windows域配置及管理

北京郵電大學(xué)移動(dòng)互聯(lián)網(wǎng)與信息化實(shí)驗(yàn)室2011年6月Windows域配置及管理域DNS的作用域的概念將計(jì)算機(jī)加入域DC的條件創(chuàng)建域域用戶帳戶安裝AD組安全組/通訊組本地域組/全局組/通用組用戶配置文件用戶主文件夾創(chuàng)建域帳戶域帳戶屬性O(shè)UOU的委派功能OU概念2021/5/92域的基本概念域?qū)⒕W(wǎng)絡(luò)中多臺(tái)計(jì)算機(jī)邏輯上組織到一起，進(jìn)行集中管理，這種區(qū)別于工作組的邏輯環(huán)境叫做域域是組織與存儲(chǔ)資源的核心管理單元活動(dòng)目錄提供了存儲(chǔ)網(wǎng)絡(luò)上對(duì)象信息并使網(wǎng)絡(luò)用戶使用該數(shù)據(jù)的方法2021/5/93域的基本概念活動(dòng)目錄

活動(dòng)目錄（ActiveDirectory）是WindowsServer2003平臺(tái)提供的目錄服務(wù)，在中央數(shù)據(jù)庫(kù)中存放信息，使用戶在網(wǎng)絡(luò)上只擁有一個(gè)用戶賬號(hào)。活動(dòng)目錄是一個(gè)全面的目錄服務(wù)管理方案，也是一個(gè)企業(yè)級(jí)的目錄服務(wù)，具有很好的可伸縮性?；顒?dòng)目錄采用了Internet的標(biāo)準(zhǔn)協(xié)議，它與操作系統(tǒng)緊密地集成在一起?；顒?dòng)目錄可以管理諸如計(jì)算機(jī)對(duì)象、用戶賬戶、打印機(jī)之類的網(wǎng)絡(luò)資源。2021/5/94域的基本概念活動(dòng)目錄包括兩個(gè)方面：目錄和與目錄相關(guān)的服務(wù)。目錄是存儲(chǔ)各種對(duì)象的一個(gè)物理上的容器目錄服務(wù)是使目錄中所有信息和資源發(fā)揮作用的服務(wù)，活動(dòng)目錄是一個(gè)分布式的目錄服務(wù)，信息可以分散在多臺(tái)不同的計(jì)算機(jī)上，保證用戶能夠快速訪問2021/5/95（1）信息的安全性大大增強(qiáng)

1、活動(dòng)目錄集中控制用戶授權(quán)

2、提供存儲(chǔ)和應(yīng)用程序作用域的安全策略，提供安全策略的存儲(chǔ)和應(yīng)用范圍。（2）引入基于策略的管理，使系統(tǒng)的管理更加明朗

作為目錄，它存儲(chǔ)著分配給特定環(huán)境的策略，稱為組策略對(duì)象（3）具有很強(qiáng)的可擴(kuò)展性管理員可以在計(jì)劃中增加新的對(duì)象類，或者給現(xiàn)有的對(duì)象類增加新的屬性。計(jì)劃包括可以存儲(chǔ)在目錄中的每一個(gè)對(duì)象類的定義和對(duì)象類的屬性?；顒?dòng)目錄作用2021/5/96（4）具有很強(qiáng)的可伸縮性

活動(dòng)目錄可包含在一個(gè)或多個(gè)域，每個(gè)域具有一個(gè)或多個(gè)域控制器，以便調(diào)整目錄的規(guī)模以滿足任何網(wǎng)絡(luò)的需要（5）智能的信息復(fù)制能力

信息復(fù)制為目錄提供了信息可用性、容錯(cuò)、負(fù)載平衡和性能優(yōu)勢(shì)，活動(dòng)目錄使用多主機(jī)復(fù)制，允許在任何域控制器上而不是單個(gè)主域控制器上同步更新目錄2021/5/97（6）與DNS集成緊密

活動(dòng)目錄使用域名系統(tǒng)（DNS）來(lái)為服務(wù)器目錄命名（7）與其他目錄服務(wù)具有互操性

LDAP是用于在活動(dòng)目錄中查詢和檢索信息的目錄訪問協(xié)議。因?yàn)樗且环N工業(yè)標(biāo)準(zhǔn)服務(wù)協(xié)議，所以可使用LDAP開發(fā)程序，與同時(shí)支持LDAP的其他目錄服務(wù)共享活動(dòng)目錄信息。（8）具有靈活的查詢

任何用戶可使用【開始】菜單、【網(wǎng)上鄰居】或【活動(dòng)目錄用戶和計(jì)算機(jī)】上的【搜索】命令，通過對(duì)象屬性快速查找網(wǎng)絡(luò)上的對(duì)象。2021/5/98AD活動(dòng)目錄作用:通過將企業(yè)網(wǎng)絡(luò)中的各種資源，例如電腦，用戶，共享的打印機(jī)，服務(wù)器等等組織起來(lái)形成活動(dòng)目錄域，在這個(gè)域中把這些信息進(jìn)行分類形成目錄樹。這樣，用戶通過一定的形式，就可以很方便的訪問活動(dòng)目錄域中的信息.這種便利的訪問機(jī)制，也需要安全的保障機(jī)制！ad活動(dòng)目錄域正是基于這種信息共享基礎(chǔ)上的安全管理規(guī)范。安裝了活動(dòng)目錄的計(jì)算機(jī)稱為“域控制器”，只要加入并接受域控制器的管理就可以在一次登錄之后全網(wǎng)使用，方便地訪問活動(dòng)目錄提供的網(wǎng)絡(luò)資源。對(duì)于管理員，則可以通過對(duì)活動(dòng)目錄的集中管理就能夠管理全網(wǎng)的資源。

2021/5/99域域控制器域是基本管理單位域中可包含大量對(duì)象計(jì)算機(jī)用戶打印機(jī)共享文件夾域是活動(dòng)目錄的組成部分OU1DomainComputersUsersOU2UsersPrintersComputer1User1Printer1User2WindowsServer2003域概述OU2OU1User1Computer1Printer1User22021/5/910域域域DomainDomainDomainOUOUOU域樹域森林OU-組織單位對(duì)象

域及目錄服務(wù)概述活動(dòng)目錄是一個(gè)數(shù)據(jù)庫(kù)活動(dòng)目錄是一個(gè)目錄服務(wù)可以定制活動(dòng)目錄簡(jiǎn)化的管理可擴(kuò)展性便捷的網(wǎng)絡(luò)資源訪問2021/5/911域、域樹、域森林根域下面可以建立多層子域域和子域構(gòu)建成域樹多棵域樹構(gòu)建成森林域之間自動(dòng)建立雙向信任關(guān)系A(chǔ)根TB樹雙向信任關(guān)系X雙向信任關(guān)系TB樹2021/5/912OU-組織單位OU是活動(dòng)目錄中的一種對(duì)象OU中可以建立子對(duì)象利用OU可以模擬管理模型OUOUOU對(duì)象2021/5/913域控制器域控制器是存儲(chǔ)活動(dòng)目錄數(shù)據(jù)庫(kù)的計(jì)算機(jī)一個(gè)域最少一臺(tái)域控制器多臺(tái)域控制器需要同步數(shù)據(jù)庫(kù)域控制器存儲(chǔ)著目錄數(shù)據(jù)并管理用戶域的交互，其中包括用戶登錄過程、身份驗(yàn)證和目錄搜索。域控制器域控制器域復(fù)制User1User2User1User2User3User4User3User42021/5/914站點(diǎn)每個(gè)地理位置中的若干臺(tái)域控制器可以劃分為一個(gè)站點(diǎn)站點(diǎn)內(nèi)部?jī)?yōu)先同步活動(dòng)目錄數(shù)據(jù)庫(kù)，同步后再和其他站點(diǎn)中的域控制器同步站點(diǎn)1域控制器遠(yuǎn)程線路站點(diǎn)22021/5/915

活動(dòng)目錄安裝與卸載安裝者必須具有本地管理權(quán)限操作系統(tǒng)必須滿足條件（WindowsServer2003Web版除外都滿足）本地磁盤至少有一個(gè)分區(qū)是NTFS文件系統(tǒng)系統(tǒng)盤應(yīng)該有最少300MB的剩余空間。安裝TCP/IP協(xié)議和相應(yīng)的DNS服務(wù)器支持。有相應(yīng)的DNS服務(wù)器支持2021/5/916活動(dòng)目錄安裝與卸載啟動(dòng)安裝向?qū)褂霉芾砟姆?wù)器向?qū)褂妹頓CPROMO2021/5/917安裝活動(dòng)目錄主要步驟是否創(chuàng)建新域新域的DNS全名新域的NetBIOS名數(shù)據(jù)庫(kù)和日志文件文件夾共享的系統(tǒng)卷DNS注冊(cè)診斷域兼容性還原模式密碼2021/5/918DNS在域中的作用DNS在域中有兩個(gè)作用域名的命名采用DNS標(biāo)準(zhǔn)辦公網(wǎng)絡(luò)與Internet集成定位DC1）客戶機(jī)發(fā)送DNS查詢請(qǐng)求給DNS服務(wù)器2）DNS服務(wù)器查詢匹配的SRV資源記錄3）DNS服務(wù)器返回相關(guān)DC的IP地址列表給客戶機(jī)4）客戶機(jī)聯(lián)系到DC5）DC響應(yīng)客戶機(jī)的請(qǐng)求域的DNS區(qū)域維護(hù)SRV資源記錄可以定位DC2021/5/919活動(dòng)目錄安裝與卸載2021/5/920安裝活動(dòng)目錄后操作系統(tǒng)的變化（1）查看域控制器的計(jì)算機(jī)名安裝活動(dòng)目錄后DC（DomainController，即域控制器）的計(jì)算機(jī)名會(huì)發(fā)后變化，在DC上右鍵單擊【我的電腦】，選擇【屬性】，在彈出的【系統(tǒng)屬性】對(duì)話框中選擇【計(jì)算機(jī)名】標(biāo)簽，可以查看當(dāng)前域控制器的計(jì)算機(jī)名2021/5/921查看管理工具在DC上依次打開【開始】→【程序】→【管理工具】，可以看到新增加5個(gè)與活動(dòng)目錄相關(guān)的工具與活動(dòng)目錄相關(guān)的五個(gè)工具2021/5/922ActiveDirectory用戶和計(jì)算機(jī)：該工具用于管理域中的用戶、組、計(jì)算機(jī)賬號(hào)及OU等ActiveDirectory域和信任關(guān)系：該工具用于管理活動(dòng)目錄域之間的信任關(guān)系A(chǔ)ctiveDirectory站點(diǎn)和服務(wù)：該工具用于管理與活動(dòng)目錄復(fù)制相關(guān)的站點(diǎn)信息域安全策略：該工具用于創(chuàng)建和管理域的安全策略域控制器安全策略：該工具用于創(chuàng)建和管理域控制器的安全策略2021/5/923查看用戶和組賬號(hào)的位置活動(dòng)目錄安裝成功后，計(jì)算機(jī)上的用戶和組賬號(hào)的位置會(huì)發(fā)生變化。在DC上打開【計(jì)算機(jī)管理】控制臺(tái)，發(fā)現(xiàn)已經(jīng)看不到【本地用戶和組】工具。計(jì)算機(jī)管理控制臺(tái)工具2021/5/924在DC上使用【ActiveDirectory用戶和計(jì)算機(jī)】工具來(lái)管理用戶和組賬號(hào)。在DC上依次打開【開始】→【程序】→【管理工具】→【ActiveDirectory用戶和計(jì)算機(jī)】，在控制臺(tái)下打開Users容器qiufen【ActiveDirectory用戶和計(jì)算機(jī)】工具管理用戶和組2021/5/925查看SYSVOL（系統(tǒng)卷）文件夾對(duì)DC來(lái)說SYSVOL文件夾非常重要，如果SYSVOL文件夾創(chuàng)建的不正確，那么存儲(chǔ)在此文件夾下的組策略、腳本等就不能正確的分發(fā)給域中的計(jì)算機(jī)，也無(wú)法在DC之間進(jìn)行復(fù)制。SYSVOL文件夾位于%systemroot%下，其中包含以下幾個(gè)文件夾，如后圖所示。Domain（域）Staging（分級(jí)）Stagingareas（分級(jí)區(qū)域）Sysvol（系統(tǒng)卷）2021/5/926驗(yàn)證SYSVOL文件夾2021/5/927（5）查看活動(dòng)目錄數(shù)據(jù)庫(kù)和日志文件缺省情況下活動(dòng)目錄數(shù)據(jù)庫(kù)和日志文件存放在%systemroot%\NTDS文件夾下，其中ntds.dit是活動(dòng)目錄數(shù)據(jù)庫(kù)文件，還有檢查點(diǎn)文件edb.chk、日志文件edb.log和保留日志文件res*.log等。驗(yàn)證活動(dòng)目錄數(shù)據(jù)庫(kù)和日志文件2021/5/928活動(dòng)目錄域與DNS服務(wù)是緊密結(jié)合的，如果要使一個(gè)活動(dòng)目錄域正常工作，必須要有相應(yīng)的DNS區(qū)域來(lái)支持它，而且還要有服務(wù)資源記錄（SRV記錄）。如下圖所示為在DNS服務(wù)器上打開DNS控制臺(tái)查看活動(dòng)目錄域的區(qū)域情況。在DNS服務(wù)器中查看活動(dòng)目錄域的SRV記錄查看DNS數(shù)據(jù)庫(kù)2021/5/929查看事件日志安裝活動(dòng)目錄后打開事件查看器可以看到增加了一個(gè)日志“目錄服務(wù)”，在此會(huì)記錄有關(guān)活動(dòng)目錄的信息。查看事件查看器2021/5/930五將計(jì)算機(jī)加入到域1、哪些計(jì)算機(jī)能成為WindowsServer2003域的成員下面的操作系統(tǒng)主機(jī)可以成為域的成員：WindowsNTWindows2000WindowsXPWindowsServer20032021/5/931系統(tǒng)屬性對(duì)話框中“計(jì)算機(jī)名”標(biāo)簽把計(jì)算機(jī)加入到域?yàn)榱烁玫毓芾砭W(wǎng)絡(luò)中的資源，充分利用活動(dòng)目錄的特點(diǎn)，應(yīng)該把網(wǎng)絡(luò)中的客戶端計(jì)算機(jī)加入到域，這樣管理員就可以對(duì)域中的計(jì)算機(jī)進(jìn)行集中的配置和管理步驟1、配置客戶機(jī)的首選DNS服務(wù)器2、將計(jì)算機(jī)加入域2021/5/932指定該計(jì)算機(jī)要加入的域的名稱xhce輸入有加入該域權(quán)限的用戶名和密碼加入域成功對(duì)話框2021/5/933

OU的創(chuàng)建功能型SCMS–SalesC–ConsultantsM-Marketing混合型例子功能組織位置功能組織位置組織型MERM–ManufacturingE–EngineeringR-Research位置型NFIN–NorwayF–FranceI–Indonesia可以根據(jù)各種因素創(chuàng)建OU2021/5/934域模式Windows2000混合模式域控制器

(Windows2000/Server2003)域控制器

(WindowsNT4.0)WindowsServer2003模式域控制器全部都是

(WindowsServer2003)Windows2000本機(jī)模式域控制器

(Windows2000)域控制器

(WindowsServer2003)域模式是用來(lái)為了兼容老版本操作系統(tǒng)的域控制器，而限制某些新的功能。2021/5/935ActiveDirectory對(duì)象類別如下

1、用戶（User）：作為安全主體，被授予安全權(quán)限，可登錄到域中。2、計(jì)算機(jī)（Computer）：表示網(wǎng)絡(luò)中的計(jì)算機(jī)實(shí)體，加入到域的WindowsNT/2000/XP/2003計(jì)算機(jī)都可創(chuàng)建相應(yīng)的計(jì)算機(jī)賬戶。

3、聯(lián)系人（Contact）：一種個(gè)人信息記錄。聯(lián)系人沒有任何安全權(quán)限，不能登錄網(wǎng)絡(luò)，主要用于通過電子郵件聯(lián)系的外部用戶。4、組（Group）：某些用戶、聯(lián)系人、計(jì)算機(jī)的分組，用于簡(jiǎn)化大量對(duì)象的管理。

5、

組織單位（OrganizationUnit）：將域細(xì)分的ActiveDirectory容器。6、

打印機(jī)（Printer）：在ActiveDirectory中發(fā)布的打印機(jī)。7、

共享文件夾（SharedFolder）：在ActiveDirectory中發(fā)布的共享文件夾。

8、

InterOrgPersion：標(biāo)準(zhǔn)的用戶對(duì)象類，對(duì)于WindowsServer2003域功能級(jí)別來(lái)說，可以作為安全主體。2021/5/936管理容器

1、Builtin：用來(lái)存放默認(rèn)內(nèi)置組（如AccountOperators或Administrators）對(duì)象。

2、Computers：包含Windows2000、WindowsXP和WindowsServer2003計(jì)算機(jī)對(duì)象。

3、DomainControllers：運(yùn)行Windows2000或WindowsServer2003的域控制器的計(jì)算機(jī)對(duì)象。

4、

ForeignSecurityPrincipals：存儲(chǔ)有信任關(guān)系的域的對(duì)象。

5、

Users：包含域內(nèi)用戶賬戶和組。2021/5/937域用戶和計(jì)算機(jī)帳戶活動(dòng)目錄用戶帳戶用戶帳戶是用來(lái)記錄用戶的用戶名和密碼、隸屬的組、可以訪問的網(wǎng)絡(luò)資源，以及用戶的個(gè)人文件和設(shè)置。

每個(gè)用戶都應(yīng)在域控制器中有一個(gè)用戶帳戶，才能訪問服務(wù)器，使用網(wǎng)絡(luò)上的資源2021/5/938域用戶賬戶本地用戶帳號(hào)

(存儲(chǔ)在本地計(jì)算機(jī))域用戶帳號(hào)

(存儲(chǔ)在活動(dòng)目錄中)WindowsServer2003域2021/5/939域用戶賬戶的創(chuàng)建輸入用戶的基本信息和登錄名稱用戶密碼2021/5/940用戶屬性對(duì)話框2021/5/941用戶登錄名用戶登錄名（Windows2000以前版本）在域中必須惟一最長(zhǎng)20字符登錄時(shí)間限制用戶登錄到域的時(shí)間可以登錄的計(jì)算機(jī)定義了賬戶可以登錄的計(jì)算機(jī)列表配置域用戶賬戶的屬性2021/5/942基于位置的設(shè)計(jì)UsersNorthAmericaUsersSouthAmerica基于業(yè)務(wù)的設(shè)計(jì)UsersAccountingUsersSales域用戶賬戶的創(chuàng)建用戶的存放地點(diǎn)2021/5/943帳號(hào)選項(xiàng)說明Usermustchangepasswordatnextlogon用戶在下次登錄時(shí)必須修改密碼Usercannotchangepassword用戶無(wú)權(quán)修改自己的密碼Passwordneverexpires用戶密碼永不過期Accountisdisabled用戶不能使用此帳號(hào)登錄域用戶賬戶的創(chuàng)建2021/5/944管理域用戶和計(jì)算機(jī)帳戶就活動(dòng)目錄的管理而言，【ActiveDirectory用戶和計(jì)算機(jī)】是使用最為頻繁的工具。該工具可以用來(lái)建立、編輯或刪除網(wǎng)絡(luò)中的用戶、計(jì)算機(jī)、組、組織單位、域、域控制器，以及發(fā)布網(wǎng)絡(luò)共享資源2021/5/945域用戶賬戶的刪除和移動(dòng)組織單元1組織單元2域刪除用戶移動(dòng)用戶直接鼠標(biāo)拖動(dòng)2021/5/946配置域用戶賬戶的屬性登錄名登錄時(shí)間可以登錄的計(jì)算機(jī)配置文件/主文件夾2021/5/947組的實(shí)現(xiàn)與管理組也可以加入組一個(gè)用戶可以加入多個(gè)組GroupGroup一個(gè)用戶賬戶加入組，就會(huì)繼承該組所有的權(quán)限GroupGroupGroupGroupGroupGroup2021/5/948組的分類組的類型說明安全組用于設(shè)置用戶權(quán)限和權(quán)利，也可用于郵件分布列表通訊組只用于郵件分布列表2021/5/949組的作用域與成員資格支持的域控制器WindowsNT?Server4.0,Windows2000,

WindowsServer2003Windows2000,

WindowsServer2003WindowsServer2003支持的組的范圍全局,域本地全局,域本地,通用全局,域本地,通用Windows2000mixed(default)Windows2000nativeWindowsServer20032021/5/950域本地組成員Mixedmode:

任何域中的用戶帳號(hào)和全局組Nativemode:

任何域中的用戶帳號(hào)、全局組和通用組，以及同一個(gè)域中的域本地組

可成為成員Mixedmode:

無(wú)Nativemode:

同一個(gè)域的域本地組范圍域本地組所屬的域權(quán)限域本地組所屬的域2021/5/951全局組成員Mixedmode:

同一個(gè)域的用戶帳號(hào)Nativemode:

同一個(gè)域的用戶帳號(hào)和全局組可成為成員Mixedmode:

任何域的域本地組Nativemode:

任何域的域本地組和通用組，以及同一個(gè)域的全局組范圍本域和所有被信任的域權(quán)限森林中所有的域2021/5/952通用組成員Nativemode:

森林中任何域中的用戶帳號(hào)、全局組、和其他通用組Mixedmode:

不可用可成為成員Mixedmode:

不可用Nativemode:

任何域中的域本地組和通用組范圍森林中的所有域權(quán)限森林中的所有域2021/5/953管理域中的組創(chuàng)建組設(shè)置組信息添加組成員設(shè)置組管理者2021/5/954AGDLP

域用戶A加入到域全局安全組G，然后在“本地用戶和計(jì)算機(jī)”中創(chuàng)建一個(gè)本地組DL，把G加入到DL中，最后為DL分配權(quán)限。2021/5/955組的成員和隸屬于屬性團(tuán)隊(duì)或組全局組域本地組成員隸屬于N/ADenverAdminsTom,Jo,andKim成員MemberOfN/AVancouverAdminsSam,Scott,andAmy成員隸屬于Tom,Jo,KimDenverOUAdminsDenverAdmins成員隸屬于Tom,Jo,KimDenverOUAdminsDenverAdmins成員隸屬于Sam,Scott,AmyVancouverOUAdminsVancouverAdminsDenverOUAdmins成員隸屬于DenverAdmins,VancouverAdminsN/A2021/5/956用戶配置文件概念用戶的桌面工作環(huán)境，包括桌面、開始菜單、我的文檔、以及其他指定的設(shè)置一般存儲(chǔ)在操作系統(tǒng)所在分區(qū)上的\DocumentsandSettings\username文件夾里用戶配置文件類型本地用戶配置文件漫游用戶配置文件強(qiáng)制用戶配置文件臨時(shí)用戶配置文件2021/5/957實(shí)現(xiàn)漫游用戶配置文件1）為漫游用戶創(chuàng)建一個(gè)測(cè)試配置文件2）準(zhǔn)備一個(gè)存放漫游用戶配置文件的網(wǎng)絡(luò)存儲(chǔ)路徑3）將測(cè)試配置文件復(fù)制到網(wǎng)絡(luò)存儲(chǔ)路徑4）設(shè)置域用戶屬性的【配置文件】選項(xiàng)卡2021/5/958用戶主文件夾可以用于