实验2 域的建立.docVIP

实验2 域的建立 【内容】 安装活动目录，建立域和域控制器。事先确定好本组的域名以及每台计算机的FQDN(完全合格域名)。例如：某组的域名是，则他们各自计算机的FQDN是WL11.GROUP1.COM和WL12.GROUP1.COM 设置DNS。为域指定“域名”，为域中的每台计算机指定FQDN(完全合格域名) 客户机加入到域。 在域中建立多个域用户 利用组策略管理用户 步骤： 安装活动目录(2003) 命令：dcpromo 单击“下一步”，将提示设置域的DNS名称（假设为）和NETBIOS名称(假设为group1)。 提示“是否重启”时，选择“暂不重启”，开始配置DNS 配置DNS。应该在安装活动目录的那台计算机2003上设置。 管理工具——DNS 建立正向区域，正向区域的区域名就是你们的域名，必须与刚才在建立活动目录时指定的域名一致。 下图必须选“在Active Directory中存储区域（）” 在下图输入域名 这个地方必须选择“只允许安全的动态更新（适合 Active Directory使用）” 建立反向区域，按右键——新建 以下均为“下一步”； 在“正向区域”建立主机 选中“正向区域”下的域名，按右键选“新建主机” 域中有几台计算机，就要建立几个主机。 设置DNS客户机 在设置IP地址的地方设置“首选DNS服务器”，必须是本组的服务器的IP地址 域中的每台计算机（包括服务器）都要进行相同的设置 验证： 运行：nslookup 进入nslookup的画面之后，验证： 输入某台计算机的IP地址，能够正确显示它的FQDN域名，即为成功。 三、将一台客户机XP加入到域 重启服务器 再次进入系统后，在服务器上建立新用户： 选择“管理工具”—“active directory 用户和计算机”，打开后，依次打开“域（如）”—“users”—“新建”—“user”； 图7 并为用户设置一个复杂密码：123!@#asd 下面在XP客户机上操作： 修改这台计算机的“隶属于” 下面会要求输入一个具备“在域中添加工作站”权利的用户名和密码。例如：administrator，完成后单击“确定” 若成功加入域，会出现 “欢迎加入域”信息。在这里单击“确定”。 重新启动客户机后，现在的登录窗口为三栏式，在用户名，密码下多了一栏“域：”，打开“域”的下拉按钮，选择“group”，表示登录到groupcom域中。 用户名和密码使用刚才在域控制器上新建的用户帐户如aaa。 四、继续在域控制器上建立多个新用户如bbb,ccc,ddd和计算机 五、在域控制器上建立组织单元 建立两个组织单元：“应用”，“网络” 将aaa,bbb移到组织单元“网络”中 将ccc,ddd移到组织单元“网络”中 设置组策略 【预备知识】 组策略用来在用户或计算机的集合上强制设置某些配置，这在多台计算机需要统一的工作界面时很有使用意义。 组策略必须在域的环境下使用。 定义好一个组策略后，只能应用到某个域或某个组织单位。使得这个域或组织单位内的用户和计算机都受到这个组策略的影响。 【注意】 设置组策略时要禁用杀毒软件，否则会提示“域控制器不可用” 要使得组策略生效，使用下面两条命令 服务器上用SECEDIT /REFRESHPOLICY 客户机上用GPUPDATE /FORCE 如果还是无法生效，将服务器、客户机重新启动再试。 如果针对的是那就要重启，如果是用户那就要再进去 验证： 让客户机以某个用户的名义登录到域后，启动注册表：开始-运行-regedit，此时会提示——注册编辑已被停用——的信息。 利用软件限制策略限制用户可以使用的文件 案例：限制员工在工作时间下载视频、看PPLIVE、或者玩网络游戏、炒股。 例： 禁止用户使用IE。如果要禁用其他软件同此法。 方法一，操作： 打开【Active Directory用户和计算机】，右键单击域的名称或某个组织单位的名称，选【属性】，在弹出的对话框中单击【组策略】。单击【新建】按钮，这时会多出一个组策略对象，给此对象重命名为【软件限制】；单击【编辑】按钮，单击【用户配置】-【WINDOWS设置】-【安全设置】-【软件限制策略】，右键单击【软件限制策略】，选择【创建软件限制策略】，这时会在【软件限制策略】下生成【安全选项】、【其他规则】，右键单击【其他规则】，选择【新建哈希规则】命令，单击【浏览】，在弹出的【打开】打开中，找到IE所在的路径，单击【打开】，在【安全级别】中选择不允许。确定。 验证： 在客户机上以某个用户的名义登录，看看该用户能否使用IE 。 下图是禁止QQ后的运行结果。 在客户机上验证。 三、设置客户机的屏保程序 防止员工在未锁定电脑就离开的情况下泄露数据，强行设置客户机启用屏保程序。 在组策略中需要定义三项设置：屏