域是什么？Windows 活动目录 AD 域入门指南

域（Domain）是 Windows 网络里最常见的集中管理方式：一台或多台域控制器统一保管账号、验证身份、下发策略，员工用一个域账号就能登录域内被授权的计算机。这篇文章把域、活动目录、域控制器、DNS、功能级别这几个容易混淆的词一次理清，同时覆盖从零搭建域控制器、创建用户与OU、组策略基础配置、客户端加域、工作组/跨域迁移全流程实操，附可直接复用的命令与踩坑提示。文中涉及的版本号、发布日期与功能名称均来自微软官方文档，链接附在对应句子后面。

信息核验时点：2026-11-06（Windows Server 2025，OS 内部版本 26100，2024-11-01 正式发布）

域是什么？

域（Domain）是 Windows 网络中的一种集中式管理单元，指一组共享同一份目录数据库的计算机、用户和组，由域控制器统一完成身份验证与授权。微软官方把它描述为“用于管理用户、计算机、组和其他对象的逻辑容器”，域内所有对象都存在活动目录数据库中，每台域控制器都保存一份数据库副本。定义 AD DS 林和域

支撑这套机制的目录服务叫活动目录（Active Directory，AD），它的具体实现是活动目录域服务（Active Directory Domain Services，AD DS）。

官方对 AD DS 的说明是：它提供用来存储目录数据、并让这些数据可供网络用户和管理员使用的方法，例如保存用户账户的名称、密码、电话号码等信息。Active Directory 域服务概述

不架域时，Windows 用工作组（Workgroup）模式组织网络：每台电脑各自保存本地账号，你在 A 电脑建的账户，B 电脑并不认识。架域之后，账号统一放进域控制器的数据库，一个域账号可以登录域内任意一台被授权的计算机。这就是域被大量企业采用的根本原因。

域和工作组到底差在哪？

先说明一点：工作组不是域的低配版，而是另一种设计思路，把管理权下放到每台机器。下表对比两者在几个关键维度上的差别。

域的直观收益是单一登录（Single Sign-On）。官方说明，在域或林环境中使用 Kerberos 身份验证，用户或服务访问管理员授权的资源时，无需反复请求凭据。Kerberos 身份验证概述

代价也随之而来：域无法脱离域控制器独立运行，一旦域控制器的名称解析或时间同步出问题，登录和资源访问就会受影响。

一个域里都有哪些核心角色？

理解域，关键是记住下面几样东西。

域控制器（Domain Controller，DC）：运行活动目录域服务的服务器，负责身份验证与策略下发。Kerberos 的密钥发行中心（KDC）就运行在每个域控制器上，并以该域的 AD DS 数据库作为账户数据库。Kerberos 身份验证概述

活动目录域服务（AD DS）：存储目录数据并让用户与管理员使用这些数据的目录服务。官方把它归纳为一套机制的组合：定义对象类型的架构、包含目录中每个对象信息的全局编录、查询与索引机制，以及在各域控制器之间分发数据的复制服务。Active Directory 域服务概述

域名系统（DNS）：活动目录用 DNS 风格的名称标识域，域控制器的定位也依赖 DNS 记录；在微软的 AD DS 概述中，DNS 与信任、复制并列，同属活动目录的核心概念。Active Directory 域服务概述

组织单位（Organizational Unit，OU）：域里的容器，用来把用户、计算机、组按部门或职能分组。组策略对象（Group Policy Object，GPO）可以链接到站点、域或组织单位，从而对相应范围内的用户和计算机统一下发配置。GPO 无法直接链接到用户对象。组策略的范围

全局编录：包含目录中每个对象的信息，让用户和管理员无论数据实际属于哪个域，都能查到目录信息。Active Directory 域服务概述

域树、域林和信任关系是怎么搭起来的？

当组织规模扩大、单个域不够用时，活动目录用树和林的层级来扩展。

域树是共享连续命名空间的一组域；域林则是一个或多个域树的集合，林中所有域共享公共根、公共架构和全局编录。定义 AD DS 林和域

林在官方定义里身兼两职：它既是安全边界，也是复制边界。默认情况下，林以外的用户无法访问林内资源；林同时是配置与架构分区的复制边界。定义 AD DS 林和域

多域之间靠信任关系打通。官方说明，在多域 AD DS 林中，域之间会自动生成双向可传递的信任关系，从而在所有域之间存在一条信任路径。定义 AD DS 林和域

功能级别是什么，2025 版本改了什么？

功能级别用于决定某个域或林里可以使用哪些活动目录功能，同时决定域控制器上能运行哪些 Windows Server 版本；它不影响工作站和成员服务器。AD DS 功能级别

功能级别分域功能级别和林功能级别两级。可以设置域功能级别高于林功能级别，但不能低于它。AD DS 功能级别

自 Windows Server 2016 之后，功能级别长时间没有变化：Windows Server 2019 和 Windows Server 2022 都沿用 Windows Server 2016 作为最新的功能级别。到 Windows Server 2025，官方在功能级别列表里新增了一个 Windows Server 2025 域功能级别。AD DS 功能级别

Windows Server 2025 功能级别包含早期级别的全部功能，并新增“数据库 32k 页面”可选功能。AD DS 功能级别

32k 页面这个功能值得单独说。活动目录长期使用 8k 页面大小的可扩展存储引擎（ESE）数据库。改用 32k 页面格式后，多值属性可以容纳大约 3,200 个值；迁移到 32k 页面是林范围操作，要求林中所有域控制器都具备支持 32k 页面的数据库。Active Directory 的数据库 32k 页

下表列出各版本域控制器与功能级别的兼容关系，“支持”表示该版本可以作为此功能级别的域控制器。AD DS 功能级别

提升功能级别有硬性前提：要把域功能级别提到 Windows Server 2025，域中所有域控制器都必须运行 Windows Server 2025；此外，把 Windows Server 2025 机器提升为域控制器之前，该域至少要达到 Windows Server 2016 功能级别。提升域和林功能级别

操作上，可以打开“Active Directory 域和信任关系”控制台，右键域节点选择“提高域功能级别”；也可以用 PowerShell 的 Set-ADDomainMode 与 Set-ADForestMode 完成。提升域和林功能级别

从零搭建第一个域：手把手建域步骤

搭建域的核心是完成“角色安装+域控制器提升”两个阶段，先准备基础环境，再安装AD DS角色，最后将服务器提升为域控制器。整个过程在Windows Server 2025上操作，官方文档和最新实战教程均支持该流程。在 Windows Server 上安装 Active Directory 域服务

第一步：建域前的基础准备

建域前必须完成以下配置，否则后续会出现域名解析失败、认证报错等问题：

1. 设置静态IP和主机名：给服务器分配固定的内网IP，修改计算机名为纯字母数字的名称（如DC01、AD-S1），不要包含下划线、空格或特殊字符，修改后重启生效。可以用PowerShell一键完成：

   # 修改计算机名并重启
   Rename-Computer -NewName "DC01" -Force -Restart

2. 配置DNS：林里的第一台域控制器如果使用 AD 集成 DNS，它的 preferred DNS 会被自动设置为回环地址 127.0.0.1，官方说明这样即使 IP 地址变化，域名也能解析到这台域控制器。Install-ADDSForest
3. 确认时间同步：官方排障文档写得很明确——“域控制器与客户端计算机或目标服务器之间的时间差异必须小于5 分钟”，超出这个范围认证就会出问题。域里的计算机通常把时钟同步到域控制器，域控制器再对齐可靠时间源。Kerberos 身份验证故障排除指南
4. 系统版本与硬件要求：官方安装文档适用于 Windows Server 2025、2022、2019、2016。Windows Server 自身的最低硬件要求是 1.4-GHz 64 位处理器、带桌面体验的服务器推荐 2 GB 内存并建议 4 GB、系统分区至少 32 GB 空间；官方同时提醒，实际容量要看你准备部署哪个服务器角色，域控还得为 AD 数据库、日志和 SYSVOL 单独留空间。Windows Server 硬件要求 安装 AD DS

第二步：安装AD DS和DNS角色

DNS是AD正常运作的前提，域控制器必须能解析自身域名，因此推荐一并安装DNS服务器角色。可以用PowerShell命令快速安装：

# 安装AD DS域服务和管理工具
Install-WindowsFeature -Name AD-Domain-Services -IncludeManagementTools

官方特别提醒：用 PowerShell 添加角色时默认不会装管理工具，必须写上 -IncludeManagementTools，否则“Active Directory 用户和计算机”这类图形工具和配套的命令行工具都不会被装上。安装 AD DS

图形界面的路径官方也逐步写了：在服务器管理器中选择“管理”→“添加角色和功能”启动“添加角色向导”，在“选择服务器角色”页勾选“Active Directory 域服务”，在弹出的对话框里选“添加功能”，再一路下一步；“结果”页确认安装成功后，直接点“将此服务器提升到域控制器”就能接着进入配置向导。这里有个容易走错的地方——DNS 不在“服务器角色”页勾选，而是在后面的“域控制器选项”页里选中“域名系统（DNS）服务器”复选框；另外老的 AD DS 安装向导 dcpromo.exe 从 Windows Server 2012 起已经弃用。安装 AD DS

第三步：提升为域控制器，创建新林和根域

角色安装完成后，在服务器管理器中点击“将此服务器提升为域控制器”，进入部署配置向导：

1. 部署操作：选择“添加新林”，输入根域名。官方文档的示例写成 corp.contoso.com 这种形式，也就是在自己拥有的域名前加一个子域标签。
2. 域控制器选项：设置林功能级别和域功能级别。按官方说明，Windows Server 2025 功能级别要求域中所有域控制器都运行 Windows Server 2025，域里还混着旧版本时先选低级别，全部升完再提升。同一步还要设置 DSRM 密码（目录服务还原模式密码，用于域数据库故障恢复，不是日常登录用的域管理员密码）。AD DS 功能级别
3. 其他选项：确认数据库、日志和 SYSVOL 的存放路径。官方参考页给出的默认位置是数据库与日志在 %SYSTEMROOT%\NTDS、SYSVOL 在 %SYSTEMROOT%\SYSVOL，生产环境常改到非系统盘。点击“安装”后服务器会自动重启。Install-ADDSForest

也可以直接用PowerShell一条命令完成提升，适合自动化部署：

Install-ADDSForest -DomainName "corp.yourcompany.com" `
-DomainNetbiosName CORP `
-SafeModeAdministratorPassword (Read-Host "DSRM 密码" -AsSecureString) `
-InstallDNS

参数含义按官方参考页：-DomainName 是根域的完整域名（FQDN）；-DomainNetbiosName 是根域的 NetBIOS 名，必须是 15 个字符以内的单标签名称，给了 16 个字符及以上林安装会失败；-InstallDNS 表示安装并配置 DNS 服务，但官方同时说明创建新林时默认就会装 DNS，不写这个开关也一样。-SafeModeAdministratorPassword 提供的是安全模式（含目录服务还原模式）下的管理员密码，官方明确提醒：把明文密码写在命令行里（例如内联 ConvertTo-SecureString）不是生产环境推荐的做法，交互式运行让它提示输入更安全。Install-ADDSForest

功能级别这两个参数，官方两处文档的口径不一致，要提前说清楚：部署文档里 Install-ADDSForest 的示例命令直接写了 -ForestMode Win2025，Install-ADDSDomain 的示例也写了 -DomainMode Win2025；但 Install-ADDSForest 参考页的参数说明中，这两个参数列出的可接受值只到 WinThreshold（对应 Windows Server 2016）。遇到这种不一致，最稳的办法是先在本机执行 Get-Help Install-ADDSForest -Parameter ForestMode，看这台机器上的模块实际接受哪些值；或者直接不写这两个参数，装完再用 Set-ADDomainMode、Set-ADForestMode 提升。安装 AD DS 提升域和林功能级别

第四步：验证建域是否成功

服务器重启后，用域管理员账户（格式为域名\administrator，如CORP\administrator）登录，执行以下检查确认建域成功：

1. 打开“服务器管理器”→“工具”，能看到“Active Directory 用户和计算机”、“DNS管理器”等工具。官方说明，Windows Server 设备必须先安装 AD DS 角色，才能使用 ADUC 工具管理域。将计算机加入到域
2. 执行dcdiag /q。官方命令页对/q的说明是 Quiet（安静模式），只显示错误信息，因此这条命令没有输出，恰恰代表没有报错；要看详细结果就改用/v。dcdiag
3. 检查 SRV 记录。官方排障文档指出，Active Directory 在 正向查找区域/域名/_msdcs/dc/_sites/Default-First-Site-Name/_tcp 和 正向查找区域/域名/_msdcs/dc/_tcp 这两个位置创建 SRV 记录，其中应能看到 _kerberos 和 _ldap。也可以用命令行验证：先运行 nslookup，再输入 set type=all，然后查询 _ldap._tcp.dc._msdcs.你的域名。验证是否已创建 SRV 域名系统（DNS）记录
4. 尝试右键域名→“新建”→“用户”，能成功创建用户即说明AD数据库写入正常。

域基础管理：新建OU、添加用户和组

建完域之后，第一件事是规划组织单位（OU）结构，再按部门创建用户和组，不要把所有用户都放在默认的Users容器里。官方建议OU结构首先满足管理委派需求，再用于组策略下发。Creating an Organizational Unit Design

第一步：规划并创建组织单位（OU）

OU是域里的逻辑容器，相当于公司的部门文件夹，可以按部门、职能或地理位置划分，比如创建“总部”、“研发部”、“市场部”、“财务部”、“服务器”、“客户端”等OU，方便后续分组管理和下发策略。

图形界面创建方式：在域控制器上打开“服务器管理器”→右上角“工具”→“Active Directory 用户和计算机”，在域节点上选择“新建”→“组织单位”，输入 OU 名称即可。也可以用 PowerShell 一条命令创建：

New-ADOrganizationalUnit -Name "研发部" -Path "DC=corp,DC=yourcompany,DC=com"

官方对这个命令的说明是：这样建出来的 OU 默认就带着“防止意外删除”的保护，这个保护是隐式加上的；确实不想要，就加 -ProtectedFromAccidentalDeletion $False。New-ADOrganizationalUnit
这层保护在界面上位于对象属性页的“对象”选项卡，官方说明该选项卡可以查看安全主体对象的信息并配置“保护对象免受意外删除”设置；而“对象”属于只有启用“高级功能”才可见的那类选项卡，开关在 ADUC 控制台的“视图”菜单里。在 Windows Server 中使用 Active Directory 用户和计算机管理用户帐户

它的原理官方也写清楚了：为了防止对象（特别是组织单位）被意外删除或移动，系统会在每个对象的安全描述符里添加两条拒绝访问控制项——DENY DELETE 和 DELETE TREE。如何在 Active Directory 中还原已删除用户帐户及其组成员身份

第二步：新建域用户

创建完OU后，就可以在对应OU里创建域用户。官方步骤是：在 ADUC 控制台展开域树，选中要托管这个帐户的容器或组织单位，在“作”（Actions）菜单上选“新建”→“用户”。第一页要填名字、缩写、姓氏、全名、用户登录名，其中全名和用户登录名是必填项。

第二页设置密码，四个复选框的官方名称依次是：“用户必须在下次登录时更改密码”“用户无法更改密码”“密码永不过期”“帐户已禁用”。离职员工的账号建议先勾“帐户已禁用”而不是立刻删除，官方也把这一点写成最佳实践——删除帐户之前先禁用，以防该帐户还持有无法通过其它方法收回的资源访问权限。最后查看摘要页，选择“完成”即创建成功。在 Windows Server 中使用 Active Directory 用户和计算机管理用户帐户

谁有权建账号，官方分了两层：默认情况下域管理员和企业管理员组的成员可以管理用户、组和计算机帐户；帐户操作员组的成员可以创建、修改和删除用户帐户，但无法管理组或权限。

批量创建用户可以用PowerShell的New-ADUser命令，适合一次性导入大量员工账号。

第三步：创建安全组并分配权限

为了方便权限管理，不要直接给单个用户授权，而是创建安全组，把用户加入组后给组分配权限：

1. 同样在目标OU里右键→“新建”→“组”，输入组名（如“研发部全体”、“财务系统访问组”），组作用域选择“全局”，组类型选择“安全组”。
2. 双击创建好的组，切换到“成员”选项卡，点击“添加”，把需要加入该组的用户或其他组加进来。
3. 后续给文件共享、应用系统授权时，直接给对应安全组授权即可，人员变动时只需要调整组成员，不需要修改权限。

常用基础设置：组策略入门

组策略（Group Policy，GPO）是域管理员最常用的工具，可以批量给域内的计算机和用户统一下发配置，不需要逐台电脑手动设置。官方文档给出的处理顺序是：先应用本地 GPO，再应用链接到站点的 GPO，然后链接到域的 GPO，最后应用链接到组织单位（OU）的 GPO；官方说明每个 Windows 计算机都有一个首先应用的本地 GPO。适用于 Windows 的组策略处理 Windows 中的组策略范围

组策略基本操作流程

1. 打开组策略管理控制台：官方给的方式是在安装了组策略管理控制台的计算机上，点“开始”，键入“组策略管理”，从最佳匹配列表里打开它。使用组策略进行文件夹重定向
2. 新建GPO：右键要应用策略的OU→“在这个域中创建GPO并链接到此处”，给GPO起个清晰的名字（比如“研发部-桌面重定向”、“全客户端-开启远程桌面”）。
3. 编辑策略：右键新建的GPO→“编辑”，打开组策略管理编辑器，里面分为“计算机配置”（对计算机生效，开机时应用）和“用户配置”（对用户生效，用户登录时应用）两部分。
4. 强制生效：配置完成后，在域控和客户端上打开命令提示符执行gpupdate /force。官方命令页对 /force 的说明是“重新应用所有策略设置”，而默认情况下只应用已更改的设置；不加 /force 的话，客户端按组策略自身的刷新周期生效。gpupdate

两个最常用的组策略示例

示例1：批量开启客户端远程桌面

企业运维经常需要远程连接员工电脑排查问题，通过组策略可以一次性给所有客户端开启RDP服务，不需要逐台设置：

1. 编辑GPO，依次展开：计算机配置→策略→管理模板→Windows组件→远程桌面服务→远程桌面会话主机→连接，启用“允许用户使用远程桌面服务进行远程连接”。官方对这条策略的说明是：启用后，目标计算机上属于“远程桌面用户”组成员的用户即可远程连接；如果保持“未配置”，系统改看这台计算机“系统属性”里“远程”选项卡的设置，而那里默认不允许远程连接。远程桌面服务策略设置
2. 光开策略还不够，被连的人得先进那个组——上面那句官方说明的前提就是“属于远程桌面用户组成员”。批量做法是在同一条GPO里展开 计算机配置→首选项→控制面板设置→本地用户和组，新建一个更新项，选择内置的 Remote Desktop Users 组，把域用户组（如 Domain Users）加进去。
3. 同一族里还有两条要顺手确认：安全性节点下的“使用网络级身份验证要求对远程连接进行用户身份验证”，官方说它用来限制哪些客户端能够连；连接节点下的“限制连接数”，官方说它用来限制可以同时连接的用户数。
4. 生效后的自查口径：官方说明启用远程桌面会在电脑上打开一个端口，让本地网络上的设备能够访问；远程桌面默认监听 3389 端口，客户端跨网段或中间有防火墙时，要单独确认这条连接是放行的。允许远程连接到你的电脑 更改远程桌面侦听端口

示例2：用户桌面/文档重定向

默认用户桌面和文档存在C盘，系统崩溃时容易丢失数据，通过组策略可以把桌面、文档这类文件夹重定向到文件服务器共享。官方部署文档给的路径是：在“组策略管理”里右键新建的 GPO 选“编辑”，进入“组策略管理编辑器”，依次转到 用户配置→策略→Windows 设置→文件夹重定向，右键要重定向的文件夹（例如“文档”）选“属性”。

1. 在“属性”对话框的“设置”框中选择“基本 - 将每个人的文件夹重定向到同一位置”。官方对这一档的解释是：每个人的文件夹都重定向到同一位置，并应用于该组策略对象包含的所有用户。
2. 在“目标文件夹位置”部分选择“在根目录路径下为每一用户创建一个文件夹”，在“根路径”框里填文件共享路径，官方示例写成 \\fs1.corp.contoso.com\users$ 这种形式；官方还提示，共享名后面加 $ 可以让普通浏览看不到这个共享。
3. 在“策略删除”部分勾选“在策略删除后将文件夹重定向回本地用户配置文件位置”，官方说明这样能让管理员和用户的重定向行为更可预测。
4. 验证方法官方也写了：用启用了重定向的账号登录，若该用户之前登录过这台电脑，先在提升的命令提示符里执行gpupdate /force，再右键重定向的文件夹→属性→“位置”选项卡，确认显示的是文件共享路径而不是本地路径。部署文件夹重定向和脱机文件

本地已有的文件会不会跟着搬走，也是常被问到的一点。官方在文件夹重定向的设置说明里列了“将内容移动到新位置”这一项，写明它的作用是把用户在本地文件夹中已有的数据搬到网络上的共享文件夹。使用组策略进行文件夹重定向

这条策略有两个坑要提前知道。第一，官方要求给 GPO 的“安全筛选”里加上“经过身份验证的用户”，并在“委派”里授予它读取权限——因为 MS16-072 这次安全更新改了组策略的读取方式，不给读取权限，GPO 要么不应用，要么被删掉并把文件夹重定向回本地电脑。第二，官方明确由 ARM 处理器提供的 PC 不支持文件夹重定向，现在不少轻薄本正是 ARM 平台，部署前先把客户端清单过一遍。部署文件夹重定向和脱机文件

这里的"文件服务器"不一定要买专用机箱。小团队用一台 NAS 承担共享目录也够用，本站 NAS 选购与办公组建完全指南 按需求讲了怎么挑、怎么配共享权限，可以和这条重定向策略配合着看。

组策略使用注意事项

• 策略不要直接修改默认的Default Domain Policy和Default Domain Controller Policy，新建独立GPO来配置自定义规则，避免出错后影响整个域。
• 组策略有继承规则，子OU默认继承父OU和域的策略，如果需要阻止继承可以右键OU勾选“阻止继承”，但谨慎使用。
• 策略不生效时，在客户端执行gpresult /r查看应用到的GPO列表，排查是否被筛选或阻止继承。

怎么把电脑和用户迁移到域？

域部署中最常见的迁移场景有两种：一是原来的工作组环境迁移到新域；二是旧域迁移到新域（如企业收购、域架构升级）。迁移的核心是保证用户能正常登录、原有文件和权限不丢失。

场景一：工作组客户端加入域，迁移本地用户配置文件

很多企业一开始用工作组，后期要加域，最麻烦的是员工原来的本地账号桌面、文档、配置要迁移到新的域账号下：

1. 先在域控创建好对应用户账号，并把客户端电脑加入域，重启后用域管理员账户登录一次，让域配置文件创建完成。
2. 迁移用户配置文件：可以使用微软官方的用户状态迁移工具（USMT），先用ScanState.exe备份本地用户的配置文件和数据，再用LoadState.exe加上/md:本地计算机名:域名参数，将本地用户配置迁移到对应域账号下，用户的桌面、文档、浏览器设置、应用配置都会保留。LoadState 语法
3. 只有几台电脑时的兜底做法：不想为两台机器搭 USMT 流程，可以直接把旧本地账号目录下 Desktop、Documents、Downloads 这些文件夹里的内容，手动拷到新域账号对应的目录里。这条路只搬数据，不搬应用配置和注册表里的个性化设置，所以适合应急，批量环境仍然应该用上面第 2 步的官方工具。

客户端加入域的完整步骤：
加域前要满足的条件分散在两份官方文档里。客户端这边：执行加域的用户帐户必须在本地计算机上有管理权限；官方列出的可加域 Windows 版本是企业版（Enterprise）、企业 N、专业版（Pro）、Pro N、专业教育版、专业教育 N、专业工作站版、适用于工作站的 Pro N 这几种，家庭版并不在这份清单里。网络这边：客户端要先靠 DNS 里的 SRV 记录定位到域控制器，所以首选 DNS 必须能解析域；微软的 AD 防火墙端口表则列出了 Kerberos 88/TCP+UDP、RPC 终结点映射程序 135/TCP、LDAP 389/TCP+UDP、SMB 445/TCP、DNS 53/TCP+UDP、W32Time 123/UDP 等服务端口，并特别说明并非所有场景都需要表中列出的全部端口。将计算机加入到域 如何为 AD 域和信任配置防火墙
操作步骤（官方的图形界面路径其实有两套）：

1. 控制面板这套：点“开始”，键入“控制面板”并打开，把右上角“视图”设为“类别”，进入“系统和安全”→“系统”，选择“域或工作组”，在“计算机名称”选项卡下点“更改”；在“成员”下选“域”，键入要加入的域名，然后按提示提供有权限的凭据。
2. 设备成功加入域后，通知会确认它的域成员身份，点“确定”就会被提示重启设备；重启后在登录界面用域账号（格式域名\用户名或用户名@域名）登录即可。

3. 官方还给了“设置”应用这条路径：开始→设置→帐户→“访问工作或学校”→“连接”→“将此设备加入本地 Active Directory 域”，输入域名和帐户凭据，重启设备。将计算机加入到域
   也可以用PowerShell一键加入域，适合批量部署。官方的写法是先加域再重启：

   Add-Computer -DomainName "YourDomainName" -Credential (Get-Credential)
   Restart-Computer

   想省掉最后一条命令，可以加 -Restart；官方参数页说明它会在联接操作完成后重新启动计算机，-Force 则用来取消用户确认提示——不加这个参数时，Add-Computer 会对每一台计算机要求确认。合起来就是：

   Add-Computer -DomainName "corp.yourcompany.com" -Credential (Get-Credential) -Restart -Force

   Add-Computer

场景二：跨域迁移（旧域到新域、企业合并）

如果需要在两个域之间批量迁移用户、组和计算机账号，微软的免费工具是 ADMT（Active Directory Migration Tool），但这款工具已经停更。官方支持说明列出的“ADMT 未更新以支持的系统”包括 Windows 11、Windows 10、Windows 8.1 和 Windows Server 2022、2019、2016、2012 R2，并写明 ADMT 3.2 代码库已被弃用、微软正式停止对 ADMT 代码库的任何开发，也不再提供安全修补、缺陷修复或设计变更；同一页还有一句直接的话——使用这款工具风险自担。已知问题里最扎眼的两条是：ADMT 无法把用户配置文件迁出或迁入晚于 Windows 7 / Windows Server 2008 R2 的系统，而且在启用了 Windows Defender 凭据防护的设备上根本跑不起来。ADMT 支持策略与已知问题

Windows Server 2025环境跨域迁移，推荐以下方案：

1. 小规模环境（用户<100）：在新域重新创建用户和组，用USMT逐台迁移用户配置文件和数据，手动重新分配权限，虽然慢但最稳定，不容易出兼容问题。
2. 中大规模环境：微软自带的 ADMT 在新系统上已经停更，所以这一步要评估明确支持当前系统的第三方迁移方案。选型时两件事必须当场问清并写进合同：厂商是否声明支持 Windows Server 2025 与 Windows 11，以及在源域和目标域不建立信任的前提下能做到哪一步。

3. 迁移前必须做的准备：

   • 完整备份旧域和新域的AD数据库、系统状态，制定回滚方案。
   • 先做试点迁移，选少量测试用户验证登录、权限、应用访问正常后再批量迁移。
   • 要不要保留 SID 历史。官方的解释是：用户对象跨域移动时会拿到新 SID，写入新值之前，旧值会被复制到该对象的 SIDHistory 属性里，这个属性可以保存多个值；用户登录时这些旧 SID 仍然进入访问令牌，因此资源的 ACL 不用改，用户的访问方式保持不变。但同一份微软文档也把 sIDHistory 数据的迁移列为 ADMT 的已知问题范围，所以这一步要么先在少量账号上验证，要么交给确认支持当前系统的方案。了解安全标识符 ADMT 支持策略与已知问题

怎么把一台电脑加入域？

把设备加入域，是接入集中管理的第一步。上文已经在迁移部分详细讲解了完整步骤和前提条件，这里再总结关键注意点：

• 版本要对得上：官方列出的可加域客户端版本是企业版（Enterprise）、企业 N、专业版（Pro）、Pro N、专业教育版、专业教育 N、专业工作站版、适用于工作站的 Pro N，家庭版并不在这份清单里。将计算机加入到域
• DNS要能解析到域：客户端是先查 DNS 里的 SRV 记录才定位到域控制器的，这些记录由 Active Directory 自己创建，解析不通时加域直接失败。验证是否已创建 SRV 域名系统（DNS）记录
• 客户端与域控制器的时间差要压在5分钟以内，官方排障文档对这条写得很直白。Kerberos 身份验证故障排除指南
• 微软通过更新 KB5020276 强化了域加入过程的安全性，官方说明它引入了增强的验证和身份验证，帮助防止未经授权的设备加入 Windows 域，确保只有受信任的设备被添加到网络。将计算机加入到域

域适合谁用，代价是什么？

域适合需要统一账号、统一安全策略、集中管理多台设备的中大型局域网。设备数量少、彼此独立的小型网络，用工作组往往更省事。

如果决定架域，至少要评估三件事：

1. 需要一台运行 Windows Server 的服务器长期承担域控制器角色。
2. 域的登录与资源访问对名称解析、时间同步等基础服务有依赖，配置失误会直接放大故障范围。
3. 功能级别的提升有版本门槛，域中所有域控制器都要先升到目标版本，提升前还需要完成备份与健康检查。提升域和林功能级别

还有一点常被忽略：域本身解决的是"局域网内一处登录"，员工回家、出差时能不能访问域内资源是另一件事，要靠 VPN 先把网络接进来再谈认证。本站 远程办公离不开的 VPN，到底是什么？ 讲了原理与选型，和域是配套的两块拼图。

常见问题

一台新装的 Windows Server 能直接当域控制器吗？

不能直接当，需要先安装活动目录域服务角色，再把它提升为域控制器。官方加入域文档也明确指出，Windows Server 设备必须安装 AD DS 角色，才能使用“Active Directory 用户和计算机”工具来管理域。将计算机加入到域

一个域至少要几台域控制器？

官方文档里有一句话写得很直接：“生产域应始终包含至少两个域控制器”。同一份文档还提醒，不要把一个域或林里的所有域控制器都放在同一台虚拟机宿主机上——那等于引入了单一故障点，宿主机一掉线，AD DS 和依赖它的业务一起停摆；分布在多个平台上的多台域控制器才能提供冗余和容错。虚拟化域控制器部署与配置

域中所有域控制器都会参与目录数据复制，并各自保存一份本域目录信息的完整副本。Active Directory 域服务概述

下一步可以做什么？

如果打算动手，一条低风险的实操路径是：

1. 先在虚拟机环境里装一台 Windows Server 2025，按照本文步骤搭建第一台域控制器，用dcdiag命令验证建域成功。
2. 创建测试OU和测试用户，配置一条简单的组策略（比如给测试机统一下发桌面壁纸），用gpupdate /force刷新后验证策略是否生效。
3. 再用一台Windows 11专业版虚拟机加入域，用新建的域账号登录，测试文件共享访问、远程桌面等功能。
4. 熟悉基础操作后，再尝试添加第二台域控制器做冗余，测试域控制器故障时服务是否正常。

生产环境部署前，一定要先做好完整备份，并且至少部署两台域控制器避免单点故障。

本文数据核验于 2026-11，以官方 Release Notes/文档为准。