最新域用户与组账户的
电子教案5Windows Server 2016 (管理用户账户和组)
管理用户账户和组计图1 公司域环境示意图二、项目任务分析根据图1的公司域环境示意图，完成活动目录的管理与维护。
具体要求如下。
1．在Win2016-2这台独立服务器上创建本地用户账户及设置本地用户账户的属性；删除本地用户账户；2．在Win2016-2这台独立服务器上使用命令行创建账户和组；3．在Win2016-1这台域控制器上创建与管理域用户；4．在Win2016-1这台域控制器上管理域组账户。
三、项目理论目标分析1．分析知识目标2．分析技能目标讲授5’讲解示范（E）模仿练习（E）任务1 创建本地用户账户一、课堂讲解1．管理用户账户和组的相关知识；2．讲解本地用户和账户的创建与管理。
二、操作示范1．在Win2016-2这台独立服务器上创建本地用户账户；2．在Win2016-2这台独立服务器上设置本地用户账户的属性；3．在Win2016-2这台独立服务器上删除本地用户账户。
三、模仿练习请同学们按刚才的操作示范进行练习，该独立服务器名是Server1。
完成：✧在Server1这台独立服务器上创建本地用户账户；✧在Server1这台独立服务器上设置本地用户账户的属性；✧在Server1这台独立服务器上删除本地用户账户。
讲授案例分析学生实践35’讲解示范（E）一、课堂讲解相关命令。
讲授20’模仿练习（E）任务2 使用命令行创建账户和组net user username password /addnet localgroup groupname username /add二、操作示范在Win2016-2这台独立服务器上使用命令创建本地用户账户和组；三、模仿练习请同学们按刚才的操作示范进行练习，该独立服务器名是Server1。
完成：✧在Server1这台独立服务器上使用命令创建本地账户；✧在Server1这台独立服务器上使用命令创建本地组。
相关命令。
net user username password /addnet localgroup groupname username /add案例分析学生实践讲解示范（E）模仿练习（E）任务3 创建与管理域用户一、课堂讲解1．域用户账户；2．计算机账户。
域用户常用组策略设置
域用户常用组策略设置组策略是指在Windows操作系统中，通过集中管理策略和设置来控制域用户和计算机的行为。
以下是一些常用的组策略设置，适用于Windows Server上的域环境。
1.密码策略密码策略设置用于控制用户密码的复杂度和安全性。
可以设置密码的最短长度、密码的复杂性要求，如必须包含大写字母、小写字母、数字和特殊字符等。
还可以设置密码的最长有效期和密码历史记录的保留个数，以防止用户频繁更改密码。
2.账户锁定策略账户锁定策略设置用于控制在一定的失败尝试次数后锁定用户账户。
该策略可以防止恶意攻击者通过暴力破解密码的方式获取用户账户的权限。
可以设置失败尝试次数和锁定时间。
3.用户访问控制策略用户访问控制策略用于控制用户对不同资源的访问权限。
例如，可以设置用户只能访问特定的文件夹、只能访问特定的应用程序等。
可以根据组织的需求进行灵活的设置，以满足不同用户角色和职责的需要。
4.审计策略审计策略用于记录用户和计算机的操作日志。
可以设置哪些操作需要被审计，如登录、文件访问、对象的创建和删除等。
审计策略可以帮助管理员跟踪和分析系统的安全事件，及时发现和应对潜在的安全威胁。
5.软件安装策略软件安装策略用于集中管理和部署软件应用程序。
可以通过组策略将软件程序推送到目标计算机上，或者限制一些用户或计算机无法安装特定的软件。
这样可以确保组织中的计算机都拥有统一的软件环境，便于管理和维护。
6.桌面设置策略桌面设置策略用于控制用户的桌面环境和用户界面。
可以限制用户是否可以更改桌面背景、屏幕保护程序、系统主题等。
还可以限制用户是否可以访问控制面板、开始菜单等系统设置。
这样可以加强计算机的安全性，并减少用户误操作或恶意行为造成的影响。
7. Internet Explorer设置策略Internet Explorer设置策略用于控制Internet Explorer的行为和配置。
可以设置浏览器的安全级别、对特定网站启用或禁用特定功能，如ActiveX控件、Java脚本等。
局域网组建与维护课后题答案
第一部分《局域网组建、管理与维护》练习题答案第1章计算机网络基础一、填空题1. 面向终端阶段、面向通信网络阶段、面向应用（标准化）网络阶段2. 分组（Packet）3. “开放系统互连基本参考模型”（Open System Interconnection Basic Reference Model）4. 客户机/服务器、以大型主机为中心、浏览器/服务器5. 通信子网、资源子网6. 广播方式网络（Broadcast Networks）、点到点式网络（Point-to-Point Networks）7. 数据通信、资源共享8. 局域网、城域网、广域网9. 开放系统互联参考模型（OSI）、TCP/IP10.物理层、数据链路层、网络层、传输层、会话层、表示层、应用层。
11.物理二、选择题1. A2. B3. D4. A5. C6. D第2章TCP/IP协议和IP地址一、填空题1. 网络地址、主机地址2. 传输控制协议TCP、用户数据报协议UDP3. 套接字（Socket）4. 256、2565. UDP6. 传输控制协议（Transfer Control Protocol）、Internet 协议（Internet Protocol）。
7. 网络接口层、网络层、传输层、应用层8. 32、1289. ARP二、选择题1. A2. D3. C4. D5. D6. C7. A第3章局域网组网技术一、填空题1. 有限、资源共享2. 总线型、环型、树型3. 以太网、令牌网4. 载波侦听5. 冲突、空闲、停止6. IEEE 802.3、数据链路层二、选择题1. C2. B3. B4. D5. A6. C第4章交换与虚拟局域网一、填空题1. 直接交换、存储转发交换和改进的直接交换2. 交换机二、选择题1. B2. D第5章局域网组建与综合布线一、填空题1. 组建目标、需求分析2. 工作区、水平子系统、干线子系统、设备间、管理区、建筑群干线子系统3. 非屏蔽双绞电缆、屏蔽双绞电缆4. 单模光纤、多模光纤5. 橙白、橙、绿白、蓝、蓝白、绿、棕白、棕6. 验证测试、认证测试7. 永久链路（Permanent Link）、通道（Channel）8. 光源、光功率计9. 基带同轴电缆、宽带同轴电缆10. 62.5μm渐变增强型多模光纤、8.3μm突变型单模光纤。
如何使用ActiveDirectory管理Windows用户和组
如何使用ActiveDirectory管理Windows用户和组Active Directory(AD)是Windows操作系统中最常用的目录服务，它允许管理员集中管理用户账户、安全策略、组织单位等，为组织提供基于角色的访问控制和身份认证。
本文将介绍如何使用Active Directory管理Windows用户和组。
第一章：Active Directory简介Active Directory是Windows Server操作系统的一项功能，用于集中管理用户、计算机、服务和其他资源。
它提供了分层的目录结构，按照域的概念组织，每个域包含一个或多个域控制器(Domain Controller)。
域控制器负责存储、验证和复制目录信息。
第二章：创建AD域和域控制器首先，我们需要创建一个自己的AD域。
在开始之前，请确保你有一台安装了Windows Server操作系统的计算机，并且以管理员身份登录。
打开“服务器管理器”，选择“添加角色和功能”，在向导中选择“Active Directory域服务”。
按照向导的提示完成安装，安装过程中会要求你创建一个新的域或加入现有域。
第三章：添加用户账户在Active Directory中，用户账户用来标识和验证用户。
为了添加新的用户账户，我们可以打开“Active Directory用户和计算机”，在合适的组织单位(OU)下右键选择“新建用户”并按照向导的提示填写相关信息。
一般来说，我们需要设置账户名称、用户名、密码、描述等信息。
新建用户账户后，可以通过选中该用户账户，右键选择“重置密码”来更改用户密码。
第四章：创建和管理组在Active Directory中，组用于将用户账户和计算机账户进行逻辑分组，以便于管理。
创建新组的方法与添加用户账户类似，只需在“Active Directory用户和计算机”中选择合适的OU，右键选择“新建组”。
在组属性中，我们可以设置组名称、描述、成员等信息。
用户与组的管理题目
用户与组的管理题目第五单元用户与组的管理一、填空题1.根据服务器的工作模式，组分为本地组和域组。
2.账户的类型分为本地用户账户、域用户账户、内置用户账户。
3.工作组模式下，账户存储在服务器的sam文件中；域模式下，账户存储在活动目录数据库中。
4.活动目录中按照能够授权的范围，分为本地域组、全局组、通用组。
5.用户配置文件并不是一个单独的文件，而是由用户配置文件夹、Ntuser.dat文件和ALL User文件夹3部分内容组成。
6.Windows Server 2008服务器有两种工作模式：工作组模式和域模式。
7.本地账户对应对等网的工作组模式，本地账户只能在本地计算机上登录。
8.本地计算机上都有一个管理账户数据的数据库，称为安全账户管理器。
9.用户要访问本地计算机，都需要经过该机SAM中的SID验证。
10.域账户和密码存储在域控制器上Active Directory 数据库中。
11.域数据库的路径为域控制器中的系统盘下\Windows\NTDS\NTDS.DIT。
12.组织单元是域中包含的一类目录对象，它包括域中的一些用户、计算机和组、文件与打印机等资源。
二、选择题1.在设置域账户属性时，（C ）项目不能被设置。
A.账户登录时间B.账户的个人信息C.账户的权限D.指定账户登录域的计算机2.下列（C ）不是合法的账户名A.abc_123B.windows bookC.dictionar* C.abdkeofFHEKLLOP3.下面（C ）用户不是内置本地域组成员A.Account OperatorB.AdministratorC.Domain AdminsD.Backup Operators4.下面（A ）不是Windows Server 2008所提供的用户配置文件。
A.默认用户配置文件B.本地用户配置文件C.漫游用户配置文件 C.强制性用户配置文件5.以下那种权限未授予“超级用户”组成员？（B )A.创建任何用户和组B.删除任何用户和组C.创建网络共享D.创建网络打印机6.关于内置账户，以下陈述不正确的是：（A ）A.在缺省情况下，“管理员”账户能被删除B.在缺省情况下，“管理员”账户被启用C.在缺省情况下，“访客”账户不能被删除D.在缺省情况下，“访客”账户不被启用7.以下哪个用户组拥有最低级别的权限？（B ）A.用户B.访客C.任何人D复制员8.以下哪一项不是OU的真实特性？（B ）A.可包含其他活动目录对象B.是安全基本对象C.可包含其他OUD.可被配置为分层结构9.以下哪一个对象不是安全基本对象？（）A.用户账户B.用户组C.计算机账户D.OU10.在“本地用户和组”中建立一个新用户student，系统默认该用户属于：（D ）A.administratorsB.Power UsersC.Guests/doc/1e5780195.html,ers11.下列对象中，不属于AD中的容器的是：（D ）A.组织单元B.组C.域D.工作组12.Windows 2000 安装后，已经存在了两个预定义帐户，它们是：（）A.administrator和userB.guest和user/doc/1e5780195.html,er和adminD.administrator和guest三、判断题1.用户名最长可达20个字符（×）2.一个用户账户可以加入多个组（√）3.在工作组模式下，本地组不能包含本地组（√）4.在工作组模式下，本地组可以包含内置组（×）5.工作组中的每台计算机都在本地存储账户（×）6.工作组中的计算机的数量最好不要超过10台（√）7.Administrator 账户可以禁用自己，所以在禁用自己之前应该先创建至少一个管理员组的账户（×）四、简答题1.简述通用组、全局组和本地域组的区别答案：1、通用组可以指派所有域中的访问权限，以便访问每个域内的资源。
网络操作系统管理用户和组(1-3)
何规范用户权限的？
回答：通过用户账户来区分不同的用户，并且将用户帐户添加 到组中，通过规范组的权限来规范用户的权限。
课题引入－项目背景
Linux操作系统是一个多用户多任务的操作系统，允
许多个用户同时登录到系统，使用系统资源。为了使所有
用户的工作顺利进行，保护每个用户的文件和进程，规范 每个用户的权限，需要区分不同的用户，就产生了用户帐
创建用户账户时为 用户创建主目录
项目问题2－ 用户账户的创建和管理
1. 新建用户 2. 设置用户账户口令 3. 用户帐户的维护
项目问题2－ 新建用户
使用useradd或者adduser命令 Useradd命令的格式是： useradd [选项] <username> 例如:创建ph用户 若新建用户已经存在
用户邮箱目录
用户密码最长有效天数
用户密码最短有效天数 用户密码的最小长度 用户密码过期前提前警告的天数
项目问题1－ /etc/login.defs文件
建立用户帐户时根据/etc/login.defs文件的配置设置用户帐户的某些 选项。
自动产生的最小UID 自动产生的最大UID 自动产生的最小GID 自动产生的最大GID 如果定义，则表示“删 除用户时，同时删除用 户的相关作业”
4.熟悉用户帐户管理器的使用方法
课题引入－应达到的职业能力
1.能熟练新建与管理用户账户 2.能熟练管理与维护组群账户 3.能熟练使用用户管理器管理用户和组群 4.能熟练使用账户管理的常用命令
项目问题1－ 用户和组群文件
1. 用户和组群概述 2. 用户账户文件 3. 组群文件
项目问题1－用户和组群概述
项目问题2－ passwd命令案例
第2章Windows Server 2008本地用户和组
图2.19 “本地安全设置”控制台
1．密码安全设置
• 用户密码是保证计算机安全的第一道屏障，是计算 机安全的基础。如果用户账户特别是管理员账户没 有设置密码，或者设置的密码非常简单，那么计算 机将很容易被非授权用户登录，进而访问计算机资 源或更改系统配置。
• 目前互联网上的攻击很多都是因为密码设置过于简 单或根本没设置密码造成的，因此应该设置合适的 密码和密码设置原则，从而保证系统的安全。
• 在Windows Server 2008中，为了确保计算机的安 全，允许管理员对本地安全进行设置，从而达到提 高系统安全性的目的。 • Windows Server 2008对登录到本地计算机的用户 都定义了一些安全设置。所谓本地计算机是指用户 登录执行Windows Server 2008的计算机，在没有 活动目录集中管理的情况下，本地管理员必须为计 算机进行设置以确保其安全。
2.2.3
删除、重命名本地组及修改本地组成员
• 当计算机中的组不需要时，系统管理员可以对组执行清除任 务。每个组都拥有一个唯一的安全标识符（SID），所以一 旦删除了用户组，就不能重新恢复，即使新建一个与被删除 组有相同名字和成员的组，也不会与被删除组有相同的特性 和特权。在“计算机管理”控制台中选择要删除的组账户， 然后执行删除功能，如图2.16所示，在弹出的对话框中选择 “是”即可。
• 例如，限制用户如何设置密码、通过账户策略设置 账户安全性、通过锁定账户策略避免他人登录计算 机、指派用户权限等。将这些安全设置分组管理， 就组成了Windows Server 2008的本地安全策略。
2.3
设置本地安全策略（续）
• 系统管理员可以通过本地安全原则，确保执行的 Windows Server 2008计算机的安全。
用户账户的管理
4
1.2 内置的用户账户
返回目录
2．Guest:来宾用户
Guest 是 供 无 账 户 的 用 户 临 时 使 用 的 账 户 ， 利 用 Guest账户登录，可访问一些公开的资源。设置此账户， 是为方便提供公开资源的系统，不必为所有用户都设置 个人账户。
账户只有有限的权限。用户可更改该账户的名称， 但无法将其删除。基于安全因素，系统默认此账户禁用。 因为如启用Guest账户，任何人都可以使用域中的资源。
1.4 域用户账户的创建与设置
1.创建组织单位与域用户账户
返回目录
新建组织单位
13
1.4 域用户账户的创建与设置
返回目录
14
选择新建用户
1.4 域用户账户的创建与设置
返回目录
在如下图所示的画面中，输入“姓”、“名”、“姓 名”、 “用户登录名”、“用户登录名（Windows 2000以前版 本）”。然后单击“下一步”。
3
1.2 内置的用户账户
返回目录
Windows Server 2003的域的内置账户有：Administrator与 Guest.
1．Administrator:系统管理员账户 这个账户对域有最大的控制权（可以管理账户和组、文 件与打印机以及设置组策略等），使用者无法删除它。 建议将Administrator账户重新命名，这样想破坏系统管 理员账户密码的人，就无法猜到账户的名称。
信息。
19
1.5 域用户账户的属性设置
2. 账户信息的设置
返回目录
20
设置用户属性
1.5 域用户账户的属性设置
3.登录时间的设置
返回目录
图中横向每一块代表一个小时，纵向每一方块代表一天。中间填充 的区域代表可以登录的时间，空白的区域是不能登录的时间。
ad域samr协议
AD域SAMR协议一、协议概述SAMR（Security Accounts Manager Remote Protocol）是一种远程协议，用于访问Windows操作系统的安全帐户管理器（SAM）。
它是AD域（Active Directory Domain）中的一种重要协议，用于管理用户帐户和组帐户。
二、协议组成部分SAMR协议由以下几个部分组成：1. 请求消息：客户端发送给服务器的请求消息，包括各种操作请求，如打开用户账户、获取用户信息等。
2. 响应消息：服务器对请求消息的响应，包括操作结果和返回的数据。
3. 数据格式：用于描述请求消息和响应消息的数据格式，包括结构、枚举类型、字符串等。
三、协议工作原理SAMR协议通过RPC（Remote Procedure Call）机制进行通信。
客户端使用RPC调用SAMR服务器的远程过程，以执行各种帐户管理操作。
服务器在接收到请求后，使用本地SAM进行相应的操作，并将结果返回给客户端。
四、协议通信过程1. 客户端连接到AD域控制器（DC），并获取服务器的主机名。
2. 客户端使用RPC协议与服务器的SAMR端口建立通信。
3. 客户端发送请求消息到服务器。
4. 服务器解析请求消息，调用本地SAM进行操作，并将结果编码为响应消息返回给客户端。
5. 客户端接收到响应消息后，解码并处理结果。
五、协议安全性SAMR协议本身不提供加密或身份验证机制。
它依赖于AD域的安全机制来确保通信安全。
在AD域环境中，客户端与服务器之间的通信是受保护的，需要使用Kerberos或NTLM身份验证协议进行身份验证，以确保只有授权的用户可以访问和修改帐户信息。
六、协议与其他技术的关系1. AD域：SAMR协议是AD域中的一部分，用于管理域中的用户和组帐户。
它与AD域中的其他协议和组件协同工作，如LDAP（轻量级目录访问协议）和Kerberos身份验证协议。
2. RPC：SAMR协议使用RPC进行通信，这是一种通用的远程过程调用协议。
AD管理域用户和组帐户PPT课件
可以创建组的地方
选择根据组所需要的管理能力创建组的特定域或组织单位。 例如，如果域中有多个组织单位，而每一个都有不同的管 理员，则可在那些组织单位中创建具有全局作用域的组， 这样管理员就能在各自的组织单位中管理用户的组成员身 份。如果组织单位以外的访问控制需要组，组织单位中的 组可以嵌套至可在树林中的其他地方使用的具有通用作用 域的组（或具有全局作用域的其他组）中。
Everyone 代表所有当前网络的用户，包括来自其他域的 来宾和用户。无论用户何时登录到网络上，它们都将被自 动添加到 Everyone 组。
第22页/共33页
特殊标识 (cont.)
Network 代表当前通过网络访问给定资源的用户（不 是通过从本地登录到资源所在的计算机来访问资源的 用户）。无论用户何时通过网络访问给定的资源，它 们都将自动添加到 Network 组。
第14页/共33页
域组
Active Directory Users and Computers Console Window Help
Active View
Tree
Builtin 9 objects
Active Directory Users and Computer Name
Type
Description
Interactive 代表当前登录到特定计算机上并且访问 该计算机上给定资源的所有用户（不是通过网络访问 资源的用户）。无论用户何时访问当前登录的计算机 上的给定资源，它们都被自动添加到 Interactive 组。
虽然可以给特殊标识指派对资源的权利和权限，但不 能修改或查看其成员身份。组作用域不适用于特殊标 识。无论用户何时登录或访问特殊资源，都被自动指 派这些特殊标识。
Windows的用户和用户组说明
2、内置特殊组：
Everone
任何一个用户都属于这个组。注意，如果Guest帐号被启用时，则给Everone这个组指派权限时必须小心，因为当一个没有帐户的用户连接计算机时，他被允许自动利用Guest帐户连接，但是因为Guest也是属于Everone组，所以他将具备Everyone所拥有的权限。
Power Users
该组内的用户具备比Users组更多的权利，但是比Administrators组拥有的权利更少一些，例如，可以：
创建、删除、更改本地用户帐户
创建、删除、管理本地计算机内的共享文件夹与共享打印机
自定义系统设置，例如更改计算机时间、关闭计算机等
2、控制台:
系统控制台是Windows 2000及其后续版本中一个非常重要的系统组件，集中安置了系统中的多个系统配置维护工具。
依次打开“控制面板→计算机管理”打开“计算机管理”控制台，在窗口左侧定位到“本地用户和组→用户”，在窗口右侧就罗列了当前系统已经建立的账户，一些在“用户账户”中没有显示的账户都可以在这里查到。在窗口右侧空白处点右键选择“新用户”，然后输入账户信息就可以建立一个新用户了。
一、WINDOWS的用户和用户组说明
1、基本用户组
Administrators
属于该administators本地组内的用户，都具备系统管理员的权限，它们拥有对这台计算机最大的控制权限，可以执行整台计算机的管理任务。内置的系统管理员账号Administrator就是本地组的成员，而且无法将它从该组删除。
任何通过网络连接此计算机的用户都属于这个组。
Creator Owner
文件夹、文件或打印文件等资源的创建者，就是该资源的Creator Owner（创建所有者）。不过，如果创建者是属于Administrators组内的成员，则其Creator Owner为Administrators组。
AD域用户账户控制管理
AD域用户账户控制管理AD域用户账户控制管理首先要在计算机上安装域控制器，登陆域控计算机。
1、打开Active Directory用户和计算机。
（路径：开始–>管理工具–> Active Directory用户和计算机）2、打开AD用户和计算机控制台后，首先选择被添加人的部门的组织单元（OU）。
如果是开发人员择需要添加到Developer内，其他部门请添加到“市场部和人力部”，如不确定其部门可添加到“Egensource”内。
*每个OU对应着独立的组策略设置（(GPMO)，确认被添加人加入正确的部门OU内。
3、仔细填写用户信息用户登录名一般为员工姓名的汉语拼音。
4、为该员工设定初始密码，并告知员工该密码。
当员工有过登陆记录后，可将其密码设置成“用户下次登录时必须更改密码”，由员工自行设定密码。
密码复杂度要求：必须6位以上，包含数字和字母的组合。
可根据公司要求设定其他用户密码策略。
5、打开新建的员工信息。
在“常规”页面上，填写真实的员工信息，特别是邮件地址务必确认其正确无误。
6、再“单位”标签内，仔细填写员工的注册信息。
包括职务、部门和公司。
再经理栏内，确认其上级领导。
项目成员是项目经理，产品组成员为产品组经理，不确定的列为部门总监。
7、再“隶属于”标签，将用户归入正确的组内，首先该用户必须属于“公司全体”。
如该员工属于开发人员、技术人员则属于“软件研发部”，如该员工属于市场人员属于“市场部”，如该员工属于人力及行政人与那属于“人力资源部”8、如需要更改某个员工的密码，则需要登录到域控制器上，查看该员工属性信息，选择“重置密码”即可。
择“禁用账户”，并将被禁用的账户移至“已禁用账户”OU内。
漫谈WinServer活动目录的维护和管理
对于Windows的网络环境来说，活动目录的作用是极为重要的，在活动目录数据库中存储了和网络管理相关的重要信息。
Windows网络环境中，可能存在一台或者多台域控，活动目录数据库信息会在其中自动进行复制。
在域控上打开“%systemroot%\ntds”目录，即可显示和AD数据库相关的文件（图1），包括名为“ntds.dit”是活动目录数据库文件，以及与之相关的日志文件等。
1.快速整理AD数据库活动目录数据库使用时间久了，在其中会产生碎片信息，这会影响其效能。
为此以域控管理员身份打开命令提示符窗口，执行“net stop ntds”命令，停止AD域服务（图2）。
执行“ntdsutil”命令，显示“ntdsutil:”命令提示符，执行“activate instance ntds”命令，激活名为“ntds”的实例。
执行“files”命令，并切换到文件维护模式。
在“file maintenance:”提示符下执行“compact to e:\clsp ”命令，对AD数据库进行压缩整理操作（图3）。
完成后连续执行“quit”命令，返回正常的命令窗口。
执行“copy "e:\clsp \ntds.dit" "c:\windows\ntds"”命令，替换原有的AD数据库文件。
之后删除“c:\windows\ntds”目录中的所有以“.log”为后缀的日志文件，执行“net start ntds”命令，重启AD DS域服务。
2.备份活动目录数据库当域控制器正常运作时，对其系统状态参数进行备份，这样当其出现问题时，可以进行快速还原。
这里使用Windows Server Backup这一系统工具来执行备份操作。
在服务管理器中打开添加功能向导界面（图4），选择“Windows Server Backup”项，点击下一步按钮，完成该程序的安装操作。
图1图2图3运行Windows Server Backup程序（图5），在其右侧点击“一次性备份”项，在向导界面中选择“其他选项”项（图6），在下一步窗口中选择“自定义”项（图7），来自由定义备份内容。
国开《Windows网络操作系统管理》形考任务2 配置本地帐户与活动目录域服务实训
网络操作系统管理课程实训报告学生姓名学号一、实训目标理解域用户帐户与组帐户的特点、用途，掌握管理域用户帐户与组帐户的方法与步骤。
二、实训环境2台Windows Server 2022服务器和1台Windows 10客户端。
三、实训内容1. 创建如下域并部署额外域控制器，如下图所示。
2. 在域test中有三个部门：销售部、培训部和技术支持部，现在需要为这三个部门分别建立组织单位，并把每个部门的计算机加入各自的组织单位中。
3. 在域test中，为公司员工创建域用户帐户，并设置域用户帐户的个人信息。
4. 对某些用户（如临时员工），设置这些域用户帐户的登录时间以及限制登录地点。
5. 如果用户alice由于生病而在一段时间内无法上班，请禁用她的域用户帐户。
6. 如果一个用户忘记了自己的帐户密码，为其重设帐户密码。
7. 一个用户辞职后离开了公司，请删除该用户的用户帐户。
8. 创建组帐户，并把一些用户帐户加入这个组帐户中。
9. 委派用户emma对销售部OU的管理权（创建、删除和管理用户帐户）。
三、实训成果在计算机server1上安装活动目录域服务，将其变为域test内的第一台控制器。
添加角色和功能安装“Active Directory域服务” 将此服务器提升为域控制器配置“新林的根域名”创建额外域控制器，配置计算机server2，同server1配置“添加到现有域”部署配置新建域用户帐户设置域用户帐户的个人信息限制域用户帐户的登录时间限制登录地点禁用账户或重置密码删除用户帐户新建本地域组把用户帐户加入组中配置委派控制添加委派用户委派常见任务四、实训体会通过本单元的学习，掌握了管理本地用户与组帐户、域活动目录域服务的方法，主要包括：本地帐户概述、管理本地用户帐户和组帐户、安装活动目录域服务、管理域用户帐户、组帐户和组织单位和组策略概述。
通过本次实训，了解了常用的系统内置帐户、组策略概念，理解本地帐户的概念和用途，域及其相关组件的概念、域内常用帐户的概念。
WINDOWS的用户和用户组说明
一、WINDOWS的用户和用户组说明1、基本用户组Administrators属于该administators本地组内的用户，都具备系统管理员的权限，它们拥有对这台计算机最大的控制权限，可以执行整台计算机的管理任务。
内置的系统管理员账号Administrator 就是本地组的成员，而且无法将它从该组删除。
如果这台计算机已加入域，则域的Domain Admins会自动地加入到该计算机的Administrators组内。
也就是说，域上的系统管理员在这台计算机上也具备着系统管理员的权限。
Backup OPerators在该组内的成员，不论它们是否有权访问这台计算机中的文件夹或文件，都可以通过“开始”－“所有程序”－“附件”－“系统工具”－“备份”的途径，备份与还原这些文件夹与文件。
Guests该组是提供没有用户帐户，但是需要访问本地计算机内资源的用户使用，该组的成员无法永久地改变其桌面的工作环境。
该组最常见的默认成员为用户帐号Guest。
Network Configuration Operators该组内的用户可以在客户端执行一般的网络设置任务，例如更改IP地址，但是不可以安装/删除驱动程序与服务，也不可以执行与网络服务器设置有关的任务，例如DNS服务器、DHCP服务器的设置。
Power Users该组内的用户具备比Users组更多的权利，但是比Administrators组拥有的权利更少一些，例如，可以：创建、删除、更改本地用户帐户创建、删除、管理本地计算机内的共享文件夹与共享打印机自定义系统设置，例如更改计算机时间、关闭计算机等但是不可以更改Administrators与Backup Operators、无法夺取文件的所有权、无法备份与还原文件、无法安装删除与删除设备驱动程序、无法管理安全与审核日志。
Remote Desktop Users该组的成员可以通过远程计算机登录，例如，利用终端服务器从远程计算机登录。
在Windows系统中设置和管理用户账户
在Windows系统中设置和管理用户账户在Windows系统中，用户账户是操作系统的核心组成部分之一。
正确地设置和管理用户账户可以保护计算机安全，并为每个用户提供独立的工作空间。
本文将详细介绍如何在Windows系统中设置和管理用户账户，包括创建、修改、删除用户账户以及分配权限等方面。
第一章：用户账户的基本概念和分类在Windows系统中，用户账户有两种主要类型：本地用户账户和域用户账户。
本地用户账户仅适用于本地计算机，而域用户账户则可以在网络中共享，通常由Windows服务器管理。
用户账户还可以分为多种类型，如管理员账户、标准用户账户、受限用户账户等等，不同类型的用户账户具有不同的权限和访问级别。
第二章：创建新的用户账户要创建新的用户账户，首先需要以管理员身份登录系统。
然后，打开“控制面板”并选择“用户账户”。
在用户账户操作界面，点击“创建新账户”选项。
接下来，输入新账户的名称和密码，根据需要选择用户账户类型。
最后，单击“创建账户”按钮，即可成功创建新账户。
第三章：修改用户账户设置为了满足不同用户的需求，Windows系统提供了丰富的用户账户设置选项。
在“用户账户”界面中，选择要修改的账户，并点击“更改账户类型”或“更改账户设置”选项。
用户可以修改账户的名称、密码、类型和注释等信息。
此外，还可以为账户设置头像图片和关联的Microsoft账户。
第四章：删除用户账户在某些情况下，我们需要删除不再使用的用户账户。
在“用户账户”界面中，选择要删除的账户，并点击“删除账户”选项。
系统会提示用户确认操作，确认后，该账户及其相关数据将被永久删除。
需要注意的是，只有管理员账户可以执行账户删除操作。
第五章：切换用户账户和注销操作在Windows系统中，用户之间可以通过切换用户账户来共享计算机。
切换用户账户是指将当前用户从系统注销，并切换到另一个用户账户。
用户可以点击系统托盘中的用户图标，选择要切换的用户账户，输入相应密码后即可完成切换。
实训项目报告管理域用户账户与组账户
5．此处粘贴：把一系列的用户账户加入到本地域组账户的完成画面。（参考教材图3-114）。
四、实训中遇到的难点及解决办法
五、实训体会
（4）对某些用户（例如：临时工），设置这些域用户账户的登录时间以及限制登录地点。
（5）如果一个用户（如：john）由于生病而在一段时间内无法上班，请禁用他的域用户账户。
（6）如果一个用户忘记了自己的账户密码，为其重设账户密码。
（7）一个用户辞职后离开了公司，请删除该用户的用户账户。
（8）创建组账户，并把一系列的用户账户加入到这个组账户中。
Win教师签字日期
成绩
学生姓名
学号
班级
分组
项目编号
实训三（必做）
项目名称
管理活动目录和域
管理域用户账户与组账户
实训报告
一、实训要求
【实训环境】：6台Windows Server 2008 R2企业版计算机。
【实训内容】：假设你是一家公司的网络管理员，负责管理公司的网络。公司希望创建域来管理网络。为此，需要你执行以下工作：
二、实训内容与步骤
（要求：针对本实训的每项任务，完成实训，撰写必要的实训内容和步骤）
三、实训成果提交
1．此处粘贴：创建域森林的“查看DNS记录”画面。（参考教材图3-77）。
2．此处粘贴：创建域用户帐户的完成画面。（参考教材图3-49）。
3．此处粘贴：设置域用户账户的登录时间，以及限制登录地点的设置画面。（参考教材图3-103，3-105）。
（1）按照下图，创建域森林。
图具有两棵域树的森林
（2）在域中有三个部门：销售部、培训部和技术支持部，现在需要为这三个部门分别建立组织单位，并把每个部门的10台计算机加入到各自的组织单位中。
Windows Server 2019 域及其账户管理
9.1.1 目录服务的含义
• 目录是一个用于存储用户感兴趣的对象信息的信息库。
• 活动目录（Active Directory）是用于Windows Server 2019 的目录服务。它存储着本网络上各种 对象的相关信息，并使用一种易于用户查找及使用的 结构化的数据存储方法来组织和保存数据。在整个目 录中，通过登录验证以及目录中对象的访问控制，将 安全性集成到 Active Directory中。通过一次登录 （Single Sign-On，SSO），管理员可管理整个网 络中的目录数据和单位，而且获得授权的网络用户可 访问网络上所有的资源。这种基于策略的管理模式大 大地减轻了复杂网络的管理复杂度和工作量。
9.2.2 站点
• 站点定义为由一个或多个 IP 子网组成的一组连 接良好的计算机集合。站点与域不同，站点代表 网络的物理结构，一般与地理位置相对应，而域 代表组织的逻辑结构。
• 这样的集合会提高工作效率，因为要确保站点内 目录信息的有效交换，站点中的计算机需要很好 地连接，尤其是不同子网内的计算机，通过站点 可以简化 Active Directory内的站点之间的复制、 身份验证等活动。
点击“添加或删除角色”。 （2）在服务器角色列表中选择“域控制器（Active
Directory）”，并单击“下一步”按钮启动Active Directory安装向导，如图所示。
向 林信任连接）的林内某个域中的资源
领域 林
快捷
可传递或 单向或双 使用领域信任可建立非Windows Kerberos领域和
不可传递
向 Windows Server 2019域之间的信任关系
可传递 可传递
单向或双 向
使用林信任可在各个林之间共享资源。如果林信 任是双向信任，则任一个林中的身份验证请求都 可以到达另一个林
ad域控管理 具体内容
AD域控管理是Active Directory域控制器管理的简称，它是一种基于Windows操作系统的网络服务，用于实现用户身份验证、目录服务、安全策略等功能。
具体来说，AD域控管理包括以下内容：
1.用户管理：AD域控制器可以管理用户账户，包括创建、修改、删除用户账户，设置用户属性，如用户名、密码、电子邮件地址等。
2.组管理：AD域控制器可以管理组账户，包括创建、修改、删除组账户，将用户添加到组中，从组中移除用户等。
3.计算机管理：AD域控制器可以管理计算机账户，包括创建、修改、删除计算机账户，设置计算机属性，如计算机名、工作组等。
4.权限管理：AD域控制器可以管理用户和组的权限，包括设置访问权限、权限继承等。
5.策略管理：AD域控制器可以管理安全策略，包括设置密码策略、账户锁定策略等。
6.目录服务：AD域控制器可以提供目录服务，包括LDAP（轻量级目录访问协议）服务、Kerberos认证服务等。
7.备份与恢复：AD域控制器可以备份和恢复Active Directory数据库，确保数据的安全性和完整性。
总之，AD域控管理是Windows操作系统中非常重要的网络服务之一，它可以帮助管理员实现用户身份验证、目录服务、安全策略等功能，提高网络的安全性和稳定性。
第3章_Windows_Server_2019域及其帐户管理2
三、构建域林
在各个域中分别安装域控制器，在建立新域树的第一台 域控制器时应选择：
域控制器类型 新域的域控制器
域类型 在现有的林中的域树
域林中各根域的域名之 间不需要相关联。
linite.local
根域A
come
根域E
sales.linite.local
子域B
说明：域间的信任关系一般是在建立域时创建。如果 想要建立一些特殊的信任关系，可以先建立彼此独立 的域，然后在域控制器上使用“新建信任向导”设置 域间的信任类型。
如果该文件夹发布到域中了，则该文件夹既可以用域的 方式访问，也可以用工作组的方式访问。
三、域用户帐户
域用户帐户在域控制器的活动目录中创建和管理。
在系统内部，域用户账户用SID区分。
一个域用户账户的权利和权限通常取决于它所在的组。一 个域用户账户可同时属于多个组，其权限为各组权限的叠 加。
域用户帐户只存在于域控制器中，各成员计算机中只有其 本地用户帐户。
DNS服务器将计算机A的 名字解析为IP地址，并将 IP地址回送给人员B。
人员B利用IP地址访问计 算机A。
五、域的其它组成部分
DHCP服务器：用于为域中的各成员计算机分配IP地址等 配置信息。如果域中的计算机都采用手工配置IP地址，则 可以不需要DHCP服务器。
域用户帐户：用于域使用者的身份验证，只有拥有了域用 户帐户的人员才能登录到域。
设置“共享的系统卷”的位置：这个文件夹必须设置在 NTFS分区内。
选择或安装DNS服务器：可以在本机上安装DNS服务器， 也可以选择自己安装DNS服务器。
权限设置：如果网络中有旧版本的域控制器，要选择与其 对应的兼容性权限。
设置还原模式下的管理员密码：还原模式是域控制器的安 全模式，可用于修复活动目录数据库。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
域用户与组账户的管
理
一、实验目的
1．添加域用户
2．用户的漫游
3．组织单元委派控制
4．AGDLP实现组的嵌套
二、实验步骤及结果分析
1．添加域用户
添加域用户常见的几种方法：
1.1.直接在根DC里新建用户
1.1.1.新建组织单位。
启动要DC服务器，运行dsa.msc 打开Active Directory用户和计算机，在“域名”（如）处右击，“新建→组织单位”，如名称为“DQA”。
1.1.
2.新建用户。
在新建的“组织单位”（DQA）项上右击选择“新建→用户”，输入新建用户的“用户登录名”，（如hero）。
下一步，输入7位以上的安全密码，一直下一步，完成新建用户。
注：如果想要将密码设为简单密码或密码为空，首先要在“开始”→“程序”→“管理工具”→“默认域安全设置”，打开“默认域安全设置”，再依次展开“安全设置”→“帐户策略”→“密码策略”，将“密码必须符合复杂性要求”禁用，并将“密码长度最小值”设为“0字符”。
这样在新建用户时就不用再设置复杂的密码了。
1.1.3.删除用户。
只需直接在相应的“组织单位”（如DQA ）中的用户（如hero）上右击，选择删除即可。
1.2.使用目录服务工具添加
所谓的目录服务工具是指利用CMD命令新建账户，常用的命令有：dsadd 添加账户或组；dsmod 修改用户或组的信息；dsrm 删除用户或组。
1.2.1.添加账户。
在CMD命令提示符里输入如：dsadd user
cn=feng,ou=DQA,dc=fenger,dc=com 回车后即可成功创建一个新用户。
若需在用户里面将其相应的信息加入，只须在上命令后加入一些其它信息的命令，如：-email xx@ –tel 12315 –office F999 等等。
其它详细信息命令可用“dsadd user /?”查看。
1.2.2.修改用户信息。
在CMD命令提示符里输入如：dsmod user cn=sun,ou-
DQA,dc=fenger,dc=com –email yy@ –tel 12111 –office G-101 。
即在命令参数后输入要修改信息项的信息。
若修改成功后，在根DC查看用户属性的信息会与原属性有明显不同。
1.2.3.删除用户。
在CMD命令提示符里输入如：dsrm cn=sun,ou=DQA,dc=fenger,dc=com 。
不用加任何参数直接回车，提示“确认要删除XXX?”，输入“Y”再回车，即可直接删除用户的所有信息。
1.3.使用CMD命令导入用户信息
用户信息的导入有两种方法：使用csvde 命令；使用ldifde命令。
后者也可修改和删除用户。
1.3.1.使用csvde命令导入用户。
创建TXT格式的文本文档，输入“CSVDE创建用户及信息的命令”内容，并保存，如adduser.txt。
打开CMD在当前目录输入“csvde –i –f adduser.txt ”回车即可同时创建一个或多个用户及信息。
1.3.
2.使用ldifde命令导入，修改，删除用户。
1.3.
2.1.导入用户。
同上在TXT文档里输入“LDIFDE创建用户及信息的命令”内容。
在CMD 里输入命令：“ ldifde –i –f inpuser.txt ”，回车即可。
1.3.
2.2.修改用户。
在TXT文档里输入“LDIFDE修改用户及信息的命令”内容。
在CMD里输入命令：“ ldifde –i –f moduser.txt ”，回车即可。
1.3.
2.
3.删除用户。
同理，在CMD输入命令：“ lidifde –i –f deluser.txt ”，回车即可。
1.4.使用Windows脚本添加。
用TXT文档编写VBS脚本并保存为VBS格式的文件，双击此
文件添加用户。
2．用户的漫游
2.1.在根DC上建立共享文件夹。
新建“user”文件夹，赋于“moon用户”权限为“完全控制”，在“user”文件夹里创建“moon”文件夹，将其设为共享，共享名为“moon$”，点“权限”按钮，设“Everyone”权限为“完全控制”。
2.2.用户配置文件配置。
在用户“moon”上右击 属性，在配置文件路径里输入如“\\fenger01\moon$”。
2.3.漫游测试。
在客户端A用“moon”用户登录，在桌面新建文件或文件夹，然后注销。
再在客户端B用“moon”用户登录，看桌面是否有刚才在A创建的文件或文件夹。
如果有，则表明用户漫游设置成功。
3．组织单元委派控制
3.1.在根DC的任意一个组织单元右击，选择“委派控制”，打开“委派控制向导”，点击下一步，在“用户和组”里添加用户或组，如添加“sun”，点击下一步，在“要委派的任务”里添加相应的权限。
点下一步，点完成。
3.2.在客户端用“sun”用户登录，打开活动目录，执行相应的功能，如果能够执行则说明委派成功。
4．AGDLP实现组的嵌套
4.1.在子域建立全局组和用户。
4.1.1.右击组织单位名称，选择“新建” “组”，在“新建对象组”里输入“组名”，单选项“组作用域”选择“全局组”。
4.1.2.在此组织单位新建用户，并将此用户加入新建的全局组中。
4.2.在根域新建“域本地组”，同上方法新建组选择“本地域”，输入组名。
4.3.将子域的“全局组”加入根域的“域本地组”。
4.4.在根域服务器创建共享文件夹，并在“安全”项里将“完全控制”权限赋于“域本地组”，在共享文件夹的“共享”项的权限里设“Everyone”权限为“完全控制”。
在共享文件夹里新建文本文档。