必须完成UOS系统加入AD域的操作，涉及身份认证对接、网络配置与安全策略适配；方法包括：一、realmd全自动加入；二、adcli手动加入；三、图形化向导加入；四、Samba+Winbind传统方式加入。
如果您正在管理一批预装统信UOS桌面专业版的国产终端，需要让它们与企业已有的Windows Active Directory域环境协同工作，则必须完成UOS系统加入AD域的操作。该过程涉及身份认证机制对接、网络服务配置与安全策略适配，是实现单点登录和集中权限管理的前提。以下是多种可行的加入方法：
一、使用realmd工具全自动加入域
realmd是统信UOS官方推荐的域加入工具，可自动处理Kerberos、SSSD、PAM等组件配置，适用于标准AD环境且网络解析正常的情况。
1、打开终端，执行软件包安装命令：
sudo apt update && sudo apt install realmd sssd sssd-tools libnss-sss libpam-sss adcli samba-common-bin oddjob oddjob-mkhomedir packagekit -y
2、设置主机名为全限定域名格式：
sudo hostnamectl set-hostname uos-client.pdsyw.cn
3、编辑/etc/hosts文件，添加域控制器IP与域名映射：
sudo vim /etc/hosts
在末尾追加一行：192.168.10.5 pdc.pdsyw.cn pdc
4、将DNS服务器指向域控制器IP：
echo "nameserver 192.168.10.5" | sudo tee /etc/resolvconf/resolv.conf.d/head && sudo resolvconf -u
5、同步系统时间至域控制器：
sudo timedatectl set-ntp false && sudo ntpdate -s 192.168.10.5
6、发现AD域信息：
sudo realm discover pdsyw.cn
7、执行加入命令（需提供具有域管理员权限的账号）：
sudo realm join -U administrator pdsyw.cn
8、验证域用户识别能力：
id administrator@pdsyw.cn
二、使用adcli命令手动加入域
adcli提供更底层的控制能力，适合realmd因版本兼容性或SELinux策略限制而失败的场景，尤其适用于UOS ARM64架构或定制内核环境。
1、确认已安装adcli及依赖：
dpkg -l | grep adcli || sudo apt install adcli -y
2、测试域控制器连通性与LDAP端口可达性：
ldapsearch -x -H ldap://pdc.pdsyw.cn -b "dc=pdsyw,dc=cn" -s base namingContexts
3、执行adcli加入操作：
sudo adcli join pdsyw.cn -U administrator -v
4、手动创建SSSD配置文件模板：
sudo cp /usr/share/sssd/examples/sssd-example.conf /etc/sssd/sssd.conf
5、编辑/etc/sssd/sssd.conf，确保[domain/pdsyw.cn]节中包含以下关键项：
id_provider = ad
access_provider = ad
ldap_id_mapping = True
use_fully_qualified_names = False
fallback_homedir = /home/%u
6、设置配置文件权限并重启服务：
sudo chmod 600 /etc/sssd/sssd.conf && sudo systemctl restart sssd
三、通过图形化域加入向导加入域
统信UOS桌面专业版内置“域加入向导”图形界面，面向不熟悉命令行的IT运维人员，自动调用底层realmd流程并提供状态反馈，降低误操作风险。
1、点击左下角“开始菜单”，搜索并打开域加入向导
2、在“域地址”栏输入AD域的FQDN，例如：pdsyw.cn
3、勾选“自动配置DNS”并填写域控制器IP地址：192.168.10.5
4、点击“下一步”，在认证页面输入具有Domain Admins组权限的用户名与密码
5、选择“启用域用户登录”并指定默认shell路径为/bin/bash
6、点击“加入域”，等待进度条完成，系统提示加入成功后重启计算机
四、基于Samba+Winbind传统方式加入域
该方法复用Samba经典域成员模式，不依赖SSSD，适用于需与旧版AD（如Windows Server 2008 R2）或启用了复杂GPO策略的环境兼容的场景。
1、安装Samba与Winbind组件：
sudo apt install samba winbind krb5-user libpam-winbind libnss-winbind -y
2、备份原始Samba配置：
sudo cp /etc/samba/smb.conf /etc/samba/smb.conf.bak
3、生成新smb.conf，核心参数包括：
[global]
workgroup = PDSYW
security = ads
realm = PDSYW.CN
password server = pdc.pdsyw.cn
idmap config * : backend = tdb
idmap config * : range = 100000-299999
winbind use default domain = yes
winbind offline logon = false
4、执行Kerberos初始化：
sudo kinit administrator@PDSYW.CN
5、使用net命令加入域：
sudo net ads join -U administrator
6、启用Winbind服务并设为开机自启：
sudo systemctl enable winbind && sudo systemctl start winbind
7、验证用户映射结果：
getent passwd | grep '@'
