Windows Server 网络服务器配置与管理（微课版）课件项目2 管理信息中心的用户与组

项目2管理信息中心的用户与组项目学习目标项目描述项目分析相关知识项目实施练习与实践目录项目学习目标项目学习目标（1）掌握系统内置组、内置账户的概念与应用。（2）掌握系统自定义用户和自定义组的概念与应用。（3）掌握用户和组权限的继承性概念与应用。（4）掌握企业组织架构下用户和组的部署业务实施流程。项目描述项目描述Jan16公司信息中心由信息中心主任黄工、网络管理组张工和李工、系统管理组赵工和宋工等5位工程师组成，组织架构图如图2-1所示。图2-1组织架构图表2-1信息中心员工账户信息表姓名用户账户隶属组权限备注黄工Huang/系统管理员信息中心主任张工ZhangNetadmins网络管理虚拟化管理网络管理组李工Li赵工ZhaoSysadmins系统管理员系统管理组宋工Song项目描述信息中心在一台服务器上安装了WindowsServer2022系统用于部署公司网络服务，信息中心所有员工均需要使用该服务器。系统管理员根据员工的岗位工作管理职责，为每一个岗位规划了相应权限，员工具体权限如表2-1所示。项目分析项目分析WindowsServer2022是微软的一个多用户多任务服务器操作系统，系统管理员通过创建用户账户为每一个用户提供系统访问凭证。在实际项目中，基于安全考虑，系统管理员会根据每一个用户的岗位职责来设置系统访问权限，所分配的权限仅涉于其所管理的具体工作任务。WindowsServer2022服务器为满足不同岗位的工作任务要求，系统内置了大量的组账户，每一个组账户对应特定的系统配置权限，系统管理员可以配置用户账户的隶属组来为每一个用户分配系统配置权限。也就是说，对用户账户的授权其实是通过设置用户账户隶属组来完成。项目分析因此，本项目需要工程师熟悉WindowsServer2022的用户和组管理，涉及以下工作任务。（1）管理信息中心的用户账户，为信息中心员工创建用户账户。（2）管理信息中心的组账户，为信息中心各岗位创建组账户，根据岗位工作任务分配用户访问权限。相关知识2.1本地用户账户本地用户账户是指安装了WindowsServer2022的计算机在本地安全目录数据库中建立的账户。使用本地账户只能登录到建立该账户的计算机，并访问该计算机的系统资源。本地用户账户建立在非域控制器的WindowsServer2022独立服务器、成员服务器以及其他Windows客户端。本地账户只能在本地计算机上登录，无法访问域中其他计算机资源。本地计算机上都有一个管理账户数据的数据库，称为安全账户管理器SAM。SAM数据库文件路径为系统盘下\Windows\system32\config\SAM。在SAM中，每个账户被赋予唯一的安全识别号SID，用户要访问本地计算机，都需要经过该机SAM中的SID验证。2.2内置账户WindowsServer2022中还有一种账户叫内置账户，它与服务器的工作模式无关。当WindowsServer2022安装完毕后，系统会在服务器上自动创建一些内置账户，Administrator和Guest是最重要的两个。Administrator（系统管理员）拥有最高的权限，管理着WindowsServer2022系统和域。系统管理员的默认名字是Administrator，可以更改系统管理员的名字，但不能删除该账户。该账户无法被禁止，永远不会到期，不受登录时间和只能使用指定计算机登录的限制。Guest（来宾）是为临时访问计算机的用户提供的，该账户自动生成，且不能被删除，可以更改名字。Guest只有很少的权限，默认情况下，该账户被禁止使用。例如，当希望局域网中的用户都可以登录到自己的计算机，但又不愿意为每一个用户建立一个账户时，就可以启用Guest。2.3组的概念为了简化对用户账户的管理工作，WindowsServer2022中提供了组的概念。组是指具有相同或者相似特性的用户集合，当要给一批用户分配同一个权限时，就可以将这些用户都归到一个组中，只要给这个组分配此权限，组内的用户就都会自动拥有此权限。这里的组就相当于一个班级或一个部门，班级里的学生、部门里的工作人员就是用户。例如，同一个班级的学生可能需要访问很多相同的资源，这时不用逐个向该班级的学生授予对这些资源的访问权限，而是可以使这些学生都成为同一个组的成员，以使用户自动获得该组的权限。如果某个学生有退学、转专业等变动，只需将该用户从组中删除，所有访问权限即会随之撤销。与逐个撤销对各资源的访问权限相比，这种方式实现方便，大大减少了管理员的工作量。在WindowsServer2022中，用组账户来表示组，用户只能通过用户账户登录计算机，不能通过组账户登录计算机。2.4内置本地组内置本地组是在系统安装时默认创建的，并被授予特定权限以方便计算机的管理，常见的内置本地组有下面几个。Administrators：在系统内具有最高权限，拥有赋予权限，可添加系统组件，升级系统，配置系统参数，配置安全信息等。内置的系统管理员账户是Administrators组的成员。如果这台计算机加入到域中，则域管理员自动加入到该组，并且有系统管理员的权限。属于Administrators组的用户，都具备系统管理员的权限，拥有对这台计算机最大的控制权，内置的系统管理员Administrator就是此本地组的成员，而且无法将其从此组中删除。2.4内置本地组Guests：内置的Guest账户是该组的成员。一般被用于在域中或计算机中没有固定账户的用户临时访问域或计算机时使用的。该账户默认情况下不允许对域或计算机中的设置和资源做更改。出于安全考虑Guest账户在WindowsServer2022安装好之后是被禁用的，如果需要可以手动地启用。应该注意分配给该账户的权限，因为该账户经常是黑客攻击的主要对象。IIS_IUSRS：这是Internet信息服务（IIS）使用的内置组。Users：是一般用户所在的组，所有创建的本地账户都自动属于此组。Users组权限受到很大的限制，对系统有基本的权力，如运行程序；使用网络，但不能关闭WindowsServer2022，不能创建共享目录和使用本地打印机。如果这台计算机加入到域，则域用户自动被加入该组。NetworkConfigurationOperatiors:该组的成员可以更改TCP/IP设置，并且可以更新和发布TCP/IP地址。该组中没有默认的成员。2.5内置的特殊组除了以上所述的内置本地组和内置域组外，还有一些内置的特殊组。特殊组存在于每一台装有WindowsServer2022系统的计算机内，用户无法更改这些组的成员，也就是说，无法在“ActiveDirectory用户和计算机”或“本地用户与组”内看到，并管理这些组。这些组只有在设置权限时才能被看到。以下列出三个常用的特殊组。Everyone：包括所有访问该计算机的用户，如果为Everyone指定了权限并启用Guest账户时一定要小心，Windows会将没有有效账户的用户当成Guest账户，该账户自动得到Everyone的权限。CreatorOwner：文件等资源的创建者就是该资源的CreatorOwner。不过，如果创建是属于Administrators组内的成员，则其CreatorOwner为Administrators组。Hyper-VAdministrators:一般情况都是系统管理员进行虚拟机设置，但是有时候也需要一些受限用户操作虚拟机，也就是普通用户。默认情况下，普通用户没有虚机管理权力，可以通过添加用户（aaa）、添加Hyper-V管理员组（Hyper-VAdmins）简称HVA组的方式，将普通用户添加为Hyper-V管理员。任务2-1管理信息中心的用户账户任务规划为满足公司信息中心对安装了WindowsServer2022的服务器的访问，系统管理员根据表2-1，为每一个员工创建用户账户，管理员可通过向导式菜单为员工创建账户，并通过用户属性管理界面修改账户的相关信息。用户使用新用户登录系统时，可自行修改登录密码。在WindowsServer2022的用户管理界面中为信息中心员工创建用户，可通过以下操作步骤实现。（1）通过向导式菜单为员工创建账户。（2）通过用户属性管理界面修改账户的相关信息。（3）在任务验证中使用新用户登录系统，测试新用户第一次登录是否需要更改密码。任务实施1.通过向导式菜单为员工创建账户以系统管理员Administrator身份登录到服务器，在【服务器管理器】窗口中单击“工具”命令，在弹出的下拉式菜单中单击“计算机管理”，打开【计算机管理】主窗口。在【计算机管理】主窗口中，打开【用户】管理界面，结果如图2-2所示。任务实施图2-2计算机管理界面的用户管理视图图2-3新用户Huang创建界面任务实施3.右键单击“用户”图标，在弹出的右键快捷菜单中选择【新用户(N)…】选项，在打开的【新用户】对话框中输入需要创建用户的相关信息即可完成新用户创建。图2-3填写内容为信息中心黄工的相关信息。任务实施新用户对话框中各选项的释义：用户名：系统本地登录时使用的名称。全名：用户的全称，属于辅助性的描述信息，不影响系统的功能。描述：关于该用户的说明文字，方便管理员识别用户，不影响系统的功能。密码：用户登录时使用的密码。确认密码：为防止密码输入错误，需再输入一遍。用户下次登录时须更改密码：用户首次登录时，使用管理员分配的密码，当用户再次登录时，强制用户更改密码，用户更改后的密码只有自己知道，这样可保证安全使用。当去除【用户下次登录时须更改密码】前的勾选后，【用户不能更改密码】和【密码永不过期】这两个选项将由灰变实。用户不能更改密码：只允许用户使用管理员分配的密码。密码永不过期：密码默认的有限期为42天，超过42天系统会提示用户更改密码，选中此项表示系统永远不会提示用户修改密码。账户已禁用：选中此项表示任何人都无法使用这个账户登录，适用于企业内某员工离职时，防止他人冒用该账户登录。图2-4计算机管理界面的用户管理视图任务实施（4）填入相关内容后，单击“创建”按钮完成用户创建。单击“关闭”按钮后，在计算机管理控制台中可以看到刚刚新创建的用户了，结果如图2-4所示。图2-5用户账户的右键快捷菜单任务实施2.通过用户属性管理界面修改账户的相关信息（1）打开如图2-5所示的【计算机管理】主窗口，在用户账户【Huang】的右键快捷菜单中，管理员可根据实际需要选择菜单中的命令对账户进行管理操作。任务实施用户管理中的右键快捷菜单中各命令的释义：选择【设置密码】选项可以更改当前用户账户的密码。选择【删除】选项可以删除当前用户账户。选择【重命名】选项可以更改当前用户账户的名称。选择【属性】选项，在弹出的用户属性对话框，可以实现禁用或激活用户、把用户加入到组、编辑用户信息等工作。例如，停用【Huang】账户，则在【常规】选项卡中选中【账户已禁用】复选框，然后单击【确定】按钮返回计算机管理控制台，这时，可以看到停用的账户有一个蓝色的向下箭头标记。图2-6计算机管理界面的用户管理视图任务实施（2）参考前序步骤，继续完成网络组用户【Li】和【Zhang】，系统管理组用户【Song】和【Zhao】的账户创建，结果如图2-6所示。任务验证（1）用户创建后，注销【administrator】账户后，在WindowsServer2012登录界面可以看到【宋工】、【张工】、【李工】、【赵工】、【黄工】登录账户选项，结果如图2-7所示。图2-7WindowsServer2012登录界面图2-8选择【Huang】账户登录任务验证（2）选择登录【Huang】账户，以【Huang】账户登录到服务器，系统会出现如图2-8所示的“在登录之前，必须更改用户的密码”提示信息。图2-9账户【Huang】成功登录系统的界面任务验证（3）更改密码后，WindowsServer2022系统将以【Huang】账户登录，结果如图2-9所示。任务2-2管理信息中心的组账户任务规划公司信息中心网络管理组员工试用了基于WindowsServer2022系统的服务器一段时间后，决定在服务器上部署业务系统进行系统测试，等确定该系统能稳定支撑公司业务后再做业务系统迁移，并在这台服务器上创建共享，同时将系统测试文档统一存放在网络共享中。公司业务系统的管理涉及信息中心网络管理组和系统管理组的所有员工，公司信息中心需要为每一位员工账户授予管理权限。根据图2-1中描述的信息中心组织架构、表2-1描述的信息中心员工岗位工作任务背景和WindowsServer2022系统内置组权限情况，网络工程师对用户隶属组账户做了如下分析。（1）该公司信息中心黄工是信息中心主任，具有完全控制权限，并且可以向其他用户分配用户权利和访问控制权限，拥有服务器管理的最高权限，即administrator账户，该账户应隶属于administrators组。任务规划（2）网络管理组由张工和李工两位工程师组成，需要对该服务器的网络服务做相关配置和管理，负责服务器的网络管理权限。网络管理组可以更改TCP/IP设置，并更新和发布TCP/IP地址，以及对Hyper-V所有功能具有完全且不受限制的访问权限。张工和李工两个账户应隶属于NetworkConfigurationOperators组和Hyper-VAdministrators组。（3）系统管理组由赵工和宋工两位工程师组成，需对系统进行修改、管理和维护，系统管理组需要对系统具有完全控制权限，赵工和宋工两个账户应隶属于administrators组。（4）从信息中心内部组织架构和后续权限管理需求出发，需要分别为网络管理组和系统管理组创建组账户：Netadmins和Sysadmins，并将组成员添加到自定义组中。综上，网络工程师对信息中心所有用户的操作权限和系统内置组做了映射，结果如表2-2所示。任务规划因此，本任务的操作主要步骤如下。（1）创建本地组账户，并将用户账号添加到本地组账户中。（2）设置用户账户的隶属内置组账户，赋予用户适配的系统权限。说明：自定义组的权限管理与应用将在项目5中描述。用户账号隶属自定义组隶属系统内置组权限ZhaoSongSysadminsAdministrators系统管理员ZhangLiNetadminsNetworkConfigurationOperatorsHyper-VAdministrators网络管理虚拟化管理Huang/Administrators系统管理员表2-2服务器系统自定义组规划表任务实施1.创建本地组账户，并配置其隶属的系统内置组（1）以Administrator账户登录WindowsServer2022服务器，在【计算机管理】主窗口中打开【组】管理界面。在【组】的右键快捷菜单中单击【新建组(N)…】命令，在弹出的【新建组】对话框，输入组名【Netadmins】，并将用户【Zhang】和【Li】加入到Netadmins组，结果如图2-10所示。图2-10新建组操作界面图2-11

组账户管理视图任务实施（2）单击“创建”按钮完成Netadmins组及成员的加入操作，以类似操作完成Sysadmins组及成员的创建与加入操作，结果如图2-11所示。任务实施备注：在组管理界面中，除了可以新建组，还可以对现有组进行编辑修改，右击需要修改的组，在菜单中可以进行【添加到组】、【删除】等操作，具体操作说明如下。选择【添加到组】命令可以更改当前组的成员，增加成员或删除成员。选择【删除】命令可以删除当前组账户。选择【重命名】命令或更改当前组账户的名称。选择【属性】命令，可以修改组的【描述】，更改当前组的成员，增加成员或删除成员。图2-12配置用户隶属组任务实施2.设置用户账户的隶属内置组账户，赋予用户适配的系统权限（1）在账户【Huang】的右键快捷菜单中选择【属性】命令，进入【Huang属性】对话框。选择【隶属于】图2-13Huang用户隶属组界面任务实施（4）在【选择组】对话框中输入“Administrators”组完整名称，然后单击【检查名称】按钮完成管理员组的自动添加，单击“确定”按钮完成用户添加入管理员组的操作，结果如图2-13所示。（5）按照以上操作步骤，将账户【Song】和【Zhao】加入Administrators组，将账户【Li】和【Zhang】加入到NetworkConfigurationOperators组和Hyper-VAdministrators组中。任务验证自定义用户一开始仅具有普通的系统操作权限，但通过将用户账户添加到系统内置组账户后，它通过组的继承性关系，可以获得系统内置组相应的权限。因此，本任务中的用户账户可以通过组的继承性关系获得对应隶属系统内置组的权限。例如【Li】隶属于NetworkConfigurationOperators组和Hyper-VAdministrators组，因此【Li】账户具有修改网络连接和Hyper-V的权限，在需要修改网络连接时，可以在弹出的如图2-14所示的【用户账户控制】界面中输入【Li】账户的密码来获得修改网络连接的配置权限，进而完成网络连接修改操作。图2-14【Li】具有修改网络连接的权限练习与实践一．理论习题1.WindowsServer2022中默认的管理员账户是_____。A．admin

B．root

C．supervisor

D．administrator2.WindowsServer2022中的内置本地组不包括_____。A.administratorsB.guestC.IIS_IUSRSD.users3. （）账户默认情况下是禁用的。A．administrator B．PowerusersC．guest D．administrators一．理论习题4. 一个用户可以加入（）个组。A．1 B．2C．3 D．多5.关于用户账户，以下那（）个说法是正确的？A．用户账户的权限由它的隶属组决定，权限继承自隶属组的权限B.用户账户的密码必须使用复杂性密码C.WindowsServer2022允许创建两个相同用户名称的用户账户，因为他们的SID不同D.为方便用户访问WindowsServer2022，Guest用户账户默认是未禁用的二．项目实训题实训一1.在WindowsServer2022上建立本地组STUs和本地账户st1、st2、st3，并将这三个账户加入到STUs组中。2.设置账户st1下次登录时须修改密码，设置账户