DSRM是域控制器关键安全启动模式，用于修复AD数据库；其密码在部署时强制设置，仅限本地管理员账户使用，必须通过F8手动进入，不可跳过或禁用。

域控制器的启动模式与恢复选项，核心在于目录服务恢复模式（dsrm）的配置和管理。这不是一个“开机自动启用”的常规设置，而是在部署阶段设定、故障时手动触发的关键安全机制。

DSRM密码必须在部署时设置

安装AD DS并运行“将此服务器提升为域控制器”向导时，系统会强制要求输入目录服务还原模式密码。这个密码对应一个本地管理员账户（不是域账户），仅在DSRM下生效。

• 它不继承域策略，但新设密码需满足当前域的复杂性要求（如长度、大小写、数字等）
• 若跳过或遗忘，后续无法进入DSRM——除非提前用ntdsutil重置，或借助LAPS自动托管
• 建议单独记录，不要与域管理员密码混用

启动时如何进入DSRM

DSRM不是默认启动项，需在开机过程中主动选择：

直播间话术巡检-windows

直播话术巡检系统(Windows版) — 实时语音转写、关键词检测、场景自动切换、告警推送、大屏可视化。支持 Windows VB-Cable 虚拟声卡音频采集，阿里云 ASR 实时识别。一键启动脚本，自动安装环境。

下载

• 服务器重启后，在BIOS自检结束、Windows Logo出现前，反复按F8键（部分UEFI系统需先禁用快速启动，或使用Shift+重启进入高级启动）
• 从“高级启动选项”菜单中选择“目录服务还原模式”
• 登录界面只显示本地管理员账户（通常是Administrator），输入部署时设定的DSRM密码

DSRM密码的后期管理方式

部署完成后仍可修改或同步，但必须在域控制器正常运行状态下操作：

• 用管理员权限打开命令提示符，依次执行：
  ntdsutil → set dsrm password → reset password on server null → 按提示输入新密码 → quit（两次）
• 支持与指定域用户密码同步：在ntdsutil中输入activate instance ntds → sync from domain
• 推荐启用Windows LAPS，它可自动轮换、加密备份DSRM密码，并集中存于AD中供授权管理员检索

为什么不能跳过或禁用DSRM

DSRM是AD数据库离线维护的唯一合法入口，不可绕过或关闭：

• 执行非授权还原（authoritative restore）、清除元数据、修复NTDS.DIT损坏等操作，必须在DSRM下进行
• 没有DSRM，一旦AD服务崩溃且无法启动，将失去最后的修复能力
• 强行降级域控制器（dcpromo /force）会清除AD角色，但若未提前备份DSRM密码，连降级后的本地登录都可能失败