RHEL 10 加入 AD：Windows Server DC 与 realm join

This content is not available in your language yet.

RHEL 加入 AD 的关键不在 realm join 本身，而在 DC 可用、DNS 指向 DC、时间同步、客户端包齐全。本页用一台 Windows Server 2025 DC 和一台 RHEL 10.2 客户端走完整流程。

验证范围

角色	主机	系统	IP
DC	962 `WIN-7LEKJTEQMDM`	Windows Server 2025 Std Eval	192.168.2.246
Client	390	RHEL 10.2	192.168.2.232
Domain	`lab.runentlinux`	NetBIOS `LAB`	—

E3 记录：plans/content-expansion/evidence/rhel/rhel-ad/run.json；截图在同目录。

Windows Server 的两个坑

1. 磁盘：用 SATA，不要直接 virtio-scsi

Windows Setup 默认没有 virtio-scsi 驱动，磁盘列表会是空的。把 40G 盘挂成 sata0 后可见：

qm set 962 --delete scsi0 --sata0 local-lvm:vm-962-disk-0

2. 网卡：用 e1000，不要 virtio-net

virtio-net 在 Setup/SConfig 里同样没有驱动，SConfig 会显示“没有可用网络适配器”。改成 e1000：

qm set 962 --net0 e1000,bridge=vmbr2

改完后 SConfig 能看到 Intel(R) PRO/1000 MT Network Connection。

装 DC

选 Windows Server 2025 Standard Evaluation（Core）；
接受 EULA，Custom 安装到 40G 磁盘；
首次登录设置 Administrator 密码；
SConfig → 15 退出到 PowerShell；
设静态 IP 与 DNS：

new-netipaddress -interfaceindex 6 -ipaddress 192.168.2.246 `
  -prefixlength 24 -defaultgateway 192.168.2.2
set-dnsclientserveraddress -interfaceindex 6 -serveraddresses 127.0.0.1

装 AD DS 并提升林：

install-windowsfeature ad-domain-services -includemanagementtools
install-addsforest -domainname lab.runentlinux -domainnetbiosname lab -installdns -force

DSRM 密码用与 Administrator 相同的实验密码；完成后自动重启。

验证 DC DNS

dig +short @192.168.2.246 _ldap._tcp.dc._msdcs.lab.runentlinux SRV
# 0 100 389 win-7lekjteqmdm.lab.runentlinux.

有 SRV 记录，客户端才能 realm discover。

客户端准备

390 上：

sudo dnf -y install realmd sssd sssd-tools krb5-workstation oddjob-mkhomedir

DNS 必须指向 DC（本次临时在 /etc/resolv.conf 顶部加 nameserver 192.168.2.246）：

realm discover lab.runentlinux

lab.runentlinux
  type: kerberos
  realm-name: LAB.RUNENTLINUX
  domain-name: lab.runentlinux
  configured: no
  server-software: active-directory
  client-software: sssd

加入域

sudo realm join -U Administrator lab.runentlinux

密码交互；成功后：

realm list

lab.runentlinux
  type: kerberos
  realm-name: LAB.RUNENTLINUX
  domain-name: lab.runentlinux
  configured: kerberos-member
  server-software: active-directory
  client-software: sssd

验证身份与票据

id [email protected]

uid=762600500([email protected])
gid=762600513(domain [email protected])
groups=...,762600512(domain [email protected]),...

getent passwd [email protected]

echo 'AdLab!2026' | kinit [email protected]
klist

Default principal: [email protected]
Valid starting     Expires            Service principal
11/05/26 16:54:43  11/06/26 02:54:43  krbtgt/[email protected]