管理员操作手册AD域控及组策略管理51CTO下载.docx

管理员操作手册AD域控及组策略管理51CTO下载.docx

《管理员操作手册AD域控及组策略管理51CTO下载.docx》由会员分享，可在线阅读，更多相关《管理员操作手册AD域控及组策略管理51CTO下载.docx（33页珍藏版）》请在冰豆网上搜索。

管理员操作手册AD域控及组策略管理51CTO下载

管理员操作手册AD域控及组策略管理51CTO下载

四川省烟草专卖局〔公司〕

效能协同平台

管理员操作手册

AD域控及组战略管理

版本号1.0

日期:

2020年6月

山东浪潮齐鲁软件产业股份

文档修订记载

版本

日期

更改人

描画

0.1

2020-6-9

孙正敏

新建文档

0.2

2020-6-17

李浩

完善文档

1.0

2020-6-21

孙正敏

完善文档

一、ActiveDirectory（AD）活动目录简介

1、任务组与域的区别

域管理与任务组管理的主要区别在于：

1〕、任务组网完成的是分散的管理形式，每一台计算机都是独自自主的，用户账户和权限信息保管在本机中，同时借助任务组来共享信息，共享信息的权限设置由每台计算机控制。

在网上邻居中可以看到的任务组机的列表叫阅读列表是经过广播查询阅读主控效劳器，由阅读主控效劳器提供的。

而域网完成的是主/从管理形式，经过一台域控制器来集中管理域内用户帐号和权限，帐号信息保管在域控制器内，共享信息分散在每台计算机中，但是访问权限由控制器一致管理。

这就是两者最大的不同。

2〕、在〝域〞形式下，资源的访问有较严厉的管理,至少有一台效劳器担任每一台联入网络的电脑和用户的验证任务，相当于一个单位的门卫一样，称为〝域控制器〔DomainController，简写为DC〕〞。

3〕、域控制器中包括了由这个域的账户、密码、属于这个域的计算机等信息构成的数据库。

当电脑联入网络时，域控制器首先要鉴别这台电脑能否是属于这个域的，用户运用的登录账号能否存在、密码能否正确。

假设以上信息有一样不正确，那么域控制器就会拒绝这个用户从这台电脑登录。

不能登录，用户就不能访问效劳器上有权限维护的资源，他只能以对等网用户的方式访问Windows共享出来的资源，这样就在一定水平上维护了网络上的资源。

而任务组只是停止本地电脑的信息与平安的认证。

2、公司采用域管理的益处

1〕、方便管理,权限管理比拟集中，管理人员可以较好的管理计算机资源。

2〕、平安性高，有利于企业的一些保密资料的管理，比如一个文件只能让某一团体看,或许指定人员可以看,但不可以删/改/移等。

3〕、方便对用户操作停止权限设置，可以分发，指派软件等,完成网络内的软件一同装置。

4〕、很多效劳必需树立在域环境中，对管理员来说有益处:

一致管理,方便在MS软件方面集成,如ISAEXCHANGE（邮件效劳器）、ISASERVER（上网的各种设置与管理）等。

5〕、运用遨游账户和文件夹重定向技术，团体账户的任务文件及数据等可以存储在效劳器上，一致停止备份、管理，用户的数据愈加平安、有保证。

6〕、方便用户运用各种资源。

7〕、SMS〔SystemManagementServer〕可以分发运用顺序、系统补丁等，用户可以选择装置，也可以由系统管理员指派自动装置。

并能集中管理系统补丁〔如WindowsUpdates〕，不需每台客户端效劳器都下载异样的补丁，从而节省少量网络带宽。

8〕、资源共享

用户和管理员可以不知道他们所需求的对象确实切称号，但是他们能够知道这个对象的一个或多个属性，他们可以经过查找对象的局部属性在域中失掉一个一切属性相婚配的对象列表，经过域使得基于一个或许多个对象属性来查找一个对象变得能够。

9〕、管理

域控制器集中管理用户对网络的访问，如登录、验证、访问目录和共享资源。

为了简化管理，一切域中的域控制器都是对等的，你可以在任何域控制器上停止修正，这种更新可以复制到域中一切的其他域控制器上。

域的实施经过提供对网络上一切对象的单点管理进一步简化了管理。

由于域控制器提供了对网络上一切资源的单点登录，管理远可以登录到一台计算机来管理网络中任何计算机上的管理对象。

在NT网络中，当用户一次登陆一个域效劳器后，就可以访问该域中曾经开放的全部资源，而无需对同一域停止屡次登陆。

但在需求共享不同域中的效劳时，对每个域都必需要登陆一次，否那么无法访问未登陆域效劳器中的资源或无法取得未登陆域的效劳。

10〕、可扩展性

在活动目录中，目录经过将目录组织成几个局部存储信息从而允许存储少量的对象。

因此，目录可以随着组织的增长而一同扩展，允许用户从一个具有几百个对象的小的装置环境开展成拥有几百万对象的大型装置环境。

11〕、平安性

域为用户提供了单一的登录进程来访问网络资源，如一切他们具有权限的文件、打印机和运用顺序资源。

也就是说，用户可以登录到一台计算机来运用网络上另外一台计算机上的资源，只需用户具有对资源的适宜权限。

域经过对用户权限适宜的划分，确定了只要对特定资源有合法权限的用户才干运用该资源，从而保证了资源运用的合法性和平安性。

12〕、可冗余性

每个域控制器保管和维护目录的一个正本。

在域中，你创立的每一个用户帐号都会对应目录的一个记载。

当用户登录到域中的计算机时，域控制器将依照目录反省用户名、口令、登录限制以验证用户。

当存在多个域控制器时，他们会活期的相互复制目录信息，域控制器间的数据复制，促运用户信息发作改动时〔比如用户修正了口令〕，可以迅速的复制到其他的域控制器上，这样当一台域控制器出现缺点时，用户依然可以经过其他的域控制停止登录，保证了网络的顺利运转。

3、ActiveDirectory（AD）活动目录的功用

活动目录（ActiveDirectory）主要提供以下功用：

1〕、基础网络效劳：

包括DNS、WINS、DHCP、证书效劳等。

2〕、效劳器及客户端计算机管理：

管理效劳器及客户端计算机账户，一切效劳器及客户端计算机参与域管理并实施组战略。

3〕、用户效劳：

管理用户域账户、用户信息、企业通讯录〔与电子邮件系统集成〕、用户组管理、用户身份认证、用户授权管理等，按地市实施组管理战略。

4〕、资源管理：

管理打印机、文件共享效劳等网络资源。

5〕、桌面配置：

系统管理员可以集中的配置各种桌面配置战略，如：

界面功用的限制、运用顺序执行特征限制、网络衔接限制、平安配置限制等。

6〕、运用系统支撑：

支持财务、人事、电子邮件、企业信息门户、办公自动化、补丁管理、防病毒系统等各种运用系统。

二、AD域控〔DC〕基本操作

1、登陆AD域控

登陆到本地市的域控效劳器，依次点击〝末尾-管理工具-ActiveDirectory用户和计算机〞，如以下图：

图2-1

进入如下管理界面：

图2-2

以乐山市公司为例：

在乐山的只读域控效劳器上可以看到个省公司下各地市的节点：

但是只能对自己公司的节点停止维护：

图2-3

2、新建组织单位〔OU〕

OU（OrganizationalUnit，组织单位）是可以将用户、组、计算机和其它组织单位放入其中的AD容器，是可以指派组战略设置或委派管理权限的最小作用域或单元。

深刻一点说，假设把AD比作一个公司的话，那么每个OU就是一个相对独立的部门。

图1-3中以

图标扫尾的均表示组织单位，

假定需求添加组织单位时，在需求添加的组织单位的下级节点依次点击点击〝右键-新建-组织单位〞，如以下图：

图2-4

填写组织单位称号-点击确定

图2-4

既可在选中的组织单位节点下新增组织单位。

注：

删除组织单位时，要在检查中勾选初级功用

图2-5

然后选中的组织单位属性-对象中将〝防止对象被不测删除〞前的勾去掉，才干删除。

图2-6

3、新建用户

图2-1右侧窗口中以

图标扫尾的就是用户。

与新建组织单位相似。

对自己有权操作维护的组织单位点击〝右键-新建-用户〞，填写用户基本信息，点击下一步。

图2-7

填写初始密码，点击下一步

图2-8

点击完成

图2-9

既可在选中的组织单位节点下新增用户

图2-10

4、调整用户

右键点击用户-属性

图2-11

进入用户信息修正：

图2-12

其中惯例中号码必填

图2-13

选项卡中移动必填

图2-14

单位选项卡中一切信息必填

图2-15

注：

直接下属不需求维护

这几个选项卡是常用，并且需求留意的。

5、调整计算机

当用户应用自己的帐号参与域后，在AD管理工具中就能看到登入域的计算机右键点击计算机可对其停止管理

图2-16

三、AD域控常用命令

AD域控管理命令可以用命令行的方式，依次点击〝末尾-运转-cmd〞，翻开命令行工具。

AD域控常用命令有很多，下面罗列一些比拟罕见的例子：

1、创立组织单位：

（dsadd）

命令格式：

dsaddou[-desc描画][{-s效劳器|-d域}][-u用户名][-p{密码|*}][-q][{-uc|-uoc|-uci}]

留意：

OU称号应为要创立的OU的LDAP相对途径〔DN，DistinguishedName〕，假设DN中包括空格，应该在途径两端运用双引号。

例如要在yjx域中树立一个名为finance的OU，可以执行以下命令：

C:

\>dsaddouou=finance,dc=yjx,dc=com-desc"财务部"

2、创立域用户帐户（dsadd）

命令格式：

dsadduser[-samid]-pwd{|*}–upnUPN

例如要在yjx域中树立一个名为mike的用户帐户，该用户将位于salesOU中，其显示称号为〝mikeyang〞，那么可以执行以下命令：

C:

\>dsaddusercn=mike,ou=sales,dc=yjx,dc=com-samidmike-pwdbenet3.0-display〝mikeyang〞

3、创立计算机帐户（dsadd）

命令格式：

dsaddcomputer

要在yjx域中的salesOU中树立一个名为client-2的计算机帐户，可以执行以下命令：

C:

\>dsaddcomputercn=client-2,ou=sales,dc=yjx,dc=com

要在yjx域中的salesOU中树立一个名为client-3的计算机帐户，并设置计算机账户的描画信息为〝测试任务站〞，可以执行以下命令：

C:

\>dsaddcomputercn=client-3,ou=sales,dc=yjx,dc=com-desc测试任务站

4、创立联络人（dsadd）

命令格式：

dsaddcontact[-fn][-mi][-ln][-display][-desc]

要在yjx域中的salesOU中树立一个名为杨建新的联络人，执行以下命令：

C:

\>dsaddcontactcn=杨建新,ou=sales,dc=yjx,dc=com-fnjianxin-lnyang-display杨建新

5、修正活动目录对象〔dsmod〕

用于修正AD对象的属性，可以对OU、用户、组、联络人等对象停止修正。

C:

\>dsmoduser/?

描画:

修正目录中现有的用户。

语法:

dsmoduser[-upn][-fn]

[-mi][-ln][-display]

[-fnp][-lnp]

[-displayp]

[-empid][-pwd{|*}]

[-desc][-office][-tel]

[-email][-hometel][-pager]

[-mobile][-fax][-iptel]

[-webpg][-title