Windows Server操作系统维护与管理（第三版）课件：活动目录服务与域模式账户管理

活动目录服务与

域模式账户管理教学重点

●活动目录服务的逻辑、物理结构●活动目录服务的安装与管理●域网络模式的用户账户管理5.1

WindowsServer系统活动目录服务概述5.1.1活动目录服务的概念活动目录服务(ActiveDirectory,简称AD)是WindowsServer2016操作系统提供的一种新的目录服务。目录服务其实是提供了按层次结构方式组织信息,然后按名称关联检索信息的一种服务方式。这种服务提供一个存储在目录中的各种资源的统一管理视图,从而减轻了企业的管理负担。另外,它还为用户和应用程序提供所包含信息的安全访问。5.1

WindowsServer系统活动目录服务概述5.1.2活动目录的特性1.服务的集成性活动目录的集成性包括内容更丰富,主要体现在三个方面:用户及资源的管理、基于目录的网络服务、网络应用管理。2.信息的安全性在WindowsServer2016系统支持多种网络安全协议,使用这些协议能够获得更强大、更有效的安全性。3.管理的简易性活动目录是以层次结构组织域中的资源。每个域中可有一台或多台域控制器,为了简化管理,用户可在任何域控制器上进行修改,相应的更新能复制到所有其他域控制器的活动目录数据库中。4.应用的灵活性活动目录具有较强的、自动的可扩展性。系统管理员可以将新的对象添加到应用框架中,并将新的属性添加到现有对象。活动目录可实现一个域或多个域,每个域中有一个或多个域控制器,多个域可合并为域树,多个域树又可合并成为域林。5.1

WindowsServer系统活动目录服务概述5.1.3深入理解活动目录与域WindowsServer2016的活动目录功能扩展了Windows以往服务器版本操作系统中的目录服务,它在运行实现上可以从拥有几百个对象的单一服务器到有成千上万对象的数百台服务器。Windows域(Domain)是基于WindowsNT技术构建组成的计算机网络独立安全范围,是Windows的逻辑管理单位,一个域就是由一系列的用户账户、访问权限和其他的各种资源的集合,也就是包括各种对象属性信息的目录数据库。活动目录由一个或多个域构成,一个域可以跨越不止一个物理地点。每一个域都有它自己的安全策略,以及本域与其他域之间的信任关系。当多个域通过信任关系连接起来并且拥有共同的模式、配置和全局目录时,它们就构成了一个域树,多个域树连接起来就形成一个树林,如图5-1所示。5.1

WindowsServer系统活动目录服务概述5.1.3深入理解活动目录与域1活动目录的逻辑结构活动目录是一个分布式的目录服务,由此管理的信息可以分散在多台不同的计算机上,保证各计算机用户迅速访问,在用户访问处理信息数据时,为用户提供统一的视图,便于理解和掌握。活动目录采用域、域树、域林的多重层次化的目录结构。在介绍活动目录的结构之前,先讲述一些有关活动目录(或域)的相关术语概念,即对象、容器、组织单元。（1）域域(Domain)是WindowsServer2016活动目录的核心逻辑单元,是共享同一活动目录的一组计算机集合。（2）域树如果多个域之间建立了关系,那么这些域就可以构成域树。域树是由若干具有共同的模式、配置的域构成的,形成了一个临近的名字空间。（3）域林域林是由一棵或多棵WindowsServer2016域树构成的,各树之间地位相当,由双向传递的信任关系关联。单个的域可以组成一棵单域的树,那么单棵树也组成了具有单树的域林。树林与活动目录是同一个概念,也就是说,一个特定的目录服务实例(包括所有的域、所有的配置和模式信息)中的全部目录分区集合组成一片树林。5.1

WindowsServer系统活动目录服务概述5.1.3深入理解活动目录与域2域的信任关系域之间的通信是通过信任关系进行的,信任可使一个域中的用户由另一个域中的域控制器来进行验证。在一个用户访问另一个域的资源之前,WindowsServer2016安全机制必须确定信任域(用户准备要访问的目的域)和受信任域(用户登录所在的域)之间是否有信任关系,那么WindowsServer2016系统就能判断并指定信任域中的域控制器和受信任域的域控制器之间的信任路径。域的信任关系一般分为单向、双向、可传递和不可传递4种。（1）单向信任（2）双向信任（3）可传递信任（4）不可传递信任5.1

WindowsServer系统活动目录服务概述5.1.3深入理解活动目录与域3活动目录的物理结构活动目录的物理结构是指在规划WindowsServer2016域模式的网络环境中,具体部署各种角色计算机的组织状况。在域中作为服务器的系统可以充当以下两种角色中的任何一种:域控制器或成员服务器,其他的机器则是非成员服务器和工作站。（1）域控制器（2）成员服务器（3）站点5.2活动目录服务的安装5.2.1任务1：安装活动目录服务使用“WindowsServer2016服务器管理器”方式安装，安装步骤如下:步骤1:打开“服务器服务管理器”;

在“角色”区域中,选择“添加角色”;

打开“添加角色向导”界面,此向导帮助系统管理员在这台服务器上安装指定的角色,在继续操作之前,应当确保Administrator账户具有强密码;已配置网络设置(例如静态IP地址);已安装WindowsUpdate中的最新安全更新等。

在图5-3所示的“选择服务器角色”中,选择“ActiveDirectory域服务”,单击“下一步”按钮启动ActiveDirectory域服务安装向导。5.2活动目录服务的安装5.2.1任务1：安装活动目录服务使用“WindowsServer2016服务器管理器”方式安装，安装步骤如下:步骤2:系统提示需要安装的功能（这一步系统管理员可根据需要进行选择）,完成后将在出现“使用ActiveDirectory域服务安装向导”,如图5-4所示,单击“下一步”按钮开始安装。步骤3:ActiveDirectory域服务安装进度如图5-5所示。5.2活动目录服务的安装5.2.1任务1：安装活动目录服务当选择“关闭”按钮后，需要将此服务器提升为域控制器，在“服务器管理器”界面中选择“ADDS”，继续以下操作步骤。步骤4:选择已经安装ActiveDirectory服务的服务器计算机的详细信息窗口，如图5-6所示，单击“操作”项“将此服务器提升为域控制器”。如果服务器是新域中的第一个域控制器,则选择“添加新林”，如图5-7所示，这里假设林根域名是，然后单击“下一步”按钮。如果域中已经有域控制器,此域控制器只是作为域的额外控制器;若是在现有域中新建域,则选择“现有林”。5.2活动目录服务的安装5.2.1任务1：安装活动目录服务步骤5:如图5-8所示,在出现的“域控制器选项”窗口，选择林功能级别、域功能级别，此时均选择为WindowsServer2016；默认在此服务器上安装DNS服务器；第一台域控制器必须承担全局编录服务器的角色；设置目录服务还原模式的系统管理员密码（目录服务还原模式，即目录服务修复模式，可以在系统启动时按F8键进入选择），用户密码必须至少7位，其组成是A~Z、a~z、0~9、非字母数字字符等4组中的3组，并且不可包含用户账户中两个以上的连字符。5.2活动目录服务的安装5.2.1任务1：安装活动目录服务步骤6：单击“下一步”，系统自动为此域设置一个NetBIOS（是为旧版Windows系统不支持DNS域名称，通过NetBIOS域名来与此域进行通信），默认会选择DNS域名第一个句点左边的字符。

步骤7：单击“下一步”进入如图5-9所示路径选择，,在“数据库、日志文件和SYSVOL的位置”对话框中,设置ActiveDirectory域控制器数据库、日志文件和SYSVOL的文件夹。活动目录数据库存储有关域环境中用户、计算机和网络其他对象的信息;日志文件记录与活动目录服务有关的活动,如当前更新对象的信息;SYSVOL存储组策略对象和脚本,默认情况下,SYSVOL是位于%windir%目录中的操作系统文件的一部分。为了获得更好的性能和可恢复性,可将数据库和日志文件存储在不同的磁盘卷上。5.2活动目录服务的安装5.2.1任务1：安装活动目录服务步骤8:设置完数据库、日志文件和SYSVOL的位置后,单击“下一步”按钮,如图5-10“查看选项”信息窗口，浏览安装选项信息。在此单击“下一步”，在如图5-11中进行条件检查，如果顺利通过安装检查，那么可以单击“安装”；否则根据界面提示信息先排除。安装完成后系统自动重启。5.2活动目录服务的安装5.2.2任务2：客户计算机加入到域域控制器在域中承担着整个网络的核心作用,但不是域中的唯一角色,根据域中的计算机的功能不同,还分别由成员服务器和工作站。如何将一台运行Windows10操作系统计算机加入到WindowsServer2016的域中的详细操作步骤:步骤1:在控制面板中打开“计算机|系统属性”,在“计算机名”选项中,单击“更改”按钮,如图5-12所示。步骤2:单击“隶属于”选择区域的“域”,这里输入,然后单击“确定”按钮,提示输入将计算机加入到域的用户名和用户密码。步骤3:单击“确定”按钮关闭“系统属性”对话框,将提示重新启动计算机。注意:需要提供的账户名和密码为域控制器的系统管理员的名称和密码。5.3活动目录服务的管理5.3.1任务1：熟悉活动目录服务管理工具活动目录管理工具的使用只能在可访问WindowsServer2016域服务器中,主要的活动目录管理工具在域控制器的“管理工具”菜单组中获得:●ActiveDirectory的用户和计算机●ActiveDirectory的域和信任关系●ActiveDirectory站点和服务另外,系统管理员可为适应自身企业的应用,利用Microsoft管理控制台(MMC)建立专门执行单项管理任务的一个控制台,或将几个管理工具合并到一个控制台中进行管理工作。5.3活动目录服务的管理5.3.2任务2：设置域的管理属性为了加强对域属性相关信息的管理,使域控制器安全稳定的运行,系统管理员必须设置域的属性。通过设置域的属性,不但可以确定域的常规属性,而且还为域控制器制定权限组和管理用户。设置域属性的具体操作步骤如下:步骤1:打开“服务器管理器|工具|ActiveDirectory用户和计算机”,如图5-13所示。5.3活动目录服务的管理5.3.2任务2：设置域的管理属性步骤2:在控制台窗口的目录树中展开域结点,单击域名,即可显示该域的相关内容,在要设置属性的域名单击鼠标右键,在快捷菜单中选择“属性”,如图5-14所示。步骤3:在“常规”选项卡中的“描述”文本框中,输入对该域的一般说明描述。步骤4:若要更改域的管理者,可以打开“管理者”选项卡,单击其中的“更改”按钮打开“选择用户或联系人”对话框,选择新的管理者即可,如图5-15所示。5.3活动目录服务的管理5.3.3任务3：创建域的信任关系创建域的信任关系的操作步骤如下:步骤1:打开“服务器管理器|工具|ActiveDirectory域和信任关系”,如图5-16所示。5.3活动目录服务的管理5.3.3任务3：创建域的信任关系步骤2:在“ActiveDirectory域和信任关系”域名结点上单击鼠标右键,在弹出的快捷菜单中选择“属性”,打开其属性对话框,如图5-17所示。步骤3:打开“信任”选项卡,查看该域控制器中受此域信任的域和信任此域的域名称、类型等,如图5-18所示。步骤4:创建新的信任关系,单击“新建信任”按钮,打开“新建信任关系”向导,如图5-19所示。5.3活动目录服务的管理5.3.3任务3：创建域的信任关系步骤4:创建新的信任关系,单击“新建信任”按钮,打开“新建信任关系”向导,如图5-19所示。步骤5:单击“下一步”按钮后打开“信任名称”对话框,在“名称”文本框中输入信任关系域的名称。如果该信任域是其他域林中的域,则输入NetBIOS或DNS名称来创建信任关系,如图5-20所示。5.3活动目录服务的管理5.3.3任务3：创建域的信任关系步骤6:用户根据提示对话框分别选择:“信任类型”,根据需要选择适当的信任类型;“信任的传递性”,选择创建的信任关系是否具有传递性;选择信任关系是双向还是单向。注意:在不同的域林之间创建信任关系之前,首先保证两者的主域控制器所在网络能够互联互通。步骤7:打开“信任密码”对话框设置完密码,单击“下一步”按钮,需要用户对以上创建信任关系时的基本情况确认,然后单击“完成”按钮即可完成信任关系的创建。返回“信任”选项卡查看区域列表中显示的新建信任关系。如果要撤销信任关系,则分别在“受此域信任的域”或“信任此域的域”列表框中单击“删除”按钮。5.3活动目录服务的管理5.3.4任务4：提升域的功能级别在WindowsServer2016域控制器中,影响整个域管理功能的级别有3个:Windows2008、WindowsServer2012和WindowsServer2016。默认情况下,WindowsServer2016域控制器是以Windows2016功能级进行工作的。管理员根据自己的域网络环境,Windows操作系统的版本实际应用情况来进行域功能级别的更改,具体操作步骤如下:打开“服务器管理器|工具|ActiveDirectory用户和计算机”,如图5-21所示。在控制台目录树中,在需要管理的域结点单击鼠标右键,在弹出的快捷菜单中选择“提升域功能级别”,打开“提升域功能级别”对话框,在“选择一个可用的域功能级别”下拉列表中选择新的功能级别,然后单击“提升”按钮即可。5.3活动目录服务的管理5.3.5任务5：管理不同的域系统管理员除了可以管理本地域外,还可以在本地域控制器上来管理域林中的其他不同域,需要在管理实施之前,先建立当前域和管理域之间的连接。要连接到域控制器,打开“ActiveDirectory用户和计算机”控制台窗口,在控制台目录树中的域名结点单击鼠标右键,在弹出的快捷菜单中选择“更改域”,如图5-22所示,从中可以查看当前域控制器的名称,然后在“输入另一个域控制器的名称”文本框中输入要连接的域控制器名,或者在域控制器列表中“浏览”按钮选择一个要连接的域控制器,单击“确定”按钮即可完成连接。5.3活动目录服务的管理5.3.6任务6：站点管理站点可以使不同IP地址的子网更好地工作,并确保域内目录信息的有效交换,通过站点可以简化ActiveDirectory内的站点之间的复制、身份验证等活动,以提高工作效率。1.创建站点创建站点的步骤如下:步骤1:打开“服务器管理器|工具|ActiveDirectory站点和服务”,如图5-23所示。5.3活动目录服务的管理5.3.6任务6：站点管理步骤2:鼠标右键单击“Site”,在弹出快捷菜单中选择“新站点”,弹出如图5-24所示对话框。步骤3:在“名称”文本框中输入新站点的名称,然后选择一个站点连接对象,单击“确定”按钮,出现如图5-25所示的界面。5.3活动目录服务的管理5.3.6任务6：站点管理2.创建子网创建子网的步骤如下:步骤1:打开“服务器管理器|工具|ActiveDirectory站点和服务”。步骤2:在控制台目录树中,鼠标右键单击“Subnet”,在弹出快捷菜单上选择“新建子网”,如图5-26所示。5.3活动目录服务的管理5.3.6任务6：站点管理2.创建子网创建子网的步骤如下:步骤3:如图5-27所示,在“新建对象子网”对话框中,在“前缀”文本框中输入子网地址,在“为此前缀选择站点对象”列表框中选择与该子网关联的站点。步骤4:单击“确定”按钮,完成子网创建。在控制台的“Subnets”容器内,出现新建的子网,如图5-28所示。5.3活动目录服务的管理5.3.6任务6：站点管理3.将子网与站点关联将子网与站点关联的步骤如下:步骤1:在“ActiveDirectory站点和服务”控制台目录树中,鼠标右键单击要关联站点的子网结点,选择“属性”,如图5-29所示。步骤2:在“子网属性”对话框中,选择要关联的相对应的站点,然后单击“确定”按钮即可完成。5.4域模式的账户管理5.4.1任务1：掌握域的登录用户账户管理技术1.域的登录用户账户简介域的登录用户账户是建立在域控制器、存储于活动目录中的使用者账户,这里主要讲述域模式下的用户账户(即人的账户)。内置用户账户特性Administrator(管理员)账户

Administrator账户是具有域内最高权限和权利,系统管理员使用这个账户可以管理域或者所有计算机上的资源,以及所有的账户信息数据库。例如,创建用户账户、组账户,设置用户权限和安全策略等。Guest(客户)账户

Guest账户默认状态是“禁用”的,如需使用则将其打开。Guest账户是为临时登录域网络环境并使用网络中有限资源的用户提供的,它仅有非常有限的权限。5.4域模式的账户管理5.4.1任务1：掌握域的登录用户账户管理技术2.域的登录用户账户管理在WindowsServer2016系统中对ActiveDirectory域用户管理，提供了两个工具：一是WindowsServer系列服务器操作系统都有的“ActiveDirectory用户和计算机”；二是WindowsServer2016提供的工具“ActiveDirectory管理中心”。这里应用“ActiveDirectory用户和计算机”工具进行域的账户管理。(1)新建域用户账户步骤1:选择“服务器管理器|工具|ActiveDirectory用户和计算机”命令,在图5-30所示的窗口左侧列表中,选中“Users”项,单击鼠标右键,从中选择“新建”命令,在激活的下级菜单中选中用户项。5.4域模式的账户管理5.4.1任务1：掌握域的登录用户账户管理技术(1)新建域用户账户步骤2:在图5-31所示的“新建对象用户”的信息输入窗口中,输入用户的一些基本和必要的信息,如新建用户zhangfei。建立用户账户时,可按规划内容一次输入全部有关信息,也可以输入用户的部分基本必要信息,其他内容根据需要在日后进行补充或修改设置。步骤3:输入用户名等信息,单击“下一步”按钮,在图5-31中进行用户密码选项的设置,密码和确认密码中的字符最多128个,大小写是不同的,并且要符合密码复杂度的策略。另外还要对用户密码的性质进行设置,如选中“用户下次登录时须更改密码”。步骤4:单击“下一步”,打开完成窗口如图5-32所示,如果需要对以前窗口内容进行修改,单击“上一步”返回;如果确认正确无误可以单击“完成”按钮。5.4域模式的账户管理5.4.1任务1：掌握域的登录用户账户管理技术(2)修改域用户账户属