①【项目背景】
稀土大厦一家单位做信创替换，先换了 30 台统信 UOS 桌面，结果加不进现有的 Windows AD 域。IT 的说法是「国产系统不兼容域控」，于是 30 台机器各建本地账号，密码各管各的，共享盘要输三次密码。等保测评时被记了一条「身份鉴别未统一」。
UOS 内核是 Linux，加 AD 走的是 Samba/Winbind 那套，能加，只是没人配。
②【咨询设计】
路径是 realmd + adcli + sssd：先装 realmd、adcli、sssd-ad、krb5-workstation，改 /etc/krb5.conf 指向域控，realm discover 能列出域信息后，realm join -U 管理员 域名的完整写法。加入后用 realm list 确认，sssd 服务起来，id 域名\\用户名 能返回 UID 和组。
组策略这块要说明白：Linux 不跑 GPO 的 CSE，只能做「策略映射」。我们把 AD 里的安全组同步成 UOS 的本地组，登录脚本用 sssd 的 access_provider 限制只允许指定组登录，桌面策略用 UOS 自带的域管控制台下发。很多集成商跟客户说「域策略全兼容」，实际上能落地的只有账号统一、密码策略、登录限制、盘符映射这四类，其余靠本地策略兜。
③【施工规划】
先在一台机器上打通，做出配置模板，再用 UOS 的克隆工具批量下发。krb5.conf 里时钟偏差必须小于 5 分钟，否则票据直接失败——这批机器出厂时间差 8 小时，先把 chrony 指向内网 NTP 源，再谈加域。最常见的报错是 Clock skew too great 与 Preauthentication failed：前者查时间，后者多半是域账号密码过期或 KDC 找不到，用 kinit 单独验证一步就能定位。
加域后配 sudo 规则：普通用户不允许 sudo，运维组用 sssd 的 sudo 规则从 AD 组映射。家目录用 sssd 自动创建，权限 700。共享盘用 autofs 挂 CIFS，凭据走 Kerberos，不存明文密码。
④【安全补丁】
域账号统一后，立刻做三件事：禁用本地账号（保留一个应急管理员，密码封存）；开登录失败锁定 5 次/30 分钟；把 UOS 的防火墙默认策略设为拒绝入站，只放 22 和 3389 给运维网段。另外域控的管理账号不能用来日常加域，单独建一个「加域专用账号」，权限只到 Domain Join，用完即禁。
⑤【验收交付】
验收 30 台：加域成功率 100%，登录耗时平均 4.2 秒；AD 改密码后 30 秒内新密码生效；共享盘免密访问正常；非授权组账号登录被拒。另抽查 5 台重启断电，sssd 缓存正常回落。交付配置模板、加域操作手册、回滚方案（退域命令与本地账号恢复）。
⑥【售后承诺】
加不上域、登录报错，2 小时到场，大年三十 17704868686 也接。信创终端与 AD 混合管理，终身免费咨询。
【不舍昼夜技术 · 包头IT全生命周期服务】
业务全闭环：咨询规划、方案设计、工程实施、竣工验收、维保售后。
咱能干的：包头修电脑/装监控/拉网线/做系统/救数据/办软件/卖耗材。
技术范畴：5G通信、大数据服务、信息系统集成、网络安全、商用密码、平面设计。
服务区域：昆区、青山区、九原区、东河区、高新区等包头全境，随叫随到。
技术热线：17704868686（本地专业团队，不舍昼夜为您守候！）