Windows2012活动目录

很多人对活动目录的印象停留在“装个域控、把电脑加进域”这一步。真到排查问题的时候，才发现自己说不清楚：为什么加了域还是登不上？为什么域用户在本机能改密码，到了另一台机器又不行？DNS 明明能上网，客户端却找不到域控？这门课针对的就是这类说不清的地方。

先搞清楚它到底解决什么问题

工作组环境下，账号是散落在每台机器上的。十台机器就是十套本地账号，改一个人事变动，可能要跑十台机器。活动目录把这个逻辑反过来：账号集中放在域控上，成员机只负责验证。理解了这一点，后面所有的“信任”“复制”“组策略”才有落脚点。

课程从工作组和活动目录的对比切入，不是简单罗列概念，而是把两种模式下账号存放位置、验证发生位置、管理动作落在哪台机器上讲清楚。如果你之前只是照教程点过“加入域”，这一段能把之前跳过的逻辑补回来。

域控和成员机之间的信任，到底是种什么关系

这是最容易含糊过去的一块。加入域的时候弹出一个框让你输凭据，很多人以为输完就“信任”了。实际上机器和域之间建立的是计算机账户和密码关系，机器自己有一份密码，定期和域控同步。机器账户密码不对，表现就是“信任关系失败”，客户端登不进域，本地账号却正常。

课程会把这条链路拆开：客户端怎么找到域控、用什么身份证明自己、域控怎么回话。搞清楚之后，遇到“信任关系失败”这类报错，你知道该去查机器账户、查时间、查安全通道，而不是无脑退域重新加。

DNS 不是配角，它是域能不能跑起来的前提

活动目录对 DNS 的依赖程度，比一般服务高得多。客户端找域控靠的是 SRV 记录，不是靠广播，也不是靠 hosts。DNS 配错，表现往往是“网络通、能上网，就是加不了域”。

• 域控为什么通常要同时承担 DNS 角色；
• 客户端 DNS 该指向谁，指向路由器会出什么问题；
• SRV 记录在定位域控时的作用；
• DNS 记录缺失时，客户端会呈现哪些现象。

这几条理清了，域环境里一半以上的“玄学故障”都能有个排查方向。

统一身份验证和集中管理能落到什么程度

课程会实际搭一套企业域环境，验证集中的身份验证和统一管理。这不是演示“能登录”就结束，而是要看：同一账号在不同成员机上权限是否一致、密码策略是否统一生效、账号停用后各机器是否同步失效。

看完这部分，你应该能回答几个问题：域用户和本地用户同时存在时，登录框怎么选；域管理员账号在成员机上有多大权限；哪些管理动作必须在域控上做，哪些可以在成员机上做。这些问题在真实运维里天天遇到，答不上来就只能靠试。

配套练习建议

只看不搭，域这块基本学不会。建议在虚拟机里至少准备三台：一台域控、一台成员机、一台用来模拟客户端异常。每讲到一个环节就自己动手复现一次，特别是 DNS 指向改错、机器账户密码不同步这两种情况，手动制造一次故障，比看十遍讲解记得牢。

看完应能回答：工作组和域在账号存放上的根本差别是什么；加入域时机器和域之间建立了什么；DNS 配错会以什么现象暴露出来；客户端提示信任关系失败，第一步查什么。