不能直接用PowerShell强制夺取FSMO角色，必须使用ntdsutil工具；PowerShell仅支持查询与安全转移，强行绕过会导致元数据不一致、复制失败或域服务崩溃。
不能直接用 powershell 强制夺取（seize）fsmo 角色。powershell 可以查询、验证和转移（transfer）角色，但“强制夺取”必须通过 ntdsutil 工具完成——这是微软明确规定的唯一安全方式。强行用脚本模拟或绕过 ntdsutil 会导致元数据不一致、复制失败、甚至整个域服务崩溃。
先确认当前角色归属
在任意域控制器上，以域管理员身份运行 PowerShell：
注意：以下命令仅用于查看，不执行任何变更-
查域级角色（RID、PDC、基础结构）：
Get-ADDomain | fl InfrastructureMaster,RIDMaster,PDCEmulator -
查林级角色（架构、域命名）：
Get-ADForest | fl SchemaMaster,DomainNamingMaster -
查所有 DC 及其持有角色：
Get-ADDomainController -Filter * | % { $_.Name; $_.OperationMasterRoles } | Out-Host
只有 ntdsutil 能真正“强制夺取”
当主域控彻底不可恢复（如硬件损毁、无法启动），才可执行强制夺取。操作必须在目标辅域控上，以管理员身份打开命令提示符（非 PowerShell）：
- 输入
ntdsutil→ 回车 - 输入
roles→ 回车 - 输入
connections→ 回车 - 输入
connect to server DC02.prod.local（替换为你要接管的辅域控 FQDN）→ 回车 - 输入
quit→ 回车 - 依次执行以下五条 seize 命令（每条后按提示输 Y 确认）：
seize schema masterseize domain naming masterseize pdc（最敏感，影响时间同步和密码策略）seize rid masterseize infrastructure master
夺完必须立刻清理元数据
角色已切换，但原主域控的残留对象仍在 AD 中，不清理会导致 DNS SRV 记录异常、复制中断、新 DC 升级失败：
- 继续在同一个 ntdsutil 会话中，输入
metadata cleanup→ 回车 - 输入
connections→ 回车 - 输入
connect to domain prod.local（替换为你的域名）→ 回车 - 输入
quit→ 回车 - 输入
select operation target→ 回车 - 按提示逐级选择：
输入list sites→ 选中对应站点编号
输入select site <编号>
输入list servers in site→ 选中宕机 DC 名称（如 DC01）
输入select server <DC01>
输入remove selected server→ 确认清除全部痕迹
验证是否成功
操作完成后立即验证：
- 运行
netdom query fsmo，输出应全部指向新主控（如 DC02） - 从普通客户端测试：域用户登录、访问共享文件夹、应用组策略
- 打开 DNS 管理器 → 查看
_msdcs、_tcp区域下的 SRV 记录是否已更新 - 事件查看器 → 目录服务日志，排查 1988、2042、8453 等 FSMO 相关错误
