《《计算机网络操作系统——Windows 2000 Server管理与配置》电子教案 第6章 活动目录》由会员分享,可在线阅读,更多相关《《计算机网络操作系统——Windows 2000 Server管理与配置》电子教案 第6章 活动目录(77页珍藏版)》请在金锄头文库上搜索。
1、第6章 活动目录,本章主要讲解Windows 2000中活动目录(Active Directory,AD)的基本知识和使用技巧。通过本章学习,读者应该掌握以下内容:,活动目录的基本概念 活动目录的规划与安装 域控制器的管理 用户账户和计算机账户的管理 组和组织单位的管理 资源发布和域的管理,本章学习目标,6.1 概 述(1),6.1.1 活动目录简介 活动目录(Active Directory)是一种目录服务,它存储有关网络对象(如用户、组、计算机、共享资源、打印机和联系人等)的信息,并使管理员和用户可以方便地查找和使用这些网络信息。 域(domain)仍然是Windows 2000目录服务的
2、基本管理单位,但增加了许多新的功能。 活动目录服务把域详细划分成组织单位,组织单位是一个逻辑单位,它是域中一些用户和组、文件与打印机等资源对象的集合。 活动目录服务把DNS作为其定位服务,增强其与Inter-net的融合。,6.1 概 述(2),6.1.2 活动目录的三种特性 1集成性 用户和资源管理、基于目录的网络服务和基于网络的应用管理。 2深入性 深入性主要体现在其企业级的可伸缩性、安全性、互操作性、编程能力和升级能力上。 3易用性 简易的安装和管理 。,6.2 安装活动目录,活动目录的规划 安装活动目录 检验安装结果,6.2.1 活动目录的规划(1),一、规划DNS 选择DNS名称用于
3、Active Directory域时,以单位保留在Internet上使用的已注册DNS域名后缀开始,并将该名称和单位中使用的地理名称或部门名称结合起来,组成Active Directory域的全名。 二、规划域结构 从单域开始,只有在单域模式不能满足要求时,才增加其他的域。一个域可跨越多个站点并且包含数百万个对象。 下列情形下才建议创建多个域: 1部门之间不同的密码要求。 2大量的对象。 3不同的Internet域名。 4对复制进行更多的控制。 5分散的网络管理。,6.2.1 活动目录的规划(2),三、规划组织单位结构 组织单位可包含用户、组、计算机、打印机、共享文件夹以及其他组织单位。 通常
4、创建的组织单位应能反映部门的职能或商务结构。 每个域都可以实现自己的组织单位层次结构。 四、规划委派模式 将部分组织单位子树的权利派给其他用户或组。,6.2.1 活动目录的规划(3),还要注意以下几点: 1使用的域越少越好,因为在Windows 2000中单个域的容量已被大大扩展了。 2限制组织单位的层次,以提高在Active Directory搜索对象的运行效率。 3限制组织单位中的对象个数,有利于高效的查找特定资源。 4可以将管理权限分配到组织单位级,这样既提高了管理效率,又降低了管理员的负荷。,6.2.2 安装活动目录(1),安装活动目录具体步骤: 1.启动Windows 2000 Se
5、rver系统自动打开“Windows 2000配置服务器”窗口,或者选择“开始”/“程序”/“管理工具”/“配置服务器”,打开如图6-1所示配置服务器窗口。,图6-1 “Windows 2000配置服务器”窗口,6.2.2 安装活动目录(2),2. 在左边的列表中单击“Active Directory”超级链接,并拖动右边的滚动条到窗口底部,如图6-2所示。,图6-2 显示活动目录内容,6.2.2 安装活动目录(3),3.单击“启动”链接,打开“Active Directory安装向导”对话框,如图6-3所示。 也可省去前面三步,直接通过“开始”/“运行”,打开“运行”对话框,输入dcprom
6、o命令,单击“确定”按钮,打开如图6-3所示的对话框。,图6-3 Active Directory安装向导,6.2.2 安装活动目录(4),4.单击“下一步”,打开如图6-4所示的选择“域控制器类型”对话框。若安装的服务器是域中的第一个域控制器,选择“新域的域控制器”。如果网上已有域控制器,可选择“现有域的额外域控制器”。,图6-4 选择域控制器类型,6.2.2 安装活动目录(5),5.单击“下一步”,打开如图6-5所示的“创建目录树或子域”对话框,如果用户不想让新域成为现有域的子域,可选择“创建一个新的域目录树”。如果用户希望新域成为现有域的子域,可选择“在现有域目录树中创建一个新的子域”。
7、这里,选择“创建一个新的域目录树”。,图6-5 创建目录树或子域,6.2.2 安装活动目录(6),6.单击“下一步”,打开如图6-6所示的“创建或加入目录林”对话框,如果所创建的域为单位的第一个域,或者希望所创建的新域独立于现有目录林,可选择“创建新的域或目录树”。如果希望新的域目录树中的用户可访问现有域目录树中的资源,或希望现有域目录树中的用户访问新域目录树中的资源,,图6-6 创建或加入目录林,可选择“将这个新的域目录树放入现有的目录林中”。这里,选择“创建新的域目录树”。,6.2.2 安装活动目录(7),7.单击“下一步”,打开如图6-7所示的指定域名对话框,在“新域的DNS全名”文本框
8、中输入新建域的DNS全名,例如。,图6-7 指定新域名,6.2.2 安装活动目录(8),8.单击“下一步”,打开如图6-8所示的“NetBIOS域名”对话框,在“域NetBIOS名”文本框中输入NetBIOS域名,或者接受显示的名称。NetBIOS域名是供早期的Windows用户用来识别新域的。,图6-8 指定NetBIOS,6.2.2 安装活动目录(9),9.单击“下一步”,打开如图6-9所示的“数据库和日志文件位置”对话框,在“数据库位置”文本框中输入保存数据库的位置,或者单击“浏览”按钮选择路径,在“日志位置”文本框中输入保存日志的位置或单击“浏览”按钮选择路径。,图6-9 指定活动目录
9、的数据库和日志文件位置,注意,基于最佳性和可恢复性的考虑,最好将活动目录的数据库和日志保存在不同的硬盘上。,6.2.2 安装活动目录(10),10.单击“下一步”,打开如图6-10所示的“共享的系统卷”对话框,在Windows 2000中,Sysvol文件夹存放域的公用文件的服务器副本,它的内容将被复制到域中的所有域控制器上。在“文件夹位置”文本框中输入Sysvol文件夹位置,如本例中对应文件夹为c:WINNTSYSVOL,或单击“浏览”按钮选择路径。,图6-10 指定系统卷共享文件夹,6.2.2 安装活动目录(11),11.单击“下一步”,如果用户没有配置名称为的DNS服务器,则系统会提示用
10、户配置DNS服务器,单击“确定”按钮,即可打开“配置DNS”对话框,如图6-11所示。,图6-11 配置DNS,12.如果通过向导为新域安装和配置DNS服务器,选择“是,在这台计算机上安装和配置DNS(推荐)”。如果要在安装活动目录之后再安装和配置DNS,可选择“否,我将自己安装并配置”。,6.2.2 安装活动目录(12),13.单击“下一步”,打开如图6-12所示的“权限”对话框,为用户和组选择默认权限,如果单位中还存在或将要用Windows 2000的以前版本,选择“与Windows 2000服务器之前的版本相兼容的权限”。否则,选择“只与Windows 2000服务器相兼容的权限”。,图
11、6-12 权限设置,6.2.2 安装活动目录(13),14单击“下一步”,打开“目录服务恢复模式的管理员密码”对话框,如图6-13所示,输入并牢记该密码,以备将来目录服务恢复模式下使用。,图6-13 输入目录服务恢复模式管理员密码,6.2.2 安装活动目录(14),15. 单击“下一步”,打开“摘要”对话框,如图6-14所示。通过该对话框,用户可检查并确认设置的各个选项。,图6-14 确认选定的选项,6.2.2 安装活动目录(15),16. 单击“下一步”,系统开始配置活动目录,如图6-15所示。,图6-15 配置活动目录,6.2.2 安装活动目录(16),17. 经过几分钟之后,配置完成。同
12、时,打开“完成Active Directory安装向导”对话框,如图6-16所示,单击“完成”,即完成活动目录的安装。 活动目录安装完成之后,必须重新启动计算机,活动目录才会生效。,图6-16 完成活动目录的安装,要删除活动目录,打开“开始”菜单,选择“运行”命令,打开“运行”对话框,输入dcpromo命令,然后单击“确定”按钮,打开“ Active Directory安装向导”对话框,并沿着向导进行删除,这里不再细述其过程。,6.2.3 检验安装结果,在安装完成后,可以通过以下方法检验Active Directory安装是否正确,在安装过程中一项最重要的工作是在DNS数据库中添加服务记录(S
13、RV记录),下面介绍一下如何检查安装结果。 1检查DNS文件的SRV记录。 用文本编辑器打开%systemroot%/system32/config/中的Netlogon.dns文件,察看LDAP服务记录,在本例中为_ldap._.600 IN 0 100 389 。 2验证SRV记录在NSLOOKUP命令工具中运行是否正常。 (1)在命令提示行下,输入NSLOOKUP; (2)输入set type=srv; (3)输入_ldap._。 如果返回了服务器名和IP地址,说明SRV记录工作正常。,6.3 域控制器管理,域(Domain)是活动目录的分区,定义了安全边界,在没经过授权的情况下,不允许
14、其他域中的用户访问本域中的资源。活动目录可由一个或多个域组成,每一个域可以存储上百万个对象,域之间还有层次关系,可以建立域树和域林,如图6-17、6-18所示,进行无限地域扩展。图中的双箭头表示域之间的信任关系,Windows 2000中域的信任关系都是双向和可传递的。,图 6-17 域树,图 6-18 域林,6.3.1 设置域控制器属性(1),管理员通过设置域控制器属性,不但可以确定域控制器的位置、操作系统和常规属性,而且还可设置域控制器的组和管理员。设置域控制器属性,具体步骤如下: 1.选择“开始”/“程序”/“管理工具”/“配置服务器”命令,打开“Windows 2000配置服务器”窗口
15、,单击左边的列表中的Active Directory链接,使右边的,图6-19 Active Directory用户和计算机窗口,窗格中列出相应的内容,然后单击“管理”超级连接,打开“Active Directory用户与计算机”管理窗口,如图6-19所示。,6.3.1 设置域控制器属性(2),2.在控制台目录树中,双击展开域节点。单击Domain Computers子节点。,图6-20 设置域控制器属性,3.在详细资料窗格中,右击要设置属性的域控制器,从弹出的快捷菜单中选择“属性”,打开该控制器的“属性”对话框,如图6-20所示。,6.3.1 设置域控制器属性(3),4.在“常规”选项卡的“
16、描述”文本框中输入对域控制器的一般描述。如果不希望域控制器的可受信任用来作为委派,可禁用“信任计算机作为委派”复选框。 5.选择“操作系统”选项卡,在该选项卡中,显示出操作系统的名称,版本以及Service Pack,管理员只能查看并不能修改这些内容。,6.3.1 设置域控制器属性(4),6.选择如图6-21所示的“成员属于”选项卡,要添加组,单击“添加”按钮,打开“选择组”对话框为域控制器选择一个要添加的组;要删除某个已经添加的组,在“成员属于”列表框选择该组,然后单击“删除”按钮即可。,图6-21 设置成员组,6.3.1 设置域控制器属性(5),7.当管理员为域控制器添加多个组时,还可为域控制器设置一个主要组。要设置主要组,在“成员属于”列表框中选择要设置的主要组,一般为Domain Cont