已配置对应权限的EC2实例无法自动加入AWS托管AD域

在你已确认AD与EC2同VPC部署、DNS可正常识别、IAM托管策略配置正确的前提下，自动加域失败基本由以下配置遗漏导致：

• 启动实例时未指定待加入的目标目录
  IAM策略仅为服务调用提供授权，不会自动触发域加入流程。启动EC2实例时，必须在向导的「高级详细信息」板块找到「域加入目录」下拉选项，选中目标AWS Managed AD实例，AWS才会在实例启动后自动关联AWS-JoinDirectoryServiceDomain SSM文档执行加域操作。如果启动时未选择对应目录，哪怕权限配置完全正确，也不会触发任何自动加域动作。
• 未预留足够的SSM任务执行时间
  EC2控制台显示实例状态为「运行中」仅代表操作系统完成基础启动，实例内部的SSM Agent还需要拉取关联任务、执行加域配置，整个流程通常需要3~15分钟。刚启动就通过set命令查看域状态必然显示未加入，你可以到SSM控制台的关联列表中，查看对应实例的加域任务执行状态，确认任务运行结果。
• 域加入所需端口未放通
  可正常解析域DNS不代表域加入全链路流量通行，需要检查实例关联的安全组、VPC网络ACL规则，确保到Managed AD节点的以下流量放通：
  • UDP/TCP 53：DNS解析
  • UDP/TCP 88：Kerberos认证
  • TCP 445：SMB协议
  • TCP 389：LDAP访问
  • TCP 3268：全局编录访问
    上述任意端口被拦截都会导致加域流程中断。
• IAM角色信任关系配置错误
  检查绑定到EC2的IAM角色，确认信任策略已将ec2.amazonaws.com配置为受信主体，且角色已正确附加到实例配置文件（Instance Profile）中，否则EC2无法获取角色对应的临时访问凭证，无法调用目录服务接口完成加域。
• SSM Agent版本不兼容
  你使用的ami-041306c411c38a789为AWS官方Windows Server 2019标准版镜像，部分早期版本预装的SSM Agent版本低于3.0，会出现加域任务拉取失败的问题。手动登录实例将SSM Agent升级到最新版本后，重新触发SSM关联任务即可恢复。

验证提示：登录实例后执行PowerShell命令Test-ComputerSecureChannel，如果返回True说明实际已经加域成功，只是系统环境变量未刷新，重启实例或重新登录账号后，再执行set命令即可看到域相关配置；返回False才代表加域流程未成功完成。

内容的提问来源于stack exchange，提问作者Dev Bhatnagar