AD辦公網(wǎng)絡(luò)常見問題
如果上述方式無法解決問題，您可以提交工單聯(lián)系阿里云的技術(shù)支持獲取幫助。
本文記錄創(chuàng)建AD辦公網(wǎng)絡(luò)的常見問題。
創(chuàng)建AD辦公網(wǎng)絡(luò)出現(xiàn)如圖報錯，怎么辦？
現(xiàn)象描述
創(chuàng)建辦公網(wǎng)絡(luò)的過程中，出現(xiàn)如圖所示的報錯。
原因定位
造成上圖所示報錯的原因可能有：
創(chuàng)建辦公網(wǎng)絡(luò)過程中域名稱、域控主機名或DNS 地址填寫有誤。
企業(yè)AD域控服務(wù)器和AD辦公網(wǎng)絡(luò)的網(wǎng)絡(luò)不互通。
解決方案
檢查創(chuàng)建辦公網(wǎng)絡(luò)的相關(guān)配置項信息填寫準確無誤。
檢查域名稱
檢查域名稱的格式是否正確，正確格式為：example.com。
檢查域控主機名
檢查域控主機名填寫是否正確。
說明如果AD域控服務(wù)器和DNS服務(wù)器不是同一臺設(shè)備（即分開部署AD域控和DNS），您必須填寫域控主機名，以便系統(tǒng)明確可連接的域控服務(wù)器，提高辦公網(wǎng)絡(luò)創(chuàng)建成功率。
如果AD域控服務(wù)器和DNS服務(wù)器部署在同一臺設(shè)備，您可以按需填寫。
檢查DNS地址
檢查DNS地址填寫的私網(wǎng)IP地址是否正確，正確格式為：192.168.XX.XX。
檢查企業(yè)AD的VPC與AD辦公網(wǎng)絡(luò)VPC是否已通過云企業(yè)網(wǎng)實例實現(xiàn)網(wǎng)絡(luò)互通。
說明如果AD域服務(wù)器和DNS服務(wù)器部署在本地數(shù)據(jù)中心IDC，需要先通過智能接入網(wǎng)關(guān)SAG、專線或者VPN打通本地與云上網(wǎng)絡(luò)。
登錄AD域控服務(wù)器。
在管理員：命令提示符窗口執(zhí)行以下命令，驗證網(wǎng)絡(luò)是否互通。
ping <連接地址>說明業(yè)務(wù)中您需要將連接地址替換為實際IP地址。您可以在AD辦公網(wǎng)絡(luò)詳情頁面的AD 設(shè)置區(qū)域，找到連接地址，獲取IP地址。
如果ping通，則說明網(wǎng)絡(luò)互通。
如果無法ping通，請將AD域服務(wù)器所屬VPC和AD辦公網(wǎng)絡(luò)VPC，加入同一個云企業(yè)網(wǎng)實例。
如果AD域控服務(wù)器和DNS服務(wù)部署在不同設(shè)備，請將AD域服務(wù)器和DNS服務(wù)器所屬VPC，以及AD辦公網(wǎng)絡(luò)VPC，加入同一個云企業(yè)網(wǎng)實例。
操作如下：
將AD域服務(wù)器和DNS服務(wù)器所屬VPC加入云企業(yè)網(wǎng)實例
登錄云企業(yè)網(wǎng)管理控制臺，在云企業(yè)網(wǎng)實例頁面，單擊待加入的云企業(yè)網(wǎng)實例ID，然后單擊VPC后面的
圖標，在彈出的頁面中按照提示完成相關(guān)配置。將AD辦公網(wǎng)絡(luò)VPC加入云企業(yè)網(wǎng)實例
登錄無影云電腦管理控制臺，在辦公網(wǎng)絡(luò)（原工作區(qū)）頁面找到待加入云企業(yè)網(wǎng)的AD辦公網(wǎng)絡(luò)，在操作列單擊加入云企業(yè)網(wǎng)，在彈出的對話框中完成相關(guān)配置。具體操作，請參見加入與解綁云企業(yè)網(wǎng)。
檢查網(wǎng)絡(luò)端口是否開放
AD辦公網(wǎng)絡(luò)VPC需要訪問AD域控的以下網(wǎng)絡(luò)端口，您需要確保在AD域控服務(wù)器、DNS服務(wù)器或者安全軟件中開放以下端口。
協(xié)議類型
端口或端口范圍
描述
授權(quán)對象
自定義UDP
53
DNS
AD辦公網(wǎng)絡(luò)對應的IPv4網(wǎng)段，例如：192.168.XX.XX/24。
88
Kerberos
123
Windows Time
137
NETBIOS
138
NETBIOS
389
LDAP
445
CIFS
464
Kerberos修改或重置密碼
自定義TCP
53
DNS
AD辦公網(wǎng)絡(luò)對應的IPv4網(wǎng)段，例如：192.168.XX.XX/24。
88
Kerberos
135
Replication
389
LDAP
443
HTTPS
445
SMB/CIFS
636
LDAP SSL
9389
PowerShell
49152~65535范圍的全部端口
RPC
3268~3269
LDAP GC和LDAP GC SSL
怎么在AD域控服務(wù)器設(shè)置云電腦本地管理員？
云電腦本地管理員可以下載安裝軟件或執(zhí)行需云電腦本地管理員才有權(quán)限操作的任務(wù)。您可以在創(chuàng)建AD辦公網(wǎng)絡(luò)時將該辦公網(wǎng)絡(luò)下的云電腦設(shè)置為云電腦本地管理員，也可以在AD域控中按需設(shè)置本地管理員權(quán)限。您可以根據(jù)需要選擇以下一種方式設(shè)置云電腦本地管理員：
在AD辦公網(wǎng)絡(luò)設(shè)置云電腦本地管理員。具體操作，請參見創(chuàng)建并配置AD辦公網(wǎng)絡(luò)。
在AD域控中設(shè)置云電腦本地管理員。
說明下文以Windows Server 2022為例介紹如何在AD域控新建組織單元并將組織單元中的用戶設(shè)置為云電腦本地管理員，業(yè)務(wù)中請以實際的操作系統(tǒng)為準。
打開服務(wù)器管理器。
在服務(wù)器管理器頁面，單擊右上角的工具，然后選擇Active Directory用戶和計算機。
新建組織單元。例如：新建名為test的組織單元。
在Active Directory用戶和計算機面板，右鍵單擊域名，然后選擇，在新建對象-組織單元對話框中輸入test并單擊確定。
在組織單元中新建用戶組。例如：新建名為Admin Group的組。
右鍵單擊test，然后選擇，在新建對象-組對話框中設(shè)置以下配置項的信息然后單擊確定。
組名：Admin Group
組名（Windows 2000以前版本）：Admin Group
組作用域：全局。
組類型：安全組。
說明您可以按需將目標設(shè)置為云電腦本地管理員的賬號加入該組。
在無影云電腦管理控制臺的AD 設(shè)置面板，找到指定的組織單元OU，然后單擊后面的
圖標，選擇目標組織單元OU。例如：選擇test 。在AD域控的組策略管理中新建GPO。例如：名為User GPO。
在服務(wù)器管理器頁面，單擊右上角的工具，然后選擇組策略管理。
在組策略管理對話框找到test并右鍵單擊，然后選擇在這個域中創(chuàng)建 GPO 并在處鏈接。
在彈出的對話框中輸入User GPO并單擊確定。
為用戶組添加云電腦本地管理員權(quán)限。
右鍵單擊新建的GPO。即右鍵單擊User GPO，然后選擇編輯。
在組策略管理編輯器面板，選擇，然后右鍵單擊本地用戶和組并選擇。
在新建本地組屬性面板，選擇本地組頁簽，然后設(shè)置一下配置項的參數(shù)并選中添加當前用戶。
操作：更新。
組名：Administrators（內(nèi)置）
單擊添加。
單擊應用。
重啟云電腦，云電腦本地管理員權(quán)限生效。
創(chuàng)建HDX協(xié)議AD辦公網(wǎng)絡(luò)報錯，怎么辦？
通常情況下，新建的AD辦公網(wǎng)絡(luò)默認采用ASP協(xié)議。如果您的阿里云主賬號下保有HDX協(xié)議的AD辦公網(wǎng)絡(luò)，在創(chuàng)建或配置HDX協(xié)議AD辦公網(wǎng)絡(luò)中，您可以參考下文描述解決問題。
單擊折疊面板后的
圖標可以展開查看詳細內(nèi)容。
怎么配置條件轉(zhuǎn)發(fā)器和信任關(guān)系？
HDX協(xié)議的AD辦公網(wǎng)絡(luò)創(chuàng)建完成后，需要配置條件轉(zhuǎn)發(fā)器和信任關(guān)系后方可正常使用。具體操作，請參見配置條件轉(zhuǎn)發(fā)器和信任關(guān)系。
辦公網(wǎng)絡(luò)的狀態(tài)為配置信任失敗，怎么辦？
基于HDX協(xié)議創(chuàng)建的AD辦公網(wǎng)絡(luò)，創(chuàng)建AD辦公網(wǎng)絡(luò)成功并配置AD域、條件轉(zhuǎn)發(fā)器和信任關(guān)系后，查看辦公網(wǎng)絡(luò)的狀態(tài)為配置信任失敗。此時您需要登錄AD域控服務(wù)器，配置本地安全策略。相關(guān)操作如下：
在AD域配置面板的配置信任關(guān)系頁面，按照界面提示登錄AD域控服務(wù)器。
在管理員：命令提示符窗口執(zhí)行以下命令，打開本地安全策略頁面。
secpol.msc在本地安全策略頁面，在左側(cè)導航欄選擇。
在本地安全策略頁面右側(cè)的策略面板中，找到網(wǎng)絡(luò)訪問:可匿名訪問的命名管道并右鍵網(wǎng)絡(luò)訪問:可匿名訪問的命名管道，然后選擇屬性。
在網(wǎng)絡(luò)訪問:可匿名訪問的命名管道 屬性面板的本地策略設(shè)置頁簽下，在輸入框中輸入以下內(nèi)容并按照提示完成后續(xù)操作。
netlogon samr lsarpc登錄無影云電腦控制臺。
找到目標AD辦公網(wǎng)絡(luò)，并單擊辦公網(wǎng)絡(luò)ID，然后查看辦公網(wǎng)絡(luò)的狀態(tài)為已注冊，則說明問題已經(jīng)解決。
配置過程中提示請刷新DNS緩存，怎么辦？
配置過程中，您可以單擊辦公網(wǎng)絡(luò)詳情頁面右上角的查詢注冊日志了解報錯信息。如果檢查配置無誤且網(wǎng)絡(luò)互通仍然提示請刷新DNS緩存，您可以重啟AD域控服務(wù)器，或者登錄DNS服務(wù)器，在PowerShell中執(zhí)行以下命令清除DNS緩存。
清除DNS服務(wù)器中的資源記錄
Clear-DnsServerCache -Force清除DNS客戶端的緩存內(nèi)容
Clear-DnsClientCache
怎么檢查DNS條件轉(zhuǎn)發(fā)器配置是否正確？
登錄DNS服務(wù)器。
在管理員：命令提示符窗口執(zhí)行以下命令進行檢查
如果返回AD Connector的IP地址（即連接地址），則表示已正確配置條件轉(zhuǎn)發(fā)器。
您可以在AD辦公網(wǎng)絡(luò)詳情頁面的AD 設(shè)置區(qū)域，找到連接地址。
如果返回報錯信息，請重新配置條件轉(zhuǎn)發(fā)器。關(guān)于如何配置條件轉(zhuǎn)發(fā)器，請參見配置條件轉(zhuǎn)發(fā)器。
nslookup ecd.acs