Windows 2000 秘密武器：Dcdiag.exe 網域控制站診斷工具深度解析

Active Directory (AD) 是 Windows 2000 網域環境的核心，「網域控制站 (DC)」健康狀態直接決定整個目錄服務的可用性。Dcdiag.exe 為 Support Tools 內建的 DC 綜合健康檢查工具，能針對單一 DC、站台、或整個樹系執行結構化測試，生成詳細報告供管理員分析與排錯。本文完整整理其概念架構、語法參數、22 項測試項目、實測差異與最佳實踐。

核心概念速覽

• 網域：AD 的安全邊界與複寫單位，擁有唯一 DNS 名稱。
• 樹系：多個網域組成的邏輯容器，共享結構描述、設定、全域類別目錄。
• DC 診斷框架：Dcdiag 將測試封裝為有序管線，支援「指定測試」、「跳過測試」、「完整掃描」三種模式，並內建問題識別知識庫，可直接輸出人類可讀的錯誤描述與修復建議。

完整語法與參數詳解

dcdiag /s:DomainController [/n:NamingContext] [/u:Domain\User /p:{*|Password|""}] 
       [{/a | /e}] [{/q | /v}] [/i] [/f:LogFile] [/ferr:ErrLog] 
       [/c [/skip:Test]] [/test:Test] [{/h | /?}]

22 項標準測試項目完整對照表

實測發現：線上說明與文件差異

執行 dcdiag /? 顯示的線上說明與安裝文件 (HTML/CHM) 存在差異：

• 線上說明 額外包含：/fix (安全修復)、frssysvol、kccevent、systemlog。
• 文件 缺失 上述項目；文件 獨有：部署舊版測試名稱 (如 CheckSDRefDom 等)。
• 建議：以 dcdiag /? > dcdiag_help.txt 匯出線上說明為準，文件僅供參考。

最佳實踐與自動化部署

1. 每日健康檢查：排程 dcdiag /e /v /f:dcdiag_%date%.log /ferr:dcdiag_err_%date%.log，配合腳本分析錯誤關鍵字發送告警。
2. 變更前基線：重大變更 (升級、遷移、FSMO 轉移) 前後各執行一次完整掃描，比對差異。
3. 針對性排錯：dcdiag /s:DC01 /test:Replications /v 深入分析複寫積壓；/test:RolesHeld 確認 FSMO 歸屬。
4. 修復模式：dcdiag /fix 嘗試自動修正 DNS 記錄遺失、SPN 重複等常見問題 (需謹慎測試後再用於生產)。

Dcdiag 是 AD 管理員的「聽診器」與「核磁共振」，熟練掌握其測試矩陣、輸出解讀與自動化整合，是確保目錄服務長期穩定運作的關鍵技能。