工作站加入新域需确保DNS指向域控制器、时间偏差≤5分钟、LDAP/Kerberos端口连通；推荐预创建计算机账户并委派普通用户“读取/写入属性”等三项权限，再执行Add-Computer命令完成加域。
将现有工作站安全加入新部署的域，关键在于确保网络连通、dns解析准确、权限配置合规，并避开微软自2022年10月起实施的域加入强化策略限制。整个过程不依赖临时高权限账号，而是通过预创建账户+委派控制实现最小权限原则。
确认前置条件是否就绪
工作站加入前必须满足三项基础条件，缺一不可：
-
DNS必须指向新域控制器：在工作站上运行
ipconfig /all，确认主DNS服务器地址是域控制器的IP（如192.168.1.10）；若不是，用Set-DnsClientServerAddress -InterfaceAlias "以太网" -ServerAddresses 192.168.1.10修正 -
时间偏差需小于5分钟：运行
w32tm /query /status查看与域控制器的时间差；超时会导致Kerberos认证失败，可用w32tm /resync /force强制同步 -
网络能访问域控制器的LDAP端口（389）和Kerberos端口（88）：在工作站执行
telnet 192.168.1.10 389和telnet 192.168.1.10 88验证连通性（若未启用Telnet，改用Test-NetConnection 192.168.1.10 -Port 389）
推荐方式：预创建计算机账户 + 普通用户自助加域
该方式规避了“将工作站添加到域”特权的直接授予，也绕开了重用账户被默认阻止的风险，是当前最安全、最可控的实践。
Windows-Android_SSH_Remote_Control
下载
通过 SSH 隧道从 Android 设备在互联网上对 Windows PC 实现完整远程控制的设置与使用指南，适用于远程桌面访问、安全 RDP 等。
- 域管理员在 Active Directory 用户和计算机 中，定位目标OU（如
OU=Workstations,DC=contoso,DC=com） - 右键 → 新建 → 计算机，输入工作站名（如
WS-DESKTOP01），勾选“此计算机账户已禁用”，点击确定 - 右键新建的计算机对象 → 委托控制 → 添加需加域的普通用户（如
user01@contoso.com）→ 仅勾选“读取/写入属性”“重置密码”“修改 DNS 主机名”三项 - 工作站端由该用户以本地管理员身份登录，运行：
Add-Computer -DomainName contoso.com -Credential contoso\user01 -Restart -Force
若需批量或静默部署
适用于IT部门统一纳管场景，避免逐台交互操作：
- 使用PowerShell脚本配合组策略首选项（GPP）自动加域：在GPO中配置“计算机配置 → 首选项 → 控制面板设置 → 本地用户和组”，启用“域加入”设置项，指定域名与凭据（凭据需加密存储）
- 或编写部署脚本，先调用
Test-Connection和Resolve-DnsName自检，再执行Add-Computer，失败时记录详细错误（如$Error[0].Exception.Message）便于排错 - 注意：Windows Server 2022/2025 及 Windows 11 22H2+ 系统默认启用“禁止重用现有计算机账户”策略，若必须复用旧账户，需提前在域控制器组策略中配置：
计算机配置 → 策略 → 管理模板 → 系统 → 域控制器 → 允许计算机帐户在域加入期间重复使用，并填入受信任所有者列表
加域后验证与故障初判
重启完成后，快速确认是否真正生效：
- 运行
systeminfo | findstr "Domain"，输出应为Domain: contoso.com - 运行
nltest /sc_query:contoso.com，返回Flags = 30表示安全通道正常 - 若提示“信任关系失败”，不要立即重装系统，先尝试：
nltest /reset_dc:contoso.com或Test-ComputerSecureChannel -Repair -Verbose - 登录界面应出现“其他用户”选项，可输入
contoso\username或username@contoso.com方式登录
