虚拟机中的活动目录：域控制器虚拟机克隆（2）

2022-03-17 09:14:22

书接前文，当我们看到活动目录针对虚拟化环境的增强，我们还能想到更多的应用虚拟机快照操控域控制器虚拟机的场景吗？

其实最有效的方法就是结合虚拟化的守护服务完成域控制器虚拟机的克隆，这样在很多地方都会发挥作用，例如：

1. 在虚拟机环境下的域控制器环境灾难恢复

2. 新的域控制器环境的快速克隆部署

3. 域控制器环境的弹性部署

4. 快速建立开发测试的域控制器环境

…

让我们来通过一个测试完整的体验一下整个过程。

首先说明实现域控制器虚拟机的前提条件：

域中的域控制器PDC emulator FSMO (PDCE)角色为 Windows Server 2012
在整个克隆过程中PDC emulator需要始终有效

另外，看了上篇博客，我们了解到结合域控制器虚拟机快照回滚，还需要在克隆和恢复过程中具备：

被克隆源Windows Server 2012 运行于来宾虚拟机
虚拟化主机平台Hypervisor层支持 VM-Generation ID (VMGID)

请注意上述要求，对于域控制器虚拟机克隆不等同于域控制器虚拟机的快照恢复，对于域中的第一台具有PDCE角色的域控制器还是不能通过快速克隆方式恢复，确切的说除了这台DC，其他的DC都可以通过克隆的方式快速的生成和部署，这时候就可以发挥快速克隆的速度优势了：-）

言归正传，回到我们的测试环境，现在我在测试环境里面准备了两个域控制器DC01和DC02，希望通过快速克隆的方式生成DC03域控制器。

我的测试环境满足进行域控制器虚拟机克隆的基本要求：

支持VM-Generation ID(VMGID)的虚拟机Hypervisor，Windows Server 2012 Hyper-V 3.0
DC01作为Windows Server 2012 PDCE FSMO的域控制器
克隆的来宾域控制器运行Windows Server 2012（DC02）

可以通过活动目录的Powershell模块（在Windows Server 2012升级域控制器服务器时会自动安装的）来显示当前PDCE角色的主机和版本：

Get-ADComputer (Get-ADDomainController –Discover –Service ` “PrimaryDC”).name –Property operatingsystemversion

要制作克隆域控制器，我们需要前期的准备工作:

1）需要赋予被克隆源域控虚机的克隆权限，通过在域用户和计算机中将源虚拟机DC02添加到克隆域控制器安全组实现，通过截图中的ADDS服务的活动目录管理中心也可以完成这个操作。

当然，如果熟悉PowerShell，用Powershell也很方便完成，在我的测试环境中为：

Add-ADGroupMember –Identity “CN=Cloneable Domain ` Controllers,CN=Users,DC=clone,DC=local” –Member `

“CN=DC02,OU=Domain Controllers,DC=clone,DC=local”

或者

Get-adcomputer DC02 | % {add-adgroupmember `

"cloneable domain controllers" $_.samaccountname}

2）按照官方文档要求需要在Powershell中运行Get-ADDCCloningExcludedApplicationList，通过这个命令检查是否还有不适合作为克隆的应用并放入克隆恢复排除列表中。如果你的环境和我的测试环境一样干净，通常可以直接忽略这一步，一般也不会在域控制器上放置很多无关的应用程序。如果你确实需要则可以参考官方文档运行 Get-ADDCCloningExcludedApplicationList -GenerateXml以生成配置文件。

3）现在生成克隆后新生成的域控制器配置文件DcCloneConfig.xml(默认生成路径: %systemroot%\ntds)，指定新的域控制器主机名IP地址等信息。

在我的测试环境中，

New-ADDCCloneConfigFile –Static -IPv4Address `

“172.16.21.3” -IPv4DNSResolver “172.16.21.1”`

-IPv4SubnetMask “255.255.255.0” -CloneComputerName `

“DC03” -SiteName “Default-First-Site-Name”