下载文档原格式
Windows Server 2008中Active Directory域的配置管理摘要：随着计算机技术的发展，利用域管理网内计算机的新技术得到广泛应用，本文图例介绍了windows平台的active directory 域及配置管理方法关键词：windows server active directory域配置管理中图分类号：tp316 文献标识码：a 文章编号：1007-9416(2012)02-0155-02活动目录（active directory）是windows server 2008操作系统提供的一种新的目录服务。
所谓目录服务其实就是提供了一种按层次结构组织的信息，然后按名称关联检索信息的服务方式。
这种服务提供了一个存储在目录中的各种资源的统一管理视图，从而减轻了企业的管理负担。
另外，它还为用户和应用程序提供了对其所包含信息的安全访问。
活动目录作为用户、计算机和网络服务相关信息的中心，支持现有的行业标准ldap（lightweight directory access protocal，轻量目录访问协议）第8版，使任何兼容ldap 的客户端都能与之相互协作，可访问存储在活动目录中的信息，如linux、novell系统等。
创建域之前需验证windows server 2008系统具备以下条件：(1)在安装windows server 2008的计算机上至少有一个ntfs分区，至少有250m的空间。
(2)计算机上必须配置好ip地址和dns服务器地址。
(3)具须具备管理员权限。
dns服务可以在安装活动目录前安装，也可以在活动目录集成安装，即在安装活动目录过程中安装。
1、安装active directory域一般情况下，在新安装系统时，系统会提示是否选择安装【活动目录】选项，通常不安装活动目录，以便用户有时间来规划与活动目录有关的协议和系统结构。
活动目录服务一般需要在安装windows server 2008后进行安装，可以使用“dcpromo”命令，“dcpromo”是一个图形化的向导程序，它将引导用户一步一步地建立域控制器。
Server2008活动目录域服务实战前言Microsoft Windows Server 2008 Active Directory Domain Services (AD DS) 在不同的领域给用户带来了很多增强的特性。
我们将具体介绍Windows Server 2008 Directory Services，以及它是如何结合Windows Server 2008特有的在安全和管理性方面的大量原则。
Read-Only Domain Controller (RODC) 是Windows Server 2008中最大的特性并有拥有最强的增强。
在Windows Server 2008过去的两年半时间内，大约有80%的开发资源是投入到RODC。
RODC的特性是非常丰富和令人兴奋的。
管理角色的分离允许管理员将管理权限指派给Read-Only DC级别的一些用户。
这极大地减轻了拥有许多域管理员的负担并提高了安全性。
Server Core和DC角色被显著地增强来大大地减少了服务器受攻击的层面。
组策略有许多新特性和新设置，使用起来更容易，扩展了它的范围，并变的更加稳定。
下面让我们浏览一下Windows Server 2008 Directory Services 的新特性和增强。
安全的增强Windows Server 2008中的活动目录域服务（AD DS）提供了安全领域的增强。
在安全领域，只读域控制器（RODC）扮演了一个重要的角色。
RODC为在那些地方部署域控制器提供了一个更安全的方法。
它们要求快速、可靠和坚固的认证服务，但也有安全限制，如禁止部署可写域控制器。
RODC主要设计用于部署在远程基础结构环境中。
在这样的环境中一般有相对比较少的用户，物理安全比较薄弱，到中心站点的网络带宽比较少，以及很少的本地IT经验。
域名称服务和域控制器，RODC，和完整DCs 支持活动目录Server Core角色。
除了账号密码，RODC持有所有可写域控制器持有的AD DS对象和属性，但是不能对存储在RODC上副本做修改。
测试环境：服务器：计算机名Win2008R2CNDC,已安装Windows Server 2008 R2。
IPV4:192.168.1.13,255.255.255.0,网关地址192.168.1.1管理员：Bill.XU实验要求：安装第一个企业根据域控制器域名为。
部署过程：以下操作都是以管理员Bill.XU登录完成方法一：手动部署1、使用事件查看器(EventVWR.MSC），查看日志情况。
并要所查看情况，进行系统诊断，确保安装前系统的状态正常2、打开网络连接，设置网卡的IP4地址为一静态地址，同时将DNS服务器地址设置为127.0.0.13、运行DCPROMO,出现设置向导。
设置过程如下图检测系统是否安装AD域服务二进制文件，如果没有，系统会自动安装(也可以在运行命令之前，通过服务器管理器，添加活动目录域服务角色来安装）出现活动目录域服务安装向导，选择高级模式（如果不选择此项，安装过程中将无法对有些设置进行更改，如域Netbios名的更改等）由于这是森林中的第一台服务器，所以选择在新林中新建域。
功能级别，所提供的功能不同。
如要使用R2新增的活动目录回收站功能，必须将功能级别提升到2008 R2功能级别。
要使用棵粒化密码策略，须将功能级别提升到2008。
R2新增了一种功能级别即2008 R2级别。
注意功能级别的操作是单向，即当提升到一个高功能级别后，它不能再降为低功能级别。
除非得新安装AD 域服务具体见：Appendix of Functional Level Features此实验中，DC也是一台DNS服务器，所以要勾选DNS服务器。
同时，这是森林中的第一台DC，所以全局编录（GC），只读域控制器（RODC）不可操作。
森林中必须至少有一台GC，同时要安装RODC，域中必须首先有一台可写的DC。
指定活动目录数据库的存放位置。
在一个大型的网络中，为了提高活动活动工作效率，可以将数据在放在其它的磁盘控制器或RAID上。
2015-2016学年度网络、网站专业班 windows server 2008 网络操作系统课程教案从安全管理角度讲，域是安全的边界；6) 域树一组具有连续命名空间的域组成的；域通过自动建立的信任关系连接起来；根域：最上层的域名就属于这棵域树的根域子域：根域下面的两个域就属于子域，它包含了上一层父域的域名。
7) 域林由一棵或多棵域树组成的；每棵域树独享连续的命名空间；不同域树之间没有命名空间的连续性；域林中第一个创建的域称为域林根域，根域不可删除、更改和重命名。
8) 组织单位（ou）组织、管理一个域内对象的容器包容用户账户、用户组、计算机、打印机和其他的组织单位具有很清楚的层次结构，管理员可以根据自身的要求进行定义。
课间休息（10min）找出图片中三个域的相同之处？ 2015-2016学年度网络、网站专业班 windows server 2008 网络操作系统实训课教案3.安装活动目录(1)启动Active Directory域服务安装向导；方法一：【服务器管理器】窗口方法二：运行dcpromo命令安装活动目录(2) 在【Active Directory域服务安装向导】欢迎界面中，确定是否使用高级模式安装；(3) 在【操作系统兼容性】向导页中，提示Windows Server 2008中改进的安全设置会影响老版本的Windows，单击【下一步】；（(4）如果系统的TCP/IP配置中没有配置首选DNS服务器IP地址时，将打开【配置域系统客户端设置】向导页，提示必须要配置DNS客户端。
可以选中复选框即在这个服务器中安装DNS服务;(5) 在【选择某一部署配置】向导页中，若要创建一台全新的域控制器，则选择【在新林中新建域】单选按钮；如果网络中已经存储其他域控制器或林，则选择【现有林】单选按钮，再确定是【向现有域添加域控制器】还是【向现有林中新建域】;(6) 在【命名林根域】向导页中，输入林根域的域名,如：;(7) 在【设置林功能级别】向导页中，选择林功能级别（为限制哪些windows server操作系统可以在此域控制器上运行）;(8) 在【设置域功能级别】向导页中，选择域功能级别（不可低于林）;(9) 在【其他域控制器选项】向导页中，设置其他信息;(10) 安装向导开始检查DNS配置，打开【Active Directory域服务安装向导】警告框(11) 安装向导开始检查DNS配置，打开【Active Directory域服务安装向导】警告框; 在【数据库、日志文件和SYSVOL的位置】向导页中，指定Active Directory数据库（域中对象的有关信息）、日志文件（存储活动目录与服务的有关服务）和SYSVOL文件夹（操作系统文件的一部分）在服务器上的存储位置;(12) 在【目录服务还原模式的Administrator密码】向导页中，设置在目录服务还原模式(DSRM)下启动此域控制器的密码;(13) 在【摘要】向导页中，显示前面所进行的设置以便用户检查;(14) 在【Active Directory域服务安装向导】警告框中，提示正在根据所设置的选项配置Active Directory;(15) 配置完成;(16) 提示重新启动计算机;(17) 系统已升级为Active Directory域控制器，此时必须使用域用户账号登录，其格式是“域名\用户账户;(18)【Active Directory用户和计算机】窗口注：每一个操作都会给学生发一个PDF格式的操作流程。
活动目录及域控制器的安装与配置一、安装DC（域控制器）的必备条件1、本地管理权限（系统管理员权限）2、操作系统版本必须满足条件Windows Server 2005windows Derver 20082、有TCP/IP4、有足够的可用磁盘空间5、NTFS 分区（至少要有一个NTFS分区）6、需DNS的支持。
二、安装DC1,、打开方法：开始-运行-输入“dcpromo”，就会出现图1-1所示的AD域服务器安装向导。
一般默认安装就行，钩不勾选高级差别不大。
图1-1图1-22、选择在新林中新建域数据库和日志文件夹默认保存位置C:\windows\NTDS Sysvol文件夹的位置必须为NTFS分区图1-3在这里输入你要新建的域名，域名一般是按照或形式建立图1-4在这里选择要安装的域控制器的操作系统版本，一般先选择最低级别的windows 2000 server,这里的好处是以后可以根据需要升级到高版本的如server 2003,2008等，如果直接选择最高版本的以后低版本的某些功能可能不会实现。
图1-5图1-6因为我的电脑之前已经安装了一个与服务器了所以这里会出现这个提示。
图1-7这里可能会出现如下图所示的对话框，问你是否配置静态IP，最好先到IPv4的协议中配置好ip和dns，网关根据需要来，也可以先不用配置。
图1-84、输入目录服务还原模式的Administrator密码。
一定不要忘记此密码，此密码可用于卸载你已经安装的好的域控制器图1-9图1-10图1-11图1-12这里我们可以看到，我的管理员前面出现了一个TARENA的域名，说明已经成功了，如果你重启后也看到你自己添加的域名证明你成功了图1-13让我们登陆看一下吧，登录Administrator用户，打开开始菜单——管理工具——就能看到活动目录了，图1-14，很好继续。
图1-14下图是打开活动目录后，看到自己新建的域——，你的不一定是这个哦，看你自己输入的域名是什么它就显示什么。
2015-2016学年度网络、网站专业网络1401、网络1402、网站1401 班 windows server 2008 网络操作系统课程教案(12) 在【目录服务还原模式的Administrator密码】向导页中，设置在目录服务还原模式(DSRM)下启动此域控制器的密码;(13) 在【摘要】向导页中，显示前面所进行的设置以便用户检查;(14) 在【Active Directory域服务安装向导】警告框中，提示正在根据所设置的选项配置Active Directory;(15) 配置完成;(16) 提示重新启动计算机;(17) 系统已升级为Active Directory域控制器，此时必须使用域用户账号登录，其格式是“域名\用户账户;(18)【Active Directory用户和计算机】窗口2.检查DNS服务器内SRV记录的完整性1）SRV记录的作用它是DNS服务器的数据库中支持的一种资源记录的类型，它记录了哪台计算机提供了哪个服务这么一个简单的信息。
2）目的：使其他域成员和域控制器通过SRV记录发现此域控制器。
3）检查方法：(1) 首选DNS改成指向自己的IP地址(系统默认：127.0.0.1）(2) 打开【DNS管理器】窗口，检查DNS服务器内的SRV记录是否完整上面区域内有4项下面的区域有6项课间休息1.将Windows计算机加入域（35min）教师在教师机上给学生演示查看过程1）目的：必须加入到域，才能接受域的统一管理，使用域中的资源Home版不能添加到域中2）添加到域的步骤：(1) 在【Internet协议(TCP/IP)属性】对话框中，指定DNS服务器的地址；(2) 打开【系统属性】对话框，在【计算机名】选项卡中，单击【更改】按钮；(3) 在【计算机名称更改】对话框中，选中【隶属于】选择区域的【域】单选按钮，输入要加入的域的名称(4) 输入具有将计算机加入到域权限的账户名称和密码；(5) 验证通过，加入域成功；(6) 关闭【系统属性】对话框，系统提示重新启动计算机以便使用所做的改动；(7) 打开【Active Directory用户和计算机】窗口，选择控制台树中Computers节点，就可以看到新加入域的客户机2.使用已加入域的计算机登录1）Windows XP客户端2）Windows Vista/ 7、2008客户端请同学上来在教师机上演示，教师指导。
第七章部署活动目录安装活动目录一、检查DCX是否满足安装活动目录的条件：1、以管理员账户登录到DCX2、配置IP地址为1.1.1.13、检查是否有NTFS分区二、安装活动目录：1、单击“开始”→“运行”，输入“dcpromo”,打开“Active Dirrectory域服务安装向导”2、点击下一步：阅读操作系统兼容性说明3、在“选择某一项部署配置”页面中，选择“在新林中新建域”。
4、在“命名林根域”页面中输入目录林根域的域名5、在“林功能级别”页面选择林功能级别6、在“选择域功能级别”页面选择域功能级别（选择的系统版本越低兼容性越高）7、在“其他域控制器选项”页面中选择“DNS服务器”8、在“数据库、日志文件和SYSVOL的位置”页面中，接受默认的位置，单击“下一步”按钮。
9、在“目录服务还原密码模式的administrator密码”页面中，输入并确认一个强密码，单击“下一步”按钮。
10、在“摘要”页面中，检查所有的选择，如果没有问题，单击“下一步”按钮。
11、开始安装和配置活动目录服务服务。
12、完成安装后，按提示重新启动计算机。
将计算机加入的到域一、配置机StuX1、以管理员账户登录的StuX2、配置ip地址为192.168.16.3，首选DNS为192.168.16.13、在“桌面”右击选择“属性“4、选“高级系统设置”→“计算机名”→“更改”→在“隶属于”选项中选择“域”→输入域名benet.co m→点击“确定”5、在“windows安全”对话框中输入域管理员的账户和密码，点击“确定”按钮。
6、成功加入到域的提示，点击“确定”按钮，根据提示重启计算机。
7、8、二、OU的管理：1、以管理员账户登录到域服务器。
2、点“开始”→“管理工具”→“Active Directory用户和计算机。
3、右击域名，选择“新建”→“组织单位”4、在新建对象对话框中输入OU的名字“行政部”5、参照以上步骤，分别创建“人事部”“工程部”“销售部”和“财务部”的OU6、右击域名，选择“新建”→“用户”7、在新建用户对话框中输入用户信息和用户名8、点“下一步”输入用户密码9、右击用户名，选择“移动”，按向导提示，将其移动到销售部OU中10、分别将每个OU中创建多个用户账户。
