推荐“新增+迁移+退役”三步法升级域控制器，因就地升级风险高且windows server 2012 r2到2022不在官方支持路径内；新增dc可并行验证、秒级回退，再逐步转移fsmo角色，旧dc保留两周并前置dns srv记录更新，最后单独提升功能级别并梳理ad cs、dhcp、时间服务等依赖。
域控制器升级不是简单换系统，核心是保持身份服务连续、避免认证中断。推荐用“新增+迁移+退役”三步走，而不是直接在旧服务器上做就地升级。
为什么优先选新增域控而非就地升级
就地升级虽省硬件，但风险集中：一旦失败，整个域控服务可能瘫痪；且 Windows Server 2012 R2 到 2022 不在官方支持的就地升级路径内（跨版本超限）。新增一台 Server 2022 域控，能并行运行、逐步验证，出问题可秒级回退。
- 新DC加入后，先承担只读角色，观察复制与登录是否正常
- 确认无误再转移 FSMO 角色，每次只转一个，留足监控窗口
- 旧DC保留至少两周，期间禁用其 DNS 注册但不立即下线
IP地址变更必须提前干预
新域控若用新IP，客户端和服务器依赖的 DNS 记录、SRV 记录、LDAP 端点都会失效。不能等上线后再改，得前置操作：
- 把原域控的 DNS 区域中 _ldap._tcp.dc._msdcs. 和 _kerberos._tcp. 等关键 SRV 记录 TTL 缩短到 300 秒（5分钟），提前 48 小时生效
- 新DC部署前，在 DNS 中手动添加对应 SRV 记录，指向新IP，但暂不删除旧记录
- 客户端组策略里检查“首选DNS服务器”是否固化为旧IP——如有，需通过 GPO 或脚本批量更新网络适配器设置
功能级别与兼容性兜底检查
升级后若立刻提升域功能级别（DFL/FL），可能让残留的旧系统（如 Windows 7 客户端、老旧打印机驱动）无法加入域或认证失败。
- 执行 Get-ADDomain | fl DomainMode, ForestMode 查看当前级别
- 确认环境中无低于 Windows Server 2012 的域控、无 Windows Server 2003 林架构引用
- 功能级别升级必须在所有旧DC退役后进行，且应单独安排窗口，不与DC迁移合并
关键服务依赖必须显式梳理
很多企业把证书服务（AD CS）、DHCP、时间服务（W32Time）装在域控上。这些不是自动迁移的，容易遗漏：
- AD CS 若为独立根CA，需导出私钥+证书链，在新DC重装并发布新AIA/CRL路径
- DHCP 作用域需导出（netsh dhcp server export）再导入，且授权必须在新DC上重新执行
- 时间源建议指向外部 NTP（如 time.windows.com），避免新旧DC互相授时导致 Kerberos 时间偏移
