Windows电脑加入Active Directory域需先验证网络、DNS和Kerberos连通性，再通过图形界面、PowerShell、预创建账户或脱机方式完成；DNS必须指向域控制器IP，凭据格式须正确，90%失败源于前提条件未满足。
将Windows电脑加入Active Directory域是企业IT集中管理设备和用户身份的前提，必须确保网络连通、DNS指向正确、凭据具备权限，否则会在“输入域名”或“验证凭据”环节直接失败。
确认前提条件
这一步不能跳过，90%的入域失败源于此处疏漏。先打开命令提示符（管理员），依次执行：
ping -n 1 contoso.com（替换为你的实际域名）→ 若超时，说明网络不通或DNS未解析；
nslookup contoso.com → 必须返回域控制器的IP地址，否则需手动修改网卡DNS为DC的IP；
nltest /dsgetdc:contoso.com → 返回“打字错误”以外的错误码（如0x0表示成功），否则说明Kerberos通道未建立。
【DNS服务器必须设为域控制器的IP地址，不能用公共DNS（如114.114.114.114）或路由器默认DNS】
图形界面方式加入域（推荐首次操作）
适用于有本地管理员权限、已配好DNS的Windows 10/11/Server客户端。
右键“此电脑”→“属性”→左侧“高级系统设置”→“计算机名”选项卡→“更改”→在“成员资格”中选“域”，输入完整域名（例如：contoso.com，不能输netbios名如CONTOSO）→点击“确定”。
弹出凭据窗口时，必须输入具有“将工作站添加到域”权限的账户，格式支持两种：
方法一：contoso\administrator（域名\用户名）；
方法二：administrator@contoso.com（UPN格式）。
输错格式会导致“指定的域不存在”错误，而非“密码错误”。
若提示“欢迎加入 contoso.com 域”，点“确定”→重启电脑。重启后登录界面会出现“其他用户”选项，可输入域账号（如contoso\user）登录。
PowerShell命令行静默入域（适合批量部署）
无需交互、可写入脚本、失败时返回明确错误代码，适合运维人员批量操作。
第一步：以管理员身份运行Windows PowerShell。
第二步：执行命令：
Add-Computer -DomainName "contoso.com" -Credential (Get-Credential) -Restart -Force
执行后会弹出标准Windows凭据框，输入域管理员账号密码即可。使用Get-Credential比硬编码密码更安全，避免凭据明文留在历史记录中。
第三步：如果报错“找不到域控制器”，不要反复重试，先运行：
Set-DnsClientServerAddress -InterfaceAlias "以太网" -ServerAddresses 172.31.106.88
（把“以太网”换成你实际的网络连接名称，IP换成你域控制器的真实IP）
命令执行成功后，电脑自动重启，无需人工干预。
预创建计算机账户后由普通用户加入（最小权限方案）
适用于终端用户无域管理员权限，但IT已提前在AD中为其准备好计算机对象的场景，符合安全合规要求。
域管理员先在“Active Directory用户和计算机”中，导航至目标OU（如OU=Workstations,DC=contoso,DC=com）→右键→“新建”→“计算机”，输入计算机名（如DESK-USER01），勾选“不允许密码被继承”→完成。
普通用户登录Windows后，按图形界面方式操作，到输入域名那步后，系统会尝试复用AD中已存在的DESK-USER01$账户，此时只需提供自己账号密码（该账号已被委派了“读取/写入属性”权限），无需域管理员凭证。
【计算机名必须与AD中预创建的名称完全一致（含大小写），且末尾自动加$符号，用户不可手动输入$】
脱机加入域（无网络直连DC时使用）
适用于笔记本外出办公、虚拟机模板克隆等无法实时访问域控制器的场景，通过生成离线令牌实现后续入域。
在能联网并登录域的机器上（如IT管理员PC），以管理员身份运行cmd：
djoin /provision /domain contoso.com /machine DESK-USER01 /savefile C:\odj.txt
将生成的odj.txt文件复制到目标电脑（如U盘拷贝），在目标电脑上以管理员身份运行：
djoin /requestODJ /loadfile C:\odj.txt /windowspath %systemroot% /localos
执行完毕后重启电脑，启动时自动完成域加入，无需再次输入任何凭据。
