第06单元 委派管理控制.pptVIP

Moudle: 实现组织单元结构以及管理 概述 创建和管理组织单元 活动目录中对象的安全性 活动目录对象的访问控制 委派对组织单元的管理控制 设计组织单元的策略 创建和管理组织单元 组织单元的管理 创建和管理组织单元的方法 设计组织单元的策略 管理组织单元 设计 部署 维护 删除 创建和管理组织单元的方法 Active directory 用户和计算机 活动目录服务工具(dsadd,dsmod,dsrm) Ldifde Windows脚本主机 Lab :创建和管理组织单元的方法 Active directory 用户和计算机 活动目录服务工具(dsadd,dsmod,dsrm) Ldifde Windows脚本主机 基于地理位置的管理 基于组织的管理 基于商业功能的管理 混合管理 设计组织单元结构 实现OU结构，可以： 1.加强管理控制 2.控制组策略应用 利用活动目录用户和计算机可以在域或另一个OU上创建OU 设计组织单元结构 练习：创建组织单元 移动活动目录对象 移动活动目录对象 活动目录中对象的安全性 活动目录安全组件 随机和系统访问控制列表 访问控制项 继承 访问标志 活动目录安全组件 再说安全组件 安全主体 是指可以指定权限的帐户持有者。域中的每个安全主体都有唯一的安全标识符标识。 安全标识符 是一个组织内用来唯一标识用户、组、服务或计算机的参数。每个对象在建立的时候都发布一个SID。Win2003不是用名字来标识安全主体的。SID一旦被发布，就不可重用。 安全描述符 是一个包含与安全主体相关的安全信息数据结构。使用SID标识对象所有者。它控制安全子系统如何访问对象。 随机和系统访问控制列表 随机访问控制列表(DACL) 识别安全的主体那些是允许的或不允许的访问和那一个级别是被允许访问或是拒绝的 系统访问控制列表（SACL） 控制怎样的对象访问是被审核的 访问控制项 继承 继承的传播发生在如下情况：建立新的子对象，修改母对象的DACL，修改母对象的SACL。 继承是ACE从母对象安全描述符传递到子对象安全描述符 继承即意味着定义在活动目录高层容器上的访问控制信息传递到子容器或它们的对象上 Access Tokens How Windows 2003 Grants Access to Resources 活动目录对象的访问控制 活动目录权限 控制权限继承 设置活动目录权限 对象所用权 改变对象所有权 活动目录权限 允许和拒绝权限 间接的或直接的权限 标准权限和特殊权限 权限继承控制 设置活动目录权限 对象所有权 每个对象都有其所有者 建立对象的人将自动成为对象的所有者并且默认情况下它具有对对象的完全控制权 如果是管理小组的成员拥有所有权，那么默认的所有者是该管理小组，而不是单个用户。 改变对象所有权 作为管理员，可以拥有任何对象的所有权，并改变对象的权限。 下列情况会改变对象的所有权： 1.当前用户，或具有完全控制限的任何用户，把修改所有权权限委派给另一个用户，他将拥有所有权 2.管理小组的成员拥有对象的所有权 委派活动目录对象的管理控制 委派管理控制综述 使用委派控制向导 委派管理控制的原则 使用委派控制向导 委派管理控制的原则 复习 活动目录中对象的安全性 控制对活动目录对象的访问 委派对活动目录对象的管理控制 最佳方案 Users Sales Computers Function-based S C M S – Sales C – Consultants M - Marketing Examples of Hybrid-based Function Organization Location Function Organization Location Organization-based M E R M – Manufacturing E – Engineering R - Research Location-based N F I N – Norway F – France I – Indonesia Organizational Unit 1 Organizational Unit 2 Domain Security Principals(安全主体) 包括用户、安全组、服务、计算机帐户 唯一的安全标识符 Security Identifiers (SIDs，安全标识符) 唯一的安全主体 此SIDs，将永远不被重用 Security Descriptors（安全描述符） 与安全主体有关的安全信息数据结构 包含DACL和SACL Security Descriptor Header Owner SID Group SID DACL SAC