活动目录的规划与建设

《活动目录的规划与建设》由会员分享，可在线阅读，更多相关《活动目录的规划与建设（34页珍藏版）》请在金锄头文库上搜索。

1、1活动目录的规划与建设主要内容：（练习 58-81） u活动目录的基本知识 u活动目录的安装 u构造域帐户 u安全策略的设置 u设置共享文件夹 u安装网络打印机2活动目录的基本知识1、域模式所谓域模式，实质是一种集中存储、访问网络上各种 信息资源的模式，它采用活动目录（Active Directory）的 结构，将网络上的各种资源以对象的形式，集中存储在活 动目录中，组织成结构化的信息库，使信息易于管理，便 于查找及使用。域极大地简化了用户和计算机的管理，并 且提供了更好的网络资源访问方式 。 3活动目录的基本知识1、域模式（1）什么是域（domain）：域是活动目录（Active Direc

2、tory）的基本逻辑管 理单位，整个网络可以组织成一个单独的域，也可以根据需要划分为多个 域，域模式的最大好处，就是它的单一网络登录能力，任何用户只要在域 中有一个用户帐户，就可以登录域并能访问网络中的所有资源。 （2）域的命名：Windows Server 2003的Active Directory与DNS紧密地整合 在一些，域的“命名空间”就是采用DNS架构，域名（domain name）也采 用DNS的格式来命名，例如，可以将Windows Server 2003的域命名为 、。 （3）域控制器：域控制器是域中的服务器，域控制器上安装了Active Dricetory并存放了目录数据库。

3、一个域内可以有多台域控制器，域中的所 有控制器各存储着一份相同的活动目录。4活动目录的基本知识、域中的对象在域中所有的资源都是以对象的形式存储在活动目录中，这些资源包括 文件、打印机、应用程序、服务器、域、用户帐户等等。 （1）组织单元：包含在域中的特别有用的目录对象类型就是组织单位。组织 单位是一种可将用户、组、计算机和其他对象放入其中的 Active Directory 容器，组织单位还是指派组策略设置或委派管理权限的最小作用域或单位 。使用组织单位，系统管理员可以根据本单位的实际组织结构建立和管理 用户帐户、计算机帐户、共享文件夹、打印机等资源，并可以通过组策略 来集中管理域的用户工作环

4、境与计算机环境等 。 （2）用户：用户是域中的最基本对象，一个域中，可以没有组织单位，也可 以没有组，但是必须要有用户，网络管理员可为每一个需要访问域资源的 用户建立用户帐户，任何用户只要在域中有一个用户帐户，就可以登录域 并能访问网络中的资源。 。 5活动目录的基本知识、域中的对象（3）组：组是可包含用户、联系人、计算机和其他组的 Active Directory对象 。使用组可以管理用户和计算机对 Active Directory 对象及其属性、网络共享 位置、文件、目录、打印机列队等共享资源的访问。 从组的使用范围来看，Windows Server 2003域内的组可分为三类：通用 组、

5、全局组、域本地组。通用组可以在本域或信任域之间使用，用于组织用户 帐户。全局组可以在整个Active Directory中使用，用于组织用户帐户。域本地 组主要用来指派在其所属域内的访问权限，以便访问该域内的资源。 根据组类型，Windows Server 2003域内的组可分为两种：安全组和通讯组。 安全组可以赋予其访问资源的权限，所有的内置组都是安全组。通讯组主要作 用是作为联系人，这种类型的组不能赋予访问资源的权限。 6活动目录的基本知识、域中的对象（4）本机帐户与域帐户的差异 ：在网络中没有域的情况下，用户使用本机帐户登录计算机，可以 使用和管理本地计算机的资源。当用户需要访问网络中其

6、他计算机的资源时，必须提供其他计算 机的本地帐户，才能访问相应的计算机。若网络中存在域，当用户使用域帐户登录到域中，就可以访问网 络中的任何资源。每台安装windows操作系统的计算机上都有本机帐 户，但是在域控制器上本机帐户是被禁止的，取而代之的是域帐户， 域帐户保存在Active Directory目录数据库中，允许用户从域中的任何 计算机登录域，并且可以访问整个域的资源 。 7活动目录的基本知识、域中对象的管理进行域的管理，主要是对活动目录中各资源对象的管理，其中常用的管理 操作有：对组织单位的安全策略设置，对共享权限和访问权限的设置，以及对 网络共享设备，如打印机的管理和维护等等。 （

7、1）安全策略设置 ：管理员主要利用组策略来管理用户的工作环境与计算机环境，组策略提供 了很强大的安全管理功能。 1） 组策略分“计算机配置”与“用户配置”两部分：计算机配置：当计算机启动时，就会根据“计算机配置”的内容来设置计算 机的环境。用户配置：当用户登录时，就会根据“用户配置”的内容来设置用户的工作 环境。 2） 利用组策略可以实现的功能有：帐户策略的设置、本地策略的设置、脚本设置、用户工作环境的设置、软 件的安装与删除、文件夹的重定向等。8活动目录的基本知识、域中对象的管理（2） 共享文件夹管理要为域中的用户提供共享资源，必须将资源所在的目录设置为共享，并为 共享目录设置共享权限和安全

8、权限。另外，在域控制器中，管理员还常常需要 为用户或用户组指定共享文件夹，将网络上的某一共享文件夹映射为用户的网 络驱动器，当该用户启动计算机，可以象使用本地驱动器一样访问共享文件夹 。（3） 打印机管理打印机是一种必不可少的办公设备，网络管理员必须掌握打印机的安装和 管理方法。目前在办公环境中，存在有两类打印机，一类主要是利用PC服务 器来实现共享打印，一般称为共享打印机。另一类是网络打印机，即可以直接 接入网络的打印机，只要安装相应的软件就能实现打印，而不用直接连任何电 脑。9活动目录的安装活动目录的安装过程：Step 1：启动活动目录向导在安装有Windows Server 2003操作

9、系统的服务器上，依次单击“开 始”“设置”“控制面板”菜单项，在“控制面板”中双击“管理工具”，然后 双击“管理您的服务器向导”，启动配置向导。单击“添加或删除角色” ，在“ 配置选项”对话框中，选择“自定义配置”。在“服务器角色”对话框中，选择 “域控制器(Active Directory)”选项，启动活动目录安装向导。 或者通过“开始”“运行”，输入命令dcpromo，启动活动目录安装向导。10活动目录的安装Step 2：安全设置的兼容性提示 安装向导显示，由于Windows Server 2003使用了新的安全设置，一些较早 版本的操作系统，如Windows 98，Windows NT

10、4.0 SP3或更早版本，将无法通 过Windows Server 2003域控制器来登录与访问域资源，2003 web版不支持。 Step 3：选择域控制器类型 因为该服务器是域中的第一台域控制器，所以在“域控制器类型”对话框中选 择“新域的域控制器”选项。在“创建一个新域”对话框中选择“在新林中的域”选项。 11活动目录的安装Step 4：设置域名 在“新的域名”对话框的“新域的DNS全名”框中，输入需要创建的域名 。如图 所示。 12活动目录的安装Step 5：设置NetBIOS名称 在“NetBIOS名”对话框中，显示：非Windows操作系统的客户端将使用的 NetBIOS域名。可保

11、持默认设置。Step 6：设置数据库和日志文件安装位置 在“数据库和日志文件文件夹”对话框中，输入数据库、日志文件的保存位置 。 可以放置在不同的分区。Step7：设置系统卷共享文件位置在“共享的系统卷”对话框中，指定作为系统卷共享的文件夹。Sysvol文件夹 存放域公用文件的服务器副本。Sysvol中的内容被复制到域中的所有域控制器， 其文件夹位置一般不作修改。Sysvol包含系统的基本配置、脚本文件、组策略设 置。13活动目录的安装Step8：配置DNS如果在安装活动目录之前未配置DNS服务器，可在此让安装向导配置DNS。 在接下来的“权限”对话框中，考虑到目前大多数网络环境中仍然包括Wi

12、ndows 2000以前的操作系统，所以应选择“与Windows 2000之前的服务器操作系统兼容 的权限”选项。一旦DNS名设置后不能随意更改。Step9：设置目录服务恢复模式密码在“目录服务还原模式的管理员密码”对话框中输入目录还原模式下的管理员 密码。Step10：查看摘要完成安装安装向导将显示安装摘要信息，确认无误后，单击“下一步”按钮即可开始安 装。完成安装后，将重启系统。14构造域帐户Step1建立组织单位：策略控制”和“访问控制依次单击“开始”程序”“管理工具”“Active Directory用户和计算 机” ，在打开的窗口中右击域名称，选择快捷菜单项“新建”“组织单位”， 输

13、入组织单位名称。重复以上步骤，完成所有组织单位的建立，如图所 示。15构造域帐户Step2在“访问控制”下创建用户组帐户在“Active Directory用户和计算机”管理单元中，右击“访问控制”组织 单位，选择快捷菜单项“新建”“组”，输入组名称、设置组作用域和组类 型（一般为默认的全局、安全组）。重复以上过程，完成所有组帐户的 建立。如图 所示。16构造域帐户Step3创建用户帐户展开“策略控制”，右击组织单位“财务部”，选择快捷菜单项“新建”“ 用户”，在图所示对话框中输入张经理的信息并为张经理设定登录的用户 名，在图所示对话框输入和确认用户密码，并根据需要选择相应的复选 框，创建财务

14、部主管张经理的帐户。17构造域帐户 Step4将用户加入用户组在“Active Directory用户和计算机”管理单元中，在“访问控制”组织单 元里，右击“财务部”组, 打开“属性”对话框，如图所示，在“成员”选项卡中 使用“添加”按钮可以将“张经理”加入到“财务部”组。重复以上过程，将建 立的用户帐户全部加入到相应的组，如图所示。18构造域帐户在客户机利用域帐户登录域，可以检查上述设置的有效性。选择一台安装Winows XP操作系统的客户机，打开TCP/IP配置窗口 ，在DNS中加入域控制器的IP地址。然后右击“我的电脑”，打开 “属性”对话框，点击“计算机名”选项卡中 的“更改”按钮。在

15、“计算机名称更改”对话框中的“隶属于”部分选择单选框“ 域”，并输入域的名称， 。在系统提示框中，输入域用户名和密码，出现欢迎加入域的提示框 ，说明设置正确。19安全策略设置Step1启动组策略在“Active Directory用户和计算机”管理单元中，展开组织单位“策略 控制”，右击需要设置组策略的组织单位（如技术部），打开“属性”对话 框的“组策略”选项卡，单击“新建”按钮，输入新建的组策略名，然后单击“ 编辑”按钮打开“组策略编辑器”。20安全策略设置Step2设置帐户安全策略在“组策略编辑器”中，依次展开 “计算机配置” “Windows设置”“安 全设置”“帐户策略”。在密码策略中

16、，启用“密码必须符合复杂性要求”，“密码长度最小值” 设为6个字符，“密码最长使用期限”为30天，“强制密码历史”为3个记住密 码。 在帐户锁定策略中，“帐户锁定阈值”设为3，“帐户锁定时间”为30分钟。21安全策略设置Step2设置帐户安全策略如图所示。22安全策略设置Step2设置帐户安全策略如图所示。23安全策略设置Step3设置本地策略在“组策略编辑器”中，依次展开“计算机配置” “Windows设置”“安 全设置”“本地策略。为技术部设定相应的审核策略、安全选项，并为技术部用户指定相 应权限。如图所示。24安全策略设置Step4设置管理模板策略 1） 任务栏和开始菜单设置 在“组策略编辑器”中，依次展开“用户配置”“管理模板”“任务栏和开始 菜单”，如图所示。25安全策略设置Step4设置管理模板策略 2） 展开“用户配置”“管理模板”“桌面”，如图所示。26安全策