执行AD域架构扩展前必须确认三件事：一是使用企业版/数据中心版Windows Server安装介质中的adprep.exe；二是执行账户需同时属于Enterprise Admins和Schema Admins组，并登录至Schema Master；三是目标DC须安装KB5004442等关键补丁且已部署.NET Framework 4.8。
执行AD域架构扩展前必须确认的三件事
ad域架构扩展（即运行 adprep.exe）本质是修改森林级schema和配置分区，不可逆且要求严格。没做足准备就运行，轻则报错中断，重则导致整个森林无法升级或fsmo角色异常。
- 必须用企业版/数据中心版Windows Server安装介质中的
adprep.exe（路径如sources\adprep\），不能用旧版介质或从其他域控制器复制的二进制 - 执行账户必须是
Enterprise Admins和Schema Admins双组成员，且登录到拥有Schema Master角色的DC（可用netdom query fsmo确认） - 目标域控制器必须已打齐补丁，尤其注意 KB5004442、KB5014697 等影响
adprep /forestprep的更新；Windows Server 2022 域功能级别扩展还依赖 .NET Framework 4.8 运行时
adprep /forestprep 和 /domainprep 的实际执行顺序与参数差异
adprep.exe 不是“一键运行”，两个主命令有强依赖关系和不同作用域：
-
adprep /forestprep：只在森林根域的 Schema Master 上运行一次，修改 Schema 类定义、属性、显示模板等。若中途失败，需先用adprep /forestprep /rollback清理（仅限未提交状态），否则只能恢复系统状态备份 -
adprep /domainprep：在每个要启用新功能的子域的 Infrastructure Master 上运行，创建默认容器、更新 ACL、部署新组策略模板（如DFS Replication相关权限）。加/gpprep参数才写入 GPO 模板，不加则跳过
常见错误现象：Adprep encountered an error 伴随 0x80072030（LDAP 无法连接 Schema Master）或 0x80070005（权限不足）。此时别反复重试，先检查 repadmin /showrepl 是否同步正常，再确认账户是否真在 Schema Admins 组（组策略缓存可能导致延迟生效）。
Schema 备份不是导出LDIF，而是系统状态备份+元数据快照
很多人误以为用 ldifde -f schema.ldf -s dc01 -d "cn=schema" -p onelevel 就算备份了Schema——这只能导出当前可读结构，无法还原属性语法变更、继承标志或Mandatory属性约束，更不能恢复被误删的类。
真正可用的备份方案只有两种：
- 在运行
adprep /forestprep前，对 Schema Master 执行完整系统状态备份（wbadmin start systemstatebackup或 Windows Server Backup GUI），确保包含NTDS.dit、日志、SYSVOL 和注册表 - 同时用
ntdsutil创建 Schema 分区快照：activate instance ntds→create snapshot→list snapshots，然后挂载快照并复制ntds.dit文件（路径类似C:\$SNAP_202405101430_VOLUMEC$\Windows\NTDS\ntds.dit）
注意：快照本身不等于备份，它依赖源卷存在；系统状态备份也必须验证可恢复性——曾有客户备份后未测试，升级失败时才发现备份损坏。
扩展后验证Schema版本与关键对象是否就位
扩展完成不等于万事大吉。必须立刻验证几个硬指标，否则后续部署 Exchange 或启用动态访问控制（DAC）会失败：
- 检查当前Schema版本：
dsquery * cn=schema,cn=configuration,dc=contoso,dc=com -attr objectVersion，Windows Server 2022 对应值为88（2016 是 87，2012 R2 是 69） - 验证新类是否存在：
dsquery <em> -filter "(objectClass=ms-DS-Az-Role)" -limit 0</em>（Azure AD Connect 依赖类）、dsquery -filter "(objectClass=msDS-AuthNPolicy)"（认证策略类） - 查看
Domain ControllersOU 下是否新增Cloneable Domain Controllers组（用于DC克隆），以及Program Data\Microsoft\Crypto\RSA\MachineKeys权限是否已扩展（影响证书服务集成）
最容易被忽略的是：扩展后首次重启 Schema Master 时，ntds.dit 会重建索引，可能耗时数分钟至半小时（取决于Schema大小），期间LDAP查询会变慢甚至超时——这不是故障，但监控告警若没排除这个场景，会引发误判。
