Windows Server 2008 可重新啟動的 AD DS (Restartable AD DS) 架構解析

核心變革

Server 2008 將 Active Directory Domain Services (AD DS) 封裝為可獨立啟動/停止的 **Windows 服務**，不再綁定於作業系統核心。管理員可透過「服務」主控台 (`services.msc`) 或「電腦管理」像管理一般服務一樣 **停止、啟動、重新啟動 AD DS**，無需重開機進入目錄服務還原模式 (DSRM)。

網域控制站三種新狀態

狀態轉換流程

圖 1：三種狀態轉換關係 (來源：原文流程圖)

• 已啟動 → 已停止：服務主控台停止「Active Directory Domain Services」服務 (或 `net stop ntds`)。
• 已停止 → 已啟動：服務主控台啟動「Active Directory Domain Services」服務 (或 `net start ntds`)。
• 已啟動/已停止 → DSRM：重開機進入 DSRM (F8 選單或 `bcdedit /set safeboot dsrepair`)。
• DSRM → 已啟動：正常重開機 (或 `bcdedit /deletevalue safeboot`)。

實務效益

1. 離線資料庫維護零重開機：`ntdsutil` 壓縮、完整性檢查、語意清理、移動資料庫/日誌檔，皆可在「AD DS 已停止」狀態完成，節省停機時間。
2. 快速故障隔離：AD DS 服務異常時，重啟服務即可嘗試恢復，避免整台伺服器重開機影響其他角色 (DNS、DHCP、檔案伺服器等)。
3. 自動化腳本友善：PowerShell `Restart-Service ntds` 可納入維護窗口自動化流程。
4. 降低 DSRM 使用頻率：僅需真正離線還原/修復資料庫時進入 DSRM，日常維護在「已停止」狀態即可。

操作示範

# PowerShell 停止 AD DS (需管理員權限)
Stop-Service ntds -Force

# 執行 ntdsutil 壓縮資料庫
ntdsutil
activate instance ntds
files
compact to C:\Temp\ADCompact
quit
quit

# PowerShell 啟動 AD DS
Start-Service ntds

注意事項

• 停止 AD DS 會中斷所有 Kerberos/LDAP 驗證、複寫、GPO 更新，請在維護窗口執行並確保有其他 DC 可負載分擔。
• 單一 DC 環境 (測試/小型部署) 停止 AD DS 後將無法用網域帳號登入，需準備本地管理員或 DSRM 密碼。
• 「AD DS 已停止」非正式生產狀態，務必在完成維護後立即啟動服務。

結語

可重新啟動的 AD DS 將目錄服務服務化，帶來「零重開機離線維護」、「故障快速隔離」、「自動化友善」三大現代化運維能力，是 Server 2008 AD 架構最具影響力的創新之一。