AD域服务器详细搭建PPT学习教案

1、会计学1AD域服务器详细搭建域服务器详细搭建5.1.1 活动目录简介5.1.2 活动目录的三种特性 集成性 深入性 易用性第1页/共56页规划DNS规划域结构规划组织单位结构规划委派模式第2页/共56页第3页/共56页图5-1 “Server 2003配置服务器”窗口 图5-2 显示活动目录内容第4页/共56页步骤四，单击“下一步”，打开“操作系统兼容性”对话框。其大意是早期的Windows版本无法登录Windows Server 2003创建的域。图5-3 服务器角色配置窗口第5页/共56页步骤五，单击“下一步”，“Active Directory安装向导”会询问新建的域控制器的性质，如图5

2、-5，我们选择“新域的域控制器”。图5-4 Active Directory安装向导窗口第6页/共56页步骤六，单击“下一步”，打开如图5-6所示的“创建一个新域”对话框，如果所创建的域为单位的第一个域，或者希望所创建的新域独立于现有目录林，可选择“新林中的域”。如果希望新的域成为现有域的子域，则选择“现有域中的子域”。如想创建一个与现有域树分开的、新的域树，则选择“在现有林中的域树”。这里我们选择“新林中的域”。 图5-5 选择域控制器的类型 图5-6 选择创建域的类型第7页/共56页步骤七，单击“下一步”，打开如图5-7所示的指定域名对话框，在“新域的DNS全名”文本框中输入新建域的DNS

3、全名，例如。步骤八，单击“下一步”，打开如图5-8所示的“NetBIOS域名”对话框，在“域NetBIOS名”文本框中输入NetBIOS域名，或者接受显示的名称。NetBIOS域名是供早期的Windows用户用来识别新域的。 图5-7 指定新域名 图5-8 指定NetBIOS第8页/共56页第9页/共56页图5-9 指定活动目录的数据库和日志文件的文件夹图5-10 指定系统卷共享文件夹第10页/共56页步骤十二，单击“下一步”，打开如图5-12所示的“权限”对话框，为用户和组选择默认权限，如果单位中还存在或将要用Windows 2000的以前版本，选择“与Windows 2000之前的服务器操

4、作系统兼容的权限”。否则，选择“只与Windows 2000或Windows Server 2003操作系统兼容的权限”。 图5-11 DNS注册诊断 图5-12 权限设置第11页/共56页步骤十三，单击“下一步”，打开“目录服务还原模式的管理员密码”对话框，如图5-13所示，输入并牢记该密码，以备将来目录服务还原模式下使用。步骤十四，单击“下一步”，打开“摘要”对话框，如图5-14所示。通过该对话框，用户可检查并确认设置的各个选项。图5-13 输入目录服务恢复模式管理员密码 图5-14 确认选定的选项第12页/共56页步骤十五，单击“下一步”，系统开始配置活动目录，中间将需要Windows

5、Server 2003 安装光盘，如图5-15所示。此时如果将2003光盘放入光驱，系统会自动完成对DNS服务器得配置。步骤十六，经过几分钟之后，配置完成。同时，打开“完成Active Directory安装向导”对话框，如图5-16所示，单击“完成”，即完成活动目录的安装。图5-15 配置活动目录 图5-16 完成活动目录的安装 第13页/共56页活动目录安装完成之后，必须重新启动计算机，活动目录才会生效。注意：在活动目录安装之后，不但服务器的开机和关机时间变长，而且系统的执行速度变慢。所以，如果用户对某个服务器没有特别要求或不把它作为域控制器来使用，可将该服务器上的活动目录删除，使其降级为

6、成员服务器或独立服务器。成员服务器是指安装到现有域中的附加域控制器；独立服务器是指在名称空间目录树中直接位于另一个域名之下的服务器。删除活动目录使服务器成为成员服务器还是独立服务器，取决于该服务器的域控制器的类型。如果要删除活动目录的服务器不是域中的唯一的域控制器，则删除活动目录将使该服务器成为成员服务器；如果要删除活动目录的服务器是域中最后一个域控制器，则删除活动目录将使该服务器成为独立服务器。要删除活动目录，打开“开始”菜单，选择“运行”命令，打开“运行”对话框，输入dcpromo命令，然后单击“确定”按钮，打开“Active Directory安装向导”对话框，并沿着向导进行删除，这里不

7、再细述其过程。 第14页/共56页在安装完成后，可以通过以下方法检验Active Directory安装是否正确，在安装过程中一项最重要的工作是在DNS数据库中添加服务记录（SRV记录），下面介绍一下如何检查安装结果。1检查DNS文件的SRV记录。用文本编辑器打开%SystemRoot%/system32/config/中的Netlogon.dns文件，察看LDAP服务记录，在本例中为_ldap._. 600 IN SRV 0 100 389 。2验证SRV记录在NSLOOKUP命令工具中运行是否正常。（1）在命令提示行下，输入NSLOOKUP；（2）输入set type=srv；（3）输入_

8、ldap._。如果返回了服务器名和IP地址，说明SRV记录工作正常。 第15页/共56页域（Domain）是活动目录的分区，定义了安全边界，在没经过授权的情况下，不允许其他域中的用户访问本域中的资源。活动目录可由一个或多个域组成，每一个域可以存储上百万个对象，域之间还有层次关系，可以建立域树和域林，如图5-17、5-18所示，进行无限地域扩展。图中的双箭头表示域之间的信任关系，Server 2003中域的信任关系都是双向和可传递的。 域的信任关系域的信任关系图 5-17 域树 图 5-18 域林 第16页/共56页第17页/共56页图5-19 Active Directory用户和计算机窗口第

9、18页/共56页 步骤七，当管理员为域控制器添加多个组时，还可为域控制器设置一个主要组。要设置主要组，在“隶属于”列表框中选择要设置的主要组，一般为Domain Controllers，也可为Cert Publishers，然后单击“设置主要组”按钮即可。 步骤八，选择“位置”选项卡，可以设置域控制器的位置。步骤九，选择“管理者”选项卡，要更改域控制器的管理者，可单击“更改”按钮，打开“选择用户或联系人”对话框，选择新的管理人即可。要删除管理者，可单击“清除”按钮来删除；要查看和修改管理者属性，可单击“查看”按钮，打开该管理者属性对话框来进行操作。 步骤十，域控制器设置完毕，单击“确定”按钮保

10、存设置。 第19页/共56页图5-20 设置域控制器属性 图5-21 设置成员组 第20页/共56页要查找目录内容，可参照如下步骤：步骤一，在“Active Directory用户和计算机”窗口的控制台目录树中，鼠标右击域节点，在弹出的快捷菜单中选择“查找”命令，打开“查找用户联系人及组”对话框，如图5-22所示。步骤二，在“查找”下拉列表框中可以选择要查找的目录内容，包括“用户、联系人及组”、“计算机”、“打印机”、“共享文件夹”、“组织单位”、“自定义搜索”等。例如，在列表中选择“计算机”，如图5-23所示。在“范围”下拉列表框中选择查找范围，如整个目录。步骤三，在“计算机”选项卡中，设置

11、查找条件。例如，在“计算机”文本框中输入要查找的计算机名，在“所有者”文本框中输入计算机的用户名，在“作用”下拉列表框中选择计算机在网络中作用。步骤四，单击“高级”选项卡，要设置高级查找条件，单击“字段”按钮，从弹出的快捷菜单中选择设置条件的选项，然后在“条件”下拉列表框和“值”文本框中设置查询条件。第21页/共56页步骤五，高级条件设置好之后，单击“添加”按钮，将条件添加到下面的文本框中。如果要继续添加高级条件，可按照上面步骤继续添加。步骤六，所有查找条件设置完毕，单击“开始查找”按钮即开始查找，并将查找结果列出，如图5-23下面窗口所示。图5-22 “查找用户联系人及组”对话框图图5-23

12、 列出查找结果 第22页/共56页在一个多域的网络中，用户经常需要将当前域连接到其他域，这样可使当前域中的用户和计算机访问其他域中的资源，也可将当前域控制器的部分操作主机功能传送给其他域控制器，甚至可将当前域控制器更改为其他域中的域控制器。要连接到网络中其他域，在控制台目录树中，鼠标右击“Active Directory用户和计算机”根结点，从弹出的快捷菜单中选择“连接到域”命令，打开如图5-24所示的“连接到域”对话框，在“域”文本框中输入要连接的域的名称；或者单击“浏览”，打开“浏览域”对话框选择要连接的域，单击“确定”即可建立连接。图5-24 连接到其他域 注意：一般情况下，一个域网络中

13、至少应有两个域控制器（一个域控制器和一个附加域控制器），以便在当前域控制器出现故障时，可使用附加域控制器来代替当前域控制器，保证网络的正常运行。第23页/共56页要更改域控制器，在控制台目录树中，鼠标右击“Active Directory用户和计算机”根节点，从弹出的快捷菜单中选择“连接到域控制器”，打开如图5-25所示的“连接到域控制器”对话框。在“输入另一个域控制器的名称”文本框中输入要连接的域控制器；或者从域控制器列表中选择一个要连接的域控制器。如果在域中没有列出其他可用的域控制器，可选择“任何可写的域控制器”选项，系统会根据网络连接情况自动选择可用的域控制器。要连接的域控制器选定之后，

14、单击“确定”按钮完成连接。 图5-25 连接到域控制器第24页/共56页5.4.1 用户和计算机账户简介 用户账户 计算机账户 第25页/共56页用户账户的创建可参照如下步骤：步骤一，在“Active Directory用户和计算机”窗口的控制台目录树中，双击展开域节点。步骤二，如果要创建用户账户，鼠标右击要添加用户的组织单位或容器，从弹出的快捷菜单中选择“新建”/“用户”，打开如图5-26所示的对话框。步骤三，在“姓”和“名”文本框中分别输入姓和名，并在“用户登录名”文本框中输入用户登录时使用的名字。步骤四，单击“下一步”，打开如图5-27所示的对话框。步骤五，在“密码”和“确认密码”文本框

15、中输入要为用户设置的密码。如果希望用户下次登录时更改密码，可选择“用户下次登录时须更改密码”，否则选择“用户不能更改密码”。如果希望密码永远不过期，可选择“密码永不过期”。如果暂不启用该用户账户，可选择“账户已禁用”。步骤六，单击“下一步”按钮即可完成创建。创建计算机账户方法同上，只需在上述第2步中选择“计算机”，在弹出的对话框中输入该计算机的名称，单击“确定”即可。第26页/共56页图5-26 新建用户 图5-27 密码设置第27页/共56页 要删除一个用户和计算机账户，在控制台目录树中，展开域节点。单击要删除的用户或者计算机所在的组织单位或容器，在详细资料窗格中，鼠标右击要删除的用户或者计

16、算机，从弹出的快捷菜单中选择“删除”，出现信息确认框后，单击“是”即可删除该用户或者计算机。 5.4.4 5.4.4 停用用户和计算机账户停用用户和计算机账户 停用用户账户，在控制台目录树中，展开域节点。单击要停用的用户账户或者计算机所在的组织单位或容器，在详细资料窗格中，右击要停用的用户或者计算机账户，从弹出的快捷菜单中选择“停用账户”命令，出现信息确认框后，单击“是”按钮即可停用被选用户或者计算机账户。 第28页/共56页要移动用户和计算机账户，在控制台目录树中，展开域节点。单击要移动用户或者计算机账户所在的组织单位或容器，在详细资料窗格中，鼠标右击要移动的用户账户，从弹出的快捷菜单中选择

17、“移动”，打开“移动”对话框，在“将对象移动到容器”对话框中双击域节点，展开该节点，如图5-28所示。单击移动的目标组织单位，然后单击“确定”即可完成移动。图5-28 移动账户第29页/共56页要为用户账户添加组，在控制台目录树中，展开域节点，鼠标单击要加入组的用户所在的组织单位或容器，在详细资料窗口中，鼠标右键单击该用户账户，从弹出的快捷菜单中选择“添加到组”，打开如图5-29所示的“选择组”对话框，可以直接输入组对象的名称，也可以打开“高级”选项卡进行查找。然后在组列表框中选择一个要添加的组，单击“确定”按钮即可为用户添加组。要为计算机账户添加组，在控制台目录树中，展开域节点，鼠标单击“计

18、算机”或者要加入组的计算机所在的组织单位及容器，在详细资料窗口中，鼠标右键单击该计算机账户，从弹出的快捷菜单中选择“属性”命令，打开该计算机的属性对话框。然后单击“成员属于”标签，打开“隶属于”选项卡，单击“添加”按钮，打开“选择组”对话框选择要加入的组，单击“确定”按钮完成添加。 图5-29 为用户添加组 第30页/共56页 要重新设置用户密码，在控制台目录树中，展开域节点。然后单击包含要重新设置密码的用户的组织单位或容器，在详细资料窗口中，鼠标右键单击该用户账户，从弹出的快捷菜单中选择“重设密码”，打开 “重设密码”对话框，在“新密码”和“确认密码”文本框中输入要设置的新密码。如果允许用户

19、更改密码，可选择“用户下次登录时须更改密码”复选框。单击“确定”按钮保存设置，同时系统会打开确认信息框，单击“确定”按钮可完成设置。 要管理客户计算机，在控制台目录树中，展开域节点。然后单击要管理的计算机所在的组织单位，鼠标右键单击该计算机，从弹出的快捷菜单中选择“管理”命令，打开该计算机的计算机管理窗口。在该窗口中，管理员可以对连接的计算机进行系统工具、存储、服务器应用程序和服务等方面的管理。例如可以对该计算机上的用户进行管理。 第31页/共56页v 组是Server 2003从Windows 2000系统继承下来的安全管理形式，它是指活动目录或本地计算机对象，包含用户、联系人、计算机和其他

20、组等。在Server 2003中，组可以用来管理用户和计算机对网络资源的访问，例如活动目录对象及其属性、网络共享、文件、目录、打印机队列，还可以筛选组策略。使用组，方便了管理访问目的和权限相同的一系列用户和计算机账户。v 组织单位（Organizational Unit，OU）是域中包含的一类目录对象，它包括域中一些用户、计算机和组、文件与打印机等资源。不过，组织单位不能包含其他域中的对象。由于活动目录服务把域又详细的划分成组织单位，且组织单位中还可以再划分下级组织单位，因此组织单位的分层结构可用来建立域的分层结构模型，进而可使用户把网络所需的域的数量减至最小。注意：组和组织单位有很大的不同。

21、组主要用于权限设置，而组织单位则主要用于网络构建；另外，组织单位只表示单个域中的对象集合（可包括组对象），而组可以包含用户、计算机、本地服务器上的共享资源、单个域、域目录树或目录林。 第32页/共56页要创建新组，在控制台目录树中，展开域节点。鼠标右键单击要进行组创建的组织单位或容器，从弹出的快捷菜单中选择“新建”/“组”命令，打开如图5-30所示的对话框，在“组名”文本框中输入要创建的组名。在“组作用域”选项区域中，选择单选按钮来确定组的作用域；在“组类型”选项区域中，通过单选按钮来选择新组的类型。单击“确定”按钮即完成组的创建。要添加组织单位，在控制台目录树中，展开域节点。鼠标右键单击域节

22、点或者可添加组织单位的文件夹节点，从弹出的快捷菜单中选择“新建”/“组织单位”命令，在打开的对话框的“名称”文本框中输入新创建组织单位的名称，单击“确定”即可。图5-30 创建组第33页/共56页要删除组和组织单位，在控制台目录树中，展开域节点。鼠标单击要删除的组或组织单位所在的组织单位，详细资料窗格中会列出该组织单位的内容。然后鼠标右键单击要删除的组或组织单位，选择快捷菜单中“删除”命令，这时系统会打开信息确认框，单击“是”按钮即完成组或组织单位的删除。第34页/共56页如果要对某个组或组织单位进行委派控制，可参照下面的步骤：步骤一，在“Active Directory用户与计算机”窗口的控

23、制台目录树中，鼠标双击展开域节点。步骤二，鼠标右键单击要委派控制的组织单位或组节点，例如Users，从弹出的快捷菜单中选择“委派控制”命令，进入“控制委派向导”窗口，单击“下一步”按钮。步骤三，在打开的“用户和组”对话框中，单击“添加”按钮，打开“选择用户、计算机或组”对话框，你可以直接输入一个或多个要委派控制的用户或组，也可单击“高级”选项卡进行查找，从列表中选择一个或多个要委派控制的用户或组。步骤四，选择之后单击“确定”按钮，则在图5-31中的“输入对象名来选择”文本框中会出现所选对象，单击“确定”。步骤五，在打开的窗口中单击“下一步”按钮，打开“要委派的任务”对话框。我们可以选择要委派的

24、常见任务。我们这里选择“创建自定义任务去委派”选项。步骤六，单击“下一步”按钮，打开如图5-32所示对话框。指定委派任务范围。如果要委派的对象为整个文件夹，可选择“这个文件夹”，如果要委派的对象只是文件夹中的对象，可选择“文件夹中的对象”，并在“对象类型”列表框中通过复选框来选择对象。 第35页/共56页图5-31选择用户和组 步骤七，单击“下一步”按钮，打开“权限”对话框，如图5-33所示。通过选择“要委派的权限”复选框来选择要委派的权限，例如选择“读取”、“创建所有子对象”等复选框设置相应权限。注意，对不同资源进行控制委派，配置向导有所不同。 第36页/共56页图5-32 定义要委派控制任

25、务 图5-33 指定委派权限第37页/共56页要设置组织单位的属性，可参照下面的步骤。步骤一，在控制台目录树中，鼠标右键单击要设置属性的组织单位，从弹出的快捷菜单中选择“属性”命令，打开该组织单位的属性对话框，如图5-34所示。步骤二，在“常规”选项卡中，可以设置“描述”、“省/自治区”、“县市”、“街道”和“邮政编码”等计算机和用户常规信息。 图5-34 设置属性 图5-35 管理组策略第38页/共56页步骤三，选择“管理者”选项卡，单击“更改”按钮，打开“选择用户或联系人”对话框选择一个用户或联系人作为管理者；管理者更改之后，单击“属性”按钮，可打开所更改的管理者的属性对话框，管理员可对管

26、理者的属性进行修改，如果要清除管理者，单击“清除”按钮即可。步骤四，单击“组策略”选项卡，如图5-35所示。要新建一个组策略对象，单击“新建”按钮，在“组策略对象链接”列表框中会出现一个新的组策略对象，在其名称文本框中为新策略输入一个有意义的名称。步骤五，单击“编辑”按钮，会打开如图5-36所示的“组策略编辑器”窗口。在该窗口中，管理员可对创建的组策略进行编辑，包括计算机配置和用户配置两个方面。如图5-36所示可以对计算机配置中的“登录”策略进行编辑，例如登录时是否显示欢迎界面，启动和登录是否等待网络等性质进行设置。编辑完毕，关闭窗口。步骤六，要设置某个组策略对象的属性，在图5-35中组策略对

27、象链接列表中选择对象，单击“属性”按钮，打开该对象属性对话框，进行“常规”、“链接”和“安全”方面的设置。步骤七，在列表中，不同位置的组策略对象具有不同的优先级，较高位置的组策略对象比较低位置的组策略对象优先级高。所以，管理员可以改变组策略对象在列表中的位置来决定组策略对象的应用级别。要改变某个组策略对象在列表中的位置，选择该对象，单击“向上”或“向下”按钮即可上移或下移该对象。如果要删除某个组策略对象，在列表中选择该对象，然后单击“删除”按钮即可。 第39页/共56页图5-36 编辑组策略 第40页/共56页步骤八，用户要配置某个组策略对象的选项，在如图5-35组策略链接列表中选择“策略”对

28、象，单击“选项”按钮，打开该组策略对象的选项对话框，如图5-37所示。在“链接选项”选项区域中，选择“禁止替代”复选框，可防止其他组策略对象替代这个组对象中的策略集；启用“已禁用”复选框，可暂时禁用该策略，需要启用时，禁用“已禁用”复选框即可。然后单击“确定”按钮返回到组策略选项卡。步骤九， 如果要防止组策略被下一级组织单位所继承，可启用“阻止策略继承”复选框（见图5-35）。最后单击“关闭”按钮保存属性设置。 图5-37 配置组策略对象选项 第41页/共56页要设置组的属性，具体步骤如下：步骤一，在控制台目录树中鼠标单击要设置属性的组所在的组织单位或容器，在详细资料窗口中，鼠标右键单击要添加

29、成员的组，从弹出的快捷菜单中选择“属性”命令，打开该组的属性对话框，如图5-38所示。步骤二，为了便于管理，在“描述”和“注释”文本框中分别输入有关该组的描述和注释；可以修改组名称；为了便于组管理员与组成员交换信息，在“电子邮件”文本框中输入组管理员的电子邮件地址。 图5-38 设置常规属性 图5-39 添加成员到组第42页/共56页步骤三，单击“成员”选项卡，如图5-39所示。要添加成员，单击“添加”，打开“选择用户联系人或计算机”对话框选择要添加的成员。要删除组成员，在“成员”列表框中选择要删除的组成员，然后单击“删除”即可。步骤四，用户设置新组的权限,主要通过向新组添加内置组来实现。选择

30、“隶属于”选项卡，单击“添加”，打开“选择组”对话框，为自己创建的组选择内置组。要删除某个组权限，在“隶属于”列表框中选择该组，单击“删除”即可。步骤五，要设置组的管理者，选择“管理者”选项卡。要更改组管理者，单击“更改”按钮，打开“选择用户或联系人”对话框选择管理者；要查看管理者的属性，单击“属性”按钮进行查看；如果要清除管理者对组的管理，单击“清除”按钮即可。步骤六，属性设置完毕，单击“确定”按钮保存设置并关闭属性对话框。 第43页/共56页5.6.1 资源发布的管理一、资源的发布1公布共享文件夹的步骤如下：（1）运行“管理工具”/“Active Directory域和信任关系”管理应用程

31、序；（2）在控制台树中，鼠标双击“域节点”；（3）鼠标右键单击想在其中添加共享文件夹的文件夹，指向“新建”并单击“共享文件夹”对话框，如图5-40所示；（4）键入文件夹的名称和网络路径；（5）单击“确定”按钮完成操作。2公布打印机的步骤如下：（1）打开“Active Directory用户和计算机”；（2）在控制台树中，鼠标双击“域节点”；（3）在控制台树中，鼠标右键单击想在其中公布打印机的文件夹，指向“新建”，并单击“打印机”；（4）键入网络路径，如图5-41所示。（5）单击“确定”按钮完成操作。 第44页/共56页图5-41 设置共享打印机路径 图5-40 设置共享文件夹第45页/共56页

32、第46页/共56页1提升域功能级别Windows Server 2003中有四个域功能级别，下表列出了域功能级别及其所支持的域控制器。默认情况下，域以Windows 2000混合功能级别操作。域功能级别支持的域控制器Windows 2000 混合模式Windows NT 4.0、Windows 2000、Windows Server 2003家族Windows 2000 纯模式Windows 2000、Windows Server 2003家族Windows Server 2003临时Windows NT 4.0、Windows Server 2003家族Windows Server 2003Windows Server 2003家族表5-1 域功能级别与其支持的域控制器第47页/共56页根据网