Что такое пароль DSRM и когда он нужен?

DSRM (Directory Services Restore Mode — Режим восстановления служб каталогов) — это специальный режим загрузки контроллера домена Active Directory, при котором база данных ntds.dit не монтируется в память. Он используется для аварийного восстановления Active Directory из резервных копий при системных сбоях или повреждении базы данных.

Зачем сбрасывать пароль DSRM:

• Пароль DSRM задается один раз при первоначальном повышении сервера до контроллера домена (dcpromo), и со временем его часто забывают.
• Регламенты безопасности требуют регулярной ротации административных паролей на серверах.
• Требуется выполнить восстановление базы Active Directory, но обычный доменный пароль не подходит для входа в безопасном режиме.

Способ 1. Сброс через утилиту ntdsutil (Классический способ)

1. На контроллере домена откройте Командную строку от имени администратора.
2. По очереди вводите следующие команды (каждая строка подтверждается нажатием Enter):

# 1. Запуск утилиты работы с базой данных NTDS:
ntdsutil

# 2. Переход в режим управления паролями DSRM:
set dsrm password

# 3. Указание целевого сервера (null означает текущий локальный сервер):
reset password on server null

# 4. Система дважды запросит ввод нового пароля (символы при вводе не отображаются)

# 5. Выход из утилиты:
q
q

Способ 2. Синхронизация пароля DSRM с паролем учетной записи администратора домена

Чтобы не запоминать отдельный пароль DSRM, в Windows Server можно включить автоматическую синхронизацию пароля DSRM с обычной учетной записью администратора домена:

# В консоли ntdsutil:
ntdsutil
set dsrm password
sync from domain account Administrator
q
q

Способ 3. Смена пароля через PowerShell

# Установка нового пароля DSRM одной командой PowerShell:
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa" -Name "DsrmAdminLogonBehavior" -Value 2 -Force
$Password = Read-Host -AsSecureString "Введите новый пароль DSRM"
Set-ADDomainControllerPassword -Identity "DC01" -LocalAdministratorPassword $Password