Active Directory 用户和计算机 (ADUC) MMC 管理单元是管理 Active Directory 域的主要工具之一。 ADUC (dsa.****) 管理单元用于执行典型的域管理任务并管理 Active Directory 域中的用户、组、计算机和组织单位。默认情况下，在部署 Active Directory 域服务 (AD DS) 角色时，当 Windows Server 升级为域控制器时，Active Directory 用户和计算机 (dsa.****) 控制台会安装在 Windows Server 上。
ADUC 管理单元可以作为远程服务器管理工具 (RSAT) 的一部分安装在 Windows 10/11 桌面版本上。 RSAT 包括多个命令行工具、PowerShell 模块和图形管理单元，用于远程管理 Windows Server 主机、Active Directory 以及其他服务器角色和功能。
默认情况下，Windows 桌面操作系统版本（例如 Windows 11、10 和 8.1）上不安装 RSAT 工具（包括 Active Directory 用户和计算机管理单元）。在 Windows 10 和 11 上，您可以使用“设置”应用或使用 PowerShell 将 ADUC 作为 RSAT 的一部分安装。
提示：您只能在 Windows 10 或 11 的专业版和企业版上安装 RSAT Active Directory（不能在家庭版上安装）。
在现代版本的 Windows 10 和 11（从内部版本 1809 开始）中，可以从现代设置应用程序将 RSAT 组件安装为按需功能 (FoD)。
您可以在现代桌面版本的 Windows 上安装 ADUC 控制台，如下所示：
按开始菜单 > 设置 > 应用程序；
选择可选功能 > 添加功能；
从可选功能列表中，选择 RSAT：Active Directory 域服务和轻量级目录工具，然后按“安装”。
Windows 将从 Internet 下载 ADUC RSAT 二进制文件并将其安装在您的计算机上。
安装 RSAT 后，您需要重新启动计算机。
提示： RSAT 作为早期 Windows 版本的单独 MSU 更新进行分发。此更新必须从 Microsoft 网站手动下载并安装在您的 Windows 操作系统上。
然后可以通过“控制面板”>“打开或关闭 Windows 功能”小程序（可选功能.exe）启用所需的 RSAT 功能。
您可以使用 PowerShell 在 Windows 10 和 11 上安装 Active Directory 控制台。打开提升的 PowerShell 控制台并检查您的计算机上是否安装了 RSAT Active Directory 功能：
Get-WindowsCapability -Online | Where-Object {$_.Name -like “RSAT.ActiveDirectory*”}
在我们的示例中，未安装 RSAT：Active Directory 域服务和轻量级目录服务工具功能（状态 > NotPresent）。
如果缺少Rsat.ActiveDirectory.DS-LDS.Tools~~~~0.0.1.0组件，可以使用以下命令安装：
Add-WindowsCapability -Online -Name Rsat.ActiveDirectory.DS-LDS.Tools~~~~0.0.1.0
您还可以使用 DISM 命令安装 RSAT ADUC 功能：
DISM /Online /Add-Capability /CapabilityName:Rsat.ActiveDirectory.DS-LDS.Tools~~~~0.0.1.0
检查 AD RSAT 状态。状态应更改为已安装。
最新版本 Windows 中的 RSAT 组件作为按需功能 (FoD) 提供。 Windows 不会将本地 RSAT 二进制文件存储在本地驱动器上；相反，它会从 Microsoft 更新服务器下载所需的 RSAT 文件。如果您的计算机处于隔离环境中，则在安装 ADUC 管理单元时会出现错误：
0x800f0954
没有要安装的功能
要在脱机计算机上安装 RSAT 组件，您可以使用适用于 Windows 10/11 版本的 FoD ISO 映像。 FoD DVD 介质可从批量许可服务中心 (VLSC) 或 my.visualstudio.com 下载。
要离线安装 ADUC，您需要将 FoD ISO 映像挂载到虚拟驱动器（例如驱动器 F:）并从本地介质运行 ADUC 功能安装：
Add-WindowsCapability -online -name Rsat.ActiveDirectory.DS-LDS.Tools~~~~0.0.1.0 -source -Source “F:” –LimitAccess
如果使用 WSUS 或 SCCM 将 Windows 更新部署到客户端设备，则必须启用特殊 GPO 选项才能正确安装按需功能（包括 ADUC）。
打开本地组策略编辑器（gpedit.****）并转到计算机配置>管理模板>系统；
启用 GPO 选项指定可选组件安装和组件修复的设置，并选中直接从 Windows Update 而不是 Windows Server Update Services (WSUS) 下载修复内容和可选功能复选框。
使用以下命令更新计算机上的组策略设置：gpupdate /force。
如果没有此选项，Windows 11 将尝试从本地 Windows 更新服务器获取 RSAT（错误 0x8024402c 和 0x800f081f）。
转至开始菜单 > 所有程序 > Windows 工具以在 Windows 11 上运行 Active Directory 管理单元。
在 Windows 10（及以前的版本）上，AD 管理管理单元位于控制面板的管理工具部分。
如您所见，有一个指向 MMC 控制台 %SystemRoot%system32dsa 的新链接。出现了。
启动 Active Directory 用户和计算机管理单元。
或者，按 Win+R，键入 dsa.****，然后单击“确定”启动 ADUC 控制台。
如果您的计算机已加入 Active Directory 域，ADUC 控制台将在启动时自动连接到 Active Directory 站点中最近的 DC。
如果控制台找不到域控制器，请使用 PowerShell 命令获取 LogonServer 的名称：
$env:LOGONSERVER
右键单击 ADUC 控制台中的根目录，然后选择“更改域控制器”。从列表中选择您的登录 DC 服务器的名称。
始终使用距离您最近的域控制器。使用远程站点的域控制器时，RSAT 控制台可能会变慢。
如果要从非域计算机使用 dsa.**** 管理单元连接到 AD，则必须：
打开命令提示符并运行命令：
runas /netonly /user:Domain_NameDomain_USER mmc
在空的 MMC 控制台中，选择“文件”>“添加/删除管理单元”；
将 Active Directory 用户和计算机管理单元添加到右侧窗格，然后按“确定”；
右键单击 ADUC > 连接到域并输入域名来连接到域。
因此，OU Active Directory 域的结构将显示在 ADUC 管理单元中。
您将看到一组标准的 Active Directory OU 和容器：
保存的查询 — 保存的搜索条件，允许快速重播 Active Directory 中的先前搜索（支持 LDAP 查询）；
内置——内置用户帐户；
计算机 — 计算机帐户的默认容器；
域控制器——域控制器的默认容器；
foreignSecurityPrincipals — 包含有关来自受信任外部域的对象的信息。通常，当来自外部域的对象添加到当前域的组时，会创建这些对象；
用户 — 用户帐户的默认容器。
当您选择 OU 时，您将看到它包含的对象的列表。 ADUC 控制台可以显示安全组、联系人、用户和计算机。
根据域结构，ADUC 控制台可能包含其他容器。某些 AD 文件夹默认不显示。要显示它们，请在顶部菜单中选择“视图”>“高级功能”。
应出现以下附加文件夹：
LostAndFound — 失去所有者的目录对象；
NTDS 配额 — 目录服务引用信息；
程序数据 — 存储在 Microsoft 应用程序目录服务中的数据；
系统 — 内置系统参数。
在 ADUC 控制台中，您可以执行以下操作：
创建和管理用户帐户、计算机和 Active Directory 组；
使用 ADSI Edit 查看和编辑 AD 对象属性；
搜索AD对象；
更改 Active Directory 中的用户密码或重置它；
创建组织单位并为 AD 对象构建层次结构。启用或禁用OU误删除保护；
将 OU 的管理权限委派给非管理域用户；
提升域功能级别，并将 FSMO 角色移至另一个域控制器。
