第4章_Windows_server_2003管理用户、组.ppt

1、第四章 管理用户和组,每个用户都需要有一个帐户，以便登录到域访问网络资源或登录到某台计算机访问该机上的资源，创建和管理用户对象是网络管理员执行的最常见任务。组是用户帐户的集合，管理员通常通过组来对用户的权限进行设置从而简化了管理。,本章学习目的,本章学习要求及能力目的,掌握本地帐户与域帐户的管理方法 掌握设置帐户属性的方法 掌握用户配置文件的创建方法 掌握用户组的管理方法 在活动目录中利用OU管理资源的方法,重点：创建并管理用户和组，对用户的配置文件进行配置和管理。,1.用户账户简介 Windows Server 2003提供两种主要类型用户账户：本地用户账户（Local User Accou

2、nt）和域用户账户（Domain User Account）。除此之外，Windows Server 2003系统中还有内置用户账户（Built-in User Account）。,创建并管理用户,2.本地用户账户,本地用户帐户只能登录到帐户所在的计算机并获得对该资源的访问。当创建本地用户帐户后，Windows Server 2003将在该机的本地安全性数据库中创建该帐户，本地帐户信息存储在本地，不会被复制到其他计算机或域控制器。当创建一个本地用户账户后，计算机使用本地安全性数据库验证本地用户账户，以便让用户登录到该计算机。,注意： 不要在需要访问域资源的计算机上创建本地用户账户，因为域不能识

3、别本地用户账户，也不允许本地用户访问域资源。而且，域管理员也不能管理本地用户账户，除非他们用计算机管理控制台中的操作菜单连接到本地计算机。,3.创建本地用户账户,创建本地用户账户可以在除了域的域控制器以外的任何一台基于Windows Server 2003的计算机上进行。出于安全性考虑，通常建议只在不是域的组成部分的计算机上创建和使用本地用户账户，即在属于域的计算机上不要设置本地账户。工作组模式是使用本地用户账户的最佳场所。,4.域用户账户,域用户账户可让用户登录到域并获得对网络上其他地方资源的访问权。域用户账户是在域控制器上建立的，作为Active Directory的一个对象保存在域的Ac

4、tive Directory数据库中。用户在从域中的任何一台计算机登录到域中的时候必须提供一个合法的域用户账户，该账户将被域的域控制器所验证。 当在一个域控制器上新建一个用户账户后，该用户账户被复制到域中所有其他计算机上，复制过程完成后，域树中的所有域控制器就都可以在登录过程中对用户进行身份验证。,5.创建域用户账户,域用户账户是在域的域控制器上创建的，并会被自动复制到域中的其他域控制器上。若要创建和管理域用户账户，可使用【Active Directory用户和计算机】窗口，在Active Directory目录树中创建用户对象。也可用该工具创建、删除或禁用用户对象，并管理用户对象的属性。,W

5、indows Server 2003在安装时自动创建若干个用户账户，并且赋予了相应的权限，这些账户称为内置用户账户。内置用户账户不允许被删除。最常用的两个内置账户是Administrator和Guest。,6.内置用户账户,Guest（来客）账户一般被用于在域中或计算机中没有固定账户的用户临时访问域或计算机时使用的。默认情况下不允许该账户对域或计算机中的设置和资源做永久性的更改。该账户在系统安装好之后是被屏蔽的，如果需要，可以手动启用。,7.设置用户账户属性,创建的每一个用户对象都有一套默认属性。创建了用户账户后，可以设置个人属性、账户属性、登录选项和拨号设置。可使用为域用户账户定义的属性在目

6、录中搜索用户，或用于其他应用程序。因此，创建每一个域用户账户时都应当提供详细的定义信息。,用户的属性对话框中各项选项卡的作用,【常规】、【地址】、【电话】和【单位】这些选项卡中的属性与用户对象或Active Directory的操作没有直接关系，只提供用户的背景信息。在这些选项卡中输入信息可让您通过使用已掌握的用户信息轻松查找所需域用户账户。,1）设置个人属性,属性对话框中的【账户】选项卡包含几个创建用户对象时所配置的属性，在该选项卡中可以为用户更改登录名。 在【账户过期】选项组中可以为该账户设置一个过期时间。默认情况下，账户是永久有效的，除非被删除。如果某个临时用户账户希望在某个时间后自动失

7、效，则可以选中【在这之后】单选按钮，然后打开下拉菜单，在日历中为该账户选择一个失效日期，当该账号使用期超过设定的日期，则使用该账户将不能登录到域中，而不需要管理员手动删除账户。,2）设置账户属性,3）设置登录时间,4）设置用户可登录的计算机,默认情况下，用户可以从任何一台域中的计算机登录到域。,用户配置文件定义了用户使用Windows Server 2003的工作环境，其中包括用户计算机的显示器设定、区域设定、鼠标、声音设置、【开始】菜单及桌面快捷方式等参数，另外，还有网络连接和打印机的设置等。,8.创建用户配置文件,用户配置文件实际上不是一个具体的文件，而是由一系列文件和文件夹组成的。在硬盘

8、上Windows Server 2003所在的分区上会有一个Documents and Settings文件夹，在该文件夹下面有所有在该计算机上登录过的用户的配置文件。每个用户都会有一个自己的文件夹，文件夹的名字就是用户的登录名，该文件夹包含了用户的各种设置,1)用户配置文件的类型,分三类:本地用户配置文件、漫游用户配置文件和强制用户配置文件。,（1）本地用户配置文件,如果某个用户配置文件仅限于本机使用，则称为本地用户配置文件。,域用户可以在任意一台域内的计算机上登录，但当你在一台计算机上的用户配置文件修改后，你会发现到另一台计算机上登录时，所有的设置还是原来的，并没有发生修改，这就是因为用户

9、的配置文件是保存在本地的。 如果我们想让用户的配置文件随着帐号走，也就是不管用户在哪台计算机上登录都能保持用户配置文件一致，那么就要用到漫游用户配置文件。,在域的环境下本地配置文件存在着一些问题：,漫游用户配置文件是保存在网络服务器上的用户配置文件。当用户要登录到某台计算机，而这台计算机上没有本地用户配置文件时，管理员从网络服务器上把漫游配置文件复制到登录使用的客户机上，并且把漫游配置文件应用于那台计算机。这样，用户总得到他的个人桌面设置和连接。,（2）漫游用户配置文件,（3）强制用户配置文件,系统管理员还可以根据实际情况把漫游用户配置文件设为只读，以防用户随意改动此配置文件。,强制用户配置文

10、件也属于漫游用户配置文件，不过它具有只读属性，其内容由系统管理员事先设置，用户无法更改，每次登录时都要使用固定的工作配置。用户注销时系统不保存登录过程中用户所做的任何改变。当用户再次登录时，配置文件仍然和上次登录时一样。,为了将漫游用户配置文件改成强制性的，只须在保存漫游用户配置文件的共享文件夹下将ntuser.dat文件更名为ntuser.man即可。,组是用户或计算机账户的集合。通过使用组可以将权限分配给一组用户而不是单个用户账户。当将权限分配给组时，组的所有成员都将继承那些权限，这样可以简化网络管理。 除了用户账户外，还可以将其他组、联系人和计算机添加到组中。将组添加到其他组可以创建合并

11、组并减少需要分配权限的次数。也可将计算机添加到组中，简化从一台计算机上访问另外一台计算机上资源的系统任务。 与用户帐户一样，按照在Windows Server 2003中组的使用可以分为本地组和域组。,创建并管理组,本地组有两种类型：本地组（Local Groups）和内置组（Built-in Groups）。 （1）本地组 本地组可以在任何一台基于Windows Server 2003的非域控制器计算机上创建，通过将用户加入到相应的本地组赋予相应的权限，就可以控制用户对本地计算机上资源的访问。本地账户信息是放置在创建该组的计算机内的数据库中，因此，其作用范围只限于在创建该本地组的计算机上。,

12、1本地组类型,（2）内置组 在安装运行Windows Server 2003的客户机或成员服务器时，会自动创建内置组。内置组具有一些特定的事先赋予的权力，用以完成某些特定的系统任务。内置组不能被删除，其作用范围也仅限于其存在的计算机上。,域模式中的组又称为域组，存储在域的Active Directory中，在Active Directory中根据组的作用进行分类，可分为两类：通信组和安全组。可以使用通信组创建电子邮件通信组列表，使用安全组给共享资源指派权限。,2域模式组类型,像通信组一样，安全组也可用作电子邮件实体。给这种组发送电子邮件会将该邮件发给组中的所有成员。,安全组和通信组之间的转换

13、在域功能级别设置为Windows 2000本机或更高模式的情况下，组都可以从安全组转换为通信组，反之亦然。当域功能级别被设置为Windows 2000混合模式（域的模式我们将在本节后面给大家介绍）时，不可以转换组。,在域模式中，不论是安全组还是通信组都有一个作用域，用来确定在域树或域森林中该组的应用范围。按照作用域的不同，域模式中的组可以分为3类：全局组、本地域组和通用组。,3域模式中组的作用域,（1）全局组的成员是对网络具有相同访问权限的用户。全局组的作用范围是整个域树，因此，全局组可以在属于同一个域树的域中被赋予权限。全局组的成员只能来自于定义该组的本域中的其他组和账户。全局组可以成为其他

14、组的成员，这些组可以是和该全局组是同一个域或是不同的域。由于全局组可以在不同的域中存在，因此，全局组中的成员可以访问其他域中的资源。,（2）本地域组的作用范围只是在创建此本地域组的本域内，因此只能在域内指派权限。成员可包括Windows Server 2003、Windows 2000或Windows NT域中的其他组和账户，本地域组具有开放的成员资格，即可以接受任何一种账户成为该组的成员，这些账户可以是同一个域中的其他本地组（必须在本机模式中）、域树中的任何域用户账户、域树中的任何域的全局组、域树中的任何域的通用组（必须在本机模式中）。但是本地域组不能成为其他任何组的成员。,（3）通用组可在

15、该域树或域森林中的任何域中指派权限。其成员可包括域树或域森林中任何域中的其他组和账户，但只有当域处于本机模式时，才能创建具有通用组的安全组。,创建新组时，在默认情况下，新组被设置为具有全局作用域的安全组，而与当前域功能级别无关。尽管在域功能级别为Windows 2000混合模式中不允许更改组作用域，但在其域功能级别为Windows 2000纯模式和Windows Server 2003模式中，允许进行下列转换：,4域模式中组之间的转换,全局到通用。只有当要更改的组不是另一个全局作用域组的成员时，允许进行该转换。 本地域到通用。只有当要更改的组没有另一个本地域组作为其成员时，允许进行该转换。 通

16、用到全局。只有当要更改的组没有另一个通用组作为其成员时，允许进行该转换。 通用到本地域。该操作没有限制。,组成员与权限,5.域功能级别,1）域功能级别的类型 在Windows 2000 Server中有2种域功能级别：混合模式和本机模式。如果域处于混合模式，则可以支持Windows NT 4.0的域控制器，但不支持Windows 2000和Windows Server 2003的计算机的域控制器。在混合模式下不能使用通用组，而且也不能进行组嵌套。如果域处于本机模式，则可以支持所有功能。Windows Server 2003的域默认处于混合模式。,在Windows Server 2003中有3种

17、域功能级别 Windows 2000混合模式（默认） Windows 2000纯模式 Windows Server 2003模式,域的级别及所支持的DC情况,注意： （1）默认情况下，只有Domain Admins和Enterprise Admins组中的成员才可以执行提升域功能级别的操作。,（2）域的级别是可以改变的，但是要注意这种改变是单向不可逆的，而且一旦提升域功能级别之后，就不能再将运行旧版操作系统的域控制器引入该域中。,6.内置组,Windows Server 2003在安装时会自动创建一些组，这种组叫内置组。内置组又分为内置本地组和内置域组，内置域组又分为内置本地域组、内置全局组和

18、内置特殊组。,在活动目录中利用OU管理资源,OU是活动目录中最小的管理单元。OU一般来说与公司的行政管理部门相对应，是一个活动目录对象的容器。在OU中可以有用户账号、组账号、计算机、打印机、共享文件夹及子OU等对象。,实现OU的权限委派,在Windows Server 2003的活动目录中可以使用委派控制向导来实现对OU的权限委派。,本章作业,一练习 1填空题 （1）Windows Server 2003中用户分为哪三种：内置用户、_和本地用户。 （2）Windows Server 2003中域组安全作用域的类型分为_、_、通用组。 （3）当想暂时停用某用户的账户时，应该使用_功能。 （4）Administrator是操作系统中最重要的用户账户，平常俗称为超级用户，它属于系统中_账户。 （5）Windows Server 2003中新建的用户默认属于_组。 （6）Windows Server 2003中超级用户的名字是_。,（7）Windows Server 2003中有3种域功能级别，即_、_和_。 （8）默认情况下，只有_和_组中的成员才可以执