我很喜歡升級，而且認為最新的就是最好的，我的機器上安裝了Windows Server 2008 R2、Windows 7、Exchange 2010、SharePoint 2010，還有其他許多。我經常建議別人能升級就升級。
至少曾經是這樣的，但現在我卻不敢肯定了。這是因為這個星期明尼蘇達州路德社區服務部門的網絡管理員Jim Basa給我帶來了一個奇怪又現實的問題。他在社區內的各個地方有大約50臺伺服器，正在考慮全部升級到Windows Server 2008 R2來應用種種新增的功能。他想知道是否應該首先升級Active Directory，但有點擔心域控制器，或者是否應該先在Windows Server 2008 R2的成員伺服器上利用R2的新功能，這是個合情合理的問題。當然除了考慮新功能的合理性，其兼容性也是我們必須要考慮的因素。
我感到有些措手不及。路德社區服務部是明尼蘇達州最大的社區服務機構，有超過2200名員工。考慮到它的非盈利性和目前艱難的經濟狀況，我不禁想到升級每臺伺服器是否有那個必要，到底值不值得。所以我問Jim有哪些功能是他特別感興趣的，以下是他所喜歡的功能，附帶了一些我個人認為有價值的：
* AppLocker：這是Windows 7和Windows Server 2008 R2的新功能，用來替換原先的Software Restriction Policies。這項功能提供了對用戶訪問exe文件、腳本、msi文件和DLL文件的控制能力，你可以基於應用的數字籤名包括出版商、產品名稱、文件名以及文件版本等來定義可以分配給用戶或安全組的規則。好消息是AppLocker的組策略並不需要升級域控制器，現有的Windows Server 2003和2008的伺服器就可以加載AppLocker策略。
* BranchCache：這項功能可以以分布式緩存或託管緩存的形式運行，通過提供複製訪問的本地數據來幫助分支辦公室減少過度的WAN帶寬使用量。當分支辦公室的用戶第一次訪問內部網或文件伺服器時，數據就被寄存在用戶計算機的緩存（分布式緩存解決方案）或伺服器上（託管緩存，必須運行Windows Server 2008 R2）。再一次，好消息是BranchCache可以在R2的Member Windows Server中運行，所以沒有必要為此功能升級域控制器。
* DirectAccess：這是Windows 7和Windows Server 2008 R2中的新功能，只要有Internet連接，用戶可以在任何時候任何地點連接到他們的企業網絡而不再需要VPN。再一次，這裡又不需要R2 Active Directory Domain Services，但你至少需要一個域控制器運行Windows Server 2008或更高版本。
還有許多其他功能你可能會考慮實施，包括Hyper-V R2、IIS 7.5、可擴展性和管理功能。而絕大多數這些功能均不要求你升級域控制器。
你可能會想，"新的Active Directory功能怎麼樣！？我想要這些功能！" 那麼好吧，是的，這些功能需要Windows Server 2008 R2版的域控制器，一個或所有都是。
* Active Directory Administrative Center：搭建在PowerShell之上，這是一個全新的管理控制臺，它不能安裝在Windows Server 2003或2008 R1的計算機上，必須要求安裝Windows 7或Windows Server 2008 R2。但注意在你的域中必須至少有一臺Windows Server 2008 R2域控制器。
* Active Directory Module for PowerShell：這項功能以命令行腳本的形式提供了管理、配置和診斷等任務。原先要求必須安裝一個R2的域控制器，但現在你可以安裝微軟免費提供的Active Directory Management Gateway Service（ADMGS）。ADMGS還提供了針對Windows Server 2003和Windows Server 2008的版本，不過你還是需要Windows Server 2008 R2或Windows 7來訪問這項服務。
* Active Directory Best Practices Analyzer：這項新的管理工具可以收集你現有的域的相關信息並提供改善Active Directory環境的最佳做法。需要說明的是這裡再次要求至少有一個R2的域控制器才能有效工作。
* Active Directory Recycle Bin：這裡提供了恢復意外刪除對象的能力。這個工具必須開啟才有效，圖形界面並不友好，並且要求所有的域控制器必須運行Windows Server 2008同時Forest level必須提升到R2。你要為這個小工具的所有功能額外花錢，但你完全可以使用免費的工具比如Overall Solutions提供的Active DirectoryRecycleBin等來完成相同的恢復功能，並且對R2和之前的域控制器都有效。
R2的Active Directory中還有一些其他功能你可能會考慮，它們可能會也可能不會要求R2域控制器。根據微軟關於Windows Server 2008 R2中的domain level和forest level的一些描述，我們可以給它們分別做一下總結：
* Domain level：包括所有前期版本的功能（2000/2003/2008的功能），以及認證機制保證與自動SPN管理服務。
* Forest level：包括所有前期版本的功能（2000/2003/2008的功能），以及Active Directory Recycle Bin功能。
那麼Jim是怎麼做的決定呢？他仍然會全面升級所有的伺服器包括域控制器和Member Windows Servers嗎？還是選擇只升級那些需要新增功能的伺服器？答案很明顯，Jim做出了艱難時期的正確選擇。
未經允許不得轉載：DOIT » Win2008 R2最值得升級的新功能