PowerShell可通过定期读取NTDS.dit文件大小并记录时间戳来间接监控AD数据库物理增长，结合事件日志分析（如ID 4720/4738/5136）定位增长动因，辅以离线esentutl检查内部空间使用；需注意权限、锁定限制及碎片/墓碑等非数据增长因素。
powershell 本身不直接监控“ad数据库”（即 active directory 的 ntds.dit 文件）的物理文件增长率，因为 ad 数据库是 windows 系统关键服务（ntds 服务）托管的内部数据库，不对外暴露标准 sql 或文件级增长指标接口。但你可以通过间接、可靠且生产环境验证过的方式，持续跟踪 ntds.dit 文件大小变化趋势，从而反映其物理增长情况。
以下方法聚焦实际可行、无需第三方工具、基于 PowerShell 原生命令和 Windows 内置机制：
✅ 监控 NTDS.dit 文件大小变化（最直接有效）
NTDS.dit 是 AD 数据库主文件，通常位于 %SystemRoot%\NTDS\NTDS.dit（如 C:\Windows\NTDS\NTDS.dit）。它被 lsass.exe 进程独占锁定，无法在运行时复制或直接读取内容，但文件大小可被安全读取（Windows 允许查询已打开文件的元数据）。
你可以用 PowerShell 定期采集该文件的 Length 属性，并记录时间戳，生成增长率曲线。
$filePath = "$env:SystemRoot\NTDS\NTDS.dit"
if (Test-Path $filePath) {
$size = (Get-Item $filePath).Length
$time = Get-Date -Format "yyyy-MM-dd HH:mm:ss"
[PSCustomObject]@{
TimeStamp = $time
SizeBytes = $size
SizeMB = [math]::Round($size / 1MB, 2)
}
}建议操作：
- 将上述脚本保存为
Get-NTDSFileSize.ps1 - 使用计划任务每 30 分钟/每小时运行一次，输出追加到 CSV 文件：
... | Export-Csv -Path "C:\Audit\NTDS_Size_Log.csv" -Append -NoTypeInformation
- 后续可用 Excel 或
Import-Csv+Group-Object分析日/周增长率（例如：(最新Size - 24小时前Size) / (24*3600)得出平均字节/秒增长速率）
⚠️ 注意：确保运行账户有读取
C:\Windows\NTDS\目录的权限（默认域控制器上的 Administrators 组具备）。
✅ 结合事件日志识别触发性增长行为
AD 数据库显著增长往往伴随特定操作，例如：
- 批量用户/计算机对象创建（如
dsadd、PowerShellNew-ADUser） - 架构扩展（Schema update）
- 大量密码修改（影响
unicodePwd属性存储及版本向量） - GC（全局编录）同步或重复复制
PowerShell 可监听相关安全事件（需启用审核策略）：
# 查询最近 1 小时内新增的用户对象（事件 ID 4720）
Get-WinEvent -FilterHashtable @{
LogName='Security'
ID=4720
StartTime=(Get-Date).AddHours(-1)
} -ErrorAction SilentlyContinue |
Select-Object TimeCreated, Message类似地，可查：
-
ID 4738（用户属性更改）→ 密码、组成员等高频变更 -
ID 5136（目录服务更改，需开启详细 AD 审核）→ 更细粒度对象变更
将这些事件时间点与 NTDS.dit 大小突增时段比对，可定位增长动因。
✅ 补充：检查 AD 数据库内部空间使用（非文件层，但具参考价值）
虽然不能像 SQL Server 那样查 sys.database_files，但可通过 esentutl（Windows 内置）获取 NTDS.dit 的内部页使用统计（需停用 NTDS 服务 —— 仅限维护窗口！不可在线执行）：
# ❌ 生产环境禁止在线运行！仅作了解： # net stop ntds # esentutl /mh "C:\Windows\NTDS\NTDS.dit" # net start ntds
输出中关键字段：
-
Database Size→ 当前文件大小（与Get-Item一致） -
Number of Pages→ 实际分配的数据库页数 -
Free Pages→ 空闲页数量 -
Percent Full→ 估算填充率
该方式适合定期（如每月）离线巡检，不用于实时监控。
✅ 自动化建议：轻量级监控脚本骨架
$logFile = "C:\Audit\NTDS_Growth_Report_$(Get-Date -Format 'yyyyMMdd').csv"
$filePath = "$env:SystemRoot\NTDS\NTDS.dit"
if (Test-Path $filePath) {
$item = Get-Item $filePath
[PSCustomObject]@{
Timestamp = Get-Date
FilePath = $filePath
SizeBytes = $item.Length
SizeMB = [math]::Round($item.Length / 1MB, 2)
LastWriteTime = $item.LastWriteTime
} | Export-Csv $logFile -Append -NoTypeInformation
}搭配 Windows 计划任务（每日 6 次），即可构建基础增长基线。
不复杂但容易忽略：NTDS.dit 增长未必代表数据变多，也可能是碎片未整理、删除对象仍保留（墓碑对象）、或 USN 回卷导致日志膨胀。结合 repadmin /showrepl 和 dcdiag 定期健康检查，才能全面评估。
