第8章-活动目录与用户管理.ppt

单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,*,*,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,Company Logo,*,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,*,*,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,*,*,化学工业出版社,计算机网络技术与基础实训,第,8,章 活动目录与用户管理,学习要点,了解域与活动目录的概念,掌握活动目录的创建与配置,掌握活动目录的备份与恢复,掌握组织单元、域用户和组的管理,8.1 域与活动目录,8.1.1,活动目录,活动目录,是一个分布式的目录服务，信息可以分散在多台不同的计算机上，保证用户能够快速访问，既提高了管理效率，又使网络应用更加方便。,活动目录就是,Windows,网络中的目录服务，有两方面内容：目录和与目录相关的服务。,Active Directory,存储了有关网络对象的信息，例如用户、组、计算机、共享资源、打印机和联系人等，并且让管理员和用户能够轻松地查找和使用这些信息。,8.1 域与活动目录,8.1.2,域和域控制器（,DC,）,域（,Domain,）是在,Windows NT/2000/2003,网络环境中组建客户机,/,服务器网络的实现方式，是,Windows Server 2003,域中,Active Directory,数据库的基本管理单位。,域控制器中保存着整个网络的用户账号及目录数据库，即活动目录，并且可以被网络应用程序或者服务所访问。,一个域可能拥有一台以上的域控制器。每一台域控制器都拥有它所在域的目录的一个可写副本。,8.1 域与活动目录,8.1.3,域目录树,目录树：共用连续名字空间的域就组成一个域目录树。,8.1 域与活动目录,8.1.4,域目录林,目录林是一个或多个目录树的集合。,目录林中的目录树并不共用相同的连续的名字空间。,8.1 域与活动目录,8.1.5,全局编录,有了域林之后，同一域林中的域控制器共享一个活动目录，这个活动目录是分散存放在各个域的域控制器上的，每个域中的域控制器存有该域的对象的信息。如果一个域的用户要访问另一个域中的资源，这个用户要能够查找到另一个域中的资源才行。为了让每一用户能够快速查找到另一个域内的对象，微软设计了全局编录（,Global Catalog,，,GC,）。全局编录包含了整个活动目录中每一个对象的最重要属性（即部分属性，而不是全部），这使得用户或者应用程序即使不知道对象位于哪个域内，也可以迅速找到被访问的对象。,8.2 活动目录的创建与配置,8.2.1 创建第一个域,网络规划拓扑图,8.2 活动目录的创建与配置,8.2.1,创建第一个域,（,1,）首先确认“本地连接属性,TCP/IP,中首选,DNS,指向了自己。,（,2,）把服务器提升为域控制器就是在服务器上安装活动目录。想要安装,Active Directory,，可以从“开始”“程序”“管理工具”菜单中打开“管理您的服务器”，然后单击“添加或删除角色”，打开“配置您的服务器向导”。在“服务器角色”窗口中，选择“域控制器（,Active Directory,）”，打开,Active Directory,安装向导。也可以直接在“运行”中输入命令,dcpromo,也可以打开,Active Directory,安装向导。,8.2 活动目录的创建与配置,8.2.1,创建第一个域,（,3,）在“域控制器类型”窗口中，选择“新域的域控制器”，如图所示。,8.2 活动目录的创建与配置,8.2.1,创建第一个域,（,4,）在“创建一个新域”窗口中，选择“在新林中的域”，如图所示。,8.2 活动目录的创建与配置,8.2.1,创建第一个域,（,5,）单击“下一步”按钮，如果在“本地连接”属性中,TCP/IP,没有配置首选,DNS,服务器，将弹出如图所示的界面；如果已经设置了首选,DNS,，可以跳过此步骤。这里选择“否，只在这台计算机上安装并配置,DNS”,单选按钮。这样在安装活动目录时可以一同安装,DNS,，并且把首选,DNS,指向自己（即,192.168.22.98,）。单击“下一步”按钮。,8.2 活动目录的创建与配置,8.2.1,创建第一个域,（,6,）在新的域名页面中，输入新域的完整域名（,FQDN,）。本例输入,，单击“下一步”按钮。,（,7,）在“,NetBIOS,域名”窗口中确认,NetBIOS,名（而不是,FQDN,）。,8.2 活动目录的创建与配置,8.2.1,创建第一个域,（,8,）单击“下一步”按钮，可以改变活动目录数据库以及日志存放的路径。如果有多个硬盘，建议数据库和日志分别存放在不同的硬盘上，以提高安全性和性能。单击“下一步”按钮；指定,SYSVOL,文件夹的位置，采用默认值即可，单击“下一步”按钮；如图所示，在“,DNS,注册诊断”界面中，选择第二个单选按钮即可。单击下一步”按钮。,8.2 活动目录的创建与配置,8.2.1,创建第一个域,（,9,）如图所示，在“权限”窗口中，选择一个权限选项（取决于将要访问该域控制器的客户端的,Windows,版本）。若网络中有,NT,系统的域控制器，选择第一项；若网络中全部是,Windows 2000/2003,系统的域控制器，选择第二项。,8.2 活动目录的创建与配置,8.2.1,创建第一个域,（,10,）在“目录服务还原模式的管理员密码”窗口中，设置一个密码。这个密码用于活动目录损坏后，进行恢复时使用。单击“下一步”按钮。,（,11,）最后系统显示安装摘要。如果需要修改某些地方，单击“上一步”重新配置。如果一切正常单击“下一步”开始安装。所有文件复制到硬盘驱动器之后，重启计算机。,8.2 活动目录的创建与配置,8.2.2,安装后检查,查看计算机名,在桌面上右键单击“我的电脑”，选择“属性”，再单击“计算机名”选项卡，可以看到计算机已经由工作组成员变成了域成员，而且是域控制器。,8.2 活动目录的创建与配置,8.2.2,安装后检查,2.,查看管理工具,活动目录安装完成后，会添加一系列的活动目录管理工具，包括“,Active Directory,用户和计算机”、“,Active Directory,站点和服务”、“,Active Directory,域和信任关系”等。单击“开始”“程序”“管理工具”，可以在“管理工具”中找到这些管理工具的快捷方式。,8.2 活动目录的创建与配置,8.2.2,安装后检查,3.,查看活动目录对象,打开“,Active Directory,用户和计算机”管理工具，打开一个窗口。在窗口中，可以看到企业的域名。单击该域，窗口右侧详细信息窗格中会显示域中的各个容器。,4.,查看,Active Directory,数据库,Active Directory,数据库文件保存在,%SystemRoot%Ntds,文件夹中。,8.2 活动目录的创建与配置,8.2.2,安装后检查,5.,查看,DNS,记录,为了让活动目录正常工作，需要,DNS,服务器的支持。活动目录安装完成后，重新启动时会向指定的,DNS,服务器上注册,SRV,记录。,有时由于网络连接或者,DNS,配置的问题，造成未能正常注册,SRV,记录的情况。对于这种情况，可以先维护,DNS,服务器，并将域控制器的,DNS,设置指向正确的,DNS,服务器，然后重新启动,NETLOGON,服务。,8.2 活动目录的创建与配置,8.2.3,安装额外的域控制器,（1）首先要在,服务器上检查“本地连接”属性，确认能否正常通信,。,（2）运行“Active Directory”安装向导。,（3）将该计算机设置为现有域的额外域控制器。,（4）输入拥有将该计算机升级为域控制器权力的用户名和密码。,（,5,）安装向导从原有的域控制器上开始复制活动目录。,8.2 活动目录的创建与配置,8.2.3,安装额外的域控制器,在一个域中可以有多台域控制器。,在安装额外的,DC,时，需要将活动目录数据库由现有的域控制器复制到这台新的,DC,上。,8.2 活动目录的创建与配置,8.2.4,创建子域,（,1,）,在要升级为域控制器的独立服务器上，设置“本地连接”属性。,（,2,）运行活动目录安装向导。,（,3,）选择“新域的域控制器”单选按钮，单击“下一步”按钮；选择“在现有域树中的子域”单选按钮，单击“下一步”按钮。,8.2 活动目录的创建与配置,8.2.4,创建子域,（,4,）输入父域的域名以及管理员的账户、密码等。,8.2 活动目录的创建与配置,8.2.4,创建子域,（,5,）接着输入子域的,NetBIOS,名。,（,6,）重新启动计算机，用管理员登录到域中。,8.2 活动目录的创建与配置,8.2.5,创建域林中的第二棵域树,1.,创建,DNS,域,（,1,）选择“开始”“管理工具”“,DNS,选项”，弹出,DNS,管理窗口，展开左部的列表，右击“正向查找区域”，选择“新建区域”命令。,8.2 活动目录的创建与配置,8.2.5,创建域林中的第二棵域树,1.,创建,DNS,域,（,2,）在“欢迎使用新建区域向导”界面中单击“下一步”按钮；在“区域类型”界面中，选择“主要区域”单选按钮，单击“下一步”按钮。,（,3,）选择如何复制,DNS,区域数据。,8.2 活动目录的创建与配置,8.2.5,创建域林中的第二棵域树,1.,创建,DNS,域,（,4,）输入,DNS,区域名称，选择“只允许安全的动态更新”或者“允许非安全和安全动态更新”单选按钮。,（,5,）单击“完成”按钮。,8.2 活动目录的创建与配置,8.2.5,创建域林中的第二棵域树,2.,安装,域树的域控制器,（,1,）确认服务器上“本地连接”属性中的,TCP/IP,的首选,DNS,指向。,（,2,）运行活动目录安装向导。,（,3,）选择“新域的域控制器”。选择“在现有的林中的域树”单选按钮。,8.2 活动目录的创建与配置,8.2.5,创建域林中的第二棵域树2.,安装,域树的域控制器,（,4,）输入已有域树的根域的域名和管理员的账户、密码。,（,5,）接着输入新域的,NetBIOS,名,按照原步骤继续设置，直到完成。,8.2 活动目录的创建与配置,8.2.5,创建域林中的第二棵域树,2.,安装,域树的域控制器,（,6,）重新启动计算机，用管理员账户登录，单击“开始”“管理工具”“,Active Directory,域和信任关系”菜单项，可以看到,域已经存在了。,8.2 活动目录的创建与配置,8.2.6 成员服务器和独立服务器,8.2 活动目录的创建与配置,8.2.5,创建域林中的第二棵域树,1,域控制器降级为成员服务器。,具体步骤：,1,）删除活动目录注意要点,如果该域内还有其他域控制器，则该域会被降级为该域的成员服务器。,如果这个域控制器是该域的最后一个域控制器，则被降级后，该域内将不存在任何域控制器了。因此，该域控制器被删除，而该计算机被降级为独立服务器。,如果这台域控制器是“全局编录”，则将其降级后，它将不再担当“全局编录”的角色，因此请先确定网络上是否还有其他的“全局编录”域控制器。,8.2 活动目录的创建与配置,8.2.6,成员服务器和独立服务器,2,）删除活动目录,直接运行命令,dcpromo,打开,Active Directory,删除向导。但如果该域控制器是“全局编录”服务器，就会显示图示的提示框。,8.2 活动目录的创建与配置,8.2.6,成员服务器和独立服务器,若该计算机是域中的最后一台域控制器，请选中“这个服务器是域中的最后一个域控制器”复选框，则降级后变为独立服务器。,接下来输入新的管理员密码，单击“下一步”按钮；确认从服务器上删除活动目录后，服务器将成为,域上的一台成员服务器。确定后，安装向导从该计算机删除活动目录。删除完毕后重新启动计算机，这样就把域控制器降级为成员服务器。,8.2 活动目录的创建与配置,8.2.6,成员服务器和独立服务器,2,独立服务器提升为成员服务器,8.2 活动目录的创建与配置,8.2.6,成员服务器和独立服务器,3,成员服务器降级为独立服务器,单击“开始”“控制面板”“系统”菜单项，弹出“系统属性”对话框，选择“计算机名”标签，单击“更改”按钮；弹出“计算机名称更改”对话框，在“隶属于”选项区域中，选择“工作组”单选按钮，并输入从域中脱离后要加入的工作组的名字，单击“确定”按钮；输入要脱离的域的管理员账户和密码，确定后重新启动计算机即可。,8.3 管理域用户和组,用户账号可为用户提供登录到域以访问网络资源或登录到计算机以访问该机资源的能力。定期使用网络的每个人都应有一个惟一的用户账号。,Windows Server 2003,提供两种主要类型的用户账号：本地用户账号和域用户账号。除此之外，,Windows Server 2003,系统中还有内置的用户账号。,8.3 管理域用户和组,8.3.1,管理域用户和计算机账户,域用户账户用来使用户能够登录到域或其他计算机中，从而获得对网络资源的访问权。经常访问网络的用户都应拥有网络惟一的用户账户。如果网络中有多个域控制器，可以在任何域控制器上创建新的用户账户，因为这些域控制器都是对等的。当在一个域控制器上创建新的用户账户时，这个域控制器会把信息复制到其他域控制器，从而确保该用户可以登录并访问任何一个域控制器。,8.3 管理域用户和组,8.3.1,管理域用户和计算机账户,1.,域用户账户,Windows Server 2003,自动创建若干个用户账号，并且赋予了相应的权限，称为内置账号。内置用户账号不允许被删除。,最常用的两个内置账号是,Administrator,和,Guest,。,使用内置,Administrator,（管理员）账号管理计算机和域配置。,Guest,（来客）账号一般被用于在域中或计算机中没有固定账号的用户临时访问域或计算机时使用的。,8.3 管理域用户和组,1.,域用户账户,新建用户,（,1,）要创建一个新的域用户，右击,Users,容器并选择“新建”“用户”，打开“新建对象,-,用户”对话框，如图所示，在其中输入姓、名，,Windows Server 2003,可以自动填充完整的姓名。,8.3 管理域用户和组,1.,域用户账户,新建用户,（,2,）输入用户登录名。域中的用户账户是惟一的。,（,3,）接下来配置用户密码，如图所示。,8.3 管理域用户和组,强密码特征,长度至少有,7,个字符。,不包含用户名、真实姓名或公司名称。,不包含完整的字典词汇。,包含全部下列,4,组字符类型：大写字母（,A,、,B,、,C,）、小写字母（,a,、,b,、,c,）、数字（,0,、,l,、,2,、,3,、,4,、,5,、,6,、,7,、,8,、,9,）、键盘上的符号（键盘上所有未定义为字母和数字的字符，如,!#$%&,（）*,_+-|/?:”;,.,）。,账户已禁用。防止用户使用选定的账户登录，当用户暂时离开企业时，可以使用该选项，以便日后迅速启用。也可以禁用一个可能有威胁的账户，当排除问题之后，再重新启用该账户。许多管理员将禁用的账户用做公用用户账户的模板。以后拟再使用该账户时，可以在该账户上右击，并在弹出的快捷菜单中选择“启用账户”选项即可。,8.3 管理域用户和组,8.3.1,管理域用户和计算机账户,2.,计算机,（,1,）添加计算机账户,8.3 管理域用户和组,8.3.1,管理域用户和计算机账户,2.,计算机,（,2,）修改用户属性,8.3 管理域用户和组,8.3.2,域中的组账户,1.,创建组,8.3 管理域用户和组,8.3.2,域中的组账户,创建组,（,1,）打开“,Active Directory,用户和计算机”控制台窗口，展开左侧控制台目录树，右击目录树中的“,Users”,选项，或者选择“,Users”,选项并在右侧窗口的空白处右击，在弹出的快捷菜单中选择“新建”“组”选项，或者直接单击工具栏中的“添加组”图标，均可显示“新建对象,-,组”对话框。,（,2,）在“组名”文本框中输入该计算机账户的计算机名，“组名（,Windows 2000,以前版本）”文本框可采用默认值。,8.3 管理域用户和组,8.3.2,域中的组账户,创建组,（,3,）在“组作用域”选项组中选择组的作用域，即该组可以在网络上的哪些地方使用。本地域组只能在其所属域内使用，只能访问域内的资源；通用组则可以在所有的域内（如果网络内有两个以上的域，并且域之间建立了信任关系）使用可以访问每一个域内的资源。,8.3 管理域用户和组,8.3.2,域中的组账户,创建组,组作用域有三个选项：,本地域组,本地域组的概念是在,Windows 2000,中引入的。本地域组主要用于指定其所属域内的访问权限，以便访问该域内的资源。对于只拥有一个域的企业而言，建议选择“本地域组”选项。,全局组,全局组主要用于组织用户，即可以将多个被赋予相同权限的用户账户加入到同一个全局组内。,通用组,通用组可以设置在所有域内的访问权限，以便访问所有域资源。,8.3 管理域用户和组,8.3.2,域中的组账户,创建组,（,4,）在“组类型”选项中选择组的类型，包括两个选项：,安全组。可以列在随机访问控制列表（,DACL,）中的组，该列表用于定义对资源和对象的权限。,通讯组。仅用于分发电子邮件并且没有启用安全性的组。不能将“通讯组”列在用于定义资源和对象权限的随机访问控制列表（,DACL,）中。,8.3 管理域用户和组,8.3.2,域中的组账户,2.,常用的内置组,Domain Admins,：该组的成员具有对该域的完全控制权。,Domain Computers,：该组包含加入到此域的所有工作站和服务器。,Domain Controllers,：该组包含此域中的所有域控制器。,Domain Guests,该组包含所有域来宾。,Domain Users,：该组包含所有域用户，即域中创建的所有用户账户都是该组成员。,Enterprise Admins,：该组只出现在林根域中。该组的成员具有对林中所有域的完全控制作用，并且该组是林中所有域控制器上,Administrators,组的成员。,Group Policy Creator Owners,：该组的成员可修改此域中的组策略。,Schema Admins,：该组只出现在林根域中。该组的成员可以修改,Active Directory,架构。,8.3 管理域用户和组,8.3.2,域中的组账户,3.,为组指定成员,组成员可以包括用户账户、联系人、其他组和计算机。,4.,将用户添加至组,新建一个用户之后，可以将该用户添加至某个或某几个组。,5.,查看用户组,8.4 练 习 题,一、填空题,1.,在,Windows Server 2003,中安装活动目录的命令是,。活动目录存放在,中。,2.,在,Windows Server 2003,系统中安装了,后，计算机即成为一台域控制器。,3.,同一个域中的域控制器的地位是,。域树中子域和父域的信任关系是,、,。独立服务器上安装了,_,就升级为域控制器。,4.Windows Server 2003,服务器的,3,种角色是,、,、,。,5.,账户的类型分为,、,、,。,6.,根据服务器的工作模式，组分为,、,。,7.,工作组模式下，用户账户存储在,中；域模式下，用户账户存储在,中。,8.4 练 习 题,二、选择题,1.,在设置域账户属性时（）项目是不能被设置的。,A.,账户登录时间,B.,账户的个人信息,C.,账户的权限,D.,指定账户登录域的计算机,2.,下列（）账户名不是合法的账户名。,A.abc_234B.Linux book,C.doctor*D.addeofHEIP,8.4 练 习 题,三、判断题,1.,在一台,Windows Server 2003,计算机上安装,AD,后，计算机就成了域控制器。（）,2.,客户机在加入域时，需要正确设置首选,DNS,服务器地址，否则无法加入。（）,3.,在一个域中，至少有一个域控制器（服务器），也可以有多个域控制器。（）,4.,管理员只能在服务器上对整个网络实施管理。（）,5.,域中所有账户信息都存储于域控制器中。（）,6.OU,是可以应用组策略和委派责任的最小单位。（）,7.,一个,OU,只指定一个受委派管理员，不能为一个,OU,指定多个管理员。（）,8.,同一域林中的所有域都显式或者隐式地相互信任。（）,8.4 练 习 题,四、简答题,1.,为什么要安装额外的域控制器？什么时候需要安装多个域树？,2.,简述什么是活动目录、域、活动目录树和活动目录林。,3.,简述什么是信任关系。,4.,为什么在域中常常需要,DNS,服务器？,5.,活动目录中存放了什么信息？,6.,简述工作组和域的区别。,7.,简述通用组、全局组和本地域组的区别。,8.5 拓展训练,配置活动目录与用户管理实训,一,.,实训目的,掌握活动目录的安装与删除。,掌握活动目录中的组和用户账户。,掌握创建组织单元、组和用户账户的方法。,掌握管理组和用户账户的方法。,掌握工作站加入域的方法。,8.5 拓展训练,二,.,实训要求,这个项目需要多人完成。如第,10,章图,10-3,所示，安装,5,台独立服务器,win2003-1,、,win2003-2,、,win2003-3,、,win2003-4,和,win2003-5,；把,win2003-1,提升为域树,的第一台域控制器，把,win2003-2,提升为,的额外域控制器；把,win2003-4,提升为域树,的第一台域控制器，,和,在同一域林中；把,win2003-3,提升为,的域控制器，把,win2003-5,加入到,中，成为成员服务器。各服务器的,IP,地址自行分配。（实训前一定要分配好，组与组间不要冲突。最好结合虚拟机来完成。）,在上面项目完成的基础上建立,和,域的双向的快捷信任关系。,在任一域控制器中建立组织单元,outest,，建立本地域组,Group_test,，域账户,User1,和,User2,，把,User1,和,User2,加入到,Group_test,；控制用户,User1,下次登录时要修改密码，用户,User2,可以登录的时间设置为：周六、周日,8:0012:00,，其他日期为全天。,8.5 拓展训练,三,.,实训指导,1.,创建第一个域,2.,安装后检查,3.,安装额外的域控制器,win2003-2,4.,创建子域,5.,创建域林中的第二棵域树,6.,将域控制器,win2003-,降级为成员服务器,7.,独立服务器提升为成员服务器,8.,将成员服务器,win2003-,降级为独立服务器。,9.,建立,和,域的双向的快捷信任关系。,10.,按实训要求建立域本地组、组织单元、域用户并设置属性。,8.5 拓展训练,四,.,实训思考题,1,组与组织单元有何不同。,2,组可以设置策略吗,?,3,作为工作站的计算机要连接到域控制器，,IP,与,DNS,应如何设置。,4,分析用户、组和组织单元的关系。,5,简述用户账户的管理方法与注意事项。,6,简述组的管理方法。,7,简述用户、组和组织单元关系更改的方法,