域功能级别和林功能级别决定AD DS可用特性及域控制器最低Windows Server版本，升级需满足DC版本一致、复制健康、FSMO在线、GC正常、备份验证等条件，且不可降级。
active directory 服务运行级别管理，实际指的是域功能级别（domain functional level）和林功能级别（forest functional level）的设置与升级。这不是“服务启动状态”或“运行模式”，而是决定 ad ds 可用特性和域控制器操作系统兼容性的关键配置。
功能级别决定了什么
功能级别直接约束以下两方面：
- 域或林中可启用的 AD DS 新特性（如 Active Directory 回收站、精细密码策略、可写 DNS 区域增强、基于组的证书分发等）；
- 该域或林内所有域控制器必须运行的最低 Windows Server 版本——例如，要设为 Windows Server 2025 功能级别，所有 DC 必须已升级到 Windows Server 2025，不能存在 Server 2016 或更早版本的 DC。
注意：功能级别不影响成员服务器、工作站或客户端的操作系统版本，只约束域控制器本身。
升级前必须满足的硬性条件
提升功能级别不是单纯点几下鼠标的操作，它依赖于底层环境的就绪状态：
- 所有域控制器必须运行等于或高于目标功能级别所要求的 Windows Server 版本（例如升至 2025 级别，所有 DC 都得是 Server 2025）；
- AD 复制必须健康稳定，无持续失败或延迟；
- FSMO 角色持有者需明确且在线，建议在升级前完成角色转移验证；
- 全局目录（GC）服务器应正常提供服务，尤其当林中有多个域时；
- 备份已完成并成功验证——升级不可逆，一旦执行无法回退。
常用升级方式（图形与命令行）
有两种主流操作路径，均需以 Enterprise Admin 权限执行：
- 图形界面：打开“Active Directory 域和林管理工具” → 右键点击域名或林名 → “提升域功能级别”或“提升林功能级别” → 选择目标级别 → 确认；
-
PowerShell：使用
Set-ADDomainMode（域）或Set-ADForestMode（林），例如：
Set-ADDomainMode -Identity "contoso.com" -DomainMode Windows2025Domain
命令行方式便于脚本化和审计记录，推荐在生产环境中优先采用。
升级后不可降级，且有隐含依赖关系
功能级别升级是单向操作：
- 一旦将域功能级别设为 Windows Server 2025，就不能再降回 2016 或 2019；
- 林功能级别必须 ≤ 域功能级别（即：林可以是 2016，而某个域是 2025；但林不能是 2025，而域仍是 2016）；
- 新功能是否生效，还需确认相关服务组件是否已启用——比如回收站需单独启用，不随功能级别自动激活。
不复杂但容易忽略。
