项目6 Active Directory域服务的配置与管理
AD域服务器配置使用手册
AD域服务器配置使用手册目录•简介•安装AD域服务器•配置AD域服务器•使用AD域服务器•常见问题与解决方案简介Active Directory（简称AD）是由微软公司开发的一种目录服务，用于管理和组织网络中的用户、计算机、应用程序等资源。
AD域服务器是一个核心组件，用于集中管理和分发资源，提供统一的身份验证和访问控制。
本文档将指导您进行AD域服务器的安装、配置和使用，以便在企业网络中实现集中管理和统一认证。
在安装AD域服务器之前，您需要确保以下条件已满足：•一台运行Windows Server操作系统的服务器•具有管理员权限的帐户•确保网络连接正常按照以下步骤进行AD域服务器的安装：1.在服务器上运行Windows Server安装程序。
2.选择“自定义安装”选项，并选择“域控制器”角色。
3.指定域的名称，并设置管理员密码。
4.安装必要的依赖项和组件。
5.完成安装过程。
安装完成后，您需要进行AD域服务器的配置，以满足特定的网络需求。
以下是一些常见的AD域服务器配置任务：•添加组织单位（OU）和用户组：用于组织和管理用户和计算机资源。
•配置组策略：通过组策略设置实施安全和配置要求。
•创建用户账户和共享文件夹：用于授权和权限管理。
•配置安全认证和访问控制：用于保护网络资源免受未经授权的访问。
•配置域名服务器（DNS）和动态主机配置协议（DHCP）：用于自动分配IP地址和解析域名。
您可以通过Windows Server管理工具如Active Directory用户和计算机、组策略管理等进行以上配置任务。
使用AD域服务器一旦AD域服务器配置完成，您可以开始使用其提供的功能：•用户身份验证和访问控制：用户可以使用域帐户登录到域中的任何计算机，并访问授权的资源。
•统一管理：通过AD域服务器，您可以集中管理用户、计算机和应用程序的配置和访问权限。
•自动化管理：通过组策略和脚本，可以自动化管理和配置群组策略、软件安装等。
Windows域环境的部署与管理-部署与管理Active Directory域服务环境
《Windows网络操作系统》电子初九年级数学教案
图一公司域环境示意图
要求如下:
一．创建域long.,域控制器地计算机名称为Win二零一六-一。
二．检查安装后地域控制器。
三．安装域long.地额外域控制器,域控制器地计算机名称为Win二零一六-二。
四．创建子域china.long.,其域控制器地计算机名称为Win二零一六-三,成员服务器地计算机名称为Win二零一六-四。
五．创建域smile.,域控制器地计算机名称为Server一。
六．创建long.与smile.双向可传递地林信任关系。
七．备份smile.域地活动目录,并利用备份行恢复。
八．建立组织单位sales,在其下建立用户testdomain,并委派对OU地管理。
Active Directory部署之完全手册
Active Directory部署之完全手册本篇文章中所有的成员服务器均采用微软的Windows Server 2003，客户端则采用Windows XP。
首先，当然是在成员服务器上安装上Windows Server 2003，安装成功后进入系统，我们要做的第一件事就是给这台成员服务器指定一个固定的IP，在这里指定情况如下: 机器名:AmericanIP:192.168.0.253子网掩码:255.255.255.0DNS: 192.168.0.253 (因为我要把这台机器配置成DNS服务器)点开始—运行输入dcpromo:待活动目录安装向导启动:点击下一步:这里是一个兼容性的要求，Windows 95及NT 4 SP3以前的版本无法登陆运行到Windows Server 2003的域控制器，我建议大家尽量采用Windows 2000及以上的操作系统来做为客户端。
然后点击“下一步”：在这里由于这是第一台域控制器，所以选择第一项:“新域的域控制器”，然后点“下一步”:既然是第一台域控，那么当然也是选择“在新林中的域”, 然后点“下一步”:我们把DNS Server与域控制器集成是有很多好处：1、基于Active Directory 功能的多主机更新和增强的安全性。
2、只要将新的区域添加到Active Directory 域，区域就会自动复制并同步至新的域控制器。
3、通过将DNS 区域数据库的存储集成到Active Directory 中，可以针对网络简化数据库复制规划。
4、与标准DNS 复制相比，目录复制更快捷、更有效。
5、该目录中只能存储主要区域。
DNS 服务器不能在目录中存储辅助区域。
因此，它必须在标准文本文件中存储这些数据。
如果将所有的区域都存储在Active Directory 中，Active Directory 的多主机复制模式将不再需要辅助区域。
OK，我们默认然后点“下一步”：在这里我们输入我们预先想好的域名：然后点“下一步”：这里是指定NetBIOS名，注意千万别和下面的客户端冲突，也就是说整个网络里不能再有一台PC的计算机名叫“demo”，虽然这里可以修改，但个人建议还是采用默认的好，省得以后麻烦。
一．手动安装ActiveDirectory：1.单击“开始”按钮，单击“运行”，键..
一．手动安装Active Directory：1.单击“开始”按钮，单击“运行”，键入“DCPROMO”，然后单击“确定”。
2.在出现“Active Directory 安装向导”时，单击“下一步”开始安装。
3.阅读“操作系统兼容性”信息后，单击“下一步”。
4.选择“新域的域控制器”（默认），然后单击“下一步”。
5.选择“在新林中的域”（默认），然后单击“下一步”。
6.对于“DNS 全名”，键入“”，然后单击“下一步”。
（这表示一个完全限定的名称。
）7.单击“下一步”，接受将“test”作为默认“域NetBIOS 名”。
（NetBIOS 名称提供向下兼容性。
）8.在“数据库和日志文件文件夹”屏幕上，将Active Directory“日志文件文件夹”指向“L:\Windows\NTDS”，然后单击“下一步”继续。
9.保留“共享的系统卷”的默认文件夹位置，然后单击“下一步”。
10.在“DNS 注册诊断”屏幕上，单击“在这台计算机上安装并配置DNS 服务器”。
单击“下一步”继续。
11.选择“只与Windows 2000 或 Windows Server 2003 操作系统兼容的权限”（默认），然后单击“下一步”。
12.在“还原模式密码”和“确认密码”中，键入密码，然后单击“下一步”继续。
13.单击“下一步”开始安装Active Directory。
14.在“Active Directory 安装向导”完成后，单击“完成”。
15.单击“立即重新启动”以重新启动计算机。
二．创建组织单位和组，创建OU 和安全组1.单击“开始”按钮，指向“所有程序”，指向“管理工具”，然后单击“Active Directory 用户和计算机”。
2.单击“”旁边的“+”号将其展开。
单击“”本身，显示其在右窗格中的内容。
3.在左窗格中，右键单击“”，指向“新建”，然后单击“组织单位”。
4.在名称框中键入“testou1”，然后单击“确定”。
Active Directory管理之六共11页word资料
Active Directory管理之六:活动目录数据库维护维护活动目录数据库是一个很重要的管理任务，它需要定期帮助覆盖丢失和出错的数据，修正活动目录数据库。
活动目录数据库存储包含有 AD 中所有数据，所以活动目录数据库维护是一项非常重要的工作。
一般情况下，管理员很少会直接管理活动目录数据库，因为有规律维护活动目录数据库是一个很重要的管理任务，它需要定期帮助覆盖丢失和出错的数据，修正活动目录数据库。
活动目录数据库存储包含有 AD 中所有数据，所以活动目录数据库维护是一项非常重要的工作。
一般情况下，管理员很少会直接管理活动目录数据库，因为有规律的自动化数据库管理可以维护数据库健康。
这些自动进程包括活动目录数据库联机碎片整理和清除已删除的垃圾收集。
对于需要直接管理活动目录数据库，可以使用ntdsutil工具进行管理。
一、活动目录数据文件介绍活动目录数据文件默认存储在C:\Windows\NTDS目录下：1.edb.chk：这是检查点文件。
edb.chk文件存储数据库的检查点，这些检查点标识数据库引擎需要重复播放日志的点，通常在恢复或初始化时。
2.edbxxxxx.log：事务日志文件。
edb.log是日志文件，对数据库进行更改后，将该更改写入到edb.log文件中。
当edb.log文件充满事务之后，会被重新命名为 edbxxxxx.log，日志文件从edb00001开始，并使用十六进制数累加。
由于ActiveDirectory使用循环记录，所以在旧日志文件写入数据库之后，这些旧日志文件会及时删除。
在任何时刻都可以找到edb.log文件，而且还可能有一个或多个Edbxxxxx.log文件。
3.edbresxxxx.jrs：这些文件是保留的日志文件仅当含有日志文件的磁盘空间不足时使用。
如果当前的日志文件填满了且由于磁盘剩余空间不足服务器不能创建新的日志文件，服务器会将当前记忆体中的活动目录处理记录到两个保留日志文件中然后关闭活动目录。
活动目录Active Directory的安装与配置
4、选择［创建一个新域的域目录林］，单击［下一步］。
5、在［新域DNS全名］中输入要创建的域名，单击［下一步］。
6、安装向导自动将域名控制器的NetBIOS名设置为“jiji”，单击［下一步］。
7、显示数据库、目录文件及Sysvol文件的保存位置，一般不必做做修改，单击［下一步］。
活动目录的应用起源于Windows NT 4.0，在Windows 2003 Server中得到进一步的应用和发展，具有可扩展性和可调整性，并将结构化数据存储作为目录信息逻辑和分层组织的基础。
活动目录的优点在于：1.基于策略的管理；2．扩展性；3．可调整性；4．信息复制；5．与DNS的集成；6．灵活的查询；7．信息安全性。
实验的分析与思考：
Active Directory的优点有与DNS集成，灵活的查询，可扩展性，基于策略的管理，可伸缩性，信息复制，信息安全，互操作性。
实验结论及体会：
通过Active Directory的安装实验，体会到了Active Directory的强大功能，与DNS集成，可以不用单独配置DNS服务了，灵活的查询，可扩展性，基于策略的管理，可伸缩性，信息复制，信息安全，互操作性。尤其是其信息复制，配置成功一个域后可以复制该域，不用重新多次的建立。
13、重新启动计算机是，由于活动目录的存在，启东时间会变长。启动后，用管理员账户登录，选择“开始”“管理工具”“Active Directory用户和计算机”选项，弹出“Active Directory用户和计算机”窗口。确认活动目录是否已经正常。
14、添加用户帐户：
①首先启动Active Directory用户和计算机管理器，单击User容器会看到在安装Active Directory时自动建立的用户帐户；
Active Directory 技术简介及Active Directory部署之完全手册
Active Directory 技术Active DirectoryActive Directory是指Windows 2000网络中的目录服务。
它有两个作用：1.目录服务功能。
Active Directory提供了一系列集中组织管理和访问网络资源的目录服务功能。
Active Directory使网络拓扑和协议对用户变得透明，从而使网络上的用户可以访问任何资源（例如打印机），而无需知道该资源的位置以及它是如何连接到网络的。
Active Directory被划分成区域进行管理，这使其可以存储大量的对象。
基于这种结构，Active Direct ory可以随着企业的成长而进行扩展。
从仅拥有一台存储几百个对象的服务器的小型企业，扩展为拥有上千台存储数百万个对象的服务器的大型企业。
2.集中式管理。
Active Directory还可以集中管理对网络资源的访问，并允许用户只登陆一次就能访问在Active Direct ory上的所有资源。
Active Directory 的优点在Windows 2000 操作系统中引入Active Directory 有以下优点：∙与DNS 集成。
Active Directory 使用域名系统(DNS)。
DNS 是一种Internet 标准服务，它将用户能够读取的计算机名称（例如）翻译成计算机能够读取的数字Internet 协议(IP) 地址（由英文句号分隔的四组数字）。
这样，在TCP/IP 网络计算机上运行的进程即可相互识别并进行连接。
∙灵活的查询。
用户和管理员如果要通过对象属性快速查找网络中的对象，可使用“开始”菜单中的“查找”命令、桌面上的“网上邻居”图标或者是Active Directory 用户和计算机管理单元。
例如，您可以按照一个用户帐户的姓名、电子邮件名、办公地点或其他属性查找该用户。
而且,使用全局编录优化了查找信息的操作。
∙可扩展性。
Active Directory 是可扩展的；也就是说，管理员既可以在架构中添加新的对象类别，也可在原有的对象类别中添加新属性。
Active Directory 的操作与部署 热点话题共45页文档
账号锁定的已知问题
客户端
➢ 建立网络盘 ➢ 一个错误密码被记录三次 ➢ DS Client
➢ 解决方案: 安装 补丁程序
服务器端
➢ 解锁的账号立即被锁 ➢ BadPasswordCounter 未设置为零 ➢ 解决方案: 安装 Service Pack 3
账号被锁 – 最佳解决方案
安装补订程序 其他方法取代账号停用策略
•
29、在一切能够接受法律支配的人类 的状态 中，哪 里没有 法律， 那里就 没有自 由。— —洛克
•
30、风俗可以造就法律，也可以废除 法律。 ——塞·约翰逊
话题
热点
Active Directory 的操作和 部署 : 热点话题
产生原因及处理方法
产生孤立对象的原因
➢ 目录复制出错 ➢ 服务器离线时间 > 墓碑生存周期 ➢ 域控制器时钟被更改
➢ 激活 netlogon 日志 ➢ 激活 Kerberos 日志
常用工具
➢ EVENTCOMB ➢ AL.EXE ➢ NETMON.EXE
EVENTCOMB
AL.EXE
为什么账号会被锁定
恶意攻击, 配置不当或已知问题 一般情况
➢ 账号类型: 用户, 计算机账号 或 服务账号 ➢ 登录，建立网络盘，更改密码
▪ 如果有很多错误，重新提升该服务器 ▪ 如果只有少数对象，删除他们
墓碑生存周期大于 60 天 观察
账号频繁被锁定
背景知识 如何寻找被锁定的账号 账号频繁被锁定的已知问题 解决方法
域账号锁定的背景知识
防止用户的密码被猜测 当错误密码次数达到一定限制，该账号被锁定
➢ 暂时锁定 ➢ 永久锁定
如何处理孤立对象--- 删除！
部署ActiveDirectory目录服务
部署ActiveDirectory目录服务部署Active Directory目录服务Active Directory存储了网络对象大量的相关信息，网络用户和应用程序可根据不同的授权使用在Active Directory中发布的有关用户、计算机、文件和打印机等信息。
Active Directory支持LDAP v2和LDAP v3，能够与其他供应商的目录服务互操作。
Active Directory实际上是一种用于组织、管理和定位网络资源的企业级工具。
对于Windows网络来说，规模越大，需要管理的资源越多，建立Active Directory目录服务也就越有必要。
Active Directory基础1．Active Directory的功能Active Directory提供了一种组织方式并简化了计算机网络系统中资源的访问。
作为一种增强性目录服务，它具有下列功能。
l 数据存储，也称为目录，它存储着与Active Directory对象有关的信息。
这些对象包括共享资源，如服务器、文件、打印机、网络用户和计算机账户。
l 包含目录中每个对象信息的全局编录。
允许用户和管理员查找目录信息，而与目录中实际包含数据的域无关。
l 查询和索引机制的建立，可以使网络用户或应用程序发布并查找这些对象及其属性。
l 通过网络分发目录数据的复制服务。
对目录数据所做的任何更改都被复制到域中的所有域控制器。
l 与网络安全登录过程的安全子系统的集成，以及对目录数据查询和数据修改的访问控制。
l 提供安全策略的存储和应用范围，支持组策略来实现网络用户和计算机的集中配置和管理。
2．Active Directory对象与其他目录服务器一样，Active Directory以对象为基本单位，采用层次结构来组织管理对象。
这些对象包括网络中的各项资源，如用户、计算机、打印机和应用程序等。
AD对象以层次结构组织，可分为两种类型。
一类是容器对象，即可以包含下层对象的对象；另一类是非容器对象，即不能包含下层对象的对象。
第三章-Active-Directory服务PPT优秀课件
• 全局编录担当了以下目录角色： •查找对象 •提供了根据用户主名的身份验证 •在多域环境下提供通用组的成员身份信息
10
五、操作主机
• Windows Server 2003 Active Directory域控 制器操作是一种多主机模式 。 • 在域中联机的第一台Windows Server 2003域 控制器将会被默认地自动具有所有5种角色： • 架构主机（Schema Master） •结构主机（nfrastructure Master） •域命名主机（Domain Naming Master） • 相对ID（RID）主机 • PDC仿真器
27
设定还原模式管理员密码
安装选项摘要
29
安装过程截图
30
提示插入Windows Server 2003
Enterprise Edition CD-ROM
31
安装完成
32
提示重启计算机以使更改生效
33
第四节 域操作
•一、加入域 •方法一：在安装Windows Server 2003期间，有 一步是选择计算机的安全角色，可以选择作为 工作组或域的一部分。可以简单地成为一个工 作组的一员，也可以将它配置成域控制器 •作为域成员的普通Windows Server 2003计算机。 • 如果选择加入域，那么必须输入域管理员 的账号和密码。这样可以防止非域管理员非法 将Windows Server 2003计算机加入到域中。
• 为了修改架构，必须满足以下三个要求：
•成为“Schema Administrators”（架构管理员） 组的成员
Active Directory部署之完全手册
首先，当然是在成员服务器上安装上Windows Server 2003，安装成功后进入系统，我们要做的第一件事就是给这台成员服务器指定一个固定的IP，在这里指定情况如下:机器名:AmericanIP:192.168.0.253子网掩码:255.255.255.0DNS: 192.168.0.253 (因为我要把这台机器配置成DNS服务器)首先我们安装DNS服务：添加方法如下:“开始—设置—控制面板—添加删除程序”，然后再点击“添加/删除Windows组件”，则可以看到如下画面:找到“网络服务”，点击下面的“详细信息”进行自定义安装，勾选“域名系统（DNS）”然后就是点“确定”，一直点“下一步”就可以完成整个DNS的安装。
在整个安装过程中请保证Windows Server 2003安装光盘位于光驱中，否则会出现找不到文件的提示，那就需要手动定位了。
安装完DNS以后，点击“开始”-“运行”-“dcpromo”启动活动目录安装向导:点开始—运行输入dcpromo:待活动目录安装向导启动:点击下一步:这里是一个兼容性的要求，Windows 95及NT 4 SP3以前的版本无法登陆运行到Windows Server 2003的域控制器，我建议大家尽量采用Windows 2000及以上的操作系统来做为客户端。
然后点击“下一步”：在这里由于这是第一台域控制器，所以选择第一项:“新域的域控制器”，然后点“下一步”:既然是第一台域控，那么当然也是选择“在新林中的域”, 然后点“下一步”:我们把DNS Server与域控制器集成是有很多好处：1、基于Active Directory 功能的多主机更新和增强的安全性。
2、只要将新的区域添加到Active Directory 域，区域就会自动复制并同步至新的域控制器。
3、通过将DNS 区域数据库的存储集成到Active Directory 中，可以针对网络简化数据库复制规划。
计算机网络实验ActiveDirectory(活动目录)网络的安装和配置精品PPT课件
结束语
当你尽了自己的最大努力时，失败也是伟大的， 所以不要放弃，坚持就是正确的。
When You Do Your Best, Failure Is Great, So Don'T Give Up, Stick To The End 演讲人：XXXXXX 时 间：XX年XX月XX日
表，然后点击“添加”即可将此用户添加到此组中）
新建用户
▪ 在“Active Directory 用户和计算机”管理窗口中，右击域下面的 “Users” →“新建”→“用户”即进入“新建对象一用户”对话框。 在此填写相关用户资料和登陆用户名。
设置用户名
新建用户
▪ 在密码和帐户有效性设置对话框中，填写此用户的密码和相关的选项。 可以以针对此帐户的使用性质来作出选择。
动”
直接在“运行”中输入“DCPROMO”启动安装 向导
2.进入欢迎界面
3.域控制类型选择
4.创建目录树或子域
5.创建或加入目录林
6.填写新的域名
7.填写NetBIOS 域名
8.设置数据库和日志文件位置
9.设置共享的系统卷位置
10.配置DNS
11．设置权限
12.设置目录服务恢复模式的管 理员密码
加入域-1
▪ 右击“我的电脑”，在弹出的右键菜单中选择“属性”选项，→“网络 标识”→“属性”，进入“更改标识”对话框，单选“域”，在“域” 文本框中填入服务器的域名
加入域-2
▪ 系统会尝试联接域服务器，如果无误会出现“域用户名和密码”对话框
登陆域服务器
学习总结
经常不断地学习,你就什么都知道。你知道得越多,你就越有力量 Study Constantly, And You Will Know Everything. The More
解决active directory域服务问题的方法
解决active directory域服务问题的方法全文共四篇示例，供读者参考第一篇示例：Active Directory（AD）是微软Windows操作系统中常用的目录服务，用于管理网络中的用户、计算机和其他资源。
在使用过程中，有时候会碰到一些问题，如用户无法登录、组策略无效等。
本文将介绍解决这些问题的方法，帮助管理员更好地管理和维护AD域服务。
一、用户无法登录1. 检查网络连接：首先要确保网络连接正常，AD域控制器可以被访问。
可以通过ping命令测试AD服务器的可达性。
2. 检查用户名和密码：确认用户输入的用户名和密码是否正确，如果忘记密码可以重置密码或设置密码策略允许用户自行更改密码。
3. 检查用户帐户是否被锁定：如果用户连续多次输入错误密码，有可能触发帐户锁定策略，解锁用户帐户即可解决登录问题。
4. 检查域控制器日志：查看域控制器的事件日志，可能会有相关登录失败的日志记录，从而找到问题的原因。
二、组策略无效1. 强制更新组策略：可以使用gpupdate /force命令强制更新组策略，使其立即生效。
2. 检查组策略设置：确保组策略设置正确，没有重复或冲突的设置。
可以通过组策略管理工具查看和修改组策略设置。
3. 检查组策略范围：确认组策略应用范围是否覆盖了需要生效的用户或计算机，有时候由于配置错误导致组策略无法正确应用。
4. 重启计算机：有时候组策略更新后需要重新启动计算机才能生效，尝试重启计算机查看是否问题解决。
三、AD域服务异常1. 检查AD域控制器状态：确保AD域控制器正常运行，未出现硬件故障或软件故障，可以通过性能监视器监控AD域控制器的运行状态。
2. 检查AD域服务配置：查看AD域服务的配置是否正确，包括DNS设置、时间同步、网络设置等，这些配置对AD域服务的正常运行至关重要。
3. 检查AD域数据库：如果出现用户丢失或其他异常情况，可能是AD域数据库损坏或存储空间不足，可以尝试修复数据库或清理存储空间。
第6章--Active-Directory规划、安装、配置、管理
6.1 相关知识 6.2 实训纲要 6.3 实训条件 6.4 实训内容
6.1 相关知识
6.1.1什么是Active Directory
• Active Directory（活动目录）是一种分布式的目录服务，
表现在目录服务方面，就是在目录中存储着网络上各种对 象或资源的有关信息，并使这些信息发挥作用，实现如用 户和资源管理、基于目录的网络服务、基于网络的应用管 理等。
6.1.2 Active Directory的逻辑层次结构 • Windows Server 2003的活动目录在逻辑上是由对象、组
织单位、域、域树和域林构成的层次结构。这种逻辑层次 结构是由下而上的方法建立起来的，首先，是一个单一的 域，为了便于管理，划分了许多组织单位，活动目录为每 个域建立一个目录数据库的副本，这个副本只存储用于这 个域的对象，如图6-1所示。
6.1.3 Active Directory的物理结构
• Active Directory的物理结构与逻辑结构有很大的不同，逻
辑结构和物理结构相互独立。逻辑结构侧重于网络资源的
管理，而物理结构则侧重于网络的配置和优化，其主要着
眼于活动目录信息的复制和用户登录网络时的性能优化。
物理结构中有几个重要概念，即站点、域控制器和复制，
Domain
双 向 信 任
Forest
Domain
Domain
Tree Domain
Domain
Tree
OU Domain
OU OU
图6-2
• 1. 对象 • 2. 组织单位 • 3. 域 • 4. 域树 • 5. 域林
6.1.5 Active Directory整理和修复
Active Directory和域
5．域-按某些原因组成的范围
域是Windows 2003网络系统的安全性边界。 一个计算机网络最基本的单元就是“域”，但 活动目录可以贯穿一个或多个域。在独立的计 算机上，域即指计算机本身，一个域可以分布 在多个物理位置上，同时一个物理位置又可以 划分不同网段为不同的域，每个域都有自己的 安全策略以及它与其他域的信任关系。当多个 域通过信任关系连接起来之后，活动目录可以 被多个信任域共享。
当用户登录网络时，作为登录过程的一部分必 须联系域控制器。如果客户必须连接位于不同 站点的域控制器，那么登录过程将耗费很长的 时间。通过在每个站点中创建域控制器，在站 点内的用户登录处理会更加有效。 由于域中所有的域控制器具有相同的Active Directory数据库，且网管人员可在任一台域 控制器上修改Active Directory信息，因此域 控制器间必须有复制（Replication）机制， 以维持Active Directory数据的一致性。 Nhomakorabea
3．可传递信任 在整个的一组域（例如域树）间流通、并在域和信任 该域的所有域之间形成的信任关系。例如，如果 A 域 和 B 域之间存在可传递信任，并且 B 域信任 C 域， 则 A 域也信任 C 域。 可传递信任可以是单向的，也 可以是双向的，并且是基于 Kerberos（一种网络认证 协议） 的身份验证和 Active Directory 复制所要求 的。 4．非传递信任 多域环境中的一种信任关系，仅限制在两个域之间。 例如，如果 A 域具有和 B 域的非传递信任，并且 B 域信任 C 域，则 A 域和 C 域之间没有信任关系。 非传递信任可以为单向或双向。
4.2.3域间的信任关系
域和域之间的通信是通过信任发生的。信任是 为了使一个域中的用户访问另一个域中的资源 而必须存在的身份验证管道。 信任关系是指在域之间建立的逻辑关系，以便 允许通过身份验证，其中信任域负责受信域的 登录验证。受信域中定义的用户帐户和全局组 可以获得信任权利和权限，即使该用户帐户或 组不在信任域的目录中。
active directory系统管理员工作内容
active directory系统管理员工作内容
Active Directory（活动目录）系统管理员的工作内容主要包括以下几个方面：
1. 服务器及客户端计算机管理：管理服务器及客户端计算机账户，确保所有服务器及客户端计算机加入域管理并实施组策略。
2. 用户服务：管理用户域账户、用户信息、企业通讯录（与电子邮件系统集成）、用户组管理、用户身份认证、用户授权管理等，并按省实施组管理策略。
3. 资源管理：管理打印机、文件共享服务等网络资源。
4. 桌面配置：系统管理员可以集中地配置各种桌面配置策略，如：用户使用域中资源权限限制、界面功能的限制、应用程序执行特征限制、网络连接限制、安全配置限制等。
5. 应用系统支撑：支持财务、人事、电子邮件、企业信息门户、办公自动化、补丁管理、防病毒系统等各种应用系统。
6. 安全性管理：通过登录身份验证以及目录对象的访问控制集成在Active Directory之中，保证系统的安全。
7. 基于策略的管理：简化网络的管理，即便是那些最复杂的网络也是如此。
以上是Active Directory（活动目录）系统管理员的主要工作内容，具体的工作内容可能会根据实际需求有所调整。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
第6章 Active Directory域服务的配置与管理
Hale Waihona Puke 项目6 Active Directory域服务的配置与管理
本章要点
Active Directory与域。 创建Active Directory域。 将Windows计算机加入域。 管理Active Directory内的组织单位和用户账户。 管理Active Directory中的组账户。 理解域和工作组的区别，熟悉活动目录的相关概念。 掌握Active Directory域的创建条件、安装与配置方法。 掌握将Windows计算机加入和登录域的方法，能够使用活动目录 中资源。 掌握Active Directory内的组织单位创建和管理方法，用户账户创 建和管理方法。 理解域内组账户的类型和作用域，掌握Active Directory内的组账 户的创建和管理方法。
6.2.6 域中的计算机分类
（1）域控制器 （2）成员服务器 （3）独立服务器 （4）域中的客户端
6.3 任务1-安装Windows Server 2008域控制器
6.3.1 建立第一台域控制器 6.3.2 在域中创建新用户
6.3.3 客户机登录到域
6.3.1 建立第一台域控制器
工作场景
引导问题
(1) 如何创建Active Directory？创建时对服务器有什么要求？ 创建完成后如何管理？ (2) 一台Windows客户机如何添加到域中？如何使用Active Directory中的资源？ (3) 组织单位是什么？如何创建和管理？ (4) 域用户账户和本地用户账户有何区别？如何创建和管理 域用户账户？ (5) 域组账户和本地组账户有何区别？如何创建和管理域组 账户？
图6.12 Active Directory域服务
1．域控制器的安装
（5）在“Active Directory域服务”对话框中，向导会给出四点注意 事项，如图6.12所示，根据这些注意事项可以了解到安装AD前后操 作应该执行的任务和AD需要的服务。点击【下一步】继续。点击 【安装】继续，最终达到如图6.14安装结果。
图6.10添加角色向导
1．域控制器的安装
（3）选择“自定义此服务器”中的“添加角色”，在“添加角色向 导”对话框中的左边选择“服务器角色”，右边选择“Active Directory域服务”，如图6-11所示。
图6.11 选择服务器角色
1．域控制器的安装
（4）需要注意的是由于AD在某些版本的windows server 2008上必 须有“.NET Framework”功能的支持，所以在这一步后有时要求安装 “.NET Framework 3.5.1功能”，此时只需按照向导多执行一步即可。 演示用的版本不需安装。点击【下一步】即可。
图6-14 安装结果
1．域控制器的安装
6）当出现“安装结果”对话框时，如果没有错误，只有如图6.14所示的没有 开启更新的警告信息，则可以直接忽略，此时AD的安装准备已经完成，但是 由于该台计算机还不能完全正常运行DC，所以提示需要启用AD安装向导 （dcpromo.exe）来完成安装安装结束，选择“关闭该向导并启动Active Directory域服务器安装向导（dcpromo.exe）”或者直接点下面的【关闭】 按钮，然后在运行对话框中输入“dcpromo“，如图6.15所示。
1．域控制器的安装
置窗口”，如图6.9所示。
（1） 在安装好windows server 2008之后，启动后会弹出“初始任务配
图6.9 初始配置任务
1．域控制器的安装
（2）选择“自定义此服务器”中的“添加角色”，弹出“添加角色向导”， 如图6.10所示，在开始之前首先，要求验证管理员是否具有强密码，是否已 配置静态IP地址，是否已安装最新的安全更新，如果上面的部分没有完成， 再后续的步骤中会出现警告信息或者错误，严重的会导致域控制器无法安装。
6.6 项目实训-活动目录的安装与管理
6.1
真实情景导入
Contoso是一家IT公司，随着该公司规模的不断壮大，不 仅部门增多，个人计算机和服务器的数量也越来越多。 作为网管员的小明面对各种各样的管理问题，比如因为 几百台计算机要上千人公用，还要能保证安全，就要给 每个人在每台机器上都设置用户名密码，来了新同事， 要在每台机器上给他开新账号，他离职了，还要每台机 器删除该账号，这无疑是一个令人疯狂的工作，但是， 小明想到了域控制器和活动目录。假设该公司的域名是 。
6.2.4 域树和域林
域 域树
域林
6.2.5 活动目录及其结构
活动目录（Active Directory）是Windows Server 2008系统中提供的目录服务，用于存储网络上各种对 象的相关信息，以便于管理员查找和使用。 目录是一个用于存储用户感兴趣的对象信息的信息库。 所谓目录服务就是结构化的网络资源信息库，如计算 机、用户、打印机、服务器等。
6.2.3 域和工作组的区别
工作组可以说是“自由市场”， 有几个工作 组就有几个“自由市场”， 你可以随时自由出入 而没什么限制，从网上邻居最先看到的往往是自 己机器所在的工作组的机器们。而域是严格控制 权限的“私人会所”， 没有正确的域用户是根本 无法登录到域上的，也就无法访问域所控制的资 源。
技能目标
项目6 Active Directory域服务的配置与管理
6.1 真实情景导入 6.2 Active Directory与域 6.3 任务1-安装Windows Server 2008域控制器 6.4 任务2-Windows Server 2008活动目录的管理 6.5 回到工作情景
6.2.1 工作组
1．工作组的概念
2．如何加入和退出工作组
6.2.2
域
1．域名例子
2．域（Domain） 是一个比工作组更严格的单位，但它可以包含若干个工作组。 3. 域控制器 在“域”模式下，至少有一台计算机负责每一台联入网络的电脑和用户的 验证工作，相当于一个单位的门卫一样，称为“域控制器（Domain Controller，简写为DC） 4.活动目录 域控制器中包含了由这个域的账户、密码甚至该域其他计算机的软硬件 信息等构成的数据库，该数据库也称为活动目录（Active Directory，简写为 AD）