Windows Server 加入域需满足 DNS 正确、网络可达且时间同步、具备域账户权限三前提；可通过图形界面或命令行（netdom/ Add-Computer）操作，成功后重启并用域账户登录。
确保基础条件已就绪
加入前必须确认以下几点，否则会卡在凭据验证或找不到域控制器环节：
- DNS 设置正确：服务器的首选 DNS 服务器必须指向域控制器的 IP 地址（例如 192.168.3.71）。仅靠 IP 连通不够，Kerberos 认证严重依赖 DNS 解析域控制器的 SRV 记录。
- 网络可达且时间同步：服务器能 ping 通域控制器；系统时间与域控制器偏差不超过 5 分钟（建议配置为自动从域控制器同步时间）。
- 拥有有效域账户权限：用于加入域的账户需具备“将工作站添加到域”权限（默认域管理员或 Domain Users 组成员通常具备，但企业环境中可能被显式限制）。
通过图形界面加入域（推荐初学者）
这是最直观的方式，适用于大多数本地或混合环境：
- 以本地管理员身份登录服务器，打开控制面板 → 系统和安全 → 系统，点击左侧“更改设置”。
- 在“计算机名”选项卡中点击“更改…”按钮，在弹出窗口的“成员资格”下选择“域”，输入目标域名（如 contoso.com 或 moonsec.fbi），点击“确定”。
- 系统会提示输入有权限的域账户凭据（格式为 contoso\Administrator 或 Administrator@contoso.com），输入后确认。
- 成功后提示“欢迎加入 contoso.com 域”，点击“确定”，然后重启服务器。
- 重启后，登录界面会出现域选项，可用域账户（如 contoso\user1）直接登录。
通过命令行快速加入（适合批量或脚本化）
使用 PowerShell 或 CMD 可跳过 GUI，也便于自动化部署：
- 以管理员身份打开 PowerShell，运行以下命令（替换为实际域名和凭据）：
netdom join $env:COMPUTERNAME /domain:contoso.com /userd:contoso\Administrator /passwordd:P@ssw0rd /reboot:0- 或使用更现代的 PowerShell 命令（Windows Server 2012 R2 及以上）：
-
Add-Computer -DomainName "contoso.com" -Credential (Get-Credential) -Restart，执行后会自动重启。 - 注意：
/reboot:0表示立即重启；若想手动控制重启时机，可改为/reboot:10（10秒后）或省略该参数。
常见问题与关键细节
遇到失败时，多数源于配置疏漏而非操作错误：
-
“找不到域控制器”：90% 是 DNS 指向错误。请用
nslookup contoso.com和nslookup -type=srv _ldap._tcp.contoso.com验证解析是否返回域控制器地址。 - “拒绝访问”或“指定的用户不存在”：检查输入的域账户格式是否正确（不能输本地账户）、密码是否准确、账户是否被禁用或过期。
- 加入后无法用域账户登录：确认服务器已重启；检查域控制器防火墙是否放行 TCP 445（SMB）、389（LDAP）、88（Kerberos）端口；确认域策略未禁止交互式登录。
- 预创建计算机账户（进阶）：若企业要求严格管控设备入域，管理员可在 ADUC 中提前新建计算机对象（OU 内右键 → 新建 → 计算机），再由终端用户用相同名称加入——此时无需“添加工作站”权限，安全性更高。
