补充知识：AD基础知识培训讲述.pptx

活动目录基础知识 在微软的企业网络架构里,『 域』 占有举足轻重的地位,可以说Windows Server 的重要功能都建立在域上。 活动目录（Active Directory），俗称AD域，是面向服务器操作系统的目录服务。活动目录软件包含在服务器操作系统中。随着OS不断升级，活动目录已经从Windows 2000—》Windows2003—》Windows 2008—》Windows 2012。 活动目录 为什么需要域 如果资源分布在多台服务器上，要在每台服务器分别为每一员工建立一个账户（共M*N），用户则需要在每台服务器上（共M台）登录 域的好处 服务器和用户的计算机都在同一个域中，用户在域中只要拥有一个账号 用户只需要在域中拥有一个域账户，只需要在域中登录一次就可以访问域中的资源了。 部署AD DC 建立第1个域 具体来说,建立第1个域就是要建立第1部域控制器（Domain Controller,以下简称为DC） 而建立DC的第1个动作就是执行Dcpromo.exe－－但是必须具有系统管理员权限才能执行此程序,因此务必先以具有系统管理员权限的用户帐户登入。 建立第一部DC 以下的示范步骤,系假设目前的网络无任何域,所要建立的是整个网络的第一个域－－又称为根域（Root Domain）。 『新增角色』并未建立DC 安装Windows Server 2008后,启动时预设会自动开启初始化设定工作视窗,虽然可以在此窗口中点选新增角色,接着选取安装Active Directory域服务,以使该计算机扮演DC角色。 然而,这种作法并未真正建立DC,到了最后一个画面还是要求必须执行Dcpromo.exe,如下图。 『新增角色』并未建立DC 所以我们建议无须使用新增角色功能,干脆直接执行Dcpromo.exe吧！ 执行Dcpromo.exe 请按开始钮,输入dcpromo、按Enter键： 执行Dcpromo.exe 之后按完成钮,再按立即重新启动钮。 重新启动后若要确认此计算机是否已经是DC,从『开始/系统管理工具』菜单是否出现关于Active Directory的命令即可得知： 执行Dcpromo.exe 先前在第6步骤所设的密码,系使用于当AD数据库毁损时,可在开机启动Windows Server 2008之前按F8键,进入目录服务还原模式,重建AD数据库。 由于此重建动作会改变既有的AD资料,为防止滥用,因此必须以密码保护,而且此密码不必和域系统管理员的密码相同。 域中的计算机 除了域控制器之外,域中的计算机还可区分成以下两类： 成员服务器（Member Server） 工作站（Workstation） 成员服务器 安装Windows Server 2008、Windows Server 2003 / 2003 R2、Windows 2000 Server等系统,加入了域、但不是DC的计算机。 或是安装Windows NT Server系统,且加入域的电脑,都算是成员服务器。 由于这些服务器都是域的成员,所以审核使用者身份的工作,都交由DC执行,使用者只要通过DC的身份验证,即可依据设定的权限来使用服务器所提供的服务。 换言之,成员服务器都信任DC的身分验证。 最好停用成员服务器的本机账户 虽然加入了域,但是成员服务器上仍保留本机的帐户数据库,因此使用者仍可利用这些本机帐户,登入该服务器。 对域的安全管理而言,这些本机账户可能会是漏洞,所以我们建议停用成员服务器的本机帐户,强迫使用者一律以域账户登入。 工作站 所有安装以下操作系统,而且加入域的计算机都算是工作站： Windows NT Workstation Windows 2000 Professional Windows XP Professional Windows 7/vista商用入门版、商用进阶版和旗舰版 工作站 使用者可利用这些工作站登入域,存取域中的资源、执行应用程序等等,但是Windows Server 2008的某些新功能,必须搭配Windows 7的工作站才能发挥效果。 而工作站本身仍然保留了本机帐户的数据库,使用者利用本机账户登入工作站时,只能使用本机（该工作站）的资源,但无法存取域上的资源。 域外的计算机 首选,应该要知道哪些计算机不能加入AD域？ 执行Linux、Unix等等非Windows系统的电脑。 此外, Windows 95 / 98 / Me、Windows XP家庭版、Windows 7家庭入门版、Windows 7家庭进阶版,也都没有加入域的功能。 独立服务器 简单地说,未加入域的服务器就是『独立服务器』－－无论安装的是Windows或非Windows的服务器操作系统。 它一旦加入域后,角色即转换为『成员服务器』