Windows Server 2012 R2系统管理与服务器配置教案 项目4 （第5-7周）

一体化课程教案首页A-08-02课程Windows服务器安装与配置授课教师课题项目4部署与管理活动目录分课题任务4.1安装和配置域控制器任务4.2管理域用户、组和组织单位任务4.3管理域组策略授课班级授课周第5-7周课时18学习目标知识目标1．了解：域的概念、特点，活动目录的结构，域用户账户、域组账户和组织单位的概念、特点和用途2．熟悉：域控制器的条件，活动目录的管理与维护，域组账户的使用原则3．掌握：创建域，将计算机加入或脱离域，将域控制器降级为独立服务器或成员服务器；域用户账户、域组账户和组织单位的管理4．组策略、GPO的概念技能目标1．会创建域，能将计算机加入或脱离域2．会创建与管理域用户账户、域组账户和组织单元3．能利用组策略技术对域中的计算机进行一些常用设置素质目标培养学生具备爱国爱党、尊法学法守法用法的法律意识和自尊、自信、自爱、健康积极向上的心理品质；培养学生具备爱岗敬业、专注严谨、精益求精、勇于创新的工匠精神；重点1．域控制器的安装；2．将计算机加入到域中的操作以及安装活动目录后操作系统的变化；3．组策略难点域、域树、域林以及活动目录的概念的理解教学对象分析授课对象是高二年级的学生，已学《网络设备配置与管理》和《计算机网络技术基础应用》等前导课程，对windowsserver系统有些许了解。教法讲授法、演示法学法自主学习法、小组合作法教学场地与教具计算机实训室、电脑、教案、PPT、学习任务书课后分析安全注意事项及其它说明1.用电安全常识2.机房卫生8s管理审阅签名：年月日教学过程A-04教学环节学习内容及教师活动学生活动步骤1项目导入1．先由教师对本项目内容进行简单介绍。公司各部门内部组建工作组网络就可满足要求了,但对于整个公司的网络而言,一些重要的网络公共资源和帐户信息需要安全性更高的措施加以保护,如果仍用工作组模式来组网就显得力不从心了。为此,需要将整个公司的网络搭建为域模式的网络。在域模式的网络中,一方面至少需要一台被称为域控制器的计算机来对网络中的资源、帐户和安全配置等信息实行集中管理,另一方面还要将其他计算机及其资源和帐户加入或升级到域网络中接受域控制器的统一调配和管理。提示：在这一章的学习过程中我们会遇到很多以前没有遇到的新的，不太好理解的专业名词，可以说这一项目是我们整本书中中理论知识中最不好理解的一章。所以请同学们认真和老师一起学习。举例说明，引出域。由教师通过对比“工作组”和“域”这两种模式以及结合举例和图示来给学生讲解“域”的概念。在桌面上右击“计算机”打开“系统属性”窗口，单击“计算机名”选项卡，弹出“计算机名”对话框，“更改”按钮在“计算机名称更改”对话框中的“隶属于”单选框中我们可以看到现在我们计算机所处的模式是什么？（学生集体回答——工作组模式）好，除了这种模式，大家还可以看到，还有一种模式——域模式什么叫做域模式？这种模式有什么好处？如何把计算机加入到这种模式下呢？这些都是我们本项目中将要学习的内容。回答问题：大、中型企业网络有几百到上千的用户，资源也比较分散，这时候如何管理？1.回忆、思考2.讨论观察、思考、记忆步骤2项目知识准备认识Windows的域ActiveDirectory域用户账户代表物理实体，如人员。管理员可以将用户账户用作某些应用程序的专用服务账户。用户账户也被称为安全主体。安全主体是指自动为其分配安全标识符（SID）的目录对象，可用于访问域资源。用户账户主要的作用如下。①验证用户的身份。用户可以使用能够通过域身份验证的身份登录计算机或域。每个登录到网络的用户都应该有自己唯一的账户和密码。为了最大限度地保证安全，需要避免多个用户共享同一个账户。②授权或拒绝对域资源的访问。在验证用户身份之后，为该用户授予访问域资源的权限或拒绝该用户对域资源的访问。ActiveDirectory用户和“计算机管理”窗口中的“用户”容器显示了Administrator和Guest两种内置用户账户。这些内置用户账户是在创建域时自动创建的。每个内置用户账户都有不同的权限组合。Administrator账户在域内具有最大的权限，而Guest账户则具有有限的权限。如果网络管理员没有修改或禁用内置用户账户的权限，恶意用户（或服务）就会使用这些权限通过Administrator账户或Guest账户非法登录域。保护这些账户的一种较好的安全操作是重命名或禁用它们。由于重命名的用户账户会保留其SID,因此也会保留其他所有属性，如说明、密码、组成员身份、用户配置文件、账户信息，以及任何已分配的权限和用户权利。若要拥有用户身份验证和授权的安全优势，则可以通过“ActiveDirectory用户和计算机”窗口为所有加入网络的用户创建单独的用户账户，并将各用户账户（包括Administrator账户和Guest账户）添加到组，以便控制分配给该账户的权限。如果具有适合某网络的账户和组，则需要确保可以识别登录该网络的用户和只能访问允许资源的用户。设置强密码和实施账户锁定策略，可以帮助域抵御攻击。强密码会减少攻击者对密码的智能密码猜测和字典攻击的危险。账户锁定策略会减少攻击者通过重复登录企图危及用户所在域的安全的可能性。账户锁定策略可以确定用户账户在禁用之前尝试登录的失败次数。(1)引导：域的“管理机关”——活动目录把“活动”和“目录”分开来讲解，有利于学生的理解。通过“书的目录”来形象的讲解活动目录中的“目录”。总之,域(Domain)是共用一个“目录服务数据库”,且有安全边界的计算机的集合。域中计算机的角色域控制器在一个域中,活动目录数据库必须存储在域中特定的计算机上,这样的计算机被称为域控制器(DomainController,简写为DC)。每一个域中都至少有一台（或多台）域控制器。设置多台域控制器主要是为了提高域的容错能力,以防止某一台域控制器发生故障时,还有其他域控制器可维持域的运行,不致造成域的全面瘫痪。成员服务器安装了服务器版操作系统(如:WindowsServer2008或WindowsServer2012),但未安装AD服务且加入域的计算机称为成员服务器。工作站所有安装WindowsXP/7系统,且加入域的计算机被称为工作站。3．域的特点域是一种集中的管理模式。域的安全级别较高。便于用户访问域中的资源。4．活动目录的组织结构组织单位(OrganizationalUnit,简称OU)域(Domain)域树(Tree)域森林(Forest)5．域中组策略的应用讲解：组策略是从Windows2000开始有的一个新特点。组策略用来在用户或计算机集合上强制设置一些配置，这在多台计算机需要统一的工作界面时很有实用意义。组策略为管理员提供了进一步控制和集中管理用户工作环境、实现软件部署以及安全性管理。例如用户的桌面环境、计算机启动/关机所执行的脚本文件、用户登录/注销所执行的脚本文件等。WindowsServer2012系统赋予组策略更新的功能和特性，通过组策略可以更容易管理网络上的资源。组策略是一组配置设置，是组策略管理员应用于活动目录存储中的一个或多个对象。利用它组策略管理员可以为用户提供一个完全总装的桌面环境。这个环境包括定制的【开始】菜单，自动安装的应用程序以及对文件、文件夹和WindowsServer2012系统设置的限制访问。举例：在企业中，如果公司老总想让所有员工的桌面保持一致，网络管理员想一次性把所有员工的电脑上都安装同一个软件，所有员工的电脑上每天一起机就都执行同一个脚本，打出一行字“欢迎来到某某企业，如果您的电脑出现问题，请打电话到某某某！”这些都可以用组策略来完成。组策略(GroupPolicy)是基于ActiveDirectory的一种系统管理技术。在基于域结构的Windows网络中,可通过组策略实现用户和计算机的集中配置和管理。组策略(GroupPolicy)就是对组的策略限制，用来限制指定组中用户对系统设置的更改或资源的使用，是介于控制面板和注册表中间的一种设置方式，这些设置最终保存在注册表中。组策略对象组策略对象（GroupPolicyObject，GPO）是定义了各种策略的设置集合，是ActiveDirectory中的重要管理方式，可管理用户和计算机对象。一般需要为不同组织单位设置不同的GPO，组织单位等容器可以链接（可理解为调用，在容器中显示时会标记为快捷方式）多个GPO，一个GPO也可以被不同的容器链接。组策略继承是指子容器将从父容器中继承策略设置。例如，本任务中的组织单位“财务部”如果没有单独设置策略，则它包含的用户或计算机会继承全域的安全策略，即会执行DefaultDomainPolicy的设置。组策略执行顺序是指多个组策略叠加在一起时的执行顺序。当子容器有自己的单独的GPO时，策略执行累加。例如，“财务部”策略为“已启动”状态，继承来的组策略是“未定义”状态，则最终继承来的策略是“已启动”状态。当策略发生冲突时，以子容器策略为准。例如，某组织单位中将某一策略设置为“已启动”状态，而继承来的组策略是“已禁用”状态，则最终是“已启动”状态。执行的先后顺序为组织单位-域控制器一域一站点—（域内计算机的）本地安全策略。组策略的实现是通过一个个的“组策略对象”来完成的,组策略的所有配置信息都保存在组策略对象GPO(GroupPolicyObject)中。1.回忆、思考2.讨论观察、思考、记忆步骤3域控制器的安装1.域控制器的安装条件计算机必须运行WindowsServer2012标准版、企业版或数据中心版,运行WindowsServer2012Web版的计算机不能成为域控制器安装者具有本地管理员权限安装域控制器的服务器上至少要有一个NTFS分区。有TCP/IP设置(IP地址、子网掩码、DNS的IP等)有相应的DNS服务器支持,以便让其他计算机通过DNS域名找到域控制器。有足够的可用空间。2．指导学生，将一台机器升级为域控制器域名为：学生姓名拼音字母.com带着以下问题进行试验：把一台机器升级为域控制器需要几个步骤？在操作时哪一个步骤不理解？存在问题？学生做试验，教师个别讲解问题3．对以上两个问题进行解答。1．由学生在自己的计算机上(启动VM1)验证当前状况是否满足以上条件，结合教材以小组为单位（一台机器）验证是否满足安装活动目录的前提条件。2．结合教材任务3-1，在VM1上安装活动目录。找学生对以上的问题进行解决（教师辅助）。步骤4计算机加入或脱离域1．计算机能加入域的先决条件①该计算机与域控制器能连通;②在计算机上正确设置首选DNS服务器的IP地址(这里设为第一台DC的IP地址)。2．加入到域的步骤教师指导学生完成任务3-2的操作。根据教材中任务3-2的要求，启动VM2,配置TCP/IP参数，将VM2加入到域作为域中的客户机。步骤5创建和管理域用户账户1．先由教师对域用户进行简单介绍。讲解：每个用户都需要有一个帐户，以便登录到域访问网络资源或登录到某台计算机访问该机上的资源，创建和管理用户对象是网络管理员执行的最常见任务。组是用户帐户的集合，管理员通常通过组来对用户的权限进行设置从而简化了管理。本章学习管理用户和组。2.创建域用户先由学生在本机上（或通过远程访问的方法）结合书上的案例创建本地用户帐户和域用户帐户。（学生做试验，教师各别解决问题）找学生演示创建的方法和过程，由其他学生提出问题，再找学生共同解决（一般不会出现太大问题）3.限制用户登录域的时间4.限制域用户帐户只能从特定的计算机上登录域在域控制器上（VM1）,根据任务3-3创建一个账户、限制其登录时间、限制登录的计算机。步骤6创建和管理域组用户主要讲解域组的分类，其创建方法与本地组账户类似根据教材任务3-4的步骤操作步骤7创建和管理组织单位1.什么是组织单位(OU)由教师讲解以下问题：组织单位(OU)是一个容器,在OU中可以包含用户、组等其他对象,也可以在OU中建立子OU。OU容纳和组织对象的方式:按对象类型来划分。按企业的组织结构来划分。按地区来划分混合划分方法。比如可以把按组织结构划分和按地区划分二者结合起来,先为不同分支机构创建OU,再在不同的分支机构的OU里按组织结构创建子OU。2.创建组织单位指导学生创建OU3.向组织单位添加对象指导学生向OU添加成员、从OU中移去成员根据教材任务3-5的步骤操作创建组织单元，并向其中添加成员、移去成员步骤8使用组策略实现文件夹重定向默认情况下,Windows7/8/10的“我的文档”会被置于“系统盘:\用户\登录用户名”文件夹下,当重装系统时,系统盘会随之被格式化,从而导致用户编辑的“我