第3节 活动目录安全12.pptVIP

网络安全 第3章 活动目录安全 本章要点 限制用户账户登录 设置目录访问权限 创建辅助域控制器 安全删除活动目录服务 3.1 限制登录用户 默认情况下，Administrators、Account Operators、Backup Operators、Print Operators、Server Operators组成员都可以在域控制器服务器上登录，为域控制器安全带来隐患。为保证活动目录服务的安全，应使用本地安全策略限制登录到域控制器的用户。 3.2 目录访问权限 Active Directory 数据库是一个事务处理数据库，使用日志文件存储事务日志，并且具备“回滚”功能，确保在系统发生异常时保证数据库的完整。Active Directory 数据库相关的文件包括： Ntds.dit数据库文件：会随着数据库的填充而不断增大。 Edbxxxxx.log： 事务日志文件。 Edb.chk：检查点文件。 Res1.log 、Res2.log：预留的日志文件。 3.3 辅助域控制器 “域控制器类型”对话框 为防止域控制器故障导致整个网络瘫痪情况的发生，可以为其创建一个与企业根域控制器的并行域控制器，即辅助域控制器。在Active Directory域控制器出现故障的情况下，备份域控制器可以立即接管Active Directory的工作。 3.4 删除活动目录 3.4.1 删除Active Directory的注意事项 3.4.2 删除Active Directory 删除活动目录是将域控制器降级为独立服务器或普通成员服务器。当网络中有新的服务器接替域控制器工作时，或者网络规划发生重大变化，此时就需要删除原来域控制器。 3.4.1 删除Active Directory的注意事项 如果该域内还有其他域控制器，则该域会被降级为该域的成员服务器。 如果是最后一个域控制器，则降级后该域内将不存在任何域控制器。 如果这台域控制器是“全局编录”服务器，将其降级后，将不再扮演“全局编录”的角色。 3.4.2 删除Active Directory 删除Active Directory与安装Active Directory是一对互逆的过程。 “删除Active Directory”对话框 3.5 SYSVOL 安 全 3.5.1 SYSVOL重定向 3.5.2 更改SYSVOL存储空间 SYSVOL是域中每台域控制器上文件系统中的文件夹和重分析点的集合。SYSVOL存储重要组策略对象 (ＧＰＯ) 策略和脚本。文件复制服务 (ＦＲＳ) 将这些策略和脚本同步到域中的其他域控制器中。 3.5.1 SYSVOL重定向 使用Active Directory向导来移动SYSVOL。 手动重定向SYSVOL文件夹。 Windows Server 2003提供两种方法可以完成SYSVOL共享文件夹的重定向。 3.5.2 更改SYSVOL存储空间 SYSVOL文件夹中的Staging Area目录存储的是NTFRS文件服务复制服务的文件交换区域，需要复制的信息首先放在Staging Area区域，作为中转存储区域。默认空间，10MB，最大675MB。 3.6 全 局 编 录 全局编录服务器是域控制器，但是不是一个普通的域控制器，是一个特殊的域控制器，存储域林中所有对象部分只读信息的特殊域控制器，在域林中可以有多个全局编录服务器。全局编录是一个信息仓库，它是活动目录中所有对象的子集，例如，用户登录ID、姓和名，Exchange分布式列表，邮件地址等。 * *