wbadmin 备份域控制器系统状态必须加 -allCritical 参数，否则失败；还原须在 DSRM 模式下进行，完成后需执行 dcgpofix、dfsrmit、repadmin 同步及清理 DNS 缓存。

用 wbadmin 备份域控制器系统状态必须加 -allCritical 参数

直接运行 wbadmin start systemstatebackup 在域控制器上会失败，报错类似：error: the system state backup cannot be performed on this computer because it is a domain controller.。这是因为 windows 对 dc 的系统状态备份有额外要求——必须同时备份所有关键卷（含 ntds.dit、sysvol 所在卷），而不仅仅是注册表、启动文件等传统系统状态内容。

正确做法是显式指定 -allCritical，让 wbadmin 自动识别并包含 Active Directory 数据库所在卷：

wbadmin start systemstatebackup -backupTarget:E: -allCritical -quiet

• -backupTarget 必须是本地物理磁盘或已挂载的固定卷（不支持网络路径、可移动设备）
• 目标卷需有至少 2–3 倍于 NTDS.dit 文件大小的空闲空间（通常 10–20 GB 起）
• 执行命令的账户必须是 Domain Admins 和本地 Backup Operators 组成员

还原前必须确认 DC 是否处于 Directory Services Restore Mode（DSRM）

系统状态还原不能在正常启动的域控制器上进行——AD 数据库被占用，ntdsutil 或 wbadmin 都会拒绝操作。唯一可行时机是启动到 DSRM 模式，此时 NTDS 服务未加载，NTDS.dit 可被安全覆盖。

进入 DSRM 的方法：

• 重启服务器，在登录界面按 F8（UEFI 系统可能需长按 Shift + 重启 → “疑难解答” → “高级选项” → “启动设置” → 重启后按 4 或 6）
• 选择“目录服务还原模式”，用 DSRM 密码登录（不是域管理员密码，是安装 AD DS 时单独设置的）
• 确认登录后看到的是命令行或最小化桌面（非完整 GUI），且任务管理器中无 lsass.exe 加载 AD 模块

用 wbadmin 还原系统状态时需跳过 SYSVOL 同步警告

执行 wbadmin restore systemstate 后，如果备份来自同一台 DC（非权威还原），还原完成后系统会自动触发 SYSVOL 的 DFSR 复制，但可能因 USN 回滚导致复制冲突或空白 SYSVOL。Windows 会弹出警告：“This operation will overwrite the current SYSVOL data...”，此时必须手动选择“Yes, I want to restore SYSVOL”并立即执行 dcgpofix 补救。

更稳妥的做法是还原后立刻以命令行方式处理：

wbadmin restore systemstate -version:01/15/2024-03:00 -quiet -overwrite

• -version 格式必须严格为 MM/DD/YYYY-HH:MM（注意斜杠和冒号，无空格）
• 还原完成后不要直接重启，先运行：dcgpofix /target:Domain（修复组策略模板）和 dfsrmig /setglobalstate 0（重置 DFSR 状态）
• 若该 DC 是森林根域 PDC 模拟器，还需在还原后手动运行 ntdsutil → authoritative restore → restore object "CN=Users,DC=contoso,DC=com" 等命令标记权威恢复

非授权还原后必须强制同步其他 DC 并验证 USN 和 Invocation ID

单纯还原一台 DC 的系统状态不会自动通知其他域控制器，它们仍按旧 USN 推进复制，结果就是“幽灵对象”（已删除但又出现）、密码无法同步、甚至复制中断。必须人工介入打断并重建复制链路。

还原完成、重启进正常域模式后立即执行：

• 运行 repadmin /showrepl 检查是否所有连接显示 last attempt was successful
• 对每台其他 DC 运行 repadmin /syncall /AdeP 强制全量同步（/A：所有命名上下文，/d：显示详情，/e：包含 GC，/P：推送模式）
• 比对 repadmin /showmeta "CN=Users,DC=contoso,DC=com" 中各 DC 的 Version 和 Originating DSA Invocation ID，确保一致；若 Invocation ID 不同，说明数据库被重新初始化，必须重新建立复制关系

最常被忽略的是：还原后没清空 DNS 缓存（ipconfig /flushdns）和没检查 Kerberos 票据策略是否重置，这会导致客户端登录缓慢或失败，但错误日志里往往只显示模糊的 KDC_ERR_PREAUTH_REQUIRED。