当前位置：文档之家 › AD域管理员手册

AD域管理员手册

  • 格式：pdf
  • 大小：233.48 KB
  • 文档页数：8

AD域管理员⼿册

⽬录

第⼀章AD域概述 (3)1.1AD的逻辑结构 (3)

1.2AD的物理结构 (4)

1.3WIN2003AD新特性 (5)

第⼆章AD域的安装和卸载 (7)2.1安装WIN2003AD (7)

2.2确认AD的安装 (13)

2.2.1 默认容器 (14)

2.2.2 Active Directory 数据库 (14)

2.2.3 根域验证 (14)

2.2.4 DNS (15)

2.3⾃动卸载WIN2003AD (15)

2.4⼿动卸载WIN2003AD (16)

第三章基本配置 (22)3.1划分OU (22)

3.2站点管理 (24)

3.3建⽴域间信任 (26)

3.4防病毒软件排除 (27)

3.5客户端计算机加⼊域 (28)

第四章备份与恢复 (31)4.1备份AD (31)

4.2AD灾难恢复流程 (33)

4.2.1灾难类型 (33)

4.2.2恢复⽅法 (33)

4.2.3恢复流程 (34)

4.3⾮权威恢复与权威恢复 (37)

4.3.1⾮权威恢复 (38)

4.3.2权威恢复 (38)

4.4⾮权威恢复具体操作 (39)

4.5权威恢复恢复具体操作 (40)

4.6AD操作主机转移 (40)

4.7还原模式密码更改 (45)

4.8恢复A CTIVE D IRECTOR (45)4.8.1 环境分析 (45)

4.8.2 从AD中清除主域控制器对象 (46)

4.8.3 在额外域控制器上通过ntdsutil.exe⼯具夺取五种ＦＭＳＯ操作 (48)

4.8.4 设置额外控制(http://www.doczj.com/doc/042637723.html )为ＧＣ（全局编录） (50)

4.8.5 重新安装并恢复损坏主域控制器 (50)

4.8备份与恢复DHCP (50)

第五章组策略 (51)5.1组策略概念 (51)

5.2GPMC (51)

5.3常⽤组策略 (52)

5.3.1禁⽌客户端退出域 (52)

5.3.2 修改软件安装的选项 (54)

5.3.3修改硬件驱动安装的选项 (55)

5.3.4开放WINXP防⽕墙端⼝ (56)

第六章常⽤脚本 (57)6.1管理员密码修改脚本 (57)

6.2⽤户导出脚本 (57)

6.3⽤户⾃动加⼊域 (58)

6.4将密码设置为从不过期 (60)

6.5创建1,000个⽤户帐户 (60)

6.6⽤户帐户属性 (61)

6.7⽤户帐户添加模版 (62)

附录 (63)

附录⼀：实施环境准备参考表 (63)

第⼀章AD域概述

⽬录服务是⼀种分布式数据库，⽤于存储与⽹络资源有关的信息，以便于查找和管理。Microsoft Active Directory 是⽤于Windows ⽬录服务的实现。涉及⽬录服务的基本问题围绕着可以将哪些信息存储在数据库中，存储的⽅式是什么，如何查询特定的信息，以及如何对结果进⾏处理。Active Directory 包含⽬录服务本⾝，以及允许访问⽀持X.500 命名规则的数据库的从属服务

活动⽬录服务提供了单⼀登录的能⼒并且为你的整个⽹络架构提供了⼀个集中的信息知识库，它⼤⼤的简化了⽤户和计算机的管理并且提供了⽹络资源的更好的访问⽅式。1.1 AD的逻辑结构

⽹络的逻辑结构是由⽆形的项⽬组成的，如对象、OU、域、⽬录树和⽬录林。Active Directory 的基本结构块是对象，这是⼀个代表⽹络资源的已命名特定属性集。对象属性是⽬录中对象的特征。对象也可以按类进⾏分组，类是对象的逻辑分组。⽤户、组和计算机是不同对象类的例⼦。

在最低⼀层，某些对象代表⽹络上的单个实体，如⽤户或计算机。这些实体称为叶对象，它们不能包含其它对象。但是，为了简化⽬录的管理和组织，可以

将叶对象放在其它对象（称为容器对象）内部。容器对象也可以采⽤嵌套（或层次）形式包含其它容器。

容器对象最常⽤的类型是组织单元 (OU)。可以使⽤ OU 将对象进⾏分类，并将域变成某种类型的逻辑管理分组。尤其要注意的是，域中 OU 的结构和层次与任何其它域的结构⽆关。

所有⽹络对象只能在⼀个域中存在（⽆论是叶对象还是容器对象）。为反映组织⽹络的特点，可以使⽤域将相关对象分成⼀组。每个创建的域仅存储所包含对象的信息，⽽不存储其它对象的信息。每个域表⽰⼀个安全边界。对每个域中对象的访问是由访问控制项 (ACE) 控制的，后者包含在访问控制列表 (ACL) 中。这些安全设置并不跨越域边界。在 Active Directory 中，域也可以称为“分区”。因为域是 Active Directory 数据库的物理分区，所以您既可以按照业务功能（⼈⼒资源、销售或财务），也可以按照位置（地理或相对）建⽴其结构。

当将相关域分成⼀组以便共享全局资源时，您就创建了“⽬录树”。尽管⽬录树可以只包含⼀个域，但是您可以将层次结构中相同名称空间的多个域合并在⼀起。可以使⽤基于 Kerberos 的安全功能，通过双向信任关系将⽬录树中的域透明地连接在⼀起。这些信任关系可以是永久性的，也可以是暂时的。

⽬录树中的所有域共享所有对象类型的正式定义（称为“架构”）。此外，任何给定⽬录树中的所有域还共享全局编录。GC 是⽬录树中对象的中央储存库。

在最⾼⼀级，可以将单独的⽬录树分成⼀组形成“⽬录林”。可使⽤⽬录林，将组织中的不同部门，甚⾄不同组织组合到⼀起。这些部门不必共享相同的命名架构并且独⽴运作，但彼此之间可以进⾏通信。⽬录林中的所有⽬录树共享相同的架构、全局编录和配置容器。再者，基于 Kerberos 的安全功能在⽬录树之间提供了信任关系。1.2 AD的物理结构

AD域的物理结构主要由两⼤部分组成：域控制器以及站点

域控制器就是存储活动⽬录的地⽅，⼀个域可以有⼀个或⼏个域控制器。在域中，各域控制器相互复制活动⽬录的改变，在⽬录林中，各域控制器相互之间

也把信息⾃动复制给对⽅。

站点(Site)是由⼀个或多个IP⼦⽹中的⼀组计算机，确保⽬录信息的有效交换，站点中的计算机需要很好地连接，尤其是⼦⽹内的计算机。站点和域名称空间之间没有必要的连接。站点反映⽹络的物理结构，⽽域通常反映⽤户单位的逻辑结构。逻辑结构和物理结构相互独⽴，所以⽹络的物理结构及其域结构之间没有必要的相关性，活动⽬录允许单个站点中有多个域，单个域中有多个站点。

如果配置⽅案未组织成站点，则域和客户之间的信息交换可能⾮常混乱。站点能提⾼⽹络使⽤的效率。1.3 WIN2003 AD新特性

Windows Server 2003 对于活动⽬录进⾏了许多的改善，使得它功能更强⼤，更可靠也更经济。Windows Server 2003 中的活动⽬录提供了如下特性：更易于部署和管理Windows Server 2003增强了管理员的能⼒以使其即使在包含多个森林、域及站点的⼤企业中也能有效的配置和管理活动⽬录。改进的迁移和管理⼯具连同重命名域的功能，使得部署活动⽬录任务明显简化。⼯具也提供了更加⼈性化的拖曳、多对象的选择以及保存和重⽤查询的功能。另外对组策略进⾏了改进以使其能够被更加简单和有效地在活动⽬录环境中对⼤量⽤户和计算机进⾏管理。

●ADMT 2.0 版本

●重命名域

●架构（Schema）重定义

●活动⽬录应⽤模式(AD/AM)

●组策略的改进

●增强的⽤户界⾯

更加安全

额外的安全特性使得管理多森林和跨域信任关系更加容易。跨森林的信任关系是有别于现有Windows信任关系的新类型，它可以管理两个森林间的安全关系——⼤⼤简化了跨森林的安全管理以及验证。⽤户可以在不⽤牺牲单⼀登录功能的情况下，访问其他森林的资源，并且由于只需在⽤户所在的森林中维护它的⽤户ID和⼝令，因此管理也被⼤⼤的简化了。这对于⼀些需要在某些分公司或区域拥有⾃⼰森林的场景提供了更好的灵活性，同时也有利于对活动⽬录的维护。此外，Windows Server2003提供了⼀个新的凭证管理器来放置⽤户的凭证以及X.509证书。软件控制策略使得管理员可以阻⽌⽤户在⽹络中安装不被允许的程序。

●跨森林验证

●跨森林授权

●交叉认证的增强（Cross-Certification）

●IAS和跨森林验证

●凭证管理器（Credential Manager）

●软件限制策略

改进的性能与可靠性Windows Server 2003能够更加有效的管理活动⽬录的复制与同步。不管是在域内还是在域间管理员都可以更好地控制需要在域控制器间进⾏同步的信息类型。此外，活动⽬录提供了许多技术可以智能地选择只将那些发⽣了更改的信息进⾏复制，⽽不是机械地复制整个⽬录数据库。

◆在远程办公室更容易登录

◆组成员列表复制的增强

◆应⽤程序⽬录分区

◆利⽤媒介安装副本

◆可靠性的改善

第⼆章AD域的安装和卸载2.1 安装WIN2003 AD

所有的新安装都是安装成为Member Server，如果您在新安装WIN2003 SERVER时选择安装了“活动⽬录”选项，则系统就会出现类似于“如果您此时安装活动⽬录则系统中的所有域名就不能再次改变……”之类的提⽰。⼀般情况下我们在新安装系统时不选择安装活动⽬录，以便我们有时间来具体规划与活动⽬录有关的协议和系统结构。⽬录服务都需要事后⽤Dcpromo的命令特别安装。Dcpromo是⼀个图形化的向导程序，引导⽤户⼀步⼀步地建⽴域控制器，可以新建⼀个域森林，⼀棵域树，或者仅仅是域控制器的另⼀个备份，⾮常⽅便。很多其他的⽹络服务，⽐如DNS Server、DHCP Server和Certificate Server等，都可以在以后与活动⽬录集成安装，便于实施策略管理等。这个图形化界⾯向导程序也没有什么特别之处，只要我们在前⾯理解好了活动⽬录的含义，并进⾏了安装前的⼀系列规划，则可以很容易完成所有的安装任务。

活动⽬录还充分地考虑到了备份和恢复⽬录服务的需要，WIN2K备份⼯具中有专门备份活动⽬录的选项，在出现意外事故的时候，可以在机器启动时按F8进⼊安全恢复模式，保证减少灾难的恶性影响。1、在“运⾏”菜单内键⼊“Dcpromo”，系统⾃动出现如下菜单：

2、单击“下⼀步”按钮，打开“域控制器类型”对话框，选择“新域的域控制器”单选按钮，使服务器成为新域中的第⼀个域控制器。如果⽹上已有域控制器，可选择“现有域的额外域控制器”单选按钮。

3、单击“下⼀步”按钮，打开“创建⽬录树或⼦域”对话框，如果⽤户不想让新域成为现有域的⼦域，可选择“创建⼀个新的域⽬录树”单选按钮。如果⽤户希望新域成为现有域的⼦域，可选择“在现有域⽬录树中创建⼀个新的⼦域”单选按钮。这⾥，选择“创建⼀个新的域⽬录树”单选按钮。

4、单击“下⼀步”按钮，打开“创建或加⼊⽬录林”对话框，如果所创建的域为单位的第⼀个域，或者希望所创建的新域独⽴于现有⽬录林，可选择“创建新的域或⽬录树”单选按钮。如果希望新的域⽬录树中的⽤户可访问现有域⽬录树中的资源，或希望现有域⽬录树中的⽤户访问新域⽬录树中的资源，可选择“将这个新的域⽬录树放⼊现有的⽬录林中”单选按钮。这⾥，选择“创建新的域⽬录树”单选按钮。

合集下载

AD域服务器配置使用手册

AD域服务器配置使用手册

未知驱动探索，专注成就专业

1

AD域服务器配置使用手册

目录

• 简介

• 安装AD域服务器

• 配置AD域服务器

• 使用AD域服务器

• 常见问题与解决方案

简介

Active Directory（简称AD）是由微软公司开发的一种目录服务，用于管理和组织网络中的用户、计算机、应用程序等资源。AD域服务器是一个核心组件，用于集中管理和分发资源，提供统一的身份验证和访问控制。

本文档将指导您进行AD域服务器的安装、配置和使用，以便在企业网络中实现集中管理和统一认证。 未知驱动探索，专注成就专业

2

安装AD域服务器

在安装AD域服务器之前，您需要确保以下条件已满足：

• 一台运行Windows Server操作系统的服务器

• 具有管理员权限的帐户

• 确保网络连接正常

按照以下步骤进行AD域服务器的安装：

1. 在服务器上运行Windows Server安装程序。

2. 选择“自定义安装”选项，并选择“域控制器”角色。

3. 指定域的名称，并设置管理员密码。

4. 安装必要的依赖项和组件。

5. 完成安装过程。 未知驱动探索，专注成就专业

3

配置AD域服务器

安装完成后，您需要进行AD域服务器的配置，以满足特定的网络需求。以下是一些常见的AD域服务器配置任务：

• 添加组织单位（OU）和用户组：用于组织和管理用户和计算机资源。

• 配置组策略：通过组策略设置实施安全和配置要求。

• 创建用户账户和共享文件夹：用于授权和权限管理。

• 配置安全认证和访问控制：用于保护网络资源免受未经授权的访问。

• 配置域名服务器（DNS）和动态主机配置协议（DHCP）：用于自动分配IP地址和解析域名。

您可以通过Windows Server管理工具如Active Directory用户和计算机、组策略管理等进行以上配置任务。

使用AD域服务器

一旦AD域服务器配置完成，您可以开始使用其提供的功能： 未知驱动探索，专注成就专业

ActiveDirectory域控制器安装手册

ActiveDirectory域控制器安装手册

ActiveDirectory域控制器安装⼿册

Active Directory域控制器安装指南1.1Active Directory介绍

1.1.1功能介绍

Active Directory提供了⼀种⽅式，⽤于管理组成组织⽹络的标识和关系。Active Directory与Windows Server 2008 R2的集成，为我们带来了开箱即⽤的功能，通过这些功能我们可以集中配置和管理系统、⽤户和应⽤程序设置。Active Directory域服务（AD DS，Active Directory Domain Services）存储⽬录数据，管理⽤户和域之间的通信，包括⽤户登录过程、⾝份验证，以及⽬录搜索。此外还集成其它⾓⾊，为我们带来了标识和访问控制特性和技术，这些特性提供了⼀种集中管理⾝份信息的⽅式，以及只允许合法⽤户访问设备、程序和数据的技术。

1.1.2Active Directory域服务

AD DS是配置信息、⾝份验证请求和森林中所有对象信息的集中存储位置。利⽤Active Directory，我们可以在⼀个安全集中的位置中，⾼效地管理⽤户、计算机、组、打印机、应⽤程序以及其它⽀持⽬录的对象。

*审查。对Active Directory对象的修改可以记录下来，这样我们就可以知道这个对象做了哪些修改，以及被修改属性的历史值和当前值。

*粒度更细的密码。密码策略可以针对域中单独的组进⾏配置。不需要每个帐户都使⽤域中相同的密码策略了。

*只读的域控制器。当域控制器的安全⽆法得到保障时，我们可以部署⼀台只有只读版本Active Directory数据库的域控制器，例如在分⽀办公室，这种环境下域控制器的物理安全都是个问题，⼜如承载了其他⾓⾊的域控制器，其他⽤户也需要登录和管理这台服务器。只读域控制器（RODC，Read-Only Domain Controllers）的使⽤，可以防⽌在分⽀机构对它潜在的意外修改，然后通过复制导致AD森林数据的损坏。有了RODC，我们也

域管理员使用手册

域管理员使用手册

域管理员使用手册

域治理员应用手册

版本 <1.0>

修订汗青记录

日期 版本 说明 作者

<28/12/2003> <1.0> 创建文档 张煜

目次

1. 简介 4

1.1 目标 4

1.2 范畴 4

1.3 定义、首字母缩写词和缩略语 4

1.4 参考材料 4

1.5 概述 4

2. 登录体系 错误!未定义书签。

3. 域全然设置 错误!未定义书签。

4. 用户治理 错误!未定义书签。

5. 域地址簿治理 错误!未定义书签。

6. 邮件列表 错误!未定义书签。

7. 短消息 错误!未定义书签。 域治理员应用手册

1. 简介

域治理是企业邮件体系对一个虚拟邮件域进行治理的模块。这部分功能以web情势供给，能够或许对一个域中的邮件帐户、地址簿、邮件列表和短消息进行治理。本手册介绍应用该模块对虚拟邮件域进行治理的方法。

1.1 目标

本文档将从一个虚拟邮件域的治理员的角度动身，指导域治理员进行本邮件域的治理、爱护工作。

本文档的读者为虚拟邮件域的治理员。

1.2 范畴

合适于进行邮件域治理的有关人员

1.3 定义、首字母缩写词和缩略语

虚拟邮件域:

邮件列表：

虚拟邮件域可在内部建立邮件列表。邮件列表由本身的名字，并可定义一系列成员。拥有授权的用户能够给列表发信，所有的列表成员都邑收到，起到便利通知、接洽的群发生发火用。

域地址簿：

体系为每个用户供给私家地址簿和邮件域的公共地址簿。公共地址簿是属于域的，每个域都有且仅有一个公共地址簿。

磁盘限额：

可供分派的用户磁盘限额和的限制。域中所有效户的磁盘限额之和不克不及跨过此限，一旦达到就不克不及开设新的用户帐号。

1.4 参考材料

《Web Mail应用手册》

1.5 概述

本文档描述了域治理员进行治理爱护的各个模块的功能和应用说明，这些模块包含登录体系、域全然设置、用户治理、域地址簿治理、邮件列表、短消息。

2. 登录体系

输入暗码后能够登录体系。域的治理员应用名为postmaster的帐号，因此域治理进口的暗码也确实是postmaster的暗码，今后能够经由过程修改postmaster的暗码来对治理暗码进行修改。

电子邮件域管理员手册

电子邮件域管理员手册

圣诺 Umail-TX 域管理员手册 目 录前 言

该管理手册适合于系统管理员和域管理员，该手册所描述的功能为最新的Umail-tx系统版本所提供的。如以后有所修改和增加将不再在本文档中体现。本文档分为四章，第一章描述管理员怎样登陆到Umail-tx 系统，其中提到的证书签名一般在安全要求比较高的系统中运用，大部分系统只采用简单的密码验证方式。第二章描述该版本系统所提供的管理功能，以及使用方法。第三章描述本系统的每级管理员所拥有的权限列表（该列表紧供参考）。第四章描述了在使用域管理系统时经常出现的问题和解决方法。由于时间仓促，可能本文档并未包含所有的功能描述或描述不够详细，如有什么问题请与本公司的产品支持联系或者发电子邮件到，我们将竭力帮助你解决使用中出现的问题。

1 管理员登录

在管理员登录界面中，输入域管理员名和密码(如果是系统管理员，直接点击域就可进入)，系统确认身份后，进入域管理首页。 为了提高系统的安全性，加强身份验证的准确性，UMAIL具有数字证书验证功能，用户可选是否要用数字证书进行身份验证。

证书的使用如下：

1) 域管理员可以到任何一家可以申请数字证书的机构申请一张数字证书.

2) 将用数字证书签名的电子邮件寄给我们的系统管理员（邮件地址TBD），系统管理员会把您 的数字证书记录在数据库中。并且在申请来信中写明公司名，邮件托管域名，以及您的管理员名。

3) 在登录时，系统会验证您的身份与数字证书是否吻合。如果不吻合，将无法登录管理界面。

4) 域管理员可以到任何一家可以申请数字证书的机构申请一张数字证书如果证书过期需要更换，则重复上述2,3步骤。 2 管理手册

2.1 管理员设置

2.1.1 检索管理员列表

列出系统内的超级管理员和域级管理员名单，并可以在名单中直接对管理员进行编辑、删除操作，但是对超级管理员无法进行删除操作。

2.1.2 添加管理员

填写管理员名称，在“管理权限”中选择管理员相应的权限，并填写管理员的登陆密码。