RHEL 10 加入 AD：Windows Server DC 与 realm join

RHEL 加入 AD 的关键不在 realm join 本身，而在 DC 可用、DNS 指向 DC、时间同步、客户端包齐全。本页用一台 Windows Server 2025 DC 和一台 RHEL 10.2 客户端走完整流程。

验证范围

角色	主机	系统	IP
DC	962 `WIN-7LEKJTEQMDM`	Windows Server 2025 Std Eval	192.168.2.246
Client	390	RHEL 10.2	192.168.2.232
Domain	`lab.runentlinux`	NetBIOS `LAB`	—

E3 记录：plans/content-expansion/evidence/rhel/rhel-ad/run.json；截图在同目录。

Windows Server 的两个坑

1. 磁盘：用 SATA，不要直接 virtio-scsi

Windows Setup 默认没有 virtio-scsi 驱动，磁盘列表会是空的。把 40G 盘挂成 sata0 后可见：

qm set 962 --delete scsi0 --sata0 local-lvm:vm-962-disk-0

2. 网卡：用 e1000，不要 virtio-net

virtio-net 在 Setup/SConfig 里同样没有驱动，SConfig 会显示“没有可用网络适配器”。改成 e1000：

qm set 962 --net0 e1000,bridge=vmbr2

改完后 SConfig 能看到 Intel(R) PRO/1000 MT Network Connection。

装 DC

选 Windows Server 2025 Standard Evaluation（Core）；
接受 EULA，Custom 安装到 40G 磁盘；
首次登录设置 Administrator 密码；
SConfig → 15 退出到 PowerShell；
设静态 IP 与 DNS：

new-netipaddress -interfaceindex 6 -ipaddress 192.168.2.246 `
  -prefixlength 24 -defaultgateway 192.168.2.2
set-dnsclientserveraddress -interfaceindex 6 -serveraddresses 127.0.0.1

装 AD DS 并提升林：

install-windowsfeature ad-domain-services -includemanagementtools
install-addsforest -domainname lab.runentlinux -domainnetbiosname lab -installdns -force

DSRM 密码用与 Administrator 相同的实验密码；完成后自动重启。

验证 DC DNS

dig +short @192.168.2.246 _ldap._tcp.dc._msdcs.lab.runentlinux SRV
# 0 100 389 win-7lekjteqmdm.lab.runentlinux.

有 SRV 记录，客户端才能 realm discover。

客户端准备

390 上：

sudo dnf -y install realmd sssd sssd-tools krb5-workstation oddjob-mkhomedir

DNS 必须指向 DC（本次临时在 /etc/resolv.conf 顶部加 nameserver 192.168.2.246）：

realm discover lab.runentlinux

lab.runentlinux
  type: kerberos
  realm-name: LAB.RUNENTLINUX
  domain-name: lab.runentlinux
  configured: no
  server-software: active-directory
  client-software: sssd

加入域

sudo realm join -U Administrator lab.runentlinux

密码交互；成功后：

realm list

lab.runentlinux
  type: kerberos
  realm-name: LAB.RUNENTLINUX
  domain-name: lab.runentlinux
  configured: kerberos-member
  server-software: active-directory
  client-software: sssd

验证身份与票据

id [email protected]

uid=762600500([email protected])
gid=762600513(domain [email protected])
groups=...,762600512(domain [email protected]),...

getent passwd [email protected]

echo 'AdLab!2026' | kinit [email protected]
klist

Default principal: [email protected]
Valid starting     Expires            Service principal
11/05/26 16:54:43  11/06/26 02:54:43  krbtgt/[email protected]