向域添加第三台DC但ADDS密码未知，求非破坏性测试方案

一、非破坏性验证密码有效性的方法 #

无需反复添加/降级DC，用以下安全方法测试：

• runas命令测试域权限：在已加入域的成员服务器（或临时加入域的普通机器）执行：

  runas /user:DOMAIN\AdminAccount cmd
  

  输入待测试密码后，若能成功打开新CMD窗口，说明密码有效且账号具备域内操作权限；若提示“登录失败: 未知的用户名或错误密码”，直接排除该密码。
• ADUC工具验证：若能通过待测试密码远程/本地登录现有DC，打开「Active Directory用户和计算机」尝试创建临时用户或修改域对象，可正常操作则密码有效且权限足够；若无DC登录权限，可在成员服务器安装RSAT工具，用待测试账号启动ADUC，能连接并浏览域结构即说明密码有效。
• net user命令验证：在域成员机器执行：

  net user AdminAccount /domain
  

  输入密码后，若能返回账号详细信息（用户ID、组归属等），则密码正确；若提示“系统错误 1326 发生。登录失败: 未知的用户名或错误密码”，则密码无效。

二、DCPROMO完成但未成为有效DC的原因 #

DCPROMO流程分为两个独立阶段：

1. 第一阶段是将服务器加入域（作为普通计算机账户），这一步仅需基础的域加入权限，部分环境甚至允许普通用户完成此操作，不需要域管理员密码。
2. 第二阶段才是提升为域控制器，这一步需要域管理员权限来操作AD架构、同步数据等。若你使用的密码权限不足，此阶段会隐性失败，导致服务器仅为域成员而非DC，后续DCDIAG检测自然会出现访问错误。

三、后续操作建议 #

1. 先用上述方法验证所有待测试密码，确定有效的域管理员密码。
2. 确认有效密码后，重新部署第三台DC：
   • 确保服务器与现有DC时间同步（时间差超过5分钟会导致AD复制失败）；
   • 使用有效域管理员账号重新运行DCPROMO，全程关注无报错提示；
   • 完成后执行dcdiag /c /v确认所有测试通过，再进行后续配置。
3. 之前的降级移出操作不会破坏AD环境，但建议检查现有DC的「目录服务」事件日志，确认无残留复制错误或无效计算机账户。

内容的提问来源于stack exchange，提问作者sdh221