云计算在搭建域控制器（Domain Controller, DC）时，应选择当前受支持、具备长期服务通道（LTSC）且已通过Active Directory域服务（AD DS）正式认证的Windows Server版本。截至2024年，推荐选择 Windows Server 2022（LTSC），原因如下：
✅ 首选推荐：Windows Server 2022（LTSC，版本21H2）
- ✅ 主流支持持续至2027年10月，扩展支持至2032年10月（微软官方生命周期支持页面确认）；
- ✅ 原生支持现代安全特性：
• Secured-core server（安全核心服务器）硬件集成防护；
• Credential Guard + HVCI（基于虚拟化的安全防护）；
• 支持TLS 1.3、AES-256加密套件；
• 改进的LDAP签名/通道绑定（缓解中继攻击）； - ✅ 完全兼容并增强AD DS功能：
• 支持Windows Server 2016/2019/2022混合林功能级别；
• 提升复制性能与诊断能力（如repadmin /showrepl增强、AD Replication Status Tool）；
• 更强的DNS集成（支持DNSSEC、响应策略区域RSZ）； - ✅ 最小安装选项（Server Core 或 Azure Edition）可显著降低攻击面，符合安全最佳实践。
⚠️ 其他版本评估（不推荐用于新部署）：
- Windows Server 2019：仍受支持（主流支持至2024年1月，扩展支持至2029年1月），技术上可行但非最优——缺少WS2022的关键安全增强（如改进的HVCI默认启用、更严格的LDAP默认策略）。仅建议在特定兼容性约束下过渡使用。
- Windows Server 2016：主流支持已于2022年1月结束，仅剩扩展支持（至2027年1月），且存在已知安全局限（如默认禁用LDAP签名、无原生Secured-core支持），严禁用于新生产环境。
- Windows Server 2025（预览版/即将发布）：预计2024年底发布，但尚未GA（正式发布）且无长期支持承诺，不可用于生产域控制器。
- ❌ Windows Server 版本（Semi-Annual Channel, SAC）：如1803/1903等——明确不支持安装AD DS角色（微软文档明确禁止），仅适用于容器/云原生场景。
📌 关键实践建议：
- 必须使用Server Core或Azure Edition安装模式（避免Desktop Experience），减少漏洞面；
- 域功能级别（Domain/Forest Functional Level）至少设为Windows Server 2012 R2或更高（WS2022要求最低为2008 R2，但强烈建议≥2012 R2以启用关键安全策略）；
- 物理/虚拟化平台需满足TPM 2.0 + Secure Boot + UEFI固件要求，以启用完整安全堆栈；
- 绝不使用评估版（Evaluation）部署生产DC（180天后失效，且无法直接转为正式版）；
- 若部署在Azure，优先选用 Windows Server 2022 Datacenter: Azure Edition（专为云优化，含自动修补、内置Azure AD DS互操作能力）。
🔍 验证依据：
请始终参考微软官方文档：
→ Windows Server 生命周期
→ AD DS 系统要求
→ 不支持SAC版本安装AD DS的声明
✅ 总结：全新部署域控制器，请务必选择 Windows Server 2022（LTSC）+ Server Core + 最新累积更新（CU），这是当前最安全、稳定、可持续支持的选择。
