域控 题目

域控修改Hosts文件脚本

该脚本通过策略组计算机启动脚本下发。

将以下红字部分复制到txt文档中改后缀名为bat即可

127.0.0.1 这段文字按格式修改为需要解析的域名即可，可以复制这行为多行修改。

第一行脚本开始

第二行检查该位置是否有log.txt文件，如有就跳到:a段

第三行将需要解析的域名写入hosts文件该行可以多次复制每句一行进行多行写入

第四行将Hosts修改成功这段文字写入log.txt文件

第五行结束

第六行 :为第二行检查做标记

第七行结束

@echo off

if exist C:\Windows\System32\drivers\etc\log.txt goto a

echo >>C:\Windows\System32\drivers\etc\hosts

echo Host修改成功>>C:\Windows\System32\drivers\etc\log.txt

exit

:a

exit

1 文章转自：51CTO。Com

主域控制器的迁移

现有环境：一台主域控制器（含AD和数据库及其WEB程序）；有一台备份域控制器；一台新的服务器6850。

目的：将主域控制器迁移到新的服务器6850上

步骤：1.首先将6850作为备份域控制器

2. SERVER1的所有信息从活动目录里面删除

3.把FSMO角色强行夺取过来

4.设置全局编录

具体操作：

（1） 运行dcpromo命令

（3）弹出Active Directory安装向导，点“下一步”

（4）这里以默认，点“下一步” 2

（5）选“现有域的额外域控制器”，点“下一步”

随后--输入管理员及密码--还原模式密码--最后一步配置（没有截图了 ）

加入过程中可能会碰到问题，如果有的话

参考/archiver/tid-151189.html

/t/20030910/10/2243270.html#

然后到google上去查找！

运行ntdsutil 3

Metadata cleanup ----清理不使用的服务器的对象

Select operation target

Connet to domain

Quit

List sites

List domains in site--显示一下Site中的域

Select domain 0 4 List servers for domain in site—找到2台服务器

Select server 0--删除0号已经坏掉的服务器

Quit—退到上一层菜单

Remove selected server—删除服务器对象

使用ADSI EDIT工具删除Active Directory users and computers中的Domain

controllers中欲删除的服务器对象 5

在AD站点和服务中删除没用的服务器对象

把复制连接也删除 6

把FSMO角色强行夺取过来用到“Ntdsutil”

域控中组策略基本设置

计算机配置：要重启生效 用户配置：注销生效

策略配置后要刷新：gpupdate /force

组策略编辑工具！ -----gpmc.msi （工具）

使用：运行--->gpmc.msc 如下键面：

文件夹重定向：

1.在域控建立一共享文件夹,权限放到最大（完全控制，无安全隐患！）

2．域账户用户登录任一台机器都能看到我的文档里的自己的东西！

禁止用户安装软件：

1. 给域用户基本权限（Domain user），但有时基本应用软件也不能运行！

2. 把域用户加入到本地power user 组可以运行软件！

域用户添加Power user组

3. 用本地用户登录机器查看！

禁止卸载：

1.权限domain user + 管理模板（相当于改动注册表！！）

2.再把控制面板里的“添加删除程序”禁用

禁止使用USB:

1. 工具（程序模板usb.adm）,拷到C:\WINDOWS\inf\usb.adm

2.

3.

4.

5.

6.

7.客户端机器重启生效

禁止绿色软件安装，如：迅雷，QQ等--------建立哈希规则：

建立了哈希规则后不论此软件放在机器的任何路径，都将被禁止！

GPO软件分发：

1. 工具：Advanced Installer 制作MSI格式文件

2. 在DC上建立一共享文件夹。把*.MSI格式文件放入，附Authenticated 可读，Admini 完全控制

3. 编辑组策略-用户配置-软件安装-右击\\(DC的IP\共享名)

4. 软件安装 右击程序包-*.MSI 已发布\已指派

停止域客户端的防火墙：

右击，域计算机-Windows-设置安全设置-系统服务windows firewall

漫游：

1.账号在客户机上登录

2.在server上建议账号空间

AD域项目说明

一、权限管理集中、管理成本下降

域环境，所有网络资源，包括用户，均是在域控制器上维护，便于集中管理。所有用户只要登入到域，在域内均能进行身份验证，管理人员可以较好的管理计算机资源，管理网络的成本大大降低。防止公司员工在客户端随意安装软件, 能够增强客户端安全性、减少客户端故障，降低维护成本。通过域管理可以有效的分发和指派软件、补丁等，实现网络内的一起安装，保证网络内软件的统一性。限制员工上网环境，禁止访问非工作以外的其他网站。

二、安全性能加强、权限更加分明

有利于企业的一些保密资料的管理,比如说某个盘允许某个人可以读写，但另一个人就不可以读写；哪一个文件只让哪个人看；或者让某些人可以看,但不可以删/改/移等。可以封掉客户端的USB端口，防止公司机密资料的外泄。安全性完全与活动目录(Active

Directory) 集成。不仅可在目录中的每个对象上定义访问控制，而且还可在每个对象的属性上定义。活动目录(Active

Directory)提供安全策略的存储和应用范围。安全策略可包含帐户信息：如域范围内的密码限制或对特定域资源的访问权；通过组策略设置下发并执行安全策略。

三、账户漫游和文件夹重定向

个人账户的工作文件及数据等可以存储在服务器上，统一进行备份、管理，用户的数据更加安全、有保障。当客户机故障时，只需使用其他客户机安装相应软件以用户帐号登录即可，用户会发现自己的文件仍然在“原来的位置”（比如，我的文档），没有丢失，从而可以更快地进行故障修复。在服务器离线时（故障或其他情况），“脱机文件夹”技术会自动让用户使用文件的本地缓存版本继续工作，并在注销或登录系统时与服务器上的文件同步，保证用户的工作不会被打断。

四、方便用户使用各种共享资源

可由管理员指派登录脚本映射分布式文件系统根目录，统一管理。用户登录后就可以像使用本地盘符一样，使用网络上的资源，且不需再次输入密码，用户也只需记住一对用户名/密码即可。各种资源的访问、读取、修改权限均可设置，不同的账户可以有不同的访问权限。即使资源位置改变，用户也不需任何操作，只需管理员修改链接指向并设置相关权限即可，用户甚至不会意识到资源位置的改变，不用像从前那样，必须记住哪些资源在哪台服务器上。