ADDS性能计数器既可用Performance Monitor（perfmon.exe）图形界面临时排查，也支持PowerShell（Get-Counter）实现脚本化、批量监控与精准预警；关键计数器包括NTDS\LDAP Bind Time、NTDS\Replication Pending Operations等，需结合速率/累积类型采用滑动窗口或差分法设动态阈值，并嵌入可执行命令提升告警实效性。
ADDS性能计数器在哪查？用Performance Monitor还是PowerShell？
windows server自带的perfmon.exe是最直接的入口，但实时采集和脚本化预警必须靠powershell。图形界面适合临时排查，比如看到ntds\ldap bind time突然飙升到2000ms以上；而批量监控上百台域控制器时，get-counter配合定时任务才是正解。别用typeperf导出csv再分析——它不支持动态实例名（如不同dc的ntds("dc01")\dra inbound bytes total），容易漏掉关键实例。
-
Get-Counter -ListSet "NTDS"查看所有ADDS相关计数器集合 - 实例名需手动确认：
(Get-Counter -ListSet "NTDS").PathsWithInstances - 远程采集要开防火墙：允许
Performance Logs and Alerts (TCP-In)规则 -
Get-Counter默认每秒采样一次，高频采集（<1s）会显著增加LSASS负载
哪些ADDS计数器真正影响用户登录和组策略生效？
别盯着NTDS\DS Threads In Use这种“看起来很忙”的指标。实际故障中，NTDS\LDAP Client Sessions持续超80%上限、NTDS\DRA Inbound Bytes Total 5分钟无增长、NTDS\Kerberos Authentications/sec突降至0——这三类才对应真实业务中断。尤其注意NTDS\Replication Pending Operations，值>100基本意味着某台DC已无法同步，组策略更新会卡住。
- 登录慢？优先盯
NTDS\LDAP Bind Time（正常应<50ms）和NTDS\LDAP Searches/sec（突增可能被恶意枚举） - 组策略不生效？检查
NTDS\KCC Connection Objects是否为0，以及NTDS\Replication Latency (minutes)是否持续>15 -
NTDS\DS Search Time (msec)高≠问题，得结合NTDS\LDAP Searches/sec看吞吐量
用PowerShell设预警阈值时，为什么阈值总飘忽不定？
ADDS计数器本身是累积值或速率值，直接比对绝对数值会误报。比如NTDS\DRA Inbound Bytes Total永远只增不减，拿它做“>1000000”判断毫无意义；而NTDS\LDAP Searches/sec在凌晨可能自然降到个位数，按白天阈值告警就是噪音。
- 速率类（带
/sec）用滑动窗口计算：取最近60秒内平均值，再比对基线 - 累积类用差分：每5分钟跑一次
Get-Counter -Counter "\NTDS\DRA Inbound Bytes Total"，和上一轮结果相减 - 基线必须按时间段区分：工作日9:00–17:00 vs 非工作时间，用
Get-Date判断时段再加载不同阈值表 - 避免单点阈值：比如
NTDS\Replication Pending Operations > 50持续3次采样才触发，防瞬时抖动
预警通知发出来，但没人处理——怎么让告警真有用？
邮件/Teams通知只是最后一步。关键在告警内容里嵌入可立即执行的动作，否则运维只会划走。比如检测到NTDS\Kerberos Authentications/sec为0，告警正文必须带：repadmin /showrepl、nltest /dsgetdc:domain.com、Get-Service kdc | Restart-Service三行命令，且标注哪台DC出问题。
- 告警标题强制包含DC主机名：
ADDS Alert on DC01: NTDS\LDAP Bind Time > 200ms (avg 5min) - 所有命令用
标签包裹，确保复制粘贴即用 - 不要写“请检查复制状态”，直接给
repadmin /replsummary结果解析逻辑（比如匹配ERROR_ACCESS_DENIED就提示权限问题） - 每次告警附上最近一次健康快照：
Get-Counter "\NTDS\DS Threads In Use","\NTDS\LDAP Client Sessions" -SampleInterval 1 -MaxSamples 5
阈值不是设完就一劳永逸的事——DC角色变更（比如加了GC）、林功能级别升级、甚至Windows补丁都可能让基线偏移。最常被忽略的是跨站点复制场景下，NTDS\Replication Latency的合理范围取决于WAN延迟，而不是统一填15分钟。
