安裝 Active Directory 域服務(wù) (AD DS) 之前，請查看下列已知問題：
- Adprep.exe 問題
- Active Directory 域服務(wù)安裝向?qū)?(Dcpromo.exe) 問題
- RODC 安裝問題
- 磁盤空間和組件位置問題
- 其他 AD DS 服務(wù)器角色問題
- 對性能計數(shù)器的更改
Adprep.exe 問題
- Adprep.exe 在 Windows Server 2008 和 Windows Server 2008 R2 中的位置不同。必須運(yùn)行 Adprep.exe 才能將運(yùn)行 Windows Server 2008 或 Windows Server 2008 R2 的域控制器添加到現(xiàn)有 Windows 2000 Server 或 Windows Server 2003 Active Directory 環(huán)境。在 Windows Server 2008 中，Adprep.exe 位于操作系統(tǒng)安裝磁盤的 /Sources/adprep 文件夾中。在 Windows Server 2008 R2 中，Adprep.exe 位于 /Support/adprep 文件夾中。Windows Server 2008 R2 包括 32 位和 64 位版本的 Adprep.exe。在默認(rèn)情況下運(yùn)行 64 位版本。如果希望在 32 位計算機(jī)上運(yùn)行 Adprep.exe 命令之一，則必須使用 Adprep.exe 的 32 位版本。
- 如果在運(yùn)行 adprep /rodcprep 命令時應(yīng)用程序目錄分區(qū)的基礎(chǔ)結(jié)構(gòu)操作主機(jī)不可用，則該命令會記錄一個錯誤。該錯誤指示其基礎(chǔ)結(jié)構(gòu)操作主機(jī)角色不可用的應(yīng)用程序目錄分區(qū)的名稱。有關(guān)如何修復(fù)此問題的詳細(xì)信息，請參閱 Microsoft 知識庫中的文章 949257 (http://go.microsoft.com/fwlink/?LinkId=114419)（可能為英文網(wǎng)頁）。此問題會影響 Windows Server 2008 和 Windows Server 2008 R2 中的 adprep /rodcprep 命令。不過，如果已經(jīng)為 Windows Server 2008 運(yùn)行了 adprep /rodcprep 命令，則不需要為 Windows Server 2008 R2 再運(yùn)行該命令。
- 如果尚未運(yùn)行 adprep /rodcprep 命令，則在運(yùn)行 NCSecDesc 測試時 Dcdiag.exe 將返回錯誤。該測試檢查命名上下文標(biāo)題上的安全描述符是否具有相應(yīng)的復(fù)制權(quán)限。該錯誤指示企業(yè)域控制器組對 DNS 應(yīng)用程序目錄分區(qū)不具有“復(fù)制篩選集中的目錄更改”訪問權(quán)限。如果不計劃向林中添加 RODC，則可以忽略此錯誤。如果計劃向林中添加 RODC，則必須運(yùn)行 adprep /rodcprep。對于 adprep /rodcprep，可以運(yùn)行 Windows Server 2008 或 Windows Server 2008 R2 中顯示的 Adprep.exe 版本，因?yàn)樵搮?shù)在每個版本中都執(zhí)行一組相同的操作。有關(guān)運(yùn)行 adprep /rodcprep 的詳細(xì)信息，請參閱為只讀域控制器準(zhǔn)備林。
- 在為 Windows Server 2008 R2 運(yùn)行 adprep /forestprep 時，配置為全局編錄服務(wù)器的 Windows 2000 域控制器將執(zhí)行其部分域副本的完全同步。這種情況是因?yàn)?/forestprep 操作修改了全局編錄的部分屬性集 (PAS)。在重建過程中，可能會降低 Windows 2000 域控制器的性能。這只是 Windows 2000 域控制器的預(yù)期行為；更高版本的 Windows Server 逐漸添加了其他屬性。為避免完全同步，請將 Windows 2000 域控制器升級到 Windows Server 2003。還可以降級 Windows 2000 域控制器，但這種做法需要進(jìn)行充分規(guī)劃，以確保不會出現(xiàn)服務(wù)中斷。
- 如果在非英文版的 Windows 上運(yùn)行 Adprep.exe 或 Adprep32.exe，則不會出現(xiàn)狀態(tài)和進(jìn)度信息。
Active Directory 域服務(wù)安裝向?qū)?(Dcpromo.exe) 問題
- 選擇安裝 DNS 服務(wù)器的選項(xiàng)時，可能會收到一條消息，指示無法在父區(qū)域中為 DNS 服務(wù)器創(chuàng)建 DNS 委派，并指示應(yīng)手動為 DNS 服務(wù)器創(chuàng)建 DNS 委派以確?？煽康拿Q解析，如下圖所示。如果是在林根域或樹根域中安裝其他域控制器，則不需要創(chuàng)建 DNS 委派。在這種情況下，請單擊“是”并忽略該消息。
- 如果取消 Active Directory 域服務(wù)安裝向?qū)?，則該向?qū)㈥P(guān)閉，但不會刪除 AD DS 二進(jìn)制文件。
如果希望卸載二進(jìn)制文件，請使用服務(wù)器管理器卸載 AD DS 角色或者在命令行運(yùn)行 dcpromo /uninstallBinaries，然后重新啟動計算機(jī)。這適用于 Windows Server 2008 或 Windows Server 2008 R2。
RODC 安裝問題
- 如果主域控制器角色從未由運(yùn)行 Windows Server 2008 或 Windows Server 2008 R2 的域控制器托管并且您從未執(zhí)行只讀域控制器 (RODC) 的完全（非分步）安裝，則使用 Active Directory 用戶和計算機(jī)管理單元預(yù)先創(chuàng)建 RODC 帳戶將失敗。
為了避免這個問題，請執(zhí)行下列操作之一：
- 預(yù)創(chuàng)建 RODC 帳戶之前，將主域控制器 (PDC) 模擬器主機(jī)操作（也稱為靈活單主機(jī)操作或 FSMO）角色傳輸給運(yùn)行 Windows Server 2008 的服務(wù)器之一，并且允許密碼復(fù)制策略 (PRP) 組復(fù)制。
- 在命令提示符下，使用以下命令預(yù)創(chuàng)建 RODC 帳戶：
dcpromo.exe /createDCaccount /replicaDomainDNSname:<domain_name>
備注 不要使用 /replicationSourceDC選項(xiàng)。- 執(zhí)行 RODC 的完整（非分步）安裝，然后預(yù)創(chuàng)建任何其他 RODC 帳戶。
- 預(yù)創(chuàng)建 RODC 帳戶之前，將主域控制器 (PDC) 模擬器主機(jī)操作（也稱為靈活單主機(jī)操作或 FSMO）角色傳輸給運(yùn)行 Windows Server 2008 的服務(wù)器之一，并且允許密碼復(fù)制策略 (PRP) 組復(fù)制。
磁盤空間和組件位置問題
- 從 Windows Server 2003 到 Windows Server 2008 的升級過程要求為新的操作系統(tǒng)映像、安裝過程，以及所有已安裝的服務(wù)器角色提供可用磁盤空間。當(dāng)域控制器角色檢測到磁盤空間不足以執(zhí)行升級時，將記錄錯誤。
其他磁盤空間信息將顯示在安裝程序顯示的兼容性報告中。
對于域控制器角色，承載下列資源的一個或多個卷也需要滿足下列特定的可用磁盤空間要求：
- 應(yīng)用程序數(shù)據(jù) (%AppData%)
- 程序文件 (%ProgramFiles%)
- 用戶數(shù)據(jù) (%SystemDrive%\Documents and Settings)
- Windows 目錄 (%WinDir%)
例如，假設(shè) %WinDir% 卷上承載了以下資源，其大小如下表所示。
在本示例中，%WinDir% 卷上的可用空間必須等于或大于 1.25 千兆字節(jié) (GB)。資源 大小 應(yīng)用程序數(shù)據(jù) (%AppData%)
100 MB
程序文件 (%ProgramFiles%)
100 MB
用戶數(shù)據(jù) (%SystemDrive%\Documents and Settings)
50 MB
Windows 目錄 (%WinDir%)
1 GB
總大小
1.25 GB
然而，如果 Active Directory 數(shù)據(jù)庫位于上述任何文件夾之外，則承載該數(shù)據(jù)庫的卷必須只包含至少等于當(dāng)前數(shù)據(jù)庫大小的 10% 或 250 千兆字節(jié) (MB)（取其較大者）的額外可用磁盤空間。最后，用于承載日志文件的卷上的可用空間必須至少為 50 MB。
在默認(rèn)情況下，在 Windows Server 2003 中安裝 Active Directory 時，會將 Active Directory 數(shù)據(jù)庫和日志文件安裝在 %WinDir%\NTDS 下。在此配置下，系統(tǒng)會將 Ntds.dit 數(shù)據(jù)庫文件和所有日志文件臨時復(fù)制到隔離位置，然后復(fù)制回其原始位置；這就是為什么這些資源要求額外可用空間的原因。雖然 SYSVOL 目錄也位于 %WinDir% 下（即 %WinDir%\SYSVOL），但系統(tǒng)只移動而不復(fù)制該目錄。因此，該目錄不要求任何額外可用空間。
升級后，為復(fù)制的資源保留的空間將返回到文件系統(tǒng)。
- 應(yīng)用程序數(shù)據(jù) (%AppData%)
- Windows Server 2008 R2 域控制器上的 Active Directory 數(shù)據(jù)庫 NTDS.dit 可能比 Windows 以前版本中的大，原因如下：
- Windows Server 2008 R2 域控制器上禁用了“部分合并”功能。
- Windows Server 2008 R2 域控制器在大型鏈接表中添加了兩個新索引。
- Windows Server 2008 R2 回收站在回收對象生存時間內(nèi)保留已刪除對象上的屬性。
對于回收站，數(shù)據(jù)庫大小會在以下時刻增加：
- 在完成 Windows Server 2008 R2 adprep /forestprep 并安裝第一個 Windows Server 2008 R2 域控制器后，有一個新索引屬性 isRecycled，其值是為所有已刪除對象設(shè)置的。
- 在啟用回收站之后，保留了已刪除對象上的所有屬性。刪除的對象越多，所需的磁盤空間就越多。
- 在完成 Windows Server 2008 R2 adprep /forestprep 并安裝第一個 Windows Server 2008 R2 域控制器后，有一個新索引屬性 isRecycled，其值是為所有已刪除對象設(shè)置的。
- %SystemRoot%
- %ProgramFiles%
- %SystemDrive%\Program Files
- %ProgramFiles(x86)%
- %SystemDrive%\build
- %SystemDrive%\InstalledRepository
- %ProfilesFolder%
- %ProgramData%
- %SystemDrive%\Documents and Settings
- <i> = 15 GB（Windows 硬盤驅(qū)動器上 Windows 安裝程序要求的最小可用空間量）
- Ntds.dit 的原始大小為 5 GB。
Ntds.dit 的位置 系統(tǒng)驅(qū)動器上的可用空間 (GB) 結(jié)果 Ntds.dit 與系統(tǒng)位于同一驅(qū)動器上，但它不在 %windir% 目錄中。
1
在此方案中，雖然不需要將 Ntds.dit 從 Windows.old 文件夾復(fù)制到 Windows 文件夾，但沒有足夠的空間復(fù)制 Windows 安裝文件。
兼容性報告發(fā)現(xiàn)沒有足夠的空間復(fù)制 Windows 文件。
兼容性報告顯示升級被阻止。
Ntds.dit 與系統(tǒng)位于不同的驅(qū)動器上。
<i>
在此方案中，磁盤滿足安裝 Windows 文件的最低可用空間要求，不需要將 Ntds.dit 從 Windows.old 文件夾復(fù)制到 Windows 文件夾。
兼容性報告警告用戶，可用空間量滿足最低要求，升級過程會需要較長時間。
域控制器成功升級。
Ntds.dit 位于以下默認(rèn)文件夾中：
%windir%\ntds\
<i> + 1
在此方案中，磁盤滿足安裝 Windows 文件的最低可用空間要求，這導(dǎo)致繞過兼容性報告。不過，Ntds.dit 位于 Windows 文件夾下，這會導(dǎo)致升級操作將其從 Windows.old 文件夾復(fù)制到 Windows 文件夾。由于沒有將數(shù)據(jù)庫復(fù)制到新操作系統(tǒng)，磁盤上沒有足夠的空間滿足 Ntds.dit 的需求，因此最后一步將失敗。在首次啟動 Windows Server 2008 R2 時，它無法找到 Ntds.dit，這會導(dǎo)致錯誤并強(qiáng)制計算機(jī)回滾到以前的操作系統(tǒng)。
ERROR_CODE: (NTSTATUS) 0xc00002ec - 由于下列原因，目錄服務(wù)無法啟用：%hs 錯誤狀態(tài): 0x%x。請單擊“確定”關(guān)閉系統(tǒng)。您可使用恢復(fù)控制臺對系統(tǒng)進(jìn)行進(jìn)一步的診斷。
Err 0xc00002ec = STATUS_DS_INIT_FAILURE_CONSOLE
域控制器成功回滾到 Windows Server 2008。
Ntds.dit 與系統(tǒng)位于同一驅(qū)動器上，但它不在 %windir% 目錄中。
<i>
在此方案中，磁盤滿足安裝 Windows 文件的最低可用空間要求，不需要將 Ntds.dit 從 Windows.old 文件夾復(fù)制到 Windows 文件夾。
兼容性報告警告用戶，可用空間量滿足最低要求，升級過程會需要較長時間。
域控制器成功升級。
- Windows Server 2008 R2 域控制器上禁用了“部分合并”功能。
- 在對 SYSVOL 使用分布式文件系統(tǒng) (DFS) 復(fù)制的 RODC 上，應(yīng)將 SYSVOL 共享文件夾放在與 Windows 文件夾不同的單獨(dú)卷上。將 DFS 只讀已復(fù)制文件夾存儲在與 Windows 安裝文件相同的卷上將導(dǎo)致該卷的性能降低，除非安裝了其他微篩選器驅(qū)動程序，例如防病毒程序或備份程序。
- 您不能將 SYSVOL 放在驅(qū)動器的根目錄中，如 C:\。盡管 Active Directory 域服務(wù)安裝向?qū)г试S您指定驅(qū)動器的根目錄作為 SYSVOL 的位置，但 AD DS 的安裝隨后將失敗。
- 如果將 Active Directory 數(shù)據(jù)庫和日志文件放置在某個磁盤（不是包含 %systemroot% 的磁盤）的根目錄中，則會發(fā)生“停止”錯誤。如果將這些文件放置在不可作為啟動設(shè)備的某個 iSCSI 驅(qū)動器上，也會收到停止錯誤。這適用于 Windows Server 2008 或 Windows Server 2008 R2，并且適用新的 AD DS 安裝和升級。
為了避免這個問題，請確保 Active Directory 數(shù)據(jù)庫和日志文件所處的卷不是本地不可刪除驅(qū)動器的根卷。
某些 iSCSI 設(shè)備錯誤地報告它們是本地驅(qū)動器（即使它們不是）。如果發(fā)生這種情況，請與驅(qū)動器供應(yīng)商聯(lián)系以確定是否可以將該硬件配置為啟動設(shè)備。如果該硬件不能配置為啟動設(shè)備，則執(zhí)行以下過程。
移動 Active Directory 數(shù)據(jù)庫和日志文件的步驟-
重新啟動計算機(jī)，然后在計算機(jī)啟動的過程中按 F8 進(jìn)入目錄服務(wù)還原模式 (DSRM)。
-
將 Active Directory 數(shù)據(jù)庫和日志文件移動到某個子目錄，該子目錄至少比本地驅(qū)動器根目錄低一個級別。
-
使用 Regedit.exe 查找以下注冊表項(xiàng)：HKLM\System\CurrentControlSet\Services\NTDS\Parameters
-
將 DSA Database File 的值更改為第 2 步中的新路徑，例如，x:\ntds。
-
將 DSA Working Directory 的值更改為第 2 步中的新路徑，例如，x:\ntds\logs。
-
其他 AD DS 服務(wù)器角色問題
- 運(yùn)行 Windows Server 2008 或 Windows Server 2008 R2 的服務(wù)器對計算機(jī)瀏覽器服務(wù)的默認(rèn)啟動類型進(jìn)行了更改。默認(rèn)啟動類型更改為“禁用”。在以前版本的 Windows Server 中，默認(rèn)啟動類型為“自動”。更改默認(rèn)啟動類型后將不再允許匿名訪問，這有助于提高新服務(wù)器安裝的默認(rèn)安全性。
不過，可能會對依賴于計算機(jī)瀏覽器服務(wù)才能運(yùn)行的應(yīng)用程序和服務(wù)造成負(fù)面影響。例如，遠(yuǎn)程桌面可能依賴于計算機(jī)瀏覽器服務(wù)才能找到遠(yuǎn)程計算機(jī)。
由于默認(rèn)啟動類型已更改，在撤消運(yùn)行 Windows Server 2000 和 Windows Serer 2003 的域控制器和添加運(yùn)行 Windows Server 2008 或 Windows Server 2008 R2 的域控制器時，可能會意外分解計算機(jī)瀏覽器服務(wù)基礎(chǔ)架構(gòu)。
如果需要計算機(jī)瀏覽器服務(wù)（例如，為了進(jìn)行應(yīng)用程序或服務(wù)支持），可以創(chuàng)建一個策略，將計算機(jī)瀏覽器的啟動類型從“禁用”更改為“自動”。
- 運(yùn)行 Windows Server 2008 并且安裝了日語區(qū)域設(shè)置的其他域控制器在入站復(fù)制期間不接收對象某些屬性的更新?？梢圆扇∫恍┎襟E防止發(fā)生此問題，還可以在已經(jīng)發(fā)生此問題時采取一些步驟進(jìn)行恢復(fù)。有關(guān)詳細(xì)信息，請參閱 Microsoft 知識庫中的文章 949189 (http://go.microsoft.com/fwlink/?LinkId=114418)（可能為英文網(wǎng)頁）。此問題不會影響運(yùn)行 Windows Server 2008 R2 的域控制器。
- 將運(yùn)行 Windows Server 2003 的域控制器升級到 Windows Server 2008 或 Windows Server 2008 R2 時，系統(tǒng)將記錄有關(guān) Netlogon 服務(wù)和 Windows 時間服務(wù)的某些錯誤事件消息，這是設(shè)計的結(jié)果，您可以安全地忽略這些消息。
因?yàn)樵谏夁^程結(jié)束時會移動 SYSVOL 目錄，所以在事件查看器的系統(tǒng)日志中，會記錄 Netlogon 服務(wù)的事件 ID 5706。在升級期間，這可以避免復(fù)制。針對 Windows 時間服務(wù)的事件 ID 46 表示因?yàn)槲磫?Netlogon 服務(wù)，所以啟動 Windows 時間服務(wù)失敗。在最后一次重新啟動升級過程之后，SYSVOL 目錄已被移動，Netlogon 服務(wù)和 Windows 時間服務(wù)均成功啟動。
- 僅支持?jǐn)?shù)據(jù)加密標(biāo)準(zhǔn) (DES) 的客戶端將無法通過 Netlogon 在運(yùn)行 Windows Server 2008 或 Windows Server 2008 R2 的域控制器上建立一個安全通道。因此，不安全的域加入操作將失敗，包括由 Windows 部署服務(wù)和 Active Directory 遷移工具 (ADMT) 執(zhí)行的操作。此外，不支持 MD5 的非 Microsoft 服務(wù)器消息塊 (SMB) 和網(wǎng)絡(luò)附加存儲 (NAS) 設(shè)備也將無法建立安全通道。
為了避免這個問題，請將所有客戶端計算機(jī)和域控制器升級到 Windows 2000 或更高版本。請與任何非 Microsoft SMB 和 NAS 設(shè)備的供應(yīng)商聯(lián)系以獲得支持 MD5 的版本。
如果您必須支持 DES，則應(yīng)能夠支持 Windows NT 4.0 加密。打開組策略管理管理單元，依次單擊“計算機(jī)配置”、“管理模板”、“系統(tǒng)”，然后單擊 Netlogon。右鍵單擊“允許與 Windows NT 4.0 兼容的加密算法”，依次單擊“屬性”、“已啟用”，然后單擊“確定”。
- 如果域命名主機(jī)操作主機(jī)角色位于運(yùn)行 Windows 2000 Server 的域控制器上，則當(dāng)新建 Windows Server 2008 或 Windows Server 2008 R2 子域或域樹時，交叉引用對象上不會標(biāo)記 msDS-BehaviorVersion 屬性。這可能會導(dǎo)致某些應(yīng)用程序的兼容問題。尤其是，可以使用 Dcdiag.exe 執(zhí)行的復(fù)制測試將失敗。若要避免此問題，請先將域命名主機(jī)角色傳輸給運(yùn)行 Windows Server 2003、Windows Server 2008 或 Windows Server 2008 R2 的域控制器，然后再新建子域或新建樹根。
對性能計數(shù)器的更改
在 Windows 2000 和 Windows Server 2003 中，Active Directory 性能計數(shù)器為單一實(shí)例并且位于 NTDS 下。此外，在 Windows Server 2003 中，Active Directory 應(yīng)用程序模式 (ADAM) 性能計數(shù)器為多實(shí)例并且位于 ADAM 下。在 Windows Server 2008 和 Windows Server 2008 R2 中，AD DS 和 Active Directory 輕型目錄服務(wù) (AD LDS) 的性能計數(shù)器既位于上述相同位置下，又位于 DirectoryServices 下，即為多實(shí)例。AD DS 性能計數(shù)器位于 NTDS 實(shí)例下，而 AD LDS 性能計數(shù)器位于與 AD LDS 服務(wù)名稱相對應(yīng)的實(shí)例下（與 Windows Server 2003 中的計數(shù)器相同）。
例如，在運(yùn)行 Windows Server 2003 的計算機(jī)（安裝了 Active Directory 且具有兩個名為 ADAM_instance1 和 ADAM_instance2 的 ADAM 服務(wù)）上，以下名稱出現(xiàn)在性能監(jiān)視器中的“選定對象的實(shí)例”下（其中方括號表示顯示的名稱）：
- NTDS
- ADAM [ADAM_instance1]
- ADAM [ADAM_instance2]
在運(yùn)行 Windows Server 2008 或 Windows Server 2008 R2 的計算機(jī)上，出現(xiàn)以下名稱：
- NTDS
- DirectoryServices [NTDS]
- DirectoryServices [ADAM_instance1]
- DirectoryServices [ADAM_instance2]
在運(yùn)行 Windows Server 2003 且只安裝了 Active Directory 的計算機(jī)上，出現(xiàn)以下名稱：
- NTDS
在運(yùn)行 Windows Server 2008 或 Windows Server 2008 R2 且只安裝了 AD DS 的計算機(jī)上，出現(xiàn)以下名稱：
- NTDS
- DirectoryServices [NTDS]
在運(yùn)行 Windows Server 2008 或 Windows Server 2008 R2 且僅安裝了名為 ADAM_instance1 和 ADAM_instance2 的 AD LDS 實(shí)例的計算機(jī)上，出現(xiàn)以下名稱：
- DirectoryServices [ADAM_instance1]
- DirectoryServices [ADAM_instance2]
NTDS 塊中的計數(shù)器是 DirectoryServices [NTDS] 塊中計數(shù)器的精確副本。將來，應(yīng)用程序應(yīng)開始使用 DirectoryServices [NTDS] 計數(shù)器。NTDS 塊僅支持向后兼容，在未來版本的 Windows 中可能不復(fù)存在。
