PowerShell动态监控域控制器的关键是建立轻量持续的观测链路，重点盯LDAP端到端P95延迟、复制状态、FSMO角色健康及安全日志写入节奏，而非依赖CPU或内存指标。
用 PowerShell 动态监控域控制器实时性能，关键不是“跑几个命令看一眼”，而是建立轻量、持续、可触发告警的观测链路。重点盯 LDAP 响应、复制状态、FSMO 角色健康和安全日志写入节奏——这些比 CPU 或内存更能反映真实服务能力。
一、实时抓取 LDAP 端到端响应耗时
登录慢、组策略延迟往往源于单次 LDAP 查询卡顿，平均值会掩盖问题。需模拟真实客户端行为采集 P95 延迟：
- 用 PowerShell 脚本循环执行 Bind + Search + Unbind，例如查一个已知用户：
```powershell
$dc = "dc01.contoso.com"
$userDN = "CN=jsmith,OU=Users,DC=contoso,DC=com"
1..100 | ForEach-Object {
$sw = [System.Diagnostics.Stopwatch]::StartNew()
try {
$de = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dc/$userDN")
$null = $de.Properties["objectClass"].Value
} catch {} finally { $sw.Stop() }
[PSCustomObject]@{TimeMs = $sw.ElapsedMilliseconds}
} | Sort-Object TimeMs -Descending | Select-Object -First 5
``` - 若出现多次 >800ms 的结果（尤其在低负载时段），说明查询本身低效，要检查是否用了未索引属性或没限定 Base DN
二、每分钟轮询关键服务与复制状态
避免手动翻看，用后台作业自动拉取核心指标：
- 用 Get-Service 检查 NTDS、DNS、KDC 是否运行中，状态异常立即发邮件或写入事件日志
- 用 repadmin /showrepl 解析输出，识别持续超 15 分钟未同步的伙伴：
```powershell
$repl = repadmin /showrepl 2>&1 | Select-String "FAILED|is not responding|last attempt" -Context 0,2
if ($repl) { Write-EventLog -LogName Application -Source "DC-Monitor" -EventId 1001 -EntryType Warning -Message "Replication issue detected: $($repl.Line)" }
``` - 用 [System.DirectoryServices.ActiveDirectory.Forest]::GetCurrentForest() 获取 FSMO 角色持有者，再对 PDC Emulator 执行 Test-Connection -Count 1，确认角色所在 DC 可达
三、监控安全日志写入活性与容量余量
审计失效常因日志被覆盖或停止写入，不能只靠“打开 eventvwr.msc 看一眼”：
- 每 5 分钟检查一次日志是否还在更新：
```powershell
$last = Get-WinEvent -LogName Security -MaxEvents 1 -ErrorAction SilentlyContinue
if (-not $last -or ((Get-Date) - $last.TimeCreated).TotalMinutes -gt 10) {
Write-Warning "Security log stopped writing — check disk space or audit policy"
} - 计算剩余容量：
```powershell
$log = Get-WinEvent -ListLog Security
$usedPct = [math]::Round(($log.RecordCount / $log.MaximumSize) * 100)
if ($usedPct -gt 90) { Write-Warning "Security log at ${usedPct}% capacity" }
``` - 确保最大日志大小 ≥ 2048MB 且“日志满时覆盖事件”已禁用（该设置必须通过 GPO 或本地策略明确关闭）
四、整合为后台常驻任务（无需第三方工具）
把上述逻辑打包成 Windows 计划任务，每 1–2 分钟自动运行一次：
- 保存脚本为 Monitor-DCHealth.ps1，启用执行策略：
Set-ExecutionPolicy RemoteSigned -Scope LocalMachine - 用 Register-ScheduledJob 创建定时作业，指定运行账户为 Domain Admin，并勾选“即使用户未登录也运行”
- 输出结果可写入本地 CSV、推送到中央日志服务器，或触发 Send-MailMessage 发送简明告警（如：“LDAP P95=1240ms”、“repadmin 发现 dc03 同步失败”）
