无密码加入 AD 域

Question

我记得在 Windows NT 的早期，您可以创建“空白”计算机帐户，以便任何人都可以将该名称的计算机加入域。

我想对 Active Directory 执行相同的操作。具体来说：

• 为成员或 RODC 创建一个“空白”计算机帐户
• 无需交互即可将计算机加入域

---

这我正在尝试解决的问题我有 1,400 台 samba4 服务器需要作为 RODC 加入域。我真的真的不想输入 1400 次密码。我希望它能够完全自动化（puppet/chef/whatever）。

也许我可以使用 kssh 和 Kerberos 票证转发来解决这个问题？欢迎提出想法。

Answer 1

我对此的第一个方法是：

1. 创建新的域用户并授予其将计算机加入域的权限。
2. 将其用户名和密码嵌入到您的自动化工具（puppet、chef、shell脚本等等）中。
3. 当所有计算机都加入域后，您可以删除加入域的用户。如果您要保留该用户，则应更改其密码或锁定该帐户。