Windows Server 本地帐户管理

16
15
2．帐户锁定策略管理 所谓的帐户锁定策略，指用户设置什么时候及多 长时间内帐户将在系统中被锁定不能使用。 Windows Sever 2003 在默认情况下，没有对帐户 锁定进行设定，为了保证系统的安全，最好设置帐 户锁定策略。帐户锁定原则包括如下设置：帐户锁 定阈值、帐户锁定时间和重设帐户锁定计算机的时 间间隔。
3

1.1 任务一 了解用户帐户
用户帐户是计算机操作系统实现安全机制的基本而重 要的技术手段，操作系统通过用户帐户来辨别用户身份， 让具有一定有使用权限的人登录计算机，访问本地计算 机资源或从网络访问这台计算机的共享资源。 用户登录系统时，本地系统验证用户帐户的有效性的 基本原理是这样的：如果用户提供了正确的用户名和密 码，则本地系统分配给用户一个访问令牌（Access Token），该令牌定义了用户在本地计算机系统上的访 问权限，资源所在的计算机系统负责对该令牌进行鉴别， 以保证用户只能在管理员定义的权限范围内使用本地计 算机上的资源。对访问令牌的分配和鉴别是由本地计算 机操作系统的本地安全权限（LSA）负责的。
4
Windows Server 2003支持两种用户帐户：本地帐 户和域帐户。 本地用户帐户是指安装了Windows Server 2003 的计算机在本地安全目录数据库中建立的帐户。使 用本地帐户则只能登录到建立该帐户的计算机上， 并访问该计算机上的系统资源。此类帐户通常在工 作组网络中使用，其显著特点是基于本机。 域用户帐户是建立在域控制器的活动目录数据中的 帐户。此类帐户具有全局性，可以登录到域网络环 境模式中的任何一台计算机，并获得访问该网络的 权限。这需要系统管理员在域控制器上，为每个登 录到域的用户创建一个用户帐户。
Windows Server 本地帐户管理
1
学习目标
理解本地用户帐户和组帐户的概念 熟练创建本地用户、组帐户
熟悉设置、管理本地用户、组帐户
熟悉本地用户帐户的安全管理
2
1 技能一 掌握管理用户帐户的方法
用户帐户是用来登录到计算机或通过网络访问计算 机或网络资源的凭证，它是用户在Windows Server 2003操作系统中的惟一标志，任何用户要 登录到Windows Server 2003的计算机或者网络资 源，访问网络资源都必须拥有一个合法的用户帐户。 Windows Server 2003通过建立帐户（包括用户帐 户和组帐户），并赋予帐户合适的权限来保证使用 网络和计算机资源的合法性，以确保数据访问、存 储的安全需要。
6
1.2 任务二 掌握创建用户帐户的方法
1．用户帐户创建前的规划
在系统中操作创建之前，先制定一个用户帐户创 建所遵循的规则或约定，这样可以更好的方便和统 一帐户的日后管理工作，提供高效、稳定的系统应 用环境： （1）用户帐户命名规划 （2）用户帐户密码的规划
7
2．创建本地用户帐户
用户必须拥有管理员权限，才可以创建用户帐户。 可以用“计算机管理”中的“本地用户和组”管理 单元来创建本地用户帐户。
8
2.1.3 任务三 学会设置用户帐户属性
为了管理和使用的方便，一个用户帐户不只包括用 户名和密码等信息，还包括其他的一些属性，如用 户隶属的用户组、用户配置文件、用户的拨入权限、 终端用户设置等。可以根据需要对帐户的这些属性 进行设置。
9
2.1.4 任务四 掌握删除本地用户帐户的方法
对于不再需要的帐户可以将其删除,但在执行删除 操作之前应确认其必要性，因为删除用户帐户会导 致与该帐户有关的所有信息的遗失。 每个用户都有一个名称之外的唯一的标符SID号， SID号在新增帐户时由系统自动产生，不同帐户的 SID不会相同。由于系统在设置用户的权限、访问 控制列表中的资源访问能力信息时，内部都使用 SID号，所以一旦用户帐户被删除，这些信息也就 跟着消失了。即使重新创建一个名称相同的用户帐 户，也不能获得原先用户帐户的权限。系统内置帐 户如Administrator、Guest等无法删除。
11
2.2.2 任务二 掌握创建本地用户组的方法
管理员必须根据需要新增一些组，即用户自定义组。 这些组创建之后，就可以像管理系统内置组一样， 赋予其权限和进行组成员的增加。只有本地计算机 上的Administrators组和Power Users组成员有权 创建本地用户组。
12
2.2.3 任务三 掌握删除、重命名本地组及修改本地组成员的方法
5
Windows Server 2003系统的最常用的两个内置帐 户是Administrator和Guest： Administrator：即系统管理员，拥有最高的使 用资源权限，可以对该计算机或域配置进行管理, 如创建修改用户帐户和组、管理安全策略、创建打 印机、分配允许用户访问资源的权限等。 Guest：即为临时访问计算机的用户而提供的帐户。 Guest帐户也是在系统安装中自动添加的，并且不 能删除，在默认情况下，为了保证系统的安全， Guest帐户是禁用的。
10
2.2 技能二 掌握管理组帐户的方法
2.2.1 任务一 了解组帐户
组是多个用户、计算机账号、联系人和其他组的集合， 也是操作系统实现其安全管理机制的重要技术手段。属 于特定组的用户或计算机称为组的成员。使用组可以同 时为多个用户帐户或计算机帐户指派一组公共的资源访 问权限和系统管理权利，而不必单独为每个帐户指派权 限和权利，从而简化管理管理，提高效率。 需要注意的是组帐户并不是用于登录计算机操作系统的， 用户在登录到系统中时均使用用户帐户，同一个用户帐 户可以同时为多个组的成员，这样该用户的权限就是所 有组权限的合并。
对于系统不再需要的本地组，系统管理员可以将其删除。 但是管理员只能删除自己创建的组，而不能删除系统提 供的内置组。当管理员删除系统内置组时，系统将拒绝 删除操作。
13
2.3 技能三 掌握和本地用户相关的安全管理操作
在Windows Server 2003中，除了创建帐户、设置 帐户的基本属性、删除帐户等管理外，为确保计算 机系统的安全，系统管理员需要应用与帐户相关的 一些操作对本地安全进行设置，从而达到提高系统 安全性的目的。Windows Server 2003对登录到本 地计算机的用户都定义了一些安全设置。
14
Windows Server 2003的安全设置在“管理工具” 菜单提供的“本地安全设置”控制台中进行，此控 制台可以集中管理本地计算机的安全设置原则。使 用管理员帐户登录到本地计算机，即可打开“本地 安全设置”控制台。 1．密码安全设置 （1）密码必须符合复杂性要求。 （2） 密码长度最小值。 （3） 密码使用期限。 （4） 强制密码历史。