活动目录的概念
域
域提供了多项优点：
§组织对象。
§发布有关域对象的资源和信息。
§将组策略对象应用到域可加强资源和安全性管理。
§委派授权使用户不再需要大量的具有广泛管理权利的管理员。
6.1.5 Active Directory 用户和计算机帐户
Active Directory 用户和计算机帐户代表物理实体，诸如计算机或人。用户帐户和计算机帐户（以及组）称为安全主体。安全主体是自动分配安全标识符的目录对象。带安全标识符的对象可登录到网络并访问域资源。用户或计算机帐户用于：
§验证用户或计算机的身份。
§授权或拒绝访问域资源。
§管理其他安全主体。
§审计使用用户或计算机帐户执行的操作。
Windows 2000 提供了可用于登录到运行 Windows 2000 的计算机的预定义用户帐户。这些预定义帐户为：§管理员帐户
§来宾帐户
预定义帐户就是允许用户登录到本地计算机并访问本地计算机上资源的默认用户帐户。设计这些帐户的主要目的是本地计算机的初始登录和配置。每个预定义帐户均有不同的权利和权限组合。管理员帐户有最广泛的权利和权限，同时来宾帐户有受限制的权利和权限。
组策略
组策略设置影响计算机或用户帐户并且可应用于站点、域或组织单位。它可用于配置安全选项、管理应用程序、管理桌面外观、指派脚本并将文件夹从本地计算机重新定向到网络位置。
集成DNS
由于 Active Directory 与 DNS 集成而且共享相同的名称空间结构，因此注意两者之间的差异非常重要：§DNS 是一种名称解析服务。
DNS 客户机向配置的 DNS 服务器发送 DNS 名称查询。DNS 服务器接收名称查询，然后通过本地存储的文件解析名称查询，或者查询其他 DNS 服务器进行名称解析。DNS 不需要 Active Directory 就能运行。
§Active Directory 是一种目录服务
Active Directory 提供信息储存库以及让用户和应用程序访问信息的服务。Active Directory 客户使用"轻量级目录访问协议 (LDAP)"向 Active Directory 服务器发送查询。要定位 Active Directory 服务器，Active Directory 客户机将查询 DNS。Active Directory 需要 DNS 才能工作。
即 Active Directory 用于组织资源，而 DNS 用于查找资源；只有它们共同工作才能为用户或其他请求类似信息的过程返回信息。DNS 是 Active Directory 的关键组件，如果没有 DNS，Active Directory 就无法将用户的请求解析成资源的IP地址，因此在安装和配置 Active Directory 之前，用户必须对 DNS 有深入的理解。
6.1.8组织单位
包含在域中的特别有用的目录对象类型就是组织单位。组织单位是可将用户、组、计算机和其他单位放入其中的 Active Directory 容器。组织单位不能包括来自其他域的对象。组织单位是可以指派组策略设置或委派管理权限的最小作用域或单位。使用组织单位，用户可在组织单位中代表逻辑层次结构的域中创建容器。这样用户就可以根据用户的组织模型管理帐户和资源的配置和使用。
安装活动目录(ADS)
Active Directory 的规划
在安装 Active Directory 之前，用户首先要对 Active Directory 的结构进行细致的规划设计，让用户和管理员在使用时更为轻松。
§规划 DNS
如果用户准备使用 Active Directory，则需要先规划名称空间。当 DNS 域名称空间可在 Windows 2000 中正确执行之前，需要有可用的 Active Directory 结构。所以，从 Active Directory 设计着手并用适当的 DNS 名称空间支持它。经过审阅，如果检测到任何规划中有不可预见的或不合要求的结果，则根据需要进行修改。
在 Windows 2000 中，用 DNS 名称命名 Active Directory 域。选择 DNS 名称用于 Active Directory 域时，以单位保留在 Internet 上使用的已注册 DNS 域名后缀开始（如"https://www.doczj.com/doc/846540242.html,"），并将该名称和单位中使用的地理名称或部门名称结合起来，组成 Active Directory 域的全名。
例如，root 的 sales 测试组可能称他们的域为"https://www.doczj.com/doc/846540242.html,"。这种命名方法确保每个 Active Directory 域名是全球唯一的。而且，这种命名方法一旦被采用，使用现有名称作为创建其他子域的父名称以及进一步增大名称空间以供单位中的新部门使用的过程将变得非常简单。对于仅使用单个域或小型多域模式的小型企业，可以直接进行规划并按照与以前范例相似的方法操作。在规划 DNS 和 Active Directory 名称空间时，建议使用不同组而且不重叠的可分辨名称作为内部和外部 DNS 使用的基础。例如，假定单位的父域名是"https://www.doczj.com/doc/846540242.html,"。对于内部 DNS 名称的使用，用户可以使用诸如
"https://www.doczj.com/doc/846540242.html,"的名称对于外部 DNS 名称的使用，用户可以使用诸如
"https://www.doczj.com/doc/846540242.html,"的名称保持内部和外部名称空间始终是分离的而且截然不同，这样用户可以简化某些配置的维护工作，如域名筛选器或排除列表。
§规划用户的域结构
最容易管理的域结构就是单域。规划时，用户应从单域开始，并且只有在单域模式不能满足用户的要求时，才增加其他的域。一个域可跨越多个站点并且包含数百万个对象。站点结构和域结构互相独立而且非常灵活。单域可跨越多个地理站点，并且单个站点可包含属于多个域的用户和计算机。如果只是反映用户公司的部门组织结构，则不必创建独立的域树。在一个域中，可以使用组织单位来实现这个目标。然后，可以指定组策略设置并将用户、组和计算机放在组织单位中。
创建多个域的原因有：
§部门之间不同的密码要求
§大量的对象
§不同的 Internet 域名§对复制进行更多的控制§分散的网络管理§规划组织单位结构
可以在域中创建组织单位的层次结构。组织单位可包含用户、组、计算机、打印机、共享文件夹以及其他组织单位。组织单位是目录容器对象。它们表现为"Active Directory 用户和计算机"中的文件夹。组织单位简化了域中目录对象的视图以及这些对象的管理。可将每个组织单位的管理控制权委派给特定的人。这样，用户就可以在管理员中分配域的管理工作，以更接近指派的单位职责的方式来管理这些管理性职责工作。
通常，应该创建能反映组织单位的职能或商务结构的单位。例如，用户可以创建顶级单位，例如人事关系、设备管理和营销等部门单位。在人事关系单位中，用户可以创建其他的嵌套组织单位，例如福利和招聘单位。在招聘单位中，也可以创建另一级的嵌套单位。例如，内部招聘和外部招聘单位。总之，组织单位可使用户以一种更有意义且易于管理的方式来模拟用户实际工作的单位，而且在任何一级指派一个适当的本地权利机构作为管理员。
每个域都可实现自己的组织单位层次结构。如果用户的企业包含多个域，则可以独立于其他域中的结构在每个域中创建组织单位的结构。
§何时创建域控制器
将 Windows 2000 Server 计算机升级为域控制器会创建一个新域或者向现有的域添加其他域控制器。创建域控制器可以：
§创建网络中的第一个域。
§在树林中创建其他的域。
§提高网络可用性和可靠性。
§提高站点之间的网络性能。
要创建 Windows 2000 域，必须在该域中至少创建一个域控制器。创建域控制器也将创建该域。不可能有没有域控制器的域。如果确定用户的单位需要一个以上的域，则必须为每个附加的域至少创建一个域控制器。树林中的附加域可以是：新的子域、新域树的根。
§规划用户的委派模式
用户可以将权利下派给单位中最底层部门，方法是在每个域中创建组织单位树，并将部分组织单位子树的权利委派给其他用户或组。通过委派管理权利，用户不再需要那些定期登录到特定帐户的人员，这些帐户具有对整个域的管理权。尽管用户还拥有带整个域的管理授权的管理员帐户和域管理员器组，可以仍保留这些帐户以备少数高度信任的管理员偶尔使用。
最后在规划 Active Directory 结构时，除了需要认真考虑以上各项外，用户还要注意以下几点：
1．使用的域越少越好，因为在 Windows 2000 中已经大大扩展了单个域的容量。
2．限制组织单位的层次，在 Active Directory 搜索事物的层次越深则运行效率越低
3．限制组织单位中的对象个数，这样便于高效的查找特定资源
4．用户可以将管理权限分配到组织单位级，这样提高了管理效率，降低了管理员的负荷。
6.2.2 安装 Active Directory
运行 Active Directory 安装向导将 Windows 2000 Server 计算机升级为域控制器会创建一个新域或者向现有的域添加其他域控制器。创建域控制器可以：
§创建网络中的第一个域。
§在树林中创建其他的域。
§提高网络可用性和可靠性。
§提高站点之间的网络性能。
要创建 Windows 2000 域，必须在该域中至少创建一个域控制器。创建域控制器也将创建该域。不可能有没有域控制器的域。如果确定用户的单位需要一个以上的域，则必须为每个附加的域至少创建一个域控制器。树林中的附加域可以是：新的子域、新域树的根。
，
"
§Active Directory 站点和服务如图 6.11
活动目录（Active Directory）系列之一：为什么我们需要域 对很多刚开始钻研微软技术的朋友来说，域是一个让他们感到很头疼的对象。域的重要性毋庸置疑，微软的重量级服务产品基本上都需要域的支持，很多公司招聘工程师的要求中也都明确要求应聘者熟悉或精通Active Directory。但域对初学者来说显得复杂了一些，众多的技术术语，例如Active Directory，站点，组策略，复制拓扑，操作主机角色，全局编录….很多初学者容易陷入这些技术细节而缺少了对全局的把握。从今天开始，我们将推出 Active Directory系列博文，希望对广大学习AD的朋友有所帮助。 今天我们谈论的第一个问题就是为什么需要域这个管理模型？众所周知，微软管理计算机可以使用域和工作组两个模型，默认情况下计算机安装完操作系统后是隶属于工作组的。我们从很多书里可以看到对工作组特点的描述，例如工作组属于分散管理，适合小型网络等等。我们这时要考虑一个问题，为什么工作组就不适合中大型网络呢，难道每台计算机分散管理不好吗？下面我们通过一个例子来讨论这个问题。 假设现在工作组内有两台计算机，一台是服务器Florence，一台是客户机Perth。服务器的职能大家都知道，无非是提供资源和分配资源。服务器提供的资源有多种形式，可以是共享文件夹，可以是共享打印机，可以是电子邮箱，也可以是数据库等等。现在服务器 Florence提供一个简单的共享文件夹作为服务资源，我们的任务是要把这个共享文件夹的访问权限授予公司内的员工张建国，注意，这个文件夹只有张建国一个人可以访问！那我们就要考虑一下如何才能实现这个任务，一般情况下管理员的思路都是在服务器上为张建国这个用户创建一个用户账号，如果访问者能回答出张建国账号的用户名和密码，我们就认可这个访问者就是张建国。基于这个朴素的管理思路，我们来在服务器上进行具体的实施操作。 首先，如下图所示，我们在服务器上为张建国创建了用户账号。
活动目录术语表 整理： A 访问控制（access control）--登录计算机或网络权限的管理。 ACE--参见"访问控制条目"。 访问控制条目(access control entry，简称ACE) --每一个ACE包括一个安全标识符(SID)，这个标识符标识这个ACE的应用对象（用户或小组）以及允许或者拒绝访问的ACE信息的类型。 访问控制表(access control list，简称ACL) --用来定义用户/工作组与文件、目录或其他资源相关的访问权限的一组数据。在活动目录服务中，一个ACL是一个存储访问权限与被保护对象相互之间关系的列表。在Windows NT?操作系统中，一个ACL作为一个二进制值保存，称之为安全描述符。 ACL--参见"访问控制列表"。 活动目录-- Windows? 2000支持的一种结构，这种结构可以跟踪和定位网络上任意一个对象。活动目录是Windows 2000服务器中使用的目录服务，为Windows 2000分布式网络提供基础。 活动目录服务接口(Active Directory Service Interface，简称ADSI)--基于组件对象模型（COM）的客户端软件。ADSI定义了一个目录服务模型和一组COM接口，通过这些接口可以使Windows NT 和Windows 95客户端应用程序访问一些网络目录服务，包括活动目录服务。ADSI允许应用程序与活动目录进行通信。 ADSI提供目录服务客户端通过使用一组接口与任何提供ADSI实现的名字空间进行交流
的方法。ADSI客户端通过使用ADSI替代与网络相关的应用程序编程接口（API）调用，从而获得访问名字空间服务的更简单的方法。ADSI 遵守并且支持标准的COM特征。ADSI也定义了可以从自动兼容软件，例如Java、Visual Basic、Visual Basic Scripting Edition（VBScript），来访问的接口和对象，这同样可以应用到非自动兼容语言，例如C和C++，通过这个特性可以增强性能。此外，ADSI提供它自己的OLE数据库提供者，并且可以完全支持任何客户端已经使用的OLE数据库，包括那些使用ActiveX? 技术的。 ADSI--参见活动目录服务接口"。 属性（attribute）--对象的单一属性。对象通过它们的属性值进行描述。例如，可以用属性这样来定义一辆车：制造商、模型、颜色等等。属性这个术语和特性这个词可以相互使用，它们使完全一样的。属性也是用来描述对象的数据项，这些对象通过模式中定义的类来表现的。在模式中，属性和类使分开定义的；这样使得一个属性可以在多个类中使用。参见"对象"。 授权（authentication）--确定用户的身份，即确定究竟是谁登录到计算机系统中的，或确定事物的完整性。 B 备份域控制器(backup domain controller，简称BDC) --在Windows NT Server 4.0或早期的域中，运行Windows NT Server的计算机接受包括域中所有帐户和安全策略信息的目录的拷贝。这份拷贝信息周期性并且自动的与主域控制器中的主备份进行同步。备份域控制器也可以确认用户并且配置成为象PDC类似的功能。一个域上可以有多个备用域控制器。 在Windows 2000域中，备份域控制器是不需要；所有域控制器是对等的，都可以维护目录。当Windows NT 4.0和Windows NT 3.51备份域控制器运行在混合模式下时，可以与Windows 2000域进行交流。参见"域控制器和主域控制器"。 C
目录 一、活动目录配置基本知识.................................................... 1、活动目录的重要概念……………………………………… 2、活动目录安装前准备……………………………………… 3、活动目录安装……………………………………………… 二、windows2000/2003活动目录配置………………………… 1、windows2000活动目录配置……………………………… 2、windows2003活动目录配置………………………………
一、活动目录配置基本知识 1、活动目录的重要概念 （1）目录服务是一个什么东西 一个目录就是一个用于储存用户感兴趣对象信息的信息源。如一个电话号码目录储存了有关电话用户的信息。在一个文件系统中，目录就储存了有关文件的信息。 在一个分布式计算系统中或是一个公共计算机网络（如Internet）中，就有许多用户感兴趣的对象，如打印机、传真服务器、应用程序、数据库以及其他用户。用户想找到和使用这些对象，而管理人员则想管理对这些对象的使用。 在此文档中，术语目录和目录服务指在公共和私人网络中的目录。目录服务与目录的不同在于，它既是目录的信息源，而它的服务又可以使用户得到和利用信息。 （2）什么是活动目录 活动目录是Windows 2000 Server的目录服务。它扩展了以前基于Windows的目录服务，还加入了一些全新的特点。活动目录是安全的、分布式的、可分区的及可复制的。它设计成为可以在任何规模安装下良好工作，从带有几百个对象的单一服务器到成千个服务器和上百万个对象。活动目录加入了很多新的特性，使得在大规模信息的管理及在其中漫游变得很简单，为管理者和终端用户都节省了时间。 （3）为什么需要目录服务 目录服务是扩展的计算机系统的最重要组成元素之一。使用者及管理者经常不知道他们感兴趣对象的精确名字。他们可能知道对象的一个或更多属性，而且可以查询目录来得到符合属性的对象列表，例如："查找在26楼中的所有双工打印机。"目录服务允许用户按指定属性查找任何对象。 目录服务可以： ?提高管理者定义的安全性来保证信息不受侵入者的损害。 ?将目录分布在一个网络中的多台计算机上。 ?复制目录使得更多用户获得它并且减少错误。 ?分配一个目录于多个存储介质中使得可以存储规模非常大的对象。 目录服务既是管理工具又是终端用户工具。当网络中对象的数目增加时，目录服务变得很重要。目录服务是一个大的分布系统的转换中心。 ①重要概念 用来描述活动目录的概念和术语中有些是新的，而另外一些则不是。不幸的是，一些已经采用一段时间的术语被用来表明不止一个特定事物。在继续前进之前，理解下面这些概念和术语在活动目录背景中如何定义是重要的。 ②范围
网络组建安装活动目录服务 活动目录(Active Directory)是用于Windows 2003的目录服务。它存储着网络上各种对象的有关信息，并使该信息易于管理员和用户查找及使用。活动目录服务使用结构化的数据存储作为目录信息的逻辑层次结构的基础。 活动目录具有信息安全性、基于策略的管理、可扩展性、可伸缩性、信息的复制、与DNS集成、与其他目录服务的互操作性、灵活查询等优点。 1．DNS与活动目录 由于活动目录与DNS是集成的，并且共享相同的名称空间结构，因此注意两者之间的差异非常重要： ●DNS是一种名称解析服务 DNS客户机向配置的DNS服务器发送DNS名称查询。DNS服务器接收名称查询，并且解析名称查询，或者进行名称解析。DNS不需要活动目录可以独立运行。 ●活动目录是一种目录服务 活动目录提供信息存储库以及让用户和应用程序访问信息的服务。活动目录客户使用“轻量级目录访问协议(Lightweight Directory Access Protocol，LDAP)”向活动目录服务器发送查询。然后要定位活动目录服务器，活动目录客户机将查询DNS。即活动目录用于组织资源，而DNS用于查找资源；只有它们共同工作才能为用户或其他请求类似信息的过程返回信息。2．规划活动目录 为了让用户和管理员操作更为方便，在安装活动目录之前，我们首先要对活动目录的结构进行细致的规划设计。 ●规划DNS 如果用户准备使用活动目录，则需要首先规划名称空间。在Windows 2003中，用DNS 名称命名活动目录域。选择DNS名称用于活动目录域时，以保留在Internet上使用的已注册DNS域名后缀开始(如https://www.doczj.com/doc/846540242.html,)，并将该名称和单位中使用的地理(部门)名称结合起来，组成活动目录域的全名。 ●规划用户的域结构 最容易管理的域结构就是单域。规划时，用户应从单域开始，并且只有在单域模式不能满足用户的要求时，才增加其他的域。单域可跨越多个地理站点，并且单个站点可包含属于多个域的用户和计算机。在一个域中，可以使用组织单元(OU，Organizational Units)来实现这个目标。然后，可以指定组策略设置并将用户、组和计算机放在组织单元中。 ●规划用户的委派模式 用户可以将权限下派给单位中最底层，方法是在每个域中创建组织单元树，并将部分组织单元子树的权限委派给其他用户或组。通过委派管理权限，用户不再需要那些定期登录到特定账户的人员，这些账户具有对整个域的管理权。尽管用户还拥有带整个域的管理授权的管理员账户和域管理员器组，可以仍保留这些账户以备少数管理员使用。 3．安装活动目录服务 首先，用户必须有安装活动目录的管理员权限，否则无法安装。在安装活动目录之前，要确保系统盘为NTFS分区。同时，已做好了DNS服务器的解析，如https://www.doczj.com/doc/846540242.html,。 在安装活动目录前首先确定DNS服务正常工作，下面我们来安装根域为https://www.doczj.com/doc/846540242.html,的域控制器。其操作步骤如下： （1）执行【开始】|【控制面板】|【管理工具】|【配置您的服务器向导】命令，打开【配置您的服务器向导】对话框，如图6-13所示。
活动目录系列之一：基本概念 目录服务可以集中实现组织、管理、控制各种用户、组、计算机、共享文件夹、打印机各种资源等。使用LDAP（端口389）轻量级目录访问协议工作，在域环境下所有用户及计算机等帐户信息均保存在一个数据库中，这个数据库位置%systemroot%\ntds\ntds.dit。 AD（活动目录）的逻辑结构包含如下组件：域/子域/树/森林/OU等。主要侧重于对网络资源的组织。 AD的物理结构包含如下组件：DC（域控制器）/site（站点）/OM（操作主机）。主要侧重于对网络资源的配置和优化。下面介绍有关几个重要的概念： 1.DN：(可辨别名称）--用来表示一个对象在AD中具体存储位置，类似于文件的绝对路径。 如：cn=user1,ou=sails, dc=blog,dc=com 该用户存在https://www.doczj.com/doc/846540242.html,域的sails OU下，用户名为user1. cn=users (默认的容器users也以cn表示) dsadd user cn=test,ou=sails,dc=blog,dc=com 利用DN来创建用户的例子。 2.UPN（用户主名）用户名@域名，即用户登录时可以采用，如jack@https://www.doczj.com/doc/846540242.html,，也可以更改此后缀。 修改：domain.msc后，在根右击--属性--更改UPN后缀，
然后在用户属性-帐号中选择其后缀。用户登录可以使用此UPN.但必须在用户属性里进行相应的更改（即启用此Upn 后缀） 3.SID (安全标识符）用户/组都有唯一 whoami /user 当前用户的SID whoami /all 当前用户的详细信息（包含所属组的SID）getsid \\dc1 test \\dc1 test (安装suptools) psgetsid \\dc1 test 下载工具包。 4.AD数据库的目录分区：（AD数据库虽然是一个文件，但却是以目录分区的形式组成的） schema 架构分区---森林的对象类和属性，在森林级别复制。 configuration 配置分区--所有DC的位置、site，在森林级别复制。 domain 域分区--每个域的各种对象等信息，在域级别复制。application 应用程序分区—DNS，可以自定义。 通过adsiedit.msc来查看前三个目录（事先装支持工具）5.site:在物理位置上区分，一组高速可靠的一个子网或多个子网。（管理AD复制） 优点：
使用活动目录服务的好处是什么? 完全集成到Windows 2000 服务器版中的活动目录为网络管理员、开发者和用户提供了访问目录服务的能力，这样可以： ●简化管理任务 ●加强网络安全性 ●通过互操作使用现存网络 简化管理 分布式系统常常导致时间的消耗和管理的冗余。当公司在他们的基础结构上添加应用程序并雇用新的职员时，他们需要适当地向各桌面系统分发软件并管理多个应用程序目录。通过在单一的位置管理用户、组和网络资源以及分发软件和管理桌面系统配置，活动目录可以显著降低公司的管理费用。例如，活动目录在同一个位置管理Windows 2000用户和Microsoft Exchange邮箱信息。基于下列原因，活动目录可以从以下方面帮助公司简化管理： ●消除冗余管理任务提供对Windows用户账号、客户、服务器和应 用程序以及现存目录同步能力进行单一点管理。 ●降低桌面系统的行程针对用户在公司中所担当的角色自动向其分 发软件，以减少或消除系统管理员为软件安装和配置而安排的多次行程。 ●更好的实现IT资源的最大化安全地将管理功能分派到组织机构的 所有层次上。 ●降低总体拥有成本（TCO）通过使网络资源容易被定位、配置和 使用来简化对文件和打印服务的管理和使用。 活动目录如何简化管理 以层次化组织用户和网络资源，活动目录使管理员拥有对用户账号、客户、服务器和应用程序进行管理的单一点。这就减少了冗余的管理任务，同时，通过让管理员管理对象组或容器而非每个独立的对象来增加管理的准确性。 图4：活动目录简化了网络资源的管理 活动目录允许管理员分派特定的管理权限和任务给单独的用户和组，以便更好地使用系统管理资源。如上图所示，特定的管理任务，例如重新设置用户密码，可以被分派给市场机构的办公室管理员。更多的特权功能，如"创建用户"，可以为IT管理员保留。 活动目录也允许组织机构针对用户在公司中所担当的角色自动地将软件分 发给他们。例如，一个公司可以指定职员容器中的所有用户（无论是从哪里登录到网络上的）均可使用人力资源管理应用程序。活动目录集中存储这些信息，同时，应用智能镜像管理技术自动安装所分配的应用程序，并给予用户访问其桌面系统的能力而无论用户正在使用网络中的哪个工作站。
活动目录命令整理 一、活动目录修改及查询命令 dsadd命令（创建活动目录对象） 使用dsadd命令可以在活动目录中创建OU、用户、组、联系人等对象，下面逐一进行介绍。 1、创建组织单位： 命令格式：dsadd ou
微软活动目录的应用研究 Active Directory（活动目录）是微软Windows server操作系统平台的核心组件，在网络的环境中，Active Directory 提供组织、管理与控制网络资源的各种功能，Active存储了有关网络对象的信息，并且让管理员和用户能够轻松地查找和使用这些信息。文章阐述了在大规模局域网中，在Windows server 2008环境下，Activer Directory的部署与应用。 标签：Active Directory（活动目录）；域；OU（组织单位） 引言 在Active Directory（活动目录）部署实施与日常应用管理中经常需要做大量的重复工作，尤其是在用户数量庞大的网络中，给管理人员带来了巨大的工作负担。Active Directory（活动目录）部署实施与日常应用管理工作中结合Windows 批处理命令的使用，可以极大减轻管理人员的工作负担，提高工作效率。文中举出的例子均是实际环境中应用使用过的，故障解决办法也是长期工作中总结出来的经验，可供借鉴与参考。 1 Active Directory（活动目录）服务器部署 Active Directory（活动目录）部署时需要理解许多相关概念，如：用户、OU、域、域树、林等等概念。本文描述的环境是一个单位内的局域网络，所以文中所有示例均为一个域内的管理，不涉及域树、林等概念。部署过程简单描述如下： 1.1 安装Window2008 server操作系统 Active Directory（活动目录）是Windows serve 2008的组件，必须先安装Windows serve 2008操作系统，关于安装操作系统，可以参考微软手册与相关书籍，此处不再详述。安装好两台服务器。 1.2 安装配置域控制器 单击开始菜单选择“运行”执行“dcpromo”命令，将普通服务器提升为Active Directory Domain Services（AD DS），根据安装提示进行安装，依次选择：“高级模式”-“在新林中新建域”，然后输入域名“https://www.doczj.com/doc/846540242.html,”，在设置林功能级别时选择“Window server 2008”，设置域功能级别时选择“Window server 2008”，在其他域控制选项时勾选“DNS服务器”，直到完成安装。 完成第一台服务器后，再按上述过程安装另一台服务器，第一台作为主域控制器，另一台作为额外域控制器，防止单点故障。 2 计算机终端加入域
注意：预习作业在上课前提交，复习作业在上课后提交，共性的作业在实验课会评讲一下，一般不会单独评讲，统一在习题课做综合解答，请各位组长记录作业出现的问题，提交到教员。预习重点部分，不用做在作业上，是给各位学员预习时的引导线。务必记住80%的精力放在预习。 第一章： 预习作业：1.什么是域？什么是活动目录？活动目录有什么特点？2.什么是域树？什么是林？3.安装域控制器必须具备哪些条件？4.将计算机加入域前，要检查客户机哪些配置？5.DNS 在域中有什么作用？● （预习重点：这章节就开始难了，会有很多的名词要理解：域 域控 活动目录 域树 森什么安全组通讯组等等，工作组只适合小型网络，换句话来说，域就适合更大型网络了啦！更换句话来说，你想当个大一点的网络管理，就一定要学好域了，给几个简单的解释先骗大家懂一下吧：?活动目录：一是目录，二是活动，也就是说有一个目录，它是活动的，不属于一台计算机，属整个域的所有电脑。更具体地说他是一个数据库存储着很多对象，例如：组 帐号 打印机 共享文件等等。它能存储这些对象，就能提供一种很好的服务，能让属这个域的用户能快速查找所需的数据了。?域：前面的课提到过，两种网络环境，一种是对等网，平等，没有谁管谁的，另一种是c/s 组构，有服务器有客户机。而我们本课所提到的域，其实就是c/s 结构，能进行集中管理的，其它的域树和森主要看图再对比书本的文字再理解一下。?域控：那一台用来管理这个域的计算机就是域控了，在这里我们暂且单纯地认域域控只有一台，其实在多域的环境下会有多台的，在后面的课程会详细学习。● 安装活动目录：先检查条件够不够，熟读六个条件，域的安装。?加入域：加入域时候，客户机要设置什么才能加入域，这个很重要，很多学员做实验的时候，两台主机都没ping 就去加域，加不入就在大呼大叫，组长帮组员排错的时候要注意是否ping 通ip,是否ping 通域名，别把每个组员都想得太理想了，没有ping 通就急着去加域的学员及加入域的时候域名都写错了，还敢大呼大叫的学员我见得多了。●看书本5页的图，理解一下域树和域林，当然课只应用到单域，由于单一次接触域，多域只是理论上的理解，不要纠结于怎么创，如果非要纠结也行，请预习第八章。 、管路敷设技术通过管线敷设技术，不仅可以解决吊顶层配置不规范问题，而且可保障各类管路习题到位。在管路敷设过程中，要加强看护关于管路高中资料试卷连接管口处理高中资料试卷弯扁度固定盒位置保护层防腐跨接地线弯曲半径标高等，要求技术交底。管线敷设技术中包含线槽、管架等多项方式，为解决高中语文电气课件中管壁薄、接口不严等问题，合理利用管线敷设技术。线缆敷设原则：在分线盒处，当不同电压回路交叉时，应采用金属隔板进行隔开处理；同一线槽内，强电回路须同时切断习题电源，线缆敷设完毕，要进行检查和检测处理。、电气课件中调试对全部高中资料试卷电气设备，在安装过程中以及安装结束后进行高中资料试卷调整试验；通电检查所有设备高中资料试卷相互作用与相互关系，根据生产工艺高中资料试卷要求，对电气设备进行空载与带负荷下高中资料试卷调控试验；对设备进行调整使其在正常工况下与过度工作下都可以正常工作；对于继电保护进行整核对定值，审核与校对图纸，编写复杂设备与装置高中资料试卷调试方案，编写重要设备高中资料试卷试验方案以及系统启动方案；对整套启动过程中高中资料试卷电气设备进行调试工作并且进行过关运行高中资料试卷技术指导。对于调试过程中高中资料试卷技术问题，作为调试人员，需要在事前掌握图纸资料、设备制造厂家出具高中资料试卷试验报告与相关技术资料，并且了解现场设备高中资料试卷布置情况与有关高中资料试卷电气系统接线等情况，然后根据规范与规程规定，制定设备调试高中资料试卷方案。、电气设备调试高中资料试卷技术电力保护装置调试技术，电力保护高中资料试卷配置技术是指机组在进行继电保护高中资料试卷总体配置时，需要在最大限度内来确保机组高中资料试卷安全，并且尽可能地缩小故障高中资料试卷破坏范围，或者对某些异常高中资料试卷工况进行自动处理，尤其要避免错误高中资料试卷保护装置动作，并且拒绝动作，来避免不必要高中资料试卷突然停机。因此，电力高中资料试卷保护装置调试技术，要求电力保护装置做到准确灵活。对于差动保护装置高中资料试卷调试技术是指发电机一变压器组在发生内部故障时，需要进行外部电源高中资料试卷切除从而采用高中资料试卷主要保护装置。
单元一：Windows Server 2008域与活动目录 任务一：安装Windows Server 2008域控制器 任务描述： 企业网络采用域的组织结构，可以使得局域网的管理工作变得更集中、更容易、更方便。虽然活动目录具有强大的功能，但是安装Windows Server 2008操作系统时并未自动生成活动目录。因此，管理员必须通过安装活动目录来建立域控制器，并通过活动目录的管理来实现针对各种对象的动态管理与服务。同时客户机登录域的操作也是组建域网络必不可少的部分，也是网络管理员应该熟练掌握的基本技能之一。 任务目标： 作为网络管理员，只有明确安装域控制器的条件和准备工作，掌握域网络的组建流程和操作技术，才能在服务器上安装好Windows Server 2008操作系统。为此，可以启用活动目录安装向导，成功安装活动目录后，将使得一个独立服务器升级为域控制器。同时通过任务，还应能够区分登录窗口，例如是登录域不是登录本机的登录框。 任务实施： 一、建立第一台域控制器： 活动目录是Windows Server 2008非常关键的服务，它不是孤立的，与许多协议和服务有着非常紧密的关系，并涉及整个操作系统的结构和安全。因此，活动目录的安装并非一般Windows组件那样简单，必须在安装前完成一系列的准备，注意事项如下： （1）文件系统和网络协议：Windows Server 2008所在的分区必须是NTFS文件系统，同样活动目录必须安装在NTFS分区，同时计算机上要正确安装了网卡驱动程序，并启用了TCP/IP协议。 （2）域结构规划：活动目录可包含多个域，只有合理地规划目录结构，才能充分发挥活动目录的优越性。在组建一个全新的Windows Server 2008网络时，所安装的第一台域控制器将生成第一个域，这个域也被称为根域，选择根域最为关键。根域名字的选择可以有以下几种方案： 使用一个已经注册的DNS域名作为活动目的根域名，使得企业的公共网络
XXXX集团 活动目录规划方案
目录 1. 前言 (3) 2. 活动目录规划 (3) 2.1. 活动目录介绍 (3) 2.2. 应用 Windows 2003 Server AD 的好处 (4) 2.3. 明确系统规划目标 (7) 2.4. 活动目录设计方案 (8) 3. 用户关心问题解答 (9) 3.1. 活动目录优势 (9) 3.2. 重要组策略介绍 (11) 3.3. 计算机从工作组加入到域可能存在的问题和解决方法 (15) 4. 活动目录方案实施 (16) 4.1. AD 域命名和 DNS 的规划 (16) 4.2. 确定 AD 逻辑结构 (16) 4.3. 确定 AD 物理结构 (17) 4.4. 规划 OU 结构和组策略 (18) 4.5. 创建OU 以管理和委派 (19) 4.6. 创建OU 支持组策略 (19) 4.7. 应用组策略选项 (20) 4.8. 硬件设备选型建议 (21) 5. 活动目录服务内容 (22) 5.1. 可行性调查 (22) 5.2. 规划活动目录部署方案 (22) 5.3. 部署活动目录服务 (22) 5.4. 制订活动目录管理维护规范 (23) 5.5. 工程师定时上门进行活动目录日常维护 (23) 5.6. 处理活动目录紧急情况 (23) 5.7. 整理和存档资料 (24) 5.8. 培训系统管理员 (24) 6. 服务质量保证 (25) 7. 部分成功案例 (28)
1.前言 本文档是张家港保税区金凯迪电脑贸易有限公司结合自身长期为客户提供全面的 IT 顾问咨询服务和应用解决方案积累起来的丰富经验，为企业规划 Windows 2003 AD 企业目录服务的解决方案建议。 由于计算机安全和管理的需要，IT 部门计划部署活动目录，希望所有的计算机分阶段加入到域，通过活动目录加强计算机安全和桌面管理，并为进一步部署 Exchange、SMS 等微软产品打下坚实的基础架构。 方案包括以下组成部分： 活动目录整体规划 用户关心问题解答 活动目录方案实施 活动目录服务项目 服务质量保证 2.活动目录规划 设计一个稳定、可靠和扩展性良好的活动目录架构对一个企业网络的管理及安全具有重大意义，并对部署微软的相关产品如 Exchange 等具有举足轻重和决定性的重要意义。 2.1. 活动目录介绍 活动目录是 Windows 2003 网络体系结构中一个基本且不可分割的部分，它为网络的用户、管理员和应用程序提供了一套分布式网络环境设计的目录服务。活动目录使得组织机构可以有效地对有关网络资源和用户的信息进行共享和管理。另外，目录服务在网络安全方面也扮演着中心授权机构的角色，从而使操作系统可以轻松地验证用户身份并控制其对网络资源的访问。同等重要的是，活动目录还担当着系统集成和巩固管理任务的集合点。 总的来说，活动目录的这些功能使组织机构可以将标准化的商业规则贯彻于分布式应用和网络资源当中，同时，无需管理员来维护各种不同的专用目录。
XXX公司 活动目录规划方案文档信息：
目录 ----------------------------------------------------------------------------------------- 第一章项目概述 (3) 1.系统目标 (3) 第二章基础服务规划 (3) 1.核心基础结构服务 (4) 2.辅助服务 (5) 3.W INDOWS S ERVER 基础服务 (7) 4.DNS名称解析 (7) 5.关键服务推荐布局 (9) 第三章活动目录设计 (9) 1.A CTIVE D IRECTORY基本概念 (9) 2.安全、统一的目录服务机制 (10) 3.严格、周密的客户端桌面管理 (10) 4.系统实现 (11) ●域结构 (11) ●站点设计 (12) ●AD FSMO主机角色设计 (12) ●组织单元结构 (13) ●委派管理 (14) ●账号和口令管理 (15) 5.客户端管理 (17) ●本地用户和组介绍 (17) ●默认安全设置（Administrators 组、Power Users 组、Users 组） (18) 6.实现功能描述 (20) ●主要功能实现 (20) ●组策略功能实现 (21) 7.灾难恢复考虑 (22) 第四章文件服务的规划 (22) 第五章物理实现 (24)
第一章项目概述 1. 系统目标 此次我们系统建设的目标为： 1) 提供一个安全、高效、灵活的企业级操作系统平台，为整个企业的IT应用奠定坚实基础。 2) XXX 3) XXXX 4)XXXX 第二章基础服务规划 通常一个企业的IT 环境从一个简单的IT 服务开始，这个服务一般旨在满足特定的当前业务需要，例如传真、电子邮件、业务应用程序或办公室的远程连接。随着时间的推移，由于新需求的出现，新的IT 服务会无规划的添加到这个环境中。这样创建的IT 环境在技术上种类烦杂、难以支持和运行，并且难以使用，因此给IT 管理人员和最终用户都带来额外的负担。 采用具有标准化IT 基础结构的IT 环境，这是一种运用IT 为企业创造价值的具有成本效益的方法。我们的方案将帮助中小企业构建此类IT 环境。采用此解决方案中提供的指南能带来下列好处： ●经过测试的可靠文档：此解决方案已经由微软及合作伙伴进行了测试，并且通过了大量客户部署的检验。
活动目录的概念 域 域提供了多项优点： §组织对象。 §发布有关域对象的资源和信息。 §将组策略对象应用到域可加强资源和安全性管理。 §委派授权使用户不再需要大量的具有广泛管理权利的管理员。
6.1.5 Active Directory 用户和计算机帐户 Active Directory 用户和计算机帐户代表物理实体，诸如计算机或人。用户帐户和计算机帐户（以及组）称为安全主体。安全主体是自动分配安全标识符的目录对象。带安全标识符的对象可登录到网络并访问域资源。用户或计算机帐户用于： §验证用户或计算机的身份。 §授权或拒绝访问域资源。 §管理其他安全主体。 §审计使用用户或计算机帐户执行的操作。 Windows 2000 提供了可用于登录到运行 Windows 2000 的计算机的预定义用户帐户。这些预定义帐户为：§管理员帐户 §来宾帐户 预定义帐户就是允许用户登录到本地计算机并访问本地计算机上资源的默认用户帐户。设计这些帐户的主要目的是本地计算机的初始登录和配置。每个预定义帐户均有不同的权利和权限组合。管理员帐户有最广泛的权利和权限，同时来宾帐户有受限制的权利和权限。 组策略 组策略设置影响计算机或用户帐户并且可应用于站点、域或组织单位。它可用于配置安全选项、管理应用程序、管理桌面外观、指派脚本并将文件夹从本地计算机重新定向到网络位置。 集成DNS 由于 Active Directory 与 DNS 集成而且共享相同的名称空间结构，因此注意两者之间的差异非常重要：§DNS 是一种名称解析服务。 DNS 客户机向配置的 DNS 服务器发送 DNS 名称查询。DNS 服务器接收名称查询，然后通过本地存储的文件解析名称查询，或者查询其他 DNS 服务器进行名称解析。DNS 不需要 Active Directory 就能运行。 §Active Directory 是一种目录服务 Active Directory 提供信息储存库以及让用户和应用程序访问信息的服务。Active Directory 客户使用"轻量级目录访问协议 (LDAP)"向 Active Directory 服务器发送查询。要定位 Active Directory 服务器，Active Directory 客户机将查询 DNS。Active Directory 需要 DNS 才能工作。 即 Active Directory 用于组织资源，而 DNS 用于查找资源；只有它们共同工作才能为用户或其他请求类似信息的过程返回信息。DNS 是 Active Directory 的关键组件，如果没有 DNS，Active Directory 就无法将用户的请求解析成资源的IP地址，因此在安装和配置 Active Directory 之前，用户必须对 DNS 有深入的理解。 6.1.8组织单位 包含在域中的特别有用的目录对象类型就是组织单位。组织单位是可将用户、组、计算机和其他单位放入其中的 Active Directory 容器。组织单位不能包括来自其他域的对象。组织单位是可以指派组策略设置或委派管理权限的最小作用域或单位。使用组织单位，用户可在组织单位中代表逻辑层次结构的域中创建容器。这样用户就可以根据用户的组织模型管理帐户和资源的配置和使用。 安装活动目录(ADS) Active Directory 的规划
活动目录系列之四：脚本和软件限制策略的应用 在域环境中，组策略显得尤为重要，作为一个域管理员，要时刻有效的管理域中的成员，就必须对组策略熟之又熟，它是我们域中的一个十分强大的管理机制，我们要学懂它，恐怕还得多下点功夫，下面我单把脚本的应用和软件限制策略作一下简单的叙述： 1、脚本。 我们知道，在组策略中分为两大模块：计算机配置和用户配置。对计算机做配置只是作用于某台计算机，对用户配置做配置只是作用于某用户，不过，计算机配置的优先级是大于用户配置的优先级的，明白了这点，我们就可以有目的的去做配置了。 首先，我在域https://www.doczj.com/doc/846540242.html,中新建了一个组织单元“精英计划”，在“精英计划”下面又建了两个用户。 我现在想对张三和李四同时做脚本策略，那么我们就对“精英计划”这个组织单元做策略好了。 点击“精英计划”属性，点组策略。 然后新建策略
点编辑，既然对用户对策略，我们就对“用户配置”做配置。 我们先点开“登录”，然后点“添加” 这时我手动作一个“登录”脚本
好了，把这个做好的脚本粘贴到上面的面板中 好了，我们接着点“确定”就可以了，我们用同样的方法做一个用户注销脚本 不同的是在用户配置中点击“注销” 最后，等配置好了我们来刷新组策略（刷新策略有利于策略及时生效） 到用户机器上看一下结果 用账号“张三”登录到域中
登录后就会出现“登录脚本”提示了 然后我们来注销“张三”这个用户 2. 软件限制策略 首先新建一条策略
编辑该策略（我们还是对用户进行配置） 点击“创建软件限制策略”，我们可以看到“安全级别”和“其他规则”，“安全级别”定义了策略的表现形式（“不允许的”和“不受限的”），“其他规则”就包含了软件限制策略的四条规则（证书规则、哈希规则、Internet区域规则和路径规则）。下面我就“哈希规则”做一下演示： 新建“哈希规则：
Windows Server 2003图文教程（活动目录之备份与恢复 E） 活动目录之备份与恢复 E 通过我前几篇文章的介绍，我想大家对活动目录的配置以及域控制器在网络中的作用已经有了一个大致的了解了。当然，我写的都是一些关于操作上的文章，至于原理性的东西建议大家自己到网上搜一下或者到书店里去买几本微软的官方教材看一下，因为原理性的东西实在是没什么好写的，要写也是抄书，会被别人以为我在骗稿费的。OK，那么现在大家应该知道在域构架网络中，域控制器是多么的重要，所以一台域控制器的崩溃对于网络管理员而言，无疑是一场恶梦，那么活动目录应该如何来备份和恢复呢?在这里我将详细的为大家讲一下这个问题，我们一般把活动目录的备份和恢复分成两种情况: 1、整个网络中有且仅有一台域控制器; 首先，本人并不成赞成网络中存在这种情况，也就是说网络中最好是存在两台或两台以上的域控制器，当然有些朋友可能会说:买服务器你给钱啊?我先声明:我没钱。而且现在的老板都很精哟，一般是能用就行，至于坏了怎么办?那当然是网络管理员来想办法解决了，难道白给你工资啊?所以有些网络中的确存在着只有一台域控制器的现象，那么对于这种情况，备份是必不可少的了，而且建议备份到网络上，别备份到本地计算机上，因为备份在本地的话，万一服务器的硬盘烧毁，那么你的备份也会随之而去，这样的话和没有备份没什么区别。那么，怎么备份?我们要用到Windows 2003自带的备份工具Ntbackup。点击“开始-运行”，输入:“Ntbackup”回车，也可以点击“开始-程序-附件-备份”，其实是一回事，我们就可以看到如下的画面: 点击我用箭头指出的“高级模式”:
深圳市XXX电子有限公司活动目录规划方案 文档信息： 作者: Toretto QQ:84621087
目录 第一章项目概述 1.系统目标 第二章基础服务规划 1.核心基础结构服务 2.辅助服务 3.WINDOWS SERVER 基础服务 4.DNS名称解析 5.关键服务推荐布局 第三章活动目录设计 1.ACTIVE DIRECTORY基本概念 2.安全、统一的目录服务机制 3.严格、周密的客户端桌面管理 4.系统实现 ●域结构 ●站点设计 ●AD FSMO主机角色设计
●组织单元结构 ●委派管理 ●账号和口令管理 5.客户端管理 ●本地用户和组介绍 ●默认安全设置（Administrators 组、Power Users 组、Users 组）6实现功能描述 ●主要功能实现 ●组策略功能实现 7灾难恢复考虑 第四章文件服务的规划 第五章物于实现
第一章项目概述 1. 系统目标 此次我们系统建设的目标为： 提供一个安全、高效、灵活的企业级操作系统平台，为整个企业的IT应用奠定坚实础。 第二章基础服务规划 通常一个企业的IT 环境仍一个简单的IT 服务开始，这个服务一般旨在满足特定的当前业务需要，例如传真、电子邮件、业务应用程序或办公室的进程连接。随着时间的推移，由于新需求的出现，新的IT 服务会无规划的添加到这个环境中。这样创建的IT 环境在技术上种类烦杂、难以支持和运行，并且难以使用，因此给IT 管理人员和最终用户都带来额外的负担。 采用具有标准化IT 基础结构的IT 环境，这是一种运用IT 为企业创造价值的具有成本效益的方法。我们的方案将帮助中小企业构建此类IT 环境。采用此解决方案中提供的指南能带来下列好处： ●经过测试的可靠文档：此解决方案已经由微软及合作伙伴进行了测试，并且通过了大量客户部署的检验. ●可预测的环境：此方案提供了众所周知的基础结构，它是根据微软支持、合作伙伴和客户的建议来构建的。这些建议来源于多年的经验教训. ●能够采用更新的技术：常问题和故障诊断使IT 与家很少有时间参加培训或学习新的技术。采用此方案能够降低IT 与家在部署新技术时的实施和操作风险，仍而节约时间，减少工作量. ●集成的解决方案：户可通过基于Microsoft Windows Server System 技术的标准化体系结构，获得可扩展的平台，使其随着业务的增长而增长。在需要时，也可实现其他IT 服务。 网络基础服务描述 企业要求IT 基础结构提供所需的服务，使得员工能够完成工作，并与客户也业务合作伙伴进行交流。所有的企业组织都需要一个核心基础结构，用来承载或支持基本服务，例如打印、文件服务、账户系统。下表列出了核心基础结构必须提供的一组服务。