Windows AD 数据源通过 LDAP（轻量目录访问协议）读取域中的用户和组织信息。开始前需要确认目录服务可达，并准备能够读取目标目录的服务账号。
准备目录连接信息
请企业域管理员提供下列信息，先核对目录树，再填写连接参数。
参数 | 含义与示例 |
Server URL | 域控制器的目录服务地址，例如 ldaps://ad.example.com:636 |
Base DN | 开始搜索的目录位置，例如 OU=Employees,DC=example,DC=com |
Bind DN | 连接目录的服务账号完整路径，例如 CN=qwenwork-sync,OU=Service Accounts,DC=example,DC=com |
密码 | 上述服务账号的密码 |
TLS | 连接加密设置，应与目录服务实际配置一致 |
DN 是目录中对象的完整名称。Base DN 表示搜索范围，Bind DN 表示登录账号，两者用途不同。建议采用 LDAPS，并确认服务器证书有效、名称匹配且受同步服务信任。
服务账号应能读取目标用户、部门和父级关系。无需为了只读同步授予域管理员权限。同步服务与域控制器之间须具备网络连通性。
在千问办公连接目录
进入 用户与体验 → 用户管理 → 用户同步，点击新增数据源。
选择「Windows AD」，点击开始配置。
填写 Server URL、Base DN、Bind DN 和密码，核对 TLS 开关。
点击测试连接。连接正常后，点击测试并下一步。
Base DN 限定搜索目录，Bind DN 指定读取目录的账号；示例值需替换为企业实际配置。
核对 AD 属性
配置页预设的来源字段 | 千问办公字段 |
用户 objectGUID | 第三方用户 ID，用于持续识别同一对象 |
displayName、mail、telephoneNumber | 用户姓名、邮箱、手机号 |
employeeID、department、userAccountControl | 工号、所属部门字段、用户状态 |
部门 objectGUID、name | 第三方部门 ID、部门名称 |
先用一名测试成员检查属性实际值。AD 的 department 可能存放部门名称，而页面需要能对应部门的标识；不能直接认定默认字段就能建立正确层级。userAccountControl 也包含多种账号标志，应核对启用和停用账号的结果。
三方 ID、账号、工号允许选择 AD 属性，其他成员来源字段和全部部门来源字段固定。账号可按企业登录约定选择，不应直接把 objectGUID 的显示形式当成人工输入的登录名。
在添加映射下拉中选择尚未映射的目标，系统带入对应的 AD 预设属性；行内目标不可修改。必填的唯一标识、姓名和部门关系不能删除，可选项删除后可重新添加。
设置策略并验证入职、调岗、离职
进入下一步，选择同步部门范围，设置是否默认授予席位。
首次使用手动同步，离职处理先选择符合企业账号保留要求的停用方式，再配置删除告警。
保存后启用 Windows AD 数据源，点击立即同步。
在同步详情核对用户和部门创建结果，特别检查搜索根目录下的层级是否完整。
对测试用户分别验证资料更新、移动组织位置和禁用账号。每次同步后检查原用户的身份是否保持不变，以及席位是否按策略回收。
连接与数据故障
连接超时： 检查 DNS、路由、防火墙和目录端口。
证书错误： 检查 LDAPS 证书链、证书有效期与 Server URL 主机名，修复证书后重新测试。
绑定失败： 检查 Bind DN 路径、密码、服务账号锁定或过期状态。
查不到用户： 检查 Base DN 是否指向正确组织单位，以及服务账号是否有读取权限。
停用判断异常： 先停止同步，核对用户状态属性和离职策略，再重试。
服务账号密码变更后，在原数据源中更新密码并测试。缩小 Base DN 或部门范围之前，先检查哪些已有用户会被排除。
与已有用户衔接
同步前，先核对来源中的三方 ID 与已有用户一致。
匹配用户： 只通过三方 ID 查找。账号、邮箱、手机号和工号用于冲突校验；三方 ID 未命中，但其中任一值已被占用时，本条同步失败。
更新成功： 保留原 QID，并将当前维护来源设为这份数据源。
锁定资料： 来源开启期间，该来源用户的姓名、邮箱、账号、手机号、三方 ID、工号均不可手动修改；部门和状态按映射锁定。
恢复用户： 删除记录只能由已开启、且来源 ID 与记录一致的同步任务恢复。账号、邮箱、手机号或工号已被复用时，先修正来源数据，再重新同步。
修改映射、切换来源和恢复的完整规则见用户同步。