Azure存储账户加入域失败：ActiveDirectoryDomainSid参数缺失求助

核心问题分析 #

报错明确指出ActiveDirectoryDomainSid参数为空，同时从日志可见ActiveDirectoryAzureStorageSid也未配置，这两个是域加入操作的必填参数，必须补充后才能执行命令。

需要补充的参数及获取/构造方法 #

1. ActiveDirectoryDomainSid（域SID） #

在已加入目标域的机器上，通过以下PowerShell命令获取：

# 方法1：使用AD模块
Get-ADDomain | Select-Object -ExpandProperty DomainSID

# 方法2：无需AD模块的方式
([System.DirectoryServices.ActiveDirectory.Domain]::GetCurrentDomain()).DomainSID.Value

2. ActiveDirectoryAzureStorageSid（存储账户专用SID） #

该SID需基于域SID构造，格式为 S-1-5-21-<域SID的剩余部分>-000。例如：

• 若域SID为 S-1-5-21-123456789-987654321-111222333
• 则存储账户SID为 S-1-5-21-123456789-987654321-111222333-000

修正后的完整命令示例 #

替换占位符为实际值后执行：

Set-AzStorageAccount -ResourceGroupName "你的资源组名称" -Name "你的存储账户名称" `
    -EnableActiveDirectoryDomainServicesForFile $true `
    -ActiveDirectoryDomainName "******.org" `
    -ActiveDirectoryNetBiosDomainName "你的域NetBIOS短名称（如ORG）" `
    -ActiveDirectoryForestName "******.org" `
    -ActiveDirectoryDomainGuid "你的域GUID" `
    -ActiveDirectoryDomainSid "获取到的域SID" `
    -ActiveDirectoryAzureStorageSid "构造的存储账户SID" `
    -ActiveDirectorySamAccountName "testfileshbrjqu" `
    -ActiveDirectoryAccountType Computer

额外注意事项 #

• 执行命令的机器必须已加入目标域，且操作者拥有存储账户的所有者/参与者权限，以及域内相关配置权限。
• 日志中ActiveDirectoryNetBiosDomainName填写了完整域名，需修正为域的NetBIOS短名称（通常是域名前缀，比如域名为contoso.org时，NetBIOS名称为CONTOSO）。

内容的提问来源于stack exchange，提问作者abdkha