Короткий ответ
До окна работ снимите и сохраните: список DC и FSMO, dcdiag /e /c (читать тесты, не итог), repadmin /replsummary, DNS SRV, шары SYSVOL, свободное место, время, факт проверенного backup system state. Если репликация уже красная — патч и смена схемы подождут. Снимок гипервизора не заменяет backup контроллера домена.
Этот чеклист не «починка». Если находите сбой — уходите в тематическую статью и чините до изменения.
Что зафиксировать заранее
Запишите в заявку, не в публичный чат: имена DC, сайты, GC, IP, версии ОС, где FSMO, куда смотрит DNS на NIC, когда последний успешный restore-тест.
| Объект | Зачем |
|---|---|
| DC + GC + сайт | понять, кого можно перезагрузить первым |
| FSMO | не патчить RID/PDC первым без нужды |
| DNS NIC | не оставить домен без SRV |
| Backup | путь отката, не snapshot |
Диагностика baseline
Делайте с административной станции с правами на чтение AD. Плейсхолдеры замените.
Get-ADDomainController -Filter * | Format-Table Name, IPv4Address, Site, IsGlobalCatalog, OperatingSystem
netdom query fsmo
w32tm /monitor
Get-ADDomain | Select-Object DistinguishedName, DomainMode
Get-ADForest | Select-Object ForestMode, SchemaMasterРепликация и тесты:
New-Item -ItemType Directory -Force C:\Temp\ad-baseline | Out-Null
repadmin /replsummary > C:\Temp\ad-baseline\replsummary.txt
dcdiag /e /c /v /f:C:\Temp\ad-baseline\dcdiag.txt
repadmin /showrepl * /csv > C:\Temp\ad-baseline\showrepl.csvЧитайте Advertising, Replications, Services, SysVolCheck, DFSREvent, Advertising, MachineAccount, DNS. Предупреждение выше по файлу может объяснять «passed» внизу.
DNS:
Resolve-DnsName _ldap._tcp.dc._msdcs.contoso.example -Type SRV
dcdiag /test:DNS /e /v /f:C:\Temp\ad-baseline\dns.txtSYSVOL:
Get-SmbShare -CimSession DC01,DC02 | Where-Object Name -in 'SYSVOL','NETLOGON'Диск и службы на каждом DC:
Invoke-Command -ComputerName DC01,DC02 -ScriptBlock {
Get-Service NTDS, Netlogon, DNS, DFSR, Kdc | Format-Table Name, Status
Get-Volume | Format-Table DriveLetter, SizeRemaining
}Backup: недостаточно «задание зелёное». Нужна дата последнего restore хотя бы system state/файлов NTDS на стенде. Если restore никогда не делали — считайте, что отката нет.
Критерии «можно менять»
Идите в окно работ только если:
- Все DC, которые участвуют в изменении, отвечают LDAP.
replsummaryбез устойчивых fails (разовый WAN-лаг опишите как исключение).- SRV указывает на живые IP.
- SYSVOL есть на DC, с которых будут GPO.
- Есть место на NTDS/SYSVOL.
- Есть согласованный rollback: что именно откатываете (патч ОС ≠ rollback схемы).
Если DC недоступен — эта статья. Если fails репликации — репликация. Если шары нет — SYSVOL. Если FSMO на мёртвом узле — FSMO.
Как проводить само изменение
Порядок, который реже ломает вход:
- Сначала рядовые DC без PDC/RID, по одному.
- После каждого: LDAP,
replsummary, логон тестовым пользователем. - PDC — отдельное окно.
- Не перезагружать все DC вместе.
Для схемы/функционального уровня — отдельный план и отдельный backup. Не смешивайте «вторник патч-вторник» и Set-ADForestMode.
Проверка после работ
Повторите те же команды baseline в тот же каталог с суффиксом -after и сравните fails, SRV, FSMO. Функциональный тест: вход, gpupdate, создание тестовой учётки, если RID затрагивался.
repadmin /replsummary
nltest /dsgetdc:contoso.example /forceЕсли baseline уже красный
Не начинайте патч. Зафиксируйте, что было «и так сломано», иначе после окна все будут винить обновление. Сначала тематический ремонт.
Если нужен подрядчик на регулярное сопровождение каталога после того, как вы сами сняли baseline, это уже операционный контур — сопровождение Active Directory, не замена чеклиста выше.
Что сохранить в заявке
Каталог C:\Temp\ad-baseline (или аналог) приложите к изменению. Минимум файлов: список DC, fsmo, replsummary, куски dcdiag по failed-тестам, не обязательно 40 МБ verbose на 20 контроллеров без нужды.
Отдельными строками:
- кто первый на патч и почему это не PDC;
- как откатите KB;
- что нельзя откатить (схема);
- тестовая учётка и тестовая машина для логона;
- контакт на случай, если SYSVOL не поднимется.
Не храните в заявке дампы NTDS и полный ntdsutil. Baseline — статусы и команды, не содержимое каталога.
Если изменение — новая GPO, добавьте в baseline Get-GPO -All | Measure-Object и выгрузку целевой OU. Так вы отличите «политика не применилась» от «мы уронили SYSVOL».
Повторите короткий набор команд через час после окна, не только сразу: репликация сайта могла не успеть, а 1864 придёт с задержкой.
Не прикладывайте к заявке скриншот «у меня зелёный Sites and Services». Нужны файлы команд. GUI не показывает код 8606 и не отличает один раздел NTDS от другого.
Если в baseline уже есть fails, перенесите окно. Исключение: аварийный патч безопасности на DC, который не участвует в красной паре репликации. Это всё равно фиксируйте письменно: что было красным до KB.
Профилактика
- Храните скрипт baseline рядом с регламентом изменений.
- Мониторинг replsummary и места на DC.
- Календарь restore-теста AD, не только файловых шар.
- Запрет checkpoint DC.
FAQ
Достаточно ли «dcdiag без ошибок»?
Нет. Нужны репликация, DNS, SYSVOL, backup и функциональный логон. dcdiag может быть шумным и пропускать то, что вы не читали.
Можно ли патчить единственный DC?
Технически да, риск входа — полный. Сделайте второй DC до патча, если простой недопустим.
Нужен ли /e на dcdiag всегда?
Для леса из нескольких DC — да, чтобы не проверить только локальный. На десятках DC вывод огромный: тогда по сайту изменения плюс партнёры.
Чем system state лучше копии VHDX?
VHDX-копия работающего DC = почти snapshot. System state / поддерживаемый агент учитывает AD. Выбирайте то, что умеете восстанавливать по документации Microsoft для вашей версии.
Что писать в rollback патча DC?
Для накопительного обновления ОС — удаление KB штатным DISM/Windows Update, не rollback VM. Для схемы AD rollback часто невозможен — тогда изменение не стартуют без стенда.