用戶端能成功加入 Active Directory 網域，需滿足網路、名稱解析、身分識別、服務四大維度條件。缺一不可。
| # | 條件項目 | 檢查/設定方法 | 常見錯誤 |
|---|---|---|---|
| 1 | 電腦名稱唯一，不與網域控制站 (DC) 或其他電腦重複 | 系統屬性 → 電腦名稱 → 變更，確保唯一 | 克隆映像未重新命名、手動改名衝突 |
| 2 | DNS 設定指向網域 DNS 伺服器 (通常為 DC IP) | 網路介面卡 IPv4 → 慣用 DNS = DC IP；nslookup domain.local 驗證解析 | 使用 ISP/路由器 DNS、DNS 伺服器未啟動區域轉送 |
| 3 | 網路連通性：Ping 通 DC IP 與網域名稱 | ping 、ping | 防火牆封鎖 ICMP、VLAN 隔離、IP 衝突 |
| 4 | 機器 SID 唯一 (若使用 Ghost/映像部署) | 部署前執行 sysprep /generalize 或工具 (NewSID) 重新產生 SID | 直接複製映像導致 SID 重複，加入網域失敗或權限異常 |
| 5 | 啟用 TCP/IP NetBIOS Helper、Server、Workstation 服務 | services.msc 確認上述服務為「執行中」/「自動」 | 優化工具停用 NetBIOS、Server 服務導致無法瀏覽網域 |
| 6 | 區域連線內容啟用「Microsoft 網路用戶端」與「檔案和印表機共用」 | 網路連線 → 內容 → 勾選兩項協定 | 精簡版系統移除協定、手動取消勾選 |
| 7 | 嘗試用 NetBIOS 名稱加入 (若 FQDN 失敗) | 加入網域時輸入短名稱 (如 CORP 而非 corp.example.com) | DNS 尾碼搜尋順序錯誤、區域委派缺失 |
| 8 | 時間同步：用戶端與 DC 時間差 < 5 分鐘 (Kerberos 需求) | w32tm /query /status、net time \\DC /set /yes | 主機板電池耗盡、時區錯誤、NTP 封鎖 |
| 9 | 用戶端作業系統支援加入網域 (Professional/Enterprise/Education 版) | Home/Starter 版無法加入網域 | 誤用 Home 版嘗試加入 |
| 10 | 具備網域管理員或具備「加入電腦到網域」權限的帳號 | 加入時輸入有權限帳號密碼 | 使用一般使用者帳號、密碼錯誤、帳號鎖定 |
ipconfig /registerdns 強制註冊 DNS 記錄。gpupdate /force 強制刷新群組原則。無法加入網域 │ ├─ Ping DC IP 失敗 → 檢查實體連線、IP 設定、防火牆、VLAN │ ├─ Ping 網域名稱失敗 → 檢查用戶端 DNS 指向、DC DNS 服務、區域記錄 │ ├─ DNS 正常但提示「找不到網域控制站」 → 檢查 SRV 記錄、NetBIOS 名稱、時間同步 │ ├─ 提示「存取被拒」 → 檢查帳號權限、密碼、SID 衝突 │ └─ 提示「電腦名稱已存在」 → 刪除 AD 中同名電腦帳號、重新命名用戶端
加入網域看似簡單，實則涉及 DNS、Kerberos、NetBIOS、SID、服務依賴等多層機制。依照上述 10 項清單逐項核對，並同步檢查 DC 端 DNS 註冊與時間同步，即能解決 95% 以上加入失敗案例。
