Mac 加入 AD 域后，哪些事能做，哪些不能？
macOS 能使用 AD 域账号，不意味着它会按 Windows 的方式处理设备策略。我在一台 macOS Sequoia 实验 VM 上做了绑定、GUI/SSH 登录、移动账户和 GPO 对照；最有价值的结果是把“目录身份”和“设备管理”拆开。
原环境为 PVE 虚拟化 macOS，仅作为这次实验背景，本文不展开安装路线，也不把单台实验机结果推广成所有 Mac 的兼容性保证。域名、OU、账号与地址均换成示例。DNS 域使用 corp.example.com，NetBIOS 名单独设为 LAB，不能把两者混用。
绑定前先验证 DNS、时间与对象位置
AD 定位依赖 SRV 记录与主机解析。公网 DNS 会解析网页，不代表会解析内部域。先保存现有网络配置，再把测试接口指向能解析 AD 区域的 DNS；需要保证公网转发仍正常，而不是关闭 IPv6 或不断清缓存试运气。
networksetup -listallnetworkservices
networksetup -getdnsservers Ethernet
scutil --dns
dig +short SRV _ldap._tcp.dc._msdcs.corp.example.com
dig +short SRV _kerberos._tcp.corp.example.com
dateEthernet 是示例服务名，Wi-Fi/VPN 和 scoped resolver 可能改变实际选择。检查所有返回目标的 A/AAAA 可达性，域控与 Mac 时间也应一致。SRV 回答存在不证明 LDAP、Kerberos 和信任密码都有效。
预先建立测试 OU，把加域权限委派给专用账号，而不是默认使用长期 Domain Admin 自动化账号。Apple 提供 AD 集成与对象映射机制，但权限与 OU 仍由部署者设计。Apple AD 集成
先绑定，再明确移动账户与管理员映射
通过目录实用工具或 dsconfigad 绑定。示例不把口令放进命令参数，使用工具交互提示；先查本机 dsconfigad -help 确认选项。名称与 OU 按实际环境替换，测试机器已有对象时先检查归属，不直接加 -force 覆盖。
sudo dsconfigad -add corp.example.com \
-username join-mac \
-computer MAC-LAB-01 \
-ou 'OU=Mac Lab,DC=corp,DC=example,DC=com'
sudo dsconfigad -mobile enable -mobileconfirm enable \
-localhome enable -useuncpath disable
dsconfigad -show移动账户、离线使用、本地家目录和网络家目录是不同设置。这里启用创建确认，故意不沿用原记录的完全静默配置。绑定可成功但账户首次登录失败，也可能身份解析成功但家目录无法创建，必须继续验证。
若确实需要本机管理权限，单独设置特定管理组并检查映射；不要把所有域用户放进管理员组：
sudo dsconfigad -groups 'Mac Local Admins'
id mac-test-groups 授予本机管理权限，不是 SSH 或屏幕共享通行证。原实验用 Domain Admins 映射成功，不构成日常设备应该允许整个域管理员组登录的要求。
认证、GUI 登录与远程服务分别验收
先用 id 检查身份和组，再用交互认证，最后实际登录。示例不会把密码写进 shell 历史：
id mac-test
kinit [email protected]
klist
stat -f%Su /dev/consolekinit 成功说明拿到了该 Kerberos 路径的票据，不等于 GUI 登录已发生；/dev/console 需与真实登录画面、账户和家目录对应。记录中还曾为无头测试使用自动登录：因此不能把所有桌面出现都称为人工输入密码成功。
历史测试通过短名、LAB\user 和 UPN，DNS 域名前缀的反斜杠写法失败。此结果限定到该目录配置，避免对每种 Windows/Mac 路径作普遍保证。一次受控错误口令可用于验证拒绝行为，但不要在生产账号上循环制造锁定。
原机 SSH 访问 ACL 嵌套了本地 admin，所以普通域用户被拒，加入服务 ACL 后恢复。这不是所有 Mac 默认只能管理员 SSH 的证明。先在系统设置查看远程登录允许列表，必要时只给测试用户权限，再验收登录和家目录；认证、授权与可用 shell 分别记录。
离线登录说明的是缓存账户
历史移动账户建立后，实验机阻断两台 DC 的 IPv4、IPv6 和 LDAP 路径，重启后仍登录成功，DC 未见对应认证事件。合在一起支持那次使用本地缓存认证，不能单凭 DC 上零事件判定所有认证都离线。
反向的“没有缓存时必失败”没有在记录中做成：删除本地缓存遇到系统限制，未构造出干净对照。本文保留这个缺口，也不建议通过禁用 SIP 或粗暴删除目录数据库来完成测试。使用新的测试用户或干净 VM 更适合建立反例。
离线可用带来运维问题：AD 禁用、锁定和改口令后，本地缓存何时刷新、用户钥匙串是否同步、重新联网后如何恢复，都要另外测试。原记录没有证明域账号禁用能立即阻断离线 Mac 登录。正式使用前还要考虑 FileVault 与启动解锁授权，不能把可登录移动账户等同于已经获得磁盘解锁能力。
GPO 对照实验没有把 Mac 变成 Windows
原实验建立同一个登录横幅 GPO，在 Windows 对照上验证 gpupdate、gpresult 和注册表结果，再观察 Mac。Windows 横幅设置落地，Mac 未出现同类变化；DC 在采样时没有观察到该 Mac 打开的 SYSVOL 会话，Mac 侧也没有对应托管产物。
gpresult /r
Get-SmbSession
Get-SmbOpenFile这些是 Windows 对照与服务端观察工具，不能拿 gpresult 查询 Mac 后 RPC 失败，反过来说 GPO 链接失效。瞬时 SMB 会话查询也不能证明 Mac 从来没访问过 SYSVOL。原生绑定提供的是目录整合，不自动获得 Windows 客户端的 GPO 执行行为。
| 能力 | 本次证据与边界 |
|---|---|
| 目录身份、组映射 | 查询与登录结果支持 |
| 在线账户锁定 | 测试返回锁定拒绝，DC 记录 4740；不能推广到离线缓存 |
userWorkstations 限制 | 当时 LDAP、Kerberos、OD 测试未按预期拒绝；需逐协议设计访问控制 |
| Windows 登录横幅 GPO | Windows 生效，Mac 无同类结果 |
| MDM 设置下发 | 作为独立设备管理路线，本文未部署完整 MDM |
不沿用原文“只有某一家商业 Agent”“所有开源方案都不能用”以及产品免费额度等容易过时的市场判断。若选第三方 Agent，要查目标 macOS 支持矩阵和具体设置，再做验收，不把产品名称当兼容性证明。
认证与设备策略分别设计
设备策略用 Apple 的设备管理与配置描述文件路线，身份整合按需求选择目录绑定、Kerberos SSO 或 Platform SSO。三者不是同一个组件，SSO 不自动安装设备策略，MDM 也不会因为加入 AD 就原样执行 Windows 注册表 GPO。Apple 设备管理介绍
原记录中的 profiles install 在目标系统拒绝安装，这是该命令在那套版本上的观察，不写成“macOS 15 才首次禁止”。用当前受支持的 UI 或 MDM 流程，安装后核对描述文件与真实效果。也不把 Intune 的 Windows GPO 分析迁移工具描述成会自动生成等价 Mac 策略。
与authentik 控制台 SSO相比，本篇是设备目录整合：AD 登录 Mac 不等于已经配置浏览器 OIDC 登录；浏览器 SSO 成功也不证明本机管理员或离线登录符合预期。
清理要保留本地恢复路径
测试前保留可用本地管理员和现有 DNS 配置；测试后撤销临时远程服务授权、自动登录、阻断规则与测试 GPO 链接。离域前备份所需用户数据，确认后续登录用哪个本地账号；不要用泛化删除 OU、GPO 或所有用户的脚本收尾。
dsconfigad -show
sudo dsconfigad -remove -username join-mac核对离域结果后，在 AD 侧只处理本次明确创建的对象。移动账户与家目录的后续保留/迁移是独立决策，离域不等于已删除用户数据。最后检查 DNS 恢复、公网解析、本地登录和远程授权。记录完整，才能说这次绑定和撤销都可控。
本文日期采用主 KB 首次 Git 提交日期 2026-09-16（UTC+8），提交 a26667a。合并来源保留在元数据中；历史操作时间与入库时间分别注明。修订后的配置示例未在生产设备执行。