《网络服务器安装与调试（第二版）》 课件 项目二 基础网络服务器的安装与配置

项目二基础网络服务器的安装与配置491任务1DHCP服务器的安装与配置2任务2域的安装与管理目录CONTENTS503任务3DNS服务器的安装与配置4任务4用户和组的创建与管理任务1DHCP服务器的安装与配置511.掌握DHCP服务的作用及DHCP服务器的地址分配方式。2.了解DHCP服务的工作过程。3.了解DHCP客户端的租约更新方法。4.能安装和授权DHCP服务器。5.能配置DHCP服务器的作用域。6.能配置与测试DHCP客户端。52某科技有限公司是一家大型网络服务企业，为保证网络安全，曾统一采用静态IP地址。随着业务发展与员工数量增加，财务部员工反馈无法上网、不清楚具体IP地址及配置方法等问题。网络运维部门主管决定在企业网络的WindowsServer2022服务器中部署DHCP（dynamichostconfigurationprotocol，动态主机配置协议）服务，用于动态管理内部计算机IP地址，避免因IP地址冲突或配置错误导致的无法联网问题。现安排网络管理员在此操作系统中完成此任务，具体要求如下。531.安装和授权DHCP服务器。先配置DHCP服务器基础网络信息，IP地址为，子网掩码为，默认网关为54，首选DNS服务器为，然后安装并授权DHCP服务器。2.配置DHCP服务器的作用域。创建、激活作用域并配置作用域选项，IP地址池为～54，子网掩码为，租用期限为8天，排除的地址范围为～和54，该/24网段为财务部专用作用域。3.配置与测试DHCP客户端。将DHCP客户端配置为自动获得IP地址及DNS服务器地址，使用ipconfig命令测试客户端是否能成功获取TCP/IP配置信息。54一、DHCP服务的作用及DHCP服务器的地址分配方式1.DHCP服务的作用DHCP服务的主要作用是通过DHCP服务器集中管理和分配IP地址，自动为局域网内的计算机分配网络信息。DHCP服务器具有IP地址池，它就像是一个蓄水池，能根据主机需求自动分配所需参数，有效避免IP地址冲突，并及时回收闲置的IP地址重新利用，提高IP地址的利用率。552.DHCP服务器的地址分配方式（1）自动分配方式DHCP服务器自动为DHCP客户端指定一个固定的IP地址，DHCP客户端成功从DHCP服务器租用到IP地址后，能长期使用这个IP地址。（2）动态分配方式DHCP客户端在第一次成功从DHCP服务器租用到IP地址后，并非能永久使用该IP地址，只要租约到期，DHCP客户端就会释放原IP地址，DHCP服务器就会回收该IP地址。（3）手动分配方式一些DHCP客户端的IP地址是由网络管理员规划配置的，DHCP服务器只是把指定的IP地址分配给DHCP客户端。56二、DHCP服务的工作过程DHCP服务的工作过程如图所示。57DHCP服务的工作过程1.DHCP客户端首次接入网络DHCP客户端首次接入一个新的网络环境时，按以下过程与DHCP服务器传送报文信息。（1）DHCP客户端接入一个新网络时，还不知道DHCP服务器的IP地址，这时客户端会在该网络中以广播的形式发送DHCPDISCOVER报文，尝试寻找DHCP服务器。58（2）DHCP服务器接收到网络中DHCP客户端的DHCPDISCOVER报文后，会向DHCP客户端发送DHCPOFFER报文，此报文中包含一个可租用的IP地址。（3）DHCP客户端接收到DHCPOFFER报文后，会向DHCP服务器发送DHCPREQUEST请求报文，表示可以使用DHCP服务器提供的这个IP地址。（4）DHCP服务器接收到DHCPREQUEST报文后，会给该客户端发送DHCPACK报文，DHCP客户端接收到该报文后，IP地址租约生效。592.DHCP客户端再次接入网络DHCP客户端在网络中成功获取IP地址后，当再次接入该网络时，无须重新发送DHCPDISCOVER报文，而是直接发送DHCPREQUEST报文，这个报文中包含上一次获取的IP地址。DHCP服务器接收到该报文后，若原IP地址未分配给其他客户端，会同意该客户端继续使用，并返回DHCPACK报文，DHCP客户端接收到该报文后，确认信息无误即可完成IP地址续租。60三、DHCP客户端的租约更新方法1.自动更新在使用时间达到租用期限的50%时，DHCP客户端会向DHCP服务器发送DHCPREQUEST报文请求续约，若续约成功，则DHCP客户端可继续使用原IP地址；若续约失败，则DHCP客户端仍可保留该IP地址至使用时间达到租用期限的87.5%，此时DHCP客户端会广播DHCPREQUEST报文再次请求续约，若最终未获得DHCP服务器响应，该客户端将在租约到期后释放IP地址，并重新发起IP地址租用流程。当DHCP客户端无法从DHCP服务器租用到IP地址时，会自动使用/16网段的专用IP地址。612.手动更新DHCP客户端还具备主动释放当前IP地址的能力，这可以通过向DHCP服务器发送DHCPRELEASE报文实现。网络管理员可以在DHCP客户端上打开命令提示符窗口，使用ipconfig/renew命令手动更新DHCP客户端的IP地址租约。62四、DHCP服务器的作用域1.作用域的属性（1）IP地址范围IP地址范围定义了可用于分配的起始IP地址和结束IP地址。（2）子网掩码子网掩码确定了IP地址的网络部分和主机部分，与IP地址范围一起决定了该作用域所管理的网络内的设备。63（3）作用域名称作用域名称用于标识和区分不同的作用域，便于网络管理员管理和识别。可以根据作用域所服务的网络区域、部门等因素命名。（4）租用期限租用期限指定了DHCP客户端能使用被分配到的IP地址的时间长度。（5）保留IP地址网络管理员可以指定某些IP地址不被动态分配，而是保留给特定的设备或用户。642.作用域的作用（1）方便管理IP地址分配通过划分作用域，管理员可以根据不同的网络需求和用户群体为不同的区域或部门分配独立的IP地址范围，实现更精细的IP地址管理。（2）避免IP地址冲突通过划分作用域，可以确保每个DHCP客户端从DHCP服务器获取的IP地址都是唯一的，避免手动配置IP地址时可能出现的冲突问题。当DHCP客户端请求IP地址时，DHCP服务器会从作用域中选择一个未分配的IP地址分配给DHCP客户端。65（3）提高IP地址利用率通过划分作用域，可以根据网络中设备的数量和使用情况，合理配置DHCP服务器作用域的IP地址范围和租用期限，避免IP地址的闲置和浪费，提高IP地址的利用率。66任务2域的安装与管理671.了解工作组的核心特点。2.理解域架构。3.能根据需求安装ActiveDirectory域服务器。4.能将域服务器提升为域控制器并进行配置。5.能将客户端加入域并进行测试。68某科技有限公司是一家大型网络服务企业，为了提高企业的集中管理能力和网络安全性，网络运维部门主管决定在WindowsServer2022操作系统中安装ActiveDirectory（活动目录，AD）域（domain）。通过安装AD域（下文简称为域）服务角色，创建新域并配置域控制器（domaincontroller，DC），确保域的功能符合企业的网络管理政策和安全需求。现安排网络管理员在WindowsServer2022操作系统中完成此任务，域网络拓扑结构如图所示，具体要求如下。6970域网络拓扑结构1.安装域服务器。首先配置域服务器基础网络信息，IP地址为，子网掩码为，默认网关为54，首选DNS服务器为，然后安装域服务。2.配置域控制器。提升域服务器为域控制器，新建根域名，将目录服务还原模式密码配置为skills@123。3.配置与测试客户端。将客户端client加入

域，并重启客户端测试是否可以使用域名登录。7172一、工作组1.独立用户管理型在工作组环境中，独立用户管理是一种关键特性，这意味着每台工作组服务器都拥有对用户账户和权限的完全控制权，不受其他服务器或集中式管理系统的直接干预。独立用户管理使工作组服务器在满足小型组织或部门的个性化安全需求方面具有显著优势，能在保障数据安全的前提下提供灵活、便捷的用户体验。2.简易的配置与维护流程工作组服务器凭借其相对简易和直观的配置与维护流程，成为小型工作环境中的理想选择。简易的配置与维护流程大大降低了对管理员技术水平的要求，节省了时间和精力成本，使工作组服务器能够在小型工作环境中快速部署并保持稳定运行。3.资源共享限制工作组服务器在资源共享方面虽然能够满足用户一定程度的需求，但也存在不可忽视的限制，如并发访问能力的限制、可共享资源的规模限制、网络带宽的约束和高级资源管理功能的缺乏等。73二、域架构域架构是基于ActiveDirectoryDomainServices（ADDS）的集中化网络管理架构，用于统一管理企业网络中的用户、计算机、组、权限及策略等资源。在域架构中，逻辑结构设计精巧且层次分明，包括域、域树、域森林和组织单位（organizationalunit，OU），它们协同工作，为企业的网络管理提供了高效且有序的框架。741.域域是域架构的核心基石，它构建了一个独立且具有明确安全边界的管理单元。域内拥有一套集中的用户账户数据库和安全策略，确保对资源访问的严格控制和统一管理。域是企业网络的核心组件，相比于工作组的分散管理，域能实现更高效的身份验证、权限控制和资源协同。2.域树当多个域共享连续的命名空间并且彼此之间建立了信任关系时，它们便能够组合成一个树形网络结构，这种结构的优势在于信任关系的自动传递和规范命名的连贯性，极大地简化了资源的共享和管理。753.域森林域森林是域架构中的高级概念，它由多个彼此独立但又相互关联的域树组成。尽管这些域树之间不存在命名空间的连续性，但通过建立的信任关系，它们能够实现资源的共享和跨域管理。域森林的存在为大型企业集团或具有复杂组织结构的机构提供了极大的灵活性。764.组织单位组织单位是域内用于细分管理和策略分配的重要容器对象，它允许管理员按照具体的业务需求、部门结构、项目团队或其他逻辑分类方式，将用户、组、计算机和其他相关对象进行分组。组织单位可以嵌套形成多层级的架构，类似于文件夹的嵌套，从而形成更精细的管理层次。77三、域控制器域控制器是ActiveDirectory的核心组件，负责存储域内用户账户、计算机账户等信息。作为域网络环境的中枢神经，域控制器发挥着不可或缺的作用，是保障整个网络系统稳定、安全和高效运行的核心要素。域控制器的主要功能如下。781.用户身份验证域控制器作为网络认证中枢，通过加密传输和比对AD数据库中的用户凭据（用户名、密码），实现集中式用户身份验证，仅在信息完全匹配且用户账户状态正常时授权访问，既提升了安全性又简化了认证管理流程。2.目录服务目录服务统一存储用户属性、计算机配置、组策略及资源权限等关键数据，支持客户端通过LDAP（lightweightdirectoryaccessprotocol，轻量目录访问协议）查询并快速获取网络资源信息，显著提升检索效率并降低管理复杂度。793.组策略实施组策略是一套强大的规则和配置集合，可以精细地定制用户的工作环境、计算机的系统配置、安全选项、软件安装和更新等多个方面。通过域控制器的统一管理和推送，组策略能够确保整个域内的计算机和用户遵循相同的规范和策略。804.复制与同步在复杂的企业网络环境中，通常会部署多台域控制器以提高可用性和容错性。这些域控制器之间通过高效的复制机制保持数据的同步和一致性。当在一台域控制器中进行用户账户的创建与修改或组策略的更新等操作时，这些更改会以加密的形式复制到其他域控制器中。这种复制过程确保了即使某一台域控制器出现故障或离线，其他域控制器仍然能进行准确的目录服务和用户身份验证，保障业务的连续性和稳定性。81四、组策略对象组策略对象（grouppolicyobject，GPO）用于管理域环境内的用户和计算机配置。GPO通过链接到站点、域或组织单位实现分层策略部署，并存储在域控制器的SYSVOL（systemvolume）目录中。GPO包含计算机配置（系统启动时生效）和用户配置（用户登录时生效）两大节点，可统一管理安全策略、软件分发、桌面环境等。82任务3DNS服务器的安装与配置831.掌握DNS服务的定义和域名结构。2.了解DNS服务的解析过程。3.能正确安装DNS服务器。4.能创建与配置DNS查找区域。5.能配置与测试DNS客户端。84某科技有限公司是一家大型网络服务企业，原来使用运营商提供的DNS服务器进行域名“”的解析，由于业务发展需求，现需配置一台企业内部的DNS服务器，DNS服务器的IP地址为，要求内部的DNS服务器既能解析企业内部的Web服务器地址，又能完成外网的解析请求。现安排网络管理员在企业已安装的域环境下的WindowsServer2022操作系统中完成此任务，具体要求如下。851.安装DNS服务器。首先配置DNS服务器基础网络信息，IP地址为，子网掩码为，默认网关为54，首选DNS服务器为，然后在DNS服务器中安装DNS服务角色。2.创建与配置DNS查找区域。正向查找区域名称为，在正向查找区域中添加www、ftp等主机记录并添加反向查找区域记录。3.配置与测试DNS客户端。配置DNS客户端的地址为（DNS服务器的IP地址），在DNS客户端上使用nslookup命令测试DNS域名解析是否正常。8687一、DNS服务的相关概念1.DNS服务的定义DNS（domainnamesystem，域名系统）服务是互联网的一项核心服务，它作为可以将域名和IP地址相互映射的一个分布式数据库，能使用户更方便地访问互联网，而不用记住服务器的IP地址。当某主机要与其他主机通信时，就可利用目标主机的域名向DNS服务器请求查询此主机的IP地址。2.域名结构域名采用了树形结构的命名方法，互联网的域名结构示例如图所示。88互联网的域名结构示例（1）根域根域位于域名结构的最顶端，提供根域名服务，以“.”表示。（2）顶级域顶级域（一级域）位于根域之下，数目有限且不能轻易变动。顶级域包含的部分域名见下表。8990通用顶级域名91国家顶级域名（3）二级域二级域位于顶级域之下，二级域名是指域名注册者的网上名称，但在某些国家和地区顶级域名下，二级域名是指注册企业类别的符号。（4）三级域三级域是域名结构中的第三级，也是二级域的子域（子域是指在一个已有域下创建的、具有独立管理权限或逻辑划分的次级域）。（5）主机名在域名结构中，主机名用于标识某一个具体的网络设备。92二、DNS服务的解析过程1.客户端提出域名解析请求，查询本机高速缓存记录，若未查询到，则将该请求发送给本地的DNS服务器。2.当本地的DNS服务器接收到请求后，先查询自身的缓存记录，如果有该记录项，则本地的DNS服务器就直接把查询的结果返回给客户端。933.如果没有该记录项，则本地的DNS服务器就直接把请求发送给根DNS服务器，根DNS服务器再返回给本地的DNS服务器一个所查询域（根域的子域）的顶级DNS服务器的地址。4.本地的DNS服务器再向顶级DNS服务器发送请求，接收请求的服务器查询自己的缓存，如果没有该记录项，则返回相关的下级权威DNS服务器的地址。5.按照第4步的方式，逐级向下查询，直到找到正确的记录项。6.本地的DNS服务器把返回的结果保存到缓存，以备下一次使用，同时还将结果返回给客户端。94任务4用户和组的创建与管理951.掌握用户账户的类型和管理。2.掌握本地用户账户和组的管理。3.掌握域用户账户的特点、管理、安全策略和应用场景，以及域组的类型与特点、管理与维护等。4.能管理本地用户账户和组。5.能管理域用户账户和组。96某科技有限公司是一家大型网络服务企业，该企业有财务部、技术部、销售部、售后部、行政部和研发部等部门，随着企业业务的扩展和员工数量的增加，对IT资源的需求也日益增长。为了更好地管理员工对IT资源的访问和使用，需要对企业用户和组的管理进行优化和完善，实现用户账户和组的集中管理。现安排网络管理员在企业已安装的域环境下的WindowsServer2022操作系统中完成此任务，具体要求如下。971.管理本地用户账户和组。系统默认仅Administrators组内的用户有权管理用户账户与组账户，后续操作需通过该组用户（如Administrator）执行，以符合这一权限规则。创建本地用户账户，配置用户名为peter、密码为China@skills，修改此用户账户的密码并重命名此用户账户，修改此用户账户的其他属性。创建本地组“财务部”，并将该部门的用户账户添加至该组中。982.管理域用户账户和组。根据部门需求创建六个组织单位，组织单位名称为“Sales”（销售部）、“Finance”（财务部）、“Administration”（行政部）、“Technology”（技术部）、“Service”（售后部）、“Research”（研发部）。在研发部中创建三个用户，用户名为“张三”（英文名zhangsan）、“李四”（英文名lisi）、“王五”（英文名wangwu），王五由于工作需要，由研发部移动到售后部。在研发部中创建三个组，组名为“Research1”“Research2”“Research3”，并将张三、李四加入“Research1”组中。99一、用户账户概述用户账户是计算机系统中用于识别和管理个体用户的一种机制。在WindowsServer2022操作系统中，用户账户是访问系统资源和执行特定任务的基础。每个用户账户都关联着一组独特的凭据，通常包括用户名和密码，这些凭据用于验证用户的身份并授权其访问系统资源。1001.用户账户的类型（1）管理员账户管理员账户具有最高的权限，可以执行系统中的所有操作，包括安装软件、修改系统配置、管理用户和组等。在WindowsServer2022操作系统中，默认的管理员账户是“Administrator”。为了安全起见，建议在日常工作中不要直接使用管理员账户，而是使用具有适当权限的标准用户账户，并在需要时通过提升权限的方式执行管理任务。101（2）标准用户账户标准用户账户具有有限的权限，通常只能执行与日常工作相关的任务，如浏览网页、编辑文档等。这类用户账户无法修改系统配置或安装软件，除非通过管理员账户授权或提升权限。标准用户账户是大多数用户应该使用的账户类型，因为它提供了足够的功能，同时限制了用户对系统的潜在破坏。102（3）来宾账户来宾账户是一种特殊的用户账户，通常用于临时访问计算机。来宾账户具有最低的权限，只能访问有限的系统资源和应用程序，这类账户通常不需要密码，因此安全性较低，不建议在敏感环境中使用。（4）服务账户服务账户是用于运行系统服务和应用程序的专用账户，这类账户通常具有特定的权限，以确保系统服务和应用程序能够正常运行。服务账户通常不需要用户交互，因此，它们的密码通常被设置为复杂且难以猜测的字符串，以提高安全性。1032.用户账户的管理（1）创建用户账户可以通过服务器管理器或计算机管理工具创建新的用户账户，在创建用户账户时，需要指定用户名、密码、账户类型等信息。为了确保安全，建议为每个用户账户分配唯一的用户名和密码，并定期更新密码。（2）修改用户账户管理员可以随时修改用户账户的属性，如用户名、密码、账户类型等。104（3）删除用户账户当某个用户不再需要访问系统时，应该及时删除其账户，这有助于降低潜在的安全风险，并释放系统资源。管理员在删除用户账户之前，应该确保已备份用户账户的个人数据和设置。（4）分配权限管理员通过为用户账户分配适当的权限，可以控制用户对系统资源的访问和操作。通过合理的权限分配，可以确保系统的安全性和稳定性。105二、本地用户账户和组1.本地用户账户（1）本地用户账户的作用本地用户账户允许用户访问和操作计算机系统，具体作用包括以下方面。1）个人使用，保护数据和设置为个人用户设置账户，以保护其数据和设置。2）在共享计算机上区分用户在公共或共享计算机上设置账户，以区分不同用户。3）限制服务使用权限为运行特定服务或应用程序创建账户，以限制服务的使用权限。106（2）本地用户账户的属性1）账户名账户名是指用户登录时使用的名称。2）全名全名是指用户的完整姓名。3）描述描述是指关于账户的简短描述，用于说明账户的用途。1074）密码设置密码设置要考虑密码的复杂性、过期策略和历史要求。5）账户选项账户选项包括账户是否已锁定、是否禁用等。6）组成员身份组成员身份指用户账户所属的用户组，用户组的权限集合决定该用户账户的权限。108（3）本地用户账户的权限1）本地用户账户加入Administrators组后便拥有对计算机的完全控制权限，可进行系统配置修改、软件安装与卸载等所有操作。2）加入Users组的账户有权使用计算机，能正常登录、运行应用程序，但在修改系统配置和安装软件方面权限受限。3）加入Guests组的账户权限非常有限，仅适用于临时访问，一般只能登录系统并对公开共享文件进行有限操作，通常为只读。109（4）本地用户账户的管理本地用户账户的管理包括账户的信息修改、密码重置、禁用、启用和删除等。系统管理员需要定期审计本地用户账户，以确保账户的安全性和合规性。1）修改账户信息修改账户信息包括更新用户的全名、描述或其他属性。1102）重置密码重置密码可以为忘记密码的用户重置密码。3）禁用账户禁用账户可以临时禁止用户登录，通常用于离职员工或不再需要访问的用户。4）启用账户启用账户可以恢复之前被禁用用户账户的访问权限。5）删除账户删除账户可以彻底移除不再需要的用户账户。111（5）本地用户账户的安全措施1）强密码策略要求用户设置复杂且难以猜测的密码。2）密码定期更换强制用户定期更换密码，以降低密码被破解的风险。3）账户锁定策略在多次登录尝试失败后锁定账户，以防暴力破解。4）权限最小化仅授予用户完成其工作所必需的最小权限。1122.本地组（1）内置本地组WindowsServer2022操作系统提供了部分预定义的本地组，这些组已经配置了默认权限，以便执行日常管理任务，常见的内置本地组如下。1）AdministratorsAdministrators拥有对计算机的完全控制权限，可以执行所有管理任务，包括安装软件、更改系统配置和访问所有文件。2）UsersUsers为标准用户组，拥有进行日常操作的权限，但不能进行系统级别的更改或软件安装。1133）GuestsGuests可供临时访问计算机的用户使用，权限非常有限。4）PowerUsersPowerUsers在旧版Windows操作系统中存在，但在WindowsServer2022操作系统中其权限大幅降低，曾供需要执行部分管理任务但又不需要完整管理员权限的用户使用。（2）自定义本地组除了内置本地组，管理员可以根据需要创建自定义本地组，这些组可以针对特定的部门、项目或任务进行用户权限的细分管理。114（3）本地组的管理可以通过“计算机管理”→“本地用户和组”管理单元管理本地组，管理员可以执行以下操作。1）添加和删除成员可以将用户账户添加到组中或从组中移除。2）修改组属性可以更改组的名称、描述和其他属性。3）分配权限可以为组分配访问特定资源的权限。115（4）本地组的权限设置本地组的权限设置是通过访问控制列表（ACL）实现的。当用户尝试访问资源时，系统会检查用户所属的所有组的ACL，以确定用户的最终权限。116（5）本地组的应用场景1）资源共享可以为需要访问特定共享资源的用户创建一个组，并为该组设置适当的权限。2）软件部署可以为需要使用特定软件的用户创建一个组，并为该组设置相应的软件访问权限。3）安全策略配置可以为需要遵守特定安全策略的用户创建一个组，并为该组配置相应的安全策略。117三、域用户和组域用户和组是域环境下用户账户和权限管理的核心。域用户可以在域内任意计算机上登录，权限由域控制器统一管理；域组将域用户账户组织起来，实现权限的集中分配与管理。通过域组和策略，管理员能高效控制用户对域资源的访问，增强安全性和灵活性。1181.域用户账户在WindowsServer2022操作系统中，域用户账户是指在ActiveDirectory中创建和管理的用户账户，这些账户允许用户在加入域的任意计算机上登录，并访问域内的资源。与本地用户账户相比，域用户账户的管理更加集中和高效，适合大型组织和企业环境。119（1）域用户账户的特点1）集中管理所有域用户账户都存储在ActiveDirectory中，管理员可以通过一个统一的界面进行管理，这种集中管理的方式使用户的创建、修改和删除变得更加高效。2）可跨计算机登录域用户可以在域内的任意计算机上登录，不需要为每台计算机单独创建本地用户账户，为用户提供了更高的灵活性，特别是在需要频繁更换工作站的环境下。1203）可访问共享资源域用户账户可以访问域内的共享资源，如文件夹、打印机和应用程序。通过设置适当的权限，管理员可以控制域用户账户对这些资源的访问。4）安全性强域用户账户的安全性由ActiveDirectory提供，管理员可以设置复杂的密码策略、账户锁定策略等，以保护用户账户不被未授权访问。121（2）域用户账户的管理1）修改域用户账户管理员可以随时更新账户的属性，如密码、组成员身份等。2）禁用域用户账户当用户离职或不再需要访问域时，管理员可以禁用该用户账户而不是删除，以便在将来需要时恢复使用。3）删除域用户账户如果确定某用户账户不再被需要，则可以将其删除。删除域用户账户后，所有与该用户账户相关的权限和访问将被撤销。122（3）域用户账户的安全策略1）密码策略要求为域用户账户设置复杂的密码并定期更换密码，以降低密码被破解的风险。2）账户锁定策略在多次登录失败后自动锁定账户，以防暴力破解攻击。3）最小权限原则域用户账户仅被授予完成其工作所需