第3章表的操作知识要点(简).docVIP

第3章 用户账户管理 本章要点 1．用户账户 2．用户配置文件 3．组 对于网络管理员来讲，如何管理好企业中使用网络的用户是一个比较重要同时也是比较难的一项任务，一般情况下，可以通过用户账户来管理使用网络的用户。本章主要介绍如何管理用户账户，如何管理用户配置文件以及如何管理组。 3.1 用户账户 账户代表着需要访问网络资源的用户，从某种意义上来说账户就是网络世界中用户的身份证。Windows Server 2003网络依靠账户来管理用户，控制用户对资源的访问，每一个需要访问网络的用户都需要有一个账户。 在Windows Server 2003网络中有两种主要的账户类型：本地账户和域用户账户。 保存账户的数据库叫做安全账户管理器（SAM，Security Accounts Manager），为了保证账户在域中的惟一性，每一个账户刚创建时被分配了一个惟一的SID（Security Identifier，安全识别符），该SID在本计算机或者本域是独一无二的。SID不随账户的修改、更名而改动，并且一旦账户被删除则SID也将不复存在，即便重新创建一个一模一样的账户，其SID也不会和原有的SID一样，对于Windows Server 2003而言这就是两个不同的账户。在Windows Server 2003中系统内实际上是利用SID来对应用户的权限的，因此如果将一个账户删除，然后创建一个同名的账户，那么新的账户也不会有原来账户的权限和权力。 3.1.1 本地账户 本地用户账户只能建立在Windows Server 2003独立服务器、Windows Server 2003成员服务器、或基于Windows XP Professional等计算机中 ，并且由本机进行管理。在企业中不推荐使用本地账户，因为每台计算机都有自己的本地账户，如果要登录某台计算机或者从网络访问某台计算机，必须输入该计算机的本地账户，计算机数目很多，不容易访问和管理。 本地账户主要有三个要点： 本地创建：本地账户只能在独立服务器和成员服务器上创建，不能在DC上创建。 本地存储：本地账户存储在创建账户的那台计算机上的％systemroot％/system32/config/SAM中。 提示： ％systemroot％代表系统根目录，也就是安装完Windows的目录，一般情况下是C:\windows。 本地使用：在哪台计算机创建的本地账户，就只能在那台计算机上使用。也就是说在某台计算机上创建了本地账户，那么只能用这个本地账户在该计算机上登录，不能在其他计算机登录。一般有两种情况使用本地账户：登录到某台计算机时，需要输入该计算机的本地账户；当从网络访问该计算机时，需要输入该计算机的本地账户。 提示： 本书中登录的含义是指计算机启动时按下Ctrl+Alt+Delete输入用户名密码的过程。 以下是创建本地账户的步骤 1．“开始”→“管理工具”→“计算机管理”，然后在如图3-1所示的窗口中右击“用户”→“新用户”。 图3-1 2．出现如图3-2所示的对话框后，请输入该用户的相关信息后，单击“创建”按钮，然后单击关闭即可。 图3-2 用户名 登录时所用的账户名称。 全名 用户的完整名称，可以不填。 描述 用于对该账户的简要描述信息，例如用户的职位等。 密码与确认密码 用于设定用户的密码（Windows Server 2003最大支持127位的密码，另外密码不支持中文，但是支持数字、字母和特殊字符）。 用户下次登录时须更改密码 如果选中，那么当用户下次登录时会强制用户更改密码 用户不能更改密码 如果选中，那么用户就不能够更改自己的密码，只有管理员才能更改，一般这种情况属于用户公共账户的使用。（此项目与“用户下次登录时须更改密码”不能同时选中） 密码永不过期 如果选中，那么用户的密码就一直可以使用，不会强制用户更改密码。 账户已停用 如果选中，那么这个账户将暂时被禁用。 3.1.2 域账户 域用户账号是用户访问域的凭证，因此在域中是惟一的。域用户账号在DC上建立和管理，它保存在域的活动目录数据库中。当用户登录域时或者访问域的资源时，必须输入域用户账号，并且由DC来验证。 域账号存在于DC上的%systemroot%\NTDS\NTDS.DIT文件中。和本地账号类似，每个域账号也有一个惟一的SID，并且这个SID是在域中惟一。 总结一下，域账号也有三个要点： DC上创建：只能在DC上创建，域账户不能在成员服务器或者是独立服务器创建。 DC上的AD存储：存储在DC上的AD中也就是存在于DC上的%systemroot%\NTDS\NTDS.DIT文件中。 整个域中都能使用：可以登录到域中的任何一台计算机（DC有可能不行，默认情况下为了保证安全，普通的域账号没有权力在DC