第6章 活动目录的配置和管理

第6章活动目录的设置与管理虽然活动目录具有强大的功能，但在安装Windows2000时，系统并没有安装活动目录。用户要将本人的效力器配置成域控制器，发扬活动目录的作用，必需安装活动目录。系统提供的活动目录安装导游，可协助用户配置本人的效力器。假设网络没有其他域控制器，可将效力器配置为域控制器，并新建子域，新建域目录树或目录林。假设网络中有其他域控制器，可将效力器设置为附加域控制器，参与旧域、旧目录树或目录林。要安装活动目录，可参照下面的步骤1.启动Windows2000Server系统自动翻开“Windows2000配置效力器〞窗口

2.在左边的列表中单击ActiveDirectory〔活动目录〕超级链接，并拖动右边的滚动条究竟部，使对话框3.单击“开场〞超级链接，翻开“ActiveDirectory安装导游〞对话框4.单击“下一步〞按钮，翻开如下图的“域控制器类型〞对话框，选择“新域的域控制器〞单项选择按钮，使效力器成为新域中的第一个域控制器。假设网上已有域控制器，可选择“现有域的额外域控制器〞单项选择按钮。

7.单击“下一步〞按钮，翻开如图9-7所示的“新的域名〞对话框，在“新域的DNS全名〞文本框中输入新建域的DNS全名，例如kbsoft。

8.单击“下一步〞按钮，翻开如图9-8所示的“NetBIOS域名〞对话框，在“域NetBIOS名〞文本框中输入NetBIOS域名，或者接受显示的称号。NetBIOS域名是供早期的Windows用户用来识别新域的。9.单击“下一步〞按钮，翻开如图9-9所示的“数据库和日志文件位置〞对话框，在“数据库位置〞文本框中输入保管数据库的位置，或者单击“阅读〞按钮选择途径，在“日志位置〞文本框中输入保管日志的位置或单击“阅读〞按钮选择途径。留意，基于最正确性和可恢复性的思索，最好将活动目录的数据库和日志保管在不同的硬盘上。

10.单击“下一步〞按钮，翻开如图9-10所示的“共享的系统卷〞对话框，在Windows2000中，Sys.vol文件夹存放域的公用文件的效力器副本，它的内容将被复制到域中的一切域控制器上。在“文件夹位置〞文本框中输入Sys.vol文件夹位置，或单击“阅读〞按钮选择途径

11.单击“下一步〞按钮，假设用户没有配置称号为kbsoft的DNS效力器，那么系统会提示用户配置DNS效力器，单击“确定〞按钮，即可翻开“配置DNS〞对话框，如图9-11所示。12.假设经过导游为新域安装和配置DNS效力器,选择“是，在这台计算机上安装和配置DNS〔引荐〕〞单项选择按钮。假设要在安装活动目录之后再安装和配置DNS，可选择“否，我将本人安装并配置〞单项选择按钮。

13.单击“下一步〞按钮，翻开如图9-12所示的“WindowsNT4.0RAS效力器〞对话框，假设希望减弱WindowsNT4.0RAS的访问权限选择“是，减弱权限〞单项选择按钮。假设不更改访问权限，选择“否，不要更改权限〞单项选择按钮。。

14.单击“下一步〞按钮，翻开“摘要〞对话框，如图9-13所示。经过该对话框，用户可检查并确认选定的选项。15.单击“下一步〞按钮，系统开场配置活动目录，同时翻开“正在配置ActiveDirectory〞对话框，显示配置过程，如图9-14所示。16.经过几分钟之后，配置完成。同时，翻开“完成〞ActiveDirectory安装导游〞对话框，单击“完成〞按钮，即完成活动目录的安装，重新启动计算机，活动目录即会生效。

注释在活动目录安装之后，不但效力器的开机和关机时间变长，而且系统的执行速度变慢。所以，假设用户对某个效力器没有特别要求或不把它作为域控制器来运用，可将该效力器上的活动目录删除，使其降级为成员效力器或独立效力器。成员效力器是指安装到现有域中的附加域控制器；独立效力器是指在称号空间目录树中直接位于另一个域名之下的效力器。使删除活动目录的效力器成为成员效力器还是独立效力器，取决于该效力器的域控制器的类型。假设要删除活动目录的效力器不是域中的独一的域控制器，那么删除活动目录将使该效力器成为成员效力器；假设要删除活动目录的效力器是域中最后一个域控制器，那么删除活动目录将使该效力器成为独立效力器。

要删除活动目录，翻开“开场〞菜单，选择“运转〞命令，翻开“运转〞对话框。在“翻开〞下拉列表框中输入dcpromo，然后单击“确定〞按钮，翻开“ActiveDirectory安装导游〞对话框，并沿着导游进展删除。虽然活动目录具有强大的功能，但在安装Windows2000时，系统并没有安装活动目录。用户要将本人的效力器配置成域控制器，发扬活动目录的作用，必需安装活动目录。系统提供的活动目录安装导游，可协助用户配置本人的效力器。假设网络没有其他域控制器，可将效力器配置为域控制器，并新建子域，新建域目录树或目录林。假设网络中有其他域控制器，可将效力器设置为附加域控制器，参与旧域、旧目录树或目录林。要安装活动目录，可参照下面的步骤活动目录的设置与管理1域用户2域组3用户配置文件和主文件夹我们用这个帐号"Jack"登录到"域"中看看，翻开下面的"登录到"选单，选择"SOFT"域。第一次用该帐号登录域，破费的时间要长一点，以后就比较快了。我们翻开“控制面板〞，双击“用户和密码〞，这时会出现一个“用户和密码〞对话框，要求指定本机管理员的用户名和密码，验证身份后就进入“用户和密码〞窗口，他会发如今其中多出了一个用户“Jack〞，原来我们并没有创建这个用户，这个帐号的图标也与众不同，本机用户的图标都是一个小电脑和一个头像组成，这个用户是一个地球和一个头像组成，阐明其来自“域Soft〞，这就是我们刚刚在将计算机参与到“域〞中。1域用户1.1创建域用户账号1.2设置域用户账号属性1.1创建域用户帐户运用域用户帐户登录计算机

完好的域用户登录名：登录名@域名1.2设置域用户帐户属性留意以下几点：“登录时间〞只限制登录到域中的时间。“登录到〞在选定“计算机名〞时，只能输入计算机的NetBIOS名，不能输入DNS或IP地址。“账户过期〞选项，只限定在该日期之后登录到域的恳求，假设不断登录在域中没有注销，那么不会自动注销。2.域方式下的组2.1域方式中的组类型2.2域方式中的组作用域2.3创建域中的组2.4域方式中的组战略2.1域组的类型平安组：用来为用户和计算机分配权限，是Windows2003的平安主体，有独一SID。分布组：不能分配权限，只能与电子邮件运用程序一同运用以便将电子邮件发送到用户集。不是Windows2003的平安主体，没有SID。注：运用分发组的运用程序必需支持活动目录。2.2域组的作用域全局组作用域、本地域组作用域和通用组作用域。全局组作用域：其成员是对网络有一样访问权限的用户。其作用范围是整个域树。本地域组作用域：可以被赋予访问域中任何地点的资源的权限，本地域组的权限作用范围仅限于创建该组的域中。具有开放的成员资历，可以接受任何一种账号成为该组的成员。但本地域组不能成为其他任何组的成员。通用组作用域：作用范围是在整个域树中，通用组具有开放的成员资历可以接受任何一种账号成为该组的成员。可以成为其他任何组的成员。2.3创建域中的组2.4AGDLP规那么用户账号多个全局组全局组本地域组授权AGDLPGDLG把域用户账号添加到全局组(可选)把多个全局组添加到另