用组管理资源访问
域集成的价值不只是统一登录，而是把「谁需要访问」抽象成组。做法是：人员账号加入按职能划分的全局组，全局组再进入对资源授权用的组，资源权限只引用后者。这套分层让权限维护变成「把人加进组」一件事。若共享权限直接写给个人账号，人员变动就要逐目录清理，规模稍大就无法维护。
基本信息
| 适用平台 | Windows 文件服务器、Linux/Samba 与域集成环境 |
|---|---|
| Linux 加入域 | realm join 或 net ads join，必要时生成 keytab |
| 认证方式 | Kerberos 优先；NTLM 回退应尽量收紧 |
| 健康检查 | net ads testjoin、wbinfo -t、kinit 取票据 |
| 授权原则 | 资源权限引用组，个人账号只进组 |
集成要点
| 环节 | 要做的事 | 失败时的表现 |
|---|---|---|
| 加入域 | 机器账号建立并同步时间 | 认证随机失败，票据被拒 |
| 组授权 | 按职能建组并嵌套 | 人员变动时权限清理困难 |
| 票据与缓存 | 确认可正常获取票据 | 间歇性无法访问共享 |
| 权限委派 | 把部门目录管理权下放 | 所有请求集中到运维，响应变慢 |
| 回退控制 | 限制旧认证方式 | 弱算法认证长期可用，形成隐患 |
集成与验证
集成与验证
# Linux 加入域并验证机器账号状态
realm join example.com -U admin
net ads testjoin # 确认机器账号仍有效
wbinfo -t # 检查与域的信任关系
# 取票据后按域组授权目录
getent group 'domain users@example.com' | cut -d: -f1,2
# 共享授权优先引用组而非个人账号
Grant-SmbShareAccess -Name data -AccountName 'EXAMPLE\FS-Data-RW' -AccessRight Change -Force机器账号密码过期、域控不可达、时间偏差过大是最常见的三类间歇性认证故障源。它们的表现都是「有时能进有时不能」，因此在排查时先核对机器账号有效性、域控可达性与时间同步，再去检查权限设置。
允许旧认证方式回退会让弱算法认证长期存活，而管理员在正常访问中完全感受不到。收紧认证方式前必须清点仍依赖旧方式的设备，并按批次推进，否则会一次性中断大量老设备。