ad域控制器补丁更新后严禁随意重启，必须先通过dcdiag /q、repadmin /replsummary、nltest /dsgetdc三项检查，再按rodc→普通可写dc→pdc emulator分三批重启，间隔≥15分钟，重启后5–20分钟内完成五项验证并应对kb5019964等特殊补丁风险。
ad域控制器补丁更新不是“装完就重启”的常规操作，关键在于控制风险窗口、保障角色连续性和服务可用性。一次未经规划的重启可能引发复制断裂、kerberos认证失败、组策略延迟生效，甚至导致部分依赖域身份的服务（如adfs、exchange）中断数小时。
重启前必须确认的三项核心状态
所有重启动作都必须建立在以下检查全部通过的基础上，任一失败即中止流程：
- dcdiag /q：重点看 Replications、NetLogons、Kerberos、Services 四类测试结果全为 passed；出现 warning 或 failed 时，先查事件查看器中 Directory Service 和 Netlogon 日志源错误
- repadmin /replsummary：所有源 DC 的 Delta 列必须为 0，Failures 列为空；非空说明复制尚未收敛，此时重启会固化不一致数据
- nltest /dsgetdc:yourdomain.com：返回结果中 Flags 字段必须同时包含 PDC、GC、DS 标志；若缺失 PDC，说明 FSMO 角色未正常加载，不可继续
分批重启顺序与最小间隔要求
严禁多台域控同时重启，必须按角色权重与依赖关系分三批次执行，每批之间严格保留 ≥15 分钟观察期：
- 第一批次：只读域控制器（RODC）——无 FSMO 角色、不参与策略处理，风险最低，可优先重启
- 第二批次：普通可写域控制器（非 FSMO 持有者）——确保至少一台持有全部 FSMO 角色的 DC 始终在线
- 第三批次：主域控制器（PDC Emulator 所在 DC）——最后重启，且必须在前两批全部验证通过后执行
若环境中存在多个 FSMO 角色分散部署（如 RID Master 在另一台 DC），需提前用 netdom query fsmo 确认分布，并确保角色迁移或冗余覆盖到位。
重启后 5–20 分钟内必须完成的五项验证
重启完成并成功登录后，立即并行执行以下检查，不跳过、不延后：
-
AD 控制器基础状态：运行
Get-ADDomainController -Filter * | Select Name,OperatingSystem,IsGlobalCatalog,IsReadOnly，确认本机角色标识正确、OS 版本号含预期 KB 编号（如 KB5019964 对应 build 14393.5501） -
证书链完整性：执行
certutil -verifystore my，报错0x80092004表示根证书信任被重置，需手动导入企业根 CA 或触发gpupdate /force -
安全通道重建：从另一台域成员机运行
nltest /server:DC01 /sc_query:yourdomain.com；失败则排查 Event ID 5719（Netlogon 连接失败）或 5805（Kerberos 错误 0x7） -
DNS 解析与 AD 集成：在 DC 本地执行
nslookup yourdomain.com和nslookup _ldap._tcp.dc._msdcs.yourdomain.com，两项均需返回正确的 SRV 记录和 IP -
DFS 复制静默状态：运行
dfsradmin membership list，状态必须为 Normal；若仍显示 Initial Sync，说明补丁干扰了复制引擎初始化，需手动干预
特殊补丁的已知风险与临时缓解措施
部分补丁存在明确兼容性问题，需额外关注：
-
KB5019964（2022 年 11 月集合补丁）：虽不影响域控间复制，但会导致 ADFS、Exchange、文件服务器等角色无法访问域控；微软未发布修复补丁，当前推荐方案为：
— 回滚该补丁并重启
— 或在域控上添加注册表项HKLM:\System\CurrentControlSet\Services\KDC\ApplyDefaultDomainPolicy = 0，再重启 KDC 服务 -
含 NTLM 直通保护的更新（2022 年 1 月起）：易引发客户端登录超时、NPS/RRAS 认证拒绝；验证时务必用
nltest /dsgetdc和nltest /sc_query双重确认通道有效性 - LSASS 崩溃类严重故障：若重启后系统卡在登录界面或反复蓝屏，立即进入 DSRM 模式，使用备份还原系统状态，并同步恢复 SYSVOL 和 DNS 配置
