如何安装和使用 Active Directory Users and Computers (ADUC)

ADUC 是一个 Microsoft 管理控制台（MMC）管理单元（snap-in），可让管理员管理 Active Directory 对象及其属性。例如，他们可以：

• 更改密码。
• 重置用户帐户。
• 将用户添加到安全组。
• 创建和删除组织单位（OU）
• 将诸如 RID Master、PDC Emulator 和 Infrastructure Master 之类的 FSMO 角色分配给域控制器。
• 创建并管理计算机、组和用户及其属性
• 委派对对象的控制。
• 在 AD 中定义高级安全性和审计。

您可以在我们的 AD 入门教程 中找到更多关于 Active Directory 的信息。主要来说，Active Directory 域 控制器会在 Windows 中默认安装 ADUC。不过，在某些情况下它可能不存在，这就需要您根据当前 Windows 版本选择其他方式来添加它们。

以下是在当前版本的 Windows 中添加 Active Directory 用户和计算机的方法。

通过远程服务器管理工具（Remote Server Administration Tools，RSAT）添加 ADUC

在当前版本的 Windows 中，Remote Server Administration Tools 包含 ADUC。因此，要在当前版本的 Windows 中启用 ADUC，请安装 Remote Server Administration Tools (RSAT)。

注意： RSAT 只能安装在运行 Windows Professional 或 Enterprise 版本的计算机上。

RSAT 使管理员能够运行管理单元（snap-ins）和工具，用于在远程服务器或其他计算机上控制功能、角色以及角色服务。RSAT 从 Windows Server 2008 R2 开始与操作系统捆绑提供。对于更早版本的 Windows Server，以及 Windows 7 和 Windows 8，RSAT 可作为可下载的软件包提供，并附带安装说明。

RSAT 软件包中包含的远程管理工具包括以下内容：

• Active Directory Users and Computers (ADUC) — 系统管理员广泛使用，用于创建和管理 Active Directory 对象
• Active Directory Administrative Center — 用于管理 AD 回收站，且密码策略 并显示你的 PowerShell 历史记录
• 适用于 Windows PowerShell 的 Active Directory 模块 — 提供用于管理 AD 的 PowerShell cmdlet
• Active Directory 域和信任 — 允许您管理功能级别、林功能级别和用户主体名称（UPN），以及林与域之间的信任
• Active Directory 站点和服务 — 让您查看并管理站点和服务
• ADSI 编辑 — 为管理 AD 对象提供了一些功能，不过大多数专家建议使用 ADUC

如何修复 Windows 10 中的 RSAT 错误

RSAT 可能因多种原因而崩溃，包括更新失败、安装文件损坏或操作系统不兼容。此外，如果服务器管理员尝试修改其任何管理工具，尤其是 RSAT 的 Active Directory Administrative Center (ADAC) 组件，也可能会出现问题。以下是一些故障排除建议：

首先，请确保已为你的操作系统安装了正确的 RSAT 版本。如果没有，请卸载 RSAT 并安装对应的正确版本。

如果你遇到 RSAT 安装错误 0x800f0954：

1. 右键单击“开始（Start）”按钮 > 选择“运行（Run）”> 输入“msc”> 单击“确定（OK）”。
2. 在本地 组策略 编辑器中，依次导航到 计算机配置（Computer Configuration） > 管理模板（Administrative Templates） > 系统（System）。
3. 右键单击 指定用于可选组件安装和组件修复的设置 策略 > 将其设置为 启用并 勾选该复选框 从 Windows 更新直接下载修复内容和可选功能，而不是从 Windows Server 更新服务 (WSUS)。
4. 单击 应用 > 单击 确定。
5. 右键单击 “开始” 按钮 > 选择 “运行” > 输入 gpupdate > 单击 “确定”。

RSAT 安装 错误 0x80070003 通常与从非典型位置进行安装有关。将安装文件复制到目标计算机的本地驱动器，然后继续。

如何在 Windows 成员服务器上安装 ADUC

要安装 ADUC，请按如下方式使用 Server Manager 中的向导。Server Manager 是随 Windows Server 一起提供的管理工具：

1. 通过以下任一方式启动 Server Manager：

• 如下面所示，单击任务栏上的 Server Manager 图标：

• 单击 开始 按钮，然后在搜索框中输入 Server Manager 。接着单击 Server Manager 图标。

2. 要打开向导，请单击 添加角色和功能 。

3. 第一个页面会说明你可以使用向导完成哪些操作，以及使用它所需的先决条件。点击 Next 以继续。

4. 在下一页，选择 Role-based or feature-based installation ，然后点击 Next 。

5. 从服务器池中选择一台服务器，或选择虚拟硬盘。点击 Next 。

6. 下一页会列出你可以安装的角色。我们将跳过此步骤，只需点击 Next 。

7. 在下一页，选择 Remote Server Administration Tools 和 AD DS and AD LDS Tools，这将自动选择其他 Active Directory management tools 。点击 Next 。

8. 下一页会显示正在安装的工具摘要。选择 如果需要则自动重新启动目标服务器 复选框，因为某些角色和功能需要重新启动服务器。点击 安装 以开始安装。

9. 在下一页中，你可以查看安装进度。点击 关闭 可随时关闭向导；安装将作为正在运行的任务继续。

10. 安装成功后，打开 Server Manager，然后点击“工具”(Tools)菜单以查看已安装的工具。下图截图展示了 Active Directory Users and Computers 以及其他管理工具：

在安装 ADUC 之前如何查找 Windows 版本

你可以按照以下任一步骤来确定 Windows 版本。

• 在左侧导航窗格中，单击 Start > Settings > System > About。您将看到如下所示的版本（edition）、版本号（version）以及操作系统（OS）构建信息：

右键单击 Start 菜单，然后单击 System。您将看到如下所示的版本（edition）、版本号（version）以及操作系统（OS）构建信息：

在 Windows 10 1809 及以上版本上安装 ADUC

以下是在 Windows 10 1809 及以上版本上安装 ADUC 的步骤：

1. 点击 Start 菜单，然后点击 Settings > Apps。

2. 点击 Optional Features，然后点击 Add a feature。

3. 点击 RSAT: Active Directory Domain Services and Lightweight Directory Services Tools。

4. 点击 Install。

安装完成后，您会在 Start 菜单中的 Windows Administrative Tools 下看到一个新的条目。

使用命令行安装 ADUC

或者，如果你使用的是 Windows 10 1809 及更高版本，可以按照以下步骤通过命令行安装 ADUC：

1. 单击 “开始” （或按 Win+R ）。输入 cmd ，然后单击 Enter 。
2. 运行以下命令：

dism /online /enable-feature /featurename:RSATClient-Roles-AD

dism /online /enable-feature /featurename:RSATClient-Roles-AD-DS

dism /online /enable-feature /featurename:RSATClient-Roles-AD-DS-SnapIn

在 Windows 8 或 Windows 10 1803 及更低版本上安装 ADUC

1. 从 Microsoft 下载中心下载适用于 Windows 10 1803 及更低版本的 Remote Server Administrator Tools，然后进行安装。

2. 单击 Windows 开始 按钮，然后单击 控制面板 > 程序。在 程序和功能 下，单击 打开或关闭 Windows 功能。

3. 在“功能”列表中向下滚动，然后展开 Role Administration Tools -> AD DS and AD LDS Tools。勾选 AD DS Tools. 然后点击 OK。

4. 系统安装完这些工具后，点击 Restart now。

安装完成后，文件夹 Windows Administrative Tools 将出现在 Start 菜单中，ADUC 会在该文件夹里。

在较旧版本的 Windows 上安装 ADUC

如果你使用的是较旧版本的 Windows，你可以下载相应的 RSAT package，然后在控制面板中使用 Add Windows features 来添加所需的 MMC 管理单元。

请注意：如果在运行 Windows 7 的计算机上安装 RSAT，则必须在 RSAT 安装完成后手动启用这些工具。

转到 开始 > 控制面板 > 程序和功能，然后使用 启用或关闭 Windows 功能。

ADUC 控制台组件

“Active Directory 用户和计算机”控制台包含一些关键组件，可帮助系统管理员轻松管理对象：

• 菜单栏： 包含“文件”“操作”“视图”和“帮助”菜单
• 工具栏：包含用于执行快速操作的按钮，例如创建新的用户或组，以及显示/隐藏“目录”和“操作”窗格
• 目录（控制台树）窗格：显示所连接域的层次结构，以及可用容器和组织单位（OU）的列表
• 对象窗格：显示对象及其属性；你可以使用“查看”菜单编辑列
• 操作窗格：显示所选对象的详细信息，并提供一个 更多操作 选项

ADUC 高级设置

默认情况下，ADUC 会显示一些 OU 和其他容器。要对其他容器进行操作，请点击 View 菜单，然后点击 Advanced Features。

接着你将看到其他属性。下面，你可以比较正常视图（左侧）中提供的选项卡与高级视图（右侧）中的选项卡：

如何使用 Active Directory Users and Computers（ADUC）

创建组织单位（OU）

请按照以下步骤创建组织单元：

1. 右键单击要在其下创建所需 OU 的域或 OU；然后单击 新建 > 组织单元 。

2. 在“名称”字段中为新的 OU 输入名称，并指定是否保护该 OU 以防意外删除。单击 确定 以创建组织单元。

添加用户账户

1. 选择要添加用户的域，然后展开其内容。
2. 右键单击要添加用户的容器（通常是 Users），选择“新建”，然后单击“用户”。

3. 输入新用户的名、姓和登录名。然后单击下一步。

4. 为用户输入并确认新密码。请确保启用以下选项之一，以控制用户必须如何管理其密码：

• 用户在下一次登录时必须更改密码
• 用户不能更改密码
• 密码永不过期
• 帐户已禁用
  单击 下一步。

5. 确保你输入的所有内容都正确，然后单击 完成。

启用和禁用用户帐户

你可以使用 ADUC 中的快捷菜单轻松禁用或启用用户帐户。

启用用户帐户：

• 右键单击已禁用的用户，然后单击“Enable Account”。

禁用用户帐户：

• 右键单击要禁用的用户对象，然后单击“Disable Account”。

创建组对象

按照以下步骤使用 ADUC 创建组：

1. 右键单击要在其下创建新组的域或 OU。
2. 指定以下内容：

• 组的名称以及 Windows 2000 之前的名称
• 组类型：分发或安全
• 组作用域：域本地、全局或通用

3. 单击 OK 以创建该组。

将用户添加到组

1. 右键单击要将用户添加到组的域，然后选择 Find。
2. 在以下位置选择 Users, Contacts, and Groups：在 Find 下拉列表中。
3. 输入要将用户添加到其中的组名，然后点击 Find Now，在搜索结果中选择所需的组，然后点击 OK。

4. 转到 Action > Properties，然后点击 “Members”选项卡。点击“Add”。

5. 输入要添加的用户名称，然后单击“Check Names”。（或者，你可以使用 Advanced 按钮逐个搜索用户。如果指定多个用户，请使用分号分隔他们的名称。） 然后单击“OK”确认 添加操作。

从组中移除用户

1. 右键单击要从中移除用户的域，然后选择 Find。
2. 选择 Users, Contacts, and Groups ，位于 Find 下拉列表中。
3. 输入要从中删除该用户的组名称，然后单击 Find Now。
4. 右键单击所需的组，然后选择 Properties。
5. 转到 Members 选项卡，选中该用户，然后单击 Remove。

重置用户密码

1. 转到用户域的 Users 文件夹。
2. 右键单击用户的名称，选择 All Tasks ，然后选择 Reset Password。

3. 输入新密码，并在 Confirm password 框中再次输入，然后单击 OK。

将用户移到另一个 OU

1. 右键单击 Active Directory Users and Computers ，然后选择 Connect to Domain。
2. 输入用户的域名，然后单击 OK。
3. 右键单击用户，然后选择 Move。
4. 选择要将用户移动到的容器，然后单击 OK。

更改用户数据

1. 右键单击 Active Directory Users and Computers，然后选择 Connect to Domain。
2. 输入用户的域名，然后单击OK。
3. 右键单击用户，然后选择Properties。
4. 转到包含要更改数据的选项卡，进行编辑，然后单击OK.

更改组的类型和作用域

要更改组的类型或作用域，请执行以下步骤：

1. 右键单击所需的组，然后选择 Properties。

在“常规”(General)选项卡上，指定新的组类型和/或范围。然后点击 OK.

在目录中查找对象

ADUC 提供了强大的搜索功能，可在整个目录中查找对象。你可以使用“查找”(Find)对话框查找用户、联系人、组和组织单位 (OU)：

1. 右键单击域或某个 OU，然后点击 Find。

2. 在“查找（Find）”对话框中，指定以下内容：

• 在下拉列表“Find”中，选择“用户、联系人和组”。
• 使用下拉列表“In”，选择要搜索的位置：可以选择一个域，也可以选择整个目录。
• 要缩小搜索范围，请使用“浏览（Browse）”按钮选择特定的 OU。
• 在“Name ”字段中，输入要查找的用户的名字（名字或全名）或要查找的组的名称。
  单击“Find Now”。

3. 查看搜索结果。你可以双击对象以查看其属性。

将控制权委派给用户

使用 Active Directory 委派向导，你可以启用某个用户或组来执行特定任务，例如创建用户对象或管理特定域控制器。

请按以下步骤将权限委派给特定用户：

1. 右键单击你要将权限分配给对象的域或 OU。点击 委派控制 以启动“委派控制”向导。

2. “欢迎(Welcome)”页面说明了你可以使用此向导执行哪些操作。请单击 Next。

3. 在下一页中，单击 Add以搜索要应用权限的用户或组对象。

4. 输入要进行委派的用户或组名称，然后单击 Check Names。从匹配对象列表中选择所需的用户，然后单击 OK。

5. 现在你将在 Selected users and groups 字段中看到该对象。单击 Next。

7. 选择委派的范围：

• 选择“此文件夹、此文件夹中的现有对象，以及在此文件夹中创建新对象”将把对所选文件夹或 OU 上该对象的所有权限授予该对象。
• 选择“仅以下文件夹中的对象”即可将权限委派给您指定的、文件夹中的对象。
  单击“下一步。

8. 选择要委派的权限，然后单击“下一步”。

9. 查看所做的更改，然后单击“完成”。

创建并保存查询

您可以使用 ADUC 控制台中的 Saved Queries 功能来构建复杂的 LDAP 查询。您可以保存这些查询并用于：

• 快速查找 AD 对象。
• 高效完成日常的 AD 对象管理活动，例如选择特定 Exchange 服务器上拥有邮箱的公司所有员工，或显示域中所有已禁用账户的列表。
• 对来自不同 Active Directory OU 的对象执行操作。
• 批量执行锁定/解锁、启用/禁用、移动、移除和重命名操作。
• 绕过 Active Directory 的 OU 层级，并在平铺的表格视图中收集所有所需对象。

按以下步骤为某个操作创建查询：

1. 右键单击要执行搜索操作的域或 OU，然后选择 New -> Query。

2. 为查询提供名称和描述。 （如果要选择其他 OU，请单击 Browse。）然后单击 Define Query 打开用于定义查询的另一个对话框。

3. 使用 Find 下拉菜单选择常见查询，例如：

• 用户、联系人和组
• 计算机
• 打印机
• 共享文件夹
• 组织单位
• 自定义搜索
• 常用查询

4. 使用“用户”或“计算机”或“组”选项卡来定义查询。例如，在“用户”选项卡下，您可以通过以下条件限制查询：

• 已禁用的账户
• 不失效的密码
• 自用户上次登录域以来的天数
  单击 OK 以创建查询。

使用上下文菜单执行其他操作

在 ADUC 中，上下文菜单会在你单击某个对象或在空白区域中单击中间窗格时显示。该菜单会显示针对你选择的对象类型的常用命令和选项。下面是不同对象类型对应的上下文菜单示例：

域

OU

用户

组

计算机

联系人

Netwrix 如何提供帮助

尽管 ADUC 可能是管理员的宝贵工具，但对帮助台技术人员和业务用户而言，访问乃至使用都可能很困难。 Netwrix Directory Manager 可让您轻松创建基于 Web 的门户，从而便于执行诸如创建和编辑组与用户之类的任务，无需任何管理员协助。

您可以根据每位用户的角色，控制其可查看和可更改的内容。为了确保数据完整性，您可以定义工作流，在更改应用之前先验证所提供的信息。

管理员使用控制台不仅限于这三项任务。其完整范围包括：

Active Directory Users and Computers (ADUC) 是 Microsoft Management Console (MMC) 的一个插件，支持大多数日常目录操作：重置密码、创建和删除用户及组，以及委派目录对象的控制权限。

• 重置密码并解锁账户。
• 创建、修改和删除用户、组和计算机对象。

当Microsoft更改了Remote Server Administration Tools (RSAT)的交付方式后，关于如何将其安装到工作站的说明已过时，因此按照去年的指南设置的工作站通常根本没有控制台。

• 添加和删除安全组成员。
• 创建和删除组织单位（OUs）。
• 委派目录对象的控制权。
• 在单个对象上设置安全和审计选项。

ADUC中的Operations Masters对话框还在域控制器之间传输五个Flexible Single Master Operations（FSMO）角色中的三个，即Relative ID（RID）Master、主域控制器（PDC）模拟器和Infrastructure Master。

Remote Server Administration Tools 包含的内容

Schema Master 和 Domain Naming Master 的转移在其他地方进行，通过 Active Directory Schema 插件和 Active Directory Domains and Trusts。控制台文件是 dsa.msc，包含在 RSAT Active Directory Domain Services 和 Lightweight Directory Services 工具中。

搜索单独的ADUC安装程序在Microsoft处无结果。域控制器已经有该控制台。在任何其他机器上，请使用与您的Windows版本匹配的方法添加它。

RSAT仅安装在Windows的Pro、Enterprise、Education和Pro for Workstations版本上。Windows 11 Home和Windows 10 Home不支持它。

该套餐涵盖多个控制台：

• Active Directory Users and Computers (ADUC)：创建和管理目录对象；大多数管理员每天使用此控制台。

RSAT 允许管理员运行管理远程服务器上的角色、角色服务和功能的管理单元和工具。自 Windows Server 2008 R2 起，它随操作系统一起发布。从 Windows 10 版本 1809 开始，Microsoft 将其作为 Windows 客户端上的一组 Features on Demand 提供，而非可下载的软件包。

安装ADUC与安装Active Directory的比较

• Active Directory Sites and Services：管理站点拓扑、子网和复制。
• Active Directory Service Interfaces (ADSI) Edit：直接编辑对象和属性，包括其他控制台未显示的属性。
• Windows PowerShell 的 Active Directory 模块：提供用于脚本化目录管理的 cmdlet。
• Active Directory Administrative Center (ADAC)：管理AD回收站和细粒度的密码策略，并显示每个操作背后的PowerShell运行历史。
• Active Directory Domains and Trusts：管理域和林的功能级别、用户主体名称（UPN）以及域与林之间的信任关系。

安装了 ADUC 的计算机仍然是成员计算机。它不保存目录数据库的副本，仍需访问现有目录。

如何先检查Windows版本和版本号

安装ADUC会向工作站或成员服务器添加管理控制台。部署Active Directory Domain Services会创建一个林、一个域和一个域控制器。由于两项任务使用相同的术语，管理员可能会进入错误的指南。

RSAT需要Pro、Enterprise、Education或Pro for Workstations。报告为Home的机器没有支持的控制台路径。Windows 10版本1809及以后的版本使用Features on Demand方法，较早版本需要已停用的独立安装包。

要建立新域，请参阅此指南，了解部署和设置 域控制器。有关目录本身的组织方式，请参阅此基础介绍：Active Directory basics。

如何在Windows 11上安装ADUC

开始前请检查两者，因为版本和版本号决定了安装方法。 点击开始 > 设置 > 系统 > 关于，或右键点击开始菜单并选择 System。

从设置安装ADUC

1. 打开 设置 > 系统 > 可选功能。

浏览可选功能窗格；这是您手动设置的计算机上最短的路径。

Windows 11 提供 ADUC 作为按需功能。无需查找下载或解压包。确认版本为 Pro、Enterprise、Education 或 Pro for Workstations，使用本地管理员权限登录，然后使用以下方法之一。

1. 在搜索框中输入 RSAT。
2. 在“添加可选功能”旁，点击“查看功能”。
3. 选择 RSAT：Active Directory Domain Services 和 Lightweight Directory Services Tools。

从运行对话框运行optionalfeatures.exe会打开较旧的Windows Features面板，如果您已经熟悉它，这是更快捷的路径。

1. 点击“下一步”，然后点击“添加”。

使用 PowerShell 安装 ADUC

请确认结果：

功能名称使用了四个连续的波浪号字符，复制时容易出错。如果命令报告无法识别的功能，请首先检查它们。

capability 命令适用于所有支持的版本，适合脚本化或重复安装。以管理员身份打开 PowerShell 并运行：

Deployment Image Servicing and Management (DISM) 从提升的命令提示符安装该功能，适合脚本化构建和映像：

Arm64 设备是例外

Installed 意味着工具已存在。 NotPresent 意味着Windows识别该功能但尚未安装。安装通常报告RestartNeeded: False，因此通常不需要重启。

较旧的 dism /online /enable-feature /featurename: RSATClient-Roles-AD-DS-SnapInExpand 语法属于 Microsoft 在 Windows 10 版本 1803 之后弃用的独立 RSAT 包。在 Windows 11 和当前 Windows 10 版本中无法使用。

如何在 Windows 10 上安装 ADUC

ARM硬件采用不同的路径，上述命令不是起点。微软在2026年2月的非安全预览更新中为Windows 11版本24H2和25H2添加了Arm64 RSAT支持，并在2026年3月的累积更新中将其移至稳定服务通道。

在 Windows 10 中，设置位于“应用”下，而非“系统”下。

Windows 10 版本1809及以后：使用上述的Features on Demand方法。Windows 10 已于 停止支持 于2025年10月14日，因此请将本节视为仍在运行该版本的系统的指导。

2. 选择可选功能，然后点击添加功能。

在 Arm64 上，两个版本都将 AD DS 和 AD LDS 工具作为可选组件提供，而不是 Features on Demand，因此该条目位于 控制面板 > 程序 > 程序和功能 > 启用或关闭 Windows 功能。版本 26H1 将它们集成为 Features on Demand 并在设置中列出，匹配 x64 的行为。在仍运行 24H2 或 25H2 的 ARM 设备上，这种拆分是该条目在满足先决条件的机器上缺失设置的原因。

1. 打开 设置 > 应用。

4. 打开开始菜单，在 Windows Administrative Tools 下找到控制台，这是Windows 10用来替代Windows Tools的文件夹。

3. 搜索 RSAT，选择 RSAT: Active Directory Domain Services and Lightweight Directory Services Tools，然后点击 安装。

如何在Windows成员服务器上安装ADUC

上述的Add-WindowsCapability和DISM命令在1809及以后版本的任何构建中均以相同方式工作。

Server Manager 在 Windows Server 上处理此操作，以下向导适用于 Windows Server 2012 R2 至 Windows Server 2022 和 Windows Server 2025。

2. 点击Add roles and features以打开向导。

1. 从任务栏图标启动Server Manager，或点击开始 并在搜索框中输入Server Manager。

4. 从服务器池中选择服务器或虚拟硬盘，然后点击 Next。

5. 在 Server Roles 页面点击Next。

3. 点击 Next，跳过先决条件页面，然后选择 Role-based or feature-based installation。

8. 查看进度页面，或在安装继续在后台进行时关闭它。

6. 选择 Remote Server Administration Tools，AD DS and AD LDS Tools；这将自动选择其他 Active Directory 管理控制台。点击下一步。

7. 审核摘要，选中Restart the destination server automatically if required 复选框，然后点击安装。

PowerShell 从提升的会话中一行安装这些工具：

如何在旧版本的Windows上安装ADUC

9. 打开 Server Manager 并点击 Tools 菜单以查看已安装的控制台。

如果只想安装 PowerShell 的 Active Directory 模块而不安装控制台，请使用 Install-WindowsFeature RSAT-AD-PowerShell。域控制器已经包含 ADUC，因此这些步骤不适用于它们。

在 Windows 8、Windows 10 版本 1803 及更早版本中，RSAT 是单独下载的功能，而非内置功能。这是仅有的两种需要实际下载的情况之一；另一种是从 Features on Demand ISO 离线安装。

安装后如何打开ADUC

Windows 7 在安装包安装后使用该对话框。

1. 安装该Windows版本的RSAT包，然后点击开始 > 控制面板 > 程序 > 启用或关闭Windows功能。

有三种路径可以打开控制台，运行对话框是任何键盘上最快的。

2. 展开 Role Administration Tools > AD DS and AD LDS Tools，勾选 AD DS Tools，然后重启。

ADUC安装和连接问题的故障排除

如果控制台打开但未显示目录，或安装未完成，下面的部分涵盖这两种情况。

• 开始菜单：Windows 11 将 ADUC 列在 Windows Tools 下，取代了旧的 Windows Administrative Tools 文件夹。Windows 10 仍然使用旧的文件夹名称。

RSAT安装失败，错误代码为0x800f0954

• Server Manager：在 Windows Server 上，打开 Server Manager，然后选择 Active Directory Users and Computers，位于 Tools 菜单中。

1. 右键点击开始按钮，选择运行，输入 gpedit.msc，然后点击确定。

安装和连接失败的原因不同，因此以下各节按此顺序排列。前三节涵盖无法完成的安装或从未出现的控制台，最后两节涵盖打开但无法访问目录的控制台。请根据您看到的症状逐项排查。

此错误表示 Windows 无法访问 Features on Demand 负载，通常是因为策略将计算机指向内部更新服务。请先确认您拥有适用于操作系统的正确 RSAT 版本，然后更改策略：

• 运行对话框：按下 Win+R，输入 dsa.msc，然后按 Enter。这也是确认安装成功的最快方法。

在不允许该策略更改的受管理设备和隔离网络上，请改为从本地源安装。下载与目标机器上Windows版本完全匹配的Languages and Optional Features ISO，挂载后运行：

1. 在本地 Group Policy 编辑器中，导航到 计算机配置 > 管理模板 > 系统。
2. 右键单击 指定可选组件安装和组件修复的设置 策略，将其设置为 Enabled，并选中复选框，从 Windows Update 直接获取修复内容和可选功能，而不是使用内部更新服务。
3. 点击Apply，然后点击OK。

-LimitAccess 开关阻止 Windows 连接到 Windows Update。源必须与已安装的版本、架构和语言匹配。排除策略和网络访问后，不匹配的 ISO 是这里最常见的失败原因。

1. 右键单击“Start”按钮，选择“Run”，输入“gpupdate /force”，然后点击“OK”。

此错误通常是由于从不常见的位置安装引起的。请将安装文件复制到目标机器的本地驱动器，然后重新运行安装。损坏的安装文件或操作系统不匹配会产生相同的结果，因此如果本地副本也失败，请同时检查这两者。

RSAT成功安装后缺少ADUC

ADUC 打开但无法连接到域

RSAT安装失败，错误代码0x80070003

在假设安装失败之前，请使用上方PowerShell部分的Get-WindowsCapability查询检查实际功能状态。如果状态显示为Installed，则工具已存在，只是控制台不在通常列出的地方。确认文件位于C:\Windows\System32\dsa.msc，或从运行对话框运行dsa.msc。ADUC和Active Directory Administrative Center在某些版本中是独立条目，因此可能只有其中一个存在。

访问目录取决于安装程序从未触及的条件。请按以下顺序检查：

1. 域控制器可达性。至少有一个控制器在线并响应。
2. 域名系统（DNS）。该机器的DNS指向域控制器，而非公共解析器。这是最常见的原因。
3. 防火墙。发往控制器的 Lightweight Directory Access Protocol (LDAP) 和 Kerberos 流量未被阻止。
4. 域成员资格。计算机已加入域，或者如果您是远程，则通过VPN连接。
5. 权限。您的帐户对您正在浏览的OU拥有读取权限。

在未加入域的计算机上使用ADUC

非域内计算机只要在启动时提供域凭据，即可运行控制台：

如何导航ADUC控制台

/netonly 开关将这些凭据应用于网络访问，同时保持本地会话不变。计算机仍需解析域的 DNS 并访问域控制器，因此请将 DNS 指向控制器或先通过 VPN 连接。Windows 无法使用 /netonly 在本地验证密码，因此输入错误会表现为连接失败，而非提示。

控制台组件

ADUC 默认连接到登录会话的 Active Directory domain。要定位其他域，请右键单击 Active Directory Users and Computers 根目录，然后选择 Change Domain。

界面分为以下几个区域：

布局在各个Windows版本中保持不变，但“查看”菜单中的一个设置会改变目录显示的范围。

• 菜单栏：包含 File、Action、View 和 Help 菜单。
• 工具栏：包含用于快速操作的按钮，例如创建用户或组以及显示或隐藏其他窗格。
• Directory (console tree) 面板：显示已连接域的层级结构，包括其容器和 OU。

显示系统容器和属性编辑器

• 操作窗格：显示所选对象的详细信息，并提供“更多操作”选项。
• 对象窗格：显示对象及其属性，列可通过“视图”菜单配置。

默认情况下，ADUC 会隐藏多个容器和对象属性选项卡。打开“查看”菜单，点击“高级功能”以显示它们。

如何使用 Active Directory Users and Computers

创建组织单位

2. 在名称字段中输入名称，指定是否保护OU免于意外删除，然后点击确定。

1. 右键单击将包含新OU的域或OU，然后点击新建 > 组织单位。

以下任务假设控制台已连接到域，且登录的账户拥有执行每项操作所需的权限。如果没有权限，菜单选项仍然可见，提交更改时操作会失败。

添加用户账户

有关批量OU操作，请参阅此PowerShell管理OU的教程。

启用此设置后，将显示 Attribute Editor 选项卡和目录的系统容器。下面的比较显示了左侧默认视图和右侧扩展视图中可用的属性选项卡。

5. 检查摘要，然后点击完成。

3. 输入用户的名字、姓氏和登录名，然后点击下一步。

1. 右键单击目标容器，通常是Users，选择新建，然后点击User。

对于多个账户，请参阅本指南了解 批量用户创建 在 Active Directory 中。

4. 输入并确认密码，然后在对话框中设置四个密码选项之一。这些选项会强制下次登录时更改密码、阻止用户更改密码、免除密码过期或保持账户禁用。点击“下一步”。

启用和禁用用户账户

右键单击活动用户，然后点击禁用账户以撤销其权限。

创建组对象

上下文菜单支持双向操作，因此右键点击已禁用的用户，然后点击启用账户以恢复访问权限。

1. 选择用户所属的域并展开其内容。

有关例行清理，请参阅此禁用非活动用户账户的操作指南，使用PowerShell。

1. 右键单击将包含新组的域或OU，然后点击 新建 > 组。

3. 点击确定以创建组。

组的类型和范围在创建时设置，之后更改范围可能会因已有的成员关系而失败。

1. 指定名称和 pre-Windows 2000 名称，组类型（分发或安全）以及组范围（域本地、全局或通用）。

重置用户密码

4. 要删除成员，请在“成员”选项卡中突出显示用户，然后点击“删除”。

2. 在结果中右键单击该组，选择属性，然后打开成员选项卡。

1. 右键单击包含该组的域，选择查找。在查找下拉列表中选择Users、Contacts和Groups，输入组名，然后点击立即查找。
2. 转到用户的域文件夹。

3. 要添加成员，点击添加，输入用户姓名，点击检查姓名，然后点击确定以确认添加。多个直接输入的姓名用分号分隔，同一对话框中的扩展搜索选项可逐个查找用户。

向组中添加和移除用户

3. 输入新密码，在确认密码框中再次输入，然后点击确定。

1. 右键单击用户名称，选择“所有任务”，然后选择“重置密码”。

将用户移至另一个组织单位

1. 右键单击用户并选择移动。

移动对象会更改适用的 OU 委派权限和组策略，因此在提交前请确认目标位置。

1. 右键单击用户并选择属性。
2. 导航到包含您要更改的属性的标签页，进行编辑，然后点击确定。
3. 选择目标容器，然后点击确定。

更改用户属性

更改组的类型和范围

这两个设置都位于“常规”选项卡中，Windows 会将当前成员资格不允许的转换显示为灰色。

在目录中查找对象

1. 右键点击该组并选择属性。

查找对话框可在单个域或整个目录中搜索用户、联系人、组和OUs。

2. 在“常规”选项卡上，指定新的组类型或范围，然后单击“确定”。

1. 右键单击域或OU，然后点击查找。

将控制权委托给用户

Delegation of Control 向导允许用户或组执行特定任务，例如创建用户对象或管理特定域控制器，而无需成为更广泛管理员组的成员。

2. 将“Find”下拉菜单设置为对象类型，使用“In”下拉菜单选择域或整个目录，使用“Browse”缩小搜索范围到特定OU。在“Name”字段中输入用户的名字或全名，或组名，然后点击“Find Now”。

1. 点击欢迎页后的“下一步”，然后点击“添加”以搜索接收权限的用户或组。

3. 输入用户或组名，然后点击“检查名称”。从匹配列表中选择对象，点击“确定”，确认其出现在“已选择的用户和组”字段中，然后点击“下一步”。

1. 右键单击权限适用的域或OU，然后单击 Delegate Control 启动向导。

3. 审查结果。双击对象以打开其属性。

创建并保存查询

5. 选择要委派的权限并点击“下一步”，然后查看摘要并点击“完成”。

4. 选择范围。此文件夹、该文件夹中现有的对象以及在此文件夹中新创建的对象将授予所选OU的权限。仅文件夹中的以下对象将权限限制为您指定的对象类型。点击“下一步”。

1. 右键单击要搜索的域或OU，然后选择 新建 > 查询。

向导会将权限写入OU，但不会显示目录中其他位置已委派的内容。添加更多权限前，请先审核现有状态。请参阅此关于检测委派权限的演练。

已保存的查询包含在会话之间持续存在的LDAP过滤器，适用于跨OU的工作。管理员使用它们将层次结构中不同部分的对象拉入一个扁平列表，以便进行批量锁定、启用、移动和重命名操作，或保存诸如域中所有禁用帐户的定期搜索。

2. 提供名称和描述。浏览按钮更改查询覆盖的OU，定义查询打开筛选器对话框。

3. 使用 Find 下拉菜单选择查询类型，例如用户、联系人和组；计算机；打印机；共享文件夹；组织单位；常用查询；或自定义搜索。

ADUC与Active Directory Administrative Center和PowerShell的比较

4. 使用 Users、Computers 或 Groups 选项卡设置筛选器。Users 选项卡筛选已禁用账户、永不过期密码和自上次域登录以来的天数。点击 OK 创建查询。

RSAT安装ADUC、Active Directory Administrative Center和PowerShell模块到同一目录，选择使用哪个取决于您操作的对象数量。

Netwrix 如何帮助委派的 directory management

ADUC仍然是处理单个用户或组的最快方式，因此它在大多数管理员桌面上保持打开。涉及多个对象的操作应在PowerShell中完成，您可以在运行脚本前进行审查。

记录ADUC委派的内容

ADUC 假设键盘前的人是拥有整个目录权限的受过训练的管理员。正是这种假设使得委派变得尴尬。将一个 OU 的帮助台密码重置权限交给他人意味着运行 Delegation of Control 向导，该向导会在 OU 中写入权限，但不会记录是谁请求的或为什么请求。拒绝委派导致常规重置排队等待少数管理员处理。

Netwrix Directory Manager 免去了该路径上两项最高频任务。最终用户通过自助服务重置自己的密码，而不是提交工单，组成员资格遵循基于属性的规则，而非技术人员手动编辑“成员”标签页。两者均涵盖Active Directory和Microsoft Entra ID。

Netwrix Auditor 提供控制台从未写入的记录，捕获目录更改的前后值，形成可搜索的轨迹，这就是 AppRiver 如何管理250名用户和六个域的员工访问权限。

请求演示，了解 Netwrix Directory Manager 和 Netwrix Auditor 如何将 ADUC 委派转变为受控且可审计的流程。

将控制台安装到工作站现在已成解决方案，真正的工作转移到了后续环节。回顾Delegation of Control向导已在您的OU中授予的权限。然后决定哪些权限本应是请求而非持续许可。目录权限会累积，因为ADUC不会阻止它们，因此审查必须来自其他地方。