Windows Server 2016 用于域控制器时应选择什么样的配置？

为 Windows Server 2016 域控制器（Domain Controller, DC）选择配置时，核心原则是高可用性、性能冗余和安全性。由于域控制器承载着身份验证、组策略应用和目录服务复制等关键任务，其硬件配置通常需要高于普通成员服务器。

以下是针对生产环境域控制器的推荐配置建议：

1. 处理器 (CPU)

• 核心数与线程：现代域控制器通常采用虚拟化部署或高性能物理机。
  • 最小建议：4 个 vCPU（如果是虚拟机）或 4 核/8 线程的物理 CPU。
  • 推荐配置：根据用户数量，通常建议 8 个 vCPU 或更多。对于大型环境（数千用户），建议配备 16+ 个 vCPU。
  • 注意：域控对单核主频敏感（用于处理认证请求），因此较高的基础频率比单纯增加核心数更有利，除非有大量并发查询。
• 架构：必须支持 64 位 架构。Windows Server 2016 不再支持 32 位系统。

2. 内存 (RAM)

内存是域控制器性能的瓶颈所在，尤其是当使用 Active Directory 数据库缓存时。

• 最小建议：8 GB。这仅适用于极小规模测试或开发环境（<50 用户）。
• 推荐配置：16 GB 起步。这是大多数中小型企业的标准配置。
• 大型企业：如果用户量超过 2000 人或启用了大量复杂组策略/脚本，建议 32 GB 至 64 GB 甚至更高。
• 原则：AD DS 数据库文件（NTDS.dit）会尽可能多地占用空闲内存作为缓存。内存越大，磁盘 I/O 越少，响应速度越快。

3. 存储 (Disk Storage)

存储子系统直接决定了目录服务的读写速度和灾难恢复能力。

• 类型：必须使用 SSD 或 NVMe。机械硬盘（HDD）会导致认证延迟和复制超时。
• RAID 级别：
  • 系统盘：建议 RAID 1 (镜像) 或 RAID 10。确保操作系统和 AD 数据库的高可用性。
  • 数据盘：如果将 AD 数据库放在独立分区，同样需要 RAID 1 或 RAID 10。
  • 日志盘：虽然可以将日志放在同一卷，但为了性能优化，有时会将事务日志放在独立的快速磁盘上。
• 容量规划：
  • 预留足够的空间给 AD 增长（建议至少预留 20-30% 的未用空间）。
  • 定期清理事件日志和备份文件。
• 多副本策略：在物理层面，建议至少有两个独立的存储路径，以防单块硬盘故障导致服务中断。

4. 网络适配器 (Network)

• 带宽：建议 1 Gbps 起步，但在现代数据中心环境中，10 Gbps 是标准配置，特别是当域控制器之间需要进行频繁的大规模对象复制时。
• 网卡绑定 (NIC Teaming)：强烈建议配置 双网卡绑定（如 LACP 或静态聚合）。这不仅提供负载均衡，更重要的是提供链路冗余。如果一根网线断开，域控制器仍能正常工作。
• DNS 设置：域控制器本身必须是 DNS 服务器，且其首选 DNS 指向自己（或另一台健康的域控），绝不能指向外部公共 DNS（如 8.8.8.8）作为首选。

5. 虚拟化管理特别提示 (VMware/Hyper-V)

如果您是在虚拟化平台上运行 Windows Server 2016 DC：

• vNUMA：如果分配了较多 vCPU（例如 > 8），请开启 vNUMA 支持，以模拟物理 NUMA 拓扑，减少跨节点内存访问延迟。
• 快照管理：严禁对正在运行的域控制器创建长期快照。快照可能导致 USN 回滚（USN Rollback），破坏整个域的信任关系。如果需要备份，请使用专门的 VSS 备份工具。
• 时钟同步：确保虚拟机时间同步源正确（通常由 PDC Emulator 角色提供者同步，而不是宿主机）。

6. 软件与角色配置

• 操作系统版本：Windows Server 2016 Datacenter 或 Standard 均可，Datacenter 版在虚拟化许可上更灵活。
• 补丁更新：保持最新的累积更新（CU），因为旧版本存在已知的安全漏洞（如 PrintNightmare 等影响域控的风险）。
• 只读域控制器 (RODC)：如果在分支机构部署，应优先考虑 RODC 配置以降低安全风险。

总结配置清单示例

关键提醒：无论配置如何，至少部署两台域控制器是生产环境的底线要求。单点故障会导致整个企业无法登录、无法打印、无法访问资源。