將 Mac 電腦與 Active Directory 整合

你可以設定 Mac 以從 Windows 2000（或較新版本）伺服器取用 Active Directory 網域裏的基本用户帳户資料。 Active Directory 連接器會於「目錄工具程式」裏的「服務」面板中列出，連接器會從 Active Directory 用户帳户的標準屬性中產生 macOS 認證需要的所有屬性。該連接器亦支援 Active Directory 認證規則，包括密碼變更、帳户有效期限、強制變更，以及保安選項。由於連接器支援這些功能，你無須更改 Active Directory 網域的描述語言，就能取得用户帳户的基本資料。

附註：Active Directory 網域的最低網域功能等級至少需為 Windows Server 2008，否則 macOS 不會加入 Active Directory 網域，除非你明確啟用「弱加密」。即使所有網域的網域功能等級皆為 2008 或更高等級，管理員可能需明確指定每個網域信任，以使用 Kerberos AES 加密。

Mac 使用 DNS 查詢 Active Directory 網域的方式

macOS 使用域名系統（DNS）來查詢內部部署 Active Directory 網域的拓樸。其使用 Kerberos 來認證以及使用 Lightweight Directory Access Protocol（LDAPv3）作為用户與群組解決方案。

當 macOS 與 Active Directory 完全整合時，用户適用下列作業：

受機構的網域密碼規則約束
使用相同的憑證來認證並取得受保護資源的授權
可以從「Active Directory 證書服務」伺服器發出用户和機器的證書身份
可自動穿越分散式檔案系統（DFS）命名空間並裝載正確的基本伺服器訊息區（SMB）伺服器。
如需更多關於連接 DFS 而不綁定的資料，請參閲以下的：分散式檔案系統命名空間支援。

你可以在流動裝置管理（MDM）解決方案中設定「目錄」承載資料，並將該承載資料推送至你機構裏所有的 Mac 電腦。如需更多資料，請參閲：「目錄」MDM 承載資料設定。

Mac 用户端會以完整的讀取權限來存取已經加入目錄的屬性。因此，可能需要更改這些屬性的連線權限控制列表（ACL），以許可電腦群組讀取這些加入的屬性。

網域密碼規則

綁定時（以及之後的定期間隔），macOS 會查詢 Active Directory 網域來取得密碼規則。系統會為 Mac 上所有網絡帳户和流動帳户強制執行這些規則。

網絡帳户可用時，在嘗試登入期間，macOS 會查詢 Active Directory 來決定需要更改密碼前的時間長度。依照預設，如需要在 14 日內更改密碼，登入視窗便會要求用户更改密碼。如用户更改密碼，該變更會發生在 Active Directory 和流動帳户（如有設定的話）中，而登入鑰匙圈的密碼會被更新。如用户關閉此密碼要求，登入視窗會持續詢問用户，直到到期的前一天。用户必須在 24 小時內更改密碼才能繼續登入。 macOS 管理員可藉由輸入 defaults write /Library/Preferences/com.apple.loginwindow PasswordExpirationDays -int <number of days>，從命令列來更改登入視窗的預設到期通知。

附註：macOS 不支援使用 Active Directory「密碼設定物件」（PSO）的細部密碼規則。當計算密碼到期時，只會使用預設網域規則。

分散式檔案系統命名空間支援

如 Mac 已經與 Active Directory 綁定，macOS 支援穿越分散式檔案系統（DFS）命名空間。綁定至 Active Directory 的 Mac 會查詢 Active Directory 中的 DNS 伺服器與網域控制器，以針對特定命名空間自動解析適用的「伺服器訊息區」（SMB）伺服器。

你可以使用 Finder 中的「連接伺服器」功能來指定 DFS 命名空間的完整網域名稱（FQDN），其包含要裝載網絡檔案系統的 DFS 根。在 Mac 上，按一下桌面來開啟 Finder，在選單列上的「前往」選擇「連接伺服器」，然後輸入 smb://resources.betterbag.com/DFSroot。

macOS 會使用任何可用的 Kerberos 許可證並裝載基本「伺服器訊息區」（SMB）伺服器和路徑。在部分 Active Directory 設定中，你可能需要為含有完整 Active Directory 網域名稱的網絡介面，在 DNS 設定中植入「搜尋網域」欄位。

貼士：如 DFS 環境已設定為使用完全符合的網域名稱來進行轉介，你可以取用穿越 DFS 分享項目，無需綁定 Active Directory。只要 Mac 可以解析適當伺服器的主機名稱，連接就會成功，Mac 無需綑綁至目錄。

也請參閲目錄工具程式使用手冊：使用 Mac 上的「目錄工具程式」整合 Active Directory 目錄工具程式使用手冊：在 Mac 上的「目錄工具程式」中設定網域連線目錄工具程式使用手冊：Mac 上的 Active Directory 與流動性

有幫助？

Apple 平台部署

將 Mac 電腦與 Active Directory 整合

Mac 使用 DNS 查詢 Active Directory 網域的方式

網域密碼規則

分散式檔案系統命名空間支援