环境与前提#

• 域控制器：Windows Server 2022，已安装 AD DS（Active Directory 域服务）并提升为域控制器，同时兼任 DNS 服务。
• 客户机：Windows 11 64 位。
• 演示环境使用的域名 abc.xyz、IP 192.168.1.12 均为示例；真实环境中应按本网络规划替换。
• 下列所有操作均假定域控制器已可正常开机、客户机与域控网络互通，且以具备管理员权限的账号执行。

本文不覆盖”如何把服务器提升为域控制器”。若域控尚未就绪，需先完成 AD DS 角色安装与提升，再继续。

一、把域控制器的 IP 改为固定地址#

域控制器必须使用静态 IP，不能依赖 DHCP（Dynamic Host Configuration Protocol，自动分配 IP 的服务）随机获取地址，否则客户机将找不到域控。

1. 打开服务器管理器，左侧选择”本地服务器”。
2. 在”由 DHCP 分配的 IPv4 地址”一栏双击网卡，打开”详细信息”，记下当前分配到的地址，例如 192.168.1.12。
3. 关闭”详细信息”，打开网卡”属性”，双击 Internet 协议版本 4 (TCP/IPv4)。
4. 选择”使用下面的 IP 地址”，填入 192.168.1.12，子网掩码保持默认。
5. 关键配置：由于这台服务器自身就是 DNS 服务器，在”首选 DNS 服务器”处填写本机地址 192.168.1.12，让域内成员通过它解析域内记录。
6. 确认并等待生效。完成后回到网卡”详细信息”，确认地址已变为固定的 192.168.1.12，不再标注为 DHCP 分配。

DNS 指向域控制器是加域与登录解析的必要前提；该地址一旦写错，后续加域和域登录会直接失败。

二、组织单位与域用户#

在Active Directory 用户和计算机（可在服务器管理器”工具”菜单打开，或在”运行”中执行 dsa.msc）中进行。

1. 展开根域 abc.xyz，确认默认结构：Computers（加域的计算机默认位置）、Domain Controllers（域控制器容器）、Users（内置用户与组）。
2. 右键根域 → 新建 → 组织单位（OU，Organizational Unit，用于按部门对账号和计算机分组管理的容器），依次新建”人事部""信息部”两个部门。
3. 进入”信息部”，右键 → 新建 → 用户，填写名和姓（示例账号”小明”）与登录名。
4. 设置密码时需满足域的密码策略：长度足够且同时包含大小写字母与数字。示例密码形如 XmAD2023，即首字母大写、后跟小写字母与数字，以符合复杂性要求。
5. 确认重复输入，用户创建完成。

三、把 Windows 11 客户机加入域#

第一步：修改客户机的 DNS，使其指向域控。

1. 打开 Windows 11”网络和 Internet 设置”→ 高级网络设置 → 更多网络适配器选项。
2. 双击网卡 → 属性 → Internet 协议版本 4 (TCP/IPv4)。
3. 将 DNS 改为手动，首选 DNS 填写域控地址 192.168.1.12。客户机必须通过这台 DNS 才能解析到 abc.xyz 域。

此外需保证客户机与域控的系统时间基本一致：域认证（Kerberos）对时间偏差敏感，默认容差约 5 分钟，时间差过大同样会导致加域或登录失败。

第二步：修改计算机名并加入域。

1. 右键开始菜单 → 系统 → 高级系统设置 → “计算机名”选项卡 → 更改。
2. “隶属于”默认是”工作组”，改为 “域”，输入域名 abc.xyz。
3. 在弹出的身份验证框中，输入第一步创建的域账号”小明”及其密码。
4. 确认后系统提示需要重启，重启计算机。

第三步：使用域账号登录。

重启进入登录界面后选择”其他用户”，以 域名\用户名 的形式登录，即 ABC\小明。登录成功即代表该客户机已成为域成员，并默认出现在 Computers 容器中。

四、权限分配与提权#

新建的域用户默认加入 Domain Users（域用户组），这是域内的常规用户组，权限最低。要让某用户具备管理整个域的能力，把它加入 **Domain Admins（域管理员组）**即可。

1. 在”信息部”中再新建一个用户，例如”小红”。
2. 分别查看”小明""小红”的属性 → “隶属于”，可看到二者默认都在 Domain Users 中。
3. 右键”小红” → 属性 → 隶属于 → 添加，输入组名 Domain Admins，确定。
4. 应用并确定。小红原有的 Domain Users 成员身份保留，同时额外获得域管理员权限。

域的权限模型是”用户加入哪个组，就继承哪个组的权限”。因此把普通用户加入 Domain Admins 即完成提权；这一操作仅在确有需要时进行，不应将普通用户随意加入该高权限组。

五、共享文件夹：按人共享与按组共享#

方式一：直接共享给指定用户。

1. 在域控制器上打开”此电脑”，在 C 盘新建文件夹，例如命名为”机要文件”。
2. 右键该文件夹 → 属性 → 共享 → 共享，添加用户”小明”，完成共享。
3. 在客户机按 Win + R，输入 \\服务器名（UNC 路径，即”反斜杠 + 主机名”的网络访问写法，也可写为 \\192.168.1.12），即可看到”机要文件”文件夹并打开读取。
4. 回到服务器，在文件夹属性 → 共享 → 高级共享的权限中，将对”小明”的权限调整为”读取”或”读取/写入”。

方式二：把权限授予一个组。

成员较多时应按组授权，避免逐个共享：

1. 在 Active Directory 用户和计算机中打开 Users，右键新建 组，例如”技术骨干”。
2. 将”小明”添加进”技术骨干”组。
3. 共享文件夹时，把访问权限直接授予”技术骨干”组。此后向该组增删成员，文件夹权限无需重新配置。

六、从域中脱离（退域）#

1. 先以本地管理员身份登录客户机。若登录界面没有该账号，选择”其他用户”，用户名输入 .\Administrator（前缀 .\ 表示使用本机账号，而非域账号）。
2. 右键开始菜单 → 系统 → 高级系统设置 → 计算机名 → 更改，将”隶属于”从”域”改回工作组，工作组名可任意填写，例如 WORKGROUP。
3. 确认时需要一个具备权限的账号来执行退域——此时使用前文已被提权的”小红”（属于 Domain Admins），输入其账号密码。
4. 等待完成后按提示重启计算机。
5. 重启后客户机即回到工作组，登录界面中不再出现域账号，仅剩本机用户。

七、版本与界面说明#

上述菜单名称、选项位置基于 Windows Server 2022 与 Windows 11 64 位环境。不同 Windows 版本的界面文字可能略有差异，具体路径与选项以对应版本的官方文档为准。涉及密码策略、组策略和共享权限的具体行为，请结合本组织的域策略核对。