今天的总体评价#

答题纸的 13 题中，6 题答得完整，7 题方向正确但需补关键细节。后续闭卷追练里，多数常用命令已经能独立写出；实机排障也能先分层、再定位。主要弱点不是完全想不到从哪里开始，而是偶尔把相近的属性、命令或认证阶段混在一起。

本日重点复习：Q3、Q5、Q10、Q12、Q13，以及后文的 lastLogon、DNS 服务器配置、Remove-Computer。 Q6、Q8 属于“命令会写，但解释还差半步”。

Q1：已禁用的用户#

**题目：**写一条命令，找出域中已禁用的用户，只显示 Name、SamAccountName、DistinguishedName。

我的回答：

1
Get-ADUser -Filter 'Enabled -eq $false' |
2
    Select-Object Name, SamAccountName, DistinguishedName

批改：正确。 Enabled 拼写、筛选条件与输出字段都准确。这里用 -Filter 找对象，用 Select-Object 限制显示列。

Q2：已启用的 IT 用户#

**题目：**找出 Department 为 IT 且已启用的用户，只显示 Name、SamAccountName、Department。注意：既要筛选，也要让部门字段出现在输出中。

我的回答：

1
Get-ADUser -Filter 'Enabled -eq $true -and Department -eq "it"' `
2
    -Properties Department |
3
    Select-Object Name, SamAccountName, Department

批改：正确。 这次没有忘记 -Properties Department。Department 用于服务器端筛选，不代表 AD 模块就会自动把它作为默认输出属性返回；筛选和取值是两步。此处 it 与 IT 的大小写通常不影响 AD 筛选结果。

Q3：组对象、组成员和用户所属组#

**题目：**分别写出命令：

1. 查询 QYNET-Admin 组对象的类型和作用域。
2. 递归查询 QYNET-Admin 的成员。
3. 查询 qianyue 属于哪些组。

我的回答：

1
Get-ADGroup QYNET-Admin | Select-Object ObjectClass, GroupScope
2
Get-ADGroupMember -Identity 'QYNET-Admin' -Recursive
3
Get-ADPrincipalGroupMembership -Identity 'qianyue'

批改：后两条正确；第一条查错了一个字段。 ObjectClass 告诉你对象类别是 group，不能判断这是安全组还是通讯组。题目要的“类型和作用域”分别是 GroupCategory 与 GroupScope：

1
Get-ADGroup -Identity 'QYNET-Admin' |
2
    Select-Object Name, GroupCategory, GroupScope

重点复习：组“类别”是 GroupCategory；组“作用域”是 GroupScope。

Q4：已禁用的计算机账户#

**题目：**找出已禁用的计算机账户，只显示 Name、DNSHostName、DistinguishedName。另外回答：计算机账户的 SamAccountName 通常以什么符号结尾？

我的回答：

1
Get-ADComputer -Filter 'Enabled -eq $false' |
2
    Select-Object Name, DNSHostName, DistinguishedName

并回答计算机账户的 SamAccountName 通常以 $ 结尾。

批改：正确。 这次 Enabled 没再误写成 Enable。

Q5：DC 与全局编录（GC）#

题目：列出所有 DC，只显示 Name、Site、IsGlobalCatalog。如果其中一台显示 IsGlobalCatalog=False，能否仅凭这一点判定它故障？

我的回答：

1
Get-ADDomainController -Filter * |
2
    Select-Object Name, Site, IsGlobalCatalog

对于 IsGlobalCatalog=False，回答“不是故障，它只是作用域仅限于本域”。

批改：命令正确，结论前半句正确，后半句不准确。 False 只表示这台 DC 没启用 GC。普通 DC 仍保存并服务其所在域的完整目录分区；GC 则还保存林中其他域的部分属性副本，支持全林搜索等用途。不能把 GC 标记直接理解成 AD 组的 GroupScope，也不能仅凭它判断故障。多域林还要考虑通用组成员关系查询与其他 GC 的可用性。

重点复习：IsGlobalCatalog 是 DC 的服务角色状态，不是“组的作用域”。

Q6：五个 FSMO 角色#

**题目：**不使用 netdom，分别用 PowerShell 查询林级两个、域级三个 FSMO 角色的持有者。写出两条命令；然后简述在线 DC 正常退役时应选择 transfer 还是 seize。

我的回答：

1
Get-ADForest | Select-Object SchemaMaster, DomainNamingMaster
2
Get-ADDomain | Select-Object PDCEmulator, RIDMaster, InfrastructureMaster

批改：两条查询命令都正确；漏答退役方式。 原持有者在线且可正常交接时，用 transfer，不是 seize。先确认目标 DC 健康与复制正常，再转移角色、核验持有者、正常降级旧 DC。seize 是原持有者确实无法恢复时的强制接管手段。

Q7：复制摘要与详情#

**题目：**分别写出命令：

1. 查看复制摘要，但只显示错误。
2. 查看 QYNET-CORE02 的复制伙伴与各分区详情。

我的回答：

1
repadmin /replsummary /errorsonly
2
repadmin /showrepl QYNET-CORE02

批改：正确。 第一条看失败摘要，第二条看指定 DC 的复制伙伴与分区详情；需要更细的信息可以加 /verbose。

Q8：DCDiag 先连通、后 DNS#

**题目：**先检查 DC 连通性，再单独检查 DNS。写出两条 dcdiag 命令，并用一句话说明为什么按这个顺序。

我的回答：

1
dcdiag /test:Connectivity
2
dcdiag /test:dns

解释为“先判断服务器挂了还是域名解析挂了”。

批改：命令和大体顺序正确，解释需要收紧。 Connectivity 本身也会涉及 DNS 中的 DC 定位，以及 LDAP/RPC 可达性；它不是纯 Ping，更不能凭单次失败断定服务器已经关机。随后用 /test:DNS 做更细的 DNS 检查，结合错误信息定位具体环节。

Q9：SPN 反查、查重与安全添加#

**题目：**针对 HTTP/testweb.qy.net，分别写出命令：

1. 反查它属于哪个账户。
2. 检查重复 SPN。
3. 确认没有重复后，安全地添加到 svc_testweb。

最后说明为什么不优先使用 setspn -A。

我的回答：

1
setspn -Q HTTP/testweb.qy.net
2
setspn -X
3
setspn -S HTTP/testweb.qy.net svc_testweb

解释 -S 会检查重复，-A 不会先查重。

批改：题目范围内正确。 如果排查对象横跨整个林，应明确查询范围，例如：

1
setspn -F -Q HTTP/testweb.qy.net
2
setspn -X -F

安全添加前还应核实 svc_testweb 确实是服务实际运行的账户。-S 的查重能力不能替代核对服务身份；SPN 绑错账户仍可能造成 Kerberos 认证异常。

Q10：刚加入组却仍无法访问共享#

题目：qianyue 刚加入一个安全组，但访问 \\QYNET-FS01\Public 仍提示“拒绝访问”。请从 AD 成员关系、当前登录会话、共享权限、NTFS ACL 四层写出检查思路。klist purge 与注销重登分别能解决什么，不能解决什么？

我的回答：

AD 成员关系：加入的组的身份是否是 Security 还是其他？

当前登录会话：用户凭据是否已经正常更新，查当前登录令牌。

共享权限：此文件夹的共享权限是否正常给这个安全组启用了。

NTFS ACL：共享权限给了，也要检查 ACL 权限有没有正常给予这个安全组。

klist purge：能解决 Kerberos 凭据的立刻更新，但是用户凭据是无法更新的，必须注销重登。

批改：四层都想到了，概念用词仍需纠正。

1. 在 AD 中确认新组成员关系，并检查组的 GroupCategory 与嵌套关系。
2. 在用户当前电脑、当前登录会话执行 whoami /groups；新组不在令牌中时，让用户注销并重新登录。
3. 在文件服务器查询 Get-SmbShareAccess，确认共享权限。
4. 再查共享对应本地目录的 Get-Acl，确认 NTFS ACL；两层权限都要核对，还要注意显式拒绝项。

1
# 在用户当前登录会话中：看访问令牌
2
whoami /groups
3

4
# 在文件服务器上：看共享权限
5
Get-SmbShareAccess -Name 'Public'
6

7
# 在文件服务器上：将路径换成共享实际对应的本地目录
8
Get-Acl 'D:\Shares\Public' | Select-Object -ExpandProperty Access

klist purge 清除当前会话缓存的 Kerberos 票据，有助于在相关配置修复后重新申请票据；它不会重建当前桌面登录会话的访问令牌，也不保证现有 SMB 连接自动更新。这里不是“用户凭据需要同步”，而是登录时生成的令牌可能仍缺少新组 SID。注销重登是更可靠的验证方式。

Q11：时间偏差与 Kerberos#

**题目：**一台成员机比 DC 快 12 分钟，域账户登录失败。请写出查看时间源与同步状态的两条命令，并解释最可能受影响的认证机制。若林根域 PDC 显示 Local CMOS Clock，正式环境通常应该如何设计它的上游时间源？

我的回答：

1
w32tm /query /source
2
w32tm /query /status

判断 Kerberos 受影响最大，林根域 PDC 在正式环境应使用权威 NTP 上游。

批改：正确。 成员机比 DC 快 12 分钟，超过常见的默认 Kerberos 允许时间偏差；这里先排查时钟，不等于密码错误。具体允许偏差仍可能被策略调整。林根域 PDC 应按组织设计对接可靠的权威时间源，其他域成员遵循域时间层次。

Q12：复制错误 1722#

题目：repadmin /showrepl QYNET-CORE02 报 1722。写出你会依次检查的三到四件事。为什么“Ping 通了”仍然不能排除 RPC 问题？

我的回答：

前两件事是检查连通性（Ping）与 DNS 解析（Resolve-DnsName）。

而后检查防火墙针对 RPC 的端口是否正常放行（Test-Connection）。

而后检查 RPC 关键服务是否启用（RPC、NetLogon、DNS、NTDS）。

Ping 通了也只是服务器连接是正常的，并不意味着 RPC 就没有问题了。还要检查相关服务是否启用。

批改：排查方向对，工具选错了。 Windows PowerShell 中 Test-Connection 是 ICMP 测试，不能用它判断 TCP 135 是否开放；应使用：

1
Resolve-DnsName QYNET-CORE02.qy.net
2
Test-Connection QYNET-CORE02 -Count 2
3
Test-NetConnection QYNET-CORE02 -Port 135
4
repadmin /showrepl QYNET-CORE02 /verbose

检查顺序可记为：DNS/网络路径 → TCP 135 Endpoint Mapper → RPC 动态端口与防火墙 → 服务与事件日志 → 修复后复测。 TCP 135 通了也不代表后续协商的动态端口畅通；Ping 通只表明 ICMP 在当时成功，不能证明 RPC 链路或 AD 复制工作正常。

重点复习：Test-Connection 测 ICMP；Test-NetConnection -Port 135 测 TCP 135。

Q13：跨站点复制不能直接全推#

**题目：**DC01 新建用户后，DC02 暂时查不到；repadmin /replsummary 没有失败。两个 DC 分属不同站点，站点间链路带宽有限。

你会立刻执行 repadmin /syncall /AdeP 吗？请说明理由、先核对哪些信息；如果业务确实急需同步，应如何尽量缩小操作范围？写不出具体命令也可以先写判断过程。

我的回答：

不会，因为如果是多链路服务器的话会使得链路流量暴增，可能会造成拥堵。

如果业务确实需要急需同步，建议在需要被同步的机器上进行手动拉取，而不是直接全局 Push 推送。

批改：核心判断正确，但还缺少定位步骤和具体范围。 repadmin /replsummary 没报错不等于刚创建的对象已经在每台 DC 上可见。先用 -Server 明确在哪台 DC 查询、确认用户在源 DC 上已存在，并核对目标 DC 的复制伙伴、站点计划与要复制的分区。业务急需时，再评估只复制所需的分区与 DC 对。

1
$newUserSam = 'newuser'  # 换成刚创建的用户登录名
2

3
Get-ADUser -Identity $newUserSam -Server DC01
4
Get-ADUser -Identity $newUserSam -Server DC02
5

6
repadmin /showrepl DC02
7

8
# 确认方向、分区和站点链路后才执行：目标在前，源在后
9
repadmin /replicate DC02 DC01 'DC=qy,DC=net'

/syncall /AdeP 涉及所有命名上下文、跨站点和推送方向，可能在短时间显著增加链路流量，但不是“必然压满”。它不是日常用来“刷新一下”的命令。急迫程度会影响变更优先级，却不会替代范围判断。

闭卷追练：重复题合并记录#

以下按知识点合并多轮重复题；“掌握度”只描述今天的表现，供后续出题参考。

1
# 查看本机配置的 DNS 服务器
2
Get-DnsClientServerAddress -AddressFamily IPv4
3

4
# 查 LDAP 服务定位记录
5
nslookup -type=SRV _ldap._tcp.qy.net
6

7
# 更明确地检查 DC Locator 记录
8
nslookup -type=SRV _ldap._tcp.dc._msdcs.qy.net

实机排障：三次真实故障#

以下是在 CORE01、CORE02、USER01 实验环境中的操作与观察，不是虚构输出。三处故障都已恢复；没有改动 DC 的 FSMO、复制或 DNS 服务。

当前掌握度与后续出题方向#

下次开场先闭卷复述的六句话#

1. 尽量准确地找最后登录时间：向每台 DC 查询不复制的 lastLogon，取最大值；LastLogonDate 只用于长期粗筛。
2. Get-DnsClientServerAddress 看本机配置了哪台 DNS；Resolve-DnsName / nslookup 看能不能解析。
3. Remove-Computer 让 Windows 设备退域；Remove-ADComputer 删除 AD 中的计算机对象。
4. 用户 → Global → DomainLocal → 资源 ACL；GroupCategory=Security 才能用于授权。
5. klist purge 清票据；新组是否进入当前会话要看 whoami /groups，必要时注销重登。
6. 1722 先查 DNS、网络及 RPC；跨站点复制先定位源、目标与分区，不直接全林推送。

上一篇：Windows AD Practice Day2

下一篇：Windows AD Practice Day4

参考资料#

• Microsoft Learn：Get-ADGroup 属性与示例
• Microsoft Learn：DCDiag 检查范围
• Microsoft Learn：Setspn 参数与查重
• Microsoft Learn：复制错误 1722 的排查
• Microsoft Learn：Repadmin /replicate 的源、目标参数
• Microsoft Learn：不复制的 lastLogon 应逐台 DC 查询
• Microsoft Learn：userWorkstations 的登录限制含义