第3章管理活动目录域.doc

第3章管理活动目录域 教学要求： 理解：域的概念、特点；活动目录的架构；组织单位的概念、特点；域用户账户的概念、特点；域组账户的概念、特点；域组账户的使用原则； 掌握：创建域；将计算机加入或脱离域；将域控制器降级为独立服务器或成员服务器；管理组织单位；管理域用户账户的工作；管理域组账户的工作； 3.1活动目录的概述 活动目录（Active Directory，AD）服务能把网络中的众多资源有效地组织在一起，实现集中管理与统一保护，最大限度地保证资源的可用性与安全性。 3.1.1活动目录的含义 活动目录以数据库的形式存放在网络中的一些特定计算机上，这个数据库称为“活动目录数据库”。 管理员可以利用活动目录来集中执行组织、管理与控制网络资源的各项功能。用户也能够通过活动目录方便迅速的找到所需要的资源、使用所需要的功能。 活动目录的容量可以动态调整； 活动目录的结构可以动态调整。 3.1.2活动目录的特点 动态的组织形式 方便的资源查找 集中管理与分散管理相结合 资源访问的分级管理 3.1.3活动目录的基本概念 1、对象和属性 在活动目录中，存储着众多的资源、规则、策略等，它们被称作“活动目录对象”，简称对象。 一个活动目录对象所具有的各种各样的特征，称为“属性”。一个对象可认为是一系列属性的集合。 2、活动目录的架构 活动目录中所有对象和属性的定义存储在“活动目录架构”中，只有Schema Admins组的成员才有权限添加或修改架构中的内容。一个活动目录共享一个共同的架构。 查看活动目录架构的具体步骤为 以Schema Admins组的一个用户账户身份登录 注册Active Directory Schema控制面板的动态链接库。在命令窗口中输入：regsvr32.exe schmmgmt.dll. 3、在命令窗口中运行“mmc.exe”,添加“Active Directory架构”管理工具。 4-6、在“Active Directory架构”中有两个容器，类与属性，双击User，即可查看User类的定义，根据User类的定义可以创建大量的用户账户。 最后在保存控制台。  3.2活动目录的逻辑结构 在活动目录中，管理员可以完全忽略被管理对象的具体地理位置，将这些对象按照一定的方式放置在不同的容器中。由于这种组织对象的做法不考虑被管理对象的具体地理位置，因此得到的组织框架称作“逻辑结构”。 一个活动目录的完整逻辑结构称为“域森林”，一个域森林由若干“域树”组成，一个域树有若干“域”组成。 3.2.1域 1、域的定义 在活动目录中，域是一种重要的逻辑管理单元，代表了一个独立的安全范围，能包含大量对象的一种容器。 2、域中计算机的角色 有域控制器、成员服务器、工作站。 域控制器是存放活动目录数据库的，是域中必须要有的。其它两种则不是必须的。 所以最简单的域将只包含一台计算机，这台计算机是该域的域控制器。 计算机账户 每台计算机都有一个账户来标识自己，这个账户称为“计算机账户”。在Computers容器内  域用户账户 管理员在域的活动目录数据库中创建的用户账户称为域用户账户。 默认时，所有的域用户账户均放置在UserS容器中，域管理员可以在此创建和管理域用户账户。 组织单位 为了对域中对象做进一步的组织和管理，还可以在域中创建一种新的容器——组织单位。 组织单位的含义：特点 组织单位是一种容器类的活动目录对象； 组织单位只能在域内创建，并且只能包含域内的对象。 在组织单位内还可以继续创建组织单位。 一个域中组织单位的结构与另一个域组织单位的结构无关。 组织单位不仅能容纳对象，还可以对其施加管理策略和安全规则 组织单位的用途 可以把域中一部分具有相同管理要求的活动目录对象分离出来，既可以对它们进行单独的管理又可以提高效率。 组织单位和组账号的区别 组账户通常只能包含用户账户和组账户，组织单位中不仅可以包含这些，还可以包含计算机账号、打印机、共享文件夹等很多活动目录对象。 创建组账户的主要目的是为用户账户分配资源访问权限，但是管理员不能直接对组账户指定管理策略，也就是不能直接控制组账户中各对象的更复杂的行为。 当删除一个组账户时，其包含的用户账户并不会被删除。但删除一个组织单位时，其包含的所有活动目录对象都将随之删除。 组织单位和其他活动目录容器的区别 图标有所不同 普通容器仅起到把一些活动目录对象组织在一起的作用，管理员不能对其设置组策略。 在组策略中只能看到组织单位而看不到普通容器，这说明只能对组织单位设置组策略而不能对普通容器设置组策略。 在上图中右击“Default Domain Controllers　Pllicy”组策略对象，然后在快捷菜单中选择编辑。可以看到各种组策略。 3.2.2域树 １、域