Windows Server 2025 / 如何将 Windows 客户端加入 Active Directory 域
将 CLIENT1 加入 Active Directory（AD）域，需要受支持的 Windows 版本、正常工作的内部 DNS、到域的网络连接，以及创建或重用计算机账户的权限。让 CLIENT1 使用 DC1 的 DNS，加入 ad.example.test，确认成功后再重启。计算机是否属于域与当前用户以什么身份登录，应分别检查。
准备 DNS 和域加入权限
使用支持 AD 域加入的版本，例如 Windows 11 专业版或企业版；家庭版不支持这一操作。加入或注册到 Microsoft Entra ID 是另一种操作，不能替代本实验。按照创建第一个域的实验，DC1 的 AD 和 DNS 应已在共同的隔离网络中正常运行。执行加入操作还需要 CLIENT1 的本地管理员权限，以及适当的 AD 权限，两者不是同一个要求。
- 确定最终计算机名 CLIENT1，变更成员身份前验证本地管理员登录方式，并保持虚拟机控制台可用。
- 实验网卡使用 DNS 172.24.50.10。若通过 DHCP 获取配置，核对实际收到的选项及 IP、DNS 的预定获取模式。备用公共 DNS 不能替代 AD 内部 DNS。
- 检查日期、时间、共同的虚拟网络及与 DC1 的通信。不要关闭防火墙来掩盖规则或作用范围配置问题。
- 准备有权在目标位置创建计算机对象或重用现有对象的账户。本地管理员权限与 AD 对象权限是两个要求。
Resolve-DnsName '_ldap._tcp.dc._msdcs.ad.example.test' -Type SRV -Server 172.24.50.10
nltest /dsgetdc:ad.example.test本实验的 SRV 服务记录响应应指向预期控制器，例如 dc1.ad.example.test，nltest 应能为 ad.example.test 找到域控制器。存在 SRV 记录不代表所有加入通信都已正常；第一项成功而第二项失败时，还要核对 CLIENT1 实际配置的 DNS。查找成功也不意味着已获得加入权限，或所输入的密码有效。
在 CLIENT1 上先执行这两项查询，再提供域凭据。第一项明确查询 DNS 172.24.50.10，第二项根据客户端配置查找域控制器。若查找失败，先检查网卡、DNS、网络连接和时间，不要不断重试密码。域加入权限说明区分新建计算机账户与重用现有账户。仅在目标容器或组织单位（OU）委派必要权限，不要为了方便让日常用户成为域管理员。
通过系统属性将 CLIENT1 加入域
- 在 CLIENT1 上运行 sysdm.cpl，打开“计算机名 → 更改”。确认操作对象是预期客户端，并具备本地管理员权限。
- 选择“域”，将域的 DNS 名称填写为 ad.example.test，单击“确定”。
- 出现凭据提示时使用有相应权限的域账户，例如 AD\授权账户名，并替换为真实名称。CLIENT1 的本地密码本身不能授权在 AD 中创建或重用计算机对象。
- 核对加入成功消息。若出现错误，应停止后续步骤并记录消息；成功后先保存工作，再按提示重启。
- 重启后选择“其他用户”，以 AD\用户名 或 用户名@ad.example.test 登录。用户名必须替换为真实存在的域账户，同时保留本地管理员凭据。
操作可参照官方域加入流程。如果实验用普通用户尚未创建，可先用现有授权账户验证加入和管理操作，待标准用户账户建立后再测试其登录。不要把 Domain Admins 成员账户作为日常工作身份。
本地账户 CLIENT1\用户名与域账户 AD\用户名是不同身份，即使显示名称相同也不例外。第一次使用域账户登录，不会自动继承原来的本地配置文件，因此桌面和偏好设置可能不同。应先备份数据，再规划具有适当权限的数据迁移，不要通过删除旧配置文件夹来处理这种差异。
使用 PowerShell 作为替代方法
若选择 PowerShell 替代图形界面，仅在 CLIENT1 尚未加入域时，以管理员身份打开 Windows PowerShell。逐行执行：Get-Credential 交互式请求有权限的域账户和密码，Add-Computer 执行加入，-PassThru -Verbose 用于检查结果。只有确认加入成功并保存工作后，才执行 Restart-Computer。Add-Computer 报错并不保证后面的重启行自动取消，不应不看结果就整块运行。参数可参照Add-Computer 参考文档：
$joinCredential = Get-Credential
Add-Computer -DomainName 'ad.example.test' -Credential $joinCredential -PassThru -Verbose
Restart-Computer重启不能把失败的加入操作变成成功。遇到错误时，记录具体消息并解决原因，再决定是否重试。同样的方法也可用于将 FS1 加为成员服务器，但应保留其静态 IP 172.24.50.20，并使用正常工作的域 DNS 172.24.50.10。成为域成员不会安装 AD DS，也不会将 FS1 提升为域控制器。
分别验证域成员状态与登录身份
Get-CimInstance Win32_ComputerSystem | Select-Object Name,Domain,PartOfDomain
whoami
$env:LOGONSERVER
Test-ComputerSecureChannel -Verbose重启后在 CLIENT1 上执行这些检查，诊断时以管理员身份打开 Windows PowerShell。PartOfDomain 应为 True，Domain 应为 ad.example.test，Name 应对应 CLIENT1。Whoami 则表示当前会话：AD\用户名是域身份，CLIENT1\用户名仍是本地身份，即使计算机已经加入域。LOGONSERVER 仅提供会话上下文，单靠它不能证明 DNS、身份验证和安全通道都正常。
成员计算机与域之间的安全通道正常时，Test-ComputerSecureChannel -Verbose 应返回 True。不使用 -Repair 时，这个命令只测试而不修复。若返回 False 或错误，应先检查 DNS、网络连接和计算机账户，再决定是否修复或退出域。Test-ComputerSecureChannel 参考文档明确其适用于客户端和成员服务器；在域控制器 DC1 上运行可能出现误导性错误，不能替代域控制器诊断。
在 DC1 上打开“服务器管理器 → 工具 → Active Directory 用户和计算机”，找到 CLIENT1 的计算机对象。若未预先创建或重定向位置，通常会建在默认容器 Computers 中；该容器不是 OU。如果账户预先放在其他位置，应在实际位置查找。后续组策略实验可将计算机对象移到实验用 Workstations OU。用户对象与计算机对象的位置相互独立，移动其中一个不会移动另一个。
处理账户重用限制与退出域
现有计算机账户的重用可能被域加入保护措施阻止。修改对象前，检查其所有者、委派权限、计算机名，以及原设备是否仍在使用。KB5020276 域加入安全强化说明介绍了所有权检查及受支持的处理方式。错误 0xaac 可能表示账户重用被策略阻止，并不只是密码错误。在 CLIENT1 上查看 C:\Windows\debug\NetSetup.log，定位到本次尝试的准确时间；通信问题还可结合域加入网络错误排查指南分析。不要关闭安全检查、把所有账户都加入信任范围，或删除仍在使用的计算机账户来强行通过。
为继续后续实验，应让 CLIENT1 保持域成员状态。如果需要专门练习退出域，先确认可用的本地管理员账户及其凭据。在 sysdm.cpl → 计算机名 → 更改中选择“工作组”，填写计划使用的工作组名，按提示提供授权，确认结果后再重启。随后使用真实的本地账户登录，例如 CLIENT1\本地账户名。配置文件数据与 AD 计算机对象清理需要分别决定。对加入结果、标准用户登录、DNS 和安全通道各自记录结果与时间，不要用其中一项代替全部验证。
