Djoin是Windows离线加域工具，分两步实现先生成加密blob再注入目标机，适用于无网部署、高安全预配、自动化镜像集成及跨林加域等场景。

djoin 是 windows 系统内置的离线加域工具，适用于无法直接连接域控制器（dc）的场景，比如新装系统未联网、网络隔离环境、批量预配置或安全加固要求禁止首次启动时自动联网等。它不依赖实时域控通信，通过分两步生成并注入“域加入信息”，实现“先准备、后加入”。

典型使用场景

• 批量部署无网终端：如工厂产线设备、金融柜台机、医疗影像终端，系统安装完成后才接入内网，需提前生成加域凭据。
• 高安全环境预配：涉密网络中，终端首次启动严禁外联，但需确保后续一键入域，Djoin 可在可信离线环境生成加密 blob。
• 无人值守自动化部署：配合 MDT 或 PowerShell 脚本，在镜像制作阶段嵌入加域指令，避免人工输入域凭据。
• 跨林/跨域信任环境加域：当目标域与当前登录域无直连通路时，可在可访问目标域的跳板机上生成 blob，再导入目标机器。

Djoin 核心命令详解

第一步：在可连域控的机器上生成加域信息（需域管理员权限）
djoin /provision /domain contoso.com /machine PC01 /savefile C:\djoin.txt
• /provision 表示生成预配信息
• /domain 指定目标域名（必须能被解析，DNS 可通）
• /machine 指定将要加域的计算机名（需符合 AD 命名策略，且未被占用）
• /savefile 输出加密 blob 到本地文件（该文件含机器 SID、密钥、域信息，需妥善保管）

第二步：在目标机器（离线或受限网络）上注入加域信息（本地管理员权限即可）
djoin /requestodj /loadfile C:\djoin.txt /windowspath C:\Windows /localos
• /requestodj 表示请求离线加入域
• /loadfile 指向第一步生成的 blob 文件
• /windowspath 指向目标系统的 Windows 安装路径（多系统时必填）
• /localos 表示作用于当前操作系统（非 PE 或其他挂载系统）

关键注意事项

• 生成 blob 的机器与目标机器**无需在同一网络**，但生成时必须能解析域名、联系域控（用于创建计算机对象和密钥协商）。
• blob 文件有效期默认为 30 天（由域策略 Computer Configuration → Policies → Windows Settings → Security Settings → Account Policies → Kerberos Policy 控制），超期需重新生成。
• 加入后首次重启生效，登录时使用域账号（如 contoso\user），本地 Administrator 不再默认拥有域权限。
• 若目标机已存在同名计算机账户，加域会失败；建议提前在 AD 中清理或启用 /reuse 参数复用（需额外权限）。

实用技巧补充

• 查看 blob 内容（仅调试，不可解密敏感字段）：djoin /printblob /loadfile C:\djoin.txt
• 生成时指定 OU 路径（避免默认进 Computers 容器）：/machine PC01 /ou "OU=Workstations,DC=contoso,DC=com"
• 静默加域后自动重启（脚本常用）：shutdown /r /t 0，建议加延迟确保注入完成。