域控制器升级失败主因是AD林功能级别、Schema版本、FSMO角色及复制健康度四层逻辑依赖未满足，而非硬件本身；须手动运行Windows Server 2022的adprep /forestprep（升架构至v88）和/domainprep，并验证复制、端口、服务状态。
域控制器硬件版本更迭本身不会直接导致架构升级失败，真正卡住升级的，是active directory林和域的功能级别、schema架构版本、fsmo角色状态、复制健康度这四层逻辑依赖。硬件只是载体，问题出在软件层面的兼容性准备是否到位。
必须提前完成AD架构升级（adprep）
Windows Server 2022要求林功能级别至少为Windows Server 2012 R2，Schema版本升至88。仅靠系统内升级向导无法自动触发这一步——它只适用于全新安装或非域控服务器。对现有域控，你必须手动运行adprep：
- 从Windows Server 2022 ISO中提取supportdprep文件夹（不能用旧版adprep）
- 以企业管理员+架构主机操作者身份登录，在命令行依次执行：
adprep.exe /forestprep → 等待全林生效 → adprep.exe /domainprep - 执行前确认所有DC已打齐最新补丁，且没有Windows Server 2008或更早版本DC残留
验证并清理复制拓扑
硬件更新常伴随网络调整（如更换网卡驱动、启用新交换机端口），容易引发KCC自动生成异常连接或中断已有复制路径。错误ID 1578、8440多源于此：
- 运行repadmin /showrepl *检查每台DC的入站复制状态，重点关注“last attempt”时间和错误码
- 用dcdiag /v /test:replications做深度诊断，输出日志分析命名上下文是否完整
- 若发现某DC无法被其他DC识别，检查防火墙是否放行LDAP（389）、GC（3268）、Kerberos（88）、DFS-R（5722）等端口
避免单点升级，采用“新增+迁移”策略
直接就地升级域控风险高，尤其当原系统盘老旧、驱动不兼容或第三方服务（如防病毒、备份代理）未适配时。推荐稳妥路径：
- 在新硬件上部署Windows Server 2022，加入域后提升为额外域控，同步DNS、全局编录角色
- 用netdom query fsmo确认角色分布，再用Move-ADDirectoryServerOperationMasterRole安全转移五大FSMO角色
- 旧DC卸载AD DS角色前，先禁用其DHCP、WINS等附加服务，防止服务冲突
升级后必须验证核心服务状态
完成升级或迁移后，不能只看“登录正常”，要验证底层服务是否真正就绪：
- 检查NTDS、Netlogon、DNS服务是否Running：Get-Service NTDS,Netlogon,DNS | Select Name,Status
- 测试跨域认证能力：nltest /dsgetdc:yourdomain.com 和 klist purge 后重新获取票据
- 确认SYSVOL共享可访问：在客户端执行dir \yourdcSYSVOL，不应出现拒绝访问或超时
