加域失败主因是DNS解析SRV记录错误和AD权限不足；需确保DNS指向域控制器并能解析\_ldap.\_tcp.dc.\_msdcs.域名，且账户具备“将计算机加入域”权限，时间偏差≤5分钟，关键端口开放。
计算机加入域失败，80%以上的问题出在dns配置和权限设置上。关键不是“能不能连上域控制器”，而是“能不能正确解析域控制器的srv记录”以及“有没有足够的ad权限执行加域操作”。
DNS解析必须指向域控制器或转发到域DNS服务器
加域过程依赖DNS查找_ldap._tcp.dc._msdcs.域名这类SRV记录，普通A记录解析成功不等于加域能成功。
- 检查本地DNS设置：网卡IPv4的首选DNS必须是域内可用的DNS服务器（通常是域控制器本身或其信任的DNS服务器），不能是114.114.114.114、8.8.8.8等公网DNS
- 验证SRV记录查询：在待加域机器上运行nslookup -type=srv _ldap._tcp.dc._msdcs.你的域名，应返回域控制器的主机名和端口；若提示“*** Can't find…”或返回空，说明DNS未正确配置或域DNS区域未启用全局编录
- 注意hosts文件干扰：检查C:\Windows\System32\drivers\etc\hosts是否硬编码了域名到错误IP，临时清空再试
加域账户必须具备“将计算机加入域”的权限
默认情况下，普通域用户无权将计算机加入域，需显式授权或使用具有该权限的账户（如Domain Admins成员）。
- 确认所用账户属于Domain Admins组，或已被授予Add workstations to domain用户权限（可通过“Active Directory 用户和计算机”→右键域名→“属性”→“安全”选项卡查看）
- 若使用预创建的计算机对象（推荐用于批量部署），需确保加域账户对该OU下的计算机对象有Reset Password和Write Account Restrictions权限（否则加域时无法设置密码）
- 错误提示如“拒绝访问”“指定的用户账户不存在或密码错误”常与权限不足有关，而非密码输错
域控制器时间偏差超过5分钟会导致Kerberos认证失败
加域本质是建立Kerberos信任关系，客户端与域控制器时间差必须≤5分钟，否则票据申请被拒绝。
- 在待加域机器上运行w32tm /query /status，检查“源”是否为域控制器，“偏移”是否在±300秒内
- 若偏差大，先手动同步：以管理员身份运行w32tm /resync /force；仍失败则检查域控制器是否已配置可靠时钟源（如ntp.ntsc.ac.cn）
- 虚拟机尤其要注意：关闭VMware/Hyper-V的时间同步功能，避免被宿主强制改写系统时间
防火墙与网络连通性不可只看ping通
加域需要多个端口开放，仅能ping通DC不代表服务可达。
- 必需端口：TCP 53（DNS）、88（Kerberos）、389（LDAP）、445（SMB/Netlogon）、3268（全局编录，多域环境）；建议用Test-NetConnection DC_IP -Port 389（PowerShell）逐项验证
- 禁用本地防火墙临时测试：运行netsh advfirewall set allprofiles state off，排除客户端防火墙拦截可能
- 检查DC端Netlogon服务是否运行：sc query netlogon，状态应为RUNNING；若为STOPPED，重启服务并观察事件日志是否有1058/5722类错误
