域控制器安装后需验证fsmo角色、dcdiag诊断结果、dns srv记录、客户端解析能力及关键服务状态。运行netdom query fsmo确认五角色归属，dcdiag /a /v检查复制与服务，nslookup和nltest验证dns，确保ntds、dns server、kdc、windows time正常运行，并核查directory service等日志。

验证域控制器安装后的服务完整性，关键在于确认核心角色、复制状态和基础服务是否正常运行。不能只看安装向导是否完成，必须通过命令行和日志交叉验证。

检查FSMO五大操作主机角色

每台域控制器都必须明确归属五种FSMO角色中的一种或多种（尤其是首台DC会默认持有全部）。运行以下命令确认角色分配是否成功：

• 打开CMD或PowerShell，执行：netdom query fsmo
• 应返回五个角色（Schema Master、Domain Naming Master、PDC Emulator、RID Master、Infrastructure Master）及其对应服务器名
• 若某角色显示为“未找到”或报错，说明AD数据库未正确初始化，需检查dcpromo.log或目录服务事件日志

运行DCDIAG全面诊断

DCDIAG是微软官方推荐的域控制器健康检查工具，能检测DNS、复制、Kerberos、服务依赖等20+项：

Windows TTS (WSL2)

在 Windows 11 上"直接发声"的 TTS（从 WSL2/TUI 调用 powershell.exe + System.Speech）。适用于用户说"说出来/读出来/语音播报/用TTS"，或反馈"没声音/tts 生成的 mp3 是空的/播不出来"，以及需要中文语音但 OpenClaw 内置 tts 不可用时。

下载

• 执行：dcdiag /a /v（/a表示所有测试，/v为详细输出）
• 重点关注标有[FAIL]或[WARN]的测试项，如：DsGetDcName（DNS解析失败）、Replications（复制异常）、Services（NTDS、DNS、KDC等关键服务未运行）
• 若出现“Test failed: Connectivity”，通常指向网络连通性、防火墙阻断（如TCP 389/636/53/88）或DNS配置错误

验证DNS SRV记录与客户端解析能力

AD严重依赖DNS——没有正确的SRV记录，客户端无法定位域控制器，Kerberos认证将失败：

• 在DC上用nslookup查询关键记录：
  set type=all
  _ldap._tcp.dc._msdcs.你的域名（应返回DC的A记录和端口）
  _kerberos._tcp.你的域名
• 从域内普通客户端执行：nltest /dsgetdc:你的域名，确认能返回DC名称、IP、站点及Flags（如0x10000000表示可写DC）
• 若提示“找不到域控制器”，优先排查客户端DNS指向是否为该DC自身或另一台正常DC，且未误设为公网DNS

查看关键日志与服务状态

绕过图形界面，直查底层证据：

• 服务状态：确保以下服务处于“正在运行”：NTDS、DNS Server、Kerberos Key Distribution Center (KDC)、Windows Time
• 事件查看器中重点路径：
  - Applications and Services Logs → Directory Service（错误事件ID如1925、2087）
  - Applications and Services Logs → DNS Server（区域加载失败、动态更新拒绝）
  - System 日志中与Netlogon、W32Time相关的警告
• 安装日志位置：%systemroot%\debug\dcpromo.log，搜索“completed successfully”或“error”定位最后操作结果