




版权说明:本文档由用户提供并上传,收益归属内容提供方,若内容存在侵权,请进行举报或认领
文档简介
1、Windows2008R2部署服务所需的权限应用到: Windows Server 2008, Windows Server 2008 R2本章概述了以下权限以及在适用时如何授予这些权限。若要修改本指南中描述的注册表设置,请仅使用 Windows 部署服务管理工具 不应直接编辑这些设置和属性。常规权限若要完全管理 Windows 部署服务服务器,需要以下权限: Windows 部署服务服务器的本地管理员。这可为您提供以下权限:o 文件权限和 RemoteInstall 文件夹的权限(管理工具使用 UNC 路径与映像存储交互)。o 注册表配置单元权限。Windows 部署服务服务器的许多设置都存
2、储在 HKEY_LOCAL_MACHINESystem 中,而您需要对这些位置有适当的权限才能对其进行更改。 包含 Windows 部署服务服务器的域的域管理员。这为您提供对 Windows 部署服务服务器的 Active Directory 域服务 (AD DS) 中服务控制点 (SCP) 的权限。服务器的一些配置设置存储在这里。 企业管理员(可选)。这为您提供动态主机配置协议 (DHCP) 授权权限。如果启用了 DHCP 授权,则必须在 AD DS 中授权 Windows 部署服务服务器,才能答复传入客户端 PXE 请求。DHCP 授权存储在 AD DS 中的配置容器中。在将 Window
3、s 部署服务服务器的管理委派给域管理员或企业管理员以外的帐户(并将这些常规权限授予委派的帐户)时,这通常十分有用。委派的管理员帐户应是上面指定的本地和域管理员。常见管理任务权限下表包含每个帐户所需的一些常见任务和权限。任务所需权限添加或删除映像组完全控制 C:RemoteInstallImagesImageGroup。添加或删除映像完全控制 C:RemoteInstallImagesImageGroup。禁用映像读写关联映像文件的属性的权限。禁用映像意味着隐藏与映像关联的 Windows 映像 (.wim) 文件。添加启动映像对以下文件夹的读写访问权限: C:RemoteInstallBoot
4、 C:RemoteInstallAdmin(仅在从 Windows Server2003 升级时才存在此文件夹)。 %TEMP%删除启动映像对 C:RemoteInstallBoot 的读写访问权限。设置映像的属性对表示映像的 .wim 元数据文件的读写权限。此文件位于 C:RemoteInstallImagesImageGroup的映像组中。预安排计算机在域中创建帐户的权限以及对计算机对象的属性的写入权限。授予预安排计算机的权限1. 打开“Active Directory 用户和计算机”。2. 右键单击要在其中创建预安排计算机帐户的组织单位 (OU),然后选择“委派控制”。3. 在向导的第一
5、个屏幕上,单击“下一步”。4. 添加要向其委派控制的用户或组,然后单击“下一步”。5. 选择“创建自定义任务去委派”。6. 选择“只是在这个文件夹中的下列对象”。a. 选中“计算机对象”复选框。b. 选择“在这个文件夹中创建所选对象”。c. 单击“下一步”。7. 在“权限”框中,选中“写入所有属性”复选框。8. 单击“完成”。批准挂起的计算机对 RemoteInstall 共享文件夹中包含数据库文件 Binlsvcdb.mdb 的文件夹的读写权限(例如 C:RemoteInstallMGMT)。批准的挂起计算机的实际帐户是使用服务器的身份验证令牌创建的,而不是使用执行批准的管理员的令牌创建的。
6、因此,在 AD DS 中,必须向 Windows 部署服务服务器的帐户 (WDSSERVER$) 授予权限才能为在其中创建批准的挂起计算机的容器和组织单位创建计算机帐户对象。授予批准挂起的计算机的权限1. 打开“Active Directory 用户和计算机”。2. 右键单击要在其中创建预安排计算机帐户的组织单元,然后选择“委派控制”。3. 在向导的第一个屏幕上,单击“下一步”。4. 更改“对象类型”以包括计算机。5. 添加 Windows 部署服务服务器的计算机对象,然后单击“下一步”。6. 选择“创建自定义任务去委派”。7. 选择“只是在这个文件夹中的下列对象”。a. 选中“计算机对象”复
7、选框。b. 选择“在这个文件夹中创建所选对象”。c. 单击“下一步”。8. 在“权限”框中,选中“写入所有属性”复选框。9. 单击“完成”。预安排计算机使其加入到域该用户帐户必须具有加入到域的权限。JoinRights设置确定安全权限集,用户属性确定哪些用户有权加入到域。JoinRights设置有两个值: 仅加入。具有仅加入权限的用户没有管理员的帮助无法加入域(对计算机帐户对象有适当权限的管理员必须重置计算机帐户才能安装客户端和加入域)。 完全。具有完全权限的用户无需管理员协助即可重置帐户和加入域。对于用户属性,可以使用两个管理模型。 (推荐)在批准计算机时可以将主要用户关联到帐户。在批准计算
8、机时,计算机帐户将授予主要用户以下权限:o 读写计算机对象上的所有属性(JoinRights=JoinOnly或JoinRights=Full)o 重置和更改计算机对象上的密码权限 (JoinRights=Full) 可以为适用于给定结构的所有已批准客户端的用户和JoinRights指定服务器默认值。默认值将授予域管理员完全加入权限。如果在批准时不将主要用户分配给计算机帐户,则这些默认值将起作用。备注如果对非英语域控制器创建计算机帐户并且使用的是默认用户属性,则必须设置自动添加设置才能使用不包含扩展字符的其他帐户。例如,XXXX。若要更改此值,请参阅WDSUTIL /set-server /A
9、utoAddSettings的命令提示符处的帮助。主要用户和JoinRights属性在创建计算机帐户时设置。因此,创建计算机对象的权限需要与批准挂起的计算机的权限相同。若要更改每个服务器(每个体系结构)的默认值,需要对以下注册表项有读写权限: HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesWDSServerProvidersWDSPXEProvidersBINLSVCAutoApprove名称:JoinRights类型:DWORD值:0 =JoinOnly;1 =Full HKEY_LOCAL_MACHINESYSTEMCurrentCont
10、rolSetServicesWDSServerProvidersWDSPXEProvidersBINLSVCAutoApprove名称:User类型:REG_SZ值:组或用户的名称转换 RIPREP 映像 对 %TEMP% 目录和目标位置的读写权限 对原始 RIPREP 映像的读取权限创建发现或捕获映像 对 %TEMP% 目录和目标位置的读写权限 对原始启动映像的读取权限创建多播传输 完全控制以下注册表项:HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesWDSServerProvidersMulticast 对 RemoteInstallIma
11、gesImageGroup的读取权限。修改多播传输(例如,删除、停用、启用、停止、断开连接等)完全控制以下注册表项:HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesWDSServerProvidersMulticast客户端安装权限通常,执行客户端安装需要域用户权限。但是,还可能需要其他权限,这取决于具体方案。本节概述了执行常见安装任务所需的最小权限集。任务所需权限PXE 启动客户端计算机PXE 启动客户端不需要任何权限,也不存在保护从网络启动进程的机制。如果安全性是您的关注重点,则建议使用物理介质(例如,包含发现映像的介质)来启动每台计算机。
12、选择启动映像选择启动映像不需要任何权限,也不存在保护列表中显示的项的机制。第一个身份验证机制是使用运行于 Windows PE 中的 Windows 部署服务客户端发生的。选择安装映像Windows 部署服务客户端的用户界面中提供的凭据必须是域帐户的凭据。在客户端通过 Windows 部署服务服务器身份验证之后,经过验证的用户必须能够从 RemoteInstall 文件夹中读取 install.wim 文件和 Res.rwm 文件。默认情况下,经过身份验证的用户有执行此操作的权限。加入域该用户帐户必须具有加入到域的权限。JoinRights设置确定安全权限集,用户属性确定哪些用户有权加入到域。
13、JoinRights设置有两个值: 仅加入。具有仅加入权限的用户没有管理员的帮助无法加入域(对计算机帐户对象有适当权限的管理员必须重置计算机帐户才能安装客户端和加入域)。 完全。具有完全权限的用户无需管理员协助即可重置帐户和加入域。对于用户属性,可以使用两个管理模型。 (推荐)在批准计算机时可以将主要用户关联到帐户。在批准计算机时,计算机帐户将授予主要用户以下权限:o 读写计算机对象上的所有属性(JoinRights=JoinOnly或JoinRights=Full)o 重置和更改计算机对象上的密码权限 (JoinRights=Full) 可以为适用于给定结构的所有已批准客户端的用户和Join
14、Rights指定服务器默认值。默认值将授予域管理员完全加入权限。如果在批准时不将主要用户分配给计算机帐户,则这些默认值将起作用。如果计算机是预安排的(即,表示物理客户端计算机的计算机帐户在 AD DS 中已存在),则执行安装的用户(或用于加入域的无人参与文件中的凭据)需要相应的JoinDomain权限(如前所述)。如果计算机不是预安排的(这意味着 Windows 部署服务将在 AD DS 中创建一个计算机帐户),则执行安装的用户(或为加入域在无人参与文件中指定的凭据)需要有添加预安排的计算机和相应的JoinRights的权限。使用 /ResetBootProgram如果启用了 ResetBoo
15、tProgram 功能,则用户需要有对预安排计算机对象上netbootMachineFilePath属性的读写权限。如果未授予此权限,并且用户的启动程序设置为 pxeboot.n12,则 Windows 部署服务无法将 NBP 重置为 ,从而强制计算机进入无限重启循环。有关详细信息,请参阅管理网络启动程序。在安装期间禁用对命令提示符的访问默认情况下,在 Windows 部署服务安装过程中,用户可以通过以下方式获得对命令提示符的访问权限: 当安装程序在 Windows PE 中运行时按 Shift+F10。 当映像捕获向导在 Windows PE 中运行时按 Shift+F
16、10。 在 Microsoft Windows 预安装环境 (Windows PE) 启动时按住 Ctrl 键。 在全新体验 (OOBE) 运行时按 Shift+F10(OOBE 是通常在安装程序之后运行的向导)。重要事项在 OOBE 过程中打开的命令提示符窗口将在系统环境中运行。如果在安装程序结束时没有关闭此窗口,则即使用户不是客户端计算机上的本地管理员,也可能通过访问该窗口获得系统权限。通过将 DisableCmdRequest.tag 添加到映像可以禁用此功能。禁用对启动映像访问1. 在 Windows 部署服务 MMC 管理单元中,右键单击所需的启动映像并选择“禁用”。2. 装载使用
17、Windows 自动安装工具包 (AIK) 中提供的工具进行读写访问的映像。3. 在装载的映像中创建文件 %windir%SetupScriptsDisableCmdRequest.tag。4. 提交更改并卸载映像。5. 在 Windows 部署服务 MMC 管理单元中,右键单击所需的启动映像并选择“启用”。禁用对安装映像访问1. 在 Windows 部署服务 MMC 管理单元中,右键单击所需的启动映像并选择“禁用”。2. 将映像导出为外部 .wim 文件。3. 装载使用 Windows AIK 中提供的工具进行读写访问的映像。4. 在装载的映像中创建文件 %windir%SetupScrip
18、tsDisableCmdRequest.tag。5. 提交更改并卸载映像。6. 在 Windows 部署服务 MMC 管理单元中,右键单击禁用的安装映像并选择“替换映像”。7. 按照向导中的说明重新导入修改的安装映像。服务器属性权限下一节概述了使用服务器属性页执行常见管理任务所需的最小权限集。若要访问这些设置,请打开 Windows 部署服务 MMC 管理单元,右键单击该服务器并单击“属性”。选项卡需要权限的设置PXE 响应设置 PXE 响应策略。PXE 响应策略是根据服务器的简单控制协议 (SCP) 进行存储的。配置这些设置需要对此对象有读写权限。授予 SCP 对象的权限:1. 打开“Act
19、ive Directory 用户和计算机”。2. 单击“查看”,然后单击“高级功能”(如果尚未启用)。3. 右键单击 Windows 部署服务服务器的计算机帐户,并单击“属性”。4. 在“远程安装”选项卡上,选择“高级设置”5. 选择“安全”选项卡,并单击“添加”6. 选择用户,然后选择“完全控制此对象”。 PXE 响应延迟。PXE 响应延迟是根据服务器的 SCP 存储的。若要为服务器配置 PXE 响应延迟,必须对以下对象具有读写权限:HKEY_LOCAL_MACHINESystemCurrentControlSetServicesWDSSERVERProvidersWDSPXEProvide
20、rsBINLSVCo 名称:netbootAnswerRequestso 类型:REG_SZo 值:False = 不答复任何客户端请求;True = 答复客户端请求目录服务 新建客户端命名策略。此设置存储在服务器的 SCP 对象中。该属性称为:netbootNewMachineNamingPolicy 客户端帐户位置。此设置存储在服务器的 SCP 对象中。该属性称为:netbootNewMachineOU启动默认的启动程序 服务器级:此选项由以下注册表项控制:HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesWDSServerProviders
21、WDSPXEProvidersBINLSVCBootProgramso 名称:默认o 类型:REG_SZo 值:此体系结构的服务器级客户端默认启动程序所在的路径。例如: 每台计算机:计算机帐户属性是:netbootMachineFilePath默认的启动映像 服务器级:此选项由以下注册表项控制:HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesWDSServerProvidersWDSPXEProvidersBINLSVCBootImageso 名称:BootImagePatho 类型:REG_SZo 值:此体
22、系结构的服务器级客户端默认启动映像所在的路径。例如:bootx86imagesboot.wim 每台计算机:计算机帐户属性是:netbootMirrorDataFile客户端无人参与文件 服务器级:此选项由以下注册表项控制:HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesWDSServerProvidersWdsImgSrvUnattendx86o 名称:FilePatho 类型:REG_SZo 值:与 RemoteInstall 文件夹相关的服务器级客户端无人参与文件所在的路径。例如:WdsClientUnattendWdsUnattend.
温馨提示
- 1. 本站所有资源如无特殊说明,都需要本地电脑安装OFFICE2007和PDF阅读器。图纸软件为CAD,CAXA,PROE,UG,SolidWorks等.压缩文件请下载最新的WinRAR软件解压。
- 2. 本站的文档不包含任何第三方提供的附件图纸等,如果需要附件,请联系上传者。文件的所有权益归上传用户所有。
- 3. 本站RAR压缩包中若带图纸,网页内容里面会有图纸预览,若没有图纸预览就没有图纸。
- 4. 未经权益所有人同意不得将文件中的内容挪作商业或盈利用途。
- 5. 人人文库网仅提供信息存储空间,仅对用户上传内容的表现方式做保护处理,对用户上传分享的文档内容本身不做任何修改或编辑,并不能对任何下载内容负责。
- 6. 下载文件中如有侵权或不适当内容,请与我们联系,我们立即纠正。
- 7. 本站不保证下载资源的准确性、安全性和完整性, 同时也不承担用户因使用这些下载资源对自己和他人造成任何形式的伤害或损失。
最新文档
- DB14-T 3362-2025 胡萝卜旱作栽培技术规程
- 第一讲 声现象 课件2025年中考物理总复习(贵州专版)
- 代办企业资质注销服务协议
- 民间艺术场地借用与合作推广协议
- 畜牧业绿色草料直供连锁加盟合同
- 网络游戏代售授权协议范本
- 桉树砍伐与生态旅游项目承包合同
- Brand KPIs for hotels:Nacional Inn in Brazil-英文培训课件2025.5
- 2025年非营利组织管理与运营知识测试卷及答案
- 2025年多媒体技术基础知识考试卷及答案
- 合同合伙人协议书范本电子版
- 猜猜是谁的尾巴课件
- 2023-2024学年四川省南充市八年级(下)期末物理试卷(含答案)
- 浙江省丽水市2021年中考英语试题(原卷版)
- 创业基础(浙江财经大学)智慧树知到期末考试答案章节答案2024年浙江财经大学
- 包装机产品项目运营指导方案
- GB/T 44099-2024学生基本运动能力测评规范
- 上海高中自招简历模板范文
- 光学分析导论思政
- 高考前在学校高三班主任对学生的最后一课教育课件
- (2024年)管理体系文件ISO13485
评论
0/150
提交评论