網域控制站啟動錯誤 0xc00002e1「目錄服務無法啟動」：從完整性檢查到損毀修復的標準化救援流程

錯誤現象與事件 ID 對照

LSASS.EXE - 系統錯誤
安全帳戶管理器初始化失敗: 目錄服務無法啟動。錯誤狀態: 0xc00002e1

關鍵事件 ID:
700/701: NTDS 聯機碎片整理開始/完成
101: 資料庫引擎停止
1004: 目錄成功關閉
1168: 錯誤 1032 (內部 ID 4042b)
1103: AD 資料庫無法初始化，錯誤 1032，無法恢復

五大常見成因

1. NTFS 根目錄或 NTDS 資料夾權限過嚴
2. 包含 AD 資料庫磁碟機代號變更
3. NTDS 資料庫 (`ntds.dit`) 損毀
4. NTDS 資料夾被壓縮
5. 硬體故障/斷電導致交易日誌不一致

標準化救援流程 (目錄服務還原模式 - DSRM)

Phase 0：進入 DSRM

1. 重啟 DC，BIOS 階段按 `F8`
2. 選擇「目錄服務還原模式」
3. 使用 DSRM 密碼登入（若無法登入參考 KB 249321）

Phase 1：檔案存在性與路徑驗證

ntdsutil files info

輸出包含：資料庫路徑、備份目錄、工作目錄、日誌目錄、各日誌檔大小。核對註冊表 `HKLM\System\CurrentControlSet\Services\NTDS\Parameters` 同步性。

Phase 2：NTFS 權限審計

額外要求：System 必須對「磁碟根目錄」與 `%WINDIR%` 同樣擁有完全控制。

Phase 3：資料庫完整性檢查

ntdsutil files integrity

✅ 無錯誤 → 正常模式重啟驗證
❌ 發現錯誤 → 進入 Phase 4

Phase 4：語意資料庫分析與修復

# 僅分析
ntdsutil "sem d a" go

# 發現錯誤嘗試修復
ntdsutil "sem d a" "go f"

Phase 5：離線碎片整理 (KB 232122)

壓縮資料庫、修復邏輯碎片，無資料遺失風險，建議定期維護窗口執行。

Phase 6：損毀修復 (最後手段，資料遺失風險)

ntdsutil files repair

⚠️ 嚴重警告：

• 透過刪除損毀資料修復，**修復後 DC 進入不支援狀態**
• 必須盡快遷移物件至新網域/林 (ADMT / Ldifde / GPMC)
• 執行前 **必須聯繫 Microsoft PSS** 確認無其他選項

Phase 7：重建策略（有備份/有其他 DC）

• 有系統狀態備份（<60 天墳墓石壽命）→ 還原備份 (KB 240363)
• 有其他健康 DC → 強制降級重升級 (KB 332199)
• 無備份、無其他 DC、必須救回此 DC → 僅能走 Phase 6 損毀修復 + 緊急重建

事後強化：備份鐵律

• 每日系統狀態備份，重大變更後立即備份
• 備份異地離線保存（防火、盜竊、水災、勒索軟體）
• 部署多 DC 避免單點故障
• 參考官方災難恢復指南：AD Disaster Recovery

總結

0xc00002e1 救援鐵律：DSRM 進入 → 檔案/權限驗證 → 完整性檢查 → 語意分析 → 離線碎片整理 → (最後) 損毀修復 + 緊急遷移。切記：損毀修復非終點，而是「爭取遷移時間」的緊急手段；平日備份與多 DC 架構才是根本保障。