能否将本地个人工作站加入Google Cloud Active Directory域？

前置网络连通配置 #

云托管AD的域控制器默认部署在你指定的VPC内网中，不暴露公网，首先需要打通本地工作站到VPC的私有链路：

• 为远程员工配置SSL VPN接入方案，关联到托管AD所在的VPC，确保VPN分配的客户端网段可以访问VPC内网，且VPC防火墙放行VPN网段到托管AD的所有AD服务端口
• 配置VPN接入后的DNS规则，将云托管AD的两个域控制器内网IP设为客户端的首选DNS服务器，避免公网DNS无法解析域内SRV记录
• 接入VPN后执行nslookup <你的完整域名>验证解析是否正常，返回云AD域控IP即为配置生效

域加入操作步骤 #

网络连通后操作逻辑和接入本地AD完全一致：

• 打开Windows系统设置，进入系统 > 关于页面，点击「加入域」选项
• 输入云AD的完整域名，输入具备域加入权限的域账号凭据（注意为AD域账号，非GCP IAM账号）
• 按提示完成配置后重启工作站，重启后使用域账号登录即完成加入

常见异常排查 #

• 若提示「找不到指定的域」，优先检查VPN是否正常连接、DNS配置是否正确、VPC防火墙是否放行如下端口：53（TCP/UDP）、88（TCP/UDP）、135（TCP）、139（TCP）、389（TCP/UDP）、445（TCP）、464（TCP/UDP）
• 若提示权限不足，确认使用的域账号已被授予「将工作站加入域」的权限，可使用此前已成功加域的GCP VM所用的账号测试，排除账号权限问题
• 加域完成后，你可直接在已部署AD管理工具的VM上对该设备下发组策略，操作逻辑与本地AD完全一致

内容的提问来源于stack exchange，提问作者Kyle Draving