概述
只有一台域控的 Active Directory 域，会随着它一起停摆：登不上、内部 DNS 解析不了、组策略也不下发了。加一台辅助域控制器，就是在既有的域里把第二台服务器提升为域控，然后让复制把目录搬过去。放在 Windows VPS 上，这第二台域控就住在您机房之外——我们推荐的配置每月 16.99 欧元（含税），10 分钟交付。
这和最初建一套目录不是一回事：这里域已经存在，要紧的是冗余。您拿到的是一台带完整管理员权限的 Windows 机器、一个专属 IPv4 地址，还有一个 VNC 应急控制台——某天域控提升过程重启服务器、正好把 RDP 掐断时，它就很宝贵。做这个角色，请选 Windows Server 2025 或 Windows Server 2022：Windows 11 是客户端系统，装不了 AD DS。
有三件事我们宁愿白纸黑字写清楚。VPS 与办公网络之间的网络互联决定了复制能不能跑，而这条链路要由您来搭：By-Hoster 不提供任何托管隧道服务。微软授权由您承担，我们装系统但不转售。最后，快照不是域控制器的备份：它用在改动之前的那一刻，不是三周之后。
这台机器能做什么，又不会替您做什么
提升一台额外的域控
域已经存在：您在服务器管理器里加上 <strong>AD DS</strong> 角色，或者用 <code>Install-WindowsFeature AD-Domain-Services</code>，然后用 <code>Install-ADDSDomainController</code> 把这台机器<strong>提升进现有的域</strong>，而不是新建一片林。之后复制会把账号、组和策略搬过来。之所以做得到，是因为这台服务器的管理员账号是您的，系统也是标准系统。
DNS 角色跟着域控走
Active Directory 域离开 <strong>DNS</strong> 就转不起来：正是那些 <strong>SRV</strong> 记录让电脑找得到域控。提升向导会装上 DNS 服务器角色，集成在目录里的区域也会随之复制。VPS 的<strong>专属 IPv4</strong> 这时就给了您一个稳定地址，可以在成员机上填成辅助 DNS 服务器。
网络互联仍由您负责
复制的前提是 VPS 和办公网络能互相到达。搭这条链路——站点到站点隧道、VPN、路由——属于您或您的服务商：<strong>By-Hoster 不提供托管隧道服务</strong>。我们提供机器、它的专属 IPv4 和完整管理员权限；网络拓扑和放行哪些流量，由您决定并配置。
快照用在改动之前，不是之后
域控制器依赖一个复制计数器，也就是 <strong>USN</strong>。把域控恢复到更早的状态，可能让整个域失步：这就是所谓的 <strong>USN 回滚</strong>。在某个操作之前打快照、试失败了立刻还原，这样是安全的。但把它当成生产域控的备份，就不行了：请走微软规定的恢复流程。
什么情况下值得在异地加第二台域控
主站点倒了，账号还能验证
停电、硬件故障、周一早上光猫罢工：还能连上 VPS 的电脑照样能登录、照样能解析域内名称。这就是把副本放在别处最直接的好处。
远端机位与远程办公
当有一部分机器不在办公室里时，一台从办公网络之外也能连上的域控，就让一切不必都吊在通往总部的那条线上。至于这些流量走哪条路，那是您的网络拓扑，不是我们的。
换掉办公室那台老服务器
经典做法：先把新域控提升起来，让复制跑完，转移 FSMO 角色，再把旧的降级。域不必从零重来，旧机器在卸下角色之后也能干净地关掉。
把目录搬出技术储物间
很多中小企业唯一那台域控，和其他设备挤在同一个房间：同一台 UPS、同一路市电、同一份风险。而 VPS 住在我们位于新阿基坦大区的 DC-FR_NA(01) 机房，用 SSD 存储，带 DDoS 防护。
把一个域架在两个地点上
目录一旦跨两个地点，就要用「Active Directory 站点和服务」控制台来声明子网和站点链接。因为机器是您的，微软那套常用工具用起来和物理服务器上一模一样。
先把复制试通，再决定要不要长期投入
搭链路、提升、验证复制、量一量在您这条线路上究竟表现如何：服务器 10 分钟交付，可在客户中心重装，无需签约，还有 48 小时不满意可退款。
常见问题
Windows 系列从 每月 9.99 欧元（含税）的 Windows - Core 起步（4 vCore、8 GB 内存、100 GB SSD、500 Mbps），单跑一台域控足够了。一旦 AD DS 要和别的角色共用这台机器，我们就建议每月 16.99 欧元的 Windows - Plus（8 vCore、16 GB、250 GB），也是最多人选的一款。再往上：Max 28.99 欧元（32 GB）和 Titan 54.99 欧元（64 GB、1000 Mbps）。按年付费再减 16,7 %。不含微软授权。
按顺序来：先打通 VPS 和域所在网络之间的网络互联，把这台服务器的 DNS 指向现有域控的 DNS，装上 AD DS 角色，然后用某个域管理员的凭据执行 Install-ADDSDomainController。服务器会重启，复制随即开始。之后在成员机上把它填成辅助 DNS 服务器。万一重启后 RDP 没回来，还有 VNC 控制台可用。
两边之间必须有某种形式的网络互联：Active Directory 复制不是开一个端口就够的，而把域控直接暴露在互联网上也不是个理智的主意。这条链路由您负责：By-Hoster 不提供托管隧道服务。不过您有完整的管理员权限，可以自己搭出架构所需的一切，包括在一台专门承担这个角色的 Windows 机器上。
还能连上第二台域控的电脑，仍然可以通过身份验证并解析域内名称：这正是副本的意义所在。但有个重要的分寸：那台已经不可用的域控所持的 FSMO 角色不会自动转移。这时目录的某些操作会受影响，而强制夺取角色是一项手动操作，不能轻率地做。请在真正需要之前就把这套流程准备好、演练过。
不能。副本会忠实地复现整个域，包括删除动作：误删的对象两边都会消失。冗余防的是故障，不是人为失误。在 By-Hoster 这边，写进文档的只有快照——既没有自动备份，也没有异地保留——而在域控上，由于 USN 回滚的问题，快照只该用在改动之前。请保留您自己的目录备份策略。
需要，而且由您承担。By-Hoster 装操作系统，但既不提供也不转售微软授权：第二台域控就是第二个 Windows Server 实例，得按实例去覆盖授权。顺带提醒：Windows Server 允许同时开 2 个管理用途的 RDP 会话；再多，多用户的应用型 RDP 访问就要微软的 RDS CAL 授权，那个我们同样不提供。
我们的官方参考线：轻度使用至少 4 GB，一旦加上业务软件、SQL Server Express 或多人同时在线就要 8 GB。我们所有的 Windows 套餐都已经从 8 GB 起步，单跑一台域控完全够用：它是一个回应 LDAP 和 DNS 查询的服务，不是计算引擎。一旦 AD DS 要和别的角色同处一机——文件、业务应用、数据库——就换成 Windows - Plus 的 16 GB。
不行。Windows 11 是客户端系统，并非为承载多用户服务而设计，也装不了 AD DS 角色：一台 Windows 11 电脑是加入域，而不是承载域。做这个角色请选 Windows Server 2025 或 Windows Server 2022，下单时两者都不加价。如果已经订了 Windows 11，可以通过在客户中心重装来换系统。
Windows Server 2025 是最新的 LTSC 版本：标准支持到 2029 年 11 月 13 日，安全更新到 2034 年 11 月 14 日。如果某个软件厂商还没认可 2025，Windows Server 2022 仍然合适：标准支持到 2026 年 10 月 13 日，安全更新到 2031 年 10 月 14 日。两者都不加价。Windows Server 2019 在我们这里已无法安装。另外请自行确认，您域的功能级别是否接受所选的版本。
在我们托管的这台机器上，也就是我们位于法国新阿基坦大区的唯一机房 DC-FR_NA(01)，由协会的技术团队直接运营，虚拟化用 Proxmox 上的 KVM。复制过来的账号、组和策略在那里始终受法国司法管辖，处在 GDPR 框架内，绝不传出欧盟。至于您其他的域控，仍然在原处：我们只能说自己运营的那台服务器。By-Hoster 是 2023 年成立的法国 1901 年法协会（RNA W162005815）。