Windows网络服务器配置与管理案例教程 第4章 本地用户和组的管理.ppt

1、第4章本地用户和组的管理,41 概述,计算机和网络系统通过帐户把使用者区别和隔离开来，让用户可以定制自己的使用环境；防止用户破坏其他用户的数据等。任何人访问你管理的系统，都应该由你给他们分配唯一的帐户，这可以让你知道谁做了什么事，并且防止破坏其他用户的设置和非法获得其他人的文件等。,一个帐户包括帐户名、密码、权限等信息，这些信息存储在计算机中，是Windows Server 2003网络上的个人唯一标识；系统通过帐户来确认用户的身份，并赋予用户对资源的访问权限。 每一个帐号在创建的时候都有一个Security ID（SID,安全标识符），当用户访问系统的资源时，系统根据其帐户的SID，检查用户

2、具有哪些权利和权限，然后再让用户在其权利和权限范围内进行访问。,Windows不是根据用户名来识别用户的，而是根据这个SID来识别用户的，如果SID不一样，就算用户名等其它设置一模一样，Windows也会认为是不一样的两个帐号。这就像我们的户籍管理，只认你的身份证号是否正确，而不管你的名字是否相同是一个道理的。而且SID是Windows在创建该帐号的时候随机给的，所以说当删除了一个帐号后，即使再次建立一个一模一样的帐号，其SID和原来的那个是不一样，那么他的NTFS权限就必须重新设置。,内置用户账户,使用户能够执行管理任务或者能临时访问网络资源 本地的 Administrator 和 Gues

3、t 用户账户驻留在 SAM 中 域中的 Administrator 和 Guest 用户账户驻留在 Active Directory 里,Administrator 和 Guest,本地帐户又可分为下面两类： 1、系统内置帐户 Administrator（系统管理员）帐户：拥有本地计算机最高的权限，管理整个计算机系统。系统管理员的默认名字是Administrator，要求大家务必牢记。我们可以更改系统管理员的名字，但不能删除该帐户，也不能禁止该帐户登录。 Guest（来宾）帐户：是为临时访问计算机的用户提供的。该帐户自动生成，可以更改名字，但不能被删除，Guest帐户只有很少的权限，而且默认情

4、况下，该帐户被禁止使用。,2、用户建立的帐户 由具有管理员权限的用户建立的，可以登录本地计算机的帐户。我们通常说的帐户管理主要是对这部分帐户的管理。,411 帐户命名规则 帐户包括用户名和密码，作为管理员，需要给计算机或网络的使用者建立用户帐户。普通用户的用户名应该简单好记、有一定的规律，以方便管理。用户名和密码有如下规则： 1、帐户名的命名规则： 一个系统中，帐户名必须惟一，且不区分大小写。 最多可以有20个字符，由字符和数字组成。输入时可超过20个字符，但只识别前20个字符。 不能使用的保留字符有 ” : ; | = , + * ? 。 不能与用户组的组名相同。,2、密码命名规则： 为了系

5、统的安全，每个帐户都应该有密码。 密码长度应该在8128位之间。 建议使用大小写字母、数字和其他合法字符的组合。 密码尽量不要有规律，如不要使用名字、生日、电话号码等。,412 帐户的类型 Windows Server 2003有两种工作模式，工作组模式和域模式。针对这两种工作模式，也有两种用户身份，本地帐户和域帐户。本章只介绍本地帐户管理，域帐户的管理将在第7章进行介绍。 本地帐户都是在Windows Server 2003独立服务器、域中的成员服务器以及Windows XP客户端上建立。本地帐户只能在本地计算机上登录，在本地计算机上进行身份认证，只能按权限访问本地计算机的资源。,42 本地

6、帐户的管理,421 新建/删除帐户 1、创建帐户 2、删除帐户,422 更改帐户名和密码 只有管理员才有权限更改其他用户的用户名和密码。 1、更改帐户名 2、更改密码 注意：用上述方法更改用户密码后，可能会造成不可逆的信息丢失，用户将无法访问自己以前受保护的数据，如用户加密文件，用户存储在本机的Internet连接密码等。 如果用户在知道自己密码的情况下想更改原密码，应该是在登录后按Ctrl+Alt+Del键，在出现的对话框中点击“更改密码”按钮。 3、创建密码重设盘 请一定要小心保管密码重设盘，不能被他人获得,423 禁用与激活帐户,43 组的管理,431 概述 为了简化用户的管理，Wind

7、ows引入了用户组的形式。可以将若干用户加入到用户组中，通过设置某个组对资源的权限，组中的用户都会自动拥有该权限。组的引入方便了管理权限相同的一些用户帐户。 那么组到底是什么意思呢？组是系统中同类对象的集合，比如有工作组、用户组、计算机组等。我们可以把用户组看作是班级，用户就是班级里的学生。当要给一批用户分配同一权限时，就可以将这些用户都归到一个组中，只要给这个组分配此权限，组内的用户就都会拥有此权限。就好像给一个班级发了一个通知，班级内的所有学生都会收到这个通知一样。,432 组的类型 当计算机处在工作组的网络模式中时，计算机上的用户组分为系统内置组和用户自定义组两种类型。 1、系统内置组

8、2、用户自己建立的组 可以创建本地组的用户必须是Administrators组的成员。,组仅可在域控制器上创建 组驻留在 Active Directory 目录服务里 用来控制访问域资源,组被创建在非域控制器的计算机上 组驻留在“安全账户管理器” (SAM) 中 用来控制访问计算机资源,使用本地组所要遵循的准则有： 只在不隶属于域的计算机上设置本地组 本地组可以用来控制对本地计算机上资源的访问并且被用来对本地计算机执行系统任务 本地组的成员身份所要遵循的准则有： 本地组只能包含创建该本地组的计算机上的本地用户账户 本地组不能是其他任何组的成员 只有 Administrators 组或者 Pow

9、er Users 组的成员才有权创建本地组。,A,用户账户,=,P,=,授权访问,L,本地组,=,工作组,Windows XPl,Windows XP,Windows XP,L,P,A,添加,Windows 2003,授权,授权,授权,授权,在工作组中使用本地组的策略,433 管理本地用户组 1、建立本地用户组 2、将用户加入组中 3、管理本地组,44 帐户安全策略,用户帐户和密码是进入系统的安全凭证，为保证计算机和网络系统的安全，必须对用户帐户和密码进行有效的安全管理。,441 帐户安全常识,1、用户数据库 计算机上所有本地帐户和组的安全信息都存储在用户数据库SAM（Security Acc

10、ounts Managers，安全帐户管理器）中。SAM数据库的文件位于“%windir%system32configsam”。如果该文件被删除，则本地计算机所有帐户信息都会丢失，Administrator帐户的密码将被置为空。 2、重要的服务器上最好不要安装多系统，以防止从其他系统登录后，删除Sam数据库。 3、在BIOS中禁止从软盘或光盘启动服务器，以防止从软盘启动，删除Sam数据库。 4、禁用Guest帐户,5、不要轻易使用Administrator帐户 管理员应该根据服务器管理的需要，建立新的管理帐户并赋予恰当的权限。例如DHCP服务器，平时只使用能够管理DHCP服务的帐户登录就可以了，不要轻易使用Administrator帐户登录。 由于Administrator帐户权限太大，使用Administrator可能会因误操作带来意想不到的后果；另外Administrator帐户也是网络攻击的重点对象。建议将Administrator帐户重命名，设置复杂密码，并经常更换密码。 6、合理的建立用户组，并设置恰当的权限。,442