ติดตั้ง Active Directory Domain Services บน Windows Server

Get-NetAdapter
New-NetIPAddress -InterfaceAlias "Ethernet" -IPAddress 10.0.0.10 `
  -PrefixLength 24 -DefaultGateway 10.0.0.1
Set-DnsClientServerAddress -InterfaceAlias "Ethernet" -ServerAddresses 127.0.0.1

Rename-Computer -NewName "DC01" -Restart

Install-WindowsFeature -Name AD-Domain-Services -IncludeManagementTools
Get-WindowsFeature -Name AD-Domain-Services

Import-Module ADDSDeployment

Install-ADDSForest `
  -DomainName "corp.example.com" `
  -DomainNetbiosName "CORP" `
  -ForestMode "WinThreshold" `
  -DomainMode "WinThreshold" `
  -InstallDns:$true `
  -DatabasePath "C:\Windows\NTDS" `
  -LogPath "C:\Windows\NTDS" `
  -SysvolPath "C:\Windows\SYSVOL" `
  -NoRebootOnCompletion:$false `
  -Force:$true

Get-ADDomain
Get-ADForest
Get-ADDomainController

# ตรวจสุขภาพแบบละเอียด
dcdiag /v
nltest /dsgetdc:corp.example.com

Get-DnsServerZone
Resolve-DnsName -Name "_ldap._tcp.dc._msdcs.corp.example.com" -Type SRV

ขั้นตอนที่ 6: สร้างโครงสร้าง OU

อย่าวางผู้ใช้ทั้งหมดไว้ใน Users ตามค่าเริ่มต้น เพราะจะใช้ Group Policy กับเฉพาะบางกลุ่มไม่ได้

New-ADOrganizationalUnit -Name "TDC" -Path "DC=corp,DC=example,DC=com"
New-ADOrganizationalUnit -Name "Users" -Path "OU=TDC,DC=corp,DC=example,DC=com"
New-ADOrganizationalUnit -Name "Computers" -Path "OU=TDC,DC=corp,DC=example,DC=com"
New-ADOrganizationalUnit -Name "Servers" -Path "OU=TDC,DC=corp,DC=example,DC=com"
New-ADOrganizationalUnit -Name "Groups" -Path "OU=TDC,DC=corp,DC=example,DC=com"

Get-ADOrganizationalUnit -Filter * | Select-Object Name, DistinguishedName

ขั้นตอนที่ 7: สร้างผู้ใช้และกลุ่ม

$pw = Read-Host -AsSecureString -Prompt "รหัสผ่านเริ่มต้น"

New-ADUser -Name "Somchai Jaidee" `
  -GivenName "Somchai" -Surname "Jaidee" `
  -SamAccountName "somchai" `
  -UserPrincipalName "[email protected]" `
  -Path "OU=Users,OU=TDC,DC=corp,DC=example,DC=com" `
  -AccountPassword $pw `
  -ChangePasswordAtLogon $true `
  -Enabled $true

New-ADGroup -Name "Finance" -GroupScope Global `
  -Path "OU=Groups,OU=TDC,DC=corp,DC=example,DC=com"
Add-ADGroupMember -Identity "Finance" -Members "somchai"

Get-ADGroupMember -Identity "Finance" | Select-Object Name

สร้างผู้ใช้จำนวนมากจากไฟล์ CSV

Import-Csv users.csv | ForEach-Object {
  New-ADUser -Name $_.Name -SamAccountName $_.Username `
    -UserPrincipalName "$($_.Username)@corp.example.com" `
    -Path "OU=Users,OU=TDC,DC=corp,DC=example,DC=com" `
    -AccountPassword (ConvertTo-SecureString $_.Password -AsPlainText -Force) `
    -ChangePasswordAtLogon $true -Enabled $true
}

ขั้นตอนที่ 8: นำเครื่องลูกเข้าโดเมน

ที่เครื่องลูก ตั้ง DNS ให้ชี้มาที่ Domain Controller ก่อน ขั้นตอนนี้สำคัญที่สุดและเป็นสาเหตุที่คนเข้าโดเมนไม่ได้

Set-DnsClientServerAddress -InterfaceAlias "Ethernet" -ServerAddresses 10.0.0.10
Resolve-DnsName corp.example.com
Add-Computer -DomainName "corp.example.com" `
  -OUPath "OU=Computers,OU=TDC,DC=corp,DC=example,DC=com" `
  -Credential (Get-Credential CORP\Administrator) -Restart

ขั้นตอนที่ 9: เพิ่ม Domain Controller เครื่องที่สอง

Domain Controller เพียงเครื่องเดียวคือจุดตายของทั้งระบบ เมื่อเครื่องนี้ล่ม ทุกคนล็อกอินไม่ได้ ควรมีเครื่องที่สองเสมอ

# บนเครื่องที่สอง หลังตั้ง DNS ชี้ไป DC01 แล้ว
Install-WindowsFeature -Name AD-Domain-Services -IncludeManagementTools
Install-ADDSDomainController `
  -DomainName "corp.example.com" `
  -InstallDns:$true `
  -Credential (Get-Credential CORP\Administrator) `
  -Force:$true

หลังเสร็จ ให้แก้ DNS ของทั้งสองเครื่องให้ชี้หากันไขว้กัน โดยแต่ละเครื่องใช้ IP ของอีกเครื่องเป็น DNS ตัวแรก และ 127.0.0.1 เป็นตัวที่สอง

ปัญหาที่พบบ่อยเกี่ยวกับ Active Directory

เครื่องลูกเข้าโดเมนไม่ได้ ขึ้นว่าหาโดเมนไม่พบ

เกือบทุกครั้งเป็นเรื่อง DNS ตรวจที่เครื่องลูกว่า DNS ชี้ไปที่ Domain Controller ไม่ใช่ 8.8.8.8 ด้วย ipconfig /all แล้วทดสอบด้วย nslookup corp.example.com

เวลาไม่ตรงกันจนล็อกอินไม่ได้

Kerberos ยอมให้เวลาต่างกันได้ไม่เกิน 5 นาที ตรวจด้วย w32tm /query /status และบังคับซิงก์ด้วย w32tm /resync บน Domain Controller ควรตั้งให้ซิงก์กับ NTP ภายนอก

w32tm /config /manualpeerlist:"time.navy.mi.th,0x8" /syncfromflags:manual /reliable:yes /update
Restart-Service w32time

dcdiag แจ้งข้อผิดพลาดเรื่อง SYSVOL

ตรวจว่าแชร์ SYSVOL และ NETLOGON ถูกสร้างแล้วด้วย net share หากไม่มี มักเป็นปัญหาการจำลองข้อมูล ให้ดู Event Log ใน Directory Service และ DFS Replication

ตั้งชื่อโดเมนผิดแล้วอยากแก้

การเปลี่ยนชื่อโดเมนทำได้แต่ซับซ้อนและเสี่ยงมาก หากยังไม่มีข้อมูลสำคัญ ให้ถอนการติดตั้งแล้วเริ่มใหม่จะเร็วกว่า ด้วย Uninstall-ADDSDomainController -ForceRemoval

ต้องการวางระบบ Active Directory พร้อม DR Site ที่มีทีมวิศวกรดูแล ติดต่อ THAI DATA CLOUD ได้ที่ https://thaidata.cloud/contact/

สรุปขั้นตอน Active Directory

ทบทวน Active Directory ทั้งหมดตามลำดับ ก่อนนำไปใช้กับระบบจริง

1. ตั้ง IP แบบคงที่
2. เปลี่ยนชื่อเครื่อง
3. ติดตั้ง Role
4. ยกระดับเป็น Domain Controller
5. ตรวจว่าติดตั้งสำเร็จ
6. สร้างโครงสร้าง OU
7. สร้างผู้ใช้และกลุ่ม
8. นำเครื่องลูกเข้าโดเมน
9. เพิ่ม Domain Controller เครื่องที่สอง

เมื่อทำครบทุกข้อแล้ว Active Directory จะพร้อมใช้งาน หากผลลัพธ์ไม่เป็นไปตามที่คาด ให้ย้อนกลับไปดูหัวข้อปัญหาที่พบบ่อยด้านบน ซึ่งรวบรวมกรณีที่พบจริงจากการใช้งาน Active Directory ไว้แล้ว

อ่านเพิ่มเติมเกี่ยวกับ Active Directory

• เอกสาร DNS ของ Cloudflare
• เปิด Port บน Windows Defender Firewall
• คู่มือการใช้งานทั้งหมดของ THAI DATA CLOUD