Windows Server網(wǎng)絡(luò)操作系統(tǒng)項目教程 課件 第2章 活動目錄配置管理

WindowsServer網(wǎng)絡(luò)操作系統(tǒng)項目教程（WindowsServer2019）（微課版）第2章活動目錄配置管理重點AKEY知識活動目錄的基礎(chǔ)知識活動目錄的物理結(jié)構(gòu)以及工作組模式與域模式活動目錄的安裝將客戶端加入活動目錄的操作方法創(chuàng)建子域的方法活動目錄基礎(chǔ)知識技能實踐2.1.1活動目錄概述活動目錄存儲了有關(guān)網(wǎng)絡(luò)對象的信息，包括用戶賬戶、組、共享文件夾等，這些數(shù)據(jù)被存儲在目錄服務(wù)數(shù)據(jù)庫中，管理員和用戶能夠輕松地查找和使用?；顒幽夸浭褂昧艘环N結(jié)構(gòu)化的數(shù)據(jù)存儲方式，并以此作為基礎(chǔ)對目錄信息進(jìn)行合乎邏輯的分層組織?；顒幽夸浘哂锌蓴U(kuò)展、可伸縮等特點，與域名系統(tǒng)（DomainNameSystem，DNS）集成在一起，可基于策略進(jìn)行管理。2.1.1活動目錄概述1．活動目錄服務(wù)提供的功能服務(wù)器及客戶端計算機(jī)管理資源管理策略配置用戶服務(wù)管理基礎(chǔ)網(wǎng)絡(luò)服務(wù)支撐2.1.1活動目錄概述2．活動目錄的基本概念典型的活動目錄結(jié)構(gòu)如圖所示。2.1.1活動目錄概述活動目錄的基本概念如下。01OPTION02OPTION03OPTION04OPTION對象和屬性：活動目錄以對象為基本單位，采用層次結(jié)構(gòu)來組織管理對象。ADDS內(nèi)的資源以對象的形式存在。這些對象包括網(wǎng)絡(luò)中的各項資源，如用戶、服務(wù)器、計算機(jī)、打印機(jī)和應(yīng)用程序等。域：域（Domain）是活動目錄的基本單位和核心單元，是活動目錄的分區(qū)單位。域是在WindowsNT/2012/2016/2019網(wǎng)絡(luò)環(huán)境中組建客戶端/服務(wù)器網(wǎng)絡(luò)的實現(xiàn)方式，域是由網(wǎng)絡(luò)管理員定義的一組計算機(jī)集合，它實際上就是一個網(wǎng)絡(luò)。組織單位：組織單位（OrganizationUnit，OU）將域進(jìn)一步劃分，以便于管理。組織單位是可將用戶、組、計算機(jī)和其他組織單位放入其中的活動目錄容器。每個域的組織單位層次都是獨立的，組織單位不能包括來自其他域的對象。域樹：當(dāng)要配置一個包含多個域的網(wǎng)絡(luò)時，應(yīng)將網(wǎng)絡(luò)配置成域樹結(jié)構(gòu)，域及其下轄的xyz公司銷售子域、xyz公司財務(wù)子域一起構(gòu)成了一個域樹?；顒幽夸浀挠蛉匀徊捎肈NS域的命名規(guī)則。2.1.1活動目錄概述05OPTION06OPTION07OPTION域林：如果網(wǎng)絡(luò)的規(guī)模比域樹大，甚至包含了多個域樹，就可以將網(wǎng)絡(luò)配置成域林（也稱森林）結(jié)構(gòu)。域林中的每個域樹都有唯一的命名空間，它們之間并不是連續(xù)的。整個域林也存在一個根域，這個根域是域林中最先安裝的域。站點：站點由一個或多個IP子網(wǎng)組成，這些子網(wǎng)通過高速網(wǎng)絡(luò)設(shè)備連接在一起。站點往往由企業(yè)的物理位置分布情況決定，可以依據(jù)站點結(jié)構(gòu)配置活動目錄的訪問和復(fù)制拓?fù)潢P(guān)系，使網(wǎng)絡(luò)更有效地連接，并使復(fù)制策略更合理、用戶登錄更快速?；顒幽夸浿械恼军c與域是兩個完全獨立的概念，一個站點中可以有多個域，多個站點也可以位于同一個域中。目錄分區(qū)：ADDS數(shù)據(jù)庫按邏輯分為架構(gòu)目錄分區(qū)（SchemaDirectoryPartition）、配置目錄分區(qū)（ConfigurationDirectoryPartition）、域目錄分區(qū)（DomainDirectoryPartition）和應(yīng)用程序目錄分區(qū)（ApplicationDirectoryPartition）。2.1.2活動目錄的物理結(jié)構(gòu)域控制器是指安裝了活動目錄的WindowsServer2019服務(wù)器，它保存了活動目錄信息的副本。一個域可以有多個域控制器。域控制器沒有主次之分，采用主機(jī)復(fù)制模式，每一個域控制器都有一個可寫入的目錄副本，這為目錄信息容錯帶來了無盡的好處。01域控制器只讀域控制器的ADDS數(shù)據(jù)庫只可以被讀取，不可以被修改，也就是說，用戶或應(yīng)用程序無法直接修改只讀域控制器的ADDS數(shù)據(jù)庫。只讀域控制器的ADDS數(shù)據(jù)庫的內(nèi)容只能夠從其他可讀寫的域控制器中復(fù)制。02只讀域控制器全局編錄是一個信息倉庫，包含活動目錄中所有對象的部分屬性——查詢過程中訪問最頻繁的屬性。全局編錄服務(wù)器是一個域控制器，它保存了全局編錄的一個副本，并執(zhí)行對全局編錄的查詢操作。03全局編錄服務(wù)器2.1.3工作組模式與域模式1．工作組模式工作組（WorkGroup）是最常見、最簡單、最普通的資源管理模式，就是將不同的計算機(jī)按功能分別列入不同的組中，以方便管理。工作組中的每臺計算機(jī)的地位都是平等的。2.1.3工作組模式與域模式2．域模式域是安全邊界的界定，用于劃分一個相互信任的區(qū)域。在域模式下，至少有一臺服務(wù)器負(fù)責(zé)連入網(wǎng)絡(luò)的每一臺計算機(jī)和每一個用戶的驗證工作，這臺服務(wù)器稱為域控制器。域控制器上存儲了有關(guān)網(wǎng)絡(luò)對象的信息，這些對象包括用戶、用戶組、計算機(jī)、域、組織單位、文件、打印機(jī)、應(yīng)用程序、服務(wù)器及安全策略等，這些信息由域控制器統(tǒng)一集中管理。當(dāng)計算機(jī)連入網(wǎng)絡(luò)時，域控制器首先要驗證這臺計算機(jī)是否屬于這個域、用戶使用的登錄賬號是否存在及密碼是否匹配。如果以上信息有一項不正確，則域控制器會拒絕這個用戶從這臺計算機(jī)登錄。如果不能登錄，則用戶不能訪問服務(wù)器上有權(quán)限保護(hù)的資源，這樣就在一定程度上保護(hù)了網(wǎng)絡(luò)中的資源。如果用戶能夠成功登錄域，則域控制器會將配置好的權(quán)限授予用戶，用戶可以在合法權(quán)限范圍內(nèi)訪問域內(nèi)的資源。2.1.3工作組模式與域模式活動目錄協(xié)助中大型組織為用戶提供可靠的工作環(huán)境，它提供最高層的可靠性和效能，讓用戶得以盡可能有效地將其工作做好，并提供安全的環(huán)境讓IT人員可以更容易工作。使用活動目錄是因為有許多應(yīng)用程序和服務(wù)之前使用不同的用戶名和密碼，并由每個應(yīng)用程序來單獨管理。通過建立用戶賬號、郵箱和應(yīng)用程序之間的連接，活動目錄簡化了新增、修改和刪除用戶賬號的工作。2.1.3工作組模式與域模式活動目錄統(tǒng)一管理帶來的好處還體現(xiàn)在其他許多方面。提高員工工作效率，增加產(chǎn)能減少IT系統(tǒng)管理的負(fù)擔(dān)改善容量以便將停機(jī)概率降到最低，加強(qiáng)安全性管理；對密碼策略、軟件配置、安全設(shè)置進(jìn)行統(tǒng)一管理，安全性高單點登錄使用與活動目錄集成的應(yīng)用的功能2.1.3工作組模式與域模式3．工作組模式和域模式的對比項目工作組模式域模式登錄只支持本地存在的用戶，進(jìn)行本地驗證本地賬號、域賬號均可；域用戶在域控制器統(tǒng)一驗證；可實現(xiàn)活動目錄集成業(yè)務(wù)的單點登錄密碼更改只能在本地由本地管理員或賬戶本身進(jìn)行修改域控制器上統(tǒng)一更改，不必到客戶端操作權(quán)限只負(fù)責(zé)本機(jī)權(quán)限，權(quán)限丟失后找回步驟煩瑣，有泄露風(fēng)險集中修改；以組的方式批量管理，可臨時授予權(quán)限；統(tǒng)一密碼策略，安全性高文件共享每個人都要使用同一賬號連接或者在每臺機(jī)器上創(chuàng)建賬號分配到對應(yīng)組即可，用戶只要存在于對應(yīng)組中，即可使用自身密碼進(jìn)行訪問文件權(quán)限同一權(quán)限細(xì)分（只讀、修改、刪除）桌面環(huán)境單獨配置統(tǒng)一配置組策略無可使用組策略，統(tǒng)一配置管理客戶端，且用戶在出現(xiàn)問題或需要做配置變更時，管理員可在域上配置，用戶不需要中斷工作軟件配置單獨安裝、管理統(tǒng)一配置，降低故障率活動目錄基礎(chǔ)知識技能實踐2.2技能實踐在WindowsServer2019上安裝活動目錄時，必須由網(wǎng)絡(luò)管理員進(jìn)行相應(yīng)的設(shè)置，需要滿足如下條件。必須有一個靜態(tài)的IP地址，如00/24，本書如無特殊說明，均使用此地址進(jìn)行相關(guān)配置。管理員賬號使用強(qiáng)密碼管理體系。已從Windows安裝最新的安全更新程序。安裝活動目錄時，登錄用戶必須有管理員組權(quán)限（Administrators）。符合DNS規(guī)范的域名，如。有相應(yīng)的DNS服務(wù)器的支持，用于解析域名，且當(dāng)前服務(wù)器的TCP/IP設(shè)置中的DNS服務(wù)器IP地址需要配置為該DNS服務(wù)器的IP地址。必須有足夠大的空閑磁盤空間，用于放置存儲域公共文件服務(wù)器副本的共享文件夾。2.2.1活動目錄的安裝1．ADDS的安裝在桌面上選擇“此電腦”圖標(biāo)并單擊鼠標(biāo)右鍵，在彈出的快捷菜單中選擇“管理”命令，打開“服務(wù)器管理器”窗口，如圖所示在窗口右上角選擇“管理”→“添加角色和功能”命令，打開“添加角色和功能向?qū)А贝翱?，如圖所示。2.2.1活動目錄的安裝單擊“下一步”按鈕，進(jìn)入“選擇安裝類型”界面，如圖所示單擊“基于角色或基于功能的安裝”單選按鈕，通過添加角色、角色服務(wù)或功能來配置單個服務(wù)器，單擊“下一步”按鈕，進(jìn)入“選擇目標(biāo)服務(wù)器”界面，如圖所示。2.2.1活動目錄的安裝單擊“從服務(wù)器池中選擇服務(wù)器”單選按鈕，在服務(wù)器池中選擇相應(yīng)的服務(wù)器，單擊“下一步”按鈕，進(jìn)入“選擇服務(wù)器角色”界面，如圖所示選擇要安裝在所選服務(wù)器上的一個或多個角色，在“角色”列表框中勾選“ActiveDirectory域服務(wù)”復(fù)選框，進(jìn)入“添加ActiveDirectory域服務(wù)所需的功能？”界面，如圖所示。2.2.1活動目錄的安裝勾選“包括管理工具（如果適用）”復(fù)選框，單擊“添加功能”按鈕，返回“選擇服務(wù)器角色”界面，單擊“下一步”按鈕，進(jìn)入“選擇功能”界面，如圖所示單擊“下一步”按鈕，進(jìn)入“ActiveDirectory域服務(wù)”界面，如圖所示。2.2.1活動目錄的安裝單擊“下一步”按鈕，進(jìn)入“確認(rèn)安裝所選內(nèi)容”界面，如圖所示單擊“安裝”按鈕，進(jìn)入“安裝進(jìn)度”界面，如圖所示。2.2.1活動目錄的安裝安裝完成后，單擊“關(guān)閉”按鈕，返回“服務(wù)器管理器”窗口，進(jìn)入“服務(wù)器管理器ADDS”界面，如圖所示選擇該界面右上角的“更多”選項，打開“所有服務(wù)器任務(wù)詳細(xì)信息”窗口，如圖所示。2.2.1活動目錄的安裝單擊“操作”列下的“將此服務(wù)器提升為域控制器”鏈接，打開“ActiveDirectory域服務(wù)配置向?qū)А贝翱冢鐖D所示在“部署配置”界面中，單擊“添加新林”單選按鈕，在“指定此操作的域信息”選項組中，設(shè)置“根域名”為，單擊“下一步”按鈕，進(jìn)入“域控制器選項”界面，如圖所示。2.2.1活動目錄的安裝選擇新林和根域的功能級別。設(shè)置不同的域功能級別主要是為了兼容不同平臺的網(wǎng)絡(luò)用戶和子域控制器，在此只能設(shè)置為“WindowsServer2016”版本的域控制器。指定域控制器功能并輸入目錄服務(wù)還原模式密碼，單擊“下一步”按鈕，進(jìn)入“DNS選項”界面，如圖所示單擊“下一步”按鈕，進(jìn)入“其他選項”界面，如圖所示。2.2.1活動目錄的安裝在“其他選項”界面中，輸入NetBIOS域名，單擊“下一步”按鈕，進(jìn)入“路徑”界面，如圖所示指定ADDS數(shù)據(jù)庫、日志文件和SYSVOL的位置，單擊“下一步”按鈕，進(jìn)入“查看選項”界面，如圖所示。2.2.1活動目錄的安裝檢查設(shè)置的相關(guān)信息，單擊“下一步”按鈕，進(jìn)入“先決條件檢查”界面，如圖所示，查看相關(guān)結(jié)果，單擊“安裝”按鈕，完成ActiveDirectory域服務(wù)配置。2.2.1活動目錄的安裝2．驗證ADDS的安裝WindowsServer2019服務(wù)器啟動時，可以查看登錄界面的用戶名是否變?yōu)锳BC\Administrator，如圖所示。進(jìn)入操作系統(tǒng)桌面，在“開始”菜單中選擇“Windows管理工具”命令，可以查看“ActiveDirectory管理中心”“ActiveDirectory用戶和計算機(jī)”“ActiveDirectory域和信任關(guān)系”“ActiveDirectory站點和服務(wù)”，如圖所示。2.2.1活動目錄的安裝在操作系統(tǒng)桌面上選擇“此電腦”圖標(biāo)并單擊鼠標(biāo)右鍵，在彈出的快捷菜單中選擇“屬性”命令，打開“系統(tǒng)”窗口，在“計算機(jī)名、域和工作組設(shè)置”選項組中，可以看到計算機(jī)全名為、域為，如圖所示。在操作系統(tǒng)桌面上選擇“此電腦”圖標(biāo)并單擊鼠標(biāo)右鍵，在彈出的快捷菜單中選擇“管理”命令，打開“服務(wù)器管理器”窗口，選擇“ADDS”選項，可以查看服務(wù)器管理器ADDS的相關(guān)信息，如圖所示2.2.2將客戶端加入活動目錄配置Windows10客戶端的IP地址、子網(wǎng)掩碼、網(wǎng)關(guān)地址、DNS服務(wù)器的IP地址等相關(guān)信息，如圖所示測試客戶端與域控制器的連通性，如圖所示。2.2.2將客戶端加入活動目錄使用命令測試客戶端能否正常解析域名，如作圖所示。將客戶端（win10-user01）加入域中。在客戶端桌面上選擇“此電腦”圖標(biāo)并單擊鼠標(biāo)右鍵，在彈出的快捷菜單中選擇“屬性”命令，單擊“更改設(shè)置”鏈接，彈出“計算機(jī)名/域更改”對話框，在“隸屬于”選項組中，輸入該客戶端所要加入的域名（），如右圖所示。2.2.2將客戶端加入活動目錄單擊“確定”按鈕，彈出“Windows安全中心”對話框，如圖所示輸入有權(quán)限加入該域的賬戶名稱和密碼（WindowsServer2019域的用戶和密碼），單擊“確定”按鈕，彈出“歡迎加入域?！钡奶崾緦υ捒?，如圖所示2.2.2將客戶端加入活動目錄單擊“確定”按鈕，系統(tǒng)重新啟動，啟動完畢后會發(fā)現(xiàn)系統(tǒng)登錄界面發(fā)生了變化，即進(jìn)入域模式登錄界面，如圖所示選擇“其他用戶”選項進(jìn)行登錄，登錄系統(tǒng)后，再次打開“系統(tǒng)”窗口，可以看到該計算機(jī)已經(jīng)處于域模式，如圖所示。2.2.2將客戶端加入活動目錄在WindowsServer2019域控制器上通過“ActiveDirectory用戶和計算機(jī)”窗口的Computers文件夾也能查看到客戶端（win10-user01）已經(jīng)加入域中，如圖所示。2.2.3創(chuàng)建子域1．創(chuàng)建子域DC1在計算機(jī)DC1上安裝ADDS，使其成為子域“”中的域控制器，設(shè)置計算機(jī)DC1的名稱，如圖所示設(shè)置計算機(jī)的IP地址等相關(guān)信息，如圖所示。2.2.3創(chuàng)建子域在桌面上選擇“此電腦”圖標(biāo)并單擊鼠標(biāo)右鍵，在彈出的快捷菜單中選擇“管理”命令，打開“服務(wù)器管理器”窗口。在該窗口右上角選擇“管理”→“添加角色和功能”命令，打開“添加角色和功能向?qū)А贝翱?，安裝ADDS。當(dāng)進(jìn)入“部署配置”界面時，單擊“將新域添加到現(xiàn)有林”單選按鈕，單擊“<未提供憑據(jù)>”后面的“更改”按鈕，彈出“Windows安全中心”對話框，在其中輸入有權(quán)限的用戶名abc\administrator及其密碼，如圖所示2.2.3創(chuàng)建子域單擊“確定”按鈕，返回“部署配置”界面，選擇或輸入父域名abc，輸入新域名lncc（注意，不是），如圖所示。單擊“下一步”按鈕，進(jìn)入“域控制器選項”界面，如圖所示，在“指定域控制器功能和站點信息”選項組中，默認(rèn)勾選“域名系統(tǒng)（DNS）服務(wù)器”復(fù)選框，在“鍵入目錄服務(wù)還原模式（DSRM）密碼”選項組中輸入密碼。2.2.3創(chuàng)建子域單擊“下一步”按鈕，進(jìn)入“DNS選項”界面，如圖所示。單擊“下一步”按鈕，進(jìn)入“其他選項”界面，在此設(shè)置NetBIOS域名，如圖所示。其他安裝步驟與安裝ADDS的步驟一樣，這里不贅述。安裝完成后系統(tǒng)會自動重新啟動。2.2.3創(chuàng)建子域2．創(chuàng)建子域過程中遇到的問題及解決方案在創(chuàng)建子域的過程中，“部署配置”界面出現(xiàn)“無法使用指定的憑據(jù)登錄到該域，請?zhí)峁┯行{據(jù)，然后重試。”提示信息，如圖所示。在創(chuàng)建子域的過程中，“結(jié)果”界面出現(xiàn)“嘗試將此計算機(jī)配置為域控制器時出錯”提示信息，如圖所示。2.2.3創(chuàng)建子域在子域控制器服務(wù)器上，按“Win+R”組合鍵，彈出“運行”對話框，如圖所示輸入sysprep命令，單擊“確定”按鈕，可以看到“sysprep.exe”執(zhí)行文件，如圖所示。2.2.3創(chuàng)建子域雙擊“sysprep.exe”執(zhí)行文件，彈出“系統(tǒng)準(zhǔn)備工具3.14”對話框，如圖所示勾選“通用”復(fù)選框，設(shè)置相關(guān)選項，單擊“確定”按鈕，重新啟動域控制器DC1，完成SID的修改。再次使用命令whoami/user查看當(dāng)前的用戶名和SID信息，可以看到當(dāng)前的用戶名和SID都與以前的不一樣，已經(jīng)全部修改完成，如圖所示2.2.3創(chuàng)建子域3．驗證創(chuàng)建的子域重新啟動域控制器DC1后，以管理員身份登錄到子域中，在桌面上選擇“此電腦”圖標(biāo)并單擊鼠標(biāo)右鍵，在彈出的快捷菜單中選擇“屬性”命令，打開“系統(tǒng)”窗口，在“計算機(jī)名、域和工作組設(shè)置”選項組中可以看到計算機(jī)全名為DC1.、域為，如圖所示。2.2.3創(chuàng)建子域在域控制