微软活动目录技术深入剖析.pdf

微软活动目录技术深入剖析 … Active Directory活动目录简介 为什么需要域 •如果资源分布在多台服务器上，要在每台服务器分别为每一员工建立一 个账户（共M*N），用户则需要在每台服务器上（共M台）登录 域的好处 •服务器和用户的计算机都在同一个域中，用户在域中只要拥有一个账号 •用户只需要在域中拥有一个域账户，只需要在域中登录一次就可以访问域中 的资源了。 部署AD DS •建立第1个域 •具体来说,建立第1个域就是要建立第1部域控制器（Domain Controller,以下简称为DC） •而建立DC的第1个动作就是执行Dcpromo.exe－－但是必须具有系统管理员权限才能执 行此程序,因此务必先以具有系统管理员权限的用户帐户登入。 •建立第一部DC •以下的示范步骤,系假设目前的网络无任何域,所要建立的是整个网络的第一个域－－又 称为根域（Root Domain）。 『新增角色』并未建立DC •安装Windows Server 2008后,启动时预设会自动开启初始化设定工作视窗, 虽然可以在此窗口中点选新增角色,接着选取安装Active Directory域服务, 以使该计算机扮演DC角色。 •然而,这种作法并未真正建立DC,到了最后一个画面还是要求必须执行 Dcpromo.exe,如下图。 执行Dcpromo.exe •请按开始钮,输入dcpromo、按Enter键： 执行Dcpromo.exe •之后按完成钮,再按立即重新启动钮。 •重新启动后若要确认此计算机是否已经是DC,从 『开始/系统管理工具』 菜单是否出现关于Active Directory的命令即可得知： 执行Dcpromo.exe •先前在第6步骤所设的密码,系使用于当AD数据库毁损时,可在开机启动 Windows Server 2008之前按F8键,进入目录服务还原模式,重建AD数据库。 •由于此重建动作会改变既有的AD资料,为防止滥用,因此必须以密码保护, 而且此密码不必和域系统管理员的密码相同。 域中的计算机 •除了域控制器之外,域中的计算机还可区分成以下两类： –成员服务器（Member Server） –工作站（Workstation） 成员服务器 •安装Windows Server 2012、2008、Windows Server 2003 / 2003 R2、 Windows 2000 Server等系统,加入了域、但不是DC的计算机。 •或是安装Windows NT Server系统,且加入域的电脑,都算是成员服务器。 •由于这些服务器都是域的成员,所以审核使用者身份的工作,都交由DC执 行,使用者只要通过DC的身份验证,即可依据设定的权限来使用服务器所 提供的服务。 •换言之,成员服务器都信任DC的身分验证。 最好停用成员服务器的本机账户 •虽然加入了域,但是成员服务器上仍保留本机的帐户数据库,因此使用者 仍可利用这些本机帐户,登入该服务器。 •对域的安全管理而言,这些本机账户可能会是漏洞,所以我们可以停用成 员服务器的本机帐户,强迫使用者一律以域账户登入。 工作站 •所有安装以下操作系统,而且加入域的计算机都算是工作站： –Windows NT Workstation –Windows 2000 Professional –Windows XP Professional –Windows 7/vista商用入门版、商用进阶版和旗舰版 –Windows 8 （家庭版除外） –Windows 10 （家庭版除外） 工作站 •使用者可利用这些工作站登入域,存取域中的资源、执行应用程序等等, 但是Windows Server 2008的某些新功能,必须搭配Windows 7的工作站才 能发挥效果。同样的Windows Server 2012的某些新功能,必须搭配 Windows 8版本以上的工作站才能发挥效果。 •而工作站本身仍然保留了本机帐户的数据库,使用者利用本机账户登入工 作站时,只能使用本机（该工作站）的资源,但无法存取域上的资源。 域外的计算机 •首选,应该要知道哪些计算机