域林功能级别升级不可逆，须确保所有DC运行兼容OS版本并完成健康检查；先逐域升级再升林级，依赖FSMO角色正常、DNS与时间同步，并用PowerShell执行。
提升域功能级别（domain functional level）和林功能级别（forest functional level）不可逆，且必须满足所有域控制器（dc）都运行兼容的 windows server 版本——这是最关键的前置判断。如果任意一台 dc 还在运行 windows server 2008 r2 或更早系统，强行升级会失败，甚至导致部分 ad 功能异常。
确认所有域控制器的操作系统版本与角色状态
升级前必须逐台验证 DC 的 OS 版本、是否在线、是否持有 FSMO 角色，以及是否已完成必要更新（如 .NET Framework 和最新累积更新）。常见错误是忽略只读域控制器（RODC）或已降级但未清理元数据的“幽灵 DC”。
- 用
Get-ADDomainController -Filter *查看全部 DC 列表及OperatingSystem字段 - 运行
dcdiag /v检查每台 DC 的复制、DNS 和服务健康状况 - 执行
netdom query fsmo确认所有五类 FSMO 角色归属，避免主域控制器（PDC Emulator）离线时升级卡住 - 对已退役但未执行
ntdsutil元数据清理的 DC，必须先手动清除其对象，否则Set-ADDomainMode会报错The directory service is busy
使用 PowerShell 命令升级域功能级别
PowerShell 是唯一推荐方式，GUI 工具（如 Active Directory 域和信任关系）不显示全部可选级别，且无法捕获中间错误细节。域功能级别取决于当前最低 OS 版本，例如：所有 DC 都是 Windows Server 2016，则最高可设为 Windows2016Domain；若有一台仍是 2012 R2，则只能升到 Windows2012R2Domain。
- 查看当前域级别：
(Get-ADDomain).DomainMode - 升级示例（需在具有企业管理员权限的 DC 上运行）：
Set-ADDomainMode -Identity "contoso.com" -DomainMode Windows2016Domain - 该命令默认同步等待所有 DC 复制完成；加
-Force可跳过交互确认，但不跳过校验逻辑 - 失败时典型错误：
ActiveDirectoryServer:8333表示某台 DC 尚未启动 AD DS 服务或复制中断；ActiveDirectoryInvalidOperation:8524多因 DNS 解析失败导致 RPC 连接超时
林功能级别升级依赖域级别且顺序严格
林功能级别不能高于任一子域的功能级别。也就是说，必须先将林中每个域都升到目标级别，才能升级林本身。常见疏漏是只升了根域，却忘了子域（如 corp.contoso.com），结果 Set-ADForestMode 报错 The forest functional level cannot be raised because one or more domains are at a lower functional level。
- 检查全林各域级别：
Get-ADDomain | Select-Object Name,DomainMode - 升级林级别前，确保所有域已就绪：
Set-ADForestMode -Identity "contoso.com" -ForestMode Windows2016Forest - 该操作只影响林范围功能（如跨域组策略首选项、Kerberos 跨林信任增强），不影响单个域内用户/组行为
- 升级后，旧版工具（如 Windows Server 2003 管理工具包）可能无法识别新对象属性，但不影响生产环境运行
最易被忽略的是时间同步和 Kerberos 票据缓存：升级过程中若域控制器间时钟偏差超过 5 分钟，Set-ADDomainMode 可能静默失败；升级完成后，客户端（尤其是加入域的 Windows 10/11）需重启或运行 klist purge 清除旧票据，否则可能遇到组策略应用延迟或身份验证临时异常。
