下载文档原格式
第4单元域与活动目录的管理一、填空题1.域树中的子域和父域的信任关系是双向、可传递的。
2.活动目录存放在注册表中3.你是一个Windows Server 2008域的管理员，域名为，现在你需要在该域下面创建一个新的子域，那么在创建遇到类型时，该选择在现有的域树中的子域4.独立服务器上安装了活动目录就升级为域控制器。
5.域控制器包含了由这个域的用户、网络中的其他对象以及属于这个域的计算机等信息构成的数据库。
6.活动目录中的逻辑单元包括域、域树、域林和组织单元。
7.SYSVOL是位于操作系统系统分区%windir%目录中的操作系统文件的一部分，必须位于NTFS分区。
8.网络中的第一台安装活动了目录的服务器通常会默认被设置为主域控制器，其他域控制器（可以有多台）称为辅助（备份）域控制器，主要用于主域控制器出现故障时及时接替其工作，继续提供各种网络服务，不致造成网络瘫痪，同时用于备份数据。
9.活动目录的物理结构的两个重要概念是站点和域控制器。
10.域中的计算机分类是哪4种：域控制器、成员服务器、独立服务器、域中的客户端。
11.域中的计算机使用DNS来定位域控制器和服务器以及其他计算机、网络服务等。
12.企业网络采用域的组织结构，可以使得局域网的管理工作变得更集中、更容易、更方便。
二、选择题1.下列（ D ）不是域控制器存储所有的域范围内的信息。
A.安全策略信息B.用户身份验证信息C.账户信息D.工作站分区信息2.活动目录和（ A ）的关系密不可分，使用此服务器；来登记域控制器的IP、各种资源的定位等A.DNSB.DHCPC.FTPD.HTTP3.下列（ C ）不属于活动目录的逻辑结构。
A.域树B.域林C.域控制器D.组织单元4.活动目录安装后，管理工具里没有增加（ D ）菜单。
A.Active Directory用户和计算机B.Active Directory域和信任关系C.Active Directory域站点和服务器D.Active Directory管理5.你是一台Windows Server 2008计算机的系统管理员，你可以使用（ C ）工具来管理该计算机中的组账号。
一：建域1.开始>>运行>>dcpromo2.进入AD安装向导3.关于系统兼容性的说明4.创建域控制器的类型，我们这里因为是第一台域控制器，所以选第一项。
第二项为创建备份域控制器做冗余的时候用的，这留到以后关于迁移域控制器的时候再跟大家说。
5.创建一个新域。
各项的说明图中已经给出，我们这里选第一项"在新林中的域"，因为本文的环境为安装第一个域。
6.创建的域的名称。
我个人来说习惯在企业内部用。
local的后缀表示本地的。
BIOS域名，一般不用改直接下一步！8.数据库及日志文件存放的位置，可以改也可以不改。
如果你习惯把日志类文件放到一齐的话，可以进行修改。
因为我只有一个盘就不改了。
9.共享的系统卷，这里要注意了！此文件必须要放在NTFS卷上！而且sysvol文件是被用于以后的域信息同步的。
所以在安装完后会自动的共享出来。
10.这里一般的话集成安装DNS比较好，如果是分离安装的话，对新手比较麻烦。
因为AD 会在DNS下创建许多SRV记录。
11.设置权限，其实就是为了与旧的系统AD迹象联系用的。
一般来说默认就可以了！2000以前的已经没见过有人用了。
12.AD在进入目录服务还原模式时使用的管理员密码。
注意与现在的管理员密码概念区分。
此密码只适用于目录服务还原模式。
此模式在大家平时选择进入安全模式的菜单下可以找到。
13.你所创建的域环境摘要，说穿就是你前面的设置信息。
14.在上面的图示中点击下一步就开始部署AD了！需要一点时间，大概5分钟就可以了。
休息一下眼睛。
在这里之前如果大家没有填写TCP/IP的信息，会在安装过程中叫你填写TCP/IP信息。
15.会出现提示要选择映像文件的位置--如选择取消，DNS服务就会手动配置（有点麻烦）,点击确定-----浏览---选择文件的位置16.看到这里就表示安装完毕了。
17.最后就重启--------立即重启才会生效二，加入域1.加入域前的准备a.开始---程序---管理工具---ActiveDirectory用户和计算机---选择---新建域名下的Computers---在右侧窗口，右击---新建---计算机---输入计算机名（是你要加入这个域的计算机名，）---下一步---下一步---完成。
![[项目4]域与活动目录的管理](https://img.taocdn.com/s1/m/df9f774cf7ec4afe04a1df59.png)
AD域活动目录解决方案AD（Active Directory）是由微软公司开发的一种域名服务（Directory Service）平台，用于管理和组织网络中的资源和用户。
它是基于目录服务的概念，在网络中添加了一个统一的登录和访问认证机制，使得用户和组织能够更加便捷地管理和使用网络资源。
1.用户管理：AD域活动目录可以集中管理和授权用户的登录和访问权限。
管理员可以通过AD域控制器创建和删除用户帐户，设置用户密码策略，授予用户所拥有的资源的权限等。
用户可以通过AD域进行身份认证，登录到域中的计算机，并访问其具备权限的资源。
2.组织结构管理：AD域活动目录提供了组织单元（OU）的概念，可以根据组织的层次关系和部门划分需求进行组织结构管理。
管理员可以创建、删除和移动OU，管理其中的用户和组对象等。
通过OU的概念，可以更加灵活地管理和分配权限，简化了域中的用户和组的配置。
3.资源共享与访问控制：AD域活动目录可以创建和管理共享的网络资源，例如文件夹、打印机等。
管理员可以通过目录服务的权限管理机制，设置用户对这些资源的访问权限。
这样，用户就可以根据自己的角色和需求访问到其具备权限的资源，同时也提高了资源的安全性。
4.域信任和跨域管理：AD域活动目录支持域之间的信任关系和跨域管理。
通过建立域信任关系，可以实现跨域访问和资源共享。
管理员可以跨域进行用户和组对象的管理，简化了多个域之间的管理和配置工作。
5.安全策略与审计日志：AD域活动目录提供了丰富的安全策略和审计日志功能，帮助管理员更好地保护域中的资源和用户。
管理员可以设置密码策略、帐户锁定策略、审核策略等，提高域的安全性。
审计日志记录了域中的操作和事件，可以进行监控和分析，追踪潜在的安全问题。
6. 自动化和批量操作：AD域活动目录支持脚本和命令行工具进行自动化和批量操作。
管理员可以使用PowerShell等脚本语言，对域中的对象进行批量添加、修改和删除等操作。
单元一：Windows Server 2008域与活动目录任务一：安装Windows Server 2008域控制器任务描述：企业网络采用域的组织结构，可以使得局域网的管理工作变得更集中、更容易、更方便。
虽然活动目录具有强大的功能，但是安装Windows Server 2008操作系统时并未自动生成活动目录。
因此，管理员必须通过安装活动目录来建立域控制器，并通过活动目录的管理来实现针对各种对象的动态管理与服务。
同时客户机登录域的操作也是组建域网络必不可少的部分，也是网络管理员应该熟练掌握的基本技能之一。
任务目标：作为网络管理员，只有明确安装域控制器的条件和准备工作，掌握域网络的组建流程和操作技术，才能在服务器上安装好Windows Server 2008操作系统。
为此，可以启用活动目录安装向导，成功安装活动目录后，将使得一个独立服务器升级为域控制器。
同时通过任务，还应能够区分登录窗口，例如是登录域不是登录本机的登录框。
任务实施：一、建立第一台域控制器：活动目录是Windows Server 2008非常关键的服务，它不是孤立的，与许多协议和服务有着非常紧密的关系，并涉及整个操作系统的结构和安全。
因此，活动目录的安装并非一般Windows组件那样简单，必须在安装前完成一系列的准备，注意事项如下：（1）文件系统和网络协议：Windows Server 2008所在的分区必须是NTFS文件系统，同样活动目录必须安装在NTFS分区，同时计算机上要正确安装了网卡驱动程序，并启用了TCP/IP协议。
（2）域结构规划：活动目录可包含多个域，只有合理地规划目录结构，才能充分发挥活动目录的优越性。
在组建一个全新的Windows Server 2008网络时，所安装的第一台域控制器将生成第一个域，这个域也被称为根域，选择根域最为关键。
根域名字的选择可以有以下几种方案：使用一个已经注册的DNS域名作为活动目的根域名，使得企业的公共网络和私有网络使用同样的DNS名字。
使用一个已经注册的DNS域名的子域名作为活动目录的根域名。
活动目录使用与已经注册的DNS域名完全不同的域名，使企业网络在内部和互联网上呈现出两种完全不同的命名结构。
（3）域名策划：目录域名通常是该域的完整DNS名称，如“”。
同时，为了确保向下兼容，每个域还应当有一个与Windows 2000 Server以前版本相兼容的名称，如“abc”。
以图1-1中的拓扑为样本，在该网络的域林中有两个域树：和，其中域树下有子域，在域中有两个域控制器，和 ；子域中除了有一个域控制器（）外，还有一个成员服务器（）。
我们先创建域树，然后再创建域树，将其加入到林中。
用户要将自己的服务器配置成域控制器，应该首先安装活动目录，以发挥活动目录的作用。
系统提供的活动目录安装向导，可以帮助用户配置自己的服务器，如果网络没有其它域控制器，可将服务器配置为域控制器，并新建子域、新建域目录树。
如果网络中有其它域控制器，可以服务器设置为附加域控制器，加入旧域、旧目录树。
在配置各个服务器前要先更改机器的名字！在Windows Server 2008中安装活动目录可以参照下述步骤进行操作：（1）首先确认“本地连接”属性TCP/IP首选DNS是否指向了本机，然后选择“开始”→“服务器管理器”命令打开服务器管理器，在左侧选择“角色”一项之后，单击右部区域的“添加角色”链接，并且在如图所示的对话框中选择“Active Directory 域服务”复选框。
（2）单击“下一步”按钮继续操作，在如图所示的对话框中，针对域服务进行相关的介绍。
（3）单击“下一步”按钮继续操作，在如图所示的对话框中显示了安装域服务的相关信息，确认安装可以单击“安装”按钮。
（4）域服务安装完成之后，可以在如图所示的对话框中查看到当前计算机已经安装了Active Directory域控制器，单击“关闭”按钮退出添加角色向导对话框。
（5）返回服务器管理器窗口，在如图所示的窗口中可以查看到Active Directory域服务已经安装，但是还没有将当前服务器作为域控制器运行，因此需要单击右部窗格中蓝色的“运行Active Directory域服务安装向导（dcpromo.exe）”链接来继续安装域服务。
也可以单击“开始”菜单，在搜索栏中输入dcpromo.exe命令打开域服务安装向导。
（6）域服务安装向导的欢迎界面中可以选择“使用高级模式安装”复选框，这样可以针对域服务器更多的高级选项部分进行设置，如图所示，单击“下一步”按钮继续操作。
（7）在如图所示的“操作系统兼容性”窗口中，简介介绍了Windowws Server 2008域控制器和以前版本的Windows之间有可能存在兼容性问题，可以了解下相关知识，单击“下一步”按钮。
（8）在如图所示的“选择某一部署配置”窗口中，如果以前曾在该服务器上安装过Active Directory，可以选择“现有林”下的“向现有域添加域控制器”或“在现有林中新建域”选项；如果是第一次安装，则建议选择“在新林中新建域”选项，然后再单击“下一步”按钮继续操作。
（9）在如图所示的“命令林根域”窗口中，输入目录林根级域的FQDN，在此输入“”，单击“下一步”按钮继续操作（10）在如图所示的“域NetBIOS”窗口中，系统会自动出现默认的NetBIOS 名称，此时可以直接单击“下一步”按钮。
NetBIOS名称的意义在于，让其它早期Windows版本的用户可以识别新域。
（11）在如图所示的“设置林功能级别”窗口中，可以选择多个不同的林功能级别“Windows 2000”、“Windows Server 2003”、“Windows Server 2008”，考虑到网络中有低版本的Windows系统计算机，此时建议选择“Windows 2000”一项，然后单击“下一步”按钮。
提示：林和域的功能级越高，兼容性越小，但是能使用更多域的功能。
要注意的是，功能级的提升是单向的，例如选择Windows Server 2008的林功能级别，就不能再降为Windows Server 2003或是Windows 2000。
（12）在如图所示的“设置域功能级别”窗口中，可以选择多个不同的域功能级别“Windows 2000纯模式”、“Windows Server 2003”、“Windows Server 2008”，考虑到网络中有低版本的Windows系统计算机，此时建议选择“Windows 2000纯模式”一项。
（13）单击“按钮，在如图所示的“其他域控制器选项”窗口中，可以对域控制器的其他方面进行设置。
系统会检测是否有已安装好的DNS，由于没有安装其他的DNS服务器，系统会自动选择“DNS服务器”复选框来一并安装DNS服务，使得该域控制器同时也作为一台DNS服务器，该域的DNS区域及该区域的授权会被自动创建。
由于林中的第一台域控制器必须是全局编录服务器，且不能是只读域控制器（RODC），所以这两项为不可选状态。
（14）单击“下一步”按钮，在如图所示的信息提示对话框中，单击“是”按钮继续安装，之后在活动目录的安装过程中，将在这台计算机上自动安装和配置DNS服务，并且自动配置自己为首选DNS服务器。
的位置”窗口中，需要指定将包含这些文件所在的卷及文件夹的位置。
提示：数据库存储有关用户、计算机和网络中的其他对象的信息。
日志文件记录与活动目录服务有关的活动，例如有关当前更新对象的信息。
SYSVOL存储组策略对象和脚本。
默认情况下，SYSVOL是位于%windir%目录中的操作系统文件的一部分，必须位于NTFS分区。
如果在计算机上安装有RAID(独立冗余磁盘阵列)或几块磁盘控制器，为了获得更好的性能和可恢复性，建议将数据库和日志文件分别存储在不包含程序或者其他非目录文件的不同卷（或磁盘）上。
（16）单击“下一步”按钮，在如图所示的“目录服务还原模式Administrator 密码”窗口中输入两次完全一致的密码，用以创建目录服务还原模式的超级用户帐户密码。
若提示因为密码问题，可以先按ctr+alt+delete修改密码，密码要求大写字母，小写字母符号，数字四者中至少包含三个，并且至少六位；然后继续，若还是提示密码，可以在运行——输入cmd ——输入net user administrator /passwordreq:yes 解除密码策略；（17）单击“下一步”按钮，在如图所示的“摘要”窗口中，可以查看以上各步骤中配置的相关信息。
（18）确认之后单击“下一步”按钮继续，安装向导将自动进行活动目录的安装和配置，如图所示，如果选择“完成后重新启动”复选框，则计算机会在域服务安装完成之后自动重新启动计算机，否则将会弹出如图所示的“完成Active Directory域服务安装向导”窗口，单击“完成”按钮，将重新启动计算机，即可完成活动目录的配置。
活动目录安装好之后，可以选择“开始”→“管理工具”命令，查看Windows Server 2008的管理工具安装前后出现的变化，如图所示。
菜单中增加了有关活动目录的几个管理工具，其中“Active Directory用户和计算机”用于管理活动目录的对象、组策略和权限等；“Active Directory域和信任关系”用于管理活动目录的域和信任关系；“Active Directory站点和服务”用于管理活动目录的物理结构站点。
注意：在活动目录安装之后，不但服务器的开机和关机时间变长，而且系统的执行速度也变慢，所以如果用户对某个服务器没有特别要求或不把它作为域控制器来使用，可将该服务器上的活动目录删除，使其降级成为成员服务器或独立服务器。
要删除活动目录，打开“开始”菜单，选择“运行”命令，打开“运行”对话框，输入dcpromo命令，然后单击“确定”按钮，打开“Active Directory 安装向导”对话框，并按着向导的步骤进行删除，这里不再细述其过程。
在服务器上确认域控制器成功安装的方法如下：（1）由于域中的所有对象都依赖于DNS服务，因此，首先应该确认与域控制器集成的DNS服务器的安装是否正确。
测试方法：选择“开始”→“所有程序”→“管理工具”→“DNS”命令，打如图所示的窗口，选择“正向查找区域”选项，可以见到与域控制器集成的正向查找区域的多个子目录，这是域控制器安装成功的标志。
（2）选择“开始”→“管理工具”命令，在“管理工具”菜单选项的列表中，可以看到系统已经有域控制器的若干菜单选项。
选择其中的“Active Directory用户和计算机”选项，打开如图所示的“Active Directory用户和计算机”窗口，选择“Domain Controllers”选项，可以看到安装成功的域控制器。
