ad ds 依赖 dns 客户端、kerberos 密钥分发中心（kdc）和 windows 时间服务（w32time）三项系统服务正常运行，且 dns 服务器角色为隐性强制依赖；netlogon、dfs replication 及 ldap 端口开放等间接依赖同样关键。
ad ds 服务本身不是孤立运行的，它依赖多个底层系统服务协同工作。若这些依赖项未启动或配置异常，域控制器将无法提供身份验证、目录查询等核心功能。关键依赖不在“服务列表里点几下”就能全看清，必须结合角色定位与运行时行为综合判断。
核心系统级依赖服务
AD DS 启动前，以下三项服务必须已运行且状态正常：
- DNS 客户端（DNS Client）：负责本机 DNS 缓存与解析请求转发。域控制器需通过 DNS 解析自身域名、其他 DC 地址及 SRV 记录（如 _ldap._tcp.dc._msdcs），若该服务停止，DC 可能无法定位自身或同步伙伴。
-
Kerberos 密钥分发中心（KDC）：虽然 KDC 是 AD DS 的内置组件，但其作为 Windows 系统服务（
Kdc）独立注册。若被禁用或崩溃，用户登录将直接失败，错误提示常为“找不到域控制器”或“Kerberos 错误 0x80090322”。 - Windows 时间服务（W32Time）：Kerberos 协议要求域内时间偏差不超过 5 分钟。W32Time 不仅同步本机时间，还承担域内 PDC 模拟器角色的时间源职责。时间不同步会导致票据拒绝，表现为反复登录失败。
DNS 服务是隐性强制依赖
AD DS 在安装过程中会自动检查并建议安装 DNS 服务器角色——这不是可选项，而是功能性前提。原因在于：
- 域控制器必须注册并动态更新自身 SRV、A、CNAME 等 DNS 记录，供客户端发现和通信；
- 客户端加入域、登录、查找全局编录（GC）等操作，全部依赖 DNS 查询结果；
- 即使使用外部 DNS 服务器，也必须确保其能正确转发或委托
_msdcs.域名、域名区域至域内 DC 的 DNS 服务，否则部分功能（如站点感知登录）会降级或失效。
查看与验证依存关系的方法
图形界面操作路径清晰但信息有限，推荐组合验证：
- 在“服务”管理控制台中右键 Active Directory Domain Services → “属性” → “依存关系”标签页，仅显示直接注册的依赖服务（如 DnsCache、Kdc、W32Time）；
- 使用命令行补全验证：
sc qc ntds查看 NTDS 服务定义的硬依赖，dcdiag /test:dns检查 DNS 功能连通性，repadmin /showrepl验证复制依赖是否就绪； - 重点关注事件查看器中“Directory Service”和“DNS Server”日志，ID 4013（DNS 启动失败）、ID 1925（复制连接超时）、ID 1202（Kerberos 票据问题）往往是依赖链断裂的明确信号。
常见被忽略的间接依赖
某些组件不列在服务依存关系中，但缺失会导致 AD DS 功能受限或不稳定：
- Netlogon 服务：虽与 NTDS 并列存在，但实际承载安全通道建立、密码更改同步、信任密钥协商等功能。若 Netlogon 停止，用户仍可登录（缓存凭据），但新密码无法同步、跨域信任中断；
- DFS Replication（DFSR）或 File Replication Service（FRS）：决定 SYSVOL 共享内容如何在多 DC 间同步。FRS 已弃用，但若旧环境仍在用，其故障将导致组策略对象（GPO）无法下发；
- LDAP 端口与防火墙规则：TCP 389（LDAP）、636（LDAPS）、3268（GC）必须开放。即便所有服务都运行，防火墙拦截端口等同于服务不可达。
