服务器配置与管理 课件第11章

1、第11章活动目录的管理Windows Server 2012目录01域用户账户的创建和管理CONTENT02 域中组账户的创建和管理03 组织单位的创建和使用04 在域中实现AGDLP学习重点u 域用户账号的创建和管理方法；u 域中组账号的创建和管理方法；u 组织单位的创建和管理方法；u 在活动目录中发布和管理资源的方法。01域用户账户的创建和管理PART域用户账户简介u Windows Server 2012中的用户账号可以分为本地用户账号和域用户账号，其中本地用户账号位于工作组中的计算机及域中非DC的计算机上，域用户账号位于域控制器上。管理本地用户账号使用计算机管理控制台下的【本地用户和组

2、】，管理域用户账号使用【Active Directory用户和计算机】。u 在域控制器中只存有域用户账号。这是因为如果本地用户账号作为合法用户，那么本地用 户就可以直接登录服务器，获得管理权限，进而对域控制器进行操作，甚至删除活动目录，把计算机降级为普通的计算机，导致域管理彻底 域的安全，在域控制器上是没有本地用户账号的。，这是绝对不允许的。所以，为保证创建域用户账户(1) 具体操作步骤如下：(1) 在服务器管理器页面，单击“AD DS”列表项，在右侧服务器列表中，指向域控制器右击，通过快捷菜单打开【Active Directory用户和计算机】，在控制台的Users容器上单击鼠标右键，或者单

3、击菜单中的“操作”，在菜单中依次选择【新建】|【用户】命令。(2) 在【新建对象-用户】对话框中输入用户的姓名及用户登录名信息，如图所示。创建域用户账户(2) 具体操作步骤如下：(3)单击【下一步】按钮为用户设置择如图所示。，设置时的选 【用户下次登录时须更改建用户时所勾选。】复选框：常被管理员创 【用户不能更改 有能力更改自己的】复选框：勾选此复选框用户将没。当然，管理员还是有权限可以更改用户的。 【永不过期】复选框：勾选此复选框系统将忽略系统默认的过期时间(42天)。 【账户已禁用】复选框：勾选此复选框则账户将不能登录，直到管理员解除这个限制。创建域用户账户(3) 具体操作步骤如下：(4)

4、选择好合适的选项后，单击【完成】按钮。(5)由于域控制器默认安全级别较高，所以可能设置不当，会不符合安全需求，此时需要单击【上一步】按钮回到设置页面重新设置安全的，如图 所示。安全的标准，包括不包含用户名中的部分，包含大写字母/小写字母/数字/特殊字符四类字符中至少三类，长度不小于8位等。比如一个大写字母，加上一个小写字母，再加上最少六位数字即可。(6)满足要求后，账号创建成功。管理域用户账户 具体操作步骤如下：打开【Active Directory 用户和计算机】控制台窗口， 右击某一个用户账号，在弹出的快捷菜单中选择相应的命令就可以对其进行管理工作了。每一个用户账号都包含大量的信息，在【A

5、ctive Directory 用户和计算机】控制台窗口下的某个用户账号上右击，在弹出的快捷菜单中选择【属性】命令，就可以打开用户账号的【liuxuegong属性】对话框，如图所示。uu【liuxuegong属性】对话框有16个选项卡，要想把u这16个选项卡都显示出来，首先要在【ActiveDirectory 用户和计算机】控制台下，打开【查看】菜单， 选中其中的【高级功能】选项。在这16个选项卡中，【常规】、【地址】、【电话】、【组织】这几个选项 卡分别用来输入用户账号中的个人信息。管理员应尽可 能详细地填写用户的信息，尤其是在用户比较多的时候， 可以通过这些信息对用户进行查询。【账户】选项

6、卡 具体操作步骤如下：u 第一行设定的是用户的主名，看起来和电子邮件书写方式是一样的，这样的名称既可以保证全球唯一性，又具有良好的层次感。是Windows Server 2012推荐使用的表示方式。u 第二行是为了兼容以前版本保留的主机名设定。u 单击【登录时间】按钮，就会出现【liuxuegong的登录时间】对话框 。u 单击【登录到】按钮可以打开【登录工作站】对话框， 在这里可以设置此用户可以使用哪些工作站登录到域，也是一个很有用的管理项，可以减少很多的安全隐患。【账户选项】列表框中有10个选项，分别用来设置账号的选项和账号禁用等。【账户过期】选项组可以设定过期时间，比如对临时工进行限定。

7、【配置文件】选项卡 具体操作步骤如下：u 【配置文件】选项卡分为【用户配置文件】和【主文件夹】两部分。【用户配置文件】定义了当用户登录到计算机时 所获得的工作环境，包括桌面设置、快捷方式、屏幕保护、区域设置以及网络连接和打印机设置等。【隶属于】选项卡 具体操作步骤如下：u 【隶属于】选项卡中可以查看用户属于哪些组的成员，如图11-11所示。单击【添加】按钮可以把用户添加到某个组中，选中某个组账号后单击【删除】按钮可以把用户从组中删除。02域中组账户的创建和管理PART活动目录中组账户的分类u 按照组的类型进行分类，组账号有两种类型：通讯组和安全组。通讯组用来组织用户账号， 没有安全特性，一般不

8、会用来进行授权。安全组具备通讯组的全部功能，并可以用来为用 户和计算机分配权限，是系统安全主体，它出现在定义资源和对象权限的访问控制列表中。u 按照组的范围进行分类，可以分为3种类型，即全局组、本地组和通用组。 全局组是用来管理那些具有相同管理任务或者访问许可的用户账号。 本地组用来给本域中的资源分配权限，它只在本域中可见。 通用组的主要作用是在多域环境下组织全局组，简化管理任务。通用组的成员可以包含任何域的用户账号、任何域的全局组和通用组，可以成为任何域中本地组的成员。在域中创建组账户 具体操作步骤如下：(1) 在域控制器中打开服务器管理器，选择AD DS，打开【Active Directo

9、ry用户和计算机】窗口，在Users容器上右击，在弹出的快捷菜单中依次选择【新建】|【组】命令 。(2) 弹出【新建对象-组】对话框，如图 所示。 在【组名】文本框中输入新建的组账号名称。和用户名一样，组名在所属域中必须唯一。 在【组作用域】选项组中按需要选择全局组、本地域组或通用组。 在【组类型】选项组中根据需要选择安全组和通讯组。(3)单击【确定】按钮创建组账号，返回控制台下可以看到新建的组账号。管理组账户(1) 具体操作步骤如下：(1) 设置组账号信息。在域控制器中打开服务器管理器， 选择【工具】|【Active Directory用户和计算机】命令， 打开【Active Directo

10、ry用户和计算机】窗口，展开目录，右击TestGroup，从快捷菜单中选择【属性】命令， 打开【TestGroup属性】对话框。(2) 设置组成员。在【TestGroup属性】对话框中切换 到【成员】选项卡，单击【添加】按钮，在弹出的【选 择用户、联系人或计算机】对话框中单击【高级】按钮， 从弹出的对话框中单击【立即查找】按钮，系统即显示 搜索结果，管理员可根据需要来设置组成员的权限，如 图 所示。管理组账户(2) 具体操作步骤如下：(3) 设置组管理者。在【TestGroup属性】对话框中切 换到【管理者】选项卡，单击【更改】按钮，在弹出的 对话框中单击【高级】按钮，打开【选择用户或联系人】

11、对话框，单击【立即查找】按钮，管理员可从搜索结果 中指定一个用户后确认即可。(4) 组账号重命名。打开【Active Directory用户和计算机】窗口，从目录树中单击Users，展开组账号，选择一个账号并右击，从快捷菜单中选择【重命名】命令， 然后依提示操作即可，如图所示。(5) 删除组账号。选择组账号，右击，从弹出的快捷菜单中选择【删除】命令即可 。03组织单位的创建和使用PART组织单位简介组织单位(Organizational Units，OU)是活动目录管理中的重要手段。一般来说，组织单位与公司中的行政管理部门相对应，是活动目录对象的容器。在组织单位中可以有用户账号、组账号、计算机

12、、打印机、共享文件夹、子组织单位等对象。组织单位和组账号是有区别的。虽然二者都是为了进行管理而创建的，但是组账户中能包含的对象类型比较有限，而组织单位中不仅可以包含用户账号和组账号，还可以包括计算机、打印机、共享文件夹、联系人等其他活动目录对象。组织单位还有一个很重要的功能就是可以在组织单位上设置组策略，对组织单位中的资源进行严格的策略管理。就像在公司中定义规章制度、岗位职责一样。组账号是没有这个功能的。如果删除一个组账号，那么只是删掉了这种组织形式，组中的资源对象仍然存在。如果删 除了组织单位，那么组织单位内部包含的所有对象都将被删除，这也是一个很重要的区别。uuuu在活动目录中创建组织单位

13、 具体操作步骤如下：(1) 在【Active Directory用户和计算机】窗口中右击相应容器，然后在弹出的快捷菜单中选择【新建】【组织单位】命令。注意：只能在域容器和组织单位容器下才可以创建组织单位。(2) 在弹出的【新建对象-组织单位】对话框中的【名称】文本框中输入该组织单位的名称，如图 所示。(3) 单击【确定】按钮，完成组织单位创建。返回控制台，可以看到组织单位创建成功 。在活动目录中管理组织单位 具体操作步骤如下：(1) 在【Active Directory用户和计算机】窗口中的某组织单位上右击，在弹出的快捷菜单中选择【属性】命令， 如图11-22所示，可以看到共有3个选项卡。(2

14、) 在【常规】选项卡中输入组织单位的信息，尤其是要输入【描述】信息，我们可以根据信息利用活动目录查找工具来搜索资源。在【管理者】选项卡中可以为组织单位指定管理者。(3) 选择【操作】|【委派控制】命令，可以进入控制委派向导，为选定的组织单元授予下级管理权限，单击【下一步】按钮 。(4) 单击【添加】按钮，选择用户或者组作为委派目标， 单击【下一步】按钮，如图11-24所示。(5) 勾选要授权的委派任务，单击【下一步】按钮 。(6) 查看汇总信息，单击【完成】按钮 。04在域中实现AGDLPPART在域中实现AGDLPu AGDLP法则是域环境下的一种管理思想，其中： A代表User Accou

15、nts(用户账号)； G代表Global Group(全局组)； DL代表Domain Local(域本地组)； P代表Permissions(权限)。u 简单地说，AGDLP的思想就是把用户账号加入到全局组中，然后把全局组加入到要访问的另一个域的域本地组，最后对域本地组赋予权限。05实践训练PART任务1：创建和管理域用户账户和组账户安装域、子域、林中新树根域和新林中根域。 任务目标：包含知识： 本章相关知识点。(1)(2)(3)(4)安装域控制器，域名称为。安装子域控制器，域名称为。安装同林中新树的域控制器，域名称为。安装新林中的域控制器，域名称为。 实施过程：任务2：规划组织单位创建组织单位，把计算机和用户加入组织单位，为组织单位委派管理者。任务目标： (1)(2)(3)(4)创建组织单位class1。在class1下创建两个组织单位