管理員操作手冊(cè)AD域控及組策略管理CTO

AD名目 一、ActiveDirectory(AD)活動(dòng)名目簡(jiǎn)介錯(cuò)誤!未指定書(shū)簽。1、工作組與域的區(qū)分 錯(cuò)誤!未指定書(shū)簽。2、公司承受域治理的好處 錯(cuò)誤!未指定書(shū)簽。3、ActiveDirectory(AD)活動(dòng)名目的功能 錯(cuò)誤!未指定書(shū)簽。二、AD域控〔DC〕根本操作 錯(cuò)誤!未指定書(shū)簽。1、登陸AD域控 錯(cuò)誤!未指定書(shū)簽。2、建組織單位〔OU〕 錯(cuò)誤!未指定書(shū)簽。3、建用戶(hù) 錯(cuò)誤!未指定書(shū)簽。4、調(diào)整用戶(hù) 錯(cuò)誤!未指定書(shū)簽。5、調(diào)整計(jì)算機(jī) 錯(cuò)誤!未指定書(shū)簽。三、AD域控常用命令 錯(cuò)誤!未指定書(shū)簽。1、創(chuàng)立組織單位：(dsadd) 錯(cuò)誤!未指定書(shū)簽。2、創(chuàng)立域用戶(hù)帳戶(hù)(dsadd) 錯(cuò)誤!未指定書(shū)簽。3、創(chuàng)立計(jì)算機(jī)帳戶(hù)(dsadd) 錯(cuò)誤!未指定書(shū)簽。4、創(chuàng)立聯(lián)系人(dsadd) 錯(cuò)誤!未指定書(shū)簽。5、修改活動(dòng)名目對(duì)象〔dsmod〕 錯(cuò)誤!未指定書(shū)簽。6、其他命令〔dsquery、dsmove、dsrm〕 錯(cuò)誤!未指定書(shū)簽。四、組策略治理 錯(cuò)誤!未指定書(shū)簽。1、翻開(kāi)組策略治理器 錯(cuò)誤!未指定書(shū)簽。2、受信任的根證書(shū)方法機(jī)構(gòu)組策略設(shè)置 錯(cuò)誤!未指定書(shū)簽。3、IE安全及隱私組策略設(shè)置 錯(cuò)誤!未指定書(shū)簽。4、注冊(cè)表項(xiàng)推送 錯(cuò)誤!未指定書(shū)簽。五、設(shè)置DNS轉(zhuǎn)發(fā) 錯(cuò)誤!未指定書(shū)簽。一、ActiveDirectory(AD)活動(dòng)名目簡(jiǎn)介1、工作組與域的區(qū)分域治理與工作組治理的主要區(qū)分在于：、工作組網(wǎng)實(shí)現(xiàn)的是分散的治理模式，每一臺(tái)計(jì)算機(jī)都是單單獨(dú)主的，用戶(hù)賬戶(hù)和權(quán)限信息保存在本機(jī)中，同時(shí)借助工作組來(lái)共享信息，共享信息的權(quán)限設(shè)置由每臺(tái)計(jì)算機(jī)把握。在網(wǎng)上鄰居中能夠看到的工作組機(jī)的列表叫掃瞄列表是通過(guò)播送查詢(xún)掃瞄主控效勞器，由掃瞄主控效勞器供給的。而域網(wǎng)實(shí)現(xiàn)的是主/從治理模式，通過(guò)一臺(tái)域把握器來(lái)集中治理域內(nèi)用戶(hù)帳號(hào)和權(quán)限，帳號(hào)信息保存在域把握器內(nèi)，共享信息分散在每臺(tái)計(jì)算機(jī)中，但是訪(fǎng)問(wèn)權(quán)限由把握器統(tǒng)一治理。這就是兩者最大的不同。、在“域”模式下，資源的訪(fǎng)問(wèn)有較嚴(yán)格的治理,至少有一臺(tái)效勞器負(fù)責(zé)每一臺(tái)聯(lián)入網(wǎng)絡(luò)的電腦和用戶(hù)的驗(yàn)證工作，相當(dāng)于一個(gè)單位的門(mén)衛(wèi)一樣，稱(chēng)為“域把握〔DomainControlle，簡(jiǎn)寫(xiě)為DC、域把握器中包含了由這個(gè)域的賬戶(hù)、密碼、屬于這個(gè)域的計(jì)算機(jī)等信息構(gòu)成的數(shù)據(jù)庫(kù)。當(dāng)電腦聯(lián)入網(wǎng)絡(luò)時(shí)，域把握器首先要鑒別這臺(tái)電腦是否是屬于這個(gè)域的，用戶(hù)使用的登錄賬號(hào)是否存在、密碼是否正確。假設(shè)以上信息有一樣不正確，那么域把握器就會(huì)拒絕這個(gè)用戶(hù)從這臺(tái)電腦登錄。不能登錄，用戶(hù)就不能訪(fǎng)問(wèn)效勞器上有權(quán)限保護(hù)的資源，他只能以對(duì)等網(wǎng)用戶(hù)的方式訪(fǎng)問(wèn)Windows就在確定程度上保護(hù)了網(wǎng)絡(luò)上的資源。而工作組只是進(jìn)展本地電腦的信息與安全的認(rèn)證。2、公司承受域治理的好處、便利治理,權(quán)限治理比較集中，治理人員可以較好的治理計(jì)算機(jī)資源。、安全性高，有利于企業(yè)的一些保密資料的治理，比方一個(gè)文件只能讓某一個(gè)人看,或者指定人員可以看,但不行以刪/改/移等。、便利對(duì)用戶(hù)操作進(jìn)展權(quán)限設(shè)置，可以分發(fā)，指派軟件等,實(shí)現(xiàn)網(wǎng)絡(luò)內(nèi)的軟件一起安裝。、很多效勞必需建立在域環(huán)境中，對(duì)治理員來(lái)說(shuō)有好處:統(tǒng)一治理,便利在MS軟件方面集成,如ISAEXCHANGE(郵件效勞器)、ISASERVER(上網(wǎng)的各種設(shè)置與治理)等。、使用漫游賬戶(hù)和文件夾重定向技術(shù)，個(gè)人賬戶(hù)的工作文件及數(shù)據(jù)等可以存儲(chǔ)在效勞器上，統(tǒng)一進(jìn)展備份、治理，用戶(hù)的數(shù)據(jù)更加安全、有保障。、便利用戶(hù)使用各種資源。、SMS〔SystemManagementServer〕能夠分發(fā)應(yīng)用程序、系統(tǒng)補(bǔ)丁等，用戶(hù)可以選擇安裝，也可以由系統(tǒng)治理員指派自動(dòng)安裝。并能集中治理系統(tǒng)補(bǔ)丁〔如WindowsUpdate寬。、資源共享用戶(hù)和治理員可以不知道他們所需要的對(duì)象的精準(zhǔn)名稱(chēng)，但是他們可能知道這個(gè)對(duì)象的一個(gè)或多個(gè)屬性，他們可以通過(guò)查找對(duì)象的局部屬性在域中得到一個(gè)全部屬性相匹配的對(duì)象列表，通過(guò)域使得基于一個(gè)或者多個(gè)對(duì)象屬性來(lái)查找一個(gè)對(duì)象變得可能。、治理域把握器集中治理用戶(hù)對(duì)網(wǎng)絡(luò)的訪(fǎng)問(wèn)，如登錄、驗(yàn)證、訪(fǎng)問(wèn)名目和共享資源。為了簡(jiǎn)化治理，全部域中的域把握器都是公正的，你可以在任何域把握器上進(jìn)展修改，這種更可以復(fù)制到域中全部的其他域把握器上。域的實(shí)施通過(guò)供給對(duì)網(wǎng)絡(luò)上全部對(duì)象的單點(diǎn)治理進(jìn)一步簡(jiǎn)化了治理。由于域把握器供給了對(duì)網(wǎng)絡(luò)上全部資源的單點(diǎn)登錄，治理遠(yuǎn)可以登錄到一臺(tái)計(jì)算機(jī)來(lái)治理網(wǎng)絡(luò)中任何計(jì)算機(jī)上的治理對(duì)象。在NT以訪(fǎng)問(wèn)該域中已經(jīng)開(kāi)放的全部資源，而無(wú)需對(duì)同一域進(jìn)展屢次登陸。但在需要共享不同域中的效勞時(shí)，對(duì)每個(gè)域都必需要登陸一次，否則無(wú)法訪(fǎng)問(wèn)未登陸域效勞器中的資源或無(wú)法獲得未登陸域的效勞。、可擴(kuò)展性在活動(dòng)名目中，名目通過(guò)將名目組織成幾個(gè)局部存儲(chǔ)信息從而允許存儲(chǔ)大量的對(duì)象。因此，名目可以隨著組織的增長(zhǎng)而一同擴(kuò)展，允許用戶(hù)從一個(gè)具有幾百個(gè)對(duì)象的小的安裝環(huán)境進(jìn)展成擁有幾百萬(wàn)對(duì)象的大型安裝環(huán)境。、安全性域?yàn)橛脩?hù)供給了單一的登錄過(guò)程來(lái)訪(fǎng)問(wèn)網(wǎng)絡(luò)資源，如全部他們具有權(quán)限的文件、打印機(jī)和應(yīng)用程序資源。也就是說(shuō)，用戶(hù)可以登錄到一臺(tái)計(jì)算機(jī)來(lái)使用網(wǎng)絡(luò)上另外一臺(tái)計(jì)算機(jī)上的資源，只要用戶(hù)具有對(duì)資源的適宜權(quán)限。域通過(guò)對(duì)用戶(hù)權(quán)限適宜的劃分，確定了只有對(duì)特定資源有合法權(quán)限的用戶(hù)才能使用該資源，從而保障了資源使用的合法性和安全性。、可冗余性每個(gè)域把握器保存和維護(hù)名目的一個(gè)副本。在域中，你創(chuàng)立的每一個(gè)用戶(hù)帳號(hào)都會(huì)對(duì)應(yīng)名目的一個(gè)記錄。當(dāng)用戶(hù)登錄到域中的計(jì)算機(jī)時(shí)，域把握器將依據(jù)名目檢查用戶(hù)名、口令、登錄限制以驗(yàn)證用戶(hù)。當(dāng)存在多個(gè)域把握器時(shí)，他們會(huì)定期的相互復(fù)制名目信息，域把握器間的數(shù)據(jù)復(fù)制，促使用戶(hù)信息發(fā)生轉(zhuǎn)變時(shí)〔比方用戶(hù)修改了口令用戶(hù)照舊可以通過(guò)其他的域把握進(jìn)展登錄，保障了網(wǎng)絡(luò)的順當(dāng)運(yùn)行。3、ActiveDirectory(D動(dòng)名目的功能活動(dòng)名目(ActiveDirectory)主要供給以下功能：DNS、WINS、DHCP、證書(shū)效勞等。、效勞器及客戶(hù)端計(jì)算機(jī)治理：治理效勞器及客戶(hù)端計(jì)算機(jī)賬戶(hù)，全部效勞器及客戶(hù)端計(jì)算機(jī)參與域治理并實(shí)施組策略。、用戶(hù)效勞：治理用戶(hù)域賬戶(hù)、用戶(hù)信息、企業(yè)通訊錄〔與電子郵件系統(tǒng)集成、用戶(hù)組治理、用戶(hù)身份認(rèn)證、用戶(hù)授權(quán)治理等，按地市實(shí)施組治理策略。、資源治理：治理打印機(jī)、文件共享效勞等網(wǎng)絡(luò)資源。、桌面配置：系統(tǒng)治理員可以集中的配置各種桌面配置策略，如：界面功能的限制、應(yīng)用程序執(zhí)行特征限制、網(wǎng)絡(luò)連接限制、安全配置限制等。、應(yīng)用系統(tǒng)支撐：支持財(cái)務(wù)、人事、電子郵件、企業(yè)信息門(mén)戶(hù)、辦公自動(dòng)化、補(bǔ)丁治理、防病毒系統(tǒng)等各種應(yīng)用系統(tǒng)。二、根本操作1、登陸AD-ActiveDirectory2-1進(jìn)入如下治理界面：2-2以樂(lè)山市公司為例：在樂(lè)山的只讀域控效勞器上可以看到個(gè)省公司下各地市的節(jié)點(diǎn)：但是只能對(duì)自己公司的節(jié)點(diǎn)進(jìn)展維護(hù)：2-32、建組織單位〔OU〕1-3圖標(biāo)開(kāi)頭的均表示組織單位，OU(OrganizationalUnit，組織單位)是可以將用戶(hù)、組、計(jì)算機(jī)和其它組織單位放入其中的AD通俗一點(diǎn)說(shuō)，假設(shè)把AD1-3圖標(biāo)開(kāi)頭的均表示組織單位，假設(shè)需要添加組織單位時(shí)，在需要添加的組織單位的上級(jí)節(jié)點(diǎn)依次點(diǎn)擊點(diǎn)擊“右2-4填寫(xiě)組織單位名稱(chēng)-點(diǎn)擊確定2-4既可在選中的組織單位節(jié)點(diǎn)下增組織單位。注：刪除組織單位時(shí)，要在查看中勾選高級(jí)功能2-5然后選中的組織單位屬性-對(duì)象中將“防止對(duì)象被意外刪除”前的勾去掉，才能刪除。2-62-1右側(cè)窗口中以圖標(biāo)開(kāi)頭的就是用戶(hù)。與建組織單位相像。對(duì)自己有2-1右側(cè)窗口中以圖標(biāo)開(kāi)頭的就是用戶(hù)。與建組織單位相像。對(duì)自己有2-7填寫(xiě)初始密碼，點(diǎn)擊下一步2-8點(diǎn)擊完成2-9組織單位節(jié)點(diǎn)下增用戶(hù)2-104、調(diào)整用戶(hù)右鍵點(diǎn)擊用戶(hù)-屬性2-11進(jìn)入用戶(hù)信息修改：2-12其中常規(guī)中號(hào)碼必填2-13選項(xiàng)卡中移動(dòng)必填2-14單位選項(xiàng)卡中全部信息必填2-15注：直接下屬不需要維護(hù)這幾個(gè)選項(xiàng)卡是常用，并且需要留意的。5、調(diào)整計(jì)算機(jī)當(dāng)用戶(hù)利用自己的帳號(hào)參與域后，在AD鍵點(diǎn)擊計(jì)算機(jī)可對(duì)其進(jìn)展治理2-16三、ADAD-cm行工具。AD1、創(chuàng)立組織單位：(dsadd)命令格式：dsaddou<OUDN>[-desc描述][{-s效勞器|-d域}][-u用戶(hù)名][-p{密碼|*}][-q][{-uc|-uoc|-uci}]U名稱(chēng)應(yīng)為要?jiǎng)?chuàng)立的U的P確定路徑，假設(shè)DN中包含空格，應(yīng)當(dāng)在路徑兩端使用雙引號(hào)。yjxfinanceOU，可以執(zhí)行以下命令：C:\>dsaddouou=finance,dc=yjx,dc=com-desc“財(cái)務(wù)部“2、創(chuàng)立域用戶(hù)帳戶(hù)(dsadd)yjxmikesalesOUC:\>dsaddusercn=mike,ou=sales,dc=yjx,dc=com-samidmike-pwdbenet3.0-display“mikeyang”3、創(chuàng)立計(jì)算機(jī)帳戶(hù)(dsadd)yjxsalesOUclient-2令：C:\>dsaddcomputercn=client-2,ou=sales,dc=yjx,dc=comyjxsalesOUclient-3戶(hù)的描述信息為“測(cè)試工作站C:\>dsaddcomputercn=client-3,ou=sales,dc=yjx,dc=com-desc測(cè)試工作站4、創(chuàng)立聯(lián)系人(dsadd)命令格式：dsaddcontact<ContactDN>[-fn<FirstName>][-mi<Initial>][-ln<LastName>][-display<DisplayName>][-desc<Description>]yjxsalesOU中建立一個(gè)名為楊建的聯(lián)系人，執(zhí)行以下命令：楊建5、修改活動(dòng)名目對(duì)象〔dsmod〕ADOU、用戶(hù)、組、聯(lián)系人等對(duì)象進(jìn)展修改。C:\>dsmoduser/?描述:修改名目中現(xiàn)有的用戶(hù)。語(yǔ)法:dsmoduser<UserDN...>[-upn<UPN>][-fn<FirstName>][-mi<Initial>][-ln<LastName>][-display<DisplayName>][-fnp<firstnamephonetic>][-lnp<lastnamephonetic>][-displayp<displaynamephonetic>][-empid<EmployeeID>][-pwd{<Password>|*}][-desc<Description>][-office<Office>][-tel<Phone#>][-email<Email>][-hometel<HomePhone#>][-r<r#>][-mobile<CellPhone#>][-fax<Fax#>][-iptel<IPPhone#>][-webpg<Web>][-title<Title>][-dept<Department>][-company<Company>][-mgr<Manager>][-hmdir<HomeDir>][-hmdrv<DriveLtr>:][-profile<ProfilePath>][-loscr<ScriptPath>][-mustchpwd{yes|no}][-canchpwd{yes|no}][-reversiblepwd{yes|no}][-pwdneverexpires{yes|no}][-acctexpires<NumDays>][-disabled{yes|no}][{-s<Server>|-d<Domain>}][-u<UserName>][-p{<Password>|*}][-c][-q][{-uc|-uco|-uci}]]幾個(gè)具體用法如下：重置用戶(hù)帳戶(hù)的密碼密碼[-mustchpwd{yes|no}]下次登錄時(shí)修改此密碼啟用或禁用賬戶(hù)可區(qū)分名稱(chēng)-disabled{yes|no}yesno啟用修改計(jì)算機(jī)帳戶(hù)屬性的格式為：dsmodcomputerComputerDN...[-descDescription][-locLocation][-disabled{yes|no}][-reset][{-sServer|-dDomain}][-uUserName][-p{Password|*}][-c][-q][{-uc|-uco|-uci}]重設(shè)計(jì)算機(jī)帳戶(hù)dsmodcomputerComputerDN-reset啟用或禁用計(jì)算機(jī)帳戶(hù)可區(qū)分名稱(chēng)-disabled{yes|no}yesno允許登錄將計(jì)算機(jī)帳戶(hù)添加到組中dsmodgroupGroupDN-addmbrComputerDNsalesmike參與到該組中，可以執(zhí)行以下命令：銷(xiāo)售部dsadd成功:cn=sales,ou=sales,dc=yjx,dc=comC:\>dsmodgroupcn=sales,ou=sales,dc=yjx,dc=com-addmbrcn=mike,ou=sales,dc=yjx,dc=comdsmod成功:cn=sales,ou=sales,dc=yjx,dc=com6、其他命令〔dsquery、dsmove、dsrm〕其他的活動(dòng)名目操作命令還包括dsquery、dsmove、dsrm對(duì)象的查詢(xún)、移動(dòng)和刪除。salesOU中的全部用戶(hù)，可以執(zhí)行以下命令：C:\>dsqueryuserou=sales,dc=yjx,dc=com-name*“CN=mike,OU=sales,DC=yjx,DC=com““CN=user1,OU=sales,DC=yjx,DC=com““CN=user2,OU=sales,DC=yjx,DC=com“salesOU3個(gè)星期不活動(dòng)的用戶(hù)，可以執(zhí)行以下命令：C:\>dsqueryuserou=sales,dc=yjx,dc=com-inactive3mikefinanceOU中，可以執(zhí)行以下命令：C:\>dsmovecn=mike,ou=sales,dc=yjx,dc=com-newparentou=finan