第章管理活动目录域

第章管理活动目录域 Prepared on 22 November 2020

第3章管理活动目录域

教学要求：

理解：域的概念、特点；活动目录的架构；组织单位的概念、特点；域用户账户的概念、特点；域组账户的概念、特点；域组账户的使用原则；

掌握：创建域；将计算机加入或脱离域；将域控制器降级为独立服务器或成员服务器；管理组织单位；管理域用户账户的工作；管理域组账户的工作；

活动目录的概述

活动目录（Active Directory，AD）服务能把网络中的众多资源有效地组织在一起，实现集中管理与统一保护，最大限度地保证资源的可用性与安全性。

活动目录的含义

活动目录以数据库的形式存放在网络中的一些特定计算机上，这个数据库称为“活动目录数据库”。

管理员可以利用活动目录来集中执行组织、管理与控制网络资源的各项功能。用户也能够通过活动目录方便迅速的找到所需要的资源、使用所需要的功能。

活动目录的容量可以动态调整；

活动目录的结构可以动态调整。

活动目录的特点

动态的组织形式

方便的资源查找

集中管理与分散管理相结合

资源访问的分级管理

活动目录的基本概念

1、对象和属性

在活动目录中，存储着众多的资源、规则、策略等，它们被称作“活动目录对象”，简称对象。

一个活动目录对象所具有的各种各样的特征，称为“属性”。一个对象可认为是一系列属性的集合。

2、活动目录的架构

活动目录中所有对象和属性的定义存储在“活动目录架构”中，只有Schema Admins组的成员才有权限添加或修改架构中的内容。一个活动目录共享一个共同的架构。

查看活动目录架构的具体步骤为

1、以Schema Admins组的一个用户账户身份登录

2、注册Active Directory Schema控制面板的动态链接库。在命令窗口中输

入： .

3、在命令窗口中运行“”,添加“Active Directory架构”管理工具。

4-6、在“Active Directory架构”中有两个容器，类与属性，双击User，即可查看User类的定义，根据User类的定义可以创建大量的用户账户。

最后在保存控制台。

活动目录的逻辑结构

在活动目录中，管理员可以完全忽略被管理对象的具体地理位置，将这些对象按照一定的方式放置在不同的容器中。由于这种组织对象的做法不考虑被管理对象的具体地理位置，因此得到的组织框架称作“逻辑结构”。

一个活动目录的完整逻辑结构称为“域森林”，一个域森林由若干“域树”组成，一个域树有若干“域”组成。

域

1、域的定义

在活动目录中，域是一种重要的逻辑管理单元，代表了一个独立的安全范围，能包含大量对象的一种容器。

2、域中计算机的角色

有域控制器、成员服务器、工作站。

域控制器是存放活动目录数据库的，是域中必须要有的。其它两种则不是必

须的。

所以最简单的域将只包含一台计算机，这台计算机是该域的域控制器。

3、计算机账户

每台计算机都有一个账户来标识自己，这个账户称为“计算机账户”。

在Computers容器内

4、域用户账户

管理员在域的活动目录数据库中创建的用户账户称为域用户账户。

默认时，所有的域用户账户均放置在UserS容器中，域管理员可以在此创建和管理域用户账户。

5、组织单位

为了对域中对象做进一步的组织和管理，还可以在域中创建一种新的容器——组织单位。

（1）组织单位的含义：特点

●组织单位是一种容器类的活动目录对象；

●组织单位只能在域内创建，并且只能包含域内的对象。

●在组织单位内还可以继续创建组织单位。

●一个域中组织单位的结构与另一个域组织单位的结构无关。

●组织单位不仅能容纳对象，还可以对其施加管理策略和安全规则（2）组织单位的用途

可以把域中一部分具有相同管理要求的活动目录对象分离出来，既可以对它们进行单独的管理又可以提高效率。

（3）组织单位和组账号的区别

组账户通常只能包含用户账户和组账户，组织单位中不仅可以包含这些，还可以包含计算机账号、打印机、共享文件夹等很多活动目录对象。

创建组账户的主要目的是为用户账户分配资源访问权限，但是管理员不能直接对组账户指定管理策略，也就是不能直接控制组账户中各

对象的更复杂的行为。

当删除一个组账户时，其包含的用户账户并不会被删除。但删除一个组织单位时，其包含的所有活动目录对象都将随之删除。

（4）组织单位和其他活动目录容器的区别

图标有所不同

普通容器仅起到把一些活动目录对象组织在一起的作用，管理员不能

对其设置组策略。

在组策略中只能看到组织单位而看不到普通容器，这说明只能对组织单位设置组策略而不能对普通容器设置组策略。

在上图中右击“Default Domain Controllers Pllicy”组策略对象，然后在快捷菜单中选择编辑。可以看到各种组策略。

域树

１、域树的含义

若干域组成的集合称为“域树”。

2、信任关系

单向信任与双向信任

不可传递的信任与可传递的信任

3、域树的结构

域树中，各域之间利用双向的、可传递的信任关系联系在一起。第一个域称为父域，各分部的域称为该域的子域。

4、域树的特点

域森林

若干个域树的组合称为“域森林”

活动目录的物理结构

域控制器

从物理的角度观察活动目录时而得到的组织框架，称为活动目录的物理结构。

活动目录的物理结构为：域控制器与站点。活动目录的物理结构中，最基本的单元就是域控制器。在此基础上，域控制器又被放入不同的站点中。

站点

所谓站点时若干个利用快速链路连接在一起的局域网的组合。在一个站点中，所有局域网均通过快速链路连接在一起。