操作活动目录中的对象
在Windows 2000服务器安装成活动目录域控制器之后，就是开始在你的AD数据库里建立对象的时候了。
活动目录用户和计算机
使用预先配置好的微软管理控制台（MMC）来管理你活动目录中的对象，活动目录中的对象又称为资源。你可以在开始| 程序| 管理工具（Start | Programs | Administrative Tools）中找到这个MMC。在你把一台Windows 2000服务器升级为AD域控制器（DC）时，就会自动地安装这个工具。
在AD用户和计算机控制台里显示AD对象，代表你的域资源。这些对象既可以是容器对象－容器是能够包含其它对象的对象，在Windows 2000中包含的目录管理工具里，对象典型地是以文件夹的形式显示；也可以是叶子对象：叶子代表你域中的实际资源，比如用户、打印机或者网络共享。
在活动目录提升的过程中，建立了几个AD容器。不管是从早期的Windows NT升级而来，还是完全安装的一个全新的Windows 2000服务器，这些容器对象都是一样的。不过，在从早期的Windows NT版本升级时，在的SAM数据库里的信息会被转移到这些容器里。在缺省视图中，你会看到4个容器，我们现在就来看看这些容器和它们的作用。
缺省的容器对象
你将看到的第一个缺省容器对象是内置（Builtin）容器。这个容器里放着代表你的域里本地安全组的叶子对象。在四个缺省容器中，你会发现，这是唯一一个你不能把缺省对象移出去的容器。
计算机（Computers）容器是第二个缺省容器。里面放着你的域里所有Windows 2000和Windows NT计算机成员的计算机帐号。如果你从早期的Windows NT版本升级而来，你会发现活动目录安装向导已经把你域中的Windows NT计算机帐号迁移到这个容器里。
第三个缺省容器是域控制器（Domain Controllers）容器。这个容器为你域里的每个域控制器（AD）放一个计算机帐号。
用户（Users）容器是最后一个缺省容器。这个容器里放着所有的用户帐户和你域里的全部安全组。如果你从早期的Windows NT版本升级而来，你会发现你的域用户帐户已经被迁移到这个容器里。
建立活动目录对象
在AD数据库中，你能够建立各类型的对象。建立对象的方法是，在AD的某个容器里单击右键，然后在弹出菜单中选择新建（New）。在新建菜单中，选择你要建立的对象的类型。你可以在看到可以使用的选项。在建立你选中的对象类类型时，会有一个向导指导你进行操作。
表A: 你能够在你的AD数据库里建立的对象类型。
建立的每个对象都必须有一个能够与其它对象区别开的名称(DN)：名称加上通过它的容器层次结构到达对象的的路径一起来确定一个对象。每个对象都有一个相对不同的名称(RDN)，RDN仅仅是对象自己的名称。在对象所在的容器内，RDN必须是唯一的。如果对象的RDN在它所在的容器里是唯一的，那么它的DN在AD里也会是唯一的。让我们来看看最普通的AD对象－用户对象的建立过程。
建立用户帐户
建立新用户向导有三个屏幕。在第一个屏幕中，需要你输入帐户的名称。在建立新用户时，必须定义用户的全名，登录名和UPN。建立用户帐户时，用户的全名在用户所在的容器里必须是唯一的，就象其它AD对象一样。但是，帐户使用的登录名必须在你的整个域都是唯一的。在你建立用户帐户时，你还要指定一个用户主要名称(UPN)。UPN基于Internet标准RFC822。它由两部分组成，两部分之间由@符号连接在一起：
1. 前缀是用户的帐户名。也被当作安全主要名称。如果你熟悉Windows NT，那么UPN的前缀兼容SAM数据库使用的安全帐户名称。
2. 后缀标识用户帐户所在的域。在你在你的AD里建立用户帐户时，缺省的UPN后缀是你的域树里第一个域的DNS名称。
例如，用户judik 在https://www.doczj.com/doc/c57063871.html, 域里有一个帐户，那么他的UPN就是judik@https://www.doczj.com/doc/c57063871.html,。
在第二个屏幕中，要输入用户的口令，还可以设置用户帐户的口令属性。你可能在Windows NT 中已经认识了这些选项。你可以要求用户在下次登录时修改他们的口令；可以指定用户自己不能修改口令；可以把口令期限设置为永远不过期；还可以暂时禁止帐户。
第三个也是最后一个屏幕是总结屏幕。屏幕上显示你即将创建的对象的最终特性。如果你注意到某些错误，你可以用上一步(Back)按钮返回到向导的上一步，并修改错误。
修改对象的属性
你会注意到，在建立用户对象的时候，在向导里没有许多信息让你设置。对于你在AD中建立
的所有对象来说，都是这样的。对象建立向导只会要求你输入在AD中建立对象所需的最少信息。但实际上，每个对象都有许多属性可以设置。
在对象建立以后，你就可以修改它的属性，输入额外的属性值。操作方法是，在对象上单击右键。在快捷菜单里，你会找到管理对象最常使用的命令。如果你在菜单里选择属性(Properties)，就会打开你选中的对象类型特有的属性对话框。在对话框里，你就可以设置对象所有可用的属性。现在我们一起以用户对象为例，来看看属性对话框。
修改用户对象
用户对象属性对话框中的页面里，你可以对表B中列出的不同类型的信息进行设置。
表B: 可以为用户对象配置的属性。
模板
对能在AD数据库中存在的全部对象、属性和值进行定义的实体是模板(Schema)。模板还指定了特定对象的必需属性(比如我们刚刚建立的用户的登录名)和可选的属性(如用户的电话电话)。
微软随AD包括了一个缺省的模板，它可以满足多数用户初始的需求。但是，AD是可以扩展的，
这意味着，可以通过增加新的对象或属性类型，把特定属性修改成必需的或是可选的，从而对AD 进行自定义。
在AD中利用组织单元
可以在AD中建立组织单元(OU)，对企业中的资源进行逻辑上的分组，例如用销售部、市场部这样的OU可以体现出业务的层次结构或者组织结构，而用纽约、波士顿来反映系统管理模式，以便做信息系统支持。微软建议在下列情况下，应当使用OU把企业的资源分组：如果想让AD结构反映公司结构或组织的细节；如果想把管理控制权委托到较小的用户组、组和资源上；或者如果公司组织结构日后会变化。
在活动目录用户和计算机管理器(Active Directory Users And Computers)中，OU用文件夹的方式表示，前面有一个书本的图标。缺省的域控制器容器有相同的图标。这个区别让你可以把组策略施加到这个对象类型上(组策略是Windows NT 4.0的系统策略在Windows 2000中超集。简要地说，它们被用来定义计算机和用户的配置，管理用户桌面上的应用程序，指定安全选项，分配脚本，控制注册表的设置。)
移动AD对象
在已经建立了OU之后，你会想把资源从缺省的容器对象中移动到能够反映资源在你的组织结构中逻辑位置或者反映对资源的控制的OU中。在AD中移动对象相当简单，你在对象上单击右键，然后选择移动(Move)即可。你现在面对一个对话框，显示了你域的AD中的容器对象的层次结构。你从中选择要把对象移动到其中的容器对象，然后单击OK。就是这么简单，对象就被移动到AD中不同的容器里。你可能注意到一件事，就是你只能在你的域的AD里移动对象。不幸的是，你不能在你的森林的不同域之间移动AD对象。
建立组对象
在Windows NT里，组被用来管理访问共享资源的用户和计算机，或者来建立电子邮件发送列表。在Windows 2000里，这种访问摆脱了只能访问建立组所在域的限制！组可以被用来在你的森林的任何域里应用权限。这与OU不同，OU只能用来为管理的目的建立AD对象集合，而且被限制在建立OU所在的域里。
在你从新建(New)菜单里选择组(Group)时，新对象－组(New Object — Group)向导会提示你输入建立新组所需要的信息。这是向导的第一个也是唯一的屏幕，它会问你组名称，组类型和组的范围。
我们首先来看组类型。Windows 2000 有两种类型的组：安全组和发布组。Windows 2000 操作系统只使用安全组。你要使用这些安全组在共享资源和AD对象上分配权限。发布组只被应用程序使用，而应用程序只能把发布组用于非安全方面的功能。
例如，一个Exchange 用户可能使用发布组给一组用户发送电子邮件。但是，你应该知道，虽然发布组不能用于安全用途，可是你的安全组可以被应用程序作为电子邮件发布列表使用。如果你的域操作在纯(Native)模式，你可以把组类型从安全组切换成发布组，反之亦然。下面，我们来看看组的范围。每个安全组和发布组都有一个范围属性，它定义了你在森林里能怎么样使用该组。有三
种组的范围：域本地(Domain local)，全局(Global)，和宇宙(Universal)。请参阅表C 中各个组范围的说明：
表c: 组范围
到了现在，你可能在想“为什么我要用其它组类型，而不用宇宙组？它给了我要的一切!”答案是，因为宇宙组和它的成员被列在全局编目里(GC)。
每次GC在你的森林的域之间复制时，都包括宇宙组的成员。与宇宙组类似，全局组和域本地组也被列在GC里，但是，它们的成员并不列在GC中。通过在合适的位置使用全局组和域本地组，你能够减小你的AD DC的尺寸，这样就会明显地降低保持GC最新所产生的复制流量。
在选择组范围时，应当仔细选择。在你的域运行在混合模式下时，你不能改变组的范围。如果你运行在纯(Native)模式，就允许你把全局组转变宇宙组，前题是全局组不是另外一个全局的成员，也可以把域本地组转变成宇宙组，前提是域本地组中不包括另一个域本地组作为它的成员。
现在知道了组的范围，再让我们简略地谈谈建立新组最简单的部分－组的名称。在你为组起名时，全局组和域本地组在你创建它们的域里必须是唯一的。而宇宙组，则必须在整个森林里是唯一的。
向你的组加入成员
在2000里，组中最多可以包含5,000个成员。但是，在域操作在纯(Native)模式时，你可以对组进行嵌套(使一个组成为另一个组的成员)，这样，就有效地增加了组能拥有的用户数量。包含在另一个组中的组，在它的父组中只算一个成员，但是这个组自己又可以包含另外5,000个用户。
就象在以前的Windows NT版本里一样，在Windows 2000里也有两种方法把成员加到组里。你以本文前面的部分已经看到，你可以使用每个用户属性对话框里的组成员(Member Of)页一次把用户加到多个组里，或者，你可以使用组的属性对话框里的成员(Member)页一次把多个用户加到这个组里。那么怎么才能打开组的属性对话框呢？方法是在组上单击右键，然后从弹出菜单中选择属性(Properties)菜单项。
在AD中发布文件夹
在AD里包括一个共享文件夹需要两步。首先，你必须建立一个文件夹并共享它，然后再在AD 里发布它。把共享文件夹发布在AD里是可选的。如果你没有在AD里发布共享文件夹，客户仍可以在资源浏览器窗口（如我的网络位置(My Network Places)）里访问到它。
通过把共享文件夹发布到AD里，你就使得在你森林里任何位置的客户，都可以使用共享文件夹的RDN或属性查找它。对于这些客户，没有必要知道共享的物理位置。既然第一步处理－共享一个文件夹并不是什么新东西，那么就让我们直接来谈谈处理的第二步－在AD里发布文件夹。在你的AD里选择任意一个容器对象，选择新建| 共享文件夹(New | Shared Folder)。新建对象(New Object)向导只有一个屏幕。在这，你要输入共享在AD中使用的名称(这个名称可以与文件夹的共享名不同)以及到共享的UNC路径。单击OK，你现在就有了一个在AD中发布的共享了。
在AD中发布打印机
在Windows 2000里建立打印机的操作与在以前的Windows NT版本里类似：使用增加打印机(Add Printer)向导进行（增加打印机向导仍旧位于开始| 设置| 打印机(Start | Settings | Printers)）当中。在共享一台打印机时，它自动地被发布到AD里，使用的名称是服务器名－打印机名的格式。与发布共享文件夹不同，不用独立的步骤就把共享打印机发布到AD中。
在活动目录用户和计算机管理器(Active Directory Users And Computers )里，打印机显示在它所建立的计算机之下。但是，前提是你改变了查看(View)菜单，把用户、组和计算机当作容器。您可以把打印机对象移动到任何AD容器对象里，就象对其它AD对象的操作一样－单击右键，选择移动(Move)。打印机没有必要一定呆在它建立的计算机下面。
与多数其它AD对象不同，打印机作为一个实体存在于AD的外面。在AD里的打印机对象的属性对话框只能控制打印机在AD里的属性(主要是用户用户来查找特定打印机的那些属性)。您要使用打印机文件夹里的打印机属性对话框，来控制打印机的全部配置和安全设置。
建立联系人
建立联系人对象相当简单。新建对象向导会提示你输入名称(First Name)、姓氏(Last Name)，显示名称(Display name)。Windows 2000 把你输入的姓氏和名称组合起，自动填充全称(Full Name)字段。但是，全称字段是可以编辑的，这样您可以修改默认的全称。你可以使用联系人的属性对话框输入相关信息，就象用户对象类型的属性对话一样，联系人属性对话框也有通用(General)、地址(Address)、电话(Telephones)、公司(Organization)、组成员(Member Of)这些页面。
现在你已经可以用计算机、联系人、组、组织单元、打印机、用户、共享文件夹这些对象充实你的AD数据库了!新建对象向导在输入建立每个对象类型所需要的信息的过程中，可以指导操作，所以在建立每个对象类型时，没有什么东西你必须要记住。在建立对象之后，你可以使用它们的快捷菜单里的选项管理它们，或者在每个对象的属性对话框里管理。您把对象移动到代表你的公司结构或管理模式的组织单元里，这样来管理对象。
AD活动目录域信任关系图解 有时候要给学员们讲解AD活动目录域信任关系，所以特地写了这篇文章来说明信任是在域之间建立的关系。AD活动目录域信任关系就是可以使一个域中的用户由其他域中域控制器进行身份验证。 一个林中的域之间的所有 Active Directory 信任都是双向的、可传递的信任。如下图所示:域 A 信任域 B，且域 B 信任域 C，则域 C 中的用户可以访问域 A 中的资源（如果这些用户被分配了适当的权限）. 只有 Domain Admins 组中的成员才能管理信任关系. 信任协议 域控制器使用两种协议之一对用户和应用程序进行身份验证：Kerberos version 5 (V5) 协议或 NTLM。Kerberos V5 协议 是 Active Directory 域中的计算机的默认协议。如果事务中的任何计算机都不支持 Kerberos V5 协议，则使用 NTLM 协议.
信任方向 单向信任: 单向信任是在两个域之间创建的单向身份验证路径。这表示在域 A 和域 B 之间的单向信任中，域 A 中的用户可以访问域 B 中的资源。但是域 B 中的用户无法访问域 A 中的资源。单向信任可以是不可传递信任，也可以是可传递信任，这取决于创建的信任类型。 双向信任: Active Directory 林中的所有域信任都是双向的、可传递的信任。创建新的子域时，系统将在新的子域和父域之间自动创建双向可传递信任。在双向信任中，域 A 信任域 B，并且域 B 信任域 A。这表示可以在两个域之间双向传递身份验证请求。双向关系可以是不可传递的，也可以是可传递的，这取决于所创建的信任类型。 信任类型 包括外部信任(不可传递)、快捷方式信任(可传递)、领域信任（可传递或不可传递）、林信任(可传递)。 下面以实例讲解配置两个域之间的信任关系。 域A: 域B 要求域A <—> 域B 两个域相互信任，部分用户资源互访。 配置双向信任关系:
目录 一、活动目录配置基本知识.................................................... 1、活动目录的重要概念……………………………………… 2、活动目录安装前准备……………………………………… 3、活动目录安装……………………………………………… 二、windows2000/2003活动目录配置………………………… 1、windows2000活动目录配置……………………………… 2、windows2003活动目录配置………………………………
一、活动目录配置基本知识 1、活动目录的重要概念 （1）目录服务是一个什么东西 一个目录就是一个用于储存用户感兴趣对象信息的信息源。如一个电话号码目录储存了有关电话用户的信息。在一个文件系统中，目录就储存了有关文件的信息。 在一个分布式计算系统中或是一个公共计算机网络（如Internet）中，就有许多用户感兴趣的对象，如打印机、传真服务器、应用程序、数据库以及其他用户。用户想找到和使用这些对象，而管理人员则想管理对这些对象的使用。 在此文档中，术语目录和目录服务指在公共和私人网络中的目录。目录服务与目录的不同在于，它既是目录的信息源，而它的服务又可以使用户得到和利用信息。 （2）什么是活动目录 活动目录是Windows 2000 Server的目录服务。它扩展了以前基于Windows的目录服务，还加入了一些全新的特点。活动目录是安全的、分布式的、可分区的及可复制的。它设计成为可以在任何规模安装下良好工作，从带有几百个对象的单一服务器到成千个服务器和上百万个对象。活动目录加入了很多新的特性，使得在大规模信息的管理及在其中漫游变得很简单，为管理者和终端用户都节省了时间。 （3）为什么需要目录服务 目录服务是扩展的计算机系统的最重要组成元素之一。使用者及管理者经常不知道他们感兴趣对象的精确名字。他们可能知道对象的一个或更多属性，而且可以查询目录来得到符合属性的对象列表，例如："查找在26楼中的所有双工打印机。"目录服务允许用户按指定属性查找任何对象。 目录服务可以： ?提高管理者定义的安全性来保证信息不受侵入者的损害。 ?将目录分布在一个网络中的多台计算机上。 ?复制目录使得更多用户获得它并且减少错误。 ?分配一个目录于多个存储介质中使得可以存储规模非常大的对象。 目录服务既是管理工具又是终端用户工具。当网络中对象的数目增加时，目录服务变得很重要。目录服务是一个大的分布系统的转换中心。 ①重要概念 用来描述活动目录的概念和术语中有些是新的，而另外一些则不是。不幸的是，一些已经采用一段时间的术语被用来表明不止一个特定事物。在继续前进之前，理解下面这些概念和术语在活动目录背景中如何定义是重要的。 ②范围
网络组建安装活动目录服务 活动目录(Active Directory)是用于Windows 2003的目录服务。它存储着网络上各种对象的有关信息，并使该信息易于管理员和用户查找及使用。活动目录服务使用结构化的数据存储作为目录信息的逻辑层次结构的基础。 活动目录具有信息安全性、基于策略的管理、可扩展性、可伸缩性、信息的复制、与DNS集成、与其他目录服务的互操作性、灵活查询等优点。 1．DNS与活动目录 由于活动目录与DNS是集成的，并且共享相同的名称空间结构，因此注意两者之间的差异非常重要： ●DNS是一种名称解析服务 DNS客户机向配置的DNS服务器发送DNS名称查询。DNS服务器接收名称查询，并且解析名称查询，或者进行名称解析。DNS不需要活动目录可以独立运行。 ●活动目录是一种目录服务 活动目录提供信息存储库以及让用户和应用程序访问信息的服务。活动目录客户使用“轻量级目录访问协议(Lightweight Directory Access Protocol，LDAP)”向活动目录服务器发送查询。然后要定位活动目录服务器，活动目录客户机将查询DNS。即活动目录用于组织资源，而DNS用于查找资源；只有它们共同工作才能为用户或其他请求类似信息的过程返回信息。2．规划活动目录 为了让用户和管理员操作更为方便，在安装活动目录之前，我们首先要对活动目录的结构进行细致的规划设计。 ●规划DNS 如果用户准备使用活动目录，则需要首先规划名称空间。在Windows 2003中，用DNS 名称命名活动目录域。选择DNS名称用于活动目录域时，以保留在Internet上使用的已注册DNS域名后缀开始(如https://www.doczj.com/doc/c57063871.html,)，并将该名称和单位中使用的地理(部门)名称结合起来，组成活动目录域的全名。 ●规划用户的域结构 最容易管理的域结构就是单域。规划时，用户应从单域开始，并且只有在单域模式不能满足用户的要求时，才增加其他的域。单域可跨越多个地理站点，并且单个站点可包含属于多个域的用户和计算机。在一个域中，可以使用组织单元(OU，Organizational Units)来实现这个目标。然后，可以指定组策略设置并将用户、组和计算机放在组织单元中。 ●规划用户的委派模式 用户可以将权限下派给单位中最底层，方法是在每个域中创建组织单元树，并将部分组织单元子树的权限委派给其他用户或组。通过委派管理权限，用户不再需要那些定期登录到特定账户的人员，这些账户具有对整个域的管理权。尽管用户还拥有带整个域的管理授权的管理员账户和域管理员器组，可以仍保留这些账户以备少数管理员使用。 3．安装活动目录服务 首先，用户必须有安装活动目录的管理员权限，否则无法安装。在安装活动目录之前，要确保系统盘为NTFS分区。同时，已做好了DNS服务器的解析，如https://www.doczj.com/doc/c57063871.html,。 在安装活动目录前首先确定DNS服务正常工作，下面我们来安装根域为https://www.doczj.com/doc/c57063871.html,的域控制器。其操作步骤如下： （1）执行【开始】|【控制面板】|【管理工具】|【配置您的服务器向导】命令，打开【配置您的服务器向导】对话框，如图6-13所示。
使用活动目录服务的好处是什么? 完全集成到Windows 2000 服务器版中的活动目录为网络管理员、开发者和用户提供了访问目录服务的能力，这样可以： ●简化管理任务 ●加强网络安全性 ●通过互操作使用现存网络 简化管理 分布式系统常常导致时间的消耗和管理的冗余。当公司在他们的基础结构上添加应用程序并雇用新的职员时，他们需要适当地向各桌面系统分发软件并管理多个应用程序目录。通过在单一的位置管理用户、组和网络资源以及分发软件和管理桌面系统配置，活动目录可以显著降低公司的管理费用。例如，活动目录在同一个位置管理Windows 2000用户和Microsoft Exchange邮箱信息。基于下列原因，活动目录可以从以下方面帮助公司简化管理： ●消除冗余管理任务提供对Windows用户账号、客户、服务器和应 用程序以及现存目录同步能力进行单一点管理。 ●降低桌面系统的行程针对用户在公司中所担当的角色自动向其分 发软件，以减少或消除系统管理员为软件安装和配置而安排的多次行程。 ●更好的实现IT资源的最大化安全地将管理功能分派到组织机构的 所有层次上。 ●降低总体拥有成本（TCO）通过使网络资源容易被定位、配置和 使用来简化对文件和打印服务的管理和使用。 活动目录如何简化管理 以层次化组织用户和网络资源，活动目录使管理员拥有对用户账号、客户、服务器和应用程序进行管理的单一点。这就减少了冗余的管理任务，同时，通过让管理员管理对象组或容器而非每个独立的对象来增加管理的准确性。 图4：活动目录简化了网络资源的管理 活动目录允许管理员分派特定的管理权限和任务给单独的用户和组，以便更好地使用系统管理资源。如上图所示，特定的管理任务，例如重新设置用户密码，可以被分派给市场机构的办公室管理员。更多的特权功能，如"创建用户"，可以为IT管理员保留。 活动目录也允许组织机构针对用户在公司中所担当的角色自动地将软件分 发给他们。例如，一个公司可以指定职员容器中的所有用户（无论是从哪里登录到网络上的）均可使用人力资源管理应用程序。活动目录集中存储这些信息，同时，应用智能镜像管理技术自动安装所分配的应用程序，并给予用户访问其桌面系统的能力而无论用户正在使用网络中的哪个工作站。
域控制器管理--活动目录之用户配置文件 首先，什么是用户配置文件?根据微软的官方解释:用户配置文件就是在用户登陆时定义系统加载所需环境的设置和文件和集合，它包括所有用户专用的配置设置。用户配置文件存在于系统的什么位置呢?那么用户配置文件包括哪些内容呢?来给大家看一副截图: 用户配置文件的保存位置在:系统盘(一般是C盘)下的“Documents and Setting s”文件夹下，有一个和你的登陆用户名相同的文件夹，该用户配置文件就保存在这里，顺便提示一下，如果本机和域上有一个同名用户，并且都登陆过的话，那么就会出现在同名文件夹后面拖后缀的情况，举个例子:比如在一个域(https://www.doczj.com/doc/c57063871.html,)里面有一台计算机(testxp)，本地有一个swg的帐号，域上也有一个swg的帐号，并且都登陆过这台计算机，那么会发生如下情况: 本地帐号先登陆:那么本地的swg的用户配置文件夹为swg，而域用户的用户配置文件夹为swg.demo。 域帐号先登陆:那么域用户的用户配置文件夹为swg，本地用户的配置文件夹为swg.testxp。 通过上面的截图，我们可看出，用户配置文件包括桌面设置、我的文档、收藏夹、IE设置等一些个性化的配置。另外需要说明的是在“Documents and Settings”文件夹下有一个名为“All Users”的文件夹，如果你在这个文件夹下的“桌面”文件夹下新建一个文件的话，你会发现所有用户在登陆时的桌面上都有这个文件，所以这个文件夹里的配置是对这台计算机的每个用户均起作用的。
当网络变成域构架后，所有的域用户可以在任意一台域内的计算机登陆，当你在一台计算机上的用户配置文件修改后，你会发现到另一台计算机上登陆时，所有的设置还是原来的，并没有发生修改，这是因为用户的配置文件是保存在本地的，不管是域用户还是本地用户，都是保存在那台登陆的计算机上。我们可以在“我的电脑”上击“右键”，选“属性”，点“高级”，然后在“用户配置文件”里点“设置”: 请注意“类型”里用红框标出的部分，全部是“本地”，这就说明用户配置文件保存在本地，那么如何才能让用户的配置文件随着帐号走，也就是不管用户在哪台计算机上登陆都能保持用户配置文件一致呢?为了解决这个问题，就要用到漫游用户配置文件，原理就是把用户配置文件保存在一个网络的公共位置，当用户在计算机上登陆里，会从网络公共位置把用户配置文件下载到本地并加以应用，然后当用户注销时，会把本地的用户配置文件同步到网络公共位置，以保证公共位置用户配置文件的有效性，以便下一次使用。那么如何来实现这个功能呢?现在就来实践一下: 首先，要在一个网络的公共位置开设一个共享文件夹，用来存放用户配置文件，在个实验里，就在域控制器上开设一个为share的共享文件夹，并开放权限:
Windows Server 2008 R2之活动目录服务部署 测试环境： 服务器：计算机名Win2008R2CNDC,已安装Windows Server 2008 R2。 IPV4:192.168.1.13,255.255.255.0,网关地址192.168.1.1 管理员：Bill.XU 实验要求：安装第一个企业根据域控制器域名为https://www.doczj.com/doc/c57063871.html,。 部署过程： 以下操作都是以管理员Bill.XU登录完成 方法一：手动部署 1、使用事件查看器(EventVWR.MSC），查看日志情况。并要所查看情况，进行系统诊断，确保安装前系统的状态正常 2、打开网络连接，设置网卡的IP4地址为一静态地址，同时将DNS服务器地址设置为127.0.0.1 3、运行DCPROMO,出现设置向导。设置过程如下图 检测系统是否安装AD域服务二进制文件，如果没有，系统会自动安装(也可以在运行命令之前，通过服务器管理器，添加活动目录域服务角色来安装） 出现活动目录域服务安装向导，选择高级模式（如果不选择此项，安装过程中将无法对有些设置进行更改，如域Netbios名的更改等）
由于这是森林中的第一台服务器，所以选择在新林中新建域。
功能级别，所提供的功能不同。如要使用R2新增的活动目录回收站功能，必须将功能级别提升到2008 R2功能级别。要使用棵粒化密码策略，须将功能级别提升到2008。R2新增了一种功能级别即2008 R2级别。注意功能级别的操作是单向，即当提升到一个高功能级别后，它不能再降为低功能级别。除非得新安装AD域服务 具体见： Appendix of Functional Level Features
连云港职业技术学院 信息工程学院 《Windows服务器配置与管理》 大作业文档 题目：活动目录与用户管理 组别：无 姓名：张昭辉 学号： 12号 专业：计算机网络 091 导师：孙前 连云港职业技术学院信息工程学院 2010 年 12 月
摘要 本文档摘要： Active Directory又称为Windows2000server和Windows Server2003系统中非常重要的目录服务。Active Directory用于存储网络上各种对象的有关信息，包括用户账户、组、打印机、共享文件等，并把这些数据存储在目录服务数据库中，便于管理员和用户查询及使用。活动目录具有安全性、可扩展性、可伸缩性的特点，与DNS集成在一起，可基于策略进行管理。本文档主要是介绍活动目录的设置及通过活动目录进行用户管理的方法。 [关键词] 活动目录的概念、 活动目录与域、 域控制器（即Active Directory）的配置、 管理域用户和组、 新建组织单元、 管理组织单元、
目录 摘要 (2) 第一章引言 (4) 第二章域控制器（即Active Directory）的配置 (5) 2.1 活动目录配置前的准备工作 (5) 2.2 配置DNS服务器 (7) 2.3 配置域控制器（即Active Directory） (20) 第三章新建域用户和组 (30) 3.1 新建域用户 (30) 3.2 新建域组 (34) 第四章新建并管理组织单元 (38) 4.1 新建组织单元（OU） (38) 4.2 管理组织单元（OU） (39) 第五章总结 (44) 第六章参考资料与文献 (45)
活动目录解决方案 成都伊登软件技术有限公司 二〇一七年九月八日
目录 1概述 (2) 1.1背景介绍 (2) 1.2现状描述 (2) 1.3问题分析 (2) 2总体功能需求 (3) 2.1集中的组织与管理网络内的服务器及客户端 (3) 2.2 统一的数据组织与资源管理 (3) 2.3 单一登录的网络环境 (4) 2.4 集中化的软件部署与运行限制 (4) 2.5 功能强大并易于扩展的IT基础架构 (4) 3解决方案建议 (4) 3.1概念描述 (4) 3.2建设内容 (6) 3.2.1建立基础平台 (6) 3.2.2整合现有信息技术环境 (6) 3.3建设策略 (6) 4解决方案实施 (7) 4.1AD域命名和DNS的规划 (7) 4.2确定AD逻辑结构 (7) 4.3确定AD物理结构 (9) 4.4规划OU结构和组策略 (9) 4.5创建OU 以管理和委派 (10) 4.6创建OU 支持组策略 (11) 4.7应用组策略选项 (12) 4.8硬件设备选型建议 (13) 5解决方案优势 (14) 5.1为什么选择微软 (14) 5.2Windows Server 2008 R2 活动目录的优点 (14) 6服务内容 (17) 6.1可行性调查 (17) 6.2规划活动目录部署方案 (17) 6.3部署活动目录服务 (18) 6.4制订活动目录管理维护规范 (18) 6.5工程师定时上门进行活动目录日常维护 (18) 6.6处理活动目录紧急情况 (18) 6.7整理和存档资料 (19) 6.8培训系统管理员 (19) 7服务质量保证 (20) 8部分成功案例......................................................................................... 错误！未定义书签。
活动目录服务的基本安装和配置 Active Directory 是用于Windows 2000 Server 的目录服务。它存储着网络上各种对象的有关信息，并使该信息易于管理员和用户查找及使用。Active Directory 目录服务使用结构化的数据存储作为目录信息的逻辑层次结构的基础。 Active Directory 是用于Windows 2000 Server 的目录服务。它存储着网络上各种对象的有关信息，并使该信息易于管理员和用户查找及使用。Active Directory 目录服务使用结构化的数据存储作为目录信息的逻辑层次结构的基础。Active Directory 的优点:信息安全性、基于策略的管理、可扩展性、可伸缩性、信息的复制、与DNS 集成、与其他目录服务的互操作性、灵活的查询。 本章主要内容: 1、活动目录的基本概念及其作用 2、在安装活动目录前的目录规划 3、活动目录工具 6.1 活动目录的概念 6.1.1 域 域提供了多项优点: §组织对象。 §发布有关域对象的资源和信息。 §将组策略对象应用到域可加强资源和安全性管理。 §委派授权使用户不再需要大量的具有广泛管理权利的管理员。 要创建域，用户必须将一个或更多的运行Windows 2000 Server 的计算机升级为域控制器。域控制器为网络用户和计算机提供Active Directory 目录服务、存储目录数据并管理用户和域之间的交互作用，包括用户登录过程、验证和目录搜索。每个域至少必须包含一个域控制器。 域树和域林 活动目录中的每个域利用DNS 域名加以标识，并且需要一个或多个域控制器。如果用户的网络需要一个以上的域，则用户可以创建多个域。共享相同的公用架构和全局目录的一个或多个域称为域林。如图6.1 中所示，如果树林中的多个域有连续的DNS 域名，则该结构称为域树。
金航数码科技有限责任公司 Windows Server 2008 R2 AD活动目录 域控制器安装配置手册 2012年10月25日
Windows Server 2008 R2 AD活动目录域控制器安装配置手册 目 录 安装部署活动目录条件： (3) 硬件需求 (3) 软件需求 (3) 安装活动目录具体步骤： (4) 1．首先是“开始>运行”打开运行窗口 (4) 2．运行当中输入“dcpromo”开始安装活动目录 (5) 3．进入安装界面 (5) 4．新建域控制器 (6) 5．设置域控制器的域名 (7) 6．设置林功能级别 (8) 7．安装DNS服务器和全局服务 (9) 8．设置保存数据库、日志文件和SYSVOL的位置 (10) 9．设置目录还原模式的Administrator密码 (11) 10．安装完成自动重启 (12) 11．安装完成后的登陆界面 (13) 12．查看安装AD后的相关的服务，AD活动目录安装完成 (14)
安装部署活动目录条件： 硬件需求 硬件 需求 处理器 最低：1.4 GHz（x64处理器） 注意：Windows Server 2008 for Itanium-Based Systems 版本需要Intel Itanium 2处理器。 内存 最低：512 MB RAM 最大：8 GB（基础版）或32 GB（标准版)或2 TB（企业版、数据中心版及 Itanium-Based Systems 版） 可用磁盘空间 最低：32 GB或以上 基础版：10 GB或以上 注意：配备16 GB以上RAM的计算机将需要更多的磁盘空间，以进行分页处理、休眠及转储文件。 显示器 VGA（800 × 600）或更高分辨率的显示器 其他 DVD驱动器、键盘和Microsoft鼠标（或兼容的指针设备） 软件需求 软件 需求 安装权限 安装着必须具有本地管理员权限 操作系统 操作系统必须满足条件（除web版以外） 文件系统 本地磁盘至少有一个分区是NTFS文件系统 IP设置 有TCP/IP设置 DNS设置 有DNS服务器的支持 磁盘空间 有足够的可用磁盘空间
首先我们需要明确一点：为什么我们需要建立组？ 答案很简单：为了管理方便！ 其实计算机文件或者文件夹的控制权限是在属性的安全的选项卡中设定的，如下图所示： 在“组或用户名称”中可以添加对此文件夹行使权限的用户或者组。 现在来看这样一种情况： 你是一个域的管理员，在文件服务器上建立了一个共享文件夹，用来放置一些财务部专用文档，假如你有两个选择： 1．在安全属性页中一个一个添加财务部的人员并配置相应的权限。 2．在域控制器中创建财务部的组（包含所有财务部人员），在安全属性页中添加财务部组 假设财务部又新来了Ｎ位员工，如果你选择第一种方案，你就需要在安全属性中添加并配置Ｎ位员工，而选择第二种方案，你只需要在域控制器上创建用户帐户的时候指定他们的组为财务部就可以了，而无需修改安全属性中的角色列表。所以，很显然你应该选择第二种方式。尤其是你有很多共享文件夹进行管理的时候，使用组来管理的好处就更能够体现出来了。 通过这个例子你也能够体会到：使用组其实是为了管理方便，用最少的工作获得最好的效果！
明确了组的作用后就来看看本地组、全局组、域本地组和通用组的概念和区别。什么是本地组呢？ 很多时候本地组被人认为是域本地组的简称。其实严格来说，本地计算机上也可以创建属于本机的组，这些组才应该称为“本地组”。它的成员可以来自本地计算机或者所有的可信任域。本地组存储在本地计算机中，而域本地组存储在域控制器上。你如果使用过域，应该有这种体验：使用域帐户登录域中任意一台计算机后，默认情况下是普通的Users组权限，如果要提升成管理员权限，需要把这个域帐户添加到本地计算机的Administrators组中。 全局组的特点是什么呢？ 全局组成员来自于同一域的用户账户和全局组，在林范围内可用。 也就是说能够添加到全局组的成员是本域的成员或者全局组（这样就构成了组的嵌套）。如果在上海的域中创建了全局组A，那么能添加到A中的人只能是上海域中的对象或者是其他可信任域，如北京或大连的全局组。 域本地组的特点是什么呢？ 域本地组成员来自林中任何域中的用户账户、全局组和通用组以及本域中的域本地组，在本域范围内可用。 通用组的特点是什么呢？ 通用组成员来自林中任何域中的用户账户、全局组和其他的通用组，在全林范围内可用。但是注意通用组的成员不是保存在各自的域控制器上，而是保存在全局编录中，当发生变化时能够全林复制。 规则就这些，请不要记混。可以简单这样记忆： 全局组来自本域用于全林 通用组来自全林用于全林 域本地组来自全林用于本域 因为只有域本地组专用于在本地赋予权限，所以，通常情况下，域本地组总是最后被应用。下面我们通过几个例子来讲述他们的应用： 康博公司是一个大型的软件公司。公司的业务发展很快，目前在北京拥有自己的办公大楼，总部也因此设在那里，另外在上海也有分公司。公司在企业内部建立了域名为https://www.doczj.com/doc/c57063871.html,的域，由于上海的分公司主营外包业务，相对比较独立，于是为其创建了子域https://www.doczj.com/doc/c57063871.html,，从而形成了域树。 后来公司管理层经过商议与另外一个物流公司A合作创办了一个电子物流公
计算机网络原理安装活动目录服务 活动目录(Active Directory)是用于Windows 2003的目录服务。它存储着网络上各种对象的有关信息，并使该信息易于管理员和用户查找及使用。活动目录服务使用结构化的数据存储作为目录信息的逻辑层次结构的基础。 活动目录具有信息安全性、基于策略的管理、可扩展性、可伸缩性、信息的复制、与DNS集成、与其他目录服务的互操作性、灵活查询等优点。 1．DNS与活动目录 由于活动目录与DNS是集成的，并且共享相同的名称空间结构，因此注意两者之间的差异非常重要： ●DNS是一种名称解析服务 DNS客户机向配置的DNS服务器发送DNS名称查询。DNS服务器接收名称查询，并且解析名称查询，或者进行名称解析。DNS不需要活动目录可以独立运行。 ●活动目录是一种目录服务 活动目录提供信息存储库以及让用户和应用程序访问信息的服务。活动目录客户使用“轻量级目录访问协议(Lightweight Directory Access Protocol，LDAP)”向活动目录服务器发送查询。然后要定位活动目录服务器，活动目录客户机将查询DNS。即活动目录用于组织资源，而DNS用于查找资源；只有它们共同工作才能为用户或其他请求类似信息的过程返回信息。2．规划活动目录 为了让用户和管理员操作更为方便，在安装活动目录之前，我们首先要对活动目录的结构进行细致的规划设计。 ●规划DNS 如果用户准备使用活动目录，则需要首先规划名称空间。在Windows 2003中，用DNS 名称命名活动目录域。选择DNS名称用于活动目录域时，以保留在Internet上使用的已注册DNS域名后缀开始(如https://www.doczj.com/doc/c57063871.html,)，并将该名称和单位中使用的地理(部门)名称结合起来，组成活动目录域的全名。 ●规划用户的域结构 最容易管理的域结构就是单域。规划时，用户应从单域开始，并且只有在单域模式不能满足用户的要求时，才增加其他的域。单域可跨越多个地理站点，并且单个站点可包含属于多个域的用户和计算机。在一个域中，可以使用组织单元(OU，Organizational Units)来实现这个目标。然后，可以指定组策略设置并将用户、组和计算机放在组织单元中。 ●规划用户的委派模式 用户可以将权限下派给单位中最底层，方法是在每个域中创建组织单元树，并将部分组织单元子树的权限委派给其他用户或组。通过委派管理权限，用户不再需要那些定期登录到特定账户的人员，这些账户具有对整个域的管理权。尽管用户还拥有带整个域的管理授权的管理员账户和域管理员器组，可以仍保留这些账户以备少数管理员使用。 3．安装活动目录服务 首先，用户必须有安装活动目录的管理员权限，否则无法安装。在安装活动目录之前，要确保系统盘为NTFS分区。同时，已做好了DNS服务器的解析，如https://www.doczj.com/doc/c57063871.html,。 在安装活动目录前首先确定DNS服务正常工作，下面我们来安装根域为https://www.doczj.com/doc/c57063871.html,的域控制器。其操作步骤如下： （1）执行【开始】|【控制面板】|【管理工具】|【配置您的服务器向导】命令，打开【配置您的服务器向导】对话框，如图11-13所示。
注意：预习作业在上课前提交，复习作业在上课后提交，共性的作业在实验课会评讲一下，一般不会单独评讲，统一在习题课做综合解答，请各位组长记录作业出现的问题，提交到教员。预习重点部分，不用做在作业上，是给各位学员预习时的引导线。务必记住80%的精力放在预习。 第一章： 预习作业：1.什么是域？什么是活动目录？活动目录有什么特点？2.什么是域树？什么是林？3.安装域控制器必须具备哪些条件？4.将计算机加入域前，要检查客户机哪些配置？5.DNS 在域中有什么作用？● （预习重点：这章节就开始难了，会有很多的名词要理解：域 域控 活动目录 域树 森什么安全组通讯组等等，工作组只适合小型网络，换句话来说，域就适合更大型网络了啦！更换句话来说，你想当个大一点的网络管理，就一定要学好域了，给几个简单的解释先骗大家懂一下吧：?活动目录：一是目录，二是活动，也就是说有一个目录，它是活动的，不属于一台计算机，属整个域的所有电脑。更具体地说他是一个数据库存储着很多对象，例如：组 帐号 打印机 共享文件等等。它能存储这些对象，就能提供一种很好的服务，能让属这个域的用户能快速查找所需的数据了。?域：前面的课提到过，两种网络环境，一种是对等网，平等，没有谁管谁的，另一种是c/s 组构，有服务器有客户机。而我们本课所提到的域，其实就是c/s 结构，能进行集中管理的，其它的域树和森主要看图再对比书本的文字再理解一下。?域控：那一台用来管理这个域的计算机就是域控了，在这里我们暂且单纯地认域域控只有一台，其实在多域的环境下会有多台的，在后面的课程会详细学习。● 安装活动目录：先检查条件够不够，熟读六个条件，域的安装。?加入域：加入域时候，客户机要设置什么才能加入域，这个很重要，很多学员做实验的时候，两台主机都没ping 就去加域，加不入就在大呼大叫，组长帮组员排错的时候要注意是否ping 通ip,是否ping 通域名，别把每个组员都想得太理想了，没有ping 通就急着去加域的学员及加入域的时候域名都写错了，还敢大呼大叫的学员我见得多了。●看书本5页的图，理解一下域树和域林，当然课只应用到单域，由于单一次接触域，多域只是理论上的理解，不要纠结于怎么创，如果非要纠结也行，请预习第八章。 、管路敷设技术通过管线敷设技术，不仅可以解决吊顶层配置不规范问题，而且可保障各类管路习题到位。在管路敷设过程中，要加强看护关于管路高中资料试卷连接管口处理高中资料试卷弯扁度固定盒位置保护层防腐跨接地线弯曲半径标高等，要求技术交底。管线敷设技术中包含线槽、管架等多项方式，为解决高中语文电气课件中管壁薄、接口不严等问题，合理利用管线敷设技术。线缆敷设原则：在分线盒处，当不同电压回路交叉时，应采用金属隔板进行隔开处理；同一线槽内，强电回路须同时切断习题电源，线缆敷设完毕，要进行检查和检测处理。、电气课件中调试对全部高中资料试卷电气设备，在安装过程中以及安装结束后进行高中资料试卷调整试验；通电检查所有设备高中资料试卷相互作用与相互关系，根据生产工艺高中资料试卷要求，对电气设备进行空载与带负荷下高中资料试卷调控试验；对设备进行调整使其在正常工况下与过度工作下都可以正常工作；对于继电保护进行整核对定值，审核与校对图纸，编写复杂设备与装置高中资料试卷调试方案，编写重要设备高中资料试卷试验方案以及系统启动方案；对整套启动过程中高中资料试卷电气设备进行调试工作并且进行过关运行高中资料试卷技术指导。对于调试过程中高中资料试卷技术问题，作为调试人员，需要在事前掌握图纸资料、设备制造厂家出具高中资料试卷试验报告与相关技术资料，并且了解现场设备高中资料试卷布置情况与有关高中资料试卷电气系统接线等情况，然后根据规范与规程规定，制定设备调试高中资料试卷方案。、电气设备调试高中资料试卷技术电力保护装置调试技术，电力保护高中资料试卷配置技术是指机组在进行继电保护高中资料试卷总体配置时，需要在最大限度内来确保机组高中资料试卷安全，并且尽可能地缩小故障高中资料试卷破坏范围，或者对某些异常高中资料试卷工况进行自动处理，尤其要避免错误高中资料试卷保护装置动作，并且拒绝动作，来避免不必要高中资料试卷突然停机。因此，电力高中资料试卷保护装置调试技术，要求电力保护装置做到准确灵活。对于差动保护装置高中资料试卷调试技术是指发电机一变压器组在发生内部故障时，需要进行外部电源高中资料试卷切除从而采用高中资料试卷主要保护装置。
单元一：Windows Server 2008域与活动目录 任务一：安装Windows Server 2008域控制器 任务描述： 企业网络采用域的组织结构，可以使得局域网的管理工作变得更集中、更容易、更方便。虽然活动目录具有强大的功能，但是安装Windows Server 2008操作系统时并未自动生成活动目录。因此，管理员必须通过安装活动目录来建立域控制器，并通过活动目录的管理来实现针对各种对象的动态管理与服务。同时客户机登录域的操作也是组建域网络必不可少的部分，也是网络管理员应该熟练掌握的基本技能之一。 任务目标： 作为网络管理员，只有明确安装域控制器的条件和准备工作，掌握域网络的组建流程和操作技术，才能在服务器上安装好Windows Server 2008操作系统。为此，可以启用活动目录安装向导，成功安装活动目录后，将使得一个独立服务器升级为域控制器。同时通过任务，还应能够区分登录窗口，例如是登录域不是登录本机的登录框。 任务实施： 一、建立第一台域控制器： 活动目录是Windows Server 2008非常关键的服务，它不是孤立的，与许多协议和服务有着非常紧密的关系，并涉及整个操作系统的结构和安全。因此，活动目录的安装并非一般Windows组件那样简单，必须在安装前完成一系列的准备，注意事项如下： （1）文件系统和网络协议：Windows Server 2008所在的分区必须是NTFS文件系统，同样活动目录必须安装在NTFS分区，同时计算机上要正确安装了网卡驱动程序，并启用了TCP/IP协议。 （2）域结构规划：活动目录可包含多个域，只有合理地规划目录结构，才能充分发挥活动目录的优越性。在组建一个全新的Windows Server 2008网络时，所安装的第一台域控制器将生成第一个域，这个域也被称为根域，选择根域最为关键。根域名字的选择可以有以下几种方案： 使用一个已经注册的DNS域名作为活动目的根域名，使得企业的公共网络
实验二：活动目录域服务的安装与配置 实训课时：2 实训目的： 1、理解域环境中计算机4种不同的类型。 2、熟悉Windows Server 2008域控制器、额外域控制器以及子域的安装。 3、掌握确认域控制器安装成功的方法。 实训要求： 这个项目需要分组来完成完成。 1、安装5 台独立服务器win2008-1、win2008- 2、win2008- 3、win2008-4 和win2008-5 要求： 把win2008-1 提升为域树https://www.doczj.com/doc/c57063871.html, 的第一台域控制器； 把win2008-2 提升为https://www.doczj.com/doc/c57063871.html, 的额外域控制器； 把win2008-4 提升为域树https://www.doczj.com/doc/c57063871.html, 的第一台域控制器； https://www.doczj.com/doc/c57063871.html, 和https://www.doczj.com/doc/c57063871.html, 在同一域林中； 把win2008-3 提升为https://www.doczj.com/doc/c57063871.html, 的域控制器， 把win2008-5 加入到https://www.doczj.com/doc/c57063871.html,中，成为成员服务器。 各服务器的IP 地址自行分配。实训前一定要分配好IP 地址，组与组间不要冲突。 2、请读者上机实训前，一定做好分组方案。分组IP 方案举例（以第10 组为例，每 组 3 人）：5 台计算机的IP 地址依次为：192.168.10.1/24、192.168.10.2/24、 192.168.10.3/24、192.168.10.4/24、192.168.10.5/24。 3、在上面项目完成的基础上建立https://www.doczj.com/doc/c57063871.html,和https://www.doczj.com/doc/c57063871.html,域的双向的快捷信任关系。 4、在任一域控制器中建立组织单元outest，建立本地域组Group_test，域账户User1 和 User2，把User1和User2加入到Group_test；控制用户User1 下次登录时要修改密码，用户User2可以登录的时间设置为周六、周日8:00～12:00，其他日期为全天。 实验设备和环境 安装虚拟机和WindowsServer2008系统的计算机5台 实训内容： 1．创建第一个域https://www.doczj.com/doc/c57063871.html, ①在win2008-1上设置TCP/IP 协议，并且确认DNS 指向了自己。 ②在win2008-1上安装AD 域服务。 ③在win2008-1上安装活动目录（dcpromo.exe）。注意将DNS服务器一同安装。 2．安装后检查 ①查看计算机名。 ②查看管理工具。 ③查看活动目录对象。 ④查看Active Directory 数据库。 ⑤查看DNS 记录。 3．安装额外的域控制器win2008-2 ①首先要在win2008-2 服务器上检查“本地连接”属性，确认win2008-2 服务器和现在 的域控制器win2008-1 能否正常通信；更为关键的是要确认“本地连接”属性中TCP/IP
实训任务单卡 3 Training Task Card 班级：组别：学号：姓名：实训日期： 【任务1 创建与配置活动目录】实施步骤（老师演示后，学生操作步骤2-8） 1.分析任务要求：创建与配置活动目录 2．创建第一个域 在win2003-1计算机安装window 2003 server 2003，使其成为独立服务器，并将其提升为域控制器，创建网络的第一个域。（在创建域过程中安装DNS服务器到本机，本机的IP设置为.学号.98/24）首先确认“本地连接”属性TCP/IP 中首选 DNS 指向了自己（.学号.98） 在服务器上安装活动目录。命令行：dcpromo 选择“新域的域控制器。 在“创建一个新域”窗口中，选择“在新林中的域”。 在计算机上安装并配置DNS(将DNS指向自己.学号.98) 在新的域名页面中，输入新域的完整域名（FQDN）。（） 在“NetBIOS域名”窗口中确认NetBIOS名。
改变活动目录数据库以及日志存放的路径。(建议将数据库和日志放在不同硬盘上，以提高安全性和性能，在此按默认路径) 在“权限”窗口中，选择一个权限选项。(选择“只与Windows 2000或Windows Server 2003操作系统兼容的权限) 在“目录服务还原模式的管理员密码”窗口中，设置一个密码。（如pa$$worD） 最后，系统显示安装摘要。 3.安装后检查 查看计算机名，查看管理工具（AD用户和计算机，AD站点和服务，AD域和信任关系），查看目录对象，查看AD数据库，查看DNS记录。 注：AD数据库文件保存在 %systemboot%\NTDS文件夹。 查看计算机名。 查看管理工具。 查看活动目录对象。 查看Active Directory 数据库。 查看DNS记录。 4.安装额外的域控制器 在计算机win2003-2计算机上安装window 2003 server 2003，使其成为独立服务器，并将其提升为域的额外域控制器 在服务器上检查“本地连接”属性，确认能否正常通信。(设置IP为：.学号.2/24) 运行“Active Directory”安装向导。命令行：dcpromo /adv 将该计算机设置为现有域的额外域控制器 输入拥有将该计算机升级为域控制器权力的用户名和密码。(用户名必须隶属于目的域Domain Admins 组、Enterprise Admins组或其它授权用户，此项目域为,用户为Administrator) 安装向导从原有的域控制器上开始复制活动目录。 5.创建子域 在win2003-3计算机上安装window 2003 server 2003，使其成为独立服务器,并将其提升为域的子域的域控制器。 注意：win2003-3计算机的首选DNS指向父域的DNS服务器（即win2003-1计算机）在要升级为子域域控制器的独立服务器(win2003-3)上，设置“本地连接”属性。(设置IP为.学号.3/24,DNS为.学号.98，即域控制器的IP，一定要设置DNS的地址！) 运行活动目录安装向导。命令行：dcpromo 选择“新域的域控制器”单选按钮，单击“下一步”按钮；选择“在现有域树中的子域”单选按钮，单击“下一步”按钮。 输入父域的域名以及管理员的账户、密码等。,Administrator，123@abc) 接着输入子域的NetBIOS名。(china) 重新启动计算机，用管理员登录到域中。查看“Active Directory用户和计算机”工具查看子域是否建立成功。 6.创建域林中的第二棵域树 在win2003-1计算机的DNS服务器上新建DNS区域； 展开DNS管理窗口左部的列表，右击“正向查找区域”，选择“新建区域”命令。 在“欢迎使用新建区域向导”界面中单击“下一步”；在“区域类型”中选择“主要区域”。 选择如何复制DNS区域数据（此处选第二项） 输入DNS区域名称，选择“只允许安全的动态更新”或者“允许非安全和安全动态更新”单选按钮。 单击“完成”按钮。 在win2003-4上安装window 2003 server 2003，使其成为独立服务器，并将其提升为域的域控制器。 确认服务器上“本地连接”属性中的TCP/IP的首选DNS指向即.学号.98,并设置IP地址为.学号.4/24)运行活动目录安装向导。命令行：dcpromo 选择“新域的域控制器”，下一步选择“在现有的林中的域树”。
实验五活动目录服务（AD的安装、加入和退出域、域用户的管理和配置） 【实验目的】 1、理解域的概念，掌握AD的安装方法。 2、掌握加入和退出域的方法。 3、掌握域用户的管理和配置，组的规划和建立。 4、了解Windows Server 2003域用户和本地用户的区别。 5、理解组的概念和作用，认识组的类型。 【实验内容】 1、练习AD的安装方法， 2、练习加入和退出域的方法。 3、练习域用户的管理和配置，组的规划和建立 【实验步骤】 一、安装活动目录 1）新建DC的角色。在开始菜单中点击“管理您的服务器”，在打开的画面中点击“添加或删除角色”。 2）在“预备步骤”对话框中，单击[下一步]按钮，出现“服务器角色”对话框后，选择“域控制器”，按[下一步]继续。 3）在“选择总结”对话框中，单击[下一步]按钮，随后会进入AD安装向导过程，（如果直接执行“dcpromo”命令也可以启动AD安装向导，则可以省略前三个步骤），单击[下一步]按钮。 4）出现“操作系统兼容性”对话框，单击[下一步]按钮，在“域控制器类型”对话框中，我们将在这个向导中建立一个新域的DC和林，所以我们选择“新域的域控制器”，按[下一步]按钮继续。 5）选择“在新林中的域”，按[下一步]按钮继续，。 6）出现如下图所示，在“新域的DNS全名”文本框中输入新建域的DNS全名，例如:https://www.doczj.com/doc/c57063871.html, 或者https://www.doczj.com/doc/c57063871.html,或者https://www.doczj.com/doc/c57063871.html,之类的DNS全名。按[下一步]按钮继续。 7）在“NetBIOS域名”对话框中，在“域NetBIOS名”文本框中输入NetBIOS域名，或者接受显示的名称。NetBIOS域名是供早期的Windows用户用来识别新域的, 按[下一步]按钮继续。 8）在出现“数据库和日志文件夹”的对话框中（如下图），这些文件夹必须放在NTFS分区上，注意，基于最佳性和可恢复性的考虑，最好将活动目录的数据库和日志保存在不同的硬盘上。按[下一步]按钮继续。 9）在出现“共享的系统卷”对话框中，该文件夹必须放在NTFS分区上，在Windows Server 2003中，Sysvol文件夹存放域的公用文件的服务器副本，它的内容将被复制到域中的所有域控制器上。按[下一步]按钮继续。 10）在出现“DNS注册诊断”对话框中，这里我们选择为新域安装和配置D N S服务器,选择“在这台计算机上安装并配置D N S……”单选按钮（推荐），按[下一步]按钮继续。 11）在出现“权限”对话框中，选择“只与Windows 2000或Windows Server 2003操作系统兼容的权限”，按[下一步]按钮继续。 12）在出现“目录服务还原模式的管理员密码”对话框中（修复目录服务都必须在DC的“目录服务还原模式”下来完成，因为当目录服务正在工作的情况下是不能对它修改的）。这里我们不用填写密码，按[下一步]按钮继续。 13）在出现“摘要”对话框中，详细记录着AD安装信息，按[下一步]按钮继续。