件夹位置
（8）一般选：“与Windows 2000服务器之前的版本相兼容的权限”
（9）目录服务恢复模式的管理员密码
（10）几分后，安装完成，需要重启。
说明：
用预建DNS这种方式加入林，使用的是林根上已有DNS服务器，所以此计算机在林根DNS的my.com区域下，仅生成一条主机（A）记录（如需要可手动添加：treedc 主机 IP），SOA和NS记录都是林根DNS服务器，但在my.com区域会有相应的SRV记录来标识它是这个树根域的DC。这种并没有实现DNS的分担负荷，如想实现，利用辅助区域来做。
实验中发现：万不可像全新安装那样，在安装过程中，选择在本地安装一个DNS，这样将会这把个树根域安装成一个独立的林根域。原因吗？去问微软吧。
四、卸载AD
在实际工作中有时我们需要改变服务器角色，或者将实验中安装的DC回复到普通成员/独立服务器身份，这就要进行AD的卸载。
1、卸载时会提示给新的本地管理员设置密码
2、附加DC卸载后，仍在域中。
3、如果AD不能卸载，应从以下几方面考虑：
（1）权限
权限要求与安装AD类似，若一个林中只有一个域，那么你要卸载的就是林根域，需要林管理员权限；卸载附加DC需要该域的域管理员权限；卸载子域或树，涉及到林结构的改变，也需要林管理员权限。
（2）DNS
一般应保证与安装时所用DNS一致。如果做了DNS规划，必须保证1中权限所要求的管理员身份能找到相应DC验证。
（3）域命名主控
卸载时只要涉及到林结构的改变，就需要保证域命名主控有效；卸载附加DC时不要求域命名主控有效。
但要注意的是：卸载时的出错信息与安装时的“AD无法与域命名主机xxx联系”提示不同，具体是：由于以下原因，操作失败。以提供的凭据绑定到服务器xxx失败。“RPC服务器不可用”。
（4）卸载的顺序
与安装顺序相反，应该先逐级卸载下面的子域，最后卸载树根域、林根域。否则将导致子域无法卸载，而存在的子域还有问题。
因为极有可能此时架构和域命名主控及GC未转移，林管理员组和架构管理员组（Schema Admins）已经随林根域的删除而没有了。为什么这么说呢？因为如果管理员考虑到主控及GC等的转移问题，也就不会误删林根域了。
五、从NT4域升级到2000域
1、预备知识：
NT4域采用单主控复制，DC分为PDC和BDC，BDC存储的只是PDC“目录服务数据库”文件的只读复本。在“服务器管理器”中可以将一台BDC提升为PDC，原PDC自动降为BDC。
一个域中只能有一台PDC，零到多台BDC以提供容错和分担负荷。但大家不要理解为一个网络中只能有一台PDC，域是逻辑分组，我们可以在一个子网中建多个域。
2000域开始采用多主控复制，DC不再有PDC和BDC之分，DC间的AD复制是双向的。但2000域中会唯一有一台DC担当PDC仿真主控，负责充当NT4 BDC的PDC，并为早期版本客户机提供服务。PDC仿真主控还负责管理运行NT、95/98计算机的密码变化，写入AD。接受密码变化的DC必须通知PDC仿真主控，比如：用户登录时，如密码错误，必先送至PDC仿真主控。因为普通DC不能确认到底是密码错误，还是它没有及时与PDC仿真主控同步。它还负责同步整个域中计算机的时间。通过以上我们可以知道：在2000域中存在的NT4域控制器，它的身份只能是BDC。
2000域模式分为：混合（mixed）模式和本机（natived）模式。默认为混合模式，如果管理员确认域中所有DC（注意：这里强调的是DC，2000域本机模式下可以有NT4的成员服务器）都是2000DC，没有NT4的域控制器，可以手动在“AD用户和计算机中”将域模式更改为本机模式，以充分利用AD的新功能，比如使用“通用组”。
通过以上分析，我们可以知道：如果在2000域中存在NT4域控制器，那么你只能使用2000域混合式了。有人可能会想那我就不让它再当域控制器了，但是NT4域的DC和成员服务器之间角色转换必须重装NT4系统，不能象2000那样利用AD安装向导，方便地进行安装/卸载。
2、原则：由NT4域向2000域升级，第一个被升级的必须是NT4域的PDC。这样才可以把帐号、安全设置、配置等带到2000域
3、MS推荐策略：由于升级是一个极易出现各种问题的过程，必须考虑备份。再有就是实际操作时，可以先将NT4的BDC提升为PDC，再升级到2000。如果顺利的话，再升级其它BDC。如果不顺利的话，可将原来PDC复原，以此方法来避免损失。
4、深入讨论：我们可以把前面的问题再深入讨论一下，假设你的域中有NT4的PDC，并且在它上面运行的老程序不允许你把它升级为2000，但你还想要通过升级NT4域，得到2000域，那么应该怎么办呢？答案很简单，可以先将这台PDC降为BDC，再将新PDC升级为2000。这样你既得到了2000域，又保留了NT4的BDC。
5、我的推荐原则：在实际工作中，只要能进行2000域的全新安装，就用全新安装。因为NT4升级后得到的2000安全策略设置等等是继承NT4时的设置，与2000域的默认值有较大出入，以后出问题，不易排错，也不易与其它人交流沟通、解决问题。
本文基于自己几年来的实践心得，讨论重点放在如何规划和最终实现Windows 2000/03域和活动目录，以及此过程中要考虑和解决的各种各样问题。至于如何基于域和AD的优点进行网络管理降低TCO，AD的维护，主控的管理，将另行撰文专门讨论。
（1）将计算机加入到域
首先将客户机TCP/IP配置中所配的DNS服务器，指向DC所用的DNS服务器。然后我的电脑/右键/属性/网络标识/属性/隶属于，选择域：输入域名，确定。提示输入用户口和口令，确定后提示重启。
说明：
加入域时，如果输入的域名为FQDN格式，形如mcse.com，必须利用DNS中的SRV记录来找到DC，如果客户机的DNS指的不对，就无法加入到域。
加入域时，如果输入的域名为NetBIOS格式，如mcse，也可以利用浏览服务（广播方式）直接找到DC，但它不是一个完善的服务，有时就会不好使。
这样虽然也可把计算机加入到域，而且在等较长时间后也可以登录到域上去，但不推荐。因为客户机的DNS指的不对，则它无法利用2000DNS的动态更新动能，也就是说无法在DNS区域中自动生成关于这台计算机的A记录和PTR记录。那么同一域另一子网的2000及以上计算机就无法利用DNS找到它，这本应是可以的。
再者，管理员无法在客户机上利用域的管理工具来远程管理域，因为这些管理工具必须使用DNS，出错提示：找不到域命名信息（有时客户机的DNS Client服务有问题也会出现上述提示，重启服务即可）。这种情况下，要进行远程管理，就只能利用TS（终端服务）基于IP来连了。
当然用户也可以手动配置WINS或Lmhosts文件，来查找DC。这主要用于95/98/NT老版本计算机跨子网（路由）查找DC或加入域，因为这些老版本计算机无法利用DNS来查找DC，浏览服务又是广播方式，只能在本网段进行，因为广播信息是无法通过路由器的，RFC1542标准的路由器，可设置成允许DHCP的广播数据通过，仅是一个特例。需要说明的是：95/98可以使用域用户帐号登录到域，但并不能加入到域，在AD中也没有计算机帐号，而NT可以。
计算机加入域成功后，未重启，即已在AD用户和计算机/computer容器下生成计算机帐号了，实验中查看时，需要手动刷新一下。而在DNS中记录必须在计算机重启后（不必登录）或15分钟后才能自动注册或更新到DNS区域。但若我们平常修改一个计算机的名字或IP，要马上更新到DNS区域，倒不一定非得重启，可利用ipconfig /registerdns命令就行。明白以上讨论可用于排错，不一定非得重启登录后才知道结果。
加入到NT4域时，需要有管理特权才行；从Windows 2000开始，微软作了改进：在Windows 2000/03域中，默认Authenticated Users即可在域中最多创建 10 个计算机帐户。Authenticated Users指被验证的用户组，也就是说任何经过身份验证的普通域用户都可以加最多10台计算机到域。常见问题：在实际中用普通域帐号加计算机到域，有时会不好使，原因是同名计算机帐号（极可能是它自己已经失效的计算机帐号）已存在而无权覆盖，这时就得用域管理员帐号了。
（2）在加入域的计算机上，用域用户帐号登录到域。
说明：
在域中的非DC计算机上，可以选择登录到域或本机，这是因为它同时还拥有本地用户帐号。而在DC上只能选择登录到域了，因为整个域都是DC的，它没有必要再保留本地帐号了。2000是个红叉，03干脆就没有了。
安装AD时，会自动删除本地帐号，即使将来删除AD，也无法将本地帐号复原，而是重新生成的。这一点一定要注意：如果本地有EFS加密的文件，一定要将证书导出或将文件解密后，再在这台计算机上做AD安装实验。
在2000及以上计算机上登录到域的过程是这样的：域成员计算机根据本机DNS配置去找DNS服务器，DNS根据SRV记录告诉它DC是谁，客户机联系DC，验证后登录。
（3）深入讨论：
如果是在林中跨域登录，是首先查询DNS服务器，问林的GC是谁。
前面我们在步骤（1）中强调“加入域前，首先将客户机TCP/IP配置中所配的DNS服务器，指向DC所用的DNS服务器。”其实如果域中有多个DNS服务器，也可以指向其它的DNS服务器，当然这些DNS服务器之间得有区域复制关系。这样做的目的恰恰是：大中型网络为了平衡DNS负载。
三、建立其它域控制器
前面我们讨论了“建立第一个域中的第一台域控制器”，分析得很细。以下相同知识点的内容将不再赘述。
1、安装附加DC
（1）以本机管理员身份登录，在独立或成员服务器上，启动AD安装向导。
说明：
将成为附加DC的计算机，不必非得先加入域。
DNS指向已有DC所用DNS服务器，以便找到已有DC。安装结束后，一般应该手动在本机上再装一个DNS服务器，以实现DNS的容错。
（2）选择：现有域的额外域控制器
（3）输入域管理员帐号，如：administrator，password，mcse.com（或mcse）。
常见找不到域的出错提示：域“mcse.com”不是AD域，或用于域的AD域控制器无法联系上。
解决：确保DNS指向已有DC所用DNS的服务器。
其它：Ping一下，检查物理连通性。高级用户是否设过TCP/IP筛选器或RRAS筛选器。
（4）输入域名，如：mcse.com。
（5）指定AD库和日志文件位置
（6）指定sysvol文件夹位置
（7）一般选：“与Windows 2000服务器之前的版本相兼容的权限”
（8）目录服务恢复模式的管理员密码
（9）几分后，安装完成，需要重启。
（10）手动在本机上安装DNS服务器，以实现DNS的容错。
A、开始/设置/控制面板/添加删除程序/Windows组件/网络服务/域名系统（DNS）。
B、开始/程序/管理工具/DNS
C、正向搜索区域/右键/新建区域，建议选择“AD集成区域”，区域名已有区域的名称，如mcse.com。自动生成起始授权机构（SOA）、名称服务器（NS）、主机（A）三条记录，但此时SRV记录并未被复制过来。需要等待5-15分钟后，利用刷新或重新加载就可以看到复制过来的DNS记录了（对于03马上就可以看到复制过来的全部DNS记录）。
深入讨论：
03和2000比，功能更强大了。但在域和AD的体系结构上并没有什么大的变化，而且MS的产品十分讲究向前兼容。在一个域中可以既有2000DC，又有03DC；也可以既有2000DNS，又有03DNS，并且DC间的AD复制，DNS间的区域传输，都好像没有版本差异一样。
在我们这里要说的就是：2000可作为03域的附加DC，03也可以作为2000域的附加DC，但第二种情况需要在2000DC（SP2及更高）上运行03光盘/I386/adprep命令来做准备。
具体第一步：adprep /forestprep进行林准备，第二步adprep /domainprep进行域准备。
2、建立子域
（1）以本机管理员身份登录，在独立或成员服务器上，启动AD安装向导。
说明：
DNS指向林根域已有DC所用DNS服务器，以便找到已有DC。
保证域命名主控必须有效，它默认在林根域的第一台DC上，且具有林唯一性。利用管理工具“AD域和信任关系”可转移域命名主控。
（2）选择：新域的域控制器，下一步，在现有的树中创建一个新的子域
（3）输入林管理员帐号，如：administrator，password，mcse.com（或mcse）。
常见出错提示：域“mcse.com”不是AD域，或用于域的AD域控制器无法联系上。解决方法见前。
（4）输入父域名，如：mcse.com；输入子域名，如sub，注意不要输成sub.mcse.com。
（5）指定AD库和日志文件位置
（6）指定sysvol文件夹位置
（7）一般选：“与Windows 2000服务器之前的版本相兼容的权限”
（8）目录服务恢复模式的管理员密码
（9）几分后，安装完成，需要重启。
如果域命名主控失效将会出现如下出错提示：“由于以下原因，操作失败：AD无法与域命名主机xxx联系。指定的服务器无法运行指定的操作。”
解决：保证域命名主控联机，如果确信其已无法正常工作，可强制传给林内的任意一个DC，子域的DC也可以。原来的主机将必须被重做系统后，才可连入网络，以保证域命名主控的林唯一性。
深入讨论：
关于子域（子Domain）所对应的DNS子区域（子zone）是否委派的问题。（以下简称：子区域）
如果网络规模不是很大，虽然实现了子域，但总部、二级单位的网管可能就是同一个人。这种情况下就不需要委派了。可以把区域、子区域都放在同一个DNS服务器上，由同一名管理员来管理就可以了。默认值即如此，不需要手动设置。
如果网络规模较大，且二级单位需要能够控制自己的DNS子区域，比如自己增加www1,www2……这样的主机记录；在自己的子区域下再建子区域。这种情况下就需要委派子区域了，由二级单位的DNS管理员自己来管理。否则二级单位涉及DNS的每一个小变化，都需要找总部DNS管理员批准。
子区域委派，操作步骤如下：（最好按如下步骤进行，不容易出问题）
A、DNS指向林根域（如：mcse.com）已有DC所用DNS服务器
B、利用AD安装向导，安装子域（如：sub.mcse.com），重启机。
C、在林根DNS控制台上查看，确保已在mcse.com生成子文件夹sub，且sub下有4个以下划线开头的，保存有SRV记录的子文件夹（_msdcs、_sites、_tcp、_udp）已生成；sub下还应有如下2条A记录：（第二条记录如果未生成，手动补上也可以。）
（与父文件夹相同）主机 IP
SUBdc 主机 IP
D、在父域（如：mcse.com）右键/新建委派/下一步/子区域名：sub。（不必担心重名，因为委派完成后，灰颜色的委派的sub夹将取代黄颜色的sub夹，但注意操作过程中会共存一段时间）接下来，指定负责子区域的名称服务器：SUBdc.sub.mcse.com及它的IP，以生成粘合记录，下一步，完成。
E、在子域DC上安装DNS，操作：开始/设置/控制面板/添加删除程序/Windows组件/网络服务/域名系统（DNS）。
F、开始/程序/管理工具/DNS
G、正向搜索区域/右键/新建区域，建议选择“AD集成区域”，区域名：sub.mcse.com。自动生成SOA、NS、A、A四条记录（后两条A记录，如C步中述），此时SRV记录也被复制过来了。
H、在DNS服务器的计算机名上/右键/属性/转发器：指向上一级或林根DNS的IP。
I、将子域DC的DNS指向自己，以后加入子域的计算机也使用子域的DNS，以实现DNS分担负荷。（当然，子域中的计算机可以使用林中任一台DNS，也都好使）
注意：
由上述过程，大家可以了解到，做为被委派的DNS子区域的二级单位DNS管理员，是不能随意更改自己的DNS服务器的。比如修改DNS服务器的IP，需要通知上级管理员，及时更新委派子区域的NS记录，否则林中其它用户就会找不到你这个子域的计算机。
3、新域—新树—加入林
此种情况平常较少用到，因为一般企业只用一套命名体系，很少采用两上或两个以上的树。微软举的例子：一个大企业兼并另一企业，并且想保留它的命名体系，技术上对应实现就是目录树和DNS名称空间。
说明：此种应该预先建好DNS正向搜索区，因为它不能像建子域那样，利用AD向导自动在已有DNS区域中创建子区域。下面以前文中的mcse.com，sub.mcse.com，my.com图示为例进行说明。
（1）在林根DNS上，与mcse.com并列，创建区域my.com，最好选AD集成区域。
（2）以本机管理员身份登录，在独立或成员服务器上，启动AD安装向导。
说明：
DNS指向林根域已有DC所用DNS服务器，并保证域命名主控必须有效。
（3）选择：新域—新树—加入林
（4）输入林管理员帐号，如：administrator，password，mcse.com（或mcse）。
说明：
输入的欲登录的林根域名，也就告诉了系统要加入哪个林。
（5）输入新域的DNS全名，如：my.com；域NetBIOS名：MY。
（6）指定AD库和日志文件位置
（7）指定sysvol文件夹位置
（8）一般选：“与Windows 2000服务器之前的版本相兼容的权限”
（9）目录服务恢复模式的管理员密码
（10）几分后，安装完成，需要重启。
说明：
用预建DNS这种方式加入林，使用的是林根上已有DNS服务器，所以此计算机在林根DNS的my.com区域下，仅生成一条主机（A）记录（如需要可手动添加：treedc 主机 IP），SOA和NS记录都是林根DNS服务器，但在my.com区域会有相应的SRV记录来标识它是这个树根域的DC。这种并没有实现DNS的分担负荷，如想实现，利用辅助区域来做。
实验中发现：万不可像全新安装那样，在安装过程中，选择在本地安装一个DNS，这样将会这把个树根域安装成一个独立的林根域。原因吗？去问微软吧。
四、卸载AD
在实际工作中有时我们需要改变服务器角色，或者将实验中安装的DC回复到普通成员/独立服务器身份，这就要进行AD的卸载。
1、卸载时会提示给新的本地管理员设置密码
2、附加DC卸载后，仍在域中。
3、如果AD不能卸载，应从以下几方面考虑：
（1）权限
权限要求与安装AD类似，若一个林中只有一个域，那么你要卸载的就是林根域，需要林管理员权限；卸载附加DC需要该域的域管理员权限；卸载子域或树，涉及到林结构的改变，也需要林管理员权限。
（2）DNS
一般应保证与安装时所用DNS一致。如果做了DNS规划，必须保证1中权限所要求的管理员身份能找到相应DC验证。
（3）域命名主控
卸载时只要涉及到林结构的改变，就需要保证域命名主控有效；卸载附加DC时不要求域命名主控有效。
但要注意的是：卸载时的出错信息与安装时的“AD无法与域命名主机xxx联系”提示不同，具体是：由于以下原因，操作失败。以提供的凭据绑定到服务器xxx失败。“RPC服务器不可用”。
（4）卸载的顺序
与安装顺序相反，应该先逐级卸载下面的子域，最后卸载树根域、林根域。否则将导致子域无法卸载，而存在的子域还有问题。
因为极有可能此时架构和域命名主控及GC未转移，林管理员组和架构管理员组（Schema Admins）已经随林根域的删除而没有了。为什么这么说呢？因为如果管理员考虑到主控及GC等的转移问题，也就不会误删林根域了。
五、从NT4域升级到2000域
1、预备知识：
NT4域采用单主控复制，DC分为PDC和BDC，BDC存储的只是PDC“目录服务数据库”文件的只读复本。在“服务器管理器”中可以将一台BDC提升为PDC，原PDC自动降为BDC。
一个域中只能有一台PDC，零到多台BDC以提供容错和分担负荷。但大家不要理解为一个网络中只能有一台PDC，域是逻辑分组，我们可以在一个子网中建多个域。
2000域开始采用多主控复制，DC不再有PDC和BDC之分，DC间的AD复制是双向的。但2000域中会唯一有一台DC担当PDC仿真主控，负责充当NT4 BDC的PDC，并为早期版本客户机提供服务。PDC仿真主控还负责管理运行NT、95/98计算机的密码变化，写入AD。接受密码变化的DC必须通知PDC仿真主控，比如：用户登录时，如密码错误，必先送至PDC仿真主控。因为普通DC不能确认到底是密码错误，还是它没有及时与PDC仿真主控同步。它还负责同步整个域中计算机的时间。通过以上我们可以知道：在2000域中存在的NT4域控制器，它的身份只能是BDC。
2000域模式分为：混合（mixed）模式和本机（natived）模式。默认为混合模式，如果管理员确认域中所有DC（注意：这里强调的是DC，2000域本机模式下可以有NT4的成员服务器）都是2000DC，没有NT4的域控制器，可以手动在“AD用户和计算机中”将域模式更改为本机模式，以充分利用AD的新功能，比如使用“通用组”。
通过以上分析，我们可以知道：如果在2000域中存在NT4域控制器，那么你只能使用2000域混合式了。有人可能会想那我就不让它再当域控制器了，但是NT4域的DC和成员服务器之间角色转换必须重装NT4系统，不能象2000那样利用AD安装向导，方便地进行安装/卸载。
2、原则：由NT4域向2000域升级，第一个被升级的必须是NT4域的PDC。这样才可以把帐号、安全设置、配置等带到2000域
3、MS推荐策略：由于升级是一个极易出现各种问题的过程，必须考虑备份。再有就是实际操作时，可以先将NT4的BDC提升为PDC，再升级到2000。如果顺利的话，再升级其它BDC。如果不顺利的话，可将原来PDC复原，以此方法来避免损失。
4、深入讨论：我们可以把前面的问题再深入讨论一下，假设你的域中有NT4的PDC，并且在它上面运行的老程序不允许你把它升级为2000，但你还想要通过升级NT4域，得到2000域，那么应该怎么办呢？答案很简单，可以先将这台PDC降为BDC，再将新PDC升级为2000。这样你既得到了2000域，又保留了NT4的BDC。
5、我的推荐原则：在实际工作中，只要能进行2000域的全新安装，就用全新安装。因为NT4升级后得到的2000安全策略设置等等是继承NT4时的设置，与2000域的默认值有较大出入，以后出问题，不易排错，也不易与其它人交流沟通、解决问题。
本文基于自己几年来的实践心得，讨论重点放在如何规划和最终实现Windows 2000/03域和活动目录，以及此过程中要考虑和解决的各种各样问题。至于如何基于域和AD的优点进行网络管理降低TCO，AD的维护，主控的管理，将另行撰文专门讨论。