必须在目录服务还原模式（DSRM）下脱机还原Active Directory数据库，先按F8进入DSRM并用本地管理员密码登录，再通过wbadmin执行非权威系统状态还原，最后对首个还原DC强制SYSVOL权威同步。
当域控制器启动失败、报错0xc00002e1，或NTDS数据库文件（ntds.dit）损坏导致目录服务无法加载时，必须通过脱机方式还原Active Directory数据库，整个过程需在目录服务还原模式（DSRM）下完成，且不能在正常系统运行状态下执行。
进入目录服务还原模式（DSRM）
重启域控制器，在BIOS自检结束后立即反复按F8键→在高级启动选项菜单中用方向键选中“目录服务还原模式”→按Enter确认→使用【DSRM本地管理员密码】登录（该密码独立于域账户，首次配置DC时设定，遗忘后需用ntdsutil重置）。
若登录失败，说明DSRM密码错误或未正确进入该模式，此时还原操作无法继续，必须先恢复访问权限。
验证并准备系统状态备份
打开命令提示符，输入wbadmin get versions -backupTarget:E:（将E:替换为实际备份所在卷）→确认列表中存在时间戳早于故障发生前、且状态为“成功”的系统状态备份版本。
检查备份完整性：确保备份路径下包含完整的Registry、SYSVOL、AD DS和COM+等组件，缺一不可；若仅存ntds.dit单个文件，该备份不可用于权威还原。
注意：Windows Server 2012及以上版本的备份若含VM-GenerationID信息，可用于虚拟机直接还原；物理机备份严禁还原到不同硬件平台，否则触发USN回滚风险。
执行非权威系统状态还原
第一步：在命令提示符中运行wbadmin start systemstaterecovery -version:01/15/2026-14:30 -quiet（版本号需严格匹配上一步查出的格式）。
让 Windows 桌面程序在开机时静默自启并隐藏到系统托盘。特别适用于 Flutter、Electron 等无视 VBS/ProcessStartInfo 窗口样式、难以隐藏的顽固应用。提供「VBS 启动器 + Python ctypes/Win32 API」的隐藏窗口方案，可稳定把窗口收进托盘且不闪控制台。
第二步：系统自动重启并进入还原流程，期间屏幕显示进度条与文件复制日志，此过程不可中断，耗时取决于备份大小与磁盘I/O性能。
第三步：还原完成后系统再次重启，自动进入正常模式，AD DS服务将尝试加载已还原的ntds.dit及关联日志文件（edb*.log、edb.chk）。
关键点：该操作默认执行非权威还原，即不主动通知其他DC进行复制同步；若还原的是林根域首个DC，则必须额外执行SYSVOL权威同步，否则组策略与登录脚本将失效。
强制SYSVOL权威同步（仅限首个还原的DC）
方法一：使用dfsrmig工具
以管理员身份运行CMD→输入dfsrmig /setglobalstate 0→等待状态变为“Eliminated”→再执行net stop dfsr && net start dfsr→最后运行dfsrmig /setglobalstate 1触发权威初始化。
方法二：注册表注入法
运行regedit→定位到HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\DFSR\Parameters\Replication Groups→在对应RG子项下新建DWORD值EnableAuthSync，设为1→重启DFSR服务。
【警告：此操作仅允许在林根域第一个还原的DC上执行，对其他DC重复操作将引发SYSVOL复制分裂】
