啟用通用類別目錄 GC

新增第二台 DC 後，打算將第二台的「通用類別目錄」，也就是 GC 開啟。

如何手動移除降級失敗的網域控制站資料（適用 Windows 2003）

公司有一台舊的 Windows Server 2003 DC，發現它上面有大量的錯誤訊息，因為另一台 Windows Server 2003 DC 已不存在，造成這台 DC 一直同步失敗。

因「延遲物件」造成 AD 複寫異常

在解決因長時間無法複寫，造成時間差異的複寫問題後，發現某一方的 AD 要與另一台 AD 執行複寫時，因為某物件似乎被刪除，產生延屬物件不在網域服務資料庫中，而無法複寫。

與這個來源進行複寫之間的時間已超過標記存留期 - AD 複寫問題

今天將 MS SQL 要從 Windows Clusters 切換至另一台主機時，發生資源無法上線，原因是無法使用 GUID 取得電腦物件。

於是判斷可能是與 AD 之間有問題，到 AD 上檢查。

新帳號延用舊的 User Profile 環境

有兩種狀況可能會需要使用舊的 User Profile。
(1). 需加入新網域新帳號，並保留自己的使用者操作環境。
(2). 人員離職且已刪除該員帳號，交接人員需登入離職人員電腦，並使用其原來環境操作。

修改 AD 使用者屬性

使用 AD 內建指令，一次修改多個使用者帳號屬性。 使用 dsquery 及 dsmod 修改使用者的屬性。

變更 AD 上 Computer 預設 OU

由於群組原則不能套用在預設 Computer 容器中，所以我們希望讓群組原則套用在 Computer-DLAB OU 中，並讓所有 Join Domain 的電腦，自動加入到該 OU 中，這樣群姐原則就能自動生效。

Windows 2008 R2 使用 ADMT 帳號遷移工具至 Windows 2012 R2

公司的 AD 因系統不是很穩定，有一些怪問題，故打算整個重建順便升級至 Windows 2012，但重建方法評估為另外建立新的樹系，再遷移帳號，不打算以 Join 原樹系的方式升級，因為擔心原樹系有一些不正確參數一併複寫至新 DC。

限制一般使用者帳號無法將電腦加入網域

　我們公司用的是Windows Server 2008 R2 的 AD，一般使用者可以自行將電腦加入公司網域，但有十次的限制，不過我們希望一般使用者無法自行將電腦加入公司網域，要由資訊處人員協助加入才可以。

解除 Domain Controller

　有時候會遇到特殊狀況需要解除 DC，它有可能是原本主機效能不好或有軟硬體問題，但上面執行 DC 服務。

重新命名 DC Computer Name

　一般很少會變更 Windows DC 的電腦名稱，但遇到需要變更時，需要注意什麼事。

變更 AD 密碼後，仍可使用舊密碼存取服務

　很多企業都使用 Microsoft 的 AD 服務來管理帳號，而其他非 Microsoft 系列的軟體，則可以使用 LDAP 語法來與 AD 整合，以達到單一帳號登入所有服務的功能。　最近我們公司開始要求使用者定期變更密碼，結果有使用者反應密碼變更後新密碼沒有生效，仍然要用舊密碼登入。

建議設定的 GPO 群組原則

　Windows 有個 GPO 群組原則，有幾個項目是我覺得還不錯，可以套用在 Server 或 Client 中。

AD 相關指令說明

　Microsoft 的 Active Directory 環境一般都使用圖形介面進行管理，其實它有指令可以運用，但若是要在 Workstation 上執行必須先安裝 Administrative Tools。

GPO 無法順利套用至 Client 端

　之前在公司環境中發生很多電腦沒有套用 GPO 群組原則，經同事查詢結果，原來是.....