查看那些用户登录在域中的那台客户端上在域环境下，要查看那些用户已经登录在域中，用那台电登录的，一般是启用登录事件审核，然后再去安全日志中去查找，安全日志中LOG量大，查看也不方便，有没有更方便的方法呢？
一次偶然的机会，从微软一位工程师中得到一个脚本，在域控制器上新建一个TXT文件，将下面内容COPY进去，存为.VBS ，然后执行就可以查看那些用户登录在域中的那台客户端上！' Script for getting current logged user name on Domain
strDomainName = InputBox ("Please enter the internal Domain Name:","Script for getting current logged username","yourdomain.local")
arrDomLevels = Split(strDomainName, ".")
strADsPath = "dc=" & Join(arrDomLevels, ",dc=")
Const ADS_SCOPE_SUBTREE = 2
Set objConnection = CreateObject("ADODB.Connection")
Set objCommand = CreateObject("https://www.doczj.com/doc/c76288540.html,mand")
objConnection.Provider = "ADsDSOObject"
objConnection.Open "Active Directory Provider"'
Set objCOmmand.ActiveConnection = objConnection
https://www.doczj.com/doc/c76288540.html,mandText = _
"Select Name, Location from 'LDAP://"&strADsPath&"' " _
& "Where objectClass='computer'"
objCommand.Properties("Page Size") = 1000
objCommand.Properties("Searchscope") = ADS_SCOPE_SUBTREE
Set objRecordSet = objCommand.Execute
objRecordSet.MoveFirst
Set oFSO = CreateObject("Scripting.FileSystemObject")
Set of = oFSO.CreateTextFile("LoggedUser.txt", True, True)
Do Until objRecordSet.EOF
On Error Resume Next
sPC = objRecordSet.Fields("Name").Value
of.writeline " "
of.writeline "Machine Name: "&sPC
Set objWMILocator = GetObject("winmgmts:" _
& "{impersonationLevel=impersonate}!\\" & sPC & "\root\cimv2") If Err = 0 Then
Set col = objWMILocator.ExecQuery _
("Select * from win32_computersystem")
For Each item In col
of.writeline "Logged User: "&https://www.doczj.com/doc/c76288540.html,ername
Next
Set col = Nothing
Else
of.writeline "!!! Cant connect to "&sPC&" !!!" End If
objRecordSet.MoveNext
Loop
of.close
MsgBox "Done! Cheers!"
加入域工具常见问题 1、未知省份错误 工具出现如上图所示提示框的原因是由于用户没有归属省份，请与工程师联系修正此错误。 2、终端加入域问题及解决 01、终端加入域报2698错误 故障处理： 2698错误基础信息是：此版本的Windows不能加入到域。一般此错误是由于用户尝试在WinXP HOME版上执行加入域造成。目前无法加入域。 请重新安装商业版的操作系统，有关商业版的安装介质和使用许可请与系统管理员联系。 02、终端加入域报1231错误 故障处理： 1231错误基础信息是：无法访问网络。一般此错误是由某个必须启动的服务没有成功启动造成的。终端加入域前应检查TCP/IP NetBIOS Helper服务是否启动, TCP/IP NetBIOS Helper服务必须启动。 03、终端加入域后无法在桌面创建文件 故障处理： 由于终端的Profile权限没有被赋予完全控制权限。请重新配置用户Profile 的权限，将权限配置为完全控制权限。然后退出域，重新加入域。 04、终端加入域后，域帐号登录无法看到原用户桌面图标等用户配置文件项 故障处理： 由于终端的Profile权限没有被赋予完全控制权限。请浏览到C:\document and
settings\，右键点选当前本机用户profile的文件夹，选择“属性”，在文件夹属性对话框中选择“安全”标签页，将本机administrators组添加为完全控制权限。 05、终端加入域后，终端用户帐号被锁定，无法登录域 故障处理： 由于终端帐号被服务器锁定，所以无法登录到域请终端部署人员联系终端部署管理人员通过工具修改，或在服务器上解除相应帐号的被锁定状态。 06、终端加入域时报系统不支持加入商业网络 故障处理： 这是产品的本身功能限制问题，WindowsXP Home版与Windows Me这部分操作系统属于家庭版，目前无法加入商业网络。 重新安装商业版的操作系统，有关商业版的安装介质和使用许可请与系统管理员联系。 07、终端加入域时报不能定位域控制器，请更新DnsHostName和ServicePrincipalName 故障处理： 由于DNS解析有误，请检查计算机的DNS配置和WINS配置是否正确，如果是DHCP的客户端，请在控制台窗口（在运行栏中输入cmd命令）中运行ipconfig/all命令，查看结果是否正确: DNS： WINS：如果配置正确，但问题则可能因为暂时的网络条件恶化，请换时间重新尝试。 如果以上两个方法都无法排除问题，请联系信息员或IT支持人员。 08、终端加入域后，原先安装的一些软件无法正常运行 故障处理： 由于部分软件采用安装时绑定计算机名或Netbios更换计算机名称后需要重新安装该软件。否则无法正常运行如果重新安装有困难，则建议不要更改计算机名称，直接加入域。如果加入域对该应用软件有影响，则建议不要加入域，不将此终端包含在本次工程范围内。
前言 为何要加入域？ 域（Domain）是一个共用“目录服务数据库”的计算机和用户的集合，加入域成员计算机和域用户都共用这个域的“目录服务数据库”，域管理员可以基于域的“目录服务数据库”来进行集中管理、共享资源。如用户、组、计算机帐号、权限设置、组策略设置等。目录服务为用户提供唯一的用户和密码，用户只需一次登录，即可访问本域或有信任关系的其它域上的所有资源（当然用户得有权限才行），而不需要多次提供用户和密码登录。在Windows 2000/XP/2003工作站加入到域后，更可以接受域控制器的补丁更新和安全防护。
1我的电脑如何加入域 1.1 加入域的步骤 以WindowsXP为例。 1、首先需要将“本地连接”中的DNS服务器地址指向具体的ip。 2、右键点击“我的电脑”，选择“属性”，在“系统属性”中选择“计算机 名”中的“更改”后： 3、在“隶属于”中点选“域”，并输入域名：*https://www.doczj.com/doc/c76288540.html,，后点击确定，如果 之前的DNS没有配置刚才设定的ip时，这一步会提示错误。 4、点击“确定”后，会提示要求域管理员用户和密码验证； 5、成功的话出现欢迎对话框，随后系统会要求重启，按照要求操作才能将域 生效。 1.2 重新登录后的操作 重启动后在登录时，点击选项，出现“登录到”的选择栏，选择域名； 用户名输入各自拼音的全称；初始密码为先输入拼音的简拼即第一个字母。 系统登录后会出现全新的界面，桌面都和原来不一样了。不要着急，没关系，只是保存在另一个地方，等会考过来就复原了。 这个等下做，我们先进入“控制面板”，点击“用户帐户”，会提示您不是本
机管理员，要先输入本机之前的密码后，点击确定就可以进入查看“用户帐户” 点击“添加”，如下图 在上图中，输入域用户的帐号与密码 输入后，点下一步，选择“其他”中的Administrators后，点击完成。 成功后根据系统提示注销，再进入系统你的用户将会具有管理员权限。
域用户无法登录域故障处理(AD 问题)
系统故障记录 1. 故障记录日期：2010-01-14 2. 主机名及IP：FS03(192.168.2.246) 3. 主机系统及应用：DC、FileServer 4. 系统状态及错误信息：Win2003系统启动到登陆界面时出现以下错误提示：“由于下列错误，安全帐户管理器初始化失败，目录服 务无法启动。错误状态：0xc00002e1." 5. 检查过程及解决步骤： 原因：经微软KB及网上资料信息显示该提示为病毒（用户上传的文件）可能破坏了系统文件，导致2.246无法正常启动目录服务，所以客户端的域用户无法正常登陆。 解决方案1：准备进入目录还原模式，修复Active Directory数据库。 备注：由于系统安装时间比较已久，还原密码未知， 解决方案2：升级其他BDC为PDC，解决用户登陆问题。 备注：现已将FSBDC升级为PDC，用户已可正常登陆。 步骤1： 用Domain Admin用户登陆FSBDC，打开运行，输入“CMD”进入命令行状态。 使用Ntdsutil工具，将FSMO中PDC角色抢夺过来。
分区 DC=xm,DC=xingfa,DC=cn 的一个部分复制集被主持在站点 CN=Foshan,CN =Sites,CN=Configuration,DC=xingfa,DC=cn 上，但是找不到此站点的可写的源。 2、 Active Directory 无法建立与全局编录的连接。 额外数据 错误值: 1355 指定的域不存在，或无法联系。 内部 ID: 3200c89 用户操作: 请确定在林中有可用的全局编录，并且可以从此域控制器访问。您可以使用 n ltest 实用工具来诊断此问题。 3、尝试用下列参数建立与只读目录分区的复制链接时失败。 目录分区: DC=xm,DC=xingfa,DC=cn 源域控制器: CN=NTDS Settings,CN=FS03,CN=Servers,CN=Foshan,CN=Sites,CN=Configurat ion,DC=xingfa,DC=cn 源域控制器地址: bfd75c1f-13e3-4a63-aeda-9cda328158de._https://www.doczj.com/doc/c76288540.html, 站点间传输(如果有): 其他数据 错误值: 1753 终结点映射器中没有更多的终结点可用。 ［此帖子已被 ekin.liu 在 2010-01-14 20:29:55 编辑过］当前状态为[] ekin.liu
Runas的使用方法 域用户没有管理员权限，但是很多的软件却必须有管理员权限才能运行，不论你如何将C:D:E的安全策略调整至域用户“完全控制”的安全策略，不运行就是不运行。 XP虽然停止更新，但仍然是公司的主力。最近装了几台win7的系统，这个域用户没有权限的问题更加突出。于是穷尽各种搜索终于有了收获。使用runas命令可以解决域用户没有权限的问题。 本文只对新手，像我这样半路出家来当IT的人，将自己的经验分享也是无上的光荣啊。 Runas命令简介： Runas允许用户使用其他权限运行指定的工具和程序，而不是当前用户登录提供的权限。 是不是很拗口，不错。说白了就是允许你在当前登入的用户名下使用管理员的权限。 不多说走起。 Win7就是好，控制面板—用户—选项下面多了个—凭据管理功能，让你不再每次运行的时候输入密码，一次输入永久使用。 以域用户要运行QQ软件为例： 1、首先确认你的win7系统的本地或者域管理员用户名和密码有效。或者是具 有和管理员同等权限的其他用户也可。假设我们现在举例的管理员名称和密码均是：admin，本机名称为：dell-PC,系统域名为：dellserver 2、在电脑桌面的空白处，右击鼠标---新建---快捷方式----输入一下命令： Runas /user:dell-pc\admin /savecred “D:/program files(x86)/Tencent/QQ.exe”或者 Runas /user:dellserver\admin /savecred “D:/program files(x86)/tencent/QQ.exe”
3、在新建的快捷方式图标上右键—属性—更换图标为QQ的图标 4、在安全选项卡中，设置当前用户的权限为“读取”，运行，不允许修改。 5、将快捷方式，复制到没有权限的域用户桌面双击运行弹出命令窗口： 输入管理员密码一次。以后便不用再输入了，系统已经记住凭据了。 注意事项:1. runas 后面的空格。 2．/user:dell-pc\admin 管理员用户名的反斜杠。 3. /savecred 保存凭证 以上是自己的一点收获分享了。
3种用组策略将域帐号加入本地管理员组的方法 1、对于WIN2003域控制器(DC)环境，使用计算机策略的“受限制的组”
2、对于WIN2008/2008R2（尽可能用R2的DC）的DC环境，使用用户配置首选项中“本地用户和组”.用在将登录帐号自动加入本地管理员组的场合。 3、对于WIN2008/2008R2（尽可能用R2的DC）的DC环境，使用计算机配置首选项中“本地用户和组”，用在将重要的域组加入客户端本地管理员组的场合。
下面让我细细道来。 第1种方法的步骤很简单： .在域中创建一个test01\g1组帐号，将要加入本地管理员组的域帐号test01\user_1加入g1组.在组策略中在“受限制的组”上右键选添加组，然后把一些元素添入选项，参照本文第1幅图.刷新域客户机的组策略，就可以看到test01\g1组被自动加入到本地管理员组了，如下图 第2种方法：
为了避免干扰，我创建了另一个2008R2的域来验证第2种方法，该域WINXP03客户机的初始本地管理员成员如下： 为了使GPO“首选项”能作用到客户端，需要在域客户端安装客户端扩展集组件(CSE)，URL为： https://www.doczj.com/doc/c76288540.html,/zh-cn/library/cc731892(WS.10).aspx 根据客户端OS类型选相应组件下载，并安装到WINXP03客户机中，如下图（XMLLite XML无需安装）：
在2008R2上开始设置GPO的用户配置项，按下图添加对客户端本地Administrators的操作策略 操作中的“更新”代表更新域客户端Administrators组中的成员，“添加当前用户”是指添加登录时的域帐号到客户端本地Administrators组，只要域帐号一登录，就把它加入本地管理员组
(AD 域用户无法登录域故障处理 问题）
系统故障记录 1. 故障记录日期：2010-01-14 2. 主机名及IP ：FS03(192.168.2.246) 3. 主机系统及应用：DC、FileServer 4. 系统状态及错误信息：Win2003 系统启动到登陆界面时出现以下错误提示：“由于下列错误，安全帐户管理器初始化失败，目录服务无法启动。错误状态：0xc00002e1." 5. 检查过程及解决步骤： 原因：经微软KB及网上资料信息显示该提示为病毒（用户上传的文件）可能破坏了系统文件，导致 2.246 无法正常启动目录服务，所以客户端的域用户无法正常登陆。 解决方案1：准备进入目录还原模式，修复Active Directory 数据库。 备注：由于系统安装时间比较已久，还原密码未知， 解决方案2：升级其他BDC为PDC，解决用户登陆问题。 备注：现已将FSBDC升级为PDC，用户已可正常登陆。 步骤1： 用Domain Admin 用户登陆FSBDC，打开运行，输入“ CMD”进入命令行状态使用Ntdsutil 工具，将FSMO中PDC角色抢夺过来。
ntdsutil ROIeS COnneCtions COnneCt to SerVer FSBDC q SeiZe domain naming master SeiZe infrastructwre master SeiZe PDC SeiZe RlD master SeiZe SChema master q 步骤2： 升级FSBDC为GC 在管理工具中，打开“Active DireCtOry站点和服务” 点击"Sites-FOShan-SerVerS-FSBDC-NTDS Settings*右键点击选择属性, 选中“全局编目” ［此帖子已被ekin. Iiu在2010-01-14 20:13:56编辑过］当前状态为［已登记］ekin?IiU 2010-01-14 20:18:51其他问题： 在升级GC的时候，碰到一个问题，因原有Xin. Xingfa. Cn的域信息没有完全清除，需要要清除后GC才能升级成功。 错误提示信息为： 1、
客户端不能加入域？解决资料整合 加入域出现以下错误,windows无法找到网络路径，请确认网络路径正确并且目标计算机不忙或已关闭？核心提示： 在输入管理账号和密码并点击“确定”按钮后，系统却提示“找不到网络路径”，该计算机无法加入域。 故障现象：单位有一台运行Windows XP系统的办公用计算机，由于工作需要准备将它加入到已经建立好的基于Windows Server 2003系统的域中。按照正常的操作步骤进行设置，在“系统属性”的“计算机名”选项卡中加入域的时候，系统要求输入有权限将计算机加入域的用户名和密码（这表示已经找到域控制器）。然而，在输入管理账号和密码并点击“确定”按钮后，系统却提示“找不到网络路径”，该计算机无法加入域。 解决方法： 由于客户端计算机能够找到域控制，因此可以确定网络的物理连接和各种协议没有问题。此外，由于可以在该计算机上找到域控制器，说明DNS解析方面也是正常的。那为什么能找到域控制器却又提示无法找到网络路径呢？这很可能是未安装“Microsoft网络客户端”造成的。在“本地连接属性”窗口的“常规”选项卡中，确保“Microsoft网络客户端”处于选中状态，然后重新执行加入域的操作即可。 “Microsoft网络客户端”是客户端计算机加入Windows 2000域时必须具备的组件之一，利用该组件可以使本地计算机访问Microsoft网络上的资源。如果不选中该项，则本地计算机没有访问Microsoft网络的可用工具，从而导致出现找不到网络路径的提示。本例故障的解决方法启示用户，为系统安装常用的组件和协议可以避免很多网络故障的发生， 计算机本地连接自带的防火墙也应该关闭.以避免应该防火墙的问题造成无法与域控制器通信. 服务端（域控制器）：Microsoft网络文件和打印共享和网络负载平衡没选择上去， 一定要选择上Microsoft网络文件和打印共享和网络负载平衡。 客户端要加入域,相关的服务要开始：
点“开始”菜单→运行→输入“control userpasswords2”→确定，这时弹出对话框，取消勾选“要使用本机,用户必须输入用户名和密码”。在弹出的“自动登录”窗口中将要自动登录的用户名及密码输入→确定后即可实现自动登录。 不管计算机是否已加域，都可以通过更改注册表的方法来实现。 在注册表HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\Current Version\Winlogon 下创建几个键值。 修改一个双字节(REG＿DWORD值项AutoAdminLogon。 值为1表示启用自动登录功能，值为0或值项不存在表示不使用自动登录功能。 修改字符串值项DefaultDomainName的值为机器所在的域名(本机名或localhost。 如果该机器不在域中，则该值项的值为该计算机的名称。 修改字符串值项DefaultUserName的值为默认的用户名。 修改字符串值项DefaultPassword的值为默认的口令，如果口令为空， 也可以删除该项。重新启动后，新的设置便会生效。 注意:上面提及的几个值项如果没有就必须手动创建。 当机器并未加入域中时，则可以用下面的方法： 在运行窗口里输入control userpasswords2或rundll32 netplwiz.dll,UsersRunDll 取消复选框“要使用本机，用户必须输入用户名和密码”的选择 然后确定,在弹出的对话框中输入你自动登录的账户和密码,重启一下就可以了。 如果你不想自动登陆的话也好办。再运行control userpasswords2或rundll32 netplwiz.dll,UsersRunDll。
实验背景：benet公司的网络中有100台计算机。公司需要集中管理计算机和用户账户以及网络资源，这就需要建立域环境来实现，域名为https://www.doczj.com/doc/c76288540.html,。 公司网络拓扑： DC1 服务器角色：域控服务器IP:192.168.100.1/24 DC2 服务器角色：域控服务器IP:192.168.100.2/24 Client1 192.168.100.10 Client2 192.168.100.11 Client3 192.168.100.13 Client4 192.168.100.14 Client5 192.168.100.15 Client6 192.168.100.16行政部门\人事部门工程部门\销售部门\财务部门 需求描述： 在服务器dc1上安装https://www.doczj.com/doc/c76288540.html,域 将客户机cient1-----client6加入域中 实验步骤： 一．搭建实验环境 根据实验要求我们搭建实验所需要的环境 准备两台虚拟机，一台为全新的windows server 2008，一台为全新的windows2003虚拟机，其中windows server 2008作为dc1的域控，windows server 2003作为client1客户机 1.准备两台全新的虚拟机 Windows server 2008
Windows server 2003 2.修改计算机名称 修改windows 2008计算机名称为dc1，修改windows 2003计算机名称为client1，修改完成后重新启动计算机 （1）修改windows 2008计算机名称为dc1 右击计算机，选择属性---高级计算机属性---计算机名称
域用户权限设置 公司为了安全加入域后，发现有一些问题，就是有的用户需要重新启动一些服务但是提示没有权限，如何才能把指定的服务器的管理权限给普通域用户。还有像google输入法之类的升级的时候提示“不是管理员，无法升级”。不知道怎么解决？ 回答：根据您的描述，我对这个问题的理解是：普通的域用户的权限问题。 分析: ===== 您说到的这些情况，windows域就是设计为这样的。 默认的域用户在登录一台客户机的时候，域用户自动加入了客户机本地的“user”组，这个组只有一些基本的使用功能。而您提到的重启服务，安装程序这样的操作，是需要本机管理员权限来进行。 而域管理员是自动加入到了本机的“administrator”组的。 建议: ==== 如果您的确需要让这些用户有这些控制权限，您可以给他们本机的“administrator”权限。 这里您可以有两种选择。 1。告诉他们一个本机的管理员帐号，让他们在需要的时候切换用户来实现需要的功能。 2。把域用户加入到本机的“administrator”组使得用户始终有本机的完全控制权限。 a。右键“我的电脑”，选择“管理” b。选择“本地用户和组” c。选择“组”， d。选择其中的“administrators”并双击 c。然后把需要的域用户添加到这个组就可以实现普通的域访问权限和本机的管理员权限并存了。
另外，如果您需要某些用户对服务器的某些服务有管理权限，但是又不想赋予他们管理员权限的话。可以通过修改组策略来实现。 我们假定这些server在一个名叫“server ou”的OU中。您需要赋予权限的服务是“DNS sever” 1。在”server ou”上添加一个组策略。给它定义一个名字。 2。编辑这个组策略，展开“计算机配置\windows设置\安全设置\系统服务”3。从右面栏中找到“dns server”服务，双击。 4。选择“定义这个策略设置”启动模式按照您本来的需求设置，然后点击“编辑安全设置” 5。在弹出窗口中，选择添加。 6。输入您需要的用户(组)，然后在下面的权限栏中，赋予那个用户(组) “启动，停止和暂停”权限。 关于安装程序，您可以还可以把用户加入到本地的“power user”组，这个组的成员有权限装一部分的软件，但是涉及以下方面的程序无法安装: 1。需要修改服务，驱动，系统文件的。(例如Google输入法) 2。一些老程序会要求系统的控制权限。 3。安装前先检查用户的组身份，不属于管理员直接拒绝。 由于各种程序，特别是第三方程序的细节我们很难确定，而且有时候安装的问题不一定会立刻显示出来，我们还是建议您使用管理员权限去安装程序。
管理员不在客户端,如何把客户加入到域中 一、安装好系统和软件后，修改注册表，设置开机自动用本地系统管理员登录，编写加入域处理放在开机启动项中； 二、关机并备份系统； 三、自动加入域批处理，网上大把的资料，请自行查询有两种，一种BAT、一种VBS； 四、批处理的后面要加上删除启动项中的文件和删除注册表的自动登录； 以后碰上问题让用户直接开机时选择菜单恢复备份，重起后会用系统管理员登录并加入域并删除相对应的文件和注册表，再自动重启即可用原来的域用户登录机子。 下面是参考： 特殊说明，必须在集成系统时copy netdom.exe C:\WINDOWS\system32 此文件可以从系统安装光盘或在网上下载 将以上文件另存为bat文件即可 @echo off ::加入域，并在10秒后重启电脑 netdom join %computername% /domain:https://www.doczj.com/doc/c76288540.html, /UserD:admin /PasswordD:abc /REBoot:10 ::生成注册表文件Sample.reg @echo Windows Registry Editor Version 5.00>>Sample.reg ::进入开机自动登录修改项 @echo [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]>>Sample.reg ::取消自动登录 @echo "AutoAdminLogon"="0">>Sample.reg ::删除默认登录密码 @echo "DefaultPassword"=->>Sample.reg ::将Sample.reg导入注册表 @regedit /s Sample.reg
为一个域用户设置登陆脚本 订阅 字号2010-03-28 16:29:41| 分类：AD相关| 如何为一个域用户设置登陆脚本？ - BA T可否作为登陆脚本？ - 在域用户“属性”中，应如何指定登陆脚本名？"D:\x.bat"还是"\\srv\x.bat"？还是其它？ - 脚本应该放在何处？ - 还有没有其它要注意的问题？” 回答： 1、bat可以作为登陆脚本执行，确切说一切可以在windows平台执行的东西都可以作为登陆脚本来用。 2、应该指定以\\server\……这样格式开头的路径。因为client在登陆的时候执行脚本，其实是从服务器上下载到本地，然后执行。这样的话，如果指定c:\这样的路径，client只会在本地的c盘查找，而不是到server上的路径去查找。 3、脚本可以放在一切client能够读取的位置。通常这个位置处于\\server\netlogon的share下（在服务器上的位置 是%systemroot%\sysvol\sysvol\domainname\scripts），但是如果你制订了策略，那么脚本默认的存放路径应该在%systemroot% \sysvol\sysvol\domainname\policies\guid\user(machine)\scripts下，如果你放在别的位置，需要在脚本执行栏的位置输入绝对路径，格式同样需要以\\server\……开头。 4、其他的问题也很多了，一般来说就是脚本适用于策略的时候，客户端可能会执行不到。 一般来说可能会有一下的几个原因： a、脚本从名称到内容都尽可能的不要用特殊字符、长文件名（超过8个字符）、空格，比如&等。这样的脚本在不同的os上可能执行会有问题。 b、脚本存放的位置和路径，请遵照上面的原则来做。 c、脚本的编写方面。特别是适用net use 来map一个fileserver上的路径。有可能在登陆之前，client上已经有网络盘的映射，如果恰好和你map的盘符一样，将有可能导致脚本执行失败，你可以在脚本的最前面加一句net use * /d /y来解决这个问题。 不过这个命令要慎用，在实际生产环境中，如果你的fileserver是非wintel平台的storage，响应时间较长，那么可能导致用户重新登陆时，无法连接fileserver上的sharefolder，可以用一句if exist来判断网络盘是否存在。 另外一个方面，如果远程设备是一些跨平台的存储设备，比如一些nas、san等，map到windows平台的时候可能会提示“网络路径无法连接”等问题，可以相互更换map \\server_netbios_name或者map \\server_ipaddress两种方式来尝试连接。 如果遇到权限问题，那么按照共享权限和安全权限冲突时取最小值的原则，一般来讲可以将共享权限设置为full control，然后安全权限做严格设定的办法来解决。 d、“配置文件路经”和“登陆脚本路径”、“主文件夹” 朋友们在初次设置域账户脚本的时候，可能对于这三个概念有些模糊，难以区分，这里说明一下： ①使用组策略，在用户登录脚本的的地方编辑一个cmd等，使用诸如net use的方式就可以map一个网络盘符了。 ②“配制文件路径”是指用户profile所处的位置，通常在%userprofile% “登录脚本路径”是指用户登录到服务器时，执行的脚本所处的位置，通常默认路径位于 服务器上的netlogon下，如果制定策略中使用脚本，默认的路径应该在gpo 的guid下的user或者computer下的scripts，如果置于其他位置，需要手动指定完全路径。 ③“主文件夹”是指用户在fileserver上的个人主目录，这个概念没有绝对的位置。需要你手动指定路径，不过在这里写入和在脚本中写入的不同，在于系统会根据你写入的路径，自动创建文件夹，并为该用户分配权限，该文件夹的owner属于该用户。这里可以使用%username%的变量，让系统自行完成。当然在指定了主目录后，你仍然可以访问其他有权限使用的资源。 e、关于策略的执行顺序是本机、站点、域、ou、子ou。如果有设置上的重复，按照执行的顺序，后面的设置将会覆盖前面的设置。 如果在ou上设置“block policy inheritance”，那么上层的策略将不会在这一层获得执行。 如果在ou上设置“No override”，那么这一层将不会被后面的策略设置覆盖，也就是说即使后面有相同的设置，仍然以这一层的设置为准。 如果在ou上设置“disabled”，那么这个策略将会被禁止执行。 如果在策略的properties security上取消了对应的组的read和apply group policy，那么对应的组将会无法应用到策略。通常默认被应用的组有authenticated user。
系统故障记录 1. 故障记录日期：2010-01-14 2. 主机名及IP：FS03(192.168.2.246) 3. 主机系统及应用：DC、FileServer 4. 系统状态及错误信息：Win2003系统启动到登陆界面时出现以下错误提示：“由于下列错误，安全帐户管理器初始化失败，目录服 务无法启动。错误状态：0xc00002e1." 5. 检查过程及解决步骤： 原因：经微软KB及网上资料信息显示该提示为病毒（用户上传的文件）可能破坏了系统文件，导致2.246无法正常启动目录服务，所以客户端的域用户无法正常登陆。 解决方案1：准备进入目录还原模式，修复Active Directory数据库。 备注：由于系统安装时间比较已久，还原密码未知， 解决方案2：升级其他BDC为PDC，解决用户登陆问题。 备注：现已将FSBDC升级为PDC，用户已可正常登陆。 步骤1： 用Domain Admin用户登陆FSBDC，打开运行，输入“CMD”进入命令行状态。使用Ntdsutil工具，将FSMO中PDC角色抢夺过来。
ntdsutil Roles Connections connect to server FSBDC q seize domain naming master seize infrastructure master seize PDC seize RID master seize schema master q 步骤2： 升级FSBDC为GC 在管理工具中，打开“Active Directory站点和服务” 点击“Sites-Foshan-Servers-FSBDC-NTDS Settings"右键点击选择属性，选中“全局编目” ［此帖子已被 ekin.liu 在 2010-01-14 20:13:56 编辑过］当前状态为[已登记] ekin.liu 2010-01-14 20:18:51 其他问题： 在升级GC的时候，碰到一个问题，因原有https://www.doczj.com/doc/c76288540.html,的域信息没有完全清除，需要要清除后GC才能升级成功。 错误提示信息为： 1、
https://www.doczj.com/doc/c76288540.html,/share/detail/19389613 域用户权限设置 公司为了安全加入域后，发现有一些问题，就是有的用户需要重新启动一些服务但是提示没有权限，如何才能把指定的服务器的管理权限给普通域用户。还有像google输入法之类的升级的时候提示“不是管理员，无法升级”。不知道怎么解决？ 回答：根据您的描述，我对这个问题的理解是：普通的域用户的权限问题。 分析: ===== 您说到的这些情况,windows域就是设计为这样的. 默认的域用户在登录一台客户机的时候,域用户自动加入了客户机本地的“user”组,这个组只有一些基本的使用功能. 而您提到的重启服务,安装程序这样的操作,是需要本机管理员权限来进行. 而域管理员是自动加入到了本机的“administrator”组的. 建议: ==== 如果您的确需要让这些用户有这些控制权限,您可以给他们本机的“administrator”权限. 这里您可以有两种选择. 1. 告诉他们一个本机的管理员帐号,让他们在需要的时候切换用户来实现需要的功能. 2. 把域用户加入到本机的“administrator”组使得用户始终有本机的完全控制权限. a. 右键“我的电脑”, 选择“管理” b. 选择“本地用户和组” c. 选择“组”, d. 选择其中的“administrators”并双击 c. 然后把需要的域用户添加到这个组就可以实现普通的域访问权限和本机的管理员权限并存了. 另外,如果您需要某些用户对服务器的某些服务有管理权限,但是又不想赋予他们管理员权限的话.可以通过修改组策略来实现. 我们假定这些server在一个名叫“server ou” 的OU中.您需要赋予权限的服务是“DNS sever” 1. 在“server ou”上添加一个组策略.给它定义一个名字. 2. 编辑这个组策略,展开“计算机配置\windows设置\安全设置\系统服务” 3. 从右面栏中找到“dns server” 服务,双击. 4. 选择“定义这个策略设置”启动模式按照您本来的需求设置,然后点击“编辑安全设置” 5. 在弹出窗口中,选择添加. 6. 输入您需要的用户(组),然后在下面的权限栏中,赋予那个用户(组) “启动,停止和暂停”权限. 关于安装程序,您可以还可以把用户加入到本地的“power user”组,这个组的成员有权限装一部分的软件,但是涉及以下方面的程序无法安装: 1. 需要修改服务,驱动,系统文件的.(例如Google输入法) 2. 一些老程序会要求系统的控制权限. 3. 安装前先检查用户的组身份,不属于管理员直接拒绝.
深入理解AD域登录过程 “域帐号登录”属于“交互式登录”（即用户通过相应的用户帐号(User Account)和密码进行登录）的一种（另外一种为“本地登录”）。采用域用户帐号登录计算机，系统通过存储在域控制器的活动目录中的数据进行验证。如果该用户帐号有效，则登录后可以访问到整个域中具有访问权限的资源。 交互式登录，系统需要以下组件： 1、winlogon.exe winlogon.exe是“交互式登录”时最重要的组件，它是一个安全进程，负责如下工作： ◇加载其他登录组件。 ◇提供同安全相关的用户操作图形界面，以便用户能进行登录或注销等相关操作。 ◇根据需要，同GINA发送必要信息。 2、GINA GINA的全称为“Graphical Identification and Authentication”——图形化识别和验证。它是几个动态数据库文件，被winlogon.exe所调用，为其提供能够对用户身份进行识别和验证的函数，并将用户的帐号和密码反馈给winlogon.exe。在登录过程中，“欢迎屏幕”和“登录对话框”就是GINA显示的。 3、LSA服务 LSA的全称为“Local Security Authority”——本地安全授权，Windows系统中一个相当重要的服务，所有安全认证相关的处理都要通过这个服务。它从winlogon.exe中获取用户的帐号和密码，然后经过密钥机制处理，并和存储在帐号数据库中的密钥进行对比，如果对比的结果匹配，LSA就认为用户的身份有效，允许用户登录计算机。如果对比的结果不匹配，LSA就认为用户的身份无效。这时用户就无法登录计算机。 4、SAM数据库 SAM的全称为“Security Account Manager”——安全帐号管理器，是一个被保护的子系统，它通过存储在计算机注册表中的安全帐号来管理和用户和用户组的信息。我们可以把SAM看成一个帐号数据库。对于没有加入到域的计算机来说，它存储在本地，而对于加入到域的计算机，它存储在域控制器上。 如果用户试图登录本机，那么系统会使用存储在本机上的SAM数据库中的帐号信息同用户提供的信息进行比较；如果用户试图登录到域，那么系统会使用存储在域控制器中上的SAM数据库中的帐号信息同用户提供的信息进行比较。 5、Net Logon服务 Net Logon服务主要和NTLM（NT LAN Manager，Windows NT 4.0 的默认验证协议）协同使用，用户验证Windows NT域控制器上的SAM数据库上的信息同用户提供的信息是否匹配。NTLM协议主要用于实现同Windows NT的兼容性而保留的。 6、KDC服务 KDC（Kerberos Key Distribution Center——Kerberos密钥发布中心）服务主要同Kerberos认证协议协同使用，用于在整个活动目录范围内对用户的登录进
1. 加域后如何退出域？ 解释: 退域步骤:右键我的电脑→属性→计算机名→更改→在隶属于区域选择”工作组”→输入 WORKGROUP→点击确定→在弹出验证对话框里输入”域账户和密码”→点击确定。以给出的文档里有退 域的操作步骤。 2. 提醒：在加域过程中如遇到PC装有SQL,加域后不能正常使用。 解决办法：在加域后需要重新设定SQLSERVER服务的身份验证,步骤:开始→运行→services.msc→右键 SQL server→属性→登录→点击此账号输入域用账号和密码→应用。 3. 加域后的客户端操作系统由XP更换WIN7怎么操作？ 解决办法：建议先退域,更换操作系统后重新加域,退域步骤:右键我的电脑→属性→计算机名→更改→ 在隶属于区域选择”工作组”→输入WORKGROUP→点击确定→在弹出验证对话框里输入”域账户和密码” →点击确定。 4. 新员工需要用到离职人员的计算机,该怎么处理？ 解决方法：根据新员工的工号,更改相应的计算机名称,把新员工的AD账号加入到本地管理员组中。 5. 文件服务器还存在原来的域环境中,怎么办？ 解决办法：客户端加入到新的域后,通过IP地址进行访问文件服务器,会弹出相应的对话框并提示输入 账号密码,需输入原有域的相应访问账号和密。 6. 公用PC机更改计算机名称失败。 解决办法: 经过排查,网络管理员做了限制,打开限制后更改计算机名称完成。 7. 如果用户更换新计算机旧计算机给新用户使用该怎么处理？ 解决办法：更改计算机名（按照总部命名规则更改）在administrators组中添加对应用户名或重新安 装操作系统重新加域。 8. 多人使用同一台计算机应该怎么做？ 解决办法：将使用同一台计算机的域用账号加入到本地Administrators组里,步骤:选中我的电脑点击 鼠标右键→管理→本地用户和组→组→双击administrators→添加→输入使用同一台计算机的域用账号 →点击检查名称→确定。 9. 加域后不能正常打印。 解决办法：重新添加打印机.操作步骤:控制面板→双击打印机→点击添加打印机→点击下一步→选择网 络打印机或连接到其他计算机的打印机→点击下一步→选择连接到这台打印机→输入”\\IP地址\打印 机名称→点击下一步→选择打印机→点击下一步→确定”。 1. 实践加域时出现RPC服务器不可用。 解决办法：端口关闭导致,建议开启端口。AD服务器之间无法通信（135、137、42）。管理人员表示,两 台服务器并未做端口限制,初步判断是由于AD组件损坏相关服务无法启动导致相关端口无法正常通信。 , 1. 已有DNS服务器,该怎么做？ 解决办法: 在已有的DNS服务器上做转发。 1. newsid工具在加域之前是否都得使用？ 解释:如果操作系统是XP并且是ghost则需要运行newsid工具,OEM版则不需要,手动更改计算机名即可。 如果操作系统是win7并且是ghost,数量较少则不建议运行newsid,如果是大批量ghost,首先要备份C 盘数据,之后在运行newsid工具,因为newsid只支持到XP操作系统,win7则不保证运行newsid后不会 出现各种问题。
实验的目的及缘由： 在公司中一般都是使用AD，用户都用自己的账号或者公共账号登陆到域中。有些出差过来就不记得那些账号密码，同时又要在域中使用部分系统。所以就要将电脑设置为以域用户自动登陆到域中。 很简单修改一下注册表： 进注册表： HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlog on 将AutoAdminLogon值改为1 将DefaultUserName改为你想让某用户自动登录的帐号 将DefaultPassword值改为该帐号的密码。重启电脑即可 如果没有以上的值，由自己创建即可，全部都是“字符串值” 有人说既然自动登陆的域中，就违反了域的安全性，造成一定的危险性 但也没有办法，电脑是为人服务的！ 实验的配置步骤： 第一步：进入注册表的以下位置： HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Wi nlogon 具体如下图所示：
第二步：将AutoAdminLogon值改为1 。具体如下图所示：
第三步：将DefaultUserName改为你想让某用户自动登录的帐号。具体如下图所示： 第四步：将DefaultPassword值改为该帐号的密码。具体如下图所示：
第五步：重启计算机，具体如下图所示： 第六步：这是重启后的一个画面，由于重启速度很快，所以有许多过程的图片无法抓到，只能抓到部分的图片。具体如下： 第七步：如下图所示，重启后就自动进入系统了而且用我们之前设置的域用户帐户u1登录的，且不需要输入密码。下图是登录后的画面截图：
原文地址：如何将本地用户配置文件更改为域用户漫游作者：kevin 1.先讲讲直接新建域用户，在DC中设置用户漫游； 2.再讲，如果原来用户是本地用户，如何将原有的本地用户的配置文件让她成为漫游用户，配置文件也漫游； 3.跟大家讲讲如何让本地用户配置文件迁移为域用户配置文件，即本来有一用户abc为本地用户，现在该电脑加入了域，域中有一用户abc，然后电脑要用abc 用户登陆到域，而用户配置文件使用本地的abc配置文件； 一，在DC中设置用户漫游 实验环境使用VMW虚拟机，客户端为Windows XP SP2，服务器端为Windows Server 2003 SP2企业版。 首先将服务器端安装好活动目录，无需任何设置，默认安装即可，并将客户端加入到域。 下面开始具体操作 1、首先在服务器端用Active Directory用户和计算机管理工具建立一个User，我这里以“小五”为用户名，如下图 2、在服务器端建立保存用户配置文件的共享文件夹，本文在c盘建立了一个user文件夹，用来保存所有用户配置文件，然后再user文件夹下建立一个“小五”文件夹，用来保存“小五”用户的配置文件。这里面一定要注意权限的设置，在共享文件夹中的权限去掉everyone，然后找到我们域中的用户“小五”，给他所有权限。
3、进一步权限设置，如图
这样权限方面问题已经设置完成 4、在Active Directory用户和计算机管理工具中为“小五”用户设置用户配置文件漫游，如图
192.168.1.201为我们的服务器，后面所接的“user/小五”为保存用户配置文件的共享文件夹 主文件夹相当于用户的“我的文档”，这里面映射到服务器上，更能保证用户文件安全性与可靠性。 现在配置基本完成，我们从客户端登录一下试试看 初次登陆之后，我们注销，这样，本地的配置文件，就会自动保存到服务器上对应的文件夹。 回到服务器上我们会看到生成好多文件，刚才这里面还是空的