银河麒麟桌面操作系统V10 SP1加域需严格按“网络与时间同步→安装realmd/sssd或winbind→adcli加入域→刷新缓存→配置lightdm”五步执行，缺一导致kinit失败、net ads join报错或登录无域账号；DNS须设为域控IP，时间偏差超5分钟即拒认证。
在银河麒麟桌面操作系统V10SP1上连接公司AD域网络，需完成从基础网络可达性到域身份认证链的完整集成，缺一不可。若仅配置DNS或仅安装软件包，将导致kinit失败、net ads join报错或登录界面不显示域账号。
确认网络与时间同步前提
这一步必须最先执行，否则后续所有加域操作都会因无法解析域控或票据过期而中断。
1、打开【设置】→【网络】→【有线/无线】→【IPv4设置】，将DNS服务器设为域控IP（如【10.0.0.189】），搜索域填公司AD域名（如kylinos.com）；
2、终端执行nslookup winad.kylinos.com，确认能返回域控真实IP；
3、运行timedatectl status检查时区是否为Asia/Shanghai，再执行chronyc sources -v确认NTP已同步——AD域认证对时间偏差容忍度极低，超过5分钟即拒绝票据请求。
安装域集成核心组件
方法一：使用realmd+sssd（推荐用于V10SP1 2403及以上版本）
1、执行sudo apt install realmd sssd sssd-tools libnss-sss libpam-sss adcli；
2、安装过程中若提示“Configuring krb5-config”，按Tab键选<strong>【OK】</strong>后回车，手动输入公司AD域名全大写（如KYLINOS.COM）；
3、安装完成后立即执行sudo systemctl enable --now sssd，否则NSS无法加载域用户信息。
方法二：传统samba+winbind（兼容V10SP1 2303旧内核）
1、执行sudo apt install samba krb5-config krb5-user winbind libpam-winbind libnss-winbind；
2、安装时遇到samba版本升级提示，务必按回车选择<strong>【保留当前配置】</strong>，否则smb.conf会被重置为默认值，导致加域失败。
加入AD域并验证身份映射
第一步：用adcli工具加入域
1、执行sudo adcli join kylinos.com -U zhangsan@KYLINOS.COM（zhangsan为具备加域权限的域账号）；
2、输入该账号密码后，若返回Successfully enrolled machine in domain即表示主机已注册进AD；
3、此时系统自动生成/etc/sssd/sssd.conf或/etc/samba/smb.conf中关键域参数，无需手动编辑。
第二步：强制刷新域用户缓存
1、执行sudo sss_cache -E（sssd方式）或sudo wbinfo --ping-dc（winbind方式）；
2、接着运行getent passwd 'zhangsan@KYLINOS.COM'，成功返回UID/GID信息才说明NSS层已打通；
3、若返回空行，说明PAM未生效，需检查/etc/nsswitch.conf中passwd与group行是否含sss或winbind字段。
启用图形界面域账号登录
1、编辑sudo vim /etc/lightdm/lightdm.conf，在[Seat:*]段下添加allow-guest=false和greeter-show-manual-login=true；
2、执行sudo systemctl restart lightdm重启显示管理器；
3、注销当前会话，在登录界面点击右下角齿轮图标→选择“域登录”，输入格式为<strong>【zhangsan@KYLINOS.COM】</strong>（必须带域名，大小写敏感）；
4、首次登录会自动创建/home/KYLINOS.COM/zhangsan目录，若卡在登录转圈，请检查/var/log/sssd/*.log中是否有“GSSAPI Error”字样——这通常意味着Kerberos密钥表损坏，需重新执行kinit并验证klist输出。
