windows域控制器设置教程
域控中组策略基本设置
域控中组策略基本设置
在Windows域控制器中，组策略是一种非常重要的工具，用于管理网络中的计算机和用户。
组策略允许系统管理员在网络上部署、管理和强制执行特定设置，以确保网络安全性和一致性。
下面将详细介绍域控制器中组策略的基本设置。
1.创建和链接组策略：
-打开“组策略管理”控制台，右键单击“域”节点，选择“创建一个或多个GPO，并将其链接到此处”
-输入策略名称，点击“确定”创建策略
-右键单击域或OU（组织单位），选择“链接已存在的GPO”
-选择需要链接的策略，点击“确定”
2.应用组策略：
-应用到特定的OU：选择需要应用策略的OU，右键单击，选择“应用组策略”
- 更新组策略：使用命令行工具gpupdate /force强制更新策略
3.用户配置：
4.计算机配置：
5.安全设置：
6.软件安装：
7.文件共享：
8.IE设置：
9.桌面配置：
10.AUDIT策略：
值得注意的是，组策略设置在域控制器上只对处于该域中的计算机和用户生效。
通过组策略，管理员可以集中管理网络中的资源和安全策略，并确保网络中的计算机和用户的行为符合组织的政策和要求。
完成以上设置后，管理员需定期检查组策略的运行情况，保证其有效性和及时性。
Windows Server 2003AD域控制器搭建与软件派发
“我的电脑”里打开的话，那么组织单元的应用对象将
同样在本机的“我的电脑”中查找，而不到存放程序包 的文件夹中去运行安装文件了。因此正确的路径方式应 使用本地计算机的 UNC 路径，即 \\服务器名\共享名\路
径\文件名.msi
4.2 发布发布
3） 发布软件
4.2 发布发布
3） 发布软件
与设置用户登录脚本类似，打开“组策略编辑器”，在“用户配置”下选择 “软件安装”，在该项上右击，选择“新建”/“程序包”，在出现的“打开” 文件对话框左侧选择“网上邻居”，然后从网络上找到自己存放安装程序的 共享文件夹，打开其中的MSI文件。
PS：从网上邻居打开安装程序包，是为了保证网络里
PS：关于Winstall的使用方法可到网上查找 /ly676830315@126/blog/static/1017337222012715519532/
4.2 发布发布
2） 建立共享文件夹
在服务器上新建一个共享文件夹，如share，也可以使用域控制器默认的 sysvol文件夹，从安全的角度考虑，可将共享文件夹的权限设置为“读取”。 将封装好的MSI程序包放入共享文件夹内。
4.2 发布发布
通过设置用户登录脚本发布的软件在用户每次登录时都会安装，这是我们 不希望的，尤其是对于那些有安装向导的软件，那么有没有更好的方法让 用户在登录时就自动安装了，而用户自己察觉不到呢？
1） 软件封装 使用域控制器的软件发布功能，对软件是有一定要求的，对于那些exe等格 式的安装包是无法发布的，必须将软件打包成MSI程序包。 制作MSI程序包的软件很多，但不是随便哪一种都可以，最好采用微软的 WinSTALL，通过两次获取系统的快照，进行对比，制作MSI格式的软件包。
域控制器详细配置文档。
域控制器配置说明首先我们要理解域环境的概念将网络中多台计算机逻辑上组织到一起，进行集中管理，这种区别于工作组的逻辑环境叫做域域是组织与存储资源的核心管理单元它优于工作组的地方：集中管理便捷的网络资源访问用户一次登录就可访问整个网络资源网络资源主要包含用户帐户、组、共享文件夹、打印机等可扩展性所以一般就是公司pc机大于30台左右，一般就建议采用域结构：一：域控制器的搭建：1.操作系统的要求：安装者必须具有本地管理员权限操作系统版本必须满足条件（Windows Server 2003除Web版外都满足）本地磁盘至少有一个分区是NTFS文件系统有TCP/IP设置（IP地址、子网掩码等）有相应的DNS服务器支持有足够的可用空间2.操作系统的安装：按Enter键创建分区：格式化分区，一般用NTFS（快）区别，此选项为不检测磁盘。
系统正在安装。
3.域环境的搭建：启动安装向导，使用管理您的服务器向导使用命令DCPROMO（推荐使用第二种方法）注意，安装的时候一定要有静态的IP地址和DNS。
安装向导：第一项为，新的域控制器：也就是在域林中新建一个域控制器。
第二项为，现有域控制器的额外控制器，即为现有域控制器的一个备份。
实现很好冗余选择在新林中的域：解释上面很详细。
DNS的建立，这步为最重要的，安装的时候请将2003的安装光盘放入到光驱中去，因为DNS的安装必须读取I386里面的文件：这就是必须要个NTFS分区的原因：对于新手，我们建议算在第二项。
安装域，等待········完成之后重启就OK了重启之后，我没就可以看到管理工具里面多了活动目录和DNS、域安全策略等，说明域控制器已经搭建完成！4.域控制器的管理。
1.组织单位的管理这是域控制器默认的几个OU，及为管理单元，我没可以手动新建！----右击---新建----组织单位。
（组织单位相当于一个容器，可以多容器内的用户进行统一设置，也可以实现OU委派等）2．组的管理，组，就是用于赋予权限的安全组织，一般控制文件的权限就用组来完成，可以右击一个组织单元，也可右击oleship.con新建，我们可以做个规划，新建一个gorup的组织单位，然后在里面再新建组：说明：作用域是指组的作用范围，当处于多域环境中就尤为重要了，组类型，安全组，主要用于控制权限，而通讯组主要用于exchange发送邮件。
安装域控制器并将工作站加入到域中指南课件
目录
CONTENTS
• 安装域控制器 • 将工作站加入到域中 • 验证域控制器和工作站加入 • 常见问题与解决方案
01
安装域控制器
准备工作
确定网络环境
检查网络连接是否稳定，确 保DNS服务器正常运行。
准备安装介质
获取Windows Server操作 系统安装光盘或ISO文件， 以及所需的域控制器软件包。
解决方案
根据错误代码查找相应的解决方案，可能需要查看系统 日志或联系技术支持获取帮助。
问题3
加入域后无法登录
解决方案
检查工作站的账户和密码是否正确，确认域控制器上的 用户账户和组设置是否正确配置。
其他常见问题与解决方案
问题1
域控制器无法正常工作
问题2
工作站无法访问网络资源
解决方案
检查域控制器的硬件和软件配置，确保其满足系统要求。 同时，检查域控制器的网络连接和防火墙设置，确保其能 够正和工
作站加入
验证域控制器
确保域控制器已正确安装并运行
可以通过检查域控制器的系统日志和事件查看器来确认其正常运行。
验证DNS设置
确保域控制器能够正常解析域名，可以通过ping命令测试DNS解析是否正常。
检查AD（Active Directory）服务状态
可以使用ADSI编辑器或类似工具检查AD服务是否正常运行。
将工作站加入到域中
配置工作站网络设置
在目标工作站上，将网络设置配置为与域控制器在同一个域或工作组中。
启动计算机并进入操作系统
启动目标工作站，并确保能够正常进入操作系统。
将工作站加入到域中 使用具有足够权限的域用户账户登录到工作站，并按照提示将工作站加入到域中。根据具体的操作系统 和域环境，加入域的操作步骤可能会有所不同。
Windows Server 2008 R2 域控制器部署手册
Windows Server 2008 R2 域控制器部署手册
一、域控制器安装步骤：
1、装Windows Server 2008 R2并配置计算机名称和IP地址。
2、点击“开始”，在“搜索程序和文件”中输入Dcpromo.exe后按回车键。
3、如下图进入域控制器安装的准备；
4、进入AD DS安装向导，点击“下一步”；
5、在操作系统兼容性，点击“下一步”；
6、选择“在新林中创建域”后点击“下一步”；
7、输入域名“”后点击“下一步”；
8、选择合适的林功能级别级别（建议使用Windows Server 2008 R2），之后点击“下一步”；
9、在其他域控制器选项，点击“下一步”；
10、点击“是”，继续安装；
11、在指定数据库、日志文件及SYSVOL位置，点击“下一步”；
12、输入目录服务还原模式密码后，点击“下一步”；
13、回顾AD DS相关配置，点击“下一步”后进入活动目录安装进程；
14、安装完成后，点击“确定”后点击“立即重新启动”，如下图；
15、重新启动后，使用域管理员帐号登陆域控制器。
windows域控制器配置教程
windows域控制器配置教程域控制服务器教程把一台成员服务器提升为域控制器(一)目前很多公司的网络中的PC数量均超过10台:按照微软的说法，一般网络中的PC数目低于10台，则建议建议采对等网的工作模式，而如果超过10台，则建议采用域的管理模式，因为域可以提供一种集中式的管理，这相比于对等网的分散管理有非常多的好处，那么如何把一台成员服务器提升为域控?我们现在就动手实践一下:本篇文章中所有的成员服务器均采用微软的Windows Server 2003，客户端则采用Windows XP。
首先，当然是在成员服务器上安装上Windows Server 2003，安装成功后进入系统，我们要做的第一件事就是给这台成员服务器指定一个固定的IP，在这里指定情况如下:机器名:ServerIP:192.168.5.1子网掩码:255.255.255.0DNS:192.168.5.1(因为我要把这台机器配置成DNS服务器)由于Windows Server 2003在默认的安装过程中DNS是不被安装的，所以我们需要手动去添加，添加默认情况下所有的网络服务都会被添加，可以点击下面的“详细信息”进行自定义安装，由于在这里只需要DNS，所以把其它的全都去掉了，以后需要的时候再安装:然后就是点“确定”，一直点“下一步”就可以完成整个DNS的安装。
在整个安装过程中请保证Windows Server 2003安装光盘位于光驱中，否则会出现找不到文件的提示，那就需要手动定位了。
安装完DNS以后，就可以进行提升操作了，先点击“开始—运行”，输入“Dcpromo”，然后回车就可以看到“Active Directory安装向导”在这里直接点击“下一步”:这里是一个兼容性的要求，Windows 95及NT 4 SP3以前的版本无法登陆运行到Windows Server 2003的域控制器，我建议大家尽量采用Windows 2000及以上的操作系统来做为客户端。
创建域控制器的步骤
创建域控制器的步骤域控制器（Domain Controller）是Windows Server操作系统中的一种角色，用于管理和控制域内的计算机、用户和组。
创建域控制器是构建Windows域环境的重要步骤，本文将详细介绍创建域控制器的步骤。
步骤一：安装Windows Server操作系统需要在一台物理或虚拟机上安装Windows Server操作系统。
可以选择最新版本的Windows Server，如Windows Server 2019。
安装过程中需要选择合适的版本和安装选项，按照提示进行操作即可完成安装。
步骤二：设置静态IP地址在安装完Windows Server操作系统后，需要为服务器设置静态IP 地址。
静态IP地址可以确保服务器在网络中具有固定的IP地址，方便其他计算机与其进行通信。
可以通过进入网络适配器设置界面，手动设置IP地址、子网掩码、默认网关和DNS服务器等信息。
步骤三：安装Active Directory域服务角色在安装完Windows Server操作系统并设置好静态IP地址后，需要安装Active Directory域服务角色。
打开服务器管理器，选择“添加角色和功能”，在向导中选择“安装基于角色的安装”选项，并选择“Active Directory域服务”作为要安装的角色。
步骤四：创建新的域安装完Active Directory域服务角色后，需要创建一个新的域。
在创建新域之前，需要进行一些准备工作，如选择域的名称和域的功能级别等。
在创建新域的过程中，可以选择创建一个新的林（Forest）或加入一个已有的林。
根据实际需求进行选择，并按照向导的提示完成域的创建。
步骤五：设置域控制器选项在创建新的域后，需要设置一些域控制器选项。
这些选项包括设置域控制器的安全性选项、DNS选项、SYSVOL复制选项等。
根据实际需求进行设置，并按照向导的提示完成域控制器选项的设置。
步骤六：完成安装和配置在设置完域控制器选项后，可以开始安装和配置域控制器。
域控配置步骤范文
域控配置步骤范文域控配置是指在网络环境中建立和配置域控制器（Domain Controller），用于管理和认证域中的用户和计算机。
下面将详细介绍域控配置的主要步骤。
1.预备工作在开始域控配置之前，需要进行一些预备工作。
首先，需要确定好域名和域控制器的命名规则，包括域名后缀和域控制器的主机名。
其次，需要确保网络环境正常工作，包括IP地址和DNS设置的正确配置。
2.安装操作系统首先，需要在物理机或虚拟机上安装适合的操作系统，建议选择Windows Server系列操作系统，如Windows Server 2024或Windows Server 2024、操作系统的版本和硬件需求可以根据实际情况来选择。
3.添加角色和功能在操作系统安装完成后，需要通过“服务器管理器”添加域控制器角色和相关功能。
打开“服务器管理器”，点击“管理”->“添加角色和功能”，然后按照向导的指导完成添加。
4. 安装Active Directory域服务在添加角色和功能完成后，需要在“服务器管理器”中选择“添加角色和功能”的“选定服务角色”页面，勾选“Active Directory域服务”，安装Active Directory域服务。
5.创建新的林在Active Directory域服务安装完成后，需要配置新的林。
在“Active Directory域服务安装配置向导”中，选择“创建新的域”，并输入根域和域的名称。
然后，选择域功能级别和林功能级别，可以根据实际需求选择适合的级别。
6.设置域控制器选项在设置域控制器选项的页面上，可以选择是否安装DNS服务器和DHCP服务器。
如果网络环境中已经有现有的DNS服务器和DHCP服务器，可以选择不安装。
7.设置目录服务恢复密码在设置了域控制器选项后，需要设置目录服务恢复密码。
这个密码用于恢复目录服务的数据，需要妥善保管。
8.安装在确认配置的页面上，可以查看和确认所做的配置。
如果确认无误，点击“安装”按钮开始安装域控制器。
域控服务器安装及设置
域控服务器安装及设置域控服务器（Domain Controller）是在Windows Server操作系统上安装并设置的一种服务器角色，用于管理和控制整个网络中的用户、计算机和其他资源。
域控服务器建立了一个集中的身份认证和授权机制，为网络提供安全和统一的管理。
以下是域控服务器的安装和设置过程：第一步：准备工作1.确保服务器满足安装要求：首先，确保服务器硬件配置和操作系统版本符合域控服务器的最低要求；其次，确认服务器上没有其他应用程序或服务在运行。
2.配置网络设置：为服务器分配一个静态IP地址，并设置正确的DNS服务器地址。
DNS服务器地址通常设置为本地服务器自身的IP地址。
第二步：安装域控服务器角色1. 打开服务器管理器：在Windows Server操作系统上，打开服务器管理器，可以通过点击任务栏的“开始”按钮，选择“服务器管理器”。
2.添加角色和功能：在服务器管理器中，点击左侧的“管理”选项卡，然后选择“添加角色和功能”链接。
3.选择服务器：在“添加角色和功能向导”中，点击“下一步”，选择要安装域控服务器角色的服务器。
4.选择角色：在“服务器角色”页面中，选择“活动目录域服务”角色，并点击“下一步”。
5.选择功能：在“功能”页面中，没有特殊需求的情况下，保持默认设置，点击“下一步”。
6.安装选择：在“安装”页面中，点击“下一步”。
7.安装过程：在“确认安装选择”页面中，点击“安装”开始安装域控服务器角色。
第三步：配置域控服务器1.等待安装完成：安装过程可能需要一些时间，请耐心等待。
2.完成安装：安装完成后，点击“关闭”。
3.配置域控服务器角色：在服务器管理器中，点击左侧的“完成域控服务器设置”链接，然后按照向导指引进行配置。
4.添加新林或域：在“活动目录域服务安装向导”中，选择“添加一个新的林”（如果需要创建新的域）或“将该服务器提升为域控服务器”（如果已经存在域，需要添加该服务器到现有域中）。
Windows域控管理
Windows域控管理说明：1.本文档没有目录，本文档在发布时为pdf文档，有章节书签，可以下载到本地来查看，点击书签进入相应的章节。
2.蓝色的字为配置命令，绿色的字为命令的注释，有时命令太密集时，就不用蓝色标出了。
3.注意：本文档的所有操作请先在在虚拟机里进行实践，请不要直接在真实的服务器中操作！作者：李茂福日期：2019年12月24日Windows域Windows中的域（domain）是一套统一的身份验证系统，是企业应用的基础。
组策略通过用户身份验证和域绑定得比较紧密。
域树：由多个域组成，这些域共享同一个存储结构和配置，形成一个连续的名字空间，有相同的DNS后缀。
域林：由一个或多个没有形成连续名字空间的域树组成，构成域林的各个域树之间没有形成连续的名字空间，没有相同的DNS后缀。
但域林中的所有域树仍共享同一个存储结构、配置和全局目录。
根域：网络中创建的第一个域，一个域林中只能有一个根域（Root Domain）。
DC>get-ADforest//查看根域部署第一台域控制器1.以管理员帐号Administrator登录服务器2.更改计算机名3.设置静态IP4.首选DNS配置为本机IP5.添加角色和功能：打开“服务器管理器”→添加角色和功能→基于角色或基于功能的安装→...→Active Directory域服务→....→安装进度（结果）→点击“将此服务器提升为域控制器→添加新林一般第一台域控制器同时也是“集成区域DNS服务器”>net accounts//查看计算机角色，第一台域控的角色为Primary>net share//查看系统共享卷，以下为安装DC功能后添加的NETLOGON C:\Windows\SYSVOL\sysvol\\SCRIPTS Logon server share SYSVOL C:\Windows\SYSVOL\sysvol Logon server shareFSMO操作主机角色Flexible Single Master Operation>netdom query fsmo//查看5种操作主机角色所在的域控制器1.架构主机Schema Master域林中只有一个架构主机，作用是定义所有域的对象属性（定义数据库字段及存储方式）2.域命名主机Domain Naming Master域林中只有一个域命名主机，负责控制域林内域的添加或删除3.PDC主机PDC Emulator Master每个域中只有一个PDC主机，作用：兼容低版本的DCPDC主机角色所在的DC优先成为主域浏览器，用>net accounts查看的那个Primary 活动目录数据库的优先复制权时间同步防止重复套用组策略，使用组策略时，组策略编辑器默认连到PDC主机4.RID主机Relative Identifier Master每个域中只有一个RID主机作用是在域中创建对象时保证每个对象有一个唯一的SID，跨域访问、迁移域对象时，通过RID主机确认域对象的唯一性5.基础结构主机Infrastructure Master每个域中只有一个基础结构主机，负责对跨域对象的引用进行更新*整个域林中只有一台架构主机和一台域命名主机*每个域中都有自己的PDC主机、RID主机和基础架构主机各一台FSMO角色转移将Primary上的操作主机角色转移到Backup上登录Backup DC>ntdsutilntdsutil:rolesFsmo maintenance:connectionsServer connections:connect to server //连接至Backup DC server connections:quitFsmo maintenance:transfer schema master//转移架构主机角色Fsmo maintenance:transfer naming master//转移域命名主机角色Fsmo maintenance:transfer RID master//转移RID主机角色Fsmo maintenance:transfer PDC//转移PDC主机角色Fsmo maintenance:transfer infrastructure master//转移基础结构主机角色抢占当Primary DC出现故障时，就不能进行转移操作了，只能占用操作主机，操作过程同上，只是把transfer改为seize>get-ADforest//查看域林信息>netdom query fsmo//查看操作主机角色修改域控IP1.直接在网卡配置里修改IP2.命令行里操作：>net stop NETLOGON>net start NETLOGON>ipconfig/registerdns3.打开DNS服务器管理控制台，删除所有和原IP相关的A记录重命名域控制器>netdom computername /enumerate//查看DC的所有FQDN名称>netdom computername /add://添加新名称>netdom computername /makeprimary:重启域控制器>netdom computername /remove://删除原来名字>netdom computername /enumerate//查看删除原来的DNS记录（正向查找区域）允许域用户将计算机加入域的数量*默认每个域用户可将10台计算机加入域，自定义设置：Win+R输入adsiedit.msc//打开ADSI编辑器右击“ADSI编辑器”→连接到→默认命名上下文→右击DC=cof,DC=com→属性→ms-DS-MachineAccountQuota→值为0~65535表示用户可加入域的计算机数*或者单独委派用户加域权限打开Active Directory用户和计算机→右击域名→委派控制→下一步，添加用户→下一步，将计算机加域→完成查看用户修改密码的时间Active Directory用户和计算机→选中用户→双击属性→属性编辑器下边底部→pwdLastSet 即为最近修改密码的时间-LastLogon最后一次登录时间AD域控相关端口号端口号tcp/udp服务53t/u DNS88t/u Kerberos123u NTP135t Rpc Endpoint Master（msrpc）137u NetBIOS Name Service138u NetBIOS Datagram Service139t/u NetBIOS session Service（netbios-ssn）389t/u LDAP445t SMB(CIFS)（microsoft-ds）464Kpasswd5593ncacn_http（msrpc over HTTP1.0）636u/t LDAPS（tcpwrapped Ldap over SSL）2179vmrdp3268t LDAP GC（Global Catalog）3269t LDAPS GC（Global Catalog over SSL）域策略1.允许指定用户远程登录到计算机*计算机→策略→Windows设置→安全设置→本地策略→用户权限分配允许通过终端服务登录：添加远程用户组(Remote Desktop Users和Domain Admins）*计算机→首选项→控制面板选项→本地用户和组组名：Remote Desktop Users(内置)添加远程用户进去2.允许指定用户从本地登录到计算机*计算机→策略→Windows设置→安全设置→本地策略→用户权限分配允许本地登录：添加指定用户或组3.用户密码输错3次锁定5分钟*计算机→策略→Windows设置→安全设置→帐户策略→帐户锁定策略在此后重置帐户锁定计数器5分钟帐户锁定时间5分钟帐户锁定阈值3次无效登录4.十五分钟无操作自动锁屏*用户→策略→管理模板→控制面板→个性化带密码的屏幕保护程序已启用屏幕保护程序超时已启用900秒启用屏幕保护程序已启用5.将指定用户加入到计算机的某个组*计算机→首选项→控制面板设置→本地用户和组组名：xxxx(内置)→本地组→操作为更新→组名xxxx，添加成员6.将登录到计算机的用户添加到该计算机的某个组*用户→首选项→控制面板设置→本地用户和组组名：xxxx(内置)→本地组→操作为更新→组名xxxx7.设置计算机的组策略后台更新时间*计算机→策略→管理模板→系统→组策略设置计算机的组策略刷新间隔15分钟随机时间5分钟设置域控制器的组策略刷新间隔15分钟随机时间5分钟8.映射网络磁盘S盘给指定用户（用户登录后自动挂载共享磁盘）*用户→首选项→Windows设置→驱动器映射S：属性信件S，位置\\dc\sharepool常用→项目级别目标：安全组9.允许ping包入站（icmp echo request入站）*计算机→策略→管理模板→网络→网络连接→Windows防火墙→域配置文件Windows防火墙→允许icmp例外：允许传入回显请求10.禁止用户更改计算机系统时间*计算机→策略→Windows设置→安全设置→本地策略→用户权限分配更改时区空（无用户）更改系统时间空（无用户）11.指定域用户的桌面（墙纸）*用户→策略→管理模板→桌面→Active Desktop启用Active Desktop已启用桌面墙纸\\dc\share\desktop.jpg平铺12.用户登录时运行指定的程序*用户→策略→管理模板→系统→登录在用户登录时运行这些程序添加指定程序13.用户登录时运行指定的脚本*用户→策略→Windows设置→脚本→登录名称：脚本文件名脚本文件位于DC上的：C:\Windows\SYSVOL\sysvol\域名\Policies\{组策略唯一ID}\User\Scripts\Logon里14.受限制的组（只有指定的用户才在该组里）*计算机→策略→Windows设置→安全设置→受限制的组组名BULTIN\Administrators成员：指定的用户15.用户文件夹重定向到D盘或服务器上*用户→策略→Windows设置→文件夹重定向→（选桌面和/或文档）基本（重定向所有人的文件夹到相同位置）路径D:\%username%\desktop或documents16.漫游用户配置文件*计算机→策略→管理模板→系统→用户配置文件为正在登录此计算机的所有用户设置漫游配置文件路径：已启用\\dc\share\%username%17.允许多个用户同时远程登录计算机（加授权）*计算机→策略→管理模板→Windows组件→远程桌面服务→远程桌面会话主机→连接限制连接的数量允许的RD最大连接数100将远程桌面服务用户限制到单独的远程桌面服务会话已启用为远程桌面服务用户会话远程控制设置规则已启用不经用户授权完全控制*计算机→策略→管理模板→Windows组件→远程桌面服务→远程桌面会话主机→授权设置远程桌面授权模式按用户使用指定的远程桌面许可证服务器//加了域的主机，仅允许网络级别身份验证的远程桌面的计算机连接，所以RDP客户端计算机要求也要在域中，如果不在域中，那么服务端计算机要安装远程桌面服务的“远程桌面会话主机”角色，并指定授权服务器18.无须按下Ctrl+Alt+Del登录*计算机→策略→Windows设置→安全设置→本地策略→安全选项→交互式登录交互式登录已启用：无须按Ctrl+Alt+Del19.不显示最后登录的用户名*计算机→策略→Windows设置→安全设置→本地策略→安全选项→交互式登录交互式登录已启用：不显示最后的用户名20.域用户密码策略*计算机→策略→Windows设置→安全设置→帐户策略→密码策略密码最长期限300天强制密码历史无最短密码期限0天最短密码长度8字符*计算机→策略→Windows设置→安全设置→本地策略→安全选项→交互式登录交互式登录提示用户在密码过期之前更改密码10天21.允许指定用户关闭计算机（含重启）*计算机→策略→Windows设置→安全设置→本地策略→用户权限分配关闭系统添加指定的用户从远程系统强制关机添加指定的用户22.用户注销时清除最近打开过的文档记录*用户→策略→管理模板→“开始”菜单和任务栏退出系统时清除最近打开的文档的历史已启用23.计算机启动时自动部署安装软件*计算机→策略→软件设置→软件安装新建数据包使用网络路径//软件包必须为.msi的安装包24.配置防火墙规则*计算机→策略→Windows设置→安全设置→高级安全Windows防火墙出入站规则新建xxx*计算机→策略→管理模板→网络→BranchCache启用BranchCache已启用25.发布通告消息给用户（用户登录界面上显示）*计算机→策略→Windows设置→安全设置→本地策略→安全选项→交互式登录试图登录的用户的消息标题标题内容试图登录的用户的消息文本消息内容26.禁止管理人员修改IP（网络配置）*计算机→策略→Windows设置→安全设置→系统服务选择Network Connections，手动，删除指定用户everyone之类的完全控制权限*用户→策略→管理模板→“开始”菜单和任务栏删除网络图标已启用*用户→策略→管理模板→网络→网络连接禁止访问LAN连接的属性已启用27.禁止用户使用外部存储设备（U盘）*用户→策略→管理模板→系统→可移动存储访问可移动磁盘：拒绝读取权限已启用可移动磁盘：拒绝访问权限已启用//重启生效28.远程桌面会话时间限制*计算机→策略→管理模板→Windows组件→远程桌面服务→远程桌面会话主机→会话时间限制设置活动但空闲的远程桌面服务会话时间限制已启用30分钟（到时断开）设置活动的远程桌面服务会话的时间限制已启用总时间2小时设置已中断会话的时间限制已启用10分钟（到时结束会话默认情况下远程桌面服务允许用户断开会话而不注销和结束会话，会话处于断开状态时，用户运行的程序仍保持活动。
AD域控配置步骤
AD域控配置步骤AD域控（Active Directory Domain Controller）是微软Windows操作系统中的一项重要功能，用于管理和组织网络中的计算机资源和用户。
配置AD域控需要进行一系列的步骤，下面将详细介绍。
第一步：规划和准备在配置AD域控之前，需要进行规划和准备工作。
首先要确定域控制器的硬件需求，如CPU、内存和硬盘空间等。
其次，需要确定域控制器的操作系统，Windows Server版本的选择应根据实际需求和计划。
同时，应确定域名的名称和网络设置，包括IP地址和子网掩码等。
第二步：安装操作系统在确定好硬件和操作系统版本之后，将操作系统安装到域控制器上。
按照操作系统的安装向导进行操作，选择安装类型为“新安装”或“添加/删除 Windows 组件”，然后进行系统的基本配置。
第三步：安装Active Directory域服务角色安装完操作系统后，需要安装Active Directory域服务角色来配置AD域控。
在“服务器管理器”中，单击“角色”右侧的“添加角色”链接，然后在“添加角色向导”中选择“Active Directory 域服务”角色，按照向导的指示完成安装过程。
第四步：创建新的域或加入现有域创建新的域是指在域控制器上创建一个新的域，而加入现有域是指将域控制器连接到一个已经存在的域中。
根据实际需求选择其中一种方式进行操作。
如果选择创建新的域，需要执行以下步骤：1. 打开“服务器管理器”，在左侧导航栏中单击“工具” -> “Active Directory 用户与计算机”。
2.在“活动目录用户和计算机”控制台中，右键单击“域”节点，然后选择“新建域”。
3.在“新建域向导”中，选择“新建林”或“新建树”或“现有林”或“现有树”，然后按照向导完成域的创建。
如果选择加入现有域，需要执行以下步骤：1. 打开“服务器管理器”，在左侧导航栏中单击“工具” -> “Active Directory 用户与计算机”。
windows server 2012中创建第一个AD域控制器
AD域：（Windows server 2012版本）创建网络中第一台域控制器（此版本已安装Active Directory域服务）Step1：选择AD DS 点击下图红色框中的“更多”进入所有服务器任何详细信息Step：2 点击下图中“将此服务器提升为域控制器”Step3：在Active Directory域服务器配置向导中，选择“添加新域”并输入根域名，点击“下一步”Step4：选择林功能级别和域功能级别，此处默认为Windows server 2012即可，然后选中“域名系统（DNS）服务器”和“全局编录”（这个为默认选项），键入目录服务还原模式（DSRM）密码，这里密码要求满足强密码要求，点击“下一步”Step5：出现关于DNS的警告，因为目前还没有安装DNS，所以不用理会，直接选择“下一步”，如图。
Step6：在NetBIOS域名界面，保持默认，选择”下一步”Step7：指定数据库、日志、sysvol的存放位置，因为是评估环境，我直接保持默认C盘Step8：在摘要界面，如果没有问题，我们可以选择下一步，如果有问题，则可以返回修改Step9：遇到错误，这里是先决条件验证失败，因为之前修改了计算机名但是没有重启，这里重启一次计算机然后继续安装。
Step10：先决条件检验成功，单击“安装”即可。
Step11：正在启动安装开始创建活动目录分区：Step12：安装完成后需要重启服务器：重启完成后，我们可以看到在开始菜单中已经有了AD相关的管理工具，如图。
第一台DC部署完成后，我们来看看windows server 2012相关的管理工具能否正常打开。
AD用户和计算机，如图。
AD管理中心，如图。
DNS管理器，如图。
组策略管理，如图。
在服务器管理器中，如果我们右击AD服务器，会发现windows server 2012提供了很多AD 的常用管理命令，如图不管是ADDS服务，还是DNS服务，还是其他的服务，都可以通过服务器管理器进行管理，如图。
域服务器的配置(详尽版)
域服务器的配置与实现（Windows Server2003）方法一：1、dns服务器设置a) 开始—程序—管理工具—管理服务器角色—添加删除角色—域控制器（默认）2、域控制器设置方法二：一、域服务器的配置：1.步骤：1.0：计算机必须安装TCP/IP协议且IP地址最好为静态IP地址，配置DNS服务器地址为网络中维护该区域DNS服务器的IP地址，如下图：1.1：点击开始 运行cmd，输入dcpromo命令，运行，出现【AcriveDirectory安装向导】对话框；1.2:安装配置Active Directory【Acrive Directory安装向导】对话框：1.2.1域控制类型：选中【新域的域控制器】，下一步。
1.2.2创建一个新域：选中【在新林中的域】，下一步。
1.2.3新的域名：指定新域的DNS名称，一般应为公用的DNS域名，也可是内部网使用的专用域名。
例如:。
下一步。
1.2.4NetBI O S域名-默认指定新域的NetBIOS名称。
这是为了兼容以前版本Windows用户。
该名默认为DNS名称最左侧的名称，也可指定不同的名称。
下一步。
1.2.5志文件文件夹：默认指定这两种文件的文件夹位置，保留默认值即可。
下一步。
1.2.6共享的系统卷：默认指定存储域公用文件的文件夹，保持默认即可。
下一步。
1.2.7DNS注册诊断提示建立DNS服务器。
因为我们此前没有安装配置过DNS，所以诊断失败。
这不是问题，我们让它自动安装配置。
选中第2个，下一步。
1.2.8权限：默认选择用户和组对象的默认权限，这里保留默认值即可。
下一步。
1.2.9目录服务还原模式的管理员密码：设置密码用于还原AD数据。
这里是一个重点，还原密码，希望大家设置好以后一定要记住这个密码，千万别忘记了，因为在后面的关于活动目录恢复的文章上要用到这个密码的当AD数据损坏时，可在域控制器上开机按【F8】键进入目录服务还原模式，重建AD数据库，此时需要输入这里指定的密码。
Windows Server 2003域控制器基本配置
Page 27/32
指派与发布的区别
利用组策略实现分发软件（2）
发布软件（用户）——只在一机上生效，当用户注销 后，在“添加/删除程序”中的“添加程序”里，可发 现可安装的发布的软件，然后安装就可以直接使用了 。
Page 4/37
安装活动目录 启动安装向导
使用管理您的服务器向导 使用命令DCPROMO
Page 5/37
安装活动目录2-2
还原模式密码 DNS 域兼容性 是否创建新域 新域的 数据库和日志文件文件夹 注册诊断 NetBIOS DNS 全名名 共享的系统卷
Page 6/37
将客户端计算机加入域
云计算技术
Windows Server 2003域控制器基本配置
创建WINDOWS域环境
域的概念
域
将网络中多台计算机逻辑上组织到一起，进行集中管理， 这种区别于工作组的逻辑环境叫做域 域是组织与存储资源的核心管理单元
活动目录提供了存储网络上对象信息并使网络用户 使用该数据的方法 活动目录有以下特点
Authoritative Restore 授权还原：恢复活动目录的特定对象 执行授权还原的步骤
1）重启DC，进入【目录服务还原模式】 2）使用备份工具恢复活动目录到原始位置 3）打开命令提示符，键入ntdsutil 4）键入“authoritative restore”
步骤
配置客户机的首 选DNS服务器 将计算机加入域
Page 7/37
创建域用户账户
输入用户的基本信息和登录名称 用户密码 用户在下次登录时必须更改密码 用户不能更改密码 密码永不过期 帐户已禁用
Windows2003建立与加入域控制器
Windows2003建立与加入域控制器1 安装DNS机器名:Server IP:203.110.66.116 DNS: 203.110.66.116 (要把这台机器配置成DNS服务器)先安装DNS，:“开始—设置—控制面板—添加删除程序”，然后再点击“添加/删除Windows 组件”，找到“网络服务”，点“详细信息”进行自定义安装，可以只选择DNS，然后就是点“确定”，一直点“下一步”就可以完成整个DNS的安装。
2 Active Directory安装2.1Start-run，输入“Dcpromo”安装完DNS以后，就可以进行提升操作了，先点击“开始—运行”，输入“Dcpromo”进入“Active Directory安装向导”:这里是一个兼容性的要求，Windows 95及NT 4 SP3以前的版本无法登陆运行到Windows Server 2003的域控制器，我建议大家尽量采用Windows 2000及以上的操作系统来做为客户端。
然后点击“下一步”:2.2Domain controller for a new domain在这里由于这是第一台域控制器，所以选择第一项:“新域的域控制器（Domain controller for a new domain）”，然后点“下一步”.2.3Domain in a new forest既然是第一台域控，那么当然也是选择“在新林中的域(Domain in a new forest)”.2.4安装和配置DNS在这台计算机上(如果DNS没有配置则会出现此)2.5Input your domain在这里我们要指定一个域名，我在这里指定的是，下一步，此时报告domainserver1的主机名已经被用（其实就是本机的主机名），系统自动分配domainserver10作为你的NETBIOS domain name。
所以更改为域名，如下2.6指定NetBIOS名这里是指定NetBIOS名，注意千万别和下面的客户端冲突，也就是说整个网络里不能再有一台PC的计算机名叫“DS1”，虽然这里可以修改，但个人建议还是采用默认的好，省得以后麻烦。
域控制器配置详解
2003双机热备之一系统安装本文所述双机热备是采用微软公司Windows2003 Server操作系统，非第三方管理软件。
硬件需求：1、两台服务器，一台为主域控制器，另一台为额外域控制器；2、每台服务器配置两块网卡，和两块阵列卡（一块做本地服务器磁盘阵列，另一块连接磁盘柜阵列）；3、一台用来共享资源的存储设备（本文为Dell221s磁盘阵列柜）；4、一条点对点的反转网线（充做心跳线）；两条将服务器接入网络的网线。
系统安装：主域控制器和额外域控制器可以分两个时间段来完成，这也是群集的最大特点，可以不停机的进行数据转移。
以下一同描述主域控制器和额外控制器的安装：1、服务器分为主域控制器（主服务器）和额外域控制器（从服务器），这里将主域控制器标名为hrb0，将额外域控制器标名为hrb1；2、将hrb0 的第一块网卡做为外网（局域网）使用的网卡，标明public，第二块网卡做为私网（与hrb1的连接）使用的网卡，标明private；3、在主服务器上安装Windows 2003 Server Enterprise（过程略）；4、配置tcp/ip协议：外网: 掩码：网关：DNS：（把对方服务器IP作为本机的主DNS，本机地址做备用DNS）内网: 掩码：（网关空）DNS: （把对方服务器IP作为本机的主DNS，本机地址做备用DNS）5、安装补丁；6、其它相关配置完成后，关闭服务器，准备连接磁盘阵列；7、将磁盘阵列柜的应用模式调至"群集模式"（在盘柜的背面有滑动开关，调至靠近模块拉手一侧）;由于在"群集模式"下，RAID卡会占用ID15的槽位，所以ID15槽位的磁盘在以后的配置应用过程中不会起到作用，建议将盘柜ID15槽位的硬盘取下,做为以后的备用硬盘。
8、将主域控制器的RAID卡连接线接至磁盘柜的EMM插口，磁盘阵列的另一EMM插口留给额外域控制器，如果服务器上的阵列卡是双通道的，两个服务器连接SCSI线的通道要一致。
域控制器的安装设置方法步骤
域控制器的安装设置方法步骤在工作场合，我们都不可能只有一台电脑，电脑需要管理多台电脑或效劳器时候，那么采用域的管理模式会比拟好，这样可以更加集中的管理，对此要如何将一台成员效劳器提升为域控制器呢?本文将在Winxx系统中，给大家介绍域控制器的安装设置方法。
1、所有的成员效劳器均采用微软的Windows Server xx，客户端那么采用Windows XP。
首先，当然是在成员效劳器上安装上Windows Server xx，安装成功后进入系统，我们要做的第一件事就是给这台成员效劳器指定一个固定的IP，在这里指定情况如下：机器名：Server IP：192.168.5.1子网掩码：255.255.255.0DNS:192.168.5.1(因为我要把这台机器配置成DNS效劳器)翻开虚拟机设置--选择CD/DVD，单击浏览找到Windowsxx镜像;2、翻开开始菜单---运行--输入“dcpromo”，单击“确定”;3、会弹出窗口，选择默认“新域的域控制器”，单击下一步;4、选择默认“在新林中的域”，单击下一步;5、输入新域的DNS全名“demo.”(这里根据你们公司实际域名情况输入);6、NetBLOS域名，默认单击“下一步”;7、指定放置AD数据库文件和日志文件的路径，这里保存默认;8、SYSVOL文件夹保持默认路径，单击下一步;9、选择第二项“只与Windows2000或Windows server xx操作系统兼容”;10、输入目录效劳复原模式管理员密码;11、相关设置摘要，单击下一步;12、此时正在安装，并DNS也会一起安装;13、等待安装完成，后需要重启计算机，完成AD域控制器的安装;效劳器，也称伺服器，是提供计算效劳的设备。
由于效劳器需要响应效劳请求，并进行处理，因此一般来说效劳器应具备承当效劳并且保障效劳的能力。
效劳器的构成包括处理器、硬盘、内存、系统总线等，和通用的计算机架构类似，但是由于需要提供高可靠的效劳，因此在处理能力、稳定性、可靠性、平安性、可扩展性、可管理性等方面要求较高。
Windows2000域控制器的安装与使用
Windows 2000域控制器的安装和使用
域控制器工作原理
域控制器 客户端
1、 在域控制器安装主DC 控制器
在开始菜单——运行 里输入:dcpromo 开始主域控制器的安装
加入域
管理
选择·新域的域控制器，下一步
选择·创建一个新的域目录树，下一步
选择·创建新的域目录林，下一步
新的域名为 下一步
一直下一步
点击“确定”。
选择“是”。
设置windows2000的权限兼容模式
继续一直点“下一步”。
完成主域控制器的安装
立即重新启动计算机
管理域中的组和用户
在开始菜单——程序——管理工具——Active Directory用户和计算机
新建一个名为“中国”的组织单位
新建一个名为“test”的用户
2、客户端加入到域
3、在域控制器中设置“组策略”，进客户端进行管理
4、在客户端注销test用户，再重新登陆
这里会发现，在客户端里已经不能再打开“控制面板”了。
AD域控配置步骤
AD域控配置步骤AD（Active Directory）域控是Windows Server操作系统提供的一种目录服务，用于管理网络中的用户、组、计算机等对象，实现统一的身份验证和访问控制。
下面是AD域控配置的详细步骤。
第一步：安装Windows Server2.将安装光盘插入服务器或将ISO镜像刻录到光盘上。
3.启动服务器，通过BIOS设置将光盘设置为首选启动项。
4.根据提示完成操作系统的安装。
第二步：设定IP地址和域名1. 进入“控制面板”->“网络和Internet”->“网络和共享中心”。
2.在左侧导航栏中点击“更改适配器设置”。
3.找到服务器所使用的网络适配器，右键点击并选择“属性”。
4. 在“网络连接属性”对话框中双击“Internet协议版本4(TCP/IPv4)”。
5. 在“Internet协议版本4 (TCP/IPv4)属性”对话框中选择“使用下面的IP地址”。
6.输入服务器的IP地址、子网掩码和默认网关。
7. 在“Internet协议版本4 (TCP/IPv4)属性”对话框中选择“使用下面的DNS服务器地址”。
8.输入首选DNS服务器的IP地址（可以使用公共DNS服务器，如8.8.8.8）。
9.点击“确定”保存设置。
第三步：安装ADDS角色1.打开“服务器管理器”。
2.在“服务器管理器”左侧导航栏中点击“添加角色和功能”。
3.在“添加角色和功能向导”中点击“下一步”。
4.选择“基于角色安装”，点击“下一步”。
5.在“服务器角色”页面中选择“活动目录域服务”，点击“下一步”。
6.在“功能”页面中点击“下一步”。
7. 在“Active Directory 预配置”页面中选择“新建一个域控制器域”，点击“下一步”。
8.在“域控制器选项”页面中选择“添加新的森林”，输入域名，点击“下一步”。
9.在“区域选项”页面中选择合适的选项，点击“下一步”。
10.在“目录服务复用权限”页面中选择合适的选项，点击“下一步”。
WindowsServer2012搭建域控服务器
WindowsServer2012搭建域控服务器
本篇文章适合初次搭建域控服务器人使用。
初始系统安装环境VMware11，windowsserver2012新安装没有配置DNS服务。
搭建域控服务器之前请明确自己安装server是什么版本，web版没有active document 服务器角色，active document是搭建域控的前提。
确认完版本之后就可以开始搭建之旅。
1.安装完操作系统后进入桌面，如下图点击标注方位。
2.如下图点击，添加角色和功能。
3.如图所示点击下一步。
4.如图所示点击下一步。
5.如图所示点击下一步。
6.如图所示勾选，会出来功能选择图图添加功能选择点击添加功能。
7.如图所示点击下一步。
8.如图所示点击下一步。
9.如图所示点击下一步。
10.如图所示点击下一步。
11.如图所示点击安装。
12.等待安装
13.如图安装完成，点击关闭。
14.如图点击将次服务器提升为域控服务器。
15.如图填写（可根据实际输入根域名），点击下一步。
16.输入密码点击下一步。
17.默认点击下一步，安装DNS服务器。
18.输入域名，点击下一步。
19.点击安装。
20.等待安装完毕，点击关闭，会重启，重启完之后就安装完成。
21.检验安装是否成功，如下图操作，出现下面结果，就安装成功。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
把一台成员服务器提升为域控制器(一)目前很多公司的网络中的PC数量均超过10台:按照微软的说法，一般网络中的PC数目低于10台，则建议采对等网的工作模式，而如果超过10台，则建议采用域的管理模式，因为域可以提供一种集中式的管理，这相比于对等网的分散管理有非常多的好处，那么如何把一台成员服务器提升为域控?我们现在就动手实践一下:本篇文章中所有的成员服务器均采用微软的Windows Server 2003，客户端则采用Windows XP。
首先，当然是在成员服务器上安装上Windows Server 2003，安装成功后进入系统，我们要做的第一件事就是给这台成员服务器指定一个固定的IP，在这里指定情况如下:机器名:ServerIP:192.168.5.1子网掩码:255.255.255.0DNS:192.168.5.1(因为我要把这台机器配置成DNS服务器)由于Windows Server 2003在默认的安装过程中DNS是不被安装的，所以我们需要手动去添加，添加方法如下:“开始—设置—控制面板—添加删除程序”，然后再点击“添加/删除Windows组件”，则可以看到如下画面:向下搬运右边的滚动条，找到“网络服务”，选中:默认情况下所有的网络服务都会被添加，可以点击下面的“详细信息”进行自定义安装，由于在这里只需要DNS，所以把其它的全都去掉了，以后需要的时候再安装:然后就是点“确定”，一直点“下一步”就可以完成整个DNS的安装。
在整个安装过程中请保证Windows Server 2003安装光盘位于光驱中，否则会出现找不到文件的提示，那就需要手动定位了。
安装完DNS以后，就可以进行提升操作了，先点击“开始—运行”，输入“Dcpromo”，然后回车就可以看到“Active Directory安装向导”在这里直接点击“下一步”:这里是一个兼容性的要求，Windows 95及NT 4 SP3以前的版本无法登陆运行到Windows Server 2003的域控制器，我建议大家尽量采用Windows 2000及以上的操作系统来做为客户端。
然后点击“下一步”:在这里由于这是第一台域控制器，所以选择第一项:“新域的域控制器”，然后点“下一步”:既然是第一台域控，那么当然也是选择“在新林中的域”:在这里我们要指定一个域名，我在这里指定的是，这里是指定NetBIOS名，注意千万别和下面的客户端冲突，也就是说整个网络里不能再有一台PC的计算机名叫“demo”，虽然这里可以修改，但个人建议还是采用默认的好，省得以后麻烦。
在这里要指定AD数据库和日志的存放位置，如果不是C盘的空间有问题的话，建议采用默认。
这里是指定SYSVOL文件夹的位置，还是那句话，没有特殊情况，不建议修改:第一次部署时总会出现上面那个DNS注册诊断出错的画面，主要是因为虽然安装了DNS，但由于并没有配置它，网络上还没有可用的DNS服务器，所以才会出现响应超时的现像，所以在这里要选择:“在这台计算机上安装并配置DNS，并将这台DNS服务器设为这台计算机的首选DNS服务器”。
“这是一个权限的选择项，在这里，我选择第二项:“只与Windows 2000或Window 2003操作系统兼容的权限”，因为在我做实验的整个环境里，并没有Windows 2000以前的操作系统存在”这里是一个重点，还原密码，希望大家设置好以后一定要记住这个密码，千万别忘记了，因为在后面的关于活动目录恢复的文章上要用到这个密码的。
这是确认画面，请仔细检查刚刚输入的信息是否有误，尤其是域名书写是否正确，因为改域名可不是闹着玩的，如果有的话可以点上一步进入重输，如果确认无误的话，那么点“下一步”就正式开安装了:几分钟后，安装完成:点完成:点“立即重新启动”。
然后来看一下安装了AD后和没有安装的时候有些什么区别，首先第一感觉就是关机和开机的速度明显变慢了，再看一下登陆界面:多出了一个“登陆到”的选择框:进入系统后，右键点击“我的电脑”选“属性”，点“计算机”怎么样?和安装AD以前不一样吧，其它的比如没有本地用户了，在管理工具里多出么多图标什么的，这些将在以后的文章里讲述，这里就不再详谈了。
把一台成员服务器提升为域控制器(二)把一台成员服务器提升为域控制器(二)在我的上一篇文章中，已经把一台名为Server的成员服务器提升为了域控制器，那我们现在来看一下如何把下面的工作站加入到域。
由于从网络安全性考虑，尽量少的使用域管理员帐号，所以先在域控制器上建立一个委派帐号，登陆到域控制器，运行“dsa.msc”，出现“AD用户和计算机”管理控制台:先来新建一个用户，展开“”，在“Users”上击右键，点“新建”-“用户”:然后出现一个新建用户的向导，在这里，我新建了一个名为“swg”的用户，并且把密码设为“永不过期”。
这样点“下一步”，直到完成，就可以完成用户的创建。
然后在“”上点击右键，先择“委派控制”:就会出现一个“委派控制向导”:点击“下一步”:点击中间的“添加”按钮，并输入刚刚创建的“swg”帐号:然后点“确定”:再点“下一步”:在上面的画面中，暂时不需要让该用户去“管理组策略链接”，所以在这里，仅仅选择“将计算机加入到域”，然后点“下一步”:最后是一个信息核对画面，要是没有什么问题的话，直接点“完成”就可以了。
接下来转到客户端，看看怎么把XP进来，在实验中采用的客户端操作系统是Windows XP专业版，需要大家注意的是Windows XP 的Home版由于针对的是家庭用户，所以不能加入域，大家别弄错了哟，我们先来设置一下这台XP的网络:计算机名:TestXPIP:192.168.5.5子网掩码:255.255.225.0DNS服务器:192.168.5.1，设置完网络以后，在“我的电脑”上击右键，选“属性”，点“计算机名”。
在这里把“隶属于”改成域，并输入:“”，并点确定，这是会出现如下画面:输入刚刚在域控上建的那个“swg”的帐号，点确定:出现上述画面就表示成功加入了，然后点确定，点重启就算OK了。
来看一下登陆画面有没有什么不一样:看到那个“登陆到”了吧，可以选择域登陆还是本机登陆了，在这里选择域“DEMO”，这样就可以用域用户进行登陆了。
进入系统后，在“我的电脑”上击右键，选“属性”，点“计算机名”:看到用黑框标出来的地方和没有加入到域的时候的区别的吧?当把下面的客户端加入到域后，如果域控制器处于关闭状态或者死机的话，那么，会发现下面的客户机无法登陆到域，所以再建立一台域控制器，用来防止其中一台出现意外损坏的情况是很有必要的。
后来建立的那台域控制器叫额外域控制器。
来看看额外域控制器的建立过程吧:当然网络设置永远是在第一步的:计算机名:BserverIP:192.168.5.2子网掩码:255.255.255.0DNS:192.168.5.1既然是提升为域控制器，那么DNS组件也是要添加的，添加方法和我的第一篇文章中所定的一样，这里就不再重复了。
添加完成后，同样是点击“开始”-“运行”-“dcpromo”:出现的向导和操作系统兼容性同安装第一台域控时是一样的，唯一要注意的是下面的那个画面:安装第一台时选择的是“新域的域控制器”，这里要选择的是“现有域的额外域控制器”，然后点“下一步”:在这里一定要填入现有域的DNS全名，然后再点“下一步”，接下去的操作和安装第一台域控制器时是一样的，所以就不再写下去了，直到完成就可以了。
在这里一定要填入现有域的DNS全名，然后再点“下一步”，接下去的操作和安装第一台域控制器时是一样的，所以就不再写下去了，直到完成就可以了。
活动目录之用户配置文件关于域用户的开设在前面的文章中(如何把一台成员服务器提升为域控制器(一)、(二))已经涉及过了，所以在这里开设用户的方法就不再重复了，本篇文章主要向大家介绍一下用户配置文件。
首先，什么是用户配置文件?根据微软的官方解释:用户配置文件就是在用户登陆时定义系统加载所需环境的设置和文件和集合，它包括所有用户专用的配置设置。
用户配置文件存在于系统的什么位置呢?那么用户配置文件包括哪些内容呢?来给大家看一副截图:用户配置文件的保存位置在:系统盘(一般是C盘)下的“Documents and Settings”文件夹下，有一个和你的登陆用户名相同的文件夹，该用户配置文件就保存在这里，顺便提示一下，如果本机和域上有一个同名用户，并且都登陆过的话，那么就会出现在同名文件夹后面拖后缀的情况，举个例子:比如在一个域()里面有一台计算机(testxp)，本地有一个swg的帐号，域上也有一个swg的帐号，并且都登陆过这台计算机，那么会发生如下情况:本地帐号先登陆:那么本地的swg的用户配置文件夹为swg，而域用户的用户配置文件夹为swg.demo。
域帐号先登陆:那么域用户的用户配置文件夹为swg，本地用户的配置文件夹为swg.testxp。
通过上面的截图，我们可看出，用户配置文件包括桌面设置、我的文档、收藏夹、IE设置等一些个性化的配置。
另外需要说明的是在“Documents and Settings”文件夹下有一个名为“All Users”的文件夹，如果你在这个文件夹下的“桌面”文件夹下新建一个文件的话，你会发现所有用户在登陆时的桌面上都有这个文件，所以这个文件夹里的配置是对这台计算机的每个用户均起作用的。
当网络变成域构架后，所有的域用户可以在任意一台域内的计算机登陆，当你在一台计算机上的用户配置文件修改后，你会发现到另一台计算机上登陆时，所有的设置还是原来的，并没有发生修改，这是因为用户的配置文件是保存在本地的，不管是域用户还是本地用户，都是保存在那台登陆的计算机上。
我们可以在“我的电脑”上击“右键”，选“属性”，点“高级”，然后在“用户配置文件”里点“设置”:请注意“类型”里用红框标出的部分，全部是“本地”，这就说明用户配置文件保存在本地，那么如何才能让用户的配置文件随着帐号走，也就是不管用户在哪台计算机上登陆都能保持用户配置文件一致呢?为了解决这个问题，就要用到漫游用户配置文件，原理就是把用户配置文件保存在一个网络的公共位置，当用户在计算机上登陆里，会从网络公共位置把用户配置文件下载到本地并加以应用，然后当用户注销时，会把本地的用户配置文件同步到网络公共位置，以保证公共位置用户配置文件的有效性，以便下一次使用。
那么如何来实现这个功能呢?现在就来实践一下:首先，要在一个网络的公共位置开设一个共享文件夹，用来存放用户配置文件，在个实验里，就在域控制器上开设一个为share的共享文件夹，并开放权限:然后，点击“开始-设置-控制面板-管理工具”，双击“AD用户和计算机”，并选中相应的用户，这里以“swg”帐号为例:在“swg”帐号上双击，然后选“配置文件”，在“用户配置文件-配置文件路径”里输入:\\192.168.5.1\share\%username%，“192.168.5.1”是域控制器的IP地址，如下图所示:然后点确定，接下去就到客户端去，用“swg”帐号登陆一下，看看会发生什么变化。