47、Windows 计算机域管理与加入的最佳实践

Windows 计算机域管理与加入的最佳实践

在 Windows 系统的管理中，计算机加入域以及对域内计算机的管理是重要的操作。下面为大家详细介绍相关的操作步骤、最佳实践以及需要注意的问题。

一、创建计算机账户并加入域

1. 预创建计算机账户（预 staging）
   强烈建议在将计算机加入域之前创建计算机账户，这一过程称为计算机预 staging。创建计算机账户的人有权将该计算机加入域，同时也可以将此权限委派给特定的支持人员，但前提是计算机对象已经预创建。
2. 委派加入计算机的权限
   可以通过两种方式委派使用现有计算机对象加入计算机到域的权限：
   • 创建计算机对象时委派 ：在创建计算机对象时，可以将使用相同计算机名称将计算机加入域的权限委派给其他用户或组。不过，Windows 实际委派的权限会超出加入计算机到域所需的权限。
   • 在 OU 上分配权限 ：可以在组织单位（OU）上分配必要的权限，使特定用户或组能够使用 OU 中任何预创建的计算机对象将计算机加入域。
     具体的访问控制条目（ACEs）包括：Reset Password、Write Account Restrictions、Validated Write To DNS Host Name 和 Validated Write To Service Principal Name。以下是使用 Dsacls 命令委派权限的示例：