搞了两天，终于明白，原来在WinNT system provider下是userFlags，NOT userAccountControl.
虚拟机上，dcpromo来dcpromo去，发现就是userAccountControl，也没往这处想。
AdsiEdit.msc看来不太适合workgroup.
PS:如果搞个域控制的虚拟主机集群，如何？
