项目3 管理活动目录与用户

《项目3 管理活动目录与用户》由会员分享，可在线阅读，更多相关《项目3 管理活动目录与用户（43页珍藏版）》请在金锄头文库上搜索。

1、3.1 相关知识项目3 管理活动目录与用户 3.1.1 活动目录 3.1.2 域和域控制器(DC) 3.1.3 域目录树 3.1.4 域目录林 3.1.5 全局编录 3.3.1 任务1 创建与配置活动目录 3.3.2 任务2 备份与恢复活动目录 3.3.3 任务3 管理活动目录 3.3.4 任务4 管理域用户和计算机账户 3.3.5 任务5 管理域中的组账户3.4 习题3.3 项目实施3.2 项目设计及准备3.2.1 项目设计 3.2.2 项目准备 某公司组建的单位内部的办公网络，原来是基 于工作组方式的，近期由于公司业务发展，人员激 增，基于网络的安全管理需要，考虑将基于工作组 的网络升级为

2、基于域的网络，现在需要将一台或多 台计算机升级为域控制器，并将其它所有计算机加 入到域成为成员服务器。同时对原来的本地用户账 户和组也升级为域用户和组进行管理。项项目描述项目3 管理活动目录与用户 掌握规划和安装局域网中的活动目录； 掌握在Windows 2003 Server中创建和管理域用户及组； 掌握在Windows 2003 Server中添加和管理各种域服务器。 掌握将局域网中的计算机加入到在Windows 2003 Server的域服务器中。项项目目标标项目3 管理活动目录与用户 3.1 相关知识域与活动目录的概念活动目录的创建与配置活动目录的备份与恢复管理组织单元管理信任关系管理

3、复制项目3 管理活动目录与用户 活动目录是Windows网络中的目录服务,有两方 面内容：目录和与目录相关的服务。活动目录是一个分布式的目录服务，信息可以 分散在多台不同的计算机上，保证用户能够快速访 问。既提高了管理效率，又使网络应用更加方便。3.1 相关知识3.1.1活动动目录录域是在Windows NT/2000/2003网络环境中组建 客户机/服务器网络的实现方式。所谓域，是由网 络管理员定义的一组计算机集合，实际上就是一个 网络。在这个网络中，至少有一台称为域控制器的 计算机,充当服务器角色。3.1 相关知识3.1.2 域和域控制器（DC）3.1 相关知识3.1.3 域目录树当需要配

4、置一个包含多个域的网络时，应该将 网络配置成域目录树结构。域目录树是一种树型结 构。活动目录的域名仍然采用DNS域名的命名规则进 行命名。在整个域目录树中，所有域共享同一个活动目录 ，即整个域目录树中只有一个活动目录。如果网络的规模比前面提到的域目录树 还要大，甚至包含了多个域目录树，这时可 以将网络配置为域目录林（也称森林）结构 。3.1 相关知识3.1.4 域目录林为了让每一用户能够快速查找到另一个域内的 对象，微软设计了全局编录（Global Catalog，GC ）。全局编录包含了整个活动目录中每一个对象的 最重要属性（即部分属性，而不是全部），这使得 用户或者应用程序即使不知道对象位

5、于哪个域内， 也可以迅速找到被访问的对象。3.1 相关知识3.1.5 全局编录 3.2 项目设计及准备项目设计项目准备项目3 管理活动目录与用户3.2 项目设计及准备3.2.1 项目设计 域林有两个域树：和， 其中域树下有子域，在 域中有两个域控制器win2003-1与 win2003-2；在域中除了有一个域 控制器win2003-3外，还有一个成员服务器 win2003-5。 3.2 项目设计及准备 3.2.1 项目设计网络规划拓扑图 3.2 项目设计及准备 3.2.2 项目准备为了搭建上图的网络环境，需要如下设备： 安装Windows Server 2003的PC计算机5台； Window

6、s XP计算机1台； Windows Server 2003安装光盘。或者在虚拟机中实现3.3 项目实施创建与配置活动目录备份与恢复活动目录管理活动目录管理域和计算机账户管理域中的组账户项目3 管理活动目录与用户 3.3.1 任务1 创建与配置活动目录（1）首先确认“本地连接”属性TCP/IP 中首 选 DNS 指向了自己(192.168.22.98)。 （2）在服务器上安装活动目录。（3）选择“新域的域控制器。（4）在“创建一个新域”窗口中，选择“在新 林中的域”。（5）在计算机上安装并配置DNS。1创建第一个域 3.3.1 任务1 创建与配置活动目录1创建第一个域 （6）在新的域名页面中，

7、输入新域的完整域名 （FQDN）。（7）在“NetBIOS域名”窗口中确认NetBIOS名 。（8）改变活动目录数据库以及日志存放的路径 。（9）在“权限”窗口中，选择一个权限选项 。(10)在“目录服务还原模式的管理员密码”窗 口中，设置一个密码。(11)最后，系统显示安装摘要。3.3.1 任务1 创建与配置活动目录2安装后检查 活动目录安装完成后，可以从各个方面进行验证。1.查看计算机名 2.查看管理工具 3.查看活动目录对象4.查看Active Directory 数据库5.查看DNS记录 3.3.1 任务1 创建与配置活动目录3安装额外的域控制器 （1）首先要在 服务器上检查“本地连接

8、”属性 ，确认能否正常通信。（2）运行“Active Directory”安装向导。（3）将该计算机设置为现有域的额外域控制器。（4）输入拥有将该计算机升级为域控制器权力的 用户名和密码。（5）安装向导从原有的域控制器上开始复制活 动目录。3.3.1 任务1 创建与配置活动目录4创建子域 （1）在要升级为域控制器的独立服务器上，设 置“本地连接”属性。 （2）运行活动目录安装向导。（3）选择“新域的域控制器”单选按钮，单击“ 下一步”按钮；选择“在现有域树中的子域”单选 按钮，单击“下一步”按钮。（4）输入父域的域名以及管理员的账户、密码等 。（5）接着输入子域的NetBIOS名。（6）重新启

9、动计算机，用管理员登录到域中。3.3.1 任务1 创建与配置活动目录5创建域林中的第二棵域树 1. 创建DNS域（1）展开DNS管理窗口左部的列表，右击“正向查找区域”， 选择“新建区域”命令。 （2）在“欢迎使用新建区域向导”界面中单击“下一步”；在“ 区域类型” 中选择“主要区域” 。（3）选择如何复制DNS区域数据。（4）输入DNS区域名称，选择“只允许安全的动态更新”或者 “允许非安全和安全动态更新”单选按钮。（5）单击“完成”按钮。3.3.1 任务1 创建与配置活动目录5创建域林中的第二棵域树 2. 安装域树的域控制器（1）确认服务器上“本地连接”属性中的TCP/IP的首选DNS指向

10、 。（2）运行活动目录安装向导。（3）选择“新域的域控制器” ，下一步选择“在现有的林中 的域树” 。（4）输入已有域树的根域的域名和管理员的账户、密码。（5）接着输入新域的NetBIOS名,按照原步骤继续设置，直 到完成。3.3.1 任务1 创建与配置活动目录6.成员服务器和独立服务器1域控制器降级为成员服务器。具体步骤：1）删除活动目录注意要点2）删除活动目录 2独立服务器提升为成员服务器 3成员服务器降级为独立服务器 3.3.2 任务2 备份与恢复活动目录1. 活动目录的备份 （1）Windows备份（2）命令行备份在“开始”“程序”“附件”“系统工具 ”“备份”内进行备份 。ntbac

11、kup backup systemstate /J “Backup Job 1” /F “D:backup.bkf”备份过程与Windows状态下备份活动目录一样 3.3.2 任务2 备份与恢复活动目录2. 活动目录的恢复 活动目录的恢复应用在下面的三种情况：（1）网络中只有一台域控制器，在重新安装系统后，必须 恢复活动目录。（2）如果服务器发生故障，借助于备份文件恢复。（3）利用备份的数据，快速安装新的额外的域外控制器。3.3.3 任务3 管理活动目录1在活动目录中使用OUOU是组织单元，在活动目录（ Active Directory，AD）中扮演特殊的角色，它是一个当普 通边界不能满足要求

12、时创建的边界。 OU 把域中的 对象组织成逻辑管理组,而不是安全组或代表地理实 体的组。OU是可以应用组策略和委派责任的最小单 位。3.3.3 任务3 管理活动目录1在活动目录中使用OU组织单元组织单元是包含在活动目录中的容器对象。创建组织单元 的目的是对活动目录对象进行分类。创建组织单元有如下好处：（1）可以分类组织对象，使所有对象结构更清晰。（2）可以对某些对象配置组策略，实现对这些对象的管理 和控制。（3）可以委派管理控制权，如管理员可以给不同部门的网 络主管授权,让他们管理本部门的账号。3.3.3 任务3 管理活动目录谨慎添加OU：只在必要的时候才添加OU，不要建太多的 OU,建议不要

13、为个别用户创建OU。 保持层次简单：不要一开始就创建多层OU，也不要使OU 的层次太深。 OU与组的区别：真正的差别在于安全模型-组策略与权限 。如果一组用户或计算机需要对任务应用限制，考虑创建一个 OU，如果一组用户或计算机需要文件夹的特定权限，考虑创建 一个组。使用OU注意要点 1在活动目录中使用OU3.3.3 任务3 管理活动目录在左窗格中右击该OU的父对象。如果是第一个OU，域将是父 对象。从快捷菜单中选择“新建”“组织单位” ，打开“新建 对象-组织单位”对话框。为新OU输入名称。单击“确定”按钮完成OU创建。创建OU步骤1在活动目录中使用OU3.3.3 任务3 管理活动目录2委派O

14、U的管理（1）在左窗格中右击OU对象，并从快捷菜单中选 择“委派控制”。打开“控制委派向导”，单击“下一步”（2）单击“添加”打开“选择用户、计算机或组” 对 话框。使用对话框中的选项选择委派对象的对象类型 和位置。（3）在接下来的窗口中，选择想要委派的任务。操作步骤3.3.3 任务3 管理活动目录2委派OU的管理查看OU的安全属性（1）在“Active Directory用户和计算机”的菜 单栏中选择“查看”“高级功能”。（2）启用了“高级功能”之后，右击某个OU，选 择“属性”，就可以看见“安全”选项卡了。3.3.3 任务3 管理活动目录3创建活动目录域的信任关系 1信任关系信任关系是网络

15、中不同域之间的一种内在联系。2域林中的信任子域和父域的双向、可传递的信任关系是在安装域控制器 时就自动建立的，同时由于域林中的信任关系是可传递的， 因此同一域林中的所有域都显式或者隐式地相互信任。3创建新的信任关系 3.3.3 任务3 管理活动目录4活动目录站点复制服务 活动目录站点复制服务，就是将同一Active Directory站点的数据内容，保存在网络中不同的位 置，以便于所有用户的快速调用，同时还可以起到 备份的目的。1站点间的复制 2站点内的复制3管理复制 3.3.4 任务4 管理域用户和计算机账户1. 域用户账户 域用户帐户提供了比本地用户帐户更多的 属性，例如登录时间和登录到哪

16、台计算机的限 制等。方法很简单，在“用户属性”对话框中 单击相应的选项卡进行修改即可。 3.3.4 任务4 管理域用户和计算机账户2. 计算机账户 在域中，每台运行Windows 2000/XP的计算 机都拥有一个计算机账户。在向域中添加新的 计算机时，必须在“Active Directory用户和 计算机”中创建一个新的计算机账户。计算机 账户创建后，每个使用该计算机的用户都可以 使用该账户登录。用户可以根据系统管理员赋 予该计算机账户的权限访问网络。（1）添加计算机账户 （2）修改用户属性 3.3.5 任务5 管理域中的组账户用户和组都可以在Active Directory中添加， 而且必须以AD中Acco