DNS _msdcs區域現代化

列出所有 DNS 區域並尋找 _msdcs：

Get-DnsServerZone | Where-Object { $_.ZoneName -like "*_msdcs*" }

現代設計 （不需要任何動作） — 您將看到 _msdcs.<forest-name> 列為主要區域：

ZoneName                          ZoneType   IsAutoCreated  IsDsIntegrated  IsReverseLookupZone  IsSigned
--------                          --------   -------------  --------------  -------------------  --------
_msdcs.premier.local              Primary    False          True            False                False

舊版設計 （需要轉換） — _msdcs.<forest-name> 將不會出現在區域清單中。相反地， 僅以委派子網域的形式_msdcs存在於您的樹系區域下。您可以透過檢查委派 NS 記錄來確認這一點：

Get-DnsServerResourceRecord -ZoneName "<forest-name>" -Name "_msdcs" -RRType NS

如果這會傳回 NS 記錄，您的環境會使用舊版委派子網域設計。

其他驗證 — 確認區域類型：

# This will succeed on modern design
Get-DnsServerZone -Name "_msdcs.<forest-name>"

# If you get an error like "Zone _msdcs.<forest-name> was not found", you have the legacy design

建立獨立_msdcs區域

在現有的自我管理網域控制站上：

dnscmd localhost /ZoneAdd "_msdcs.<forest-name>" /DsPrimary /dp /forest

這會建立_msdcs.<forest-name>為具有全森林複寫範圍的專用 AD 整合區域。樹系中的所有 DCs都會透過 ForestDnsZones 分割區收到副本。

等待 AD 複寫傳播：

repadmin /syncall /AeD

驗證區域是否存在 （在多個 DCs上執行）：

Get-DnsServerZone -Name "_msdcs.<forest-name>"

從父區域移除舊委派

舊的_msdcs子網域節點及其記錄仍然存在於父區域中。必須移除這些項目，才能從新的獨立區域專門提供 DNS 查詢。

# Remove the _msdcs subtree (NS delegation + all child records) from the parent zone
dnscmd localhost /NodeDelete <forest-name> _msdcs /tree /f

強制所有 DCs 重新註冊 SRV 記錄

移除舊的子網域並備妥新的獨立區域後，所有 DCs 都必須將其定位器記錄重新註冊到新區域。

在每個內部部署網域控制器上執行下列項目：

# Flush DNS cache
ipconfig /flushdns

# Restart Netlogon — this triggers re-registration of all SRV, CNAME, and A records
net stop netlogon
net start netlogon

# Force host record registration
ipconfig /registerdns

確認

等待 5-10 分鐘進行複寫，然後驗證：

確認填入新獨立區域中的記錄：

Get-DnsServerResourceRecord -ZoneName "_msdcs.<forest-name>" -RRType SRV

您應該會看到所有現場部署 DCs _ldap._tcp.dc的 _ldap._tcp.gc、、 _kerberos._tcp.dc和網站特定記錄。

確認 DNS end-to-end運作：

Resolve-DnsName "_ldap._tcp.dc._msdcs.<forest-name>" -Type SRV
Resolve-DnsName "_kerberos._tcp.dc._msdcs.<forest-name>" -Type SRV

所有內部部署 DCs都應出現在結果中。

確認舊委派已從父區域移除：

Get-DnsServerResourceRecord -ZoneName "<forest-name>" -Name "_msdcs" -RRType NS -ErrorAction SilentlyContinue

這應該不會傳回任何內容。

如需現代化 DNS _msdcs區域的詳細資訊，請參閱 Microsoft Core Infrastructure and Security Blog 網站上的如何分割子網域 DNS 記錄並將其遷移至專用 DNS 區域。