架构实验：第1周.ppt

1、实验一 本地用户和组,主要知识点： 一、规划用户帐户 （掌握） 二、创建和管理用户帐户 （掌握） 三、规划和使用组 （掌握） 四、创建和管理组 （了解）,一本地帐户与域帐户,用户和组在 Windows Server 2003的安全策略中非 常重要，因为可通过指派用户和组的权限来限制其 执行某些操作的能力。用户被授权在计算机上执行 某些操作，如备份文件和文件夹或关机。权限是与 对象（通常是文件、文件夹或打印机）相关的规 则，它规定哪些用户可以用何种方式访问对象。 如果不访问用户账户，就无法使用Windows Server 2003网络中的资源，包括使用任何一台计算 机或者连入网络。用户帐户就像汽

2、车的钥匙，没有 这把钥匙，就无法开动汽车。,Windows Server 2003用户帐户既可以是域帐户，又可以是本地帐户。 域帐户或称网络帐户是存储在Active Directory 中，作用在Windows网络安全环境中的用户帐户对 象。域帐户是全企业范围的，用户利用域帐户登录 到网络，可以访问整个网络中有权访问的资源。 本地帐户是对应特定计算机的对象。一个本地 帐户只对一个特定计算机的本地安全数据库SAM （安全帐户管理器）有效。本地帐户只能提供特定 计算机范围内的访问。就好比某人的钥匙只允许其 进入自家家门，而不能进入邻居家一样。,二规划用户帐户,1、用户帐户命名规则 创建新用户时惟一

3、的要求是提供有效用户名。有效就是指符合Windows Server 2003用户命名规则，但也可以建立自己的命名约定。Windows Server 2003用户名命名规则如下：,用户名应为1到20个字符 用户名不能与指定计算机上存放的所有其他用户 名或组名相同 用户名不能包含下列字符：* ： ； | = ， + * ? 用户名不能只由句点和空格组成,2、密码规则 当用户试图登录Windows Server 2003时，安全子系统将检查用户是否存在以及核对用户提供的密码与数据库中的密码是否匹配。本地用户帐户的密码长度最多为127位字符。但是，如果在还有使用 Windows 95 或 Window

4、s 98 的计算机的网络上使用 Windows Server 2003，考虑使用不超过 14 个字符的密码，这是因为Windows 95 和 Windows 98 最多支持 14 个字符的密码。如果密码过长，可能无法从这样的计算机登录网络。,3、内置用户帐户 在安装Windows Server 2003时，不论是独立服务器或者成员服务器，还是支持Active Directory的域控制器，操作系统都将建立默认帐户。在独立服务器上，默认帐户针对本机的本地帐户，并被存放在SAM中。内置帐户不能被删除，但它们可以被重新命名。,Administrator帐户是个特殊帐户，具有计算机的完全控制权。要在W

5、indows Server 2003安装过程中提供这个帐户的密码。 Administrator帐户可以进行各种工作，如创建用户与组、管理文件系统和设置打印。,Guest帐户允许没有用户名和密码的用 户也能访问计算机。由于这种用户固有的 安全风险，这个帐户缺省为禁用。启用这 个帐户时，权限通常很有限。 Windows Server 2003也会为匿名访问 IIS等服务的用户提供内置的帐户。如： IUSR_computer _name、 IWAM_computer_name等。,三创建和管理用户帐户,1、创建用户帐户 使用Windows Server 2003用户帐户的第一 步是访问本地用户和组实

6、用程序。访问本地用 户和组的常见方法有两种： 要创建新用户帐户，需打开本地用户和组实用程序， 选中【用户】文件夹，并选择【操作】【新用户】 （如下图所示），,可以将本地用户和组实用程序作为MMC 管理单元装入 可以通过计算机管理实用程序访问本地用 户和组实用程序,创建新用户界面,打开【新建用户】对话框。在对话框中，要 填入【用户名】字段。【新建用户】对话框中 所有其他字段都是可选的。 单击【操作】，然后单击【新用户】，会打 开创建用户的对话框，如下图所示。,填写新用户资料,在【用户名】栏中输入规划好的用户帐户名 称，根据实际情况输入用户的全名和描述信息 （全名和描述可以省略）。 此外，还有四个

7、复选框，分别表示：,用户下次登录时须更改密码：强制用户在首次登录时改变密码，提高安全性。这个选项缺省选择。 用户不能更改密码：不让用户改变密码，用于Guest之类的帐户和多个用户共享的帐户。缺省不选这个选项。 密码永不过期：指定密码永不过期，即使指定了密码策略。例如，服务帐户可以选择这个选项以减少改变密码的管理开销。缺省不选这个选项。 帐户已停用：指定这个帐户无法用于登录。例如，可用于临时帐户或当时不用的帐户，防止非活动帐户造成安全威胁。缺省不选这个选项。,2、管理用户帐户 （1）关闭用户帐户 当不再需要用户帐户时，应当将其关闭或删除。如果关闭帐户，则以后只要再启用该帐户即可恢复其相关用户属性

8、，而删除的帐户则永远无法恢复。 如果用户一定时间内不使用帐户，则可以关闭该帐户，比如员工度假或离开一段时间时。关闭帐户的另一原因是准备换一个用户担任这个角色。例如，工程经理Rick辞职，如果关闭帐户，则公司招聘新的工程经理时，只要更名这个帐户（将用户名Rick变成新经理的用户名），并启用这个帐户即可。这样就保证继任者具有与Rick相同的用户属性，拥有相同的资源。,关闭帐户还提供了特殊情形中的安全机制。例如，公司辞退一组人员，则一项安全措施是在这些员工得到辞退通知的同时关闭他们的帐户，使其无法在走前对公司文件造成任何损害（的确冷酷了些，可能令别的员工有些寒心，但能达到保障安全的目的）。 要关闭用

9、户帐户，需选择用户属性对话框中的【帐户已停用】复选框。要访问用户属性对话框，双击本地用户和组程序中用户文件夹中的用户帐户。,（2） 删除用户帐户 要删除用户帐户，需打开本地用户和组实用程序，选中要删除的用户帐户，并单击【操作】菜单，然后选择【删除】命令，如下图所示。,填写新用户资料,删除之后，这个帐户就再也不能恢复了（除非从备份中恢复本地用户帐户数据库）。在Windows Server 2003中用于资源访问管理的是SID。例如，删除了一个叫CindyF的帐户，当你重新创建一个叫做CindyF的帐户时，虽然名字相同，但其SID已经不同了。那么，CindyF将无法访问以前那个特定目录，除非重新将

10、此目录加入到目录的权限列表中。,（3） 更改用户名 创建帐户之后，可以随时更换帐户名。更换帐户名允许用户保持前一用户名的所有相关的用户属性。更换帐户名可能是因为用户改名或姓名拼写有错。另外，可以对需要相同属性的新用户更换现有帐户名，例如新任人员取代离任人员。 要更名用户帐户，需打开本地用户和组实用程序，选中要更名帐户的用户，并选择【操作】【重命名】，如下图所示，然后修改用户名并按Enter键完成更名操作。,重命名帐户,（4） 改变用户密码 如果用户忘记密码而无法登录怎么办？一般人都不能看到他的旧密码，但作为管理员，可以改变他的密码，然后让他使用新密码登陆，并修改成自己常用的密码。 要改变用户密

11、码，需打开本地用户和组实用程序，选中用户帐户，并选择【操作】【设置密码】。输入新密码，再次输入进行确认，如下图所示。,设置帐户密码,（5） 管理用户属性 如果要更多地控制用户帐户，可以配置用户属性。通过用户属性对话框，可以改变原密码选项，将用户加进组中和指定用户配置文件信息。 用户属性对话框有四大类属性的标签：【常规】、【隶属于】、【配置文件】和【拨入】。,【常规】标签包含设置新用户帐户时指定的信息，包括输入的姓名与描述信息，选择的密码选项和帐户是否关闭。如果要修改这些属性，只需打开用户属性对话框并在常规标签中进行改变即可，如后图所示。,常规选项,要将用户加进现有组中，单击【添加】按钮并选择用

12、户要加进的组。要从组中删除这个用户，选中组名并单击【删除】按钮，如下图所示。,隶属于选项,【配置文件】标签可以设置自定义用户环境的属 性（如下图所示）。,配置文件选项,【拨入】标签用于定义拔号属性，如远程访问权 限与回叫选项。这些选项与远程访问服务器和 VPN服务器一起使用，如下图所示。,拨入选项,四规划和使用组,1、组的命名规则 创建新组与创建用户帐户类似，需要向系统提供规划好的有效组名称，有效就是指符合Windows Server 2003用户命名规则。Windows Server 2003组命名规则如下： （1）本地组名不能与被管理的计算机上的其他组名或用户名相同 （2）组名最多 256

13、 个大写或小写字符 （3）组名不能包含下列字符： / : ； | = ， + * ? （4）组名不能只由句点 （.） 或空格组成,2、内置组 在安装Windows Server 2003的过程中，系统创建了若干内置组，并为这些组赋予了相应的权限。下面列出了主要的内置组及其相应的权限：,Administrators：管理员组的成员具有对计算机的完全控制权限。只有内置组才被自动授予该系统中的每个内置权利和能力。 Backup Operators：备份操作员组的成员可以备份和还原计算机上的文件，而不管保护这些文件的权限如何。他们也可以登录计算机和关闭计算机，但不能更改安全设置。,Power User

14、s：超级用户组的成员可以创建用户帐户，但只能修改和删除他们所创建的帐户。超级用户可以创建本地组并从他们创建的本地组中删除用户。也可以从超级用户、用户和来宾组中删除用户。 Users：用户组的成员可以执行大部分普通任务，如运行应用程序、使用本地和网络打印机以及关闭和锁定工作站。用户不能共享目录或创建本地打印机。缺省情况下，创建的新用户都是Users组成员。 Guests：来宾组允许偶尔或临时用户登录工作站的内置来宾帐户，并授予有限的能力。,下面还列出了几个内置的特殊组，这些组不能被编辑、禁用或删除，也没有办法添加成员。他们可以被赋予各种权限，但在“本地用户和组”中并不可见。,Everyone：这

15、个组的意思是使用计算机和网络的每一个人。 INTERACTIVE：所有使用计算机的本地用户。 NETWORK：通过网络和计算机相连的所有用户，NETWORK组和INTERACTIVE组结合就是Everyone组。 SYSTEM：这个组包括特定的、操作系统所依赖的资源。 CREATOR OWNER：这个组特指文件夹、文件或打印工作的创建者。,5、创建和管理组 （1）创建组帐户 创建组帐户与创建用户帐户相似，将本地用户和组管理单元加进MMC中后，展开显示用户和组文件夹。右键单击组文件夹并选择弹出菜单中的【新组】。【新组】对话框中惟一必须的项目是组名。可以输入说明姓名并增加（或删除）组成员。准备创建

16、新组时，单击【创建】按钮即可完成组的创建，如下图所示。,创建组,2、管理组帐户 （1） 更换组名 Windows Server 2003提供了改变组名的方便机制。例如，如果当前组名不符合命名约定，则要改变组名。 和更换用户帐户名时一样，更换组名时也会保持其所有属性，包括成员和权限。 要改变组名，需右键单击组名并从弹出菜单中选择【重命名】，如下图所示，然后改变组名并单击【确定】按钮。,重命名组,（2） 删除组 如果某个组不再使用，则可以将其删除。删除之后，就失去了该组指定的所有权限设置。 要删除组，需右键单击组名并从弹出菜单中选择【删除】（如下图所示）。此时出现警告对话框，单击【是】按钮，即可将组删除。 如果删除组之后再给另一个组以相同的名称，则并不创建与所删除的组相同的属性。,删除组,（3） 管理本地组属性 创建组之后，可以在其中增加成员。可以将一个用户放进多个组中。 可以通过组属性对话框方便地增加（或删除）组成员。要从本地用户和组实用程序组文件夹中访问组属性对