一、认识windows 的域

《一、认识windows 的域》由会员分享，可在线阅读，更多相关《一、认识windows 的域（8页珍藏版）》请在金锄头文库上搜索。

1、一、认识一、认识 WindowsWindows 的域的域一、认识 Windows 的域 本小节重点从论上阐述域的概、作用和 Windows 中域的产生。 一台 Windows 计算机，它要么隶属于工作组，要么隶属于域。所以说到域，我们就得提一下工作组，工作组是 MS 的概，一般的普遍称谓是对等网。工作组通常是一个由多于 10 台计算机组成的逻辑集合，如果要管多的计算机，MS 推荐你使用域的模式进集中管，这样的管有效。你可以使用域、活动目录、组策等等各种功能，使你网络管的工作达到最小。当然这的10 台只是一个参考值，11 台甚至 20 台，如果你想进集中的管，那么你仍然可以使用工作组模式。工作组

2、的特点就是实现简单，需要域控制器 DC，每台计算机自己管自己，适用于距离很近的有限数目的计算机。另外工作组名并没有太多的实际意义，只是在网上邻居的表中实现一个分组而已；再就是对于“计算机浏览服务” ，每一个工作组中，会自动推选出一个主浏览器，负责维护本工作组所有计算机的 NetBIOS 名称表。用户可以使用默认的workgroup，也可以任意起个名字，同一工作组或同工作组在访问时也没有么分别。域（Domain）是一个共用“目录服务数据库”的计算机和用户的集合，实现起来要复杂一些，至少需要一台计算机安装 NT/2000/03 Server 版本使其充当 DC，来实现集中式的管。考虑到容错的话，至

3、少需要两台。对于 NT4 域就是一台PDC（具有唯一性） ，一至多台 BDC，对于 2000/03 域，已经没有PDC 和 BDC 的概，要容错就需要两至多台 DC。域是逻辑分组，与网络的物扑无关，可以很小，比如只有一台 DC；也可以很大，包括遍布世界各地的计算机，比如大型跨国公司网络上的域（当然实际中他们多采用多域结构，还可以用 AD 站点来优化 AD 复制） 。这个“目录服务数据库” ，在 NT4 时，保存用户帐号名称和密码等安全安全信息，以及安全规则设置，又被称作安全帐号管（SAM）数据库，简称 SAM 库。在非 DC 上的本地的 SAM 库与 DC 上域所用的 SAM 库类似，只过对于

4、 NT4 域的 SAM 库文件，保存有整个域的用户和计算机，用“域用户管器”和“服务器管器”来管，本地的 SAM 库文件，保存有本地机的用户，由“用户管器”来管。 从 2000 开始，MS 引入活动目录 AD，DC 通过 AD 来提供目录的服务，如它负责维护 AD 数据库、审核用户的账户和密码是否正确、将 AD 数据库复制到其它的 DC 等。AD 库的核心文件就是winntntdsntds.dit 文件。注意组策的具体设置值，并存在这个文件中，而是保存在 winntsysvolsysvol 这个共享夹下，用于向其它 DC 复制，传播给域成员，来生效。但需要说明的是：2000/XP/03 的非

5、DC 域成员计算机上仍使用和 NT4 一样的 SAM 库文件来保存本地帐号。正是由于所有域成员计算机和域用户都共用这个域的“目录服务数据库” ，域管员就可以基于域的“目录服务数据库”来进集中管、共享资源，如用户、组、计算机帐号、权限设置、组策设置等等。目录服务为管员提供从网络上任何一个计算机上查看和管用户和网络资源的能。目录服务也为用户提供唯一的用户名和密码，用户只需一次登录，即可访问本域或有信任关系的其它域上的所有资源（当然用户得有权限才） ，而需要多次提供用户 名和密码登录。 二、构建 Windows 2000 的域 这个过程简单说就是：选一台 2000S/AS 计算机，运AD 安装向导，

6、在其上安装活动目录，使其成为 DC。然后将其它的计算机加入到这个域。 说明：至于是用 2000S，还是用 2000AS，对于一般的用户差别大。2000S 支持最多 4 个 CPU，最大 4G 内存；2000AS 支持最多 8 个 CPU，最大内存 8G，还支持群集功能。但这些我们一般用户都用到，所以对于普通用户来说，选择 S 或 AS 都是一样的。 1、系统要求 *一台 2000S 或 2000AS 独或成员服务器，2000DS 只有 OEM 版，随厂商硬件发售，平常我们是见到的。 * 其上必须有一个 NTFS 5.0 分区，用来保存 AD 的 sysvol 文件夹。注意：2000 的 NTF

7、S 分区是 NTFS 5.0，NT4 的是 NTFS 4.0，NT4 必须安装 SP4 后，才可访问 2000 的 NTFS 分区。 * 网络上必须有可用的 DNS 服务器，并且必须支持 SRV 记录（Service Locaion Resource Record）和动态新功能。如：MS Win2000S DNS，UNIX 的 DNS BIND 8.12 及以上版本，使用已有的NT4 DNS 是的。 说明： 构建 NT4 域并需要 DNS 的支持，但 2000 域必须有 DNS，且满足上述要求。SRV 记录的作用是指明域和站点（site）的 DC、PDC 仿真、GC 是谁。动态新也是 2000

8、DNS 的新特色，管员必再象NT4 DNS 那样手动为计算机创建或修改相应记录，在域成员计算机 重启，或改名、改 IP 时依赖周期性新，自动动态实现。 如果没有 DNS 服务器的话，也一定非得预装 DNS，可以在安装 AD 过程中，选择在本机上安装 2000 DNS。而且推荐初学者使用这种方法，因为系统会根据你提供的 FQDN 域名，自动创建好 DNS 区域（zone） ，并配置成 AD 集成区域，仅安全动态新。如果需要向外连或反向 解析，用户只需配置上转发器和反向区域即可，需要的话，直接就可以用。如果决定在安装 AD 过程中在本机安装 DNS，应在安装前，将本机 TCP/IP 配置/DNS

9、服务器指向自己，这样在安装 AD 完成后重启时，SRV 记录将被自动注册到 DNS 服务器的区域当中 去的，生成四个以下划线开头的文件夹，如_msdcs，03DNS 在这夹的层次结构有所变化，但本质没变。当然如果忘指，也可以后补上，只过需要多重启一次。 2、安装步骤、注意事项、常见问题、经验技巧 （1）启动 AD 安装向导 方法一：开始/程序/管工具/配置服务器/ Active Directory /启动 AD 安装向导。 方法二：熟练后一般常用，开始/运：dcpromo。 （2）安装选项：指定服务器角色 三个界面，实现四种组合： 新域 附加 DC 新树 子域 新 加入 即： * 新域新树新

10、* 附加 DC * 新域子域 * 新域新树加入 全新安装：新域新树新，这样来建第一个域中的第一台DC。 2000 的多域模型采用层次结构，同于 NT4 域的平面结构，NT4 的多个域之间只是通过信任关系关联起来。接下来以下图为，对2000 的域、树、进简要说明： / 这整个是一个， 为根域，有两个树，一个由 和它的子域 组成，另一个由 单独组成，中有 ，， 三个域。相关 概如下： 根域：在中第一个建的域，如： 树：共用连续的命名空间的多层域，如 和 树根域：树最高层的域，名最短。如： 说明： 2000 可采用多层域结构，但最有效、最简的管方法仍是单域，所以大家在实际工作中要记住一

11、个原则“能用单域解决，就用多域” 。再者 2000AD 是针对大中型网络设计的，而我们一般管的网络也就几百个节点，属于小型网络，一般来讲用一个单域结构就够用，要人为将管环境复杂化。在实验中，我们甚至可以一个中只有一个树，一个树中只有一个域，一个域只有一台 DC。 另外前面已经说过，域是逻辑分组，与网络的物扑无关，要总试图规划一个子网 一个域。当然实际中多个子网一个域，子网中有 95/98/NT 计算机，无法用 DNS 直接登录到域，可以安装一台 WINS 服务器解决问题。将所有计算机，包括 WINS 服务器本身的 TCP/IP 配置中的 WINS 服务器指向此 WINS 服务器即可。 （3）安

12、装选项：新域的 DNS 全名 说明： 在这应该输入新域的完全有效域名 FQDN，形如：。系统会打算以 mcse 作为此 域的 NetBIOS 名称，并在网络中检查是否存在重名，需要等一会儿。重名则设为 mcse，建议用户要修改此名；重名则设为 mcse0，建议用户最好换个名字。这也就是说，网络中如果已有一个域，名字叫做 mcse.org，也会出现 NetBIOS 名称冲突的问题。 （4）安装选项：为新域指定一个 NetBIOS 名称 说明： NetBIOS 名称，只是为 95/98/NT 等版本用户通过“浏览服务”或 WINS 来识别这个域用的，如果确信域用户都是 2000 及以上系统（它们通

13、过 DNS 定位域） ，其实 NetBIOS 名称冲冲突，都无所谓。（5）安装选项：指定 AD 库和日志文件位置 说明： 如果仅是实验，用默认值即可。是在真正的服务器上，都会有多块物硬盘，最好分开存放，以提高性能。另外需要强调的是：AD 库和日志文件并要求非得 NTFS 5.0 分区，很多 2000/03 书在此语焉详。 （6）安装选项：指定 sysvol 文件夹位置 说明： 是 sysvol 这个文件夹要求必须得 NTFS 5.0 分区。在它当中存储有DC 间 AD 要同步的内容，包括组策的设置值。 （7）这时网络中无可用 DNS 服务器，就会出现提示：找到 DNS 服务器，需要考虑在本机上

14、安装一个 DNS 服务器。可先必会，点“确定” ，接下来选“是，在本机上安装并配置 DNS” 。初学者在此要选“否，我将自己安装并配置 DNS” 。 （8）几分后，安装完成，需要重启。 说明： 硬盘或网络上没有可用的 2000S 源文件，会提示要 2000S 光盘。 最好用新装 2000S 来安装 AD，这样容出问题。如果你是用一个台运一段时间的 2000S/AS，来安装 AD，使其成为 DC。重启及登录时可能会很慢（有时可能长达 20 分钟） ，这是较常见的现象。一般 2-3 次以后就好，如果多次重启后还那样，那就要重装系统及 AD 。 3、域成员计算机 （1）将计算机加入到域 首先将客户机

15、 TCP/IP 配置中所配的 DNS 服务器，指向 DC 所用的DNS 服务器。然后我的 电脑/右键/属性/网络标识/属性/隶属于，选择域：输入域名，确定。提示输入用户口和口，确定后提示重启。 说明： 加入域时，如果输入的域名为 FQDN 格式，形如 ，必须用 DNS 中的 SRV 记录 来找到 DC，如果客户机的 DNS 指的对，就无法加入到域。 加入域时，如果输入的域名为 NetBIOS 格式，如 mcse，也可以用浏览服务（广播方式） 直接找到 DC，但它是一个完善的服务，有时就会好使。 这样虽然也可把计算机加入到域，而且在等较长时间后也可以登录到域上去，但推荐。因为客户机的 DNS 指的对，则它无法用2000DNS 的动态新动能，也就是说无法在 DNS 区域中自动生成关于这台计算机的 A 记录和 PTR 记录。那么同一域另一子网的 2000 及以上计算机就无法用 DNS 找到它，这本应是可以的。 再者，管员无法在客户机上用域的管工具来远程管域，因为这些管工具必须使用 DNS，出错提示：找到域命名信息（有时客户机的 DNS Client 服务有问题也会出现上述