阅读指引#

这份集合按场景分类，三种用法：

目录#

• AD 运维 PowerShell 常用命令集合
  • 阅读指引
  • 目录
  • 一、用户与账户
    • 查用户
    • 改用户
  • 二、组与成员
  • 三、计算机
  • 四、域控与 FSMO
  • 五、复制健康
  • 六、dcdiag 健康检查
  • 七、DNS 与 SPN
  • 八、Kerberos 与票据
  • 九、时间同步
  • 十、事件日志
  • 十一、备份与恢复
    • AD 回收站（Recycle Bin）—— 优先用它，而不是整机还原
  • 十二、磁盘与性能
  • 十三、站点与服务
  • 十四、清理与维护
  • 十五、GPO 相关
  • 附：数字口诀（排障顺序）

一、用户与账户#

1
# 查单个用户的基本信息
2
Get-ADUser -Identity qianyue -Properties *
3

4
# 查所有启用的用户
5
Get-ADUser -Filter 'Enabled -eq $true'
6

7
# 按名字模糊查
8
Get-ADUser -Filter 'Name -like "*浅月*"'
9

10
# 查某个 OU 下的所有用户
11
Get-ADUser -SearchBase "OU=User,OU=Admin,OU=Organization,DC=qy,DC=net" -Filter *
12

13
# 查密码永不过期的用户
14
Get-ADUser -Filter 'userAccountControl -band 0x10000' -Properties userAccountControl
15

16
# 查长期未登录的用户（90 天）
17
$days = (Get-Date).AddDays(-90)
18
Get-ADUser -Filter * -Properties LastLogonTimeStamp |
19
    Where-Object { $_.LastLogonTimeStamp -lt $days.ToFileTime() -and $_.Enabled -eq $true } |
20
    Select Name, SamAccountName, @{N='LastLogon';E={[datetime]::FromFileTime($_.LastLogonTimeStamp)}}
21

22
# 查锁定中的账户
23
Search-ADAccount -LockedOut
24

25
# 查密码已过期的账户
26
Search-ADAccount -PasswordExpired
27

28
# 查已禁用的账户
29
Search-ADAccount -AccountDisabled

1
# 启用/禁用账户
2
Enable-ADAccount -Identity qianyue
3
Disable-ADAccount -Identity qianyue
4

5
# 解锁账户
6
Unlock-ADAccount -Identity qianyue
7

8
# 重置密码
9
Set-ADAccountPassword -Identity qianyue -NewPassword (ConvertTo-SecureString "P@ssw0rd123" -AsPlainText -Force)
10

11
# 取消密码永不过期
12
Set-ADUser -Identity qianyue -PasswordNeverExpires $false
13

14
# 强制下次登录改密码
15
Set-ADUser -Identity qianyue -ChangePasswordAtLogon $true
16

17
# 移动用户到另一个 OU
18
Move-ADObject -Identity "CN=浅月,OU=User,DC=qy,DC=net" -TargetPath "OU=NewOU,DC=qy,DC=net"

二、组与成员#

1
# 查组
2
Get-ADGroup -Filter *
3

4
# 查某个组的成员
5
Get-ADGroupMember -Identity "Domain Admins"
6

7
# 查某个用户属于哪些组
8
Get-ADPrincipalGroupMembership -Identity qianyue
9

10
# 加人进组
11
Add-ADGroupMember -Identity "Domain Admins" -Members qianyue
12

13
# 从组里移除
14
Remove-ADGroupMember -Identity "Domain Admins" -Members qianyue
15

16
# 查空组
17
Get-ADGroup -Filter * -Properties Members | Where-Object { $_.Members.Count -eq 0 }
18

19
# 查组的作用域与类型（排查权限问题常看）
20
Get-ADGroup -Identity "Domain Admins" -Properties GroupScope, GroupCategory

💡 GroupScope / GroupCategory 是权限排查的高频字段：

字段	取值	说明
GroupScope	DomainLocal	本域内授权（可含外域成员）
	Global	跨域授权（只能含本域成员）
	Universal	全林授权（存于 GC）
GroupCategory	Security	安全组（能授权）
	Distribution	通讯组（不能授权，只能发邮件）

“我明明加进组了怎么没权限” 常见原因之一：加进的是通讯组（Distribution）， 它根本不参与 ACL 判定。

💡 GroupScope 转换有约束：Global → Universal 需要该组不是其他全局组的成员； 且林功能级别低于 2003 时无法创建 Universal 组。转换失败先查这个。

💡 递归查组成员：Get-ADGroupMember 只返回直接成员，遇到嵌套组要加 -Recursive：

1
Get-ADGroupMember -Identity "Domain Admins" -Recursive

排查”这个人明明在组里为什么没权限”时，嵌套组是重灾区。

三、计算机#

1
# 查所有计算机
2
Get-ADComputer -Filter *
3

4
# 查某台计算机的详细信息
5
Get-ADComputer -Identity QYNET-CORE01 -Properties *
6

7
# 查长期未登录的计算机（90 天）
8
$days = (Get-Date).AddDays(-90)
9
Get-ADComputer -Filter * -Properties LastLogonTimeStamp |
10
    Where-Object { $_.LastLogonTimeStamp -lt $days.ToFileTime() } |
11
    Select Name, @{N='LastLogon';E={[datetime]::FromFileTime($_.LastLogonTimeStamp)}}
12

13
# 查操作系统分布
14
Get-ADComputer -Filter * -Properties OperatingSystem |
15
    Group-Object OperatingSystem | Sort-Object Count -Descending

⚠️ LastLogonTimeStamp 的坑：这个属性不是实时同步的，默认每 9~14 天才复制一次。 所以它适合做”长期未登录”的粗筛（比如 90 天），不能用来判断”这台机今天有没有登录”。 要精确值只能逐台查 LastLogon（不复制，各 DC 独立），代价很高。

四、域控与 FSMO#

1
# 列出所有 DC
2
Get-ADDomainController -Filter *
3

4
# 查 FSMO 角色持有者
5
netdom query fsmo
6

7
# 查 FSMO 健康（当前 DC 能否联系所有角色持有者）
8
dcdiag /test:fsmocheck
9

10
# 查 GC 覆盖
11
Get-ADDomainController -Filter * | Select Name, Site, IsGlobalCatalog
12

13
# 查域功能级别
14
Get-ADDomain | Select DomainMode, Forest
15
Get-ADForest | Select ForestMode

💡 纯 PowerShell 查 FSMO（不依赖 netdom，适合 Server Core / 无 RSAT 环境）：

1
Get-ADForest | Select SchemaMaster, DomainNamingMaster
2
Get-ADDomain | Select PDCEmulator, RIDMaster, InfrastructureMaster

5 个角色：Schema Master、Domain Naming Master（林级）+ PDC Emulator、RID Master、Infrastructure Master（域级）。

五、复制健康#

1
# 复制摘要（最常用）
2
repadmin /replsummary
3

4
# 只看失败的
5
repadmin /replsummary /errorsonly
6

7
# 按失败率排序
8
repadmin /replsummary /sort:percent
9

10
# 查某台 DC 的复制详情
11
repadmin /showrepl QYNET-CORE01
12

13
# 详细模式，带错误码
14
repadmin /showrepl QYNET-CORE01 /verbose
15

16
# 导出 CSV
17
repadmin /showrepl * /csv > repl.csv
18

19
# 强制复制
20
repadmin /replicate DC01 DC02 "DC=qy,DC=net"
21

22
# 强制同步所有分区
23
repadmin /syncall /AdeP

⚠️ repadmin /syncall /AdeP 参数含义（别背错）：

参数	含义
/A	所有命名上下文（All）
/d	按 DN 标识（distinguished name）
/e	企业级，跨站点（Enterprise）
/P	推模式（Push），从当前 DC 推出去

⚠️ /e 参数要评估后再用：它会让复制跨站点传播，短时间内可能压满站点间链路。 单站点环境无影响，多站点环境要评估——尤其是链路带宽紧张或站点数多的情况。 只想同步本站点内，去掉 /e 即可。

六、dcdiag 健康检查#

1
# 全林全项检查，只报错
2
dcdiag /e /q /c
3

4
# 只测复制
5
dcdiag /test:replications
6

7
# 只测连通性
8
dcdiag /test:connectivity
9

10
# 只测 DNS
11
dcdiag /test:DNS /v
12

13
# 只测 SYSVOL
14
dcdiag /test:sysvolcheck /test:advertising
15

16
# 只测 FSMO
17
dcdiag /test:fsmocheck

💡 排障时的顺序：先 /test:connectivity 确认能通，再 /test:DNS，最后才看具体服务测试。 DNS 挂了，后面所有测试都会失败——先看 DNS 能省掉一大半迷惑性的报错。

七、DNS 与 SPN#

1
# 查 SRV 记录
2
nslookup -type=SRV _ldap._tcp.qy.net
3
nslookup -type=SRV _kerberos._tcp.qy.net
4
nslookup -type=SRV _gc._tcp.qy.net
5

6
# 查某账户注册了哪些 SPN
7
setspn -L QYNET-CORE01
8

9
# 反向查某个 SPN 被谁注册
10
setspn -Q HTTP/testweb.qy.net
11

12
# 全林查重复 SPN
13
setspn -X
14

15
# 安全添加 SPN
16
setspn -S HTTP/testweb.qy.net svc_testweb
17

18
# 删除 SPN
19
setspn -D HTTP/testweb.qy.net svc_testweb

💡 为什么强调 setspn -S 而不是 -A： -S（Add，带检查）会先查重再添加，重复就报错；-A（Add）会直接写进去，制造重复 SPN。 重复 SPN 会导致 Kerberos 认证随机失败（票据请求指向错误的账户），且极难排查。永远用 -S。

💡 Kerberos 认证失败的经典三连（服务账号场景的完整排查链）：

1. SRV 记录在不在 —— nslookup -type=SRV _kerberos._tcp.<域>
2. SPN 挂在正确的账户上没 —— setspn -L <服务账户>
3. 有没有重复 SPN —— setspn -X
4. 客户端拿到票据没 —— klist
5. KDC 报什么错 —— 事件日志看 4771 / 4768

这五步能覆盖绝大部分”服务账号认证失败”的工单。

八、Kerberos 与票据#

1
# 看当前票据
2
klist
3

4
# 清空票据，强制重新获取
5
klist purge
6

7
# 看票据详情
8
klist -e

💡 klist purge 是万能第一步：改过权限、加过组、改过 SPN 之后，客户端往往还拿着旧票据。 让用户 klist purge 或直接注销重登，比在服务端查半天快得多。

九、时间同步#

1
# 查时间源
2
w32tm /query /source
3

4
# 查时间状态
5
w32tm /query /status
6

7
# 强制同步
8
w32tm /resync /force
9

10
# 查与时间源的偏差
11
w32tm /stripchart /computer:ntp.aliyun.com /samples:5
12

13
# 配置外网 NTP
14
w32tm /config /syncfromflags:manual /manualpeerlist:"ntp.aliyun.com,0x8" /reliable:yes /update
15
net stop w32time && net start w32time

⚠️ 时间偏差 > 5 分钟会导致 Kerberos 直接拒绝认证（默认 MaxClockSkew）。 遇到”昨天还好好的，今天所有人都登不上域”，先查时间，别急着查复制。

💡 域内时间层次：PDC Emulator 应对接外部 NTP，其他 DC 从 PDC 同步，成员机从任意 DC 同步。 所以配外网 NTP 只需要在 PDC 上做。

十、事件日志#

1
# 查账户锁定事件（4740）
2
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4740} -MaxEvents 20
3

4
# 查登录失败（4625）
5
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 20
6

7
# 查目录服务日志里的错误
8
Get-WinEvent -LogName 'Directory Service' -MaxEvents 50 |
9
    Where-Object { $_.LevelDisplayName -eq 'Error' }
10

11
# 查 DFSR 日志
12
Get-WinEvent -LogName 'DFS Replication' -MaxEvents 50 |
13
    Where-Object { $_.LevelDisplayName -in @('Error','Warning') }

💡 4740 里找”是谁锁的”：事件里的 Caller Computer Name 字段就是锁定来源机器。 如果同一个账户反复被锁，通常是某台机器上存着旧密码（计划任务、服务、映射盘、手机邮件客户端）。 按 Caller Computer Name 定位到机器，再清掉那里的凭据即可。

常用事件 ID 速查

💡 4625 和 4771 的区别：域环境里 Kerberos 是首选，所以密码错通常报 4771； 只有回退到 NTLM 时才报 4776。查”密码错误导致锁定”要先看 4771 而不是 4625。

💡 4648 是横向移动的强信号：正常用户极少触发（除非 runas）。 短时间内大量 4648 出现在非管理机上，值得追查。

💡 4771 的三个子状态码（在事件详情里看）：

失败代码	含义
0x18	密码错误
0x12	账户被禁用 / 锁定 / 过期
0x25	时钟偏差过大 ← 时间同步没做好就是它

所以 4771 出现 0x25，直接去查 w32tm，别再查密码了。

十一、备份与恢复#

1
# 查可用备份
2
wbadmin get versions
3

4
# 查备份配置
5
wbadmin get status
6

7
# 系统状态备份
8
wbadmin start systemstatebackup -backupTarget:E:
9

10
# 系统状态还原（在 DSRM 里跑）
11
wbadmin start systemstaterecovery -version:<版本标识符>

⚠️ 系统状态还原必须在 DSRM（目录服务还原模式）下执行，正常模式跑会失败。

1
# 查是否已开启
2
Get-ADOptionalFeature -Filter 'Name -like "Recycle Bin Feature"'
3

4
# 开启（不可逆）
5
Enable-ADOptionalFeature -Identity "Recycle Bin Feature" -Scope ForestOrConfigurationSet -Target "qy.net"
6

7
# 查已删除对象
8
Get-ADObject -Filter 'isDeleted -eq $true' -IncludeDeletedObjects -Properties *
9

10
# 恢复
11
Restore-ADObject -Identity "<对象的 DN 或 GUID>"

十二、磁盘与性能#

1
# 查磁盘空间
2
Get-PSDrive C | Select Used, Free
3

4
# 查 NTDS.dit 大小
5
Get-Item "C:\Windows\NTDS\ntds.dit" | Select Length
6

7
# LDAP 性能计数器
8
Get-Counter "\NTDS\LDAP Searches/sec" -SampleInterval 1 -MaxSamples 5
9
Get-Counter "\NTDS\DRA Pending Replication Synchronizations"
10

11
# 查 RPC 动态端口
12
netstat -an | findstr 49152

💡 NTDS.dit 会随删除操作持续膨胀，删除用户不会让它变小。 要真正回收空间必须做离线碎片整理（ntdsutil → activate instance ntds → compact to）， 期间 AD 服务中断，需停机窗口。

💡 DRA Pending Replication Synchronizations 持续不降 = 复制积压， 配合 repadmin /replsummary 一起看。

十三、站点与服务#

1
# 查所有站点
2
Get-ADReplicationSite -Filter *
3

4
# 查站点链接
5
Get-ADReplicationSiteLink -Filter *
6

7
# 查子网
8
Get-ADReplicationSubnet -Filter *
9

10
# 查某台 DC 的复制连接
11
Get-ADReplicationConnection -Filter *

💡 子网没定义会导致客户端”就近登录”失效——客户端会随机选 DC， 表现为”登录慢""跨站点流量异常”。排查时先确认客户端 IP 所在子网已在 AD 站点中定义。

十四、清理与维护#

1
# 查孤立的 SID（账户被删但权限还在）
2
# 没有直接命令，需要结合 ACL 工具
3

4
# 查空 OU
5
Get-ADOrganizationalUnit -Filter * -Properties Children |
6
    Where-Object { $_.Children.Count -eq 0 }
7

8
# 查重复的 sAMAccountName（AD 本身不允许，但历史遗留可能有）
9
Get-ADUser -Filter * | Group-Object SamAccountName |
10
    Where-Object { $_.Count -gt 1 }

💡 补充：查孤立 SID 的可行做法——用 Get-Acl 遍历目标资源， 检查 IdentityReference 是否为 S-1-5-21-... 形式的裸 SID（说明对应账户已删）：

1
Get-ChildItem "D:\Share" -Recurse |
2
    Get-Acl |
3
    ForEach-Object { $_.Access } |
4
    Where-Object { $_.IdentityReference -like 'S-1-5-21-*' } |
5
    Select IdentityReference, FileSystemRights -Unique

十五、GPO 相关#

1
# 查所有 GPO
2
Get-GPO -All
3

4
# 查某个 GPO 的详细信息
5
Get-GPO -Name "Default Domain Policy"
6

7
# 查 GPO 链接关系
8
Get-GPInheritance -Target "OU=User,OU=Admin,OU=Organization,DC=qy,DC=net"
9

10
# 导出 GPO 报告
11
Get-GPOReport -Name "Default Domain Policy" -ReportType Html -Path C:\gpo.html
12

13
# 备份所有 GPO
14
Backup-GPO -All -Path C:\GPOBackup

⚠️ 改 GPO 前先备份：Backup-GPO -All -Path C:\GPOBackup 只要几秒， 但改错了回滚可能就是几小时。

💡 查”某台机器为什么没生效”：

1
gpresult /h C:\gpresult.html     # 在目标机器上跑，出 HTML 报告

报告里有 “应用的 GPO”和”被拒绝的 GPO” 两块，能直接看出是没链接、被 WMI 筛选挡住、还是被安全筛选挡住。

附：数字口诀（排障顺序）#

AD 出问题时按这个顺序查，能覆盖大部分场景：

记忆点：时间 → DNS → 连通 → 复制 → 服务 → 票据。 前两步能解决一半以上的”玄学故障”。