Windows2008R2部署服务所需的权限

1、Windows2008R2部署服务所需的权限应用到: Windows Server 2008, Windows Server 2008 R2本章概述了以下权限以及在适用时如何授予这些权限。若要修改本指南中描述的注册表设置，请仅使用 Windows 部署服务管理工具 不应直接编辑这些设置和属性。常规权限若要完全管理 Windows 部署服务服务器，需要以下权限： Windows 部署服务服务器的本地管理员。这可为您提供以下权限：o 文件权限和 RemoteInstall 文件夹的权限（管理工具使用 UNC 路径与映像存储交互）。o 注册表配置单元权限。Windows 部署服务服务器的许多设置都存

2、储在 HKEY_LOCAL_MACHINESystem 中，而您需要对这些位置有适当的权限才能对其进行更改。 包含 Windows 部署服务服务器的域的域管理员。这为您提供对 Windows 部署服务服务器的 Active Directory 域服务 (AD DS) 中服务控制点 (SCP) 的权限。服务器的一些配置设置存储在这里。 企业管理员（可选）。这为您提供动态主机配置协议 (DHCP) 授权权限。如果启用了 DHCP 授权，则必须在 AD DS 中授权 Windows 部署服务服务器，才能答复传入客户端 PXE 请求。DHCP 授权存储在 AD DS 中的配置容器中。在将 Window

3、s 部署服务服务器的管理委派给域管理员或企业管理员以外的帐户（并将这些常规权限授予委派的帐户）时，这通常十分有用。委派的管理员帐户应是上面指定的本地和域管理员。常见管理任务权限下表包含每个帐户所需的一些常见任务和权限。任务所需权限添加或删除映像组完全控制 C:RemoteInstallImagesImageGroup。添加或删除映像完全控制 C:RemoteInstallImagesImageGroup。禁用映像读写关联映像文件的属性的权限。禁用映像意味着隐藏与映像关联的 Windows 映像 (.wim) 文件。添加启动映像对以下文件夹的读写访问权限： C:RemoteInstallBoot

4、 C:RemoteInstallAdmin（仅在从 Windows Server2003 升级时才存在此文件夹）。 %TEMP%删除启动映像对 C:RemoteInstallBoot 的读写访问权限。设置映像的属性对表示映像的 .wim 元数据文件的读写权限。此文件位于 C:RemoteInstallImagesImageGroup的映像组中。预安排计算机在域中创建帐户的权限以及对计算机对象的属性的写入权限。授予预安排计算机的权限1. 打开“Active Directory 用户和计算机”。2. 右键单击要在其中创建预安排计算机帐户的组织单位 (OU)，然后选择“委派控制”。3. 在向导的第一

5、个屏幕上，单击“下一步”。4. 添加要向其委派控制的用户或组，然后单击“下一步”。5. 选择“创建自定义任务去委派”。6. 选择“只是在这个文件夹中的下列对象”。a. 选中“计算机对象”复选框。b. 选择“在这个文件夹中创建所选对象”。c. 单击“下一步”。7. 在“权限”框中，选中“写入所有属性”复选框。8. 单击“完成”。批准挂起的计算机对 RemoteInstall 共享文件夹中包含数据库文件 Binlsvcdb.mdb 的文件夹的读写权限（例如 C:RemoteInstallMGMT）。批准的挂起计算机的实际帐户是使用服务器的身份验证令牌创建的，而不是使用执行批准的管理员的令牌创建的。

6、因此，在 AD DS 中，必须向 Windows 部署服务服务器的帐户 (WDSSERVER$) 授予权限才能为在其中创建批准的挂起计算机的容器和组织单位创建计算机帐户对象。授予批准挂起的计算机的权限1. 打开“Active Directory 用户和计算机”。2. 右键单击要在其中创建预安排计算机帐户的组织单元，然后选择“委派控制”。3. 在向导的第一个屏幕上，单击“下一步”。4. 更改“对象类型”以包括计算机。5. 添加 Windows 部署服务服务器的计算机对象，然后单击“下一步”。6. 选择“创建自定义任务去委派”。7. 选择“只是在这个文件夹中的下列对象”。a. 选中“计算机对象”复

7、选框。b. 选择“在这个文件夹中创建所选对象”。c. 单击“下一步”。8. 在“权限”框中，选中“写入所有属性”复选框。9. 单击“完成”。预安排计算机使其加入到域该用户帐户必须具有加入到域的权限。JoinRights设置确定安全权限集，用户属性确定哪些用户有权加入到域。JoinRights设置有两个值： 仅加入。具有仅加入权限的用户没有管理员的帮助无法加入域（对计算机帐户对象有适当权限的管理员必须重置计算机帐户才能安装客户端和加入域）。 完全。具有完全权限的用户无需管理员协助即可重置帐户和加入域。对于用户属性，可以使用两个管理模型。 （推荐）在批准计算机时可以将主要用户关联到帐户。在批准计算

8、机时，计算机帐户将授予主要用户以下权限：o 读写计算机对象上的所有属性（JoinRights=JoinOnly或JoinRights=Full）o 重置和更改计算机对象上的密码权限 (JoinRights=Full) 可以为适用于给定结构的所有已批准客户端的用户和JoinRights指定服务器默认值。默认值将授予域管理员完全加入权限。如果在批准时不将主要用户分配给计算机帐户，则这些默认值将起作用。备注如果对非英语域控制器创建计算机帐户并且使用的是默认用户属性，则必须设置自动添加设置才能使用不包含扩展字符的其他帐户。例如，XXXX。若要更改此值，请参阅WDSUTIL /set-server /A

9、utoAddSettings的命令提示符处的帮助。主要用户和JoinRights属性在创建计算机帐户时设置。因此，创建计算机对象的权限需要与批准挂起的计算机的权限相同。若要更改每个服务器（每个体系结构）的默认值，需要对以下注册表项有读写权限： HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesWDSServerProvidersWDSPXEProvidersBINLSVCAutoApprove名称：JoinRights类型：DWORD值：0 =JoinOnly；1 =Full HKEY_LOCAL_MACHINESYSTEMCurrentCont

10、rolSetServicesWDSServerProvidersWDSPXEProvidersBINLSVCAutoApprove名称：User类型：REG_SZ值：组或用户的名称转换 RIPREP 映像 对 %TEMP% 目录和目标位置的读写权限 对原始 RIPREP 映像的读取权限创建发现或捕获映像 对 %TEMP% 目录和目标位置的读写权限 对原始启动映像的读取权限创建多播传输 完全控制以下注册表项：HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesWDSServerProvidersMulticast 对 RemoteInstallIma

11、gesImageGroup的读取权限。修改多播传输（例如，删除、停用、启用、停止、断开连接等）完全控制以下注册表项：HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesWDSServerProvidersMulticast客户端安装权限通常，执行客户端安装需要域用户权限。但是，还可能需要其他权限，这取决于具体方案。本节概述了执行常见安装任务所需的最小权限集。任务所需权限PXE 启动客户端计算机PXE 启动客户端不需要任何权限，也不存在保护从网络启动进程的机制。如果安全性是您的关注重点，则建议使用物理介质（例如，包含发现映像的介质）来启动每台计算机。

12、选择启动映像选择启动映像不需要任何权限，也不存在保护列表中显示的项的机制。第一个身份验证机制是使用运行于 Windows PE 中的 Windows 部署服务客户端发生的。选择安装映像Windows 部署服务客户端的用户界面中提供的凭据必须是域帐户的凭据。在客户端通过 Windows 部署服务服务器身份验证之后，经过验证的用户必须能够从 RemoteInstall 文件夹中读取 install.wim 文件和 Res.rwm 文件。默认情况下，经过身份验证的用户有执行此操作的权限。加入域该用户帐户必须具有加入到域的权限。JoinRights设置确定安全权限集，用户属性确定哪些用户有权加入到域。

13、JoinRights设置有两个值： 仅加入。具有仅加入权限的用户没有管理员的帮助无法加入域（对计算机帐户对象有适当权限的管理员必须重置计算机帐户才能安装客户端和加入域）。 完全。具有完全权限的用户无需管理员协助即可重置帐户和加入域。对于用户属性，可以使用两个管理模型。 （推荐）在批准计算机时可以将主要用户关联到帐户。在批准计算机时，计算机帐户将授予主要用户以下权限：o 读写计算机对象上的所有属性（JoinRights=JoinOnly或JoinRights=Full）o 重置和更改计算机对象上的密码权限 (JoinRights=Full) 可以为适用于给定结构的所有已批准客户端的用户和Join

14、Rights指定服务器默认值。默认值将授予域管理员完全加入权限。如果在批准时不将主要用户分配给计算机帐户，则这些默认值将起作用。如果计算机是预安排的（即，表示物理客户端计算机的计算机帐户在 AD DS 中已存在），则执行安装的用户（或用于加入域的无人参与文件中的凭据）需要相应的JoinDomain权限（如前所述）。如果计算机不是预安排的（这意味着 Windows 部署服务将在 AD DS 中创建一个计算机帐户），则执行安装的用户（或为加入域在无人参与文件中指定的凭据）需要有添加预安排的计算机和相应的JoinRights的权限。使用 /ResetBootProgram如果启用了 ResetBoo

15、tProgram 功能，则用户需要有对预安排计算机对象上netbootMachineFilePath属性的读写权限。如果未授予此权限，并且用户的启动程序设置为 pxeboot.n12，则 Windows 部署服务无法将 NBP 重置为 ，从而强制计算机进入无限重启循环。有关详细信息，请参阅管理网络启动程序。在安装期间禁用对命令提示符的访问默认情况下，在 Windows 部署服务安装过程中，用户可以通过以下方式获得对命令提示符的访问权限： 当安装程序在 Windows PE 中运行时按 Shift+F10。 当映像捕获向导在 Windows PE 中运行时按 Shift+F

16、10。 在 Microsoft Windows 预安装环境 (Windows PE) 启动时按住 Ctrl 键。 在全新体验 (OOBE) 运行时按 Shift+F10（OOBE 是通常在安装程序之后运行的向导）。重要事项在 OOBE 过程中打开的命令提示符窗口将在系统环境中运行。如果在安装程序结束时没有关闭此窗口，则即使用户不是客户端计算机上的本地管理员，也可能通过访问该窗口获得系统权限。通过将 DisableCmdRequest.tag 添加到映像可以禁用此功能。禁用对启动映像访问1. 在 Windows 部署服务 MMC 管理单元中，右键单击所需的启动映像并选择“禁用”。2. 装载使用

17、Windows 自动安装工具包 (AIK) 中提供的工具进行读写访问的映像。3. 在装载的映像中创建文件 %windir%SetupScriptsDisableCmdRequest.tag。4. 提交更改并卸载映像。5. 在 Windows 部署服务 MMC 管理单元中，右键单击所需的启动映像并选择“启用”。禁用对安装映像访问1. 在 Windows 部署服务 MMC 管理单元中，右键单击所需的启动映像并选择“禁用”。2. 将映像导出为外部 .wim 文件。3. 装载使用 Windows AIK 中提供的工具进行读写访问的映像。4. 在装载的映像中创建文件 %windir%SetupScrip

18、tsDisableCmdRequest.tag。5. 提交更改并卸载映像。6. 在 Windows 部署服务 MMC 管理单元中，右键单击禁用的安装映像并选择“替换映像”。7. 按照向导中的说明重新导入修改的安装映像。服务器属性权限下一节概述了使用服务器属性页执行常见管理任务所需的最小权限集。若要访问这些设置，请打开 Windows 部署服务 MMC 管理单元，右键单击该服务器并单击“属性”。选项卡需要权限的设置PXE 响应设置 PXE 响应策略。PXE 响应策略是根据服务器的简单控制协议 (SCP) 进行存储的。配置这些设置需要对此对象有读写权限。授予 SCP 对象的权限：1. 打开“Act

19、ive Directory 用户和计算机”。2. 单击“查看”，然后单击“高级功能”（如果尚未启用）。3. 右键单击 Windows 部署服务服务器的计算机帐户，并单击“属性”。4. 在“远程安装”选项卡上，选择“高级设置”5. 选择“安全”选项卡，并单击“添加”6. 选择用户，然后选择“完全控制此对象”。 PXE 响应延迟。PXE 响应延迟是根据服务器的 SCP 存储的。若要为服务器配置 PXE 响应延迟，必须对以下对象具有读写权限：HKEY_LOCAL_MACHINESystemCurrentControlSetServicesWDSSERVERProvidersWDSPXEProvide

20、rsBINLSVCo 名称：netbootAnswerRequestso 类型：REG_SZo 值：False = 不答复任何客户端请求；True = 答复客户端请求目录服务 新建客户端命名策略。此设置存储在服务器的 SCP 对象中。该属性称为：netbootNewMachineNamingPolicy 客户端帐户位置。此设置存储在服务器的 SCP 对象中。该属性称为：netbootNewMachineOU启动默认的启动程序 服务器级：此选项由以下注册表项控制：HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesWDSServerProviders

21、WDSPXEProvidersBINLSVCBootProgramso 名称：默认o 类型：REG_SZo 值：此体系结构的服务器级客户端默认启动程序所在的路径。例如： 每台计算机：计算机帐户属性是：netbootMachineFilePath默认的启动映像 服务器级：此选项由以下注册表项控制：HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesWDSServerProvidersWDSPXEProvidersBINLSVCBootImageso 名称：BootImagePatho 类型：REG_SZo 值：此体

22、系结构的服务器级客户端默认启动映像所在的路径。例如：bootx86imagesboot.wim 每台计算机：计算机帐户属性是：netbootMirrorDataFile客户端无人参与文件 服务器级：此选项由以下注册表项控制：HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesWDSServerProvidersWdsImgSrvUnattendx86o 名称：FilePatho 类型：REG_SZo 值：与 RemoteInstall 文件夹相关的服务器级客户端无人参与文件所在的路径。例如：WdsClientUnattendWdsUnattend.