堡垒机添加加域的资产后无法使用域账户登录

关键排查方向

1. 堡垒机域账号格式配置错误堡垒机添加域账号时，需区分 “域名 \ 账号”（如 domain\administrator）和 “账号 @域名”（如 administrator@***.***）两种格式。部分堡垒机仅支持其中一种，格式不匹配会直接提示认证失败。
2. 堡垒机未开启 “域认证” 模式多数堡垒机默认是 “本地认证”，若未手动切换为 “域认证” 或 “LDAP 认证”，即使输入域账号，也会按本地账号规则验证，自然无法通过。
3. 域控与堡垒机的网络连通性问题堡垒机需能正常访问域控制器（通常是 389 端口，LDAPS 为 636 端口）。若网络不通、防火墙拦截该端口，或堡垒机未配置正确的 DNS 服务器（需指向域控 DNS），会导致域账号验证时无法查询域控，最终认证失败。
4. 域账号权限或组策略限制检查域账号是否被域控组策略限制了登录来源（如仅允许特定 IP 登录），或该域账号未加入 “允许通过终端服务登录” 的安全组（默认是 “Remote Desktop Users” 组）。

快速排查步骤

1. 先修改堡垒机中域账号的格式，分别尝试 “域名 \ 账号” 和 “账号 @域名” 两种方式重新保存。
2. 进入堡垒机的认证配置，确认已启用 “域认证” 或 “LDAP 认证”，并填写正确的域控地址、Base DN 等信息。
3. 在堡垒机上测试能否 ping 通域控 IP，以及 telnet 域控 389 端口是否通（排除网络 / 防火墙问题）。
4. 检查域账号是否在域控的 “Remote Desktop Users” 组中，若不在则添加后重试。