第6講 active directory和域

1、第6章　 Active Directory和域,Active Directory 簡介Active Directory 的使用,6.1 活動目錄——Active Directory簡介,Active Directory（AD）是Active Directory是存儲網(wǎng)絡(luò)上對象的相關(guān)信息并使該信息可供用戶和網(wǎng)絡(luò)管理員使用的目錄服務(wù)，是Windows的核心。Active Directory可將網(wǎng)絡(luò)中所有的資源集成在一個統(tǒng)一的全局目錄下，

2、資源可以包括各種軟硬件資源、Internet和內(nèi)部網(wǎng)絡(luò)，如：文件、外設(shè)、主機連接、數(shù)據(jù)庫、Web訪問、用戶、服務(wù)以及其他。Active Directory存儲各種對象的有關(guān)信息，并使該信息易于管理員和用戶查找及使用。Active Directory集成了安全性，通過網(wǎng)絡(luò)登陸，系統(tǒng)管理員能夠管理整個網(wǎng)絡(luò)中的目錄數(shù)據(jù)，而獲得授權(quán)的網(wǎng)絡(luò)用戶也可以訪問網(wǎng)絡(luò)上的任何地方的資源。,Active Directory簡介,Active Direct

3、ory包括兩個方面：目錄和與目錄相關(guān)的服務(wù)。目錄是存儲各種對象的一個物理上的容器，從靜態(tài)的角度來理解活動目錄與以前所結(jié)識的“目錄”和“文件夾”沒有本質(zhì)區(qū)別；目錄服務(wù)是使目錄中所有信息和資源發(fā)揮作用的服務(wù)，活動目錄是一個分布式的目錄服務(wù)，信息可以分散在多臺不同的計算機上，保證用戶能夠快速訪問。,Active Directory的服務(wù)功能及優(yōu)點,高效地組織資源：AD服務(wù)把所有的可用資源按照特有的目錄方式進行存儲和組織，可以應(yīng)對網(wǎng)絡(luò)的擴展

4、和資源的擴充；簡潔地查找資源：AD服務(wù)把資源組織成各個不同的對象，使用AD服務(wù)工具可以方便地查找域中的任何資源；靈活地管理方式：AD服務(wù)提供了集中管理方式和分布式管理方式，既發(fā)揮了集中式管理的安全性，又考慮了分布式管理的效率。,6.2 Active Directory結(jié)構(gòu),Active Directory是一個分布式的目錄服務(wù)，因為信息可以分散在多臺不同的計算機上，保證各計算機用戶快速訪問和容錯；同時不管用戶從何處訪問或信息處在何處

5、，對用戶提供統(tǒng)一的視圖，使用戶更容易理解和掌握。Active Directory采用組織單元、域、域樹、域林構(gòu)成的層次化的目錄結(jié)構(gòu)。Active Directory主要包含三種角色：域控制器、成員服務(wù)器、工作站。,域（Domain）,域是Windows Server 2003目錄服務(wù)的基本管理單位；一個計算機網(wǎng)絡(luò)最基本的單元就是“域”，活動目錄可以貫穿一個或多個域。在獨立的計算機上，域即指計算機本身；一個域可以分布在多個物理位

6、置上，同時一個物理位置又可以劃分不同網(wǎng)段為不同的域，每個域都有自己的安全策略以及它與其他域的信任關(guān)系。當(dāng)多個域通過信任關(guān)系連接起來之后，活動目錄可以被多個信任域共享。,域樹,域樹由多個域組成。域樹中的第一個域稱作根域。相同域樹中的其他域為子域。相同域樹中直接在另一個域上一層的域稱為父域。具有公用根域的所有域構(gòu)成連續(xù)名稱空間。域樹中的域通過雙向可傳遞信任關(guān)系連接在一起，且信任關(guān)系是可傳遞的。,域樹示意圖,域林,域林包括多個域樹。其中

7、的域樹不形成鄰接的名稱空間。而且域林也有根域。域林的根域是域林中創(chuàng)建的第一個域。域林中所有域樹的根域與域林的根域建立可傳遞的信任關(guān)系。,,,,,,,wfu.edu.cn,Jsj.wfu.edu.cn,Xk.wfu.edu.cn,,,,,,sdust.edu.cn,hg.sdust.edu.cn,cl.sdust.edu.cn,,雙向信任,域林示意圖,域控制器,在Windows Server 2003的網(wǎng)絡(luò)環(huán)境中，各域必須至少有一臺域控制

8、器（Domain Controller，簡寫為DC），存儲此域中的Active Directory信息，并提供域相關(guān)服務(wù)，例如：登錄驗證、名稱解析等。換言之，沒有域控制器，就沒有所謂的域。在域中，可以同時存在多臺域控制器，各域控制器都處于平等關(guān)系。網(wǎng)管人員可以在域內(nèi)任何一臺域控制器上管理Active Directory，包括建立帳號、設(shè)置組策略、委派控制等。用戶也可通過任何一臺域控制器來登錄域，并訪問Active Directory數(shù)

9、據(jù)庫。,成員服務(wù)器與工作站,Active Directory中可以包含一些普通的服務(wù)器，稱為成員服務(wù)器。成員服務(wù)器不負責(zé)AD的管理，它的任務(wù)是完成應(yīng)用相關(guān)的常規(guī)事項。Active Directory中也包含一些工作站，完成和用戶進行數(shù)據(jù)和操作的交互，起到一個終端的作用。,6.3 Active Directory中的重要概念,全局目錄：保存了森林中所有對象的所有特征的信息庫，默認保存在森林中第一個域控制器上，也可指定某域控制器存儲。復(fù)

10、制：通過該功能確保森林中的任何一臺域控制器的任何更改都能同步反映到其他域控制器上；信任：指不同域之間訪問資源的權(quán)限控制；DNS名稱：使用用戶友好的名字來標(biāo)識AD中的所有資源。,6. 4 域間的信任關(guān)系,域和域之間的通信是通過信任發(fā)生。信任關(guān)系是指在域之間建立的邏輯關(guān)系，以便允許通過身份驗證，其中信任域負責(zé)受信域的登錄驗證。受信域中定義的用戶帳戶可以獲得信任權(quán)利和權(quán)限，即使該用戶帳戶或組不在信任域的目錄中。域信任關(guān)系一般可分為單

11、向、雙向、可傳遞和不可傳遞四種。,1．單向信任是兩個域之間創(chuàng)建的單向身份驗證路徑。這意味著在域 A 和域 B 之間的單向信任中，域 A 中的用戶可以訪問域 B 中的資源。但是域 B 中的用戶不能訪問域 A 中的資源。2．雙向信任兩個域之間的信任關(guān)系，在該關(guān)系中，兩個域互相信任。例如，A 域信任 B 域，并且 B 域也信任 A 域。,3．可傳遞信任在整個的一組域（例如域樹）間流通、并在域和信任該域的所有域之間形成的信任關(guān)系。例如，

12、如果 A 域和 B 域之間存在可傳遞信任，并且 B 域信任 C 域，則 A 域也信任 C 域。 可傳遞信任可以是單向的，也可以是雙向的。4．非傳遞信任多域環(huán)境中的一種信任關(guān)系，僅限制在兩個域之間。例如，如果 A 域具有和 B 域的非傳遞信任，并且 B 域信任 C 域，則 A 域和 C 域之間沒有信任關(guān)系。 非傳遞信任可以為單向或雙向。,6.5 域結(jié)構(gòu),通常有4種基本類型的域結(jié)構(gòu)：單一域模型主域模型多主域模型完全信任模型。企

13、業(yè)根據(jù)其規(guī)模、地理分布以及其他資源條件，可以選擇不同的域結(jié)構(gòu)。,單一域模型,單一域模型（Single Domain Model）是最常見也是最適合小型企業(yè)的模式。優(yōu)點：沒有由于太多域所衍生的復(fù)雜的管理問題，也沒有域間的信任關(guān)系，所有資源整合在單一域中，便于集中控制管理。缺點：域中的帳戶等資料均需由域控制器來管理與驗證，集中負載過大。,主域模型,主域模型（Master Domain Model）適用于規(guī)模較完備的企業(yè)，可依照部門來規(guī)劃

14、域。其中一個域為主域。,在主域模型結(jié)構(gòu)中，所有域的帳戶將統(tǒng)一由主域進行管理，其它的域為“從域”。而從域到主域之間有信任關(guān)系。主域負責(zé)帳戶的維護，其他從域可負責(zé)其他文件或打印服務(wù)，但不需要建立任何帳戶資料，。優(yōu)點是：雖然主域負責(zé)帳戶的維護，但是每個從域可以決定用戶/組操作該域的權(quán)限，并不是完全控制在主域中。其缺點在于：帳戶集中在主域中，容易造成主域網(wǎng)絡(luò)流量激增而擁塞。,多主域模型,多主域模型（Multiple Master Doma

15、in）可以克服主域模型的缺點。該模型的結(jié)構(gòu)與主域模型類似，但是可以有多個主域，并且各主域間具有雙向信任關(guān)系，在不同非主域之間也可以存在信任。優(yōu)點是：可以克服主域模型的缺點，帳戶進行分散管理，減輕了單一主域的壓力。其缺點是：帳戶分散在不同的主域間會增加管理上的困難度。,多主域模型,完全信任模型,完全信任模型是無法采取集中式管理帳戶的情況下使用的方式。所有的域地位都是平等的，無主、從域之分。每個域自行管理自己域內(nèi)的帳戶，并在各域之間

16、建立雙向的信任關(guān)系，使所有的域都可以合法存取其它域的資源。,6.6 規(guī)劃Active Directory,Active Directory成功的關(guān)鍵在于合理的規(guī)劃；考慮實際有多少部門、部門間的隸屬關(guān)系如何員工的數(shù)量和主機的數(shù)量部門、主機、人員是否會有較大變化網(wǎng)絡(luò)拓撲是什么是否有異地的分支機構(gòu)。。。規(guī)劃需要多少個域哪些域組成一個域樹哪些域樹組成一個域森林每個域中規(guī)劃多少個管理模塊,6.7 域的建立,建立域控制器建

17、立域的第一步即建立域控制器，換言之，當(dāng)?shù)谝慌_域控制器建立時，同時也創(chuàng)建了第一個域、第一個林、第一個站點，并安裝了Active Directory。建立域控制器的具體操作步驟如下：（1）打開“開始”菜單，選擇“管理工具”菜單中的“管理您的服務(wù)器”命令啟動配置向?qū)В诖斯芾斫槊嬷谐霈F(xiàn)該服務(wù)器已具備功能。,“管理您的服務(wù)器”界面,（2）選擇“添加或刪除角色”命令，出現(xiàn)“配置您的服務(wù)器向?qū)А苯槊妗?（3）單擊“下一步”，選擇要安裝的服務(wù)器角色

18、，在此要安裝的是域控制器（Active Directory），若對話框中顯示本服務(wù)器并未配置該項，則選中該項。,（4）確認選項，點選“下一步”，將運行Active Directory安裝向?qū)⒋朔?wù)器設(shè)置為域服務(wù)器。,（5）出現(xiàn)Active Directory安裝向?qū)g迎介面。,（6）點擊“下一步”，出現(xiàn)設(shè)置操作系統(tǒng)兼容性的對話框，說明運行Active Directory的Windows版本要求，運行Windows98以前的版本的計算機

19、將無法登錄到運行Windows Server 2003的域控制器或訪問域資源。,（7）單擊“下一步”，打開選擇域控制器類型對話框，用戶可以選擇新建一個域控制器或是在現(xiàn)有域中添加一個額外域控制器，新建第一個域控制器時，需選擇“新域的域控制器” 。,（8）單擊“下一步”，打開“創(chuàng)建一個新域”對話框，用戶可以從中選擇創(chuàng)建域的類型：在新林中的域：表示創(chuàng)建一個新域或讓新域獨立于當(dāng)前的域林。在現(xiàn)有域樹的子域：表示把新域作為現(xiàn)有域的子域。在現(xiàn)有

20、的林中的域樹：表示創(chuàng)建一個與現(xiàn)有樹分開的、新的域樹。創(chuàng)建第一個域時，選擇在創(chuàng)建一個新的在新林中的域。,（9）單擊“下一步”，打開“為新域命名”對話框，用戶可以為新域輸入一個DNS域名。,（10）單擊“下一步”，打開“指定新域的NetBIOS”對話框，NetBIOS域名是早期的Windows版本的計算機用來識別新域的，用戶可以較入新名稱，也可以接受系統(tǒng)默認的域名，默認情況下，域NetBIOS名即域名的第一部分。,（11）單擊“下一步”，

21、打開“數(shù)據(jù)庫和日志文件文件夾”對話框。用戶在此要指明保存Active Directory數(shù)據(jù)庫和Active Directory日志的位置，如果以后需要可恢復(fù)性的操作，用戶可以將數(shù)據(jù)庫和日志放在不同的硬盤上。,（12）單擊“下一步”，打開“共享的系統(tǒng)卷”對話框。用戶需指定作為系統(tǒng)卷共享的文件夾，系統(tǒng)默認的SYSVOL文件就用來存放域的公用文件的服務(wù)器副本，并且文件夾中的內(nèi)容被復(fù)制到域中的所有域控制器，在此要注意SYSVOL文件夾必須要放

22、置在NTFS卷上，如硬盤中并無NTFS分區(qū)，就無法繼續(xù)安裝下去。,（13）單擊“下一步”，如果服務(wù)器未安裝DNS，或DNS配置不正確，便會出現(xiàn)下圖所示，域控制器需要有DNS的支持，可以根據(jù)具體情況通過對話框中所給出的三個選項來解決這個問題，以使安裝可以繼續(xù)。,（14）單擊“下一步”，打開“權(quán)限”對話框，可從中選擇用戶和組對象的默認權(quán)限。,（15）單擊“下一步”，打開“目錄服務(wù)還原模式的管理員密碼”對話框，要求用戶輸入管理員帳戶的密碼，這

23、個帳戶是出現(xiàn)系統(tǒng)災(zāi)難，還原目錄服務(wù)時登錄的新域管理員帳戶。,（16）單擊“下一步”，打開“摘要”對話框，顯示在創(chuàng)建域控制器過程中所有的設(shè)置。,（14）單擊“下一步”，系統(tǒng)即開始安裝Active Directory。,（15）最后，出現(xiàn)“完成安裝”的對話框。,（16）單擊“完成”，出現(xiàn)“重新啟動系統(tǒng)”提示對話框，選擇“立即重新啟動”。,（17）重啟系統(tǒng)后，出現(xiàn)“此服務(wù)器現(xiàn)在是域控制器”對話框，說明域控制器已安裝成功，AD安裝成功。,（18

24、）現(xiàn)在再次進入“管理您的服務(wù)器”窗口時，已配置角色中出現(xiàn)了“域控制器”一項，用戶可通過右邊所示的“管理AD中的用戶和計算機”、“管理域和信任”及“管理站點和服務(wù)”對該域進行管理。至此，第一臺域控制器便安裝成功，隨之，域也就建立了。,6.8 將計算機加入域中,域控制器在域中起著重要作用，但并不是域中的唯一角色，域中的計算機根據(jù)其功能的不同，可分為以下三種角色：域控制器：安裝了Windows Server 2003或Windows 200

25、0 Server系統(tǒng)，并提供AD服務(wù)，管理域中的用戶、計算機與各種資源的計算機。成員服務(wù)器：安裝Windows Server 2003或Windows 2000 Server系統(tǒng)，未啟用AD服務(wù)且加入域的計算機；或是安裝Windows NT Server系統(tǒng)，且加入域的計算機。工作站：所有安裝Windows NT Workstation 、Windows 2000 Professional或Windows XP Profession

26、al系統(tǒng)，且加入域的計算機。成員服務(wù)器與工作站在域中都要受域控制器的管理和控制。有了上述三種角色的域才是功能完備的域。,另外，有許多計算機并不屬于任何一個域，即以工作組模式運行著，從功能上來講，也可將其分為兩種角色：,獨立服務(wù)器：安裝了各種版本的Windows Server，但未加入域。它一旦加入域中，角色便轉(zhuǎn)化為“成員服務(wù)器”。一般客戶端計算機：無許可是執(zhí)行何種操作系統(tǒng)，只要未加入域，且不是獨立服務(wù)器的計算機，都歸為此類。它一旦加

27、入域中，其角色便是“工作站”。,以Windows XP Professional為例，說明如何將計算機加入域中（服務(wù)器加入域類似）。共為兩個步驟：,第一步：設(shè)置DNS為順利加入域，先決條件是要能夠連接到該域的域控制器，要連上正確的域控制器，就必須先在計算機上設(shè)置正確的DNS服務(wù)器的地址。若假設(shè)域中的域控制器和DNS服務(wù)為同一計算機，則應(yīng)將計算機的慣用DNS服務(wù)器設(shè)為域控制器的IP地址。,第二步：加入域（1）選擇“開始”菜單中的“控制

28、面板—>系統(tǒng)”，打開“系統(tǒng)屬性”對話框，如圖所示，點擊“更改”按鈕。,（2）選中“域”單選按鈕，在文本框中寫入域名TEST.WINSERVER2003.COM。,（3）按“確定”按鈕后，出現(xiàn)權(quán)限驗證對話框，如圖所示，在此需要提供具有將計算機加入域權(quán)限的域帳戶信息。,（4）按“確定”按鈕后，提示加入域成功如圖所示。,（5）重新啟動后，此計算機即成為“TEST.WINSERVER2003.COM”域的工作站，其計算機名稱WINXP-S

29、P2會同時出現(xiàn)在“Active Directory用戶和計算機”窗口的Computer容器中，如圖所示。,,在此要注意的是，嚴格來說，Windows95/98并不具有“加入域”的功能，只能夠“連接”到域。它們雖然能夠通過域帳戶從Windows95/98的計算機登錄域訪問資源，可這些計算機并未受到域的管轄，并且域控制器也不會有這些機器的帳戶數(shù)據(jù)。,6.9 轉(zhuǎn)換域控制服務(wù)器到成員服務(wù)器,由于域中的域控制器具有最高的等級，能完成所有的工作，而

30、成員服務(wù)器只能完成特定的工作，所以這一過程可以理解為降級的過程。操作過程：運行?輸入dcpromo，單擊確認，直至出現(xiàn)“刪除確認”。該項操作可用于網(wǎng)絡(luò)改造。,6.10 域的管理,管理域的過程，便是對Active Directory進行配置的過程。當(dāng)一個域創(chuàng)建后，還需要很多管理方面的工作需要去做。主要的域管理工具可通過“開始”—>“管理工具”—>“管理您的服務(wù)器”中的域控制器配置獲得：也可通過選擇“開始”—>

31、“管理工具”菜單中的“AD的用戶和計算機”、“AD域和信任關(guān)系”、“AD站點和服務(wù)”來完成管理工作。,設(shè)置域控制器的屬性,為了加強對域控制器的管理，使域控制器安全穩(wěn)定的運行，系統(tǒng)管理員必須設(shè)置域控制器的屬性。通過設(shè)置域控制器屬性，不但可以確定域控制器的位置、操作系統(tǒng)和常規(guī)屬性，而且還可為域控制器指定權(quán)限組和管理用戶。,設(shè)置屬性的具體操作步驟如下：,（1）打開“管理您的服務(wù)器”，選擇域控制器中的“管理AD的用戶和計算機”選項，打開“AD用

32、戶和計算機”窗口，如圖所示。,（2）在控制臺窗口上目錄樹中展開域節(jié)點，并單擊Domain Controllers，在右邊窗口內(nèi)顯示出作為域控制器的主機，右鍵單擊主機名，出現(xiàn)下拉菜單，如圖所示。,（3）單擊“屬性”，打開該控制器的屬性對話框，如圖所示。,（4）在“常規(guī)”選項卡中的“描述”文本框中，可以輸入對該域控制器的一般描述；（5）在“操作系統(tǒng)”選項卡中，可顯示出操作系統(tǒng)的名稱和版本，如圖所示。,（6）要更改域控制器的管理者，可打開“

33、管理者”選項卡，從中單擊“更改”按鈕打開“選擇用戶或聯(lián)系人”對話框，選擇新的管理者。同時也可單擊“屬性”按鈕查看修改管理者的屬性設(shè)置，也可單擊“清除”按鈕刪除指定的管理者，如圖所示。,（7）對“撥入”選項卡中信息進行配置，可設(shè)定用戶是否可遠程登錄，如圖所示。,6.11 創(chuàng)建域信任關(guān)系,信任關(guān)系的建立用于解決用戶跨域訪問資源的問題；當(dāng)管理員需要使域目錄域林中的某個域與域目錄林外的某個域建立信任關(guān)系時，就應(yīng)建立外部明確信任關(guān)系；如果兩個

34、或多個域之間建立了信任，那么這些域中的用戶就可以訪問這些域中的資源，而無須在每個域中建立賬戶。域之間的信任關(guān)系通過設(shè)定共享密碼來實現(xiàn)；所有域信任關(guān)系中只有兩種域：信任關(guān)系域和被信任關(guān)系域。,創(chuàng)建域信任關(guān)系的操作步驟如下：,（1）打開“管理您的服務(wù)器”，選擇域控制器中的“管理域和信任”選項，打開“AD域和信任關(guān)系”窗口，如圖所示。,（2）右鍵單擊“Active Directory域和信任關(guān)系”根節(jié)點，在彈出的快捷菜單中選擇“屬性”命令

35、打開屬性對話框，選中“信任”選項卡，如圖所示。,（3）單擊“新建信任”按鈕，出現(xiàn)“新建信任向?qū)А睂υ捒?，如圖所示。,（4）點擊“下一步”按鈕，出現(xiàn)“信任名稱”對話框。在此可鍵入信任的域、林或鄰域的名稱，如圖所示。,（5）點擊“下一步”按鈕，出現(xiàn)“信任類型”對話框。在此可選擇信任類型，有“領(lǐng)域信任”和“與一個Windows域建立信任”兩種選擇，可根據(jù)情況選擇，如圖所示。,（6）點擊“下一步”按鈕，出現(xiàn)“信任的傳遞性”對話框。在此有“不可傳

36、遞”或“可傳遞”兩種選擇，可根據(jù)情況選擇，如圖所示。,（7）點擊“下一步”按鈕，出現(xiàn)“信任方向”選擇對話框。可選擇“雙向”、“單向：內(nèi)傳”、“單向：外傳”，如圖所示。,（8）點擊“下一步”按鈕，出現(xiàn)“信任密碼”對話框。此密碼被域控制器用來確認信任關(guān)系，需要兩方的密碼一致。如圖所示。,（9）點擊“下一步”按鈕，顯示“選擇信任完畢”對話框。此處會顯示用戶所選擇的所有選項，如圖所示。,（10）點擊“下一步”按鈕，顯示信任關(guān)系創(chuàng)建成功，如圖所示

37、。,（11）點擊“下一步”按鈕，返回到信任關(guān)系配置窗口，在“受此域信任的域”與“信任此域的域”列表框中，出現(xiàn)了新添加的信任域，如圖所示。,實例：,創(chuàng)建定制的域：某公司計劃建立一個部門A，并把原來的部門B作為部門A的從屬。與此對應(yīng)，原來的部門B獨立形成一個域，改造后這個域?qū)⒉淮嬖?，取而代之的是域A，試完成這一網(wǎng)絡(luò)改造任務(wù)。,,步驟：,建立新域降級域控制器為成員服務(wù)器將普通服務(wù)器加入域,建立新域：,輸入dcpromo.exe（或通過“