群晖教程 2026-10-02 企业数据管家

不再买 Windows Server 也能有 AD 域：群晖 Directory Server 首次设置向导建域实操

引言

二十人以上的公司几乎都会撞到同一个坎：共享文件夹的帐号在各台设备上各管一套，员工入职要在三四个地方建号，离职更是漏删常事。标准解法是上一套 AD 域，但传统路径意味着再买一台 Windows Server 授权和一台服务器硬件。如果机房里已经有群晖 NAS，套件中心里的 Synology Directory Server 可以让 NAS 直接充当域控制器，把帐号、密码策略和机器加入域这一整套能力落在现有设备上。这篇按官方首次设置向导的顺序，把创建域、域名规则、前提条件检查和从域控制器扩展一次讲清。

它适合什么规模的团队

域的价值随人数增长：十人以下用 DSM 本地帐号加用户群组就够；人数上了几十、财务和设计各自要独立权限边界、还有几台共用电脑需要「一人一号」登录时，统一目录服务的收益才开始明显大于维护成本。另外要注意定位：NAS 建域后就是目录服务的单点，业务连续性要求高的环境，官方向导同样支持把第二台设备加为从域控制器来分担——这正好用上群晖多台设备的存量。已有 Windows 域的公司不需要重建，向导提供从 Windows Server 域迁移的路线，这篇文章先聚焦从零建域。

动手前的三项检查

给 NAS 配置静态 IP 地址。为什么：域客户端靠 DNS 找到域控制器，如果 NAS 的 IP 随 DHCP 变化，全公司的域登录会跟着随机失联——静态地址是域服务的地基，必须在建域前落实。
若 NAS 当前已加入域或 LDAP 目录，先在控制面板里移除。为什么：官方明确此套件与其他目录服务配置不兼容，带着旧目录身份建域会在前提检查阶段被拦下，先清理再动手反而省一轮返工。
检查网络内没有同名域名。为什么：多个同名域会让客户端找不到正确的服务器，这是官方点名的失败场景；多台 NAS 的环境尤其要核对命名。

创建新域

启动 Synology Directory Server，在设置向导中单击「创建域」。为什么：向导把建域流程拆成输入、检查、执行三段，比命令行建域可控得多，中途失败也能从检查报告定位原因。
输入域名：填写域的 FQDN，例如 syno.local 这样的形式；工作组名会随域名自动填入。为什么：FQDN 是域在 DNS 里的正式身份，后续所有客户端加域、策略绑定都用它；工作组自动派生可以少一个手工出错点。
设置域管理员密码并确认。为什么：这是域管理员的帐户密码，官方要求至少满足以下规则中的三类——大写字母、小写字母、数字、特殊字符（如 # $ !）、不分大小写的 Unicode 字母（含亚洲语言字母）。按最强标准设置并入库保存，它等价于整个目录服务的主人钥匙。
单击「下一步」运行前提条件检查，按结果分三种处理。为什么：这是官方设计的防呆层——「通过」可以直接继续；「次要问题」可能导致域服务异常，可修复后提交重检，也可选择跳过（不建议，除非明确知道后果）；「严重问题」会导致设置失败，必须查看详细信息、按说明解决后重新提交检查。
无严重问题后单击「创建域」，等待数分钟完成。为什么：建域要初始化目录数据库与相关服务，期间不要断电重启；完成后 NAS 就是一台可用的域控制器，客户端即可按「域名\用户名」格式登录。

域名的五条硬规则

只能含字母、数字、连字符和句点，句点仅作分隔符；
至少两个标签（如 syno.local 这种两级结构）；
不能以连字符开头，不能以连字符或句点结尾；
不能与 NAS 服务器名相同；
最长 64 个字符。

为什么：这些是官方给出的命名约束，违反任意一条都会在检查环节报错。给域起名建议一步到位——域建成后再改名等于重建，客户端全部要重新加域。

域长大之后：从域控制器与只读域控制器

第二台设备上启动套件，向导里选「将域控制器添加到现有域」，输入域名、可解析现有域控制器的 DNS 服务器 IP、帐户（格式为 NetBIOS 域名\管理员用户名）与密码。为什么：单域控环境域控宕机即全员登录瘫痪；加一台从域控制器是最直接的冗余。注意官方限制：作为 RWDC 部署的从域控制器，仅适用于本套件创建的域。
需要更保守的扩展时，选「添加只读域控制器（RODC）」，输入同样的四项信息后通过前提检查加入。为什么：RODC 只读不写，适合放在物理安全较弱的位置提供认证服务，目录数据被篡改的风险面更小。
已有 Windows Server 域的公司，向导提供「从 Windows Server 域迁移」路线，输入 Windows 域 FQDN、DNS 服务器、帐户密码，通过检查后单击「迁移域」。为什么：存量域不必推倒重来，迁移路线让帐号体系平移到 NAS 上，等价于把目录服务的硬件载体换掉。

结语

域不是大企业的专利，而是「帐号多了管不过来」这个具体痛点的解药。Synology Directory Server 的首次设置向导把建域的门槛降到了填表和点检查的程度，真正的功夫在前面的静态 IP 规划和域名命名上。贵州诚鑫致达科技在给客户做帐号体系统一时，第一步就是先把这两件事与客户书面确认——向导五分钟能点完，名字却要用很多年。