域控制器安装后需验证FSMO角色、DCDIAG诊断结果、DNS SRV记录、客户端解析能力及关键服务状态。运行netdom query fsmo确认五角色归属，dcdiag /a /v检查复制与服务，nslookup和nltest验证DNS，确保NTDS、DNS Server、KDC、Windows Time正常运行，并核查Directory Service等日志。
验证域控制器安装后的服务完整性，关键在于确认核心角色、复制状态和基础服务是否正常运行。不能只看安装向导是否完成，必须通过命令行和日志交叉验证。
检查FSMO五大操作主机角色
每台域控制器都必须明确归属五种FSMO角色中的一种或多种（尤其是首台DC会默认持有全部）。运行以下命令确认角色分配是否成功：
- 打开CMD或PowerShell，执行：netdom query fsmo
- 应返回五个角色（Schema Master、Domain Naming Master、PDC Emulator、RID Master、Infrastructure Master）及其对应服务器名
- 若某角色显示为“未找到”或报错，说明AD数据库未正确初始化，需检查dcpromo.log或目录服务事件日志
运行DCDIAG全面诊断
DCDIAG是微软官方推荐的域控制器健康检查工具，能检测DNS、复制、Kerberos、服务依赖等20+项：
Windows TTS (WSL2)
下载
在 Windows 11 上"直接发声"的 TTS（从 WSL2/TUI 调用 powershell.exe + System.Speech）。适用于用户说"说出来/读出来/语音播报/用TTS"，或反馈"没声音/tts 生成的 mp3 是空的/播不出来"，以及需要中文语音但 OpenClaw 内置 tts 不可用时。
- 执行：dcdiag /a /v（/a表示所有测试，/v为详细输出）
- 重点关注标有[FAIL]或[WARN]的测试项，如：DsGetDcName（DNS解析失败）、Replications（复制异常）、Services（NTDS、DNS、KDC等关键服务未运行）
- 若出现“Test failed: Connectivity”，通常指向网络连通性、防火墙阻断（如TCP 389/636/53/88）或DNS配置错误
验证DNS SRV记录与客户端解析能力
AD严重依赖DNS——没有正确的SRV记录，客户端无法定位域控制器，Kerberos认证将失败：
- 在DC上用nslookup查询关键记录：
set type=all
_ldap._tcp.dc._msdcs.你的域名（应返回DC的A记录和端口）
_kerberos._tcp.你的域名 - 从域内普通客户端执行：nltest /dsgetdc:你的域名，确认能返回DC名称、IP、站点及Flags（如0x10000000表示可写DC）
- 若提示“找不到域控制器”，优先排查客户端DNS指向是否为该DC自身或另一台正常DC，且未误设为公网DNS
查看关键日志与服务状态
绕过图形界面，直查底层证据：
- 服务状态：确保以下服务处于“正在运行”：NTDS、DNS Server、Kerberos Key Distribution Center (KDC)、Windows Time
- 事件查看器中重点路径：
- Applications and Services Logs → Directory Service（错误事件ID如1925、2087）
- Applications and Services Logs → DNS Server（区域加载失败、动态更新拒绝）
- System 日志中与Netlogon、W32Time相关的警告 - 安装日志位置：%systemroot%\debug\dcpromo.log，搜索“completed successfully”或“error”定位最后操作结果
