实验六 用户和组的管理

实验六用户和组的管理一、实验目的(1) 理解用户账户的类型及特点(2) 掌握组的分类和作用域(3) 熟悉活动目录和计算机控制台的使用。

(4) 掌握用户账户和组的创建与管理。

二、实验环境三台计算机，一台安装Windows 98或XP，二台已安装Windows Server 2003的计算机，其中一台计算机配置成Windows 2003域控制器，另一台已计算机登录到域。

三、实验内容与步骤1. 用户账户的创建（1）创建新用户账户注意事项①命名约定用户登录名和全称必须是惟一的，用户登录名最多可以包含20个字符，可以是大小写字母或者是数字。

②密码注意事项必须给管理员账户分配复杂的密码，决定是由管理员还是由用户来控制密码，让用户们知道如何使用难以被猜到的复杂密码，避免使用有明显关联的密码，比如你的姓，使用长密码，使用大小写字母和非字母数字字符的组合。

（2）建立域用户账户如果要在成员服务器中建立用户，可安装管理工具，运行安装光盘的文件：\i386\adminpak.msi即可进行安装。

默认情况下，只有系统管理员才具有管理用户账户的权限，所以建立用户账户之前，必须用Administrator账户登录，然后使用“Active Directory用户和计算机”控制台来建立域用户账户。

建立域用户账户的步骤如下：①打开“Active Directory用户和计算机”控制台，双击域名()，用鼠标右键单击组织单位“jxx”，从弹出的快捷菜单中选择“新建”→“用户”命令。

出现“新建对象-用户”对话框，如图6.1所示。

图6.1 “新建对象–用户”窗口（1）①在“姓”文本框中键入用户的姓氏，在“名”文本框中键入用户的名字，在“英文缩写”文本框中键入用户的姓名缩写。

在“用户登录名”中，键入用户登录名称，单击下拉列表中的用户主体名称(UPN) 后缀，用户账户的默认UPN 后缀是该用户账户所在域的DNS 域名。

通过为所有用户提供单个UPN 后缀，可添加备用的UPN 后缀以便简化管理和用户登录过程。

如果用户使用不同的名称从运行Windows 98、Windows 95、Windows NT 的计算机登录，请将显示在“用户登录名（Windows 2000 以前版本）”中的用户登录名改成其他名称。

单击“下一步”按钮，显示图6.2所示的输入密码窗口。

图6.2 “新建对象–用户”窗口（2）②在“密码”和“确认密码”中，键入用户的密码，然后选择适当的密码选项，单击“下一步”按钮，然后单击“完成”按钮完成用户账户的创建。

（3）创建用户主要名称后缀当我们的用户主名后缀和根域的域名有出入的情况下，我们可能就需要添加用户主名后缀,方法是：通过“管理工具”中的“Active Directory 域和信任关系”，打开“Active Directory 域和信任关系”管理单元，右击“Active Directory 域和信任关系”选择“属性”命令，打开“Active Directory 域和信任关系属性”窗口，如图6.3所示，在“其他UPN后缀”文本框下输入其他名称后缀名：，然后单击“添加”按钮，再单击“完成”按钮完成设置。

图6.3 “Active Directory 域和信任关系属性”窗口2. 用户账户的管理（1）设置域用户账户的属性双击要设置的用户账户，打开“属性”对话框，如图6.4所示，即可进行设置。

图6.4 “用户liang 属性”窗口，“常规”选项卡①输入用户个人信息所谓“用户个人信息”，就是指姓名、地址、电话、传真、移动电话、公司、部门、职称、电子邮件、Web页等，可通过“常规”和“地址”选项卡进行设置，常规选项卡如图6.4所示。

②设置用户账户信息单击“账户”选项卡，显示如图6.5所示的窗口。

在“账户”选项卡上，单击“登录时间”，然后为该用户设置允许或拒绝的登录时间；单击“登录工作站”可设置允许用户登录的工作站；在“账户过期”下可设定用户的使用期限；在“账户选项”下可设定用户的密码策略。

图6.5 “用户liang 属性”窗口，“账户”选项卡登录时间的设置：如图6.5中“登录时间”用来设置允许用户登录的时段，默认是用户可以在任何时段登录域。

如图6.6所示。

限制用户只能够从某些工作站登录：“登录到”用来设置允许用户登录到域的计算机，系统默认为用户可以从任何一台计算机登录域，也可以限制用户只能从某些计算机登录域。

在6.5中选择“登录到”，出现如图6.7所示的对话框。

若要限制用户只能从某些计算机登录域，则选择“下列计算机”单选框，输入计算机名→“添加”按钮→“确定”完成设置。

图6.6 “登录时间段”窗口图6.7 设置允许登录的工作站③设置配置文件属性单击“配置文件”选项卡，显示如图6.8所示的窗口。

可以指定“配置文件的路径”、“登录脚本”和用户“主文件夹”的位置。

图6.8 “用户liang 属性”窗口，“配置文件”选项卡（2）域用户账户的复制如果需创建的用户与原有用户的属性相同，可用复制用户的方法创建用户，方法是：打开“Active Directory 用户和计算机”控制台，用鼠标右键单击要复制的用户账户，然后单击“复制”，在“名”文本框中键入用户的名字，在“姓”文本框中键入用户的姓氏，在“用户登录名”中，键入用户登录名，单击下拉列表中的主要名称后缀，然后单击“下一步”按钮。

在“密码”和“确认密码”中，键入用户的密码，然后选择适当的密码选项，再单击“确定”按钮完成用户的复制。

（3）删除用户账户打开“Active Directory 用户和计算机”控制台，在控制台树中，单击包含要删除用户账户的文件夹。

在详细信息窗格中，右键单击该用户账户，然后单击“删除”。

（4）重设用户账户密码打开“Active Directory 用户和计算机”控制台，在控制台树中，单击包含要删除用户账户的文件夹。

在详细信息窗格中，右键单击要重置其密码的用户，然后单击“重设密码”键入并确认密码。

如果想让用户在下次登录时更改该密码，请选中“用户下次登录时须更改密码”复选框。

（5）移动用户账户打开“Active Directory 用户和计算机”控制台，在控制台树中，单击包含要删除用户账户的文件夹。

在详细信息窗格中，右键单击要移动的用户，然后单击“移动”。

在“移动”对话框中，单击用户账户要移动至的文件夹。

3、组账户的管理组是用户和计算机账户、联系人以及其他可作为单个单元管理的组的集合。

属于特定组的用户和计算机称为组成员。

组是管理用户的策略，组可以包含用户、计算机以及其他组。

组可用于将用户账户、计算机账户和其他组账户收集到可管理的单元中。

使用组可同时为许多账户指派一组公共的权限和权利，而不用单独为每个账户指派权限和权利，这样可简化管理。

将具有相同权限的用户划分到一个组中，使他们成为该组的成员，只要赋予该组一定的权限，则其中每一个成员也都具有相应的权限。

（1）组的类型在Windows Server 2003的Active Directory 中有两种类型的组：通讯组和安全组。

可以使用通讯组创建电子邮件通讯组列表，使用安全组给共享资源指派权限。

①安全组：安全组可以用来设置网络中的访问权限。

安全组提供了一种有效的方式来指派对网络上资源的访问权。

使用安全组，可以将用户权限分配到Active Directory 中的安全组，给安全组指派对资源的权限。

②通信组：分布式组不能设置网络中的访问权限，而只能用在与安全(权限的设置等)无关的任务上，只有在电子邮件应用程序（如Exchange）中，才能使用通讯组将电子邮件发送给一组用户。

（2）组的作用域组（不论是安全组还是通讯组）都有一个作用域，用来确定在域树或林中该组的应用范围。

有三类不同的组作用域：通用、全局和本地域。

①全局组成员：全局组的成员可包括只在其中定义该组的域中的其他组和账户。

权限：全局组可以在林中的任何域中指派权限。

②）本地域组成员：本地域组的成员可包括Windows Server 2003、Windows 2000 或Windows NT 域中的任何一个域内的用户账户、通用组、全局组；同一个域内的本地域组。

权限：本地域组只能够在同一个域内指派权限。

③）通用组成员：通用组的成员可包括域树或林中任何域中的其他组和账户。

权限：可以在该域树或林中的任何域中指派权限。

（3）新建组打开“Active Directory 用户和计算机”控制台，在控制台树中，右键单击要在其中添加新组的文件夹。

指向“新建”，然后单击“组”。

打开图6.9所示的对话框。

输入组的名称，在“组作用域”中，单击某个选项。

在“组类型”中，单击某个选项。

单击“确定”按钮，即可完成组的建立。

图6.9“新建对象-组”对话框（4）添加组的成员①在“Active Directory用户和计算机”控制台中，用鼠标右键单击组group1，选择“属性”命令，打开如图6.10所示的对话框。

图6.10 组group1的“属性”对话框②单击“成员”选项卡，再单击“添加”按钮，显示如图6.11所示的对话框。

图6.11“选择用户、联系人或计算机”对话框（1）③在“选择用户、联系人和计算机”对话框中，单击“高级”按钮，再单击“立即查找”按钮，显示图6.12所示的“选择用户、联系人或计算机”对话框。

图6.12“选择用户、联系人或计算机”对话框（2）④选定要加入组的用户或组或计算机等，单击“确定”按钮，再单击“确定”按钮，即可把所选的成员加入到group1组中，最后再单击“确定”按钮完成设置。

（5）重命名及删除组账户用鼠标右键单击组账户，选择“重命名”命令，可更改组账户名。

用鼠标右键单击要删除的组账户，选择“删除”命令，可删除组账户。

4、计算机账户的管理计算机账户是存储在Active Directory 中并能唯一识别域中计算机的账户。

计算机账户使用的名称与加入域的计算机名相同。

计算机账户与用户账户不同，一台计算机加入域中，只能使用一个计算机账户，而且物理位置相对固定。

每个运行 Windows NT、Windows 2000、Windows XP 的计算机或运行 WindowsServer 2003 的服务器都有一个计算机账户。

与用户账户类似，计算机账户提供了一种验证和审核计算机访问网络以及域资源的方法。

每个计算机账户必须是唯一的。

注意：运行 Windows 95 和 Windows 98 的计算机没有高级安全功能，未被指派计算机账户。

1.创建计算机账户当网络中有新的客户端要加入域时，管理员必须在域控制中创建一个计算机账户，以便其有资格成为域的成员。

计算机账户的创建方法如下：打开“Active Directory 用户和计算机”控制台，在控制台树中，右键单击“Computers” 或者，右键单击希望向其中添加计算机的文件夹。