补丁安装后不能直接重启域控，必须先验证FSMO角色、复制状态和DC标识，再检查证书链、安全通道及DFS复制等，否则易导致Kerberos失败、组策略不生效或服务拒绝认证。
补丁安装后为什么不能直接重启域控
域控制器不是普通服务器，gpupdate /force 或手动点击重启后若未验证前置状态，极可能触发 fsmo 角色丢失、kerberos pac 验证失败或 netlogon 服务无法建立安全通道。尤其在安装含 kb5008380、kb5014990 或 2022 年 1 月后 ntlm 直通保护更新后，未完成验证就重启，会导致客户端登录超时、组策略不生效、甚至部分服务（如 nps、rras）身份验证拒绝。
重启前必须确认的三项关键状态
执行任何重启前，请逐项检查以下输出是否全部符合预期：
-
dcdiag /q：所有测试项必须返回passed，特别关注Replications、NetLogons、Kerberos和Services；若出现failed或warning，暂停重启，先查事件日志中的Directory Service和Netlogon来源错误 -
repadmin /replsummary：所有源 DC 的Delta列应为0，Failures列为空；非空表示复制尚未收敛，此时重启会扩大不一致窗口 -
nltest /dsgetdc:contoso.com（替换为你的域名）：返回的PDC标识必须与当前服务器匹配，且Flags中包含PDC、GC、DS等必要标志；若缺失PDC，说明 FSMO 角色未正常加载
重启后 5 分钟内必须跑完的验证动作
重启完成、登录成功后，不要急于做其他操作，立即执行以下检查（建议开两个 PowerShell 窗口并行）：
- 运行
Get-ADDomainController -Filter * | Select Name,OperatingSystem,IsGlobalCatalog,IsReadOnly：确认本机IsGlobalCatalog为True（除非是 RODC），且OperatingSystem显示已升级到预期版本（如含 KB5008380 后应显示 “Windows Server 2012 R2 Datacenter 9600.22547” 类似编号） - 运行
certutil -verifystore my：检查计算机证书链是否完整；若报错0x80092004（CERT_E_UNTRUSTEDROOT），说明补丁更新重置了证书信任策略，需手动导入根 CA 或运行gpupdate /force后再试 - 用另一台域成员机执行
nltest /server:DC01 /sc_query:contoso.com：验证安全通道是否重建成功；失败则检查Event ID 5719（Netlogon 无法联系 DC）或Event ID 5805（Kerberos 错误代码 0x7）
容易被跳过的“静默失败”点
很多管理员看到桌面能进、服务没报错就认为验证完成，但以下问题往往延迟数小时才暴露：
-
DFS Replication服务看似运行中，但dfsradmin membership list显示状态为Initial Sync而非Normal，说明补丁干扰了复制引擎初始化 - 安装含 NTLM 直通保护的更新（如 2022 年 1 月后版本）后，
nltest /dsgetdc成功，但跨林信任的 Kerberos 请求仍被拒绝——需检查目标林 PDC 上是否已授予该 DC 计算机账户Allowed to authenticate权限 -
KB4012213补丁虽解决蓝屏，但若未在重启后运行sfc /scannow，某些驱动签名异常仍会在 2–3 天后引发DRIVER_IRQL_NOT_LESS_OR_EQUAL
真正的验证完成，不是看服务有没有起来，而是看它能不能持续稳定地处理下一次 Kerberos TGT 请求、下一次组策略刷新、下一次跨域 LDAP 查询。
