Windows Server 2008 可重新啟動 Active Directory 服務 (Restartable AD) 功能詳解

功能簡介

Windows Server 2008 引入「可重新啟動 Active Directory 域服務」(Restartable AD)，允許在不重新啟動伺服器的情況下停止/啟動 AD DS 服務。此功能透過 MMC「服務」嵌入式管理單元 (services.msc) 或命令列 net stop ntds / net start ntds 操作。

獨特優勢

• 離線資料庫維護： AD 停止期間可執行 ntdsutil 離線碎片整理 (files → compact to)、語意資料庫分析、授權還原，大幅縮短維護窗口。
• 其他服務不中斷： DHCP、DNS、檔案列印等非 AD 相依服務持續運作。
• 搭配 Server Core： 減少完整 GUI 攻擊面，降低修補重開機頻率。

網域控制站三種狀態

狀態轉換流程

正常 ↔ AD 停止：透過 services.msc 或 net stop/start ntds 即時切換，無需重開機。
AD 停止 → DSRM：需重新啟動並進入安全模式 (F8)。
DSRM → 正常：重新啟動正常模式。

操作建議

• 維護前確認至少另一台 DC 正常複寫，確保用戶端登入不中斷。
• 離線碎片整理前執行 ntdsutil "activate instance ntds" files "integrity" quit 檢查資料庫一致性。
• 維護完成後 net start ntds 並監控事件記錄 1004/1006/1394 確認複寫收斂。
• 長期維持「AD 停止」狀態非最佳實務，應盡快恢復正常運作。

結語

Restartable AD 是 Windows Server 2008 為企業級目錄服務帶來的關鍵可用性增強，將原本需排程停機、進入 DSRM 的離線維護操作轉化為線上服務級別的暫停/繼續，配合 Server Core 部署可進一步降低作業系統攻擊面與修補重開機頻率。