怎么利用PowerShell监控AD数据库的物理文件增长率变化-windows运维-PHP中文网

powershell可通过定期读取ntds.dit文件大小并记录时间戳来间接监控ad数据库物理增长，结合事件日志分析（如id 4720/4738/5136）定位增长动因，辅以离线esentutl检查内部空间使用；需注意权限、锁定限制及碎片/墓碑等非数据增长因素。

powershell 本身不直接监控“ad数据库”（即 active directory 的 ntds.dit 文件）的物理文件增长率，因为 ad 数据库是 windows 系统关键服务（ntds 服务）托管的内部数据库，不对外暴露标准 sql 或文件级增长指标接口。但你可以通过间接、可靠且生产环境验证过的方式，持续跟踪 ntds.dit 文件大小变化趋势，从而反映其物理增长情况。

以下方法聚焦实际可行、无需第三方工具、基于 PowerShell 原生命令和 Windows 内置机制：

✅ 监控 NTDS.dit 文件大小变化（最直接有效）

NTDS.dit 是 AD 数据库主文件，通常位于 %SystemRoot%\NTDS\NTDS.dit（如 C:\Windows\NTDS\NTDS.dit）。它被 lsass.exe 进程独占锁定，无法在运行时复制或直接读取内容，但文件大小可被安全读取（Windows 允许查询已打开文件的元数据）。

你可以用 PowerShell 定期采集该文件的 Length 属性，并记录时间戳，生成增长率曲线。

$filePath = "$env:SystemRoot\NTDS\NTDS.dit"
if (Test-Path $filePath) {
    $size = (Get-Item $filePath).Length
    $time = Get-Date -Format "yyyy-MM-dd HH:mm:ss"
    [PSCustomObject]@{
        TimeStamp = $time
        SizeBytes = $size
        SizeMB    = [math]::Round($size / 1MB, 2)
    }
}

建议操作：

将上述脚本保存为 Get-NTDSFileSize.ps1
使用计划任务每 30 分钟/每小时运行一次，输出追加到 CSV 文件：
```
... | Export-Csv -Path "C:\Audit\NTDS_Size_Log.csv" -Append -NoTypeInformation
```
后续可用 Excel 或 Import-Csv + Group-Object 分析日/周增长率（例如：(最新Size - 24小时前Size) / (24*3600) 得出平均字节/秒增长速率）

⚠️ 注意：确保运行账户有读取 C:\Windows\NTDS\ 目录的权限（默认域控制器上的 Administrators 组具备）。

✅ 结合事件日志识别触发性增长行为

AD 数据库显著增长往往伴随特定操作，例如：

批量用户/计算机对象创建（如 dsadd、PowerShell New-ADUser）
架构扩展（Schema update）
大量密码修改（影响 unicodePwd 属性存储及版本向量）
GC（全局编录）同步或重复复制

PowerShell 可监听相关安全事件（需启用审核策略）：

# 查询最近 1 小时内新增的用户对象（事件 ID 4720）
Get-WinEvent -FilterHashtable @{
    LogName='Security'
    ID=4720
    StartTime=(Get-Date).AddHours(-1)
} -ErrorAction SilentlyContinue |
    Select-Object TimeCreated, Message

类似地，可查：

ID 4738（用户属性更改）→ 密码、组成员等高频变更
ID 5136（目录服务更改，需开启详细 AD 审核）→ 更细粒度对象变更

将这些事件时间点与 NTDS.dit 大小突增时段比对，可定位增长动因。

✅ 补充：检查 AD 数据库内部空间使用（非文件层，但具参考价值）

虽然不能像 SQL Server 那样查 sys.database_files，但可通过 esentutl（Windows 内置）获取 NTDS.dit 的内部页使用统计（需停用 NTDS 服务 —— 仅限维护窗口！不可在线执行）：

# ❌ 生产环境禁止在线运行！仅作了解：
# net stop ntds
# esentutl /mh "C:\Windows\NTDS\NTDS.dit"
# net start ntds

输出中关键字段：

Database Size → 当前文件大小（与 Get-Item 一致）
Number of Pages → 实际分配的数据库页数
Free Pages → 空闲页数量
Percent Full → 估算填充率

该方式适合定期（如每月）离线巡检，不用于实时监控。

✅ 自动化建议：轻量级监控脚本骨架

$logFile = "C:\Audit\NTDS_Growth_Report_$(Get-Date -Format 'yyyyMMdd').csv"
$filePath = "$env:SystemRoot\NTDS\NTDS.dit"

if (Test-Path $filePath) {
    $item = Get-Item $filePath
    [PSCustomObject]@{
        Timestamp   = Get-Date
        FilePath    = $filePath
        SizeBytes   = $item.Length
        SizeMB      = [math]::Round($item.Length / 1MB, 2)
        LastWriteTime = $item.LastWriteTime
    } | Export-Csv $logFile -Append -NoTypeInformation
}

搭配 Windows 计划任务（每日 6 次），即可构建基础增长基线。

不复杂但容易忽略：NTDS.dit 增长未必代表数据变多，也可能是碎片未整理、删除对象仍保留（墓碑对象）、或 USN 回卷导致日志膨胀。结合 repadmin /showrepl 和 dcdiag 定期健康检查，才能全面评估。