网管员必读——故障排除.docxVIP

参编《网管员必读——故障排除》中的内容 第二章 第三节 Windows Active Directory 域故障排错 本节介绍 Windows 2000/03 AD 域故障的排错。首先我们会介绍活动目录 （Active Directory）及其相关概念，然后介绍和域故障排错相关的知识、工具软件的使用，最后以实例的形式讲解针对具体的各种域故障如何进行排错，如何有效地利用组策略来管理 AD 域、管理网络。 通过本节的学习，读者可以掌握活动目录（Active Directory）及其相关概念， 活动目录的功能、逻辑结构、物理结构；管理Windows 2000/03 网络的方法，相关工具的使用；提高域故障排错能力，掌握活动目录上的最大应用：组策略。 活动目录（Active Directory）及其相关概念 要掌握 Windows 2000/03 AD 域故障排错，首先就得知道什么是域，什么是活动目录，活动目录的工作原理如何。以下内容作为后面域排错的基础理论知识至关重要。 为什么要使用活动目录？ 为什么要使用活动目录？首先我们来看两个例子： 如果我们要记住 10 个、20 个电话号码还可以，但更多的就无能为力了。这时我们就会想到把电话号码记录到电话簿上，需要时去查询。 如果我们家中只有 10 本、20 本的书，我们会比较容易找到我们想要的那一本，但如果我们家中的书像图书馆那么多，这时我们就会想到把书分门别类地放好，并根据书的书名、作者、出版社、类别等属性信息做好索引，以利于查找。 有效地管理网络，也象管理电话号码、管理图书一样。我们会把网络中众多的对象：计算机、用户、用户组、打印机、共享夹??，分门别类、井然有序地 放在活动目录这个大仓库中。使用活动目录对你公司的网络进行管理，才是积极有效的管理方法，而且网络规模越大，越能体现出活动目录在管理网络上的高效性。 工作组（Workgroup） 当然如果网络规模很小，也可以使用 Windows 工作组模式来进行管理，但其管理功能极其有限。对于一台 Windows 计算机来讲，它要么隶属于工作组， 要么隶属于域。工作组是微软的概念，一般的普遍称谓是对等网。 工作组通常是一个由不多于 10 台计算机组成的逻辑集合，如果要管理更多的计算机，微软推荐你使用域的模式进行集中管理，这样的管理更有效。你可以使用域、活动目录、组策略等等各种功能，使你网络管理的工作量达到最小。当然这里的 10 台只是一个参考值，11 台甚至 20 台，如果你不想进行集中的管理， 那么你仍然可以使用工作组模式。 工作组的特点就是实现简单，不需要域控制器 DC，每台计算机自己管理自己，适用于距离很近的有限数目的计算机。顺便说明一下，工作组名并没有太多的实际意义，只是在网上邻居的列表中实现一个分组而已；再就是对于“计算机浏览服务”，每一个工作组中，会自动推选出一个主浏览器，负责维护本工作组所有计算机的 NetBIOS 名称列表。用户可以使用默认的工作组名 workgroup，也 可以任意起个名字（不必担心重名），同一工作组或不同工作组间在访问时也没有什么分别，都需要输入目标计算机上的用户名、口令进行验证。 在工作组模式下，用户要访问 10 台计算机上的资源，就需要记住至少 10 个用户名和口令，工作组的这种分散管理性是它和域的集中式管理相比最大的缺点。AD 域提供了对网络资源的集中控制，用户只需登录一次就可以访问整个活动目录的资源。 活动目录（ Active Directory）和域控制器（ Domain Controller） 如果网络规模较大，这时我们就会考虑把网络中众多的对象（被称之为AD 对象）：计算机、用户、用户组、打印机、共享夹??分门别类、井然有序地放在一个大仓库中，并做好检索信息，以利于查找、管理和使用这些对象（资源）。这个有层次结构的数据库，就是活动目录数据库，简称 AD 库。 接下来，我们应该把这个数据库放在哪台计算机上呢？是这样的，我们把存放有活动目录数据库的计算机就称之为域控制器（Domain Controller），简称 DC。 活动目录架构（Active Directory Schema） 架构是关于 AD 对象类型属性的定义。一种类型 AD 对象应该有哪些属性是由架构来定义的，比如它定义了用户对象有姓、名、登录名、口令等一系列的属性。如果你想增加一个“性别”属性，这就要修改架构，一般称之为扩展AD 架构，这要求你必须是林根域上的 Schema Admins 组成员才行。 整个活动目录的林中只有一个架构，因此在活动目录中创建的所有对象都遵从同样的规则。也就是说你对架构的修改将影响到林中的所有域，你没办法实现同一林中的一个域用户对象有“性别”属性，而另一个域没有。 目录访问协议（DAP）和轻量级目录访问协议