必须先将Windows Server配置为域控制器并部署Active Directory，才能统一管理账号实现跨机器登录与集中权限控制；需设置静态IP与本机DNS、安装AD域服务角色、提升为域控制器（新建林）、创建OU与用户、客户端加域验证。
要在Windows系统中搭建域控服务器并用它统一管理账号，必须先将一台Windows Server机器配置为域控制器，再通过Active Directory创建、分组和策略化用户账号，否则所有账号仍停留在本地孤立状态，无法实现跨机器登录与集中权限控制。
准备域控服务器基础环境
登录Windows Server（推荐2019或2022版本），打开“服务器管理器”→点击“本地服务器”→确认“计算机名”已修改为有意义的名称（如DC01），避免使用默认名或含下划线/空格；右键“网络连接”→选择“属性”→双击“Internet协议版本4（TCP/IPv4）”→手动设置【静态IP地址、子网掩码、默认网关】，DNS服务器地址填本机IP（如192.168.1.10），这一步不可跳过，否则AD安装时会因DNS解析失败而中止。
执行命令ipconfig /all检查IPv4地址是否生效，且DNS服务器显示为你刚设的IP；若显示“127.0.0.1”或为空，说明DNS未正确指向自身，必须修正后再继续。
安装Active Directory域服务角色
在服务器管理器中，点击“添加角色和功能”→保持“基于角色或基于功能的安装”→下一步→选择本机服务器→下一步→在“服务器角色”列表中勾选【Active Directory 域服务】→弹出提示框时点击“添加功能”→继续下一步直到“确认安装”页面→勾选“自动重启目标服务器（如果需要）”→点击“安装”。
安装完成后不要关闭窗口，右上角会出现黄色感叹号图标，这是关键入口——点击它，选择“将此服务器提升为域控制器”。
将服务器提升为域控制器
第一步：在部署配置界面选择“添加新林”，根域名输入你规划好的域名（如lab.local或corp.example.com），注意不能使用公网已注册域名（如baidu.com），也不能用“.local”以外的纯TLD（如.com/.org），否则客户端加域时可能触发证书或DNS兼容性问题。
第二步：在“域控制器选项”页，设置【DSRM密码】（目录服务还原模式密码），这个密码独立于域管理员密码，一旦遗忘将无法进入安全模式恢复AD数据库，务必单独记录并保管好。
第三步：跳过DNS委派警告（因是首台DC，无需委派）→设置NetBIOS域名（通常自动生成，保持默认即可）→指定AD数据库、日志和SYSVOL路径（建议保留在系统盘C:\Windows\NTDS等默认位置，除非有明确SSD分离需求）→点击“查看脚本”可导出PowerShell部署命令用于复现→最后点击“安装”。
师生共创生态系统对接指南。当用户需要对接大学政策、平台资源、投资机构、产业伙伴等外部资源支持时使用。触发词：师生共创生态、大学支持、平台赋能、投资对接、产业合作、政策支持、清华x-lab、孵化器、创业资源
安装过程约需10–15分钟，服务器会自动重启。重启后使用域管理员账户（如Administrator@lab.local）登录，而非本地Administrator。
在域中创建和管理用户账号
按Win+R输入dsa.msc打开“Active Directory 用户和计算机”→展开左侧域名节点→右键“Users”容器或新建OU（如RightClick → New → Organizational Unit，命名为Staff）→右键该OU → New → User，填写姓、名、用户登录名（如zhangsan），密码设为符合复杂度要求的值（至少8位，含大小写字母+数字+符号），勾选“密码永不过期”仅限服务账号，普通用户请勿勾选。
方法一：批量创建用户——右键OU → “导入用户”，使用CSV文件（含name,samaccountname,displayname,password等列），需提前启用“ADSI Edit”或用PowerShell的New-ADUser配合Import-Csv。
方法二：直接拖拽分组管理——创建全局安全组（如Finance_Group），将用户拖入其中；后续对组统一赋权，比逐个设权限更可靠、易审计。
方法三：强制首次登录改密——双击用户属性→“账户”选项卡→勾选“用户必须在下次登录时更改密码”，适用于新员工入职流程；不勾选此项则用户可直接用初始密码登录。
验证账号能否被域控统一管理
在另一台Windows 10/11客户端上，右键“此电脑”→“属性”→“更改设置”→“更改”→“域”，输入你刚才建的域名（如lab.local）→确定；系统提示需要重启，重启后登录界面会出现“其他用户”→点击后输入域账号格式：【lab\zhangsan】 或 【zhangsan@lab.local】，密码为创建时设定的密码。
若登录成功，说明账号已由域控制器认证，且该客户端已纳入域管理范围；此时在域控上禁用该用户，客户端下次登录将立即被拒绝，验证了集中管控生效。
