在 Active Directory 環境中，若要讓一般使用者或服務帳戶具備「將電腦加入網域」的權限，必須透過委派控制正確授權。本文說明為何在 OU 層級看不到此權限、如何在網域層級委派、以及如何限制僅能在特定 OU 建立電腦帳戶。
核心觀念：加入網域是「網域層級」操作
- 「將電腦加入網域」 權限僅存在於 網域物件 的委派精靈中，不存在於 OU。
- 因為電腦加入網域時，預設會在 Computers 容器（非 OU）建立電腦帳戶，故需在網域根節點授權。
情境一：授權使用者可將電腦加入網域（預設放入 Computers 容器）
- 開啟 Active Directory 使用者與電腦 (
dsa.msc)。
- 以滑鼠右鍵點選 網域根節點（如
corp.contoso.com），選擇 委派控制。
- 加入目標使用者/群組 → 下一步。
- 選擇 委派下列常見工作 → 勾選 將電腦加入網域 → 完成。
情境二：限制使用者只能在特定 OU 建立電腦帳戶（進階自訂委派）
若需控制電腦帳戶建立位置（如只能在 OU=Workstations,OU=IT,DC=corp,DC=contoso,DC=com），需採用自訂任務委派：
- 在目標 OU 上按右鍵 → 委派控制 → 加入使用者/群組。
- 選擇 建立自訂任務以委派 → 下一步。
- 僅限此資料夾中的下列物件 → 勾選 電腦物件。
- 勾選：在這個資料夾中建立選取的物件、刪除這個資料夾中的選取物件 → 下一步。
- 權限清單勾選下列項目：
- 讀取 (Read)
- 寫入 (Write)
- 重設密碼 (Reset Password)
- 驗證寫入 DNS 主機名稱 (Validated Write to DNS Host Name)
- 讀取/寫入 帳戶限制 (Read/Write Account Restrictions)
- 驗證寫入服務主體名稱 (Validated Write to Service Principal Name)
- 完成精靈。
關鍵操作要求：預先建立電腦帳戶
使用受委派帳戶加入網域時，必須先在目標 OU 手動建立電腦帳戶（或使用 netdom 指定 OU），否則加入網域會失敗（預設嘗試在 Computers 容器建立，無權限）。
# 範例：使用 netdom 指定 OU 加入網域
netdom join %computername% /domain:corp.contoso.com /userd:delegated_user /passwordd:* /ou:"OU=Workstations,OU=IT,DC=corp,DC=contoso,DC=com"
常見錯誤「存取被拒絕」原因分析
- 一般網域使用者預設無寫入權限於 Computers 容器 或目標 OU。
- 委派時未包含 「驗證寫入 DNS 主機名稱」 與 「驗證寫入 SPN」，導致電腦帳戶建立後無法註冊 DNS/SPN。
- 使用者非該 OU 的擁有者，缺乏 建立/刪除電腦物件 權限。
最佳實務建議
- 建立專用安全性群組（如
G_DomainJoin_Workstations），將操作人員加入群組，對群組委派權限，方便人員異動管理。
- 採用 預先建立電腦帳戶（預備帳戶） 流程：IT 團隊先在正確 OU 建立電腦帳戶 → 設定「管理者」為受委派群組 → 現場人員加入網域時指定該帳戶。
- 定期稽核
Computers 容器與各 OU 的電腦帳戶建立者，確保無未授權加入行為。