统信UOS终端加入AD域需五步：一、验证DNS解析与LDAP端口连通性；二、安装realmd/SSSD并discover域；三、realm join命令加入域；四、启用lightdm域登录或su切换域用户；五、在域控中配置OU级GPO实现批量策略管理。
统信UOS终端需纳入企业已有的Active Directory域环境，实现账号统一登录、策略集中下发、终端状态可视，避免为Linux终端单独建一套管理逻辑。
确认域控服务与网络连通性
在任一统信UOS终端上执行 nslookup 域控制器FQDN，验证DNS解析是否返回域控IP；若失败，先检查/etc/resolv.conf中DNS服务器是否指向内网AD DNS地址。
用telnet 域控IP 389测试LDAP端口连通性，【若被防火墙拦截，后续所有域加入操作都会卡在认证阶段】；如使用LDAPS（636端口），还需确认证书信任链是否导入系统CA库。
确保终端主机名符合AD命名规范（仅含字母、数字、短横线，长度≤15字符），否则加入域后可能无法生成有效SPN。
安装并配置realmd与SSSD服务
打开终端，执行：sudo apt update && sudo apt install realmd sssd sssd-tools libnss-sss libpam-sss adcli samba-common-bin。
运行sudo realm discover 域名，例如sudo realm discover corp.example.com；成功时将显示域类型（active-directory）、域控地址、LDAP URI等信息。若提示“no suitable providers found”，说明realmd未识别AD环境，需手动指定提供者：sudo realm discover --client-software=sssd --server-software=active-directory 域名。
执行sudo realm join --user=管理员账号 域名，输入域管理员密码；该命令会自动配置SSSD、启用NSS/PAM集成，并在/etc/sssd/sssd.conf中写入域连接参数。
启用域用户登录与权限映射
方法一：图形界面登录页启用域用户选项
编辑/etc/lightdm/lightdm.conf，在[Seat:*]段下添加allow-guest=false和greeter-show-manual-login=true；重启lightdm服务后，登录界面右下角会出现“其他用户”入口，输入DOMAINusername或username@corp.example.com即可登录。
方法二：命令行直接切换域用户
执行su - DOMAIN\username（注意反斜杠需转义）或su - username@corp.example.com；首次登录会自动创建家目录并应用AD组策略中的shell限制、密码过期提醒等。
【必须执行 sudo systemctl enable sssd && sudo systemctl start sssd】，否则下次重启后SSSD服务不自启，域用户将无法认证登录。
通过Windows域控控制台批量管理UOS终端
第一步：在域控制器上打开“Active Directory 用户和计算机”，确认UOS终端已作为计算机对象出现在目标OU中（如OU=LinuxTerminals,DC=corp,DC=example,DC=com）。
第二步：右键该OU → “属性” → 切换到“组策略”选项卡 → 点击“添加”，新建或链接已有GPO（如“Linux终端基线策略”）。
第三步：编辑该GPO，在“计算机配置”→“策略”→“管理模板”→“System”→“Group Policy”中启用“Configure user Group Policy loopback processing mode”，设为“Merge”模式；此设置确保UOS终端应用OU级策略，而非仅依赖用户所属OU的策略。
第四步：在同个GPO的“计算机配置”→“首选项”→“控制面板设置”→“本地用户和组”中，可批量创建本地组、添加域组成员；例如将DOMAINDomain Admins加入sudo组，使域管理员具备终端root权限。
第五步：执行gpupdate /force强制刷新策略，或等待默认90分钟周期同步；在UOS终端上运行sudo realm list可查看当前应用的域策略状态。
