**1. 干什么** AD（Active Directory，即目录服务，集中存储域内用户、组、计算机的 SID 与凭证）由域控 DC 统一管理，域 SID 跨机器一致，域组跨主机生效。 **2. 谁在调** * 用户态主体：域成员机的 LSA、登录进程。 * 系统层封装：LsaLogonUser、SSPI。 * 内核态 / 服务主体：DC 上的目录服务与认证服务。 **3. 做什么业务** 域账号 SID 为`S-1-5-21-<域唯一ID>-<RID>`，同一用户在域内各机器 SID 相同。成员机登录时向 DC 验证凭据并取得本机可用令牌。内置域组中，Domain Admins 为域管理员，Enterprise Admins 为整个林最高权限，Domain Controllers 为域控机器账号组。域用户加入 Domain Admins 后在域内各机器自动具备管理员权限。 **4. 组件清单** * DC 与 AD 目录库 * 域 SID 前缀 * Domain Admins、Enterprise Admins、Domain Controllers