域控服务器密码忘记，最快的恢复路径是依次尝试本地管理员密码、DSRM密码和安装介质重置法，其中安装介质重置法在多数情况下都能直接把密码重置掉，不需要重装系统。 某个周一早上，你照常打开域控的管理台，发现密码怎么输都不对，手头又没有交接文档，第一反应可能是重装系统，先别急，域控的数据、用户账户、组策略都还在系统里，只要硬盘没坏，就有办法绕过登录窗口。
先试本地管理员密码和DSRM，八成不用走极端
域控服务器管理员密码修改本地管理员账户能先用吗
如果这台域控之前启用过本地Administrator账户,而且没被域策略统一改过密码、没被禁用，那事情就好办多了，直接用本地管理员登录这台服务器，打开“Active Directory用户和计算机”，找到域管理员账户，右键执行重置密码，这套操作在单域控环境里足以解决问题，多域控环境稍后需要强制复制一趟。
需要注意,现在不少企业都部署了LAPS（本地管理员密码解决方案），本地管理员密码会定期自动轮换，并统一存在管理端里，这种情况下不要瞎猜，去LAPS管理页面把当前密码捞出来即可。
DSRM密码是一条备用路径
DSRM,全称目录服务还原模式，它有一套独立于AD数据库的本地管理员密码，如果你知道DSRM密码，重启域控进入目录服务还原模式，就能用ntdsutil命令把某个域用户提升为域管理员，再正常登录重置密码，这条路径的问题是DSRM密码只在恢复模式下起作用，平时登录桌面用不上，导致很多人压根不记得它，但不少企业确实会把DSRM密钥放进密码保险柜，遇到忘记密码时翻出来就能用。
用安装介质重置域控服务器密码，最省事的通用方案
域控服务器密码重置工具怎么选：安装介质法和第三方工具
提到域控服务器密码重置工具,网上能找到一大堆，但真正可靠且用得最广的是安装介质法，也就是利用Windows安装盘替换系统辅助功能文件，从登录界面调出命令提示符，完整操作分六步：
- 准备一份和当前系统版本一致的Windows Server安装镜像，版本不一致容易出现兼容性报错。
- 挂载镜像引导服务器,进入安装界面后按Shift+F10打开命令行。
- 用diskpart或notepad确认系统盘符,常见的是D盘。
- 进入系统目录,把sethc.exe备份为sethc.exe.bak，再把cmd.exe复制成sethc.exe。
- 重启进入登录界面,连续按5次Shift键，弹出命令提示符。
- 执行net user Administrator 新密码，看到“命令成功完成”后直接用新密码登录。
业内专家指出,替换系统辅助功能文件的方法虽然流传已久，但在生产环境里操作前最好先确认杀毒软件不会拦截改名动作，同时保证有物理控制台或远程管理卡权限，虚拟机场景更简单，通过浏览器控制台就能完成全部操作。
如果你不想动系统文件,还可以考虑第三方PE离线工具，这类工具能读取SAM和NTDS.dit数据库，但操作门槛较高，而且域控数据库通常有SYSKEY加密，处理不当容易把账户库搞坏，下面是几种方案的对比：
| 恢复方案 | 操作难度 | 主要风险 | 适用场景 |
|---|---|---|---|
| 安装介质替换sethc | 中等 | 杀毒软件拦截、文件权限问题 | 系统能正常启动但密码丢失，最通用 |
| 第三方PE离线工具 | 较高 | SYSKEY加密、数据库损坏风险 | 系统完全进不去，且有操作经验 |
| 从系统状态备份恢复 | 高 | 备份过期、覆盖当前数据 | 有最近备份且其他方式全部失效 |
重置域控密码后马上做三件事
密码重置成功不代表收工,下面三件事漏掉任何一件都可能引发新故障。
- 第一,强制复制，有多台域控时，执行repadmin /syncall /AdeP，确保新密码覆盖到所有域控，否则老密码会被另一台域控重新复制回来，白忙一场。
- 第二,重置krbtgt账户密码，这个账户负责签发Kerberos票据，旧密码既然已经泄露，就需要连续重置两次，让域内所有旧票据全部失效。
- 第三,检查服务账户和计划任务，凡是使用旧密码启动的服务、定时脚本，全部更新为新密码，否则业务会在某个节点悄悄中断。
域控服务器密码过期和忘记是两回事
如果你搜“域控服务器密码过期怎么办”，搜到的方案大多是在讨论组策略里的密码最长使用期限，注意分辨登录时的提示：忘记密码时，系统只会提示“用户名或密码不正确”，没有任何引导；密码过期时，登录框会明确要求你更改密码，还有一种情况是账户被锁定，提示“账户已锁定”，这跟密码无关，等锁定时间结束或用其他域管账户解锁即可。
很多人把这三类问题混在一起处理,结果走了大量弯路，密码过期最简单，按提示改一次就行；账户锁定要查来源IP和登录失败次数，重点排查是不是有暴力破解；只有真正的密码遗失才需要动用上面说的重置方案。
域控服务器管理员密码忘了，后续怎么防
建立一个应急域管账户
日常使用的域管理员账户权限太大,不适合直接拿来当应急通道，建议单独建一个应急账户，加入Domain Admins组，密码长度超过16位，只存进密码保险箱，不参与日常登录，这样即使主域管密码丢失，也能用备用账户低成本恢复，不需要折腾安装介质。
密码托管与定期演练
把DSRM密码、本地管理员密码、应急账户密码统一存到企业密码管理工具里，不能只放在某个管理员脑子里，人员离职时，只需要更新密码管理工具里的授权清单，不需要更换实际密码，每半年抽一个低峰时段，模拟一次密码丢失恢复演练，练熟安装介质重置的整套命令，行业共识认为，密码恢复演练和系统备份一样，平时花半小时，故障时能省出一整天。
带BitLocker的域控多做一件事
如果域控启用了BitLocker磁盘加密,安装介质重置法会卡在解密环节，这个情况下，必须提前把恢复密钥备份到密码管理工具或Active Directory中，否则硬盘锁死，任何密码重置工具都进不去系统，恢复密钥的备份位置和应急账户放在一起，别单独存在某台电脑的桌面上。
域控服务器密码忘记的常见问题
域控服务器密码忘记了，重装系统能解决吗
能解决,但这是最差选择，重装意味着整个AD数据库、用户、组策略全部重建，所有加入域的电脑都需要重新加域，工作量比重置密码大得多，只要硬盘没坏，安装介质重置法和第三方工具都能绕过登录窗口，带BitLocker加密的服务器需要提前准备好恢复密钥，否则连重置工具都进不了系统，除非完全无法访问硬盘，否则不推荐重装。
重置域控服务器密码会影响已经加入域的电脑吗
不会,客户端信任的是Kerberos票据和计算机账户密码，和域管密码没有直接关系，重置后，只有那些用旧密码运行的计划任务、服务账户会连接失败，把这些账户的密码同步更新即可，域内电脑基本感知不到变化。
有多台域控时密码重置要注意什么
多域控环境里,只改一台机器往往不够，旧密码会被另一台域控复制回来，重置后需要主动执行repadmin /syncall /AdeP，确保所有域控同步完成，多数情况下等待自动复制也能收敛，但主动触发更稳妥。
域控服务器密码忘记不是世界末日,处理顺序记住“本地管理员DSRM安装介质重置”这条链路，多数情况下半小时内就能把登录权限拿回来，真正怕的不是忘记密码，而是没有预案，把应急账户、密码备份和恢复演练纳入日常运维，才是彻底解决这个问题的关键。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/729661.html
