使用 HYPER-V 的虚拟化域控制器

适用于：Windows Server 2016

本主题将更新以使指南适用于 Windows Server 2016。 Windows Server 2012 引入了很多改进虚拟化的域控制器 (Dc)，包括安全措施以防止在虚拟 Dc 的 USN 回滚和克隆虚拟域控制器的功能。 有关这些改进的详细信息，请参阅Active Directory 域服务 (AD DS) 虚拟化 (级别 100) 简介。

HYPER-V 将合并到单一物理计算机上的不同服务器角色。 本指南介绍为 32 位或 64 位来宾操作系统运行的域控制器。

规划虚拟化域控制器

本部分介绍了 hyper-v 服务器的硬件要求如何避***点故障，选择适当类型的配置的 HYPER-V 服务器和虚拟机和安全性和性能的决策。

HYPER-V 要求

若要安装和使用 HYPER-V 角色，您必须：

• X64 处理器

• HYPER-V 是基于 x64 的版本的 Windows Server 2008 或更高版本中可用。

• 硬件辅助虚拟化

• 此功能现已推出虚拟化选项，具体而言，Intel 虚拟化技术 (Intel       VT) 或 AMD 虚拟化 (AMD-V) 的处理器。

• 硬件数据执行保护 (DEP)

• 硬件 DEP 必须可用且已启用。 具体而言，必须启用 Intel XD 位 （执行禁用位）       或 AMD NX 位 （无执行位）。

避免创建单一故障点

应尝试避免在计划部署在虚拟域控制器时创建潜在单一故障点。 您可以避免通过实现系统冗余引入潜在单一故障点。 例如，记住增加了管理成本的可能性时考虑以下建议：

1. 每个域运行至少两个虚拟化的域控制器，不同的虚拟化在主机上，从而减少了丢失的所有域控制器，如果单个虚拟化主机发生故障的风险。

2. 根据建议的其他技术，多元化      （使用不同的 Cpu、 主板、 网络适配器或其他硬件）      的硬件上的域控制器正在运行。      硬件因卡而异限制可能由特定于供应商配置、      驱动程序，或一段或类型的硬件故障导致的损害。

3. 如果可能，应位于不同地区的世界中的硬件上运行的域控制器。      这有助于减少灾难或影响域控制器位于的站点的故障的影响。

4. 维护每个域中的物理域控制器。      这应会影响使用该平台的所有主机系统虚拟化平台不正常工作的风险。

安全注意事项

即使该计算机是仅在已加入域或工作组计算机，必须为可写域控制器，请仔细管理在其运行虚拟域控制器的主机计算机。 这是一个重要的安全的考虑因素。 不善的主机容易受到提升权限攻击，恶意用户获得访问权***，会发生和未授权或以合法方式分配的系统权限。 恶意用户可以使用此类型的攻击破坏所有虚拟机，域和林中的此计算机承载。

请务必规划虚拟化域控制器时记住以下安全注意事项：

• 承载虚拟的、      可写域控制器应考虑的所有域和林的那些域控制器属于默认域管理员凭据与计算机的本地管理员。

• 若要避免安全和性能问题的建议的配置是运行服务器核心安装的 Windows Server 2008 或更高版本，与 HYPER-V 以外的任何应用程序的主机。      此配置限制应用程序和服务器，这应该产生更高的性能和减少应用程序和服务可能被恶意利用的攻击的计算机或网络安装的服务的数。      此类型的配置的效果被称为减少了的攻击面。      在分支机构或不能令人满意地保护其他位置中，建议只读域控制器 (RODC)。 如果存在单独的管理网络，我们建议，仅向管理网络连接主机。

• 你的域控制器上使用 Bitlocker，自 Windows      Server 2016 可以使用还授予来宾密钥材料的虚拟 TPM 功能来解锁系统卷。

• 受保护的构造和受防护的 Vm可以提供其他控制来保护你的域控制器。