域控制器建立完整教程

1、把一台成员效劳器提升为域控制器一目前很多公司的网络中的PC数量均超过10台:按照微软的说法，一般网络中的PC数目低于10台，那么建议采对等网的工作模式，而如果超过10台，那么建议采用域的管理模式，因为域可以提供一种集中式的管理，这相比于对等网的分散管理有非常多的好处，那么如何把一台成员效劳器提升为 域控？我们现在就动手实践一下：本篇文章中所有的成员效劳器均采用微软的Windows Server 2003，客户端那么采用 Windows XP。首先，当然是在成员效劳器上安装上Windows Server 2003，安装成功后进入系统，我们要做的第一件事就是给这台成员效劳器指定一个固定的IP,在这

2、里指定情况如下：机器名:Server子网掩码因为我要把这台机器配置成DNS效劳器由于Windows Server 2003在默认的安装过程中 DNS是不被安装的，所以我们需要手动去添加， 添加方法如下：开始一设置一控制面板一添加删除程序，然后再点击添加/删除Win dows组件"，那么可以看到如下画面：向下搬运右边的滚动条，找到网络效劳"，选中默认情况下所有的网络效劳都会被添加，可以点击下面的 详细信息'进展自定义安装，由于在这里只需要DNS，所以把其它的全都去掉了，以后需要的时候再安装：然后就是点 确定"，一直点 下一步'就可以完成整个DNS的安

3、装。在整个安装过程中请保证Win dows Server 2003 安装光盘位于光驱中，否那么会出现找不到文件的提示，那就需要手动定位了。安装完DNS以后，就可以进展提升操作了，先点击开始一运行，输入“Dcpromo",然后回车就可以看到 “Active Directory安装向导"在这里直接点击下一步：这里是一个兼容性的要求，Windows 95与NT 4 SP3以前的版本无法登陆运行到Windows Server2003的域控制器，我建议大家尽量采用 Windows 2000与以上的操作系统来做为客户端。然后点击下fcctiTc Directory 安装囱导垮控制器类型

4、诸指定想要此服曙器担任的角色"您想雯咄效劳器IT片新域的磁柠制黠评是现有城的額卯疏杆制需。疔新域胡域控莉霁ill9IIHviliBHH illl H4I llrr-illl f ? Ili- -THh-1!怕挥此选顶来刨建新子域、新域衲或新林此服备器将成対新域中的第nsib-r现有城的颤夕卜域腔制器£用連于遗顶来灶理将会删除所旋这个效劳器上的本地帐户口斫肯逼翔将植删险，应谨花讎變之前将密朝导tlh鄭蠶巒豔黠牆幡如狀子邮肚应碗解之時上一步下一步取消 |在这里由于这是第一台域控制器，所以选择第一项：新域的域控制器，然后点下一步既然是第一台域控，那么当然也是选择在新林中的域在这里

5、我们要指定一个域名，我在这里指定的是demo.,这里是指定NetBIOS名，注意千万别和下面的客户端冲突，也就是说整个网络里不能再有一台PC的计算机名叫“demO'，虽然这里可以修改，但个人建议还是采用默认的好，省得以后麻烦。在这里要指定 AD数据库和日志的存放位置，如果不是C盘的空间有问题的话，建议采用默认。这里是指定SYSVOL文件夹的位置，还是那句话，没有特殊情况，不建议修改第一次部署时总会出现上面那个 DNS注册诊断出错的画面，主要是因为虽然安装了 DNS,但由于并没 有配置它，网络上还没有可用的 DNS效劳器，所以才会出现响应超时的现像，所以在这里要选择：在这台计算机上安装并

6、配置 DNS，并将这台DNS效劳器设为这台计算机的首选 DNS效劳器。这是一个权限的选择项，在这里，我选择第二项：只与 Windows 2000 或Window 2003 操作系统兼容的权限"，因为在我做实验的整个环境里，并没有Win dows 2000以前的操作系统存在"这里是一个重点，复原密码，希望大家设置好以后一定要记住这个密码，千万别忘记了，因为在 后面的关于活动目录恢复的文章上要用到这个密码的。这是确认画面，请仔细检查刚刚输入的信息是否有误，尤其是域名书写是否正确，因为改域名可不是闹着玩的，如果有的话可以点上一步进入重输，如果确认无误的话，那么点下一步就正式开安装

7、了 ：Acti ve Directorr 安養冋导離驛犒严Z根磁5顶雌程碇要花几分B开赠几分钟后，安装完成点完成：点立即重新启动然后来看一下安装了 AD后和没有安装的时候有些什么区别，首先第一感觉就是关机和开机的速 度明显变慢了，再看一下登陆界面：多出了一个 登陆到'的选择框：进入系统后，右键点击 我的电脑选 属性，点 计算机怎么样？和安装AD以前不一样吧，其它的比方没有本地用户了，在管理工具里多出么多图标什么 的，这些将在以后的文章里讲述，这里就不再详谈了。把一台成员效劳器提升为域控制器二在我的上一篇文章中，已经把一台名为Server的成员效劳器提升为了域控制器，那我们现在来看一下如

8、何把下面的工作站参加到域。由于从网络平安性考虑，尽量少的使用域管理员，所以先在域控制器上建立一个委派，登陆到域控制 器，运行“dsa.ms'e，出现“AD用户和计算机"管理控制台：先来新建一个用户，展开“demo."，在“UserS上击右键，点 新建"-用户打尢件播忙 $ffY因口赠帶勤, _ 亠 , 宀4» "+ E H3Itfl为略iX厨冏隔曲過狐如PQN>ir.ctwr fllPKKtHtl* 一1保存的查曲-二加0cn或.' JTaQtiti匸 _ COITUUZf 旦 Ik*皿 Control*ri1 Fr &l

9、t;ig5<cwryFriPcij J_j爰櫃理制(£)lit CD越2 口出列喪fj Jkdbftim vtriit4r 0C»rt Fubli | JOndniu I iftaggtF tf J Drags ii w 7口醫*imi财.姐ImvlOrcFrTnSBQ飙列豹名HWA4lh9&XEgUb -Qiibft r 期尸 支金耀- 翌主ta - 家全超 平安拔- 平安筑- 妄堂筑- ±a - ±ifl - 皱- 室姐- 户呈爼- 全鋼-XX,.主局全局全局主雋电戸Jniiqsj11LU 皿. ZtS -,»« A

10、dfcku 安主爼-辛.全局1»1 宅闇十毎机ii前悶衿 dtiS 的 OffiAiTfttJ DHS昔理筋统卅梢茗站户詹加 扌晋定的幡管理盛参加叭中的所有工修 城中所有环曲1瞩Mflwtmp金业创曲疑号折茜丹豪 这他中的威員可aft 供熹辰谊冋计武祠战访 码曹和支幷申廿逼us 1-ffiSW同 iAtMFhtt AT . 一 用于J6动IS程外丽程 这忸中的务團可H 茱枸的揩皂杀琳咨S開LLl 仲和®"irfFL.知eh n-W Caktfri-itFx ar?刨建一常斬対«“勺 vt然后出现一个新建用户的向导，在这里，我新建了一个名为 “swg的用户

11、，并且把密码设为 永不过期"。新建对象-用尸2d创立4t：demo. can.职酒 |这样点下一步，直到完成，就可以完成用户的创立。然后在“demo."上点击右键，先择 委派控制"：衽比e祥真的姿诡时盖珈害 申件alulz就会出现一个 委派控制向导点击下一步点击中间的 添加'按钮，并输入刚刚创立的“ swg然后点确定再点下一步在上面的画面中，暂时不需要让该用户去管理组策略，所以在这里，仅仅选择将计算机参加到域"，然后点下一步"：最后是一个信息核对画面，要是没有什么问题的话，直接点完成'就可以了。接下来转到客户端，看看怎么把XP进

12、来，在实验中采用的客户端操作系统是Windows XP专业版,需要大家注意的是 Windows XP的Home版由于针对的是家庭用户，所以不能参加域，大家别弄错了 哟，我们先来设置一下这台XP的网络：计算机名:TestXP子网掩码DNS 效劳器，Internet 协滦(TCP/IP)展世O自动获律IF地址貂誹醐爭"'删"：1 if地址Gi:子网撞码on；對u何关01):自童荻毎DNS服崎嚣地址®使用下面的IMS效劳器地址翅:首选BHS眼勢器：lee . ies . s i备用BBS眼务器； 高翅出设置完网络以后，在 我的电脑上击右键，选属性，点 计算机名计

13、算机名称更改'7|x可以更改这台汁聲机的名称和成舅身份'更改可龍会議咂 对阿络资沥的访问.计:tBEtVll完整的计聲机名称"+ei tjjp.隶詹于I确甦11_.取甬在这里把隶属于"改成域，并输入："demo.，并点确定，这是会出现如下画面输入刚刚在域控上建的那个“swg的，点确定出现上述画面就表示成功参加了，然后点确定，点重启就算0K 了。来看一下登陆画面有没有什么不一样：看到那个 登陆到 了吧，可以选择域登陆还是本机登陆了，在这里选择域“DEMO ,这样就可以用域用户进展登陆了。进入系统后，在我的电脑上击右键，选 属性，点 计算机名：看到用黑

14、框标出来的地方和没有参加到域的时候的区别的吧？当把下面的客户端参加到域后，如果域控制器处于关闭状态或者死机的话，那么，会发现下面的 客户机无法登陆到域，所以再建立一台域控制器，用来防止其中一台出现意外损坏的情况是很有必要 的。后来建立的那台域控制器叫额外域控制器。来看看额外域控制器的建立过程吧：当然网络设置永远是在第一步的：计算机名：Bserver子网掩码既然是提升为域控制器，那么DNS组件也是要添加的，添加方法和我的第一篇文章中所定的一样, 这里就不再重复了。添加完成后，同样是点击开始"-运行"-“dcpromO :出现的向导和操作系统兼容性同安装第一台域控时是一样的，唯

15、一要注意的是下面的那个画面安装第一台时选择的是新域的域控制器，这里要选择的是现有域的额外域控制器，然后点在这里，输入域的管理员的密码，在域'里填入相应域的DNS全名或NetBios名，点 下一步在这里一定要填入现有域的 DNS全名，然后再点 下一步"，接下去的操作和安装第一台域控制 器时是一样的，所以就不再写下去了，直到完成就可以了。活动目录之用户配置文件关于域用户的开设在前面的文章中如何把一台成员效劳器提升为域控制器一、二已经涉与过了，所以在这里开设用户的方法就不再重复了，本篇文章主要向大家介绍一下用户配置文件。首先，什么是用户配置文件 ？根据微软的官方解释：用户配置文件就

16、是在用户登陆时定义系统加载 所需环境的设置和文件和集合，它包括所有用户专用的配置设置。用户配置文件存在于系统的什么位 置呢？那么用户配置文件包括哪些容呢 ？来给大家看一副截图：用户配置文件的保存位置在：系统盘一般是C盘下的Documents and Settings"文件夹下，有一个和你的登陆用户名一样的文件夹，该用户配置文件就保存在这里，顺便提示一下，如果本机和域上有一 个同名用户，并且都登陆过的话，那么就会出现在同名文件夹后面拖后缀的情况，举个例子：比方在一个域demo.里面有一台计算机testxp，本地有一个swg的，域上也有一个 swg的，并且都登陆过这台 计算机，那么会发生

17、如下情况：本地先登陆：那么本地的swg的用户配置文件夹为 swg,而域用户的用户配置文件夹为swg.demo。域先登陆：那么域用户的用户配置文件夹为swg,本地用户的配置文件夹为swg.testxp。通过上面的截图，我们可看出，用户配置文件包括桌面设置、我的文档、收藏夹、IE设置等一些个性化的配置。另外需要说明的是在“ Docume nts and Sett in gs文件夹下有一个名为“ All Users'的文件夹，如果你在这个文件夹下的桌面"文件夹下新建一个文件的话，你会发现所有用户在登陆时的桌面上都有这个文件，所以这个文件夹里的配置是对这台计算机的每个用户均起作用的。

18、当网络变成域构架后，所有的域用户可以在任意一台域的计算机登陆，当你在一台计算机上的用户配 置文件修改后，你会发现到另一台计算机上登陆时，所有的设置还是原来的，并没有发生修改，这是 因为用户的配置文件是保存在本地的，不管是域用户还是本地用户，都是保存在那台登陆的计算机上。我们可以在 我的电脑"上击 右键"，选 属性"，点 高级"，然后在 用户配置文件"里点设置"：用户配置文件用户配置丈件礙存負窗殺畳和苴池与愜的用户帐戶有共的信 也 可也诫使.用的毎吕计宜机上创立孑同的配置文杵，或选 走一个漫游配薈文件用在凰电用的毎台i+篦机上.DEIW

19、訓名称大小&91 KBWOr=G3EKB1ESTKPAdmi ni strat叶1. I.TEETXPG鹽的1邸TESTUPIS63EKB更改类型辽卅癮I豈假设屈d妾创耀一亍新的用尸帐尸，花揑带価扳中打丑用尸帐尸请注意 类型里用红框标出的局部，全部是本地，这就说明用户配置文件保存在本地，那么如何才能让用户的配置文件随着走，也就是不管用户在哪台计算机上登陆都能保持用户配置文件一致 呢?为了解决这个问题，就要用到漫游用户配置文件，原理就是把用户配置文件保存在一个网络的公共位置，当用户在计算机上登陆里，会从网络公共位置把用户配置文件下载到本地并加以应用，然后当 用户注销时，会把本地的用户配置

20、文件同步到网络公共位置，以保证公共位置用户配置文件的有效性,以便下一次使用。那么如何来实现这个功能呢？现在就来实践一下：首先，要在一个网络的公共位置开设一个共享文件夹，用来存放用户配置文件，在个实验里，就 在域控制器上开设一个为 share的共享文件夹，并开放权限：-Ini x|l£jn然后，点击 开始-设置-控制面板-管理工具"，双击 “ AD用户和计算机"，并选中相应的用户，这 里以“swg为例：Active Directory用户和计尊机动立件按作® 查着窗口® 帮助* |也画|船亀| X皆圉喝|矗|也注石b 逍务Biretoi-y用尸和

21、计覧机E -U俣存的吏询F tjfl d吉mo, crcm+ _| Builtin+Ccffipn. er sg Dma-iiTL Controllers 穷 ForsignSscuri tyFrixicipalUa«E 22个对鄭名称rw型UsersDomain Admins ODonain Com. Comiiik Con. ©JDw 岂ilk >JuS tsDom ain User strprisa,. Group Foli. (GiieE*. HelpServi c. gjllEJAPG C LUSH_TESTaO3 C ItfftH_TEST2003 拓 R

22、AS and Ik . 空亡h旳生Adni ns fsupranTe.平安鲍-全局 蚩全蛆-全局 平安鉅-金局 妄堂鲍-全局 平安爼-全局 平安蛆-全局 量全组-全局 用尸平安蛆-衣 用户用户平安鲍肩本 長全蛆-全局 用户rw指定的域管理员参加剽域中的斯有工作一域中所有域控儒!J器域的所有来宾所有域用户企业的指定杀轨管理员 建于组中的成员可讥隆 虞釆辰访同计宜机或访. 儒助和支持中心爼IIS工作进程齟匿名访可Internet信.，. 用于启动讲程外应用程 过个组中的服瞬黔可虹 架构的扌旨走累统管理员 迄是一牛帮肋和支持服1121netCli eats 平安蛆-本 忒组的成员可也访冏此. 用尸在

23、“ swg上双击，然后选配置文件'，在 用户配置文件-配置文件路径'里输入:192.168.5.1share%username%, “ 192.168.5.1 是域控制器的 IP 地址，如以下图所示：然后点确定，接下去就到客户端去，用“swg登陆一下，看看会发生什么变化。如上图所示，DEMO'swg的状态由刚刚的 本地"变成了 漫游"，此时注销一下用户，那么就会 自动的将该用户的本地用户配置文件同步到网络公共位置，如果再用“swg到另外的域计算机上去登陆的话，会发现所有的用户配置文件和这台计算机上是一样的。那么效劳器上发生了些什么变化呢C 1 sha

24、re血2SJ立悴褊强迦吏看妁收謡A工具帮貼0后退亍捷索立件夹地址 ©) ,| C. sharsT1名醐坯11修改醐文件夹2005-10-20hl±J|i个舸0宁节丽的电脑7如上图所示，效劳器的“share文件夹里会自动创立一个和用户名一样的“swg文件夹，默认情况下这个文件夹只允许对应的用户翻开：文件吧編辑查看辺收藏如工具帮助a0肩退Q 苗搜索文件舆tnu*左件和文幷賣任务地址1' o We er ver share Vswg转到其它位置裁的丈档 我的电胞 网上邻居详细肓息LMTlflCookisPrintH&odEWg的文档收矗與町 USEEDAT文件76

25、6 KUApplicatian DtaMgS&ndT*裁暈近的文普ntuser配匡51 -1 KEJHUSER. DAT文本文裆1 KEr&mpl4t&s画面很熟悉吧？目前很多公司的IT Pro都有共同的感慨，就是用户喜欢把自己的桌面什么的搞得乱七八糟，虽然通过 组策略可以限制掉一部份，但总觉得不是很完善，在这里，向大家推荐使用强制用户配置文件，用户 可以对自己个人配置文件任意修改，但是一旦注销后，这些修改将不会被保存，这样用户下次登陆里,用户的配置文件还是保持和原来一样，那么如何实现这个功能呢？其实只要将用户配置文件夹下的“ Ntuser.dat改成“ Ntuser.

26、ma'h就可以了，来看一下修改正程：首先，在显示隐藏文件和文件的扩展名，可以在工具-文件夹选项-查看里进展修改：O喘就文件和文件夹0不显示隐嚴的文件和丈祥與文井夹选项常规文絆察型脱机丈件文件夹视區曲詈韻轄隸鎳舉呷重置所育文件真迅高級设逬-显示靠统文件夹的内容隐逾竟倔护的噪作系统文件鱷荐®显示所育文件和文件夹阻藏丈件类型的扩簾名回用聚色显示加密或压缩的讥茂左件匚在标题栏显示兗整臨径I. J在单址的遴程中朴开文件夹窗口在蜀录吋复原上一丁立件夹窗口0在地址栏中显示完整路径复原为默认值确定取消:'A点确定'后，就可以在看到那个“Ntuser.dat"文件了，但此时会有一个问题，如果去修改C:Documents a