域用户帐户和组的管理

学习文档仅供参考学习文档仅供参考域用户帐户和组的管理〔以下操作均在WindowsServer2003系统中实现，客户端也是使用2003来模拟，和实际中客户端使用的XP操作系统可能会有所不同〕很多企业都会用到域环境来实现管理，域的实际应用非常广泛。下面我们讲解在域环境下如何管理用户帐户和组。在讲解过程中我们会涉及到用户帐户、电脑帐户、组和OU等对象。一、域用户帐户的特点和本地用户帐户不同，域用户帐户保存在活动目录中。由于所有的用户帐户都集中保存在活动目录中，所以使得集中管理变成可能。同时，一个域用户帐户可以在域中的任何一台电脑上登录〔域控制器除外〕，用户可以不再使用固定的电脑。当电脑出现故障时，用户可以使用域用户帐户登录到另一台电脑上继续工作，这样也使帐号的管理变得简单。附注：在工作组环境中，所有电脑是独立的，要让用户能够登录到电脑并使用电脑的资源，必须为每个用户建立本地用户帐户。同时，为了方便实现用户对网络资源的访问权限，我们可以使用本地组来实现。本地用户帐户和组主要用在本地电脑。本地用户帐户只能登录到本地电脑；本地用户帐户保存在本地电脑；本地用户假设需要访问其它电脑，需要在其它电脑上有相应的用户帐户以便进行身份验证。二、管理工具要对域中的用户和电脑等对象进行管理，我们要使用“ActiveDirectory用户和电脑”管理工具。该工具在我们安装了活动目录后会被添加到管理工具中，我们可以在管理工具里找到它。但国工14二LiJ・Du.Ekp但国工14二LiJ・Du.EkpRPQ十近杠T|_|限轻电!说¥WLI 比r11rjIT?.HSEHGV-a:'jiawHusHft^CjnW计扛幅定田 •■pttsra A)Tindprr青女管制K空打即乩w+式物比t和发出1小粗芟凶口江口川ATtHn不».」e':，:fratc2-图件帕5时去利,IR/甘皤3-JA■mLd-dl/iE'IR.ll1虹tinhri口L用户和算有AelLv.九门曰*尸就润匚越美菱hciiriDbiriflkA'vX里和第WWTUhBRggHUFifMiitfirkIIKlmULcrvirft.ICTFruiiraEJLL.Jffi-S才不却u+点崎口后冲直力■!?击日和而母神阿E阳I■国洱■与即黑百3晓♦样看青辉艮*翌看调EMD巨片小咕平为T箕匣能丽奥至，泽性卫品能显至弟席官曹弟&怔书留也泓的用“H品续I出牛图照势《汨坏蜀胴品她摄u1升醐RnI31F^D3TAf1：aFf"旧户力il1£ 主也也। 三匚七)小联U口/Imlms?二盘|佳1,等优则中4ir-「Ml3卤打开后如下图，在窗口的左边，可以看到我们创建的域。按左边的“+”-「Ml3卤引白产X-51 F-liJftfr.Ul[Linulr:?信叵Li蛆费由三奇匕nJikti'relirector?目户陆1H81■S，MT 5"Tl揖mLJ存产的而Sh： 1Tfl 摩尸 1H5■jb<c<r:-1UulZILk,^. UJiI^ivwljlJJPfrnrRirg 智趣 UrfElt「lolTiiriTfo.f^iilE!muxi匚*. TifieJ.hced--L>Li»rfa.■Jr .忘S! Util401LClDlI.«LEu«jto.自Hkffe 窘粮 IJP'fimlt史&o1*in*rfoHLJgEux国LJ二皿口吐!仃0月D«qjhCwitroilersSI_|F^cj atyPHLJVtEtS占JJ展开后可以找到“users”管理单元，点击后在右边就可以看到一些内置的用户帐号和组。当系统安装了活动目录后，原来的本地用户和组帐号都没有了，这些对象会变成域用户帐号和域本地组，并被放在该“users”管理单元内。

'F|」,T-I'F|」,T-IQ□的TH0闰日罩ilruh"目曲|hlillLA目1j;JC"H回我De«iunrorjirollu-a日口U，上^SmLU=归P・LLUZ^f、UdE匚*i.ImifsI.T个gEtc随售ftsitnTiirlrrn!e^r目户瞥曲T凯戈曲之身研fjcir-lZublLdih：x货主炉本怅原由峭咽博t讦茂m正博j*=^DtisAtainE克£13-击快：rff7<lfjyit.TUpxi.l.JrMT--主局北i粕R马客P挖1第二k&毋一由IL・无口儿支弁蜀-全局由声1团^^开总里口二■此3.CMpUtll'I五主&-□K蜀七T的加百工作望和赚其#EcciLr口11叫■T-t；R白脸底q灯票!!■叫:=fJnFti：安全科-全局与南&后土同由II二・m二U1IE1.玉里昭童时筋HR吊尸®fc.lcrjfssckovins：5?±13-强用交』由1露:京病青也占FeJ.LcjrCrki.!：9r0<narE衽H-金周邙卡排中的成员可以任第印诩荒田莺孰皿目户供无点法国计豆仁或许升励-ilpfie-vl=♦式cdrtrj安里旧-本隗息见的利科中心日式U_：33可看1才太上包次咛留中的帮■»留可用*i时等尸..(^5irb*riRArtain!fcfeU-通用髭标11；理后捻世田口把gET匹ET_的哈拈Q月「范无一咛帮助吊1堂为帽口招提书--^7ElnctClL=tt5安全封：-本行本细囱或茴EU由巾巾匕筑假!由.三、OU〔组织单位〕在域中有很多的对象，包括用户帐户、组、共享文件夹和共享打印机等。这些对象都是集中存储在活动目录中并使用“AD用户与电脑”管理工具来进行管理。但如果这些大量的对象都放在“users”管理单元内进行管理，会带来一定的不便，例如不便于查找、难于设置策略等。所以为了更好的组织和管理这些对象，引入的“。『'的概念。OU又叫组织单位，它是一个容器，主要的作用就是用来组织和管理这些对象的。为了便于日后的管理，我们一定的设计好OU的结构。OU结构的划分有几种不同的方法，例如：按对象类型来划分。该划分方法是创建几个OU，不同的OU放不同的对象，比方一个OU放用户帐户，另一个OU放电脑帐户等；按企业的组织结构来划分。方法是为不同的部门创建不同的OU，把属于每个部门的对象都放在一个OU里，比方财务部的OU放财务部的用户帐户、财务部的电脑帐户和组等，而业务部的OU放业务部的用户帐户、业务部的电脑帐户和组等。这是一种常用的方法；按地区来划分。该方法主要用在有分支机构的企业，分别为不同的分支机构创建不同的OU，然后把属于该分支机构的所有对象都放在相应的OU里。比方一个企业有广州总公司、上海分公司和北京分公司，那么就分别为这三个分公司建立三个OU，一个OU放广州总公司的对象，一个放上海分公司的对象，还有一个放北京分公司的对象；

混合划分方法。该方法是按组织结构划分和按地区划分两种方法的结合，先为不同分支机构创建OU,再在不同的分支机构的OU里按组织结构来创建子OU。这也是一种常用的方法。要创建一个OU,在“AD用户和电脑”管理工具里右击域名，在弹出的快捷菜单中选择新建，在子菜单中选择“组织单位”Eimin吧fordwojTi.C-flD.E.iS.jDKi-ter4・芹屯白＞_.Eimin吧fordwojTi.C-flD.E.iS.jDKi-ter4・芹屯白＞_.二'yu，4「上-«4i3iCtatrollrars□Him邂旧日中回时四I殳行后包工J..辿技加1)2M闻震挂电幅以国1"心力艇幅I&LEfcfTifl®)...哂布m此.三宿09b-侬i；i-0J口胜1上J'十罚77〉..畸〒剧褶购m1(gy月尸1ct耳机计苴M泰乐人XtMlCar^PaiTKU.雨明队和领8娟旭单匕打印机用「*性震在“新建对象-组织单位”对话框中输入组织单位的名称，例如：XXX公司新建对象-蛆泉单位

按“确定”后完成了一个OU的创建要在该OU里创建子OU,右击该OU,同样在弹出的快捷菜单中选择新建组织单位，分别为不同的部门创建不同的OU,完成后如以下图所示-.口一工-151gi+srJriKftrHG情oa心列加名打打工-151gi+srJriKftrHG情oa心列加名打打工n口甘事文,trt平/区曲|瓦肥产向71品I?七苗电'Z■辍依寻二战ie□ir»=lwT同尸孤：：1■耳机□口此行牺田□营共一*百向.hlillLSL目一Cnpu^acxEfillDe«uriEar.l.rdLlu,i@「"IFac"』卬Suge3=3P-TLUUULr>.口b心1热隼工•云 01・河4匚伽 1都以 宣巴1必―出白H1显抑1/目....2]萋td挂司叩...五甚n.收三Ma苦*仁人由_1_向旗后丁姓En(rt.ii匚：立小巳ma?ftl属性匚■w心Wtnst)a-tt.g可爸hi可口iu书勖如用，回国|品吗^留用I3七番窗7僦看寻“tie口译.=157寻“tie口译.=157同尸忙消耳抓|用也说a个对重□□此行福田□审il-rU*国BnlltLS.@心口匚“futauH@&De«uxiEarjlrdLlu-ii冏f"~lF<CTJ LjP-TLUJULJ：d.口Ud”工B泣]住管仪耳■■jB11M・金1笔■411迂鱼巴1侬圉—可显疯打一目，，四、为用户创建帐户要在OU里为域用户创建用户帐户，右击一个OU，在弹出的快捷菜单中选择“新建”，并在子菜单中选择“用户”

匚|旧|小日广臼匚尾|由飞强国加K'u僭雷下工辿-「Ml引白产X-51 F-liJftfr.Ul_F勾ikciTclirectojyH81h匚|旧|小日广臼匚尾|由飞强国加K'u僭雷下工辿-「Ml引白产X-51 F-liJftfr.Ul_F勾ikciTclirectojyH81hi_j存束ifidaH•理屯heawnEiLJ昌LJ^<PU7EtTE-!&[l«-QjnCw«trailers国|_I c：S<：e^at?Pri-'Zapi--LJUtEt-5£!"出我作期:-国皿,L直3气密®曲唱中二向开五辆中—sia)...附电灯 q十刃盘名班 一）■”.三口股k11七市Jf=.|；1H皤ES:打-L上里口变mLJt整二二1眠ni1#耳忙版；；r■早J.卬+11Q：-EJl•代:：」,iDuAdUtg^ajuoaL丫嗯pj!»js据i好位打口.由I用户荒¥文件隶有MH” 用户和调Hit♦步8I下1步如：＞1 职消I创建在：abc.匚口mJ♦步8I下1步如：＞1 职消I创建在：abc.匚口mJ微软公司/财务菊用户登录名值indws2000以前版本J，〕：,小虹L@：lbC.'2ufTi姓名如;用户鸳录名（W用户登录名英文编写鱼）：［新建旭最-用尸新建对稣-用尸2SJ创建在：abc.匚口mJ微软公司/财务部2SJ密叫g：确认密码（jcr取用户下次登录时须更改密科皿r用户不能更改密码&）r密码永不过期世）F帐户已禁用（Q）下一步后按“完成”按钮完成用户帐户的创建。＜上一步⑹|下一步值］:取消|下一步后按“完成”按钮完成用户帐户的创建。五、限制用户能登录的电脑在域环境下，一个域用户帐户默认是可以登录到域中任意一台电脑的〔DC除外〕，这样为用户提供了方便。因为假设用户正在使用的电脑出现故障了，需要维修，那么该用户可以用他自己的域用户帐户在其它电脑上登录域，继续完成自己未完成的工作，继续使用域中的资源而不会受到影响，但工作组却没有提供这样的方便。但是如果我们需要限制用户只能使用某些电脑来登录域，那么可以通过设置用户帐户的属性来实现。・J-郎”hHBill■5K丹T，钎nw•皿： -IfllMnt口03xe冥典i?喂囹电田盅）y通富手AiE-taviDll-*eburi-用尸和j+jf制.回口便用的不闱日 L3C.=WTI+-_0COfQU-Lhfe'iE…区UoriunCwitrol&_|?flT[i。£吃晒口t/iHCipH.」Tews亡I金财蛆至＜1』可啕鞋■WE3j3I开式ft■I鸵M1中对嚷卮TIL.落廨网&L.第和衅尸⑸亘芯明图ISL.器勘封…：H开主叫叫愣弟」伸出班F三星百-ffl-010EL晞0)厘出名由》IKN=^II!a年打开要进行限制的用户帐户的属性，找到“帐户”选项卡，点击“登录到”按钮张三届性U2d掇入|环境|产-J远程控制］鳗端服多配置文件］COM+常规|地址|幅尸|配置文件］电话］单位|隶属于用户登录名址）；I^atic.com 丁|用尸登录名WindowsZOOO以前版本）篁）:|abc\ ph：iTLgE=m登录时间（1）一一 登录到6一Ir帐户已钺定⑥帐户选项◎）：」“用户下次暨录时须更改密码厂用户不能更改密同 一厂密码永不过期「使用可逆的加密俣存密码 二］「帐户过期 G永不过期（V）C在这之后里）：［zooSTFSe 三］I确定I取消I应用®在打开的“登录工作站”对话框中，可以看到默认的设置是用户可以登录到“所有电脑”，要进行限制，选择“以下电脑”单项选择按钮，并在“电脑名”文本框内输入只允许用户在其上登录的电脑名并点击“添加”按钮。如果有必要，可以添加多台电脑。登录工作玷在“计篁机”名称中，输A计算机的Netsias或域名系统CONS)名称口此用户可以登录到：r所有计算机©「-但下列计算机©计营拉女内1•pci叫完成后，该用户只能在指定的电脑上登录，而不能在未指定的电脑上登录到域。六、限制用户登录域的时间在默认设置下，域用户可以在任何时间登录到域，但如果想限制用户只能在某些时间才允许登录到域，而其它时间不能登录到域，比方说公司规定只有在星期一到五的8：00到18：00这段时间可以登录到域，而其它时间不能登录到域，则可以通过设置用户帐户的属性来实现。打开用户帐户的属性对话框，找到“帐户”选项卡，点击“登录时间...”按钮在打开的“XX的登录时间”对话框中，选定特定的时间段，并选择“允许登录”或“拒绝登录”，确定。在打开的“XX的登录时间”对话框中，选定特定的时间段，并选择“允许登录”或“拒绝登录”，确定。七、设置漫游配置文件1、什么是配置文件：配置文件是用于保存特定用户工作环境的特殊文件〔一组文件〕。用户工作环境

包括：用户的桌面设置、应用程序设置、用户的“我的文档”、收藏夹、开始菜

单、临时文件等设置。每个用户都有属于自己的配置文件。当一个用户在一台电

学习文档仅供参考学习文档仅供参考学习文档仅供参考脑上登录后，默认在电脑的C：盘下有一个"DocumentsandSettings”文件夹，该文件夹用于保存用户的配置文件，每个用户都在该文件夹里有一个和自己用户名同名的子文件夹，该子文件夹保存的就是该用户的配置文件。2、为什么要用漫游配置文件：如果用户需要经常在不同的电脑上登录，那么每在一台电脑登录，该电脑就会为该用户建立一个配置文件，多台电脑意味着该用户有多个配置文件，这样可能会出现这样一种情况：用户“U1”在电脑“C1”登录，然后在“我的文档”里保存了一个文件“F1”，然后该用户注销后在电脑“C2”登录，可是当用户打开“我的文档”时却找不到他的文件“F1”。这是因为在不同的电脑上用户的配置文件并不一致，该用户只能回到电脑“C1”的登录才可以找回自己的文件“F1”。另外，用户在“桌面”或“我的文档”里保存的所有文件实际上是保存在本地电脑里，数据的备份是需要由用户自己来完成的。然而，并不是所有用户都知道“什么是备份”？“如何备份”？3、漫游配置文件的优点：漫游配置文件是指把用户的配置文件集中存放在网络中的某个专用服务器中〔文件服务器〕，当用户登录时，系统会自动去寻找该服务器，并找到属于该用户的配置文件，然后加载。这时，无论用户在什么地方登录，该用户都可以使用同一个配置文件，不会出现上述的问题，在任何一台电脑登录所获得的工作环境都是一样的。同时，由于所有用户的配置文件集中保存在同一台服务器中，所以也方便了管理员进行集中的备份，保证数据的安全。4、为用户设置漫游配置文件首先要找一台专用的文件服务器，在该服务器中建立一个文件夹并共享，共享权限设置everyone写入权限。

然后选择一个用户，打开属性对话框，找到“配置文件”选项卡。在“配置文件路径”中填入上面建立的共享文件夹的UNC路径，并在该路径后跟该用户的用户名，以便于把该用户的配置文件存放在以用户名命名的子文件夹里。确定。这时该用户在域中任一台电脑上登录，该用户的工作环境都是一样的。八、用户主文件夹用户主文件夹是用于给用户保存文件的主要的地方。用户可以在“桌面”、“我的文档”和本地磁盘中保存数据，但当用户经常需要在不同的电脑上登录时，用户的文件可能会分散保存在不同的地方，对用户使用造成不便，同时也不利于对数据进行备份。当用户电脑出现故障时，也有可能会造成用户数据的丧失。主文件夹是在一台专用的服务器中，类似于上面的“漫游配置文件”中的文件夹，用户的所有数据都可以保存在主文件夹里，好处是用户在任何一台电脑上登录都可以找到自己的文件，不用担忧用户电脑的故障会造成数据的丧失，方便管理员对数据进行集中备份等。为用户设置主文件夹的方法和设置漫游配置文件的方法差不多，也要先在一台专用的文件服务器上建立一个共享文件夹，并开放everyone写入权限，然后在用户属性对话框中找到“配置文件”选项卡，选中“连接”，选择一个驱动器符号，在“到：”处写入共享文件夹的路径，并在该路径后加上该用户的用户名。确定，完成。张三届性掇人|环境|含话|远程控制1终端服务配置文件］COM+常规|地址|帕尸 配置玄件|电话单位|隶属于主文件来「本地路径⑪：［"连接©; [z二]到位）：\2Q03aVfiles\ihang5an|确定|取消|应用®当该用户登录后，在“我的电脑”里会多出一个“网络驱动器”，该网络驱动器就是刚刚我们建立的用户主文件夹。用户把自己的文件保存到该网络驱动器里时，实际上是保存在那台专用的文件服务器中。九、组的管理在域中，组的类型有两种，分别是“安全组”和“通讯组”。安全组即可以设置权限，也可以收发电子邮件；而通讯组不能设置权限，只能收发电子邮件。根据组的作用范围不同，组又分为“本地域组”、“全局组”和“通用组”三种。本地域组：作用范围是该组所在的域内，可以包含的成员包括：所有域的用户帐户、全局组、通用组，以及本域的域本地组。全局组：作用范围是所有受信任的域，可以包含的成员有：本域的用户帐户和全局组。通用组：作用范围是所有受信任的域，可以包含的成员有：所有域的用户帐户、全局组和通用组。要新建组，右击某个OU,选择“新建”->“组”GJfF.tl-营*曲首百工:51=町前3■・i孕y%，底EE!F回回后广？田疫囱芋出上邮 1%£ 定GJfF.tl-营*曲首百工:51=町前3■・i孕y%，底EE!F回回后广？田疫囱芋出上邮 1%£ 定LI喇曲标1个时雷却8...U:角T之理一第巴舟乱导士列森。1.一知兄医母|工|肃井因I示制局性㊄或M"MOTbraa以况即起睢单位犷啸l;l.r寸掌刀X在出现的对话框中输入组的名称，选择组的类型和作用范围，确定即可。〔注：只有域功能模式在2000或2003模式才能新建通用组〕组名作如也■收2000以前版本）®:g_cw4蛆作用域r本地域@f*全局⑥r通用⑪国安全俎电）

c通讯版⑪要提升域功能级别，右击域名，在出现的菜单中选择“提升域功能级别”'■[岑iLuHfi.x-EtyxrHjir>ik+nsi-ini<i|够女件in餐为⑪更更❿