Active Directory 域加入電腦權限委派問題解答

在 Active Directory 中委派「將電腦加入域」權限時，若在 OU (組織單位) 層級操作，預設不會顯示此選項。本文說明正確委派層級與自定義委派限制特定 OU 的方法。

問題現象

• 在 OU 上右鍵「委派控制」，常見任務中找不到「將電腦加入域」。
• 使用受委派帳號加入域提示「拒絕存取」。

原因分析

「將電腦加入域」是針對整個域的操作，而非特定 OU。因此僅在域根節點委派控制時才會出現此選項。在 OU 層級委派只能管理該 OU 內物件權限，無法授予加入域權限。

解決方案一：在域層級委派 (所有 OU 皆可加入)

1. 開啟「Active Directory 使用者和電腦」。
2. 右鍵域根節點 → 「委派控制」。
3. 依精靈選擇受委派群組/使用者 → 下一步。
4. 選擇 「將電腦加入域」 → 完成。

解決方案二：自定義委派限制特定 OU (進階)

若需限制受委派帳號僅能在特定 OU 建立電腦帳號並加入域，需自定義委派任務：

1. 右鍵目標 OU → 「委派控制」→ 選擇受委派群組。
2. 選擇 「建立自定義任務進行委派」 → 下一步。
3. 選擇 「僅針對資料夾中的下列物件」 → 勾選 「電腦物件」 → 勾選 「在這個資料夾中建立選取的物件」、「刪除這個資料夾中選取的物件」 → 下一步。
4. 權限清單勾選：
   ✅ 讀取
   ✅ 寫入
   ✅ 重設密碼
   ✅ 驗證寫入 DNS 主機名
   ✅ 讀取/寫入 帳戶限制
   ✅ 驗證寫入服務主體名稱 (SPN)
5. 完成精靈。

關鍵補充：電腦加入域時的容器問題

電腦加入域時，預設電腦帳號建立在 Computers 容器。若受委派帳號無 Computers 容器寫入權限，加入域會失敗。兩種解決方式：

1. 預先在目標 OU 手動建立電腦帳號 (預行建立)，再加入域。
2. 使用 netdom join /Domain:域名 /OU:目標OU路徑 指定建立位置。

「拒絕存取」根因總結

普通域使用者無法寫入 Computers 容器或目標 OU。需對受委派帳號授予對應容器/OU 的「建立電腦物件」與「寫入屬性」權限。