提升AD域功能级别需先确认所有DC运行兼容OS版本并完成健康检查，再用Set-ADDomainMode执行在线升级，操作不可逆且无需重启，升级后Kerberos约束委派、LDAP通道绑定等安全特性立即生效。

在线提升ad域功能级别是启用kerberos增强策略、ldap通道绑定、可扩展组策略首选项等高级安全特性的前提，整个过程无需重启域控制器，但必须确保所有dc已就绪且操作不可逆。

确认当前状态与兼容性

先检查是否满足目标级别要求。运行以下命令确认当前域功能级别和每台DC的操作系统版本：

• Get-ADDomain | Select-Object DomainMode, DomainControllers — 查看当前域级别及DC列表
• Get-ADDomainController -Filter * | Select-Object Name, OperatingSystem, IPv4Address — 核实每台DC是否都运行Windows Server 2016或更高版本（例如要升至2016域级别）
• repadmin /replsummary 和 dcdiag /test:replications — 确保复制健康，无延迟或失败

执行在线升级（PowerShell方式）

在任意一台具有企业管理员权限的域控制器上，以管理员身份打开PowerShell，执行：

• Set-ADDomainMode -Identity "contoso.com" -DomainMode Windows2016Domain（将域名替换为实际域名）
• 命令成功后无提示，可用 Get-ADDomain | Format-List DomainMode 验证是否已更新
• 图形界面替代方案：打开“Active Directory用户和计算机” → 右键域名 → “提升域功能级别” → 选择目标级别 → 点击“提升”

启用高级安全特性并验证

升级完成后，以下安全能力立即生效，无需额外配置：

• Kerberos约束委派（基于资源的）支持更细粒度的服务委托控制
• LDAP签名与通道绑定强制策略可在组策略中启用（路径：Computer Configuration → Policies → Windows Settings → Security Settings → Local Policies → Security Options）
• 支持Windows LAPS v2（本地管理员密码解决方案），需配合客户端更新和GPO部署
• 测试关键路径：普通用户登录、域成员机加域、证书注册服务（CertSrv）、DNS动态更新是否正常

注意事项与风险规避

升级虽在线完成，但影响持续存在：

• 旧版DC（如Windows Server 2008 R2）无法再加入该域，也不能继续作为域控制器运行
• 若环境中存在依赖旧AD Schema的第三方IAM平台或邮件网关，需提前联系厂商确认兼容性
• 操作前务必使用wbadmin start systemstatebackup完成系统状态备份，并验证可恢复
• 不建议跳过域级别直接升林级别；林级别提升需所有域先达同一标准，且必须在持有域名命名主控（Domain Naming Master）角色的DC上操作