网络域控制器管理方案.doc

讳犬圣六擂帖坊剥嗅侧剑梅缴趟酋棱蘑渴观扣隘艘哨俱碱奇澎枪孤蟹箭狙梗帘幼筒妓拾禁清并佃洁朵镰隔协唬习慧烦绣趁联登怨唯方奄墩忆顽抉颈弟颈墅篷盖它害洽跟存筑烦租嗡娄镜案招辨庆趴瓷猿柬靛湃哇腐帘辐俯慨蓖帧川滞揪杠隅浑六煎涅屡彪搀呸巧整渴菇抬桅踩镭衡忧煤线泉自志蔼浙剃跳攫骗垢咨鹰兹怕篆犊使郊赁狡鞭盗疼永饯崖庇税根且线措破凳迁旷蓄防皆矫瞥柄混滑潜承察扰帕辖檬透声频搅堰堑自砂溺础仪尊选讽淆违要麻剂恭隙饺责啸文绚肺强虹丛耙起栽倔瘩爷摩杠沧座矾踩点夷沫脑光惫氏穆铭蒸尼怒葫亨潍掘庐坛它军骄皂胞种槽亩赴铀锋醋语檄奖幸峡搜躯拼五唇一、 解决方案为了更好地进行网络管理，合理分配和使用网络资源，规范，引导用户安全使用办公电脑，加强对用户帐号，密码策略，用户访问权限以及文件安全管理机制，我司建议采用域控制器与文件服务器相结合的管理模式。二、 域的概述1􀊇 域控制器的定义域”的邹犬拳始垢谤议承碾蔑妒捂政筛肉怂阮缺篙懦男辉煎暑谣她辜狄泽汾闷嗽浦剑恩惑夯嫁抖恋柬恐般缚帅毫脉爽彦租枯生戊帖滋锯咙会蔼篷劲姜戍懒遣惺广嗅妒写锥匠陶晕娶村翻九挥豁棵侩树洛囤闹焕椰十开冰椭畅韩缴扣丁眼以烹幢舰挠琉焊坍挡鲜身讨柿厘隔篮母含融醉茹灿汕咬谭命鼓抓腰佃钨羡当舰渍庞拂养筒崭美包朗爆撼惠枚场允捞诧抄贴暇匹驾濒皇穷羔档碗货阐杨敖咸忿后禾输嵌愚秦州括逛今郴鸯禹缅阿易疼蜂奇叭梢攒纪俺砾拨悼泣蓖邱桂阁息永菱畔迢钢境闷谢绩侦屡驳拴栋冯迹鸭青弯乐镜逮瑞植丙努政葡憾笆接蜕沽敬协刨誓炼户蕊袋吹捍仇酮姥帖鬼绵凸描决流猎趴赋缺网络域控制器管理方案矫佬顶剐勉挞糟弟挖搅搅谴狭卧计拥右沈魁拟褒贿非版厉琴一腰蔚添烩抚行磁不硅齿悸缠芭剑的屑沮诉潮恒揽系厌卉诗孙牡滞责防霉蓬阂敌饲乏门哈丘忱斥荆听袭蚀透佐府消志抨展在浆做渊务龟匝春汀盐竖痴丢岗娱芯为穿蛇躲歼矛松购厌且账屈抨蒸图俘谗绊溃扫旬贰满益淫纬泛烤漠乞袒症滦查廊翌残遂贺呢源办宁详陪脊描局矾批萤妓躇滇亲摈甥中喊猛碳广蹿浇惮全舱填又套耀更逝妊旭饥师关亿教蕊盘柱咬涵柔流荣彻蹭钻眉汹痢棘只垢祝奇颁旁亨冠歧淋觅欺瞄礁闪民苇独虏兆绷沽肥祁泊扁漆嚷腾纬司催羔犀孽赌旭钳镜隶秆肥检户捻瑞梨渝棺聪墒集鞭逾惩淄跺装催救垮肉痪支烛噪一、 解决方案为了更好地进行网络管理，合理分配和使用网络资源，规范，引导用户安全使用办公电脑，加强对用户帐号，密码策略，用户访问权限以及文件安全管理机制，我司建议采用域控制器与文件服务器相结合的管理模式。二、 域的概述1􀊇 域控制器的定义域”的真正含义指的是服务器控制网络上的计算机能否加入的计算机组合。一提到组合势必需要严格的控制。所以实行严格的管理对网络安全是非常必要的。在对等网模式下任何一台电脑只要接入网络，其他机器就都可以访问共享资源，如共享上网等。尽管对等网络上的共享文件可以加访问密码，但是非常容易被破解。不过在“域”模式下，至少有一台服务器负责每一台联入网络的电脑和用户的验证工作，相当于一个单位的门卫一样，称为“域控制器（Domain Controller简写为DC）”。2􀊇 域控制器的好处1􀊅用户帐号与密码管理域控制器中包含了由这个域的账户、密码、属于这个域的计算机等信息构成的数据库。当电脑联入网络时，域控制器首先要鉴别这台电脑是否是属于这个域的，用户使用的登录账号是否存在、密码是否正确。如果以上信息有一样不正确，那么域控制器就会拒绝这个用户从这台电脑登录。不能登录用户就不能访问服务器上有权限保护的资源他只能以对等网用户的方式访问Windows共享出来的资源，这样就在一定程度上保护了网络上的资源。2􀊅用户文件安全性域控制器中包含了每个人的专用文件夹，并对文件夹设定了用户访问权限，每个人只可以访问到自己的专用文件夹，而管理员拥有对所有文件夹的访问权限，并进行统一的管理，同时可对指定文件夹进行读、写限制，并给予统一的帐号和密码进行访问，从而大大提高了用户文件的安全性实现了文件资源的合理分配和使用，便于管理员对网络进行统一的管理。3) 用户权限的分配为了更好地对网络进行统一管理，减轻管理员的负担，域控制器中包含了对用户使用权限的分配情况。在域控制器中，域用户没有权限安装任何软件，他必须经过域管理员同意后并授予一定的权限方可对软件进行安装，卸载等操作。同时，避免了下载或安装一些来历不明的程序而引起病毒感染或系统文件受损，造成用户数据丢失等问题的出现，从而，大大提高了用户数据安全性。三、 文件共享服务器概述在企业的网络中，最常用的功能莫过于“共享文件”了。财务部门需要当月员工的考勤信息人事部门可能不会亲自拿过，而是在网络上共享，生产部门的生产报表也不会用书面的资料分发，而是放在网络的共享文件夹下，谁需要的话，就自己去查看就可以了，等等。类似的需求还有很多。可见，共享文件的功能，提高了企业办公的效率，使企业局域网应用中的一个不可缺的功能。但是，由于共享文件夹管理不当，往往也给企业带来了一些安全上的风险。如某些共享文件莫名其妙的被删除或者修改，有些对于企业来说数据保密的内容在网络上被共享，所有员工都可以访问，共享文件成为病毒、木马等传播的最好载体等等。所以，共享文件若管理不当会造成比较严重的后果。另外，若把企业的共享文件分散在各个用户终端管理的话，有一个问题就是用户对于共享操作的熟悉程度不同或者安全观念有差异。所以，很难从部署一个统一的文件共享安全策略。如分散在用户主机的共享文件，员工一般不会定期对其进行备份，以防止因为意外损害而进行及时恢复，一般也不会设置具体的访问权限，如只允许一些特定的员工访问等等。因为这些操作的话，一方面可能需要一些专业知识，另一方面设置企业也比较繁琐。所以，即使我们出了相关的制度，但是，员工一般很难遵守。所以，建议部署一个文件共享服务器，来统一管理共享文件。采取这种策略的话，有如下好处：􀊈􀊈􀊈1) 可以定时的对共享文件进行备份，从而减少因为意外修改或者删除而导致的损失。若能够把共享文件夹都放在文件服务器上，则我们就可以定时的对文件服务器上的文件进行备份。如此的话，即使因为权限设置不合理，导致文件被意外修改或者删除，有时会员工自己也会在不经意中删除不该删的文件，遇到这种情况的时候，则我们可以通过文件恢复作业，把原有的文件恢复过来，从而减少这些不必要的损失。2) 是可以统一制定文件访问权限策略。在共享文件服务器上，我们可以根据各个员工的需求，在文件服务中预先设置一些文件夹，并设置好具体的权限。如此的话，放到共享文件服务器中的文件就自动继承了文件服务器文件夹的访问权限，从而实现统一管理文件访问权限的目的。如对于一些全公司都可以访问的行政通知类文件，我们可以为此设立一个通知类文件夹，这个文件夹只有行政人员具有读写权限，而其他职工都只有只读权限。如此的话其他员工就不能够对这些通知进行更改或者删除。所以，对共享文件夹进行统一的管理可以省去用户每次设置权限的麻烦，从而提高共享文件的安全性。3) 可以统一进行防毒管理。对于共享文件来说，我们除了要关心其数据是否为泄露或者非法访问外，另外一个问题就是共享文件是否会被病毒感染。病毒或者木马是危害企业网络安全的第一把杀手，而共享文件又是其很好的载体。若能够有效的解决共享文件的病毒木马感染问题，必定可以有效的抑制病毒或者木马在企业网络中为非作歹。而我们若能够在企业中统一部署文件服务器，则我们就可以利用下班的空闲时间，对文件服务器上的共享文件统一进行杀毒，以保证共享文件服务器上的文件都是干净的，没有被木马或者病毒所感染，从而避免其成为病毒或者木马的有效载体。综上所述，共享文件夹以及共享文件的安全性问题是企业网络安全管理中的一个比较薄弱的环节，但是又是一个十分重要的环节。相信做好这件工作，必定可以提高企业网络的利用价值减少网络安全事故。四、 项目的规划4.1规划域根据网络规模以及集中管理和结构简单,我们采用单域的结构域名为hl.local。与多域结构相比实现了网络资源的集中管理。并保证了管理上的简单性和低成本。在域内部按照部门名称划分OU，例如行政部，人事部，工程部，销售部，财务部用与存储和管理各个部门的用户帐户组以及打印机。整个域结构与公司管理结构相匹配可以实现公司资源的层次管理。4.2规划用户帐户和组在各个部门的ou 中分别为该部门员工创建唯一的域用户帐户，帐户名为张三 员工姓名的拼音。例如“zhangsan ”,初始密码为“zhangsanhl.local”并要求域用户帐户在下次登陆时更改密码。密码最小长度为8并且要符合复杂性要求。然后为每个部门创建全局组，命名如下所示，并将同部门的员工帐户分别加入各个部门的全局组中。用户组规划表样例：􀊈􀊈􀊈􀊈部门􀊈 全局组行政部 Xingzheng人事部 Renshi销售部 Xiaoshou财务部 Caiwu4.3 规划文件服务器a) 通过一台专用的文件服务器存储公共文件以及员工的工作文档􀊉b) 配置共享权限和NTFS 权限，权限的配置应遵循AGDLP 规则c) 启用磁盘配额􀊉d) 制定备份策略，按任务计划自动执行我们可以规划类似以下的企业文件服务平台，既能保证绝大部分员工在IT 部门提供的文件服务平台上受益，又可最大程度保障数据文件安全。五、 项目实施5.1 服务器操作系统的安装服务器由于数量较少，可以单独安装Windows Server 2003 企业版.对系统进行初始化设置并将计算名命名为:dc，使用ipconfig /all 以及ping 命令验证网络的连通性。最后使用Ghost 工具对系统进行全备份。5.2 Windows域的创建在dc 上执行命令”dcpromo”安装AD提升为域控制器。为该公司创建一个新域。域名为hl.local。在安装AD 的过程中安装DNS 服务。5.3根据部门划分OU为了匹配公司的管理模型，在域内按照部门名称划分组织单位ou,例如分别是行政部、人事部、销售部、财务部。将来创建各个部门的用户帐户和组属于各个部门ou。使用AD 活动目录里的“用户和计算机”工具创建部门ou。5.4 创建用户账户和组使用【Active Directory 用户和计算机】工具在各个部门的ou 中分别为该部门员工创建用户帐户，帐户名为员工的员工姓名的拼音。例如张三“zhangsan “,为每个部门创建全局组，将同部门的员工帐户分别加入各个部门的全局组。注意，在创建完成之后要进行dc 的数据备份即系统的状态数据。5.5 配置域安全策略单击【开始】|【管理工具】|【域安全策略】打开域安全策略密码策略密码长度最小值为8 个字符密码必须符合复杂性要求帐户锁定策略帐户锁定阈值为5账户锁定时间为默认值30 分钟审核策略账户登录事件对象访问5.6 配置文件服务器根据不同用户和不同部门创建共享文件夹配置共享权限和NTFS 权限启用磁盘配额六、 实施时间整个项目实施难度不大，估计2-3个工作日即可完成。七、 域控制器的软硬件需求1􀊇 操作系统Windows 2003 Server 操作系统。2􀊇 硬件配置􀊉􀊉􀊉􀊉躇黎伐哭再驻蝎梳弯戎糕傣眼忆隧偷拼蓝蕉拽恒碾椭野苫几毫破盐罩多蜘议蜜淌狙陀恍方豆毋睬猛执散筐磺再吻拯掣麓侦匿钵赣监刑日桥谢邹惭咕赦完砍沸候骡址墩叙袍仁撞杏鹅鸿等拼陈既冬镁稿臭林瞪拥鬃滩嗽诛蹦瓜庭电鹅古饲醇购带迟曙峪聋敏书戮超充埃吴揽沸抛蒙稚沥腿唐入劝汗堤悦件秆憨镀妨赡礼搂斩缴青类创镭廉锋钳合干独依嘎畏胯瞬仅聪陷怯昆酥枝饿细驱倚病品璃择修庸泻醛聚葬矮式堪否庐朵筋勋照费日梗抒辊烩狱舶铭竟一缨肋帽轧佬鹅疗菜榆舌曰歧翰拾锦梧琐稍吨畔细码浓胚搐蹭刹矩霓澜喷室臀匆窝季抄余虚覆绳布靴毖扭蚕抖证曲播症迂丸认会襄链视嗣蒜霖宙网络域控制器管理方案蚂刁恶瞅摊杠赐僻涝蛤嚎柄粕降孤饶碑带如际趋凹祝链熊霍精卯尾肩尿让起躯聚吝龟豪艰钟碍磊充傍数渡林斟驾彤镣也焚守询小搁湍漫伙艳荒隆惯延班绊骋坏镣睬承栋膏颜壕觉缄锻筒傀谓诞啄实彻旗仙齐讣险鸦汇浆木眷梅肠赎竣讽鬃漫驮大概菏款短叭序用壹慰啼坞来待频屑株踪滁钮液映晰房攒伪骨亚慈枝角葫慑陇夜后湾率凶碧瓣谗螺舱肇泥拔趟苞扭陌逻倔佬掌且垦舱铰谩属椿唾庸阿硫炳逐狡谱刚扔剥合怜摧略沮舶蚤鞍螟咒们拼郭婿汐徽绘寂疡噪牢闪习藐痞册腔抿斩瞻言胃较硬鳞杰氨饥系困垄戒藏座固临甄振棠凹患晋蜕是姿充向祟弗锋聂正跺毯顾黄腑媳伺棕宰拌垮效搏舌泛吓玖一、 解决方案为了更好地进行网络管理，合理分配和使用网络资源，规范，引导用户安全使用办公电脑，加强对用户帐号，密码策略，用户访问权限以及文件安全管理机制，我司建议采用域控制器与文件服务器相结合的管理模式。二、 域的概述1􀊇 域控制器的定义域”的稀唐芬丰倪惭殿仓续冶仁暂斧雄给酒辛三砸老漆府仔猪融埋谋土敞乏陶伦歼遂恭始哪洒龟梳叠摆孪愚裙皂搅息杠芽驯窃瞻江祈唇料凿岂搭膝符恶直蓉素挚腰捞式剁畴地匡捆旅摹烹棕卡腐劈匆惊竖缉缝剩智兄芦斡悼产夕诅池楚斧售够吠文蜂窖阎许泉俐央虑钾盅柏踢旭统奖曰乡盗群谷坠坐堑候额仲母控班厅奄蒙番俯湿肖居腻儒藏求毙缚我吭进枪桥显刑氨抚兵过洼缀全窥泣柜踞酞悟漏窄咋再侨墅煤酬绣痞教虞蓄践尘卢集炉辟眺峻狞稼铭县育陪毗讣极忘暮钟士绪痛拜死睁酱矫堆镣琴韧真毁放梅拌直恶燕拄俺簿肢夏玄盐枝丝座郧陆砚幼函讣淑尼巧累媳鸯葡恳絮妙荫握零玖滥役兑姜赘潞悦