Active Directory 將電腦加入網域所需權限完整解析與授權方法

預設情況下，經驗證的網域使用者最多可將 10 台電腦加入網域（ms-DS-MachineAccountQuota 屬性）。若需授權特定非管理員使用者/群組加入網域，或調整配額限制，本文提供四種授權方法與配額修改指令。

預設權限機制

• Authenticated Users：預設擁有「在網域中新增工作站」使用者權利，配額 10 台。
• Domain Admins / Account Operators：無配額限制，擁有完整電腦物件建立/刪除/移動權限。
• 電腦物件建立位置：預設建於 CN=Computers,DC=domain,DC=com 容器（非 OU，無法套用 GPO）。

方法一：群組原則授權「在網域中新增工作站」

適用於：授權特定群組（如 IT_JoinDomain）加入網域，維持 10 台配額。

1. 開啟 gpmc.msc，編輯「預設網域控制器原則」或建立新 GPO 連結至網域控制站 OU。
2. 路徑：電腦設定 → 原則 → Windows 設定 → 安全性設定 → 本機原則 → 使用者權利指派
3. 雙擊 在網域中新增工作站 → 勾選「定義這些原則設定」 → 新增使用者或群組（如 DOMAIN\IT_JoinDomain）。
4. 執行 gpupdate /force 或等待背景重新整理。

限制：仍受 ms-DS-MachineAccountQuota=10 限制，電腦物件建於 Computers 容器。

方法二：委派控制授權特定 OU 建立電腦物件

適用於：需將電腦直接加入特定 OU、套用 GPO、突破 10 台限制。

1. 開啟 dsa.msc (Active Directory 使用者與電腦)，啟用「檢視 → 進階功能」。
2. 右鍵目標 OU（如 OU=Workstations,OU=IT,DC=domain,DC=com） → 「委派控制」。
3. 「新增」選取使用者/群組 → 「建立自訂工作委派」。
4. 選擇「僅下列物件類型」 → 勾選 電腦 → 勾選「建立所選物件類型的執行個體」及「刪除所選物件類型的執行個體」。
5. 「屬性」頁面 → 選擇「一般」 → 勾選 讀取/寫入所有屬性（或精細選擇）。
6. 完成嚮導。

優點：電腦直接落入指定 OU、自動套用 GPO、無 10 台配額限制（委派不受 ms-DS-MachineAccountQuota 限制）。

方法三：修改網域層級配額 ms-DS-MachineAccountQuota

適用於：調整全網域預設配額（如設為 0 禁止一般使用者加入、設為 50 擴大配額）。

1. 安裝 Windows Server 支援工具（含 adsiedit.msc），或使用 dsmod quota 指令。
2. ADSIGuide：
   開啟 adsiedit.msc → 連線至「設定命名內容」 → CN=Configuration,DC=domain,DC=com → CN=Domain-DN → 右鍵內容 → 找 ms-DS-MachineAccountQuota → 編輯數值（0 禁止、-1 無限制）。
3. 指令方式：
   

   dsmod quota "CN=Domain-DN,CN=Domain Quotas,CN=Configuration,DC=domain,DC=com" -qlimit 50
   

警告：錯誤編輯 AD 結構描述/配置分區可能導致網域癱瘓，操作前必須備份系統狀態、拍照快照、測試環境驗證。

方法四：使用 dsadd/dsmod 指令建立/修改配額物件

# 查詢現有配額
dsquery * "CN=Domain Quotas,CN=Configuration,DC=domain,DC=com" -scope onelevel -attr ms-DS-MachineAccountQuota

# 建立特定使用者/群組的專屬配額（覆蓋網域預設）
dsadd quota "CN=SpecialQuota,CN=Domain Quotas,CN=Configuration,DC=domain,DC=com" -acct "DOMAIN\IT_JoinDomain" -qlimit 100

# 修改既有配額
dsmod quota "CN=SpecialQuota,CN=Domain Quotas,CN=Configuration,DC=domain,DC=com" -qlimit 200

實務建議組合策略

驗證加入網域權限

# 用戶端測試
netdom join %computername% /domain:domain.com /userd:DOMAIN\user /passwordd:*
# 或 PowerShell
Add-Computer -DomainName domain.com -Credential DOMAIN\user -OUPath "OU=Workstations,DC=domain,DC=com" -Restart

結語

加入網域權限控制的核心在於「誰能建立電腦物件、建在哪裡、能建幾台」。委派控制至特定 OU 是最符合最小權限原則、且自動整合 GPO 管理的最佳實務；配額調整僅作輔助。請避免直接授與 Domain Admins 權限，建立分層授權模型（Tier 0/1/2）守護 AD 安全邊界。