第7章 活动目录与用户管理.ppt

活动目录是一个分布式的目录服务，信息可以分散在多台不同的计算机上，保证用户能够快速访问，既提高了管理效率，又使网络应用更加方便。 活动目录就是Windows 网络中的目录服务，有两方面内容：目录和与目录相关的服务。 Active Directory存储了有关网络对象的信息，例如用户、组、计算机、共享资源、打印机和联系人等，并且让管理员和用户能够轻松地查找和使用这些信息。 域（Domain）是在Windows NT/2000/2003网络环境中组建客户机/服务器网络的实现方式，是Windows Server 2003域中Active Directory数据库的基本管理单位。 域控制器中保存着整个网络的用户账号及目录数据库，即活动目录，并且可以被网络应用程序或者服务所访问。 一个域可能拥有一台以上的域控制器。每一台域控制器都拥有它所在域的目录的一个可写副本。 目录树：共用 连续名字空间 的域就组成一 个域目录树。 目录林是一个或多个目录树的集合。 目录林中的目录树并不共用相同的连续的名字空间。 信任关系是网络中不同域之间的一种内在联系。只有在两个域之间创建了信任关系，这两个域才可以相互访问。 在通过Windows Server 2003系统创建域目录树和域目录林时，域目录树的根域和子域之间，域目录林的不同树根之间都会自动创建双向的、传递的信任关系，有了信任关系，使根域与子域之间、域目录林中的不同树之间可以互相访问，并可以从其他域登录到本域。 如果希望两个无关域之间可以相互访问或从对方域登录到自己所在的域，也可以手工创建域之间的信任关系。 组织单元是包含在活动目录中的容器对象，是可以指派组策略设置或委派管理权限的最小作用单位。 组织单元可以将用户、组、计算机和其他单元放入活动目录的容器。 组织单元不能包括来自其他域的对象。 创建组织单元有如下好处： （1）可以分类组织对象，使所有对象结构更清晰。 （2）可以对某些对象配置组策略，实现对这些对象的管理和控制。 （3）可以委派管理控制权，如管理员可以给不同部门的网络主管授权，让他们管理本部门的账号。 启动Windows Server 2003系统，以Administrator权限登录 。 安装完成后，需要重启计算机 2. 管理工具中会添加包括“Active Directory 用户和计算机”、“Active Directory站点和服务”、“Active Directory域和信任关系”等管理工具。 3. 活动目录对象 4. Active Directory?数据库 Active Directory数据库文件保存在 %SystemRoot%\Ntds 文件夹中，主要的文件有： Ntds.dit：数据库文件。 Edb.log：日志文件。 Edb.chk：检查点文件。 Res1.log、Res2.log：保留的日志文件。 Temp.edb：临时文件。 5. DNS记录 在一个域中可以有多台域控制器。 在安装额外的DC时，需要将活动目录数据库由现有的域控制器复制到这台新的DC上。 删除时要注意以下三点： （1）如果该域内还有其他域控制器，则该域会被降级为该域的成员服务器。 （2）如果这个域控制器是该域的最后一个域控制器，则被降级后，该域内将不存在任何域控制器了。因此，该域控制器被删除，而该计算机被降级为独立服务器。 （3）如果这台域控制器是“全局编录”，则将其降级后，它将不再担当“全局编录”的角色，因此请先确定网络上是否还有其他的“全局编录”域控制器。 用户账号可为用户提供登录到域以访问网络资源或登录到计算机以访问该机资源的能力。定期使用网络的每个人都应有一个惟一的用户账号。 Windows Server 2003提供两种主要类型的用户账号：本地用户账号和域用户账号。除此之外，Windows Server 2003系统中还有内置的用户账号。 域用户账户用来使用户能够登录到域或其他计算机中，从而获得对网络资源的访问权。经常访问网络的用户都应拥有网络惟一的用户账户。如果网络中有多个域控制器，可以在任何域控制器上创建新的用户账户，因为这些域控制器都是对等的。当在一个域控制器上创建新的用户账户时，这个域控制器会把信息复制到其他域控制器，从而确保该用户可以登录并访问任何一个域控制器。 Windows Server 2003自动创建若干个用户账号，并且赋予了相应的权限，称为内置账号。内置用户账号不允许被删除。 最常用的两个内置账号是Administrator和Guest。 使用内置Administrator（管理员）账号管理计算机和域配置 。 Guest（来客）账号一般被用于在域中或计算机中没有固定账号的用户临时访问域或计算机时使用的。 “管理工具”——“Active Di