Active Directory升级步骤是什么

Active Directory 升级步骤指南

1. 升级前的准备工作

1.1 环境评估与验证

• 检查系统要求：确认目标服务器满足新版本 Windows Server 的硬件要求（如处理器、内存、磁盘空间），并验证应用程序兼容性（避免不兼容软件阻止升级）。
• 验证域控制器健康状态：运行 dcdiag /v 检查域控制器整体健康；使用 repadmin /showrepl 和 repadmin /replsummary 验证域控制器间的复制功能是否正常。
• 检查 FSMO 角色分配：通过 netdom query fsmo 或 PowerShell 命令（Get-ADDomain | FL InfrastructureMaster, RIDMaster, PDCEmulator 和 Get-ADForest | FL DomainNamingMaster, SchemaMaster）确认所有 FSMO 角色（架构主机、域命名主机等）的归属，确保升级过程中不会因角色丢失导致故障。
• 备份关键数据：创建完整的系统备份（使用 wbadmin start backup），并导出当前 AD 配置（ldifde -f ADExport.ldf），记录现有组策略（GPO）设置，以便升级失败时可快速回滚。

1.2 准备新域控制器（推荐方法）

• 加入现有林：将新服务器加入现有 Active Directory 林，成为成员服务器。
• 安装 AD DS 角色：通过 Server Manager 或 PowerShell 命令（Install-WindowsFeature -Name AD-Domain-Services -IncludeManagementTools）安装 Active Directory 域服务角色。

2. 运行 Adprep 工具（扩展架构与准备域）

Adprep 是升级 Active Directory 架构和域的必要工具，用于确保新版本的功能兼容性。

• 扩展林架构：以架构管理员和企业管理员身份运行 adprep /forestprep（仅林中第一次升级时需要），更新林架构以支持新版本功能。
• 准备域：以域管理员身份运行 adprep /domainprep（每个需要升级的域都需要执行），更新域架构和配置。
• 可选：准备只读域控制器（RODC）：若要部署 RODC，运行 adprep /rodcprep（企业管理员权限），更新应用程序目录分区的复制权限。
• 更新组策略：运行 adprep /domainprep /gpprep（域管理员权限），确保组策略对象（GPO）与新版本兼容。

3. 提升服务器为域控制器

• 通过 Server Manager 提升：在 Server Manager 中点击“管理”→“添加角色和功能”，选择“Active Directory 域服务”，完成向导后，在“将服务器提升为域控制器”界面选择“将域控制器添加到现有域”，输入域名和凭据，配置目录服务还原模式（DSRM）密码，完成安装。
• 通过 PowerShell 提升：使用 Install-ADDSDomainController 命令，指定域名、站点名称、复制源域控制器、数据库路径等参数（例如：Install-ADDSDomainController -DomainName "contoso.com" -SiteName "Default-First-Site-Name" -ReplicationSourceDC "DC01.contoso.com" -DatabasePath "C:\Windows\NTDS" -LogPath "C:\Windows\NTDS" -SysvolPath "C:\Windows\SYSVOL" -InstallDns:$true -CreateDnsDelegation:$false -Force:$true）。

4. 升级域和林功能级别

升级域控制器后，需提高域和林功能级别以解锁新版本功能。

• 升级域功能级别：使用 PowerShell 命令 Set-ADDomainMode -Identity "contoso.com" -DomainMode Windows2025Domain（将域升级到 Windows Server 2025 功能级别）。
• 升级林功能级别：使用 PowerShell 命令 Set-ADForestMode -Identity "contoso.com" -ForestMode Windows2025Forest（将林升级到 Windows Server 2025 功能级别）。
• 注意事项：
  • Windows Server 2025 需要所有域控制器运行 Windows Server 2025，且林功能级别至少为 Windows Server 2016。
  • 功能级别升级后不可回滚（Windows Server 2012 R2 及更早版本除外）。

5. 降级旧域控制器（可选）

若不再需要旧版本域控制器，可将其降级为成员服务器：

• 运行 dcpromo 向导：在旧域控制器上运行 dcpromo，按照向导降级（适用于 Windows Server 2012 R2 及更早版本）。
• 使用 PowerShell：运行 Uninstall-ADDSDomainController -DemoteOperationMasterRole -RemoveApplicationPartition（需域管理员权限），移除域控制器角色。
• 注意事项：降级前需确保林中仍有其他运行新版本的域控制器，避免影响域功能。