第2章　活动目录与Windows域.ppt

第2章　活动目录与Windows域 主编：姚华婷 本章学习导航 本章学习要点 2.1 目录服务概述 2.1 目录服务概述 2.1 目录服务概述 2.1 目录服务概述 2.2 Active Directory基础 2.2 Active Directory基础 2.2 Active Directory基础 2.2 Active Directory基础 2.2 Active Directory基础 2.2 Active Directory基础 2.2 Active Directory基础 2.2 Active Directory基础 2.2 Active Directory基础 2.2 Active Directory基础 2.2 Active Directory基础 2.3 建立和管理域 2.3 建立和管理域 2.3 建立和安装域 2.3 建立和安装域 2.3 建立和安装域 2.3 建立和安装域 2.3 建立和管理域 2.3 建立和管理域 2.3 建立和管理域 2.3 建立和管理域 2.3 建立和管理域 2.3 建立和管理域 2.4 管理AD用户、计算机和组 2.4 管理AD用户、计算机和组 2.4 管理AD用户、计算机和组 2.4 管理AD用户、计算机和组 2.4 管理AD用户、计算机和组 2.4 管理AD用户、计算机和组 2.4 管理AD用户、计算机和组 2.4 管理AD用户、计算机和组 2.5 查询Active Directory对象 2.5 查询Active Directory对象 2.6 通过组策略配置管理用户和计算机 2.6 通过组策略配置管理用户和计算机 2.6 通过组策略配置管理用户和计算机 2.6 通过组策略配置管理用户和计算机 2.6 通过组策略配置管理用户和计算机 2.6 通过组策略配置管理用户和计算机 2.6 通过组策略配置管理用户和计算机 2.6 通过组策略配置管理用户和计算机 2.6 通过组策略配置管理用户和计算机 2.6 通过组策略配置管理用户和计算机 2.6 通过组策略配置管理用户和计算机 域（AD）用户账户概念 域用户账户在域控制器上建立，用来登录域、访问域内资源。 域用户账户数据存储在目录数据库，实现用户统一安全认证。 域成员计算机一般不必再建立和管理本地账户 Windows Server 2003域控制器内置域用户账户 为加入网络的每个用户创建单独的域用户账户 管理域用户账户 域用户账户创建 管理域用户账户 域用户账户管理 管理域用户账户 计算机账户提供一种验证和审核计算机访问网络以及域资源的方法 连接到网络上的每一台计算机都应有自己的唯一计算机账户 管理计算机账户 组的特性 组可跨越组织单位或域 组可作为安全主体 组为非容器对象，组成员与组之间没有从属关系 组的作用域 通用组：具有通用作用域，成员可以是任何域的用户账户、全局组或通用组，权限范围是整个林 全局组：具有全局作用域，其成员可以是同域用户账户或其他全局组，权限范围是整个林。 本地域组：具有本地域作用域，成员可以是任何域的用户账户、全局组，权限范围仅限于同域（建立组的域）的资源 管理组 创建和管理组 设置组的名称，选择组作用域和组类型 将成员添加到组中 管理组 每个AD对象都有一个访问控制列表 为AD对象设置不同的访问级别或权限 只有安全主体能够被授予权限 设置AD对象访问控制权限 Windows用户选择向导用于快速查找和选择用户、计算机、组等对象 选择用户、计算机或组对象 以普通域用户身份登录到域执行AD对象查询任务 使用AD用户和计算机控制台查询AD对象 在域成员计算机上，可通过“网上邻居”来搜索AD中的用户、联系人、组、计算机、共享文件夹、打印机、组织单位等对象 通过网上邻居搜索AD对象 组策略概念 组策略实际上定制的是Windows系统注册表中相应的配置 组策略与“组”没有关系 组策略包括两大类：计算机配置和用户配置 组策略概述 本地组策略与AD组策略 本地组策略设置存储在各个计算机上，只能作用于该计算机 AD组策略存储在域控制器中，只能在Acti