电脑里随便装软件、U盘随便插、设计图纸谁都能拷走——广州这家35人的室内设计公司，曾经的”自由式”办公环境让我们花了两天时间，用一套AD域控服务器彻底收了回来。下面把这次服务过程完整记录下来。

一、客户背景

客户是广州海珠区一家室内设计公司，员工35人，设计部、工程部、市场部、财务部四个部门。公司用了一台闲置的塔式电脑当”文件服务器”，图纸、合同、报价单全存在上面。公司老板找我们之前，遇到过两件事：一是离职员工把客户资料拷走去了同行，二是设计师电脑中毒，整个共享文件夹里的图纸差点被加密勒索。

二、服务需求

老板提了三个明确要求：

• 所有员工统一账号登录，离职一键禁用账号，权限立刻收回；
• 设计图纸、合同等核心文件分级权限管理，各部门只能看自己该看的文件；
• 员工电脑禁止随意安装软件、禁用U盘，从技术上堵住资料外泄的口子。

这正是AD域控（Active Directory 域控制器）最擅长的场景：集中身份认证+组策略统一管控。

三、服务方案

上门勘测后我们定的方案：

• 域控服务器：一台戴尔 PowerEdge T150 塔式服务器，Xeon E-2314 处理器、32GB 内存、2块4TB企业盘做 RAID1，安装 Windows Server 2022 Standard，部署 AD 域服务+DNS+DHCP；
• 组织架构：按”设计部/工程部/市场部/财务部”建 OU（组织单元），每位员工建独立域账号，部门经理设为组长可管本部门文件；
• 文件服务器：另配一台群晖 DS923+ 做集中存储，域控做权限对接，图纸、合同按部门设 NTFS 权限，开启访问审计日志；
• 组策略：全员禁用 USB 存储设备、禁止安装非白名单软件、统一桌面壁纸与屏保密码、开机自动更新补丁；
• 备份：域控系统状态每日备份到 NAS，文件服务器每周全量+每日增量，防止勒索病毒。

四、执行过程

第一天上午：服务器部署。把戴尔 T150 上架到公司小机房，装好 Windows Server 2022，提升为域控制器，新建域并配置 DNS、DHCP。接着建 OU 和 35 个域账号，按部门分好组。

第一天下午：客户端加域。35 台办公电脑逐台加入域，迁移原有本地用户资料到域账号。财务部的 3 台电脑设为”财务专用组”，只能访问财务共享目录，其他部门完全看不到。

第二天上午：组策略下发。编写并测试 6 条组策略：禁用 USB 存储、软件安装白名单、统一密码复杂度（8 位以上、含大小写+数字）、屏幕锁定 10 分钟、关闭guest账户、自动安装系统补丁。分部门逐步推送，确认无误后全员生效。

第二天下午：权限与备份联调。群晖 NAS 加入域，按部门划分共享文件夹并设置权限；开启文件访问审计，谁在什么时候打开、修改、删除了哪个文件都有记录。最后做一次全量备份演练，确认备份可恢复。整个项目两天交付，员工下班前正常用新账号办公。

五、服务效果

上线两周后回访，老板反馈了三点变化：

• 离职交接从”改密码、收U盘、口头提醒”变成后台一键禁用账号，权限秒收回；
• 设计图纸只能设计部访问，工程部看施工图、市场部看效果图，越权访问直接被拒绝并记录；
• 组策略生效后，再没出现过员工私自装游戏、插U盘拷资料的情况，IT 杂事投诉少了七成。

对 30-50 人规模、开始重视数据安全的广州公司来说，域控服务器是性价比最高的一次投入：一次部署，账号、权限、策略、审计全齐了。

六、费用说明

本次广州公司域控服务器搭建项目总费用约 0.95 万元（参考价），包含：戴尔 T150 服务器硬件约 0.55 万、Windows Server 2022 授权约 0.18 万、群晖 DS923+ 存储约 0.12 万、上门部署+调试人工约 0.1 万。以上为参考价，具体以上门勘测和实际需求为准：电脑数量、是否需要双机热备、授权版本不同，价格都会浮动。广州本地企业如需搭建 AD 域控、做权限集中管理，欢迎联系我们免费上门勘测出方案。