ADWS 与 9389 端口
9389 是 Windows 域环境中 Active Directory Web Services（ADWS）的默认端口。ADWS 把目录操作封装成 Web 服务，PowerShell 的 ActiveDirectory 模块、AD 管理中心以及部分监控与自动化工具都通过它访问目录。域管排障里常见的一幕是查询命令卡住超时，这时除了检查 389 上的 LDAP，更要确认 9389 与 ADWS 服务本身是否正常。
基本信息
| 服务 | Active Directory Web Services |
|---|---|
| 端口/协议 | TCP 9389，SOAP over TCP |
| 适用平台 | Windows Server 域控制器 |
| 依赖方 | PowerShell AD 模块、ADAC 与部分第三方管理工具 |
| 配置文件 | ActiveDirectory WebServices 的 exe.config |
| 权限要求 | 域用户凭据可查询，写操作需相应委派权限 |
典型使用场景
- 用 PowerShell 管理 AD：查询用户、建组、改属性的命令都依赖 ADWS
- 图形化管理：ADAC 通过 ADWS 操作目录对象
- 自动化运维：批量建号、改属性、维护组成员关系
- 监控采集：域控健康与目录指标类采集工具
- 排障对比：在 LDAP 与 LDAPS 之外的另一条管理通道
服务与端口检查
服务与端口检查
Get-Service ADWS | Select-Object Name,Status # 确认服务状态
Test-NetConnection dc01 -Port 9389 # 端口连通性
Get-ADDomain -Server dc01 # 依赖 ADWS 的查询
Get-ADUser -Filter * -Server dc01 -ResultPageSize 1000 # 大范围查询要分页
netstat -ano | findstr :9389 # 查看监听与对应进程目录访问通道对照
| 端口 | 协议 | 用途 |
|---|---|---|
| 389 | LDAP | 传统目录查询，可协商加密 |
| 636 | LDAPS | LDAP over TLS，加密查询 |
| 3268/3269 | 全局编录 | 跨域查询，含 TLS 版本 |
| 9389 | ADWS | PowerShell 与 ADAC 的 Web 服务通道 |
运维要点
- 域控防火墙上为管理网段单独放行 9389，别和业务网段一刀切
- 排查查询超时先看 ADWS 服务状态与事件日志，再怀疑网络与凭据
- 批量脚本改用最小权限的委派账号，避免留下特权凭据
- 跨域与跨林场景注意全局编录与 ADWS 的组合依赖
- 把域控 9389 的可用性纳入监控，它比端口探测更能反映管理面健康
域控上 ADWS 与 LDAP 是两条独立通道：LDAP 正常不代表 PowerShell 管理可用，反过来也一样。查询命令失败时，先确认 ADWS 服务在运行，再看 9389 是否放行。
ADWS 使用的凭据直接决定域内权限：用域管账号跑自动化脚本时，凭据容易残留在脚本与日志里，应改用最小权限账号并控制脚本存放位置。