netdom

管理域信任、计算机账户和安全通道，常用于加域与修复信任关系。

补充说明

netdom 覆盖域信任、计算机账户、安全通道和机器密码。常用子命令有 query（只读查询）、verify（验证通道）、resetpwd（重置机器账户密码）、join 和 renamecomputer（变更操作）。

它随 AD DS 远程管理工具安装，需要提升权限；加域、重置密码、重命名通常还要求域管理员权限。查询类命令可以在成员机上运行，但必须能访问域控。

Windows Server 2016+ 行为稳定。PowerShell 已有对应替代：Test-ComputerSecureChannel、Reset-ComputerMachinePassword、Add-Computer、Rename-Computer，脚本化时优先使用，错误信息也更清晰。

常用示例

# 查询森林中五台 FSMO 角色持有者
C:\> netdom query fsmo

# 列出域内域控制器
C:\> netdom query dc contoso.com

# 只读：验证本机与域的安全通道
C:\> netdom verify WS01 /domain:contoso.com

# 影响范围：重置本机机器账户密码，现有安全通道短暂失效，依赖域认证的服务可能中断
# 备份/回滚：确认本地管理员可登录、DC 可达；失败时用已知凭据再重置或重新加域
C:\> netdom resetpwd /server:DC01 /userd:CONTOSO\Administrator /passwordd:*

# 影响范围：将计算机加入域并按指定秒数重启，未保存工作会丢失
# 备份/回滚：先备份本地数据并记录本地管理员密码；需要撤销时退域并重新加入工作组
C:\> netdom join WS01 /domain:contoso.com /userd:CONTOSO\Administrator /passwordd:* /reboot:30

# 影响范围：重命名计算机需重启，原名相关 DNS/SPN 可能短暂失配，域内引用会失效
# 备份/回滚：记录原计算机名并确认无同名对象；失败时用原名称再次执行重命名
C:\> netdom renamecomputer WS01 /newname:WS02 /userd:CONTOSO\Administrator /passwordd:* /reboot:30

易错点与排错

• 提示“不是内部或外部命令” → 未安装 AD DS 工具/RSAT → 安装 RSAT-ADDS 或在 DC 上执行。
• resetpwd 报拒绝访问 → 使用的不是域管理员，或目标机器账号已被删除 → 用 netdom verify 先确认对象存在与通道状态。
• 重置后仍无法访问域资源 → 机器时间偏差超过 5 分钟，或 DNS 指向错误 → 用 w32tm /query /status 与 nslookup 检查。
• verify 成功但应用仍报信任失败 → 应用使用缓存凭据或旧 Kerberos 票据 → 执行 klist purge 后重新登录。
• 加域/重命名后找不到机器 → DNS 动态注册延迟或旧记录残留 → 在客户端执行 ipconfig /registerdns，并在 DNS 中清理同名 A 记录。
• 把密码直接写在命令行 → 会进入命令历史和脚本日志 → 始终用 /passwordd:* 交互输入。

相关命令

• nltest — 更细的 DC 定位与安全通道测试
• dcdiag — DC 侧健康检查
• setspn — 重命名后核对服务主体名称
• whoami — 确认当前执行凭据
• sc — 检查依赖域认证的服务状态

参考链接

• Microsoft Learn: netdom
• Microsoft Learn: Test-ComputerSecureChannel

读完自测

1. netdom query fsmo 和 netdom verify 哪个会修改系统状态？
2. 执行 netdom resetpwd 前必须确认哪两件事？
3. 重命名计算机后出现 Kerberos 失败，应优先检查什么？