ADDS：检查 AD Domain 的健康和复制状态

1、使用 dcdiag 命令：

1）关于 dcdiag 参数：

   /s：指定域控制器。如果忽略，指本地域控制器，但忽略 DcPromo 和 RegisterInDNS 测试。

   /a：测试本地站点中的所有域控制器。

   /e：测试组织内的所有域控制器。

   /q：仅输出错误信息。

   /v：输出详细信息。

   /i：忽略多余的错误信息。

   /c：全面，运行所有测试，包括非默认测试，但忽略 DcPromo 和 RegisterInDNS 测试。可以和/skip一起使用。

   /fix：做安全修复。

   /f：重定向所有输出到日志文件。

   /test：<TestName>：仅进行该测试项目。

   /skip：<TestName>：跳过该测试项目。

2）测试项目：

   Advertising：

     检查每个 DSA 是否在宣传自己，以及是否宣传自己具有 DSA 的功能。

   CheckSDRefDom：

     检查所有应用程序目录分区是否具有适当的安全描述符引用域。

   CheckSecurityError：

     定位安全错误（或可能与安全相关的错误）并对问题进行初步诊断。可选参数：

     /ReplSource：<Source DC> 以特定源为目标，无论其错误状态如何。不必是当前的合作伙伴。

     * 默认情况下不运行该项目测试，必须明确指示。

   Connectivity：

     测试 DSA 是否已注册在 DNS 中、可 ping 以及是否具有 LDAP/RPC 连接。

     * 该项目不能跳过。

     * 适用于 AD/LDS 测试。

   CrossRefValidation：查找在某种程度上无效的交叉引用。

     * 适用于 AD/LDS 测试。

   CutoffServers：

     检查由于其合作伙伴已关闭而不会接收复制的服务器。

     * 默认情况下不运行该项目测试，必须明确指示。

     * 适用于 AD/LDS 测试。

   DcPromo：

     测试现有的 DNS 基础结构是否可以提升到域控制器。

     如果基础结构足够，则可以将计算机提升为 <Active_Directory_Domain_DNS_Name> 中指定的域中的域控制器。

     报告中会指出是否需要对现有 DNS 基础设施进行任何修改。

     必需参数：

     /DnsDomain:<Active_Directory_Domain_DNS_Name>

     需要以下参数之一：

     /NewForest

     /NewTree

     /ChildDomain

     /ReplicaDC

     如果指定了 NewTree，则需要 ForestRoot 参数：

     /ForestRoot:<Forest_Root_Domain_DN