Active Directory 樹系功能等級決定了樹系中可啟用的 AD DS 功能集合，以及可作為網域控制站的最低 Windows Server 版本。功能等級僅能提升，無法降級，且具有向下相容、不向上相容特性。本文詳細對照各版本功能差異，提供升級決策參考。

樹系功能等級版本對照表

樹系功能等級	支援的 DC 作業系統最低版本	關鍵新增功能
Windows 2000	Windows 2000 Server	所有預設 AD DS 功能 (基本複寫、Kerberos、群組原則、OU、委派)
Windows Server 2003	Windows Server 2003	樹系信任 網域重命名 連結值複寫 (LVR) - 屬性層級複寫，減少頻寬 部署唯讀網域控制站 (RODC) 基礎架構 改進 KCC (知識一致性檢查器) 演算法與延展性 改進 ISTG (站台間拓撲產生器) 演算法 動態物件 (dynamicObject) 支援 inetOrgPerson ↔ User 物件轉換 新群組類型支援角色型授權 (應用程式基本群組) 結構描述屬性/類別停用與重新定義
Windows Server 2008	Windows Server 2008	繼承所有 2003 樹系功能 無額外樹系層級新功能 (新功能多在網域功能等級) 允許後續加入的網域直接在 Windows Server 2008 網域功能等級 運作
Windows Server 2008 R2	Windows Server 2008 R2	回收桶 (Active Directory Recycle Bin) - 需網域功能等級同步提升 受控服務帳戶 (MSA) - 需網域功能等級同步提升 離線網域加入 驗證機制保證
Windows Server 2012	Windows Server 2012	裝置註冊服務 (Workplace Join) 動態存取控制 (DAC) 受保護使用者群組 認證防護 (Protected Users)
Windows Server 2012 R2	Windows Server 2012 R2	DC 複寫效能改進 (壓縮、異步) 工作負載親和性
Windows Server 2016	Windows Server 2016	暫時群組成員資格 (Time-based Group Membership) 密碼原則精細化 (Fine-grained Password Policy 增強) 特權存取管理 (PAM)

網域功能等級 vs 樹系功能等級

• 樹系功能等級：跨網域功能 (樹系信任、結構描述變更、全域類別目錄、RODC 部署基礎)。
• 網域功能等級：單一網域內功能 (細密密碼原則、DAC、回收桶、MSA/gMSA、受保護使用者、SID 歷史遷移等)。
• 規則： 樹系功能等級 ≤ 所有網域功能等級。提升樹系等級前，所有網域必須已提升至同等或更高等級。

升級前檢查清單

1. 清查所有 DC 作業系統版本：dsquery server -o rdn | dsget server -dnsname -samname -desc 或 PowerShell Get-ADDomainController -Filter * | Select Name, OperatingSystem, OperatingSystemVersion。
2. 確認無舊版 DC：若有 Windows 2000/2003 DC，必須先降級退役或升級作業系統。
3. 驗證 FSMO 角色持有者：樹系結構描述主機、網域命名主機必須在目標版本 DC 上。
4. 備份系統狀態：所有 DC 執行系統狀態備份 (含 SYSVOL、註冊檔、資料庫)。
5. 檢查應用程式相容性：Exchange、SharePoint、第三方身分識別方案是否支援目標功能等級。
6. 規劃維護窗口：提升操作通常秒級完成，但建議在低峰期執行並預留回滾時間 (實際無回滾，僅能從備份還原)。

提升樹系功能等級操作

• GUI： Active Directory Domains and Trusts (domain.msc) → 右鍵樹系根節點 → 提升樹系功能等級。
• PowerShell： Set-ADForestMode -Identity "corp.contoso.com" -ForestMode "Windows2008R2Forest"
• 參數對應：Windows2000Forest, Windows2003InterimForest, Windows2003Forest, Windows2008Forest, Windows2008R2Forest, Windows2012Forest, Windows2012R2Forest, Windows2016Forest。

常見誤區與風險

誤區：提升功能等級會自動啟用新功能

事實：僅「解鎖」功能，仍需額外配置 (如啟用回收桶 Enable-ADOptionalFeature、建立 MSA New-ADServiceAccount、設定細密密碼原則)。

誤區：可以降級功能等級

事實：不可逆。若誤提升，唯一補救是從系統狀態備份還原全樹系所有 DC (極高風險、極長停機)。

風險：舊版用戶端/伺服器無法驗證

提升至 2008 R2+ 後，預設要求 Kerberos AES 加密，舊版非 Microsoft Kerberos 實作或極舊版 Windows (NT 4.0、9x) 可能無法驗證。需測試相容性或設定例外。

結語

樹系功能等級是 AD 演進的里程碑。現代部署建議直接建立於 Windows Server 2016/2019/2022 功能等級，充分利用回收桶、gMSA、DAC、PAM 等安全與管理功能。既有環境應制定逐步提升路線圖，配合硬體更換週期、應用程式相容性測試、備份驗證與變更管理流程推進。