监控AD DS健康需聚焦可用性、响应性、一致性、安全性四维度，关键指标包括：域控制器基础服务状态、DNS解析与注册健康、FSMO角色可用性、复制状态、LDAP查询性能，须每日检查或实时告警。
监控 active directory 域服务（ad ds）的健康状态与性能指标，核心是围绕“可用性、响应性、一致性、安全性”四个维度展开。不依赖昂贵商业工具也能做到有效监控，关键是选对指标、用对方法、设好阈值。
关键健康指标必须覆盖这五类
以下指标直接关联用户能否登录、资源能否访问、策略能否生效，应每日检查或实时告警：
- 域控制器基础服务状态：Kerberos 密钥分发中心（KDC）、Netlogon、DNS 客户端、LDAP（389/636 端口）、文件复制服务（FRS 或 DFSR）是否运行正常；
- DNS 解析与注册健康：域控制器是否在 _msdcs、_sites、_tcp 等 DNS 区域中正确注册 SRV 记录；客户端能否正向/反向解析 DC 名称；
-
FSMO 角色可用性：Schema 主控、域命名主控、PDC 模拟器、RID 主控、基础结构主控是否可连通且响应及时（可用
Test-Connection+[System.DirectoryServices.ActiveDirectory.Forest]::GetCurrentForest()获取）； -
复制状态：使用
repadmin /replsummary查看各 DC 间复制延迟、失败次数和最后成功时间；重点关注 USN 回滚、同步冲突、ERROR_DS_DRA_OUT_OF_SYNC类错误； - LDAP 查询性能：绑定耗时（adfind -stats 获取详细统计。
轻量级自动化监控推荐方案
无需部署 SCOM 或第三方平台，用 Windows 自带工具+PowerShell 即可构建可靠监控链：
- 用
Scheduled Tasks + PowerShell每15分钟执行脚本：检测关键服务状态、ping FSMO 角色、运行repadmin /replsummary并邮件告警异常项； - 将
Get-ADReplicationPartnerMetadata和Get-ADReplicationFailure写入日志文件，配合 Windows 事件日志订阅做集中分析； - 启用 NTDS Diagnostics 日志（事件查看器 → 应用程序和服务日志 → Directory Service → 右键属性 → 启用详细日志），筛选事件 ID 1988（复制警告）、2042（复制中断）、1311（GC 不可用）等高频问题事件；
- 对 LDAP 性能做基线采集：用
ldp.exe连接 DC → 绑定 → Options → Control → 加载 Search Stats → 执行典型搜索（如查一个已知用户），记录“Time elapsed”和“Entries returned”，建立每月对比基准。
安全与审计类指标不能漏掉
健康不只是“跑得动”，更是“没被篡改”。以下行为需持续跟踪并保留至少90天日志：
- 特权组成员变更（如 Domain Admins、Enterprise Admins、Schema Admins）；
- GPO 创建、修改、链接、强制启用/禁用操作；
- 用户账户锁定、密码重置、SPN 设置、Kerberoasting 相关事件（事件 ID 4769 异常高频请求）；
- OU 结构变动、对象删除（含回收站恢复动作）；
- 域控制器本地管理员组变更、远程注册表/服务控制台启用情况。
快速定位问题的三步诊断法
当用户报告“登不上”“找不到打印机”“GPO 不生效”时，按顺序排查：
-
第一步：确认 DNS —— 在客户端运行
nslookup yourdomain.com和nslookup -type=SRV _ldap._tcp.dc._msdcs.yourdomain.com，验证能否返回正确的 DC 列表； -
第二步：确认 Kerberos/LDAP 连通性 —— 用
nltest /dsgetdc:yourdomain.com获取 PDC 模拟器，再用telnet pdc-server 389和telnet pdc-server 88测试端口； -
第三步：确认复制与权限 —— 登录 PDC 模拟器，打开“AD 用户和计算机”，右键域 → “查找”一个刚创建的测试用户；若找不到，立即运行
repadmin /showrepl查看该 DC 是否从上游同步成功。
