windows域控制器配置教程

域限制服务器教程

把一台成员服务器提升为域限制器（一）

目前许多公司的网络中的PC数量均超过I。台:依据微软的说法，一般网络中

的PC数目低于10台，则建议建议采对等网的工作模式，而假如超过10台，则

建议采纳域的管理模式，因为域可以供应一种集中式的管理，这相比于对等网的分

散管理有特别多的好处，那么如何把一台成员服务器提升为域控?我们现在就动手

实践一下：

本篇文章中全部的成员服务器均采纳微软的WindowsServer2023,客户端

则采纳WindowsXPO

首先，当然是在成员服务器上安装上WindowsServer2023,安装胜利后进

入系统，

我们要做的第一件事就是给这台成员服务器指定一个固定的IP,在这里指定

状况如下：

机器名:Server

DNS:192.168.5.1（因为我要把这台机器配置成DNS服务器）

由于WindowsServer2023在默认的安装过程中DNS是不被安装的，所以

我们须要手动去添加，添加方法如下：“起先一设置一限制面板一添加删除程序”，

然后再点击“添加/删除Windows组件”，则可以看到如下画面：

Yindovs蛆件向导

Tindovs组件

可以添加或删除Windows的组件。

要添加或删除某个组件，请单击旁边的复选框.灰色框表示只会安装该祖件的

一部分.要查看组件内容，请单击“详细信息”・

犯件（0：__________________________________________________________________

叼.6InternetExplorer增强的安全配置U.0MB.

□⑥UDD工服务4.9MB

宓WindowsMediaServices15.3MB

口声传真服务21.7MB

Fl，申子邮件服条1.1MB二J

描述：包含各种专门的、网络相关的服务和协议.

所需磁盘亘问:14.0MB

详细信息

可用减盘亘问:14309.4MB

＜上一步@）|下一步®）:|取消|希助|

向下搬运右边的滚动条，找到“网络服务”，选中:

Tindovs姐件向导凶

Yindovs组件

可以添加或删除Windows的组件。

要添加或删除某个蛆件，谙单击旁边的复选框。灰色框表示只会安装该组件的

一部分。要查看组件内容，谙单击“详细信息”。

组件C）：

□其它的网络文件和打印服务0.0MB

□尸J索引服务0.0MB

!□:：网络服务2.4MBLJ

便Ig应用程序服务器24.4MB

Fl亶沅程安装服冬1.9MBzJ

描述：包含各种专门的、网络相关的服务和协议.

所需磁盘空间:

16.4MB濯信息⑥二？

可用磁盘空间:14309.4MB

＜上一步也）|下一步国）＞1取消

默认状况下全部的网络服务都会被添加，可以点击下面的“具体信息”进行自

定义安装，由于在这里只须要DNS,所以把其它的全都去掉了，以后须要的时候

再安装：

网络服务凶

要添加或册除某个组件，语单击旁边的复选框.灰色框表示只会安装该姐件的一

部分・要查看妲件内容，请单击“详细信息”.

网络服务的子组件C)：

H53HTTP代理上的RFC0.0MB3

'禺Internet蛉证服务0.0MB

□WindowsInternet名称服务邻INS)0.8MB

□昌动态主机配置协议(DHCP)0.0MB

□昌简单TCP/IP服务0.0MB

回国域名系统CDNS)1.5MBd

描述：允许RPC/DCOM通过Internet信息服务器UIS)的KTTP进行通讯.

所需磁盘空间:15.5MB详细信息①)…」

可用磁盘空间:14305.9MB

确定|取消I

然后就是点“确定”，始终点“下一步”就可以完成整个DNS的安装。在整

个安装过程中请保证WindowsServer2023安装光盘位于光驱中，否则会出现

找不到文件的提示，那就须要手动定位了。

ActiveDirectory安装向导2SJ

欢迎使用ActiveDirectory安装向

导

此向导金帮助您在这台服务器上安装Active

Directory服务，使其箴为成控制需。

如果您是第一次安装ActiveDirectory#建议您先阅

读ActiveDirectory帮助里的概述.

要继续，语单击“下一步”.

他）|下一步如>|取消|

安装完DNS以后，就可以进行提升操作了，先点击“起先一运行”，输入

“Dcpromo”,然后回车就可以看到“ActiveDirectory安装向导”

在这里干脆点击“下一步”：

这里是一个兼容性的要求，Windows95与NT4SP3以前的版本无法登陪运

行到WindowsServer2023的域限制器，我建议大家尽量采纳Windows2000

与以上的操作系统来做为客户端。然后点击“下一步”：

在这里由于这是笫一台域限制器，所以选择笫一项：“新域的域限制器”，然

后点“下一步”：

既然是第一台域控，那么当然也是选择“在新林中的域”：

在这里我们要指定一个域名，我在这里指定的是demo

ActiveUirectory安装向导区

BetBIOS域名

请指定新域的NetBIOS名称.

这个名称是早期Windows版本的用户用来识别新域的。单击“下一步”接受

显示的名称，或输入新名称.

域NetBIOS名也）:IEMO

《上一步」)|下一步♦)>|取消|

这里是指定NetBIOS名，留意千万别和下面的客户端冲突，也就是说整个网络里

不能再有一台PC的计算机名叫“demo”，虽然这里可以修改，但个人建议还是

采纳默认的好，省得以后麻烦。

在这里要指定AD数据库和日志的存放位置，假如不是C盘的空间有问题的

话，建议采纳默认。

SYSVOL文件夹存放域的公用文件的服务器副本。SYSVOL文件夹的内容被复制

到城中的所有域控制器.

SYSVOL文件夹必须在NTFS卷上。

话输入SYSVOL文件夹的位置.

文件夹位置史）：

EAWINDOYSVSYSVOL浏览电立…I

＜上一步也）|下一步国）》|取消|

这里是指定SYSVOL文件夹的位置，还是那句话，没有特别状况，不建议修

改：

第一次部署时总会出现上面那个DNS注册诊断出错的画面，主要是因为虽然安装

了DNS,但由于并没有配置它，网络上还没有可用的DNS服务器，所以才会出

现响应超时的现像，所以在这里要选择：“在这台计算机上安装并配置DNS,并将

这台DNS服务器设为这台计算机的首选DNS服务器”。

ActiveDirectory安装向导2SJ

权限

请选择用户和组对象的默X权限.

一些服务器程序，如WindowsNT远程访问服务，可读取域控制器储存的信

息・

r与Windows2000之前的服务器操作系统兼容的权限任）

如果在Windows2000之前的服务器操作系统上运行服务器程序，或在

Windows2000或WindowsServer2003案作系统上运行服务需程序»该服

务器又是Windows2000之前域的成员，清选此选项.

心匿名用户可读取这个城的信息.

召只••B•»•写«・・・・*补•♦・■■・・・益・・・♦•«—0・送・・・♦・・一加・・・・♦•・3前•<••・・••或・•・・♦»••W♦•♦；“n•»•&・••♦o♦•w*«(«s・••*・S♦♦•«e・•♦•・r・・v♦•♦♦e•・・・r・・而>•••••资•■•»•»操••(•«•■作(■•MM系统兼容的权限@i

如果仅在Windows2000或WindowsServer2003操作系统上运行服务器

程序，该务器又是ActiveDirectory城的成员»请选此选项。只有经

过验证的尸才能读取这个城的信息。

《上一步也）|下一步国）：|取消|

“这是一个权限的选择项，在这里，我选择其次项：“只与Windows2000或

Window2023操作系统兼容的权限”，因为在我做试验的整个环境里，并没有

Windows2000以前的操作系统存在”

这里是一个重点，还原密码，希望大家设置好以后肯定要记住这个密码，千万

别遗忘了，因为在后面的关于活动书目复原的文章上要用到这个密码的。

ActiveDirectory安装向导

您选择①：

将这个服务器配置成新城林中的第一个域控制器.二

新域名将为demo.com。这也是新林的名称°

域的NetBIOS名将为DEMO

数据库文件夹：C：\MNDOWS\NTDS

日志文件文件夹：C:\WINDOWS\NTDS

SYSVOL文件夹：C:\WIHBOHS\SYSVOL

将在这台计算机上安装并配置DNS服务。将配置这台计算机使用此DNS

服务器作为苴首选DNS服务器.一I

要更改选项，单击“上一步”。要开始操作，单击“下一步”。

＜上一步也）|下一步也）＞|取消।

这是确认画面，请细致检查刚刚输入的信息是否有误，尤其是域名书写是否正

确，因为改域名可不是闹着玩的，假如有的话可以点上一步进入重输，假如确认无

误的话，那么点“下一步”就正式开安装了：

几分钟后，安装完成:

点完成:

点“马上重新启动”。

ActiveDirectory安装向导IX

必须重新启动WindowsJActiveDirectory安装向导所做的改

动才能生效。

匚:立即重断足动国:二不立即重新启动①)|

然后来看一下安装了AD后和没有安装的时候有些什么区分，首先第一感觉就

是关机和开机的速度明显变慢了，再看一下登陆界面：

多出了一个“登陆到”的选择框:

进入系统后，右键点击“我的电脑”选“属性”，点“计算机”

怎么样?和安装AD以前不一样吧，其它的比如没有本地用户了，在管理工具

里多出么多图标什么的，这些将在以后的文章里讲解并描述，这里就不再详谈了。

把一台成员服务器提升为域限制器（二）

在我的上一篇文章中，已经把一台名为Server的成员服务器提升为了域限制器，

那我们现在来看一下如何把下面的工作站加入到域。

由于从网络平安性考虑，尽量少的运用域管理员帐号，所以先在域限制器上建立一

个委派帐号，登陆到域限制器，运行"dsa.msc"，出现“AD用户和计算机”管

理限制台:

先来新建一个用户，绽开“dem。”，在“Users”上击右健，点“新

建”」用户”：

|4?ActiveDirectory用户和计11机,!□!xl

■文件d)除作Q)查看W)田口Q)常助QP-l(y|x|

u.@由1%)X6©町|国|论逮怕________________________________

心Act1V«Directory用户和计It机Users20个对象

＞」俣存的直向名麻类型।猫逑।▲

E?d«eocoa0AdBimstrtior用户售整计置机(M)的内1L.

♦]一|Builtin®C»rtPubli...安全辐-本此组的成员被允许发行...

ffl_jCoaputtri

0DniAd»inx安全相・本…DHS管理员姐

④

.♦]DMHAControllers^DnsVpd«t«F...安全第-全局允许替苴怆客户端如...

9_JFort>cnStcurityPr>ncip<l

安全粗-全局指定的境管理员

「二UHMNNS0jDg.inA4»>ns

由DoeanCoa..

委源控制C).安全俎-全局加入到城中的所有工作...

安全期-全局域中所有嫌控制翳

»na)..________Q2Do«4inCon...

^DllnAAtn<全局境的所有采友

■HH裕建

N»计•机至ifl-全局所有城用户

所N任务OP►朕系人金姐-全局企业的指定不妓笞理员

俎金招-全腐这个姐中的成员可以修

蛋看⑺►

InttOrcFersonP供采发口问计籁机或法

从这里蝌窗口®)

0Q队列别名金组-本.招助和支持中心姐

WQD打E网至蛆-本ns工作迸程组

号出列裹《)用户P窗名访HInt.m.t值…

c

共享文件关Cis-用于后动进程外反用幅…

展性⑥工4IW这个相中的黑务^可以

(JSch«atAdninx安全姐-全局架构初8定系拄笞理员

1|_______格助⑥_____________mc0.,人

创建一个新对象1”:

然后出现一个新建用户的向导，在这里，我新建了一个名为“swg”的用户,

并且把密码设为“永不过期”。

这样点“下一步”，直到完成，就可以完成用户的创建。然后在“dem。”

上点击右键，先择“委派限制”：

^ActiveDir.efr,用户和i+*Jt

鱼文件①)*作。)查看9由口电)帮助®-JtfJjJ

<=—圃无窗⑥园国出国曲

4AetmDirectory用户和计算机d««o.coa5个对象

>'保存的存询1名陈1类也1献1___________

UC

*WE：JBuiltinbuiltinDoa«in

委遍技制4

JCoaputeri容98Defaultcontainer£o.一

查找a)

tlDoBtinCon..姐软单位Defaultcontainerfo...

连接到域@)

JForeicnSte...容图Dtfeultcontainerfo,..

连接到城控制8s(C)..-

JUsers容第Defaultcentalntrfo...

摞开垓功能提别S)

盘作主机⑥...

新建QI)

所有任务4)

查看9

从这里朗逢国口OP

导出福①)..

阳助QP

1，1I1J

在此文件夹的姿源对it控制圉।中0°，nl❷

就会出现一个“委派限制向导”:

点击“下一步”

点击中间的“添加”按钮，并输入刚刚创建的“swg”帐号:

然后点“确定”:

再点“下一步”：

在上面的画面中，短暂不须要让该用户去“管理组策略链接”，所以在这里,

仅仅选择“将计算机加入到域”，然后点“下一步”:

最终是一个信息核对画面，要是没有什么问题的话,干脆点“完成”就可以了。

接下来转到客户端，看看怎么把XP进来，在试验中采纳的客户端操作系统是

WindowsXP专业版，须要大家留意的是WindowsXP的Home版由于针对的

是家庭用户，所以不能加入域，大家别弄错了哟，我们先来设置一下这台XP的网

络：

计算机名:TestXP

DNS服务器:192.168.5.1,

设置完网络以后，在“我的电脑”上击右键，选“属性”，点“计算机名”。

计算机名称更改0®

可以更改这台计算机的名称和成员身份。更改可能会影响

对网络资源的访问。

隶属于

◎域

demo,com

O工作组世）:

在这里把“隶属于”改成域，并输入：“dem。”，并点确定，这是会出现

如下画面：

输入刚刚在域控上建的那个“swg”的帐号，点确定:

出现上述画面就表示胜利加入了，然后点确定，点重启就算OK了。来看一下

登陆画面有没有什么不一样:

看到那个“登陆到”了吧，可以选择域登陆还是本机登陆了，在这里选择域

“DEMO"，这样就可以用域用户进行登陆了。进入系统后，在“我的电脑”上

击右键，选“属性”，点“计算机名”：

系统属性

常规计算机名硬件高级」系妩还原自动更新远程

TgWindows使用以下信息在网络中标识这台计菖机.

计篁机描述也）:

举例:"KitchenComputer"或"Mary's

Computer”。

完整的计算机名称:testxp.demo,com

demo,com

要使用网络标识向导去加入域并创建本地用户帐

网珀IDINI

P，话单击“网络ID”・

要重新命名此计算机或加入域，单击“更改”・

看到用黑框标出来的地方和没有加入到域的时候的区分的吧？

当把下面的客户端加入到域后，假如域限制器处于关闭状态或者死机的话，那

么，会发觉下面的客户机无法登陆到域，所以再建立一台域限制器，用来防止其中

一台出现意外损坏的状况是很有必要的。后来建立的那台域限制器叫额外域限制

器。来看看额外域限制器的建立过程吧：

当然网络设置恒久是在第一步的：

计算机名:Bserver

既然是提升为域限制器，那么DNS组件也是要添加的，添加方法和我的第一

篇文章中所定的一样，这里就不再重复了。添加完成后，同样是点击“起先”■“运

行”・"dcpromo”：

出现的向导和操作系统兼容性同安装第一台域控时是一样的，唯一要留意的是

下面的那个画面：

安装第一台时选择的是“新域的域限制器”，这里要选择的是“现有域的额外

域限制器”，然后点“下一步”：

在这里，输入域的管理员帐号的密码，在“域”里填入相应域的DNS全名或

NetBios名，点“下一步”:

在这里肯定要填入现有域的DNS全名，然后再点“下一步”，接下去的操作

和安装第一台域限制器时是一样的，所以就不再写下去了，直到完成就可以了。至

于在两台域限制器的域环境下，其中一台损坏，如何让另一台接替工作，我将在以

后的文章一一详解。假如大家在前面的配置中遇到什么问题，欢迎大家给我发来

E-Mail,,我的E-Mail地址是:。假如本人的文章中有什么错误之处，也请大家来

信指正，感谢！

活动书目之用户配置文件

关于域用户的开设在前面的文章中（如何把一台成员服务器提升为域限制器（一）、

（二））已经涉与过了，所以在这里开设用户的方法就不再重复了，本篇文章主要向大

家介绍一下用户配置文件。

首先，什么是用户配置文件?依据微软的官方说明:用户配置文件就是在用户登

陆时定义系统加载所需环境的设置和文件和集合，它包括全部用户专用的配置设

置。用户配置文件存在于系统的什么位置呢?那么用户配置文件包括哪些内容呢？

来给大家看一副截图：

!03®二菜里

ApplicationDataCookiesLocalSetting;

iMyDocumentsNetHoodPrintHoodSendTo

Templates收藏夹我最近的文档桌面

NTUSERr=irrUSERDAT

DAT文件।--r文本文档

512KB1KB

用户配置文件的保存位置在:系统盘（一般是c盘）下的“Documentsand

Settings"文件夹下，有一个和你的登陆用户名相同的文件夹，该用户配置文件就

保存在这里，顺便提示一下，假如本机和域上有一个同名用户，并且都登陆过的话,

那么就会出现在同名文件夹后面拖后缀的状况，举个例子：比如在一个域

（demo）里面有一台计算机（testxp）,本地有一个swg的帐号，域上也有一个

SWg的帐号，并且都登陆过这台计算机，那么会发生如下状况：

本地帐号先登陆:那么本地的SWg的用户配置文件夹为swg,而域用户的用户

配置文件夹为SWg.demOo

域帐号先登陆:那么域用户的用户配置文件夹为swg,本地用户的配置文件夹

为swg.testxpo

通过上面的截图，我们可看出，用户配置文件包括桌面设置、我的文档、保藏

夹、IE设置等一些特性化的配置。另外须要说明的是在“Documentsand

Settings"文件夹下有一个名为“AUUsers”的文件夹，假如你在这个文件夹下

的“桌面”文件夹下新建一个文件的话，你会发觉全部用户在登陆时的桌面上都有

这个文件，所以这个文件夹里的配置是对这台计算机的每个用户均起作用的。

当网络变成域构架后，全部的域用户可以在随意一台域内的计算机登陆，当你在一

台计算机上的用户配置文件修改后，你会发觉到另一台计算机上登陆时，全部的设

置还是原来的，并没有发生修改，这是因为用户的配置文件是保存在本地的，不管

是域用户还是本地用户，都是保存在那台登陆的计算机匕我们可以在“我的电

脑”上击“右键”，选“属性”，点“高级”，然后在“用户配置文件”里点“设

置”：

用户配置文件田区

用户配置文件保存桌面设置和其他与您的用尸帐户有关的信

息•可在您使用的每台计算机上创建不同的配置文件，或选

gLi定一个漫游配置文件用在您使用的每台计算机上。

储存荏本机上的配置文件比):

缠

更

名称大小状燃

本

乙

臂

DEMOYSWT891KB劈管

本N

DEMOVzs635KB本

地

本地N

本

地

TESTXPVAdministrator1.1...本地N

本

本

地

TESTXPVswg891KB地N

TESTXPVzs635KB

更改类型(£)复制到复)

要创建一个新的用户帐户，在控制面板中打开用户帐户-

取洎

请留意“类型”里用红框标出的部分，全部是“本地”,这就说明用户配置文

件保存在本地，那么如何才能让用户的配置文件随着帐号走，也就是不管用户在哪

台计算机上登陆都能保持用户配置文件一样呢？为了解决这个问题，就要用到漫游

用户配置文件，原理就是把用户配置文件保存在一个网络的公共位置，当用户在计

算机上登陆里，会从网络公共位置把用户配置文件下载到本地并加以应用，然后当

用户注销时，会把本地的用户配置文件同步到网络公共位置，以保证公共位置用户

配置文件的有效性，以便下一次运用。那么如何来实现这个功能呢?现在就来实践

一下:

首先，要在一个网络的公共位置开设一个共享文件夹，用来存放用户配置文件,

在个试验里，就在域限制器上开设一个为share的共享文件夹，并开放权限:

-1□1x

文件建）编瑁⑥查看9收藏®工具复）帮助如1/

后退▼T搜索文件夹,$»X9&匡1▼

地址也）1-C：\73目转到

名称□大小1类型1修改日期

:^DocumentsandSettings文件夹2004-10-41

"llnetpub文件夹2005-10-10

•,^ProgramFiles文件夹2004-10-49

好嘉6文件夹2005-10-20

二jWINDOWS文件夹2005-10-10

__swmpub文件夹2004-10-49

目additions.log290KB文本文档2004-10-41

d2J

选定i个对象j我的电脑%

然后，点击“起先-设置-限制面板-管理工具”，双击“AD用户和计算机”，

并选中相应的用户，这里以“swg”帐号为例：

(ActiveDirectory用户和计菖机,1□!x|

W文件任）操作Q）查看9窗口⑥帮助国）|二而引

，一|包画IXe|X直团园|闺|澧逐痴

gActiveDirectory用户和计篁机Users22个对象

+」保存的查询名称I类型____________描述

全局

全

俎

安¥A

demo,comAdminsx指定的域管理员

全

全

局

国QjBuiltin安qt

j^DomainCom...j加入到城中的所有工作.••

全

全

局

且

it.jComputers安

^^DomainCon...域中所有域控制器

全

全

局

自

国功DomainControllers安

j^DomainGuests域的所有来宾

全

全

局

且

[+i__JForeignSecurityPrincipal安A

J^DomainUsersxv所有域用户

全

局

回

口Users安全

Enterprise...企业的指定系统管理员

安

全局

全组

GroupPoli...这个组中的成员可以修...

用F

供来宾访问计算机或访.

本

安全组

J^HelpServic...帮助和支持中心组

本

安全组

或HS』PGIIS工作进程组

用

户

0IUSR_TEST2003匿名访问Internet信...

用F

CIWAM_TEST2003用于启动进程外应用程…

本

安全且

或RASandIA...这个组中的服务器可以.•・

安全目