AD域服务器配置手册剖析
AD主备域服务器
AD主备域服务器本文档为AD主备域服务器的配置和操作指南。
⒈介绍⑴目的本文档旨在详细介绍如何配置和操作AD主备域服务器，以确保域的高可用性和故障恢复能力。
⑵背景AD主备域服务器是一种实现域控制器高可用性的解决方案。
通过配置AD主备域服务器，可以在主域控制器出现故障时，快速切换到备域控制器，从而确保系统的连续性和可用性。
⒉配置主备域服务器⑴硬件要求在配置主备域服务器之前，首先需要检查硬件要求是否满足。
确保备用服务器具有足够的处理能力、内存和磁盘空间。
⑵安装操作系统在备用服务器上安装相同的操作系统版本，并确保操作系统的补丁或更新与主服务器保持一致。
⑶安装域控制器角色使用域管理员帐户登录备用服务器，并安装域控制器角色。
在安装过程中，选择将服务器添加到现有的域中作为备用域控制器。
⑷配置复制配置备用域控制器与主域控制器之间的复制关系。
通过运行适当的命令或使用Active Directory Sites and Services工具，确保域信息得以复制到备用服务器上。
⑸测试切换功能在主域控制器正常运行时，测试备用域控制器的切换功能。
模拟主域控制器的故障，并验证备用域控制器是否能够正常工作并接管域控制器的职责。
⒊恢复故障⑴主域控制器故障的识别当主域控制器出现故障时，及时识别问题所在，并确保备用域控制器已准备好接管工作。
⑵切换到备用域控制器通过适当的步骤和命令，切换到备用域控制器。
确保备用域控制器能够正常工作，并向客户端提供所需的服务和功能。
⑶故障修复一旦备用域控制器接管了主域控制器的功能，必须尽快修复主域控制器上的故障，并重新将其纳入系统。
⒋监控与维护⑴监控备用域控制器定期监控备用域控制器的性能和状态。
确保备用服务器能够正常工作，并及时发现潜在的故障或问题。
⑵定期备份数据定期备份所有域控制器的数据，包括主域控制器和备用域控制器。
确保备份数据的完整性和可恢复性。
⑶更新和维护及时安装操作系统和应用程序的补丁和更新。
AD域服务器配置使用手册
AD域服务器配置使用手册目录•简介•安装AD域服务器•配置AD域服务器•使用AD域服务器•常见问题与解决方案简介Active Directory（简称AD）是由微软公司开发的一种目录服务，用于管理和组织网络中的用户、计算机、应用程序等资源。
AD域服务器是一个核心组件，用于集中管理和分发资源，提供统一的身份验证和访问控制。
本文档将指导您进行AD域服务器的安装、配置和使用，以便在企业网络中实现集中管理和统一认证。
在安装AD域服务器之前，您需要确保以下条件已满足：•一台运行Windows Server操作系统的服务器•具有管理员权限的帐户•确保网络连接正常按照以下步骤进行AD域服务器的安装：1.在服务器上运行Windows Server安装程序。
2.选择“自定义安装”选项，并选择“域控制器”角色。
3.指定域的名称，并设置管理员密码。
4.安装必要的依赖项和组件。
5.完成安装过程。
安装完成后，您需要进行AD域服务器的配置，以满足特定的网络需求。
以下是一些常见的AD域服务器配置任务：•添加组织单位（OU）和用户组：用于组织和管理用户和计算机资源。
•配置组策略：通过组策略设置实施安全和配置要求。
•创建用户账户和共享文件夹：用于授权和权限管理。
•配置安全认证和访问控制：用于保护网络资源免受未经授权的访问。
•配置域名服务器（DNS）和动态主机配置协议（DHCP）：用于自动分配IP地址和解析域名。
您可以通过Windows Server管理工具如Active Directory用户和计算机、组策略管理等进行以上配置任务。
使用AD域服务器一旦AD域服务器配置完成，您可以开始使用其提供的功能：•用户身份验证和访问控制：用户可以使用域帐户登录到域中的任何计算机，并访问授权的资源。
•统一管理：通过AD域服务器，您可以集中管理用户、计算机和应用程序的配置和访问权限。
•自动化管理：通过组策略和脚本，可以自动化管理和配置群组策略、软件安装等。
AD配置说明
AD配置说明1. LDAP管理1.1打开：基础设置访问控制LDAP管理1.2属性说明属性名 描述 备注名称 用户自定义类型 AD服务器类型服务器 服务器连接地址 例：ldap://192.168.1.100端口 服务器连接端口 默认：389登录帐号 AD域帐号 AD域真实存在AD域用户密码 AD域帐号的密码BaseDN 基位置(dc:域名,ou:组织,cn:部门) 例：CN=Users,DC=domainname,DC=com搜索过滤器 过滤条件 例：(objectClass=user) 允许定期同步更新 是否允许本系统与Ad域同步更新YES或NO1.3配置示例1.3.1 AD服务器1.3.2配置如图所示1.3.3连接测试1.3.4保存即可2、域用户管理2.1 打开：基础设置访问控制域用户列表2.2 查看 域的所有用户（下拉列表数据是LDAP管理数据）2.3 对AD用户手动导入选中要导入的用户：点击导入：设置导入到指派的机构和用户角色点击导入：弹出导入结果查看导入的用户：基础设置‐访问控制‐用户管理2.4注：导入的密码与登录帐号一样3、AD同步更新设置3.1 前提条件基础设置‐访问控制‐LDAP管理，列状态=”Success”和允许定期同步更新=”是”,如图示：3.2【状态=”Success”】配置选中某行数据，点击”连接测试”按钮,显示”连接测试成功”后，状态会变成” Success”3.3【允许定期同步更新=”是”】配置：编辑‐允许定期同步更新 勾上—保存3.4 设置AD同步更新日程（周期）3.4.1 打开：基础设置—系统工具—定期任务管理3.4.2 新增同步日程任务3.4.3 选择【活动目录(AD)同步更新】‐‐【确认选择】3.4.4 保存即可3.4.5 备注说明AD用户更新信息，同步更新后，用户相关信息会自动更新。
AD用户添加，同步更新后，自动添加到本系统。
AD域服务器配置
Active Directory Federation Services 部署循序渐进指南Microsoft Corporation发布日期：2005 年 5 月 20 日作者：Nick Pierson、Jack Couch编辑：Jim Becker版本：Beta 2摘要本指南提供了在运行 Microsoft® Windows Server™ 2003 R2 操作系统的服务器上部署Active Directory Federation Services (ADFS) 的循序渐进操作说明。
此版本的文档适用于Windows Server 2003 R2 Beta 2，提供了在 Federated Web 单一登录 (SSO) 方案中部署ADFS 的说明。
该文档的未来版本将提供在其他方案中部署 ADFS 的说明。
本文档支持所述软件产品的预备版本。
在最终商用版本发布之前，可能会有重大改动。
本文档属于Microsoft Corporation 私有的机密信息。
若要公开文档，需依据文档接收人和 Microsoft 之间签订的保密协议。
本文档仅供参考，Microsoft 对本文档中的信息不提供任何明示或暗示的保证。
本文档中的信息（包括 URL 以及其它 Internet 网站的参考信息）可能随时更改，恕不另行通知。
使用本文档的全部风险以及因此造成的全部后果将由用户承担。
除非另外注明，否则此处作为例子提到的公司、组织、产品、域名、电子邮件地址、徽标、人员、地点和事件纯属虚构，不得与任何真实的公司、组织、产品、域名、电子邮件地址、徽标、人员、地点和事件相联系或随意推测。
用户有责任遵守所有适用的版权法。
在版权法所赋予权利的前提下，未经 Microsoft Corporation 明确的书面许可，任何人不得将本文复制、存储或引入可检索系统，或是以任何形式或通过任何方式（电子、机械、影印、录制或其他方式）传播本文的任何部分。
AD域服务器配置手册
. Windows Terminal Service 终端服务器安装配置文档一：将服务器提升为域服务器如果你的Win2003高级服务器版，没有升级到域控制器，就是nt下常说的dc。
在开始菜单的管理工具中选择“配置服务器”。
next选择“active directory”。
下一步选择“启动active directory向导”。
nextnext默认即可。
next nextnext这里指定一个dns名机子会去搜寻dns服务器，next我的输入"kelaode"，你们自定。
默认得，nextnext 确定。
这里我不配置dns，根据自己的情况配置。
next 默认即可。
nextnext next这个需要一些时间。
完成。
重起。
二：用户登录1：设置策略组添加受策略控制组时注意画圈位置，必须使用“应用组策略”，否则策略不能生效右面，可以继续“添加”受此策略控制的组，该组现可管理“政治处”和“指挥处”两个组2：编辑策略组交互登录设置（1）编辑本地策略（如在“管理策略”），添加“通过终端服务容许登录”和“允许本地登录“（2）打开“开始---管理工具----域安全策略”中添加“通过终端服务容许登录”和“允许本地登录“（下图）（3）打开“默认域安全策略”，在下图中添加远程登录的组此时，即可已完成交互登录的设定！受策略控制组的权限设定1：Netmeeting 禁止文件发送设定2：在“管理模板—资源管理器”中做磁盘访问权限设定，网上邻居中不显示“整个网络“等的设定磁盘访问设定隐藏磁盘设定禁用注册表设定，禁用命令提示符，禁止自动播放等在“系统”中如图设定桌面禁用“我的文档、我的电脑、回收站”等属性设定，在“用户配置---管理模板---桌面”中如下配置控制面板设定1、完全禁用控制面板设定，将“禁止访问控制面板“起用”即可！2、控制面板部分禁用设定，不起用“禁止访问控制面板”，然后在起用“直显示指定控制面板程序”，并添加相应的程序名，只显示“键盘、鼠标和字体”等设定如下如，添加intl.cpl 为只显示“字体”，添加main.cpl为显示键盘和鼠标！设置后效果如下图：控制面板程序对照表(见最后附加表)禁止添加删除程序设定，如下图：打印机添加设定在“控制面板——打印机”中，可进行禁止用户添加、删除打印机设定，如下图Ctrl+Alt+Del设定使用Ctrl+Alt+Del时，只显示“注销“的设定任务栏和开始菜单设定禁用网络连接、禁用帮助、禁用运行的设定，将“注销“添加到开始菜单的设定，开始菜单中不显示用户文件夹设定图一图二在此我们可以对开始菜单进行必要的设定，如为了安全我们可以在开始菜单禁止使用“运行菜单”、禁止访问关机命令等可能会危及系统的工具和命令！网络设定禁止普通用户访问Tcp/IP高级设置，禁用新建连接，禁止访问LAN连接属性等的设置文件夹重定向1.网络设定：注意DNS设定！2.重定向文件夹权限设定此处注意，最好加入Domain User的共享权限（默认为Everyone）为完全控制，否则会发生不能重定向的现象。
AD域权限控制案例配置解析
一、实验环境AD域控制器和DNS服务器ip：13.200.1.100Windows7主机一：13.200.1.104Windows7主机二：13.200.1.105二．AD域控制器和DNS的安装这一步不是必须的，在安装Active Directory 域服务时可以同时装上DNS服务器。
Active Directory 域服务安装向导-->其它域控制服务器，勾上DNS服务器也有同样效果，鉴于服务器配置容易出现一些未知小错误，还是提前安装上比较省心。
•开始菜单-->管理工具-->服务器管理器•选择左侧树形菜单“角色”节点，右键“添加角色”点击“下一步按钮”勾选“DNS 服务器”点击“下一步”按钮点击“下一步”按钮点击“安装”按钮点击“关闭”按钮，重启服务器！二、AD域控制的配置开始菜单-->运行-->输入命令“dcpromo”à点击“确定” 按钮进入安装界面弹出Active Directory 域服务安装向导，并点击“下一步”按钮点击“下一步”按钮选择“在新林中新建域”并点击“下一步”按钮输入域名并点击“下一步”按钮我们这里的域为：林功能级别选择“Windows Server 2008 R2” 并点击“下一步”按钮点击“下一步”按钮，如果最初没有安装DNS服务器，此处可以勾选并安装点击“下一步”按钮弹出DNS提示框，点击“是“按钮，继续安装点击“下一步”按钮输入Administrator密码和确认密码，点击“下一步”按钮点击“下一步”按钮点击“完成”按钮，重启服务器四、权限分配设置共享文件夹用户权限Test1为只读Test2为可读可写六、加入域Test1用户加入域Test2用户加入域七、验证文件夹权限Test1上面的文件操作可以下载文件不能上传文件Test2可以上传也可以下载。
AD域服务器配置使用手册
Windows Terminal Service 终端服务器安装配置文档一：将服务器提升为域服务器如果你的Win2003高级服务器版，没有升级到域控制器，就是nt 下常说的dc。
在开始菜单的管理工具中选择“配置服务器”。
next选择“active directory”。
下一步选择“启动active directory向导”。
nextnext默认即可。
nextnextnext这里指定一个dns名机子会去搜寻dns服务器，next我的输入"kelaode"，你们自定。
默认得，nextnext确定。
这里我不配置dns，根据自己的情况配置。
next默认即可。
nextnextnext这个需要一些时间。
完成。
重起。
二：用户登录1：设置策略组添加受策略控制组时注意画圈位置，必须使用“应用组策略”，否则策略不能生效右面，可以继续“添加”受此策略控制的组，该组现可管理“政治处”和“指挥处”两个组2：编辑策略组交互登录设置（1）编辑本地策略（如在“管理策略”），添加“通过终端服务容许登录”和“允许本地登录“（2）打开“开始---管理工具----域安全策略”中添加“通过终端服务容许登录”和“允许本地登录“（下图）（3）打开“默认域安全策略”，在下图中添加远程登录的组此时，即可已完成交互登录的设定！受策略控制组的权限设定1：Netmeeting 禁止文件发送设定2：在“管理模板—资源管理器”中做磁盘访问权限设定，网上邻居中不显示“整个网络“等的设定磁盘访问设定隐藏磁盘设定“系统”中如图设定在“用户配置---管理模板---桌面”中如下配置1、完全禁用控制面板设定，将“禁止访问控制面板“起用”即可！2、控制面板部分禁用设定，不起用“禁止访问控制面板”，然后在起用“直显示指定控制面板程序”，并添加相应的程序名，只显示“键盘、鼠标和字体”等设定如下设置后效果如下图：控制面板程序对照表(见最后附加表)禁止添加删除程序设定，如下图：打印机添加设定在“控制面板——打印机”中，可进行禁止用户添加、删除打印机设定，如下图使用Ctrl+Alt+Del时，只显示“注销“的设定任务栏和开始菜单设定禁用网络连接、禁用帮助、禁用运行的设定，将“注销“添加到开始菜单的设定，开始菜单中不显示用户文件夹设定图一图二在此我们可以对开始菜单进行必要的设定，如为了安全我们可以在开始菜单禁止使用“运行菜单”、禁止访问关机命令等可能会危及系统的工具和命令！网络设定禁止普通用户访问Tcp/IP高级设置，禁用新建连接，禁止访问LAN连接属性等的设置1. 网络设定：注意DNS设定！2. 重定向文件夹权限设定此处注意，最好加入Domain User的共享权限（默认为Everyone）为完全控制，否则会发生不能重定向的现象。
AD域服务器设置
AD域服务器设置AD域服务器设置文档范本：⒈介绍⑴本文档描述了如何设置和配置AD域服务器。
⑵ AD域服务器是用于管理网络中的用户、计算机和其他资源的中心化身份认证和访问控制解决方案。
⒉准备工作⑴确认系统要求和硬件要求，包括操作系统版本、处理器和内存要求。
⑵安装并配置适当的网络连接、电源和硬盘存储。
⑶确保网络连接稳定，并且可以与其他计算机通信。
⒊安装AD域服务器⑴ AD域服务器安装文件。
⑵运行安装程序。
⑶按照安装向导的指示进行安装。
⑷配置AD域服务器的名称和域名称。
⒋配置域控制器⑴登录到AD域服务器。
⑵打开“服务器管理器”。
⑶单击“角色和功能”。
⑷单击“添加角色和功能”。
⑸选择“Active Directory域服务”。
⑹按照向导的指示进行配置。
⑺设置域管理员和域用户的账户。
⒌配置DNS服务器⑴打开“服务器管理器”。
⑵单击“工具”。
⑶单击“DNS”。
⑷添加AD域服务器的DNS记录。
⑸配置适当的DNS转发。
⑹确保DNS服务器正常运行。
⒍管理AD域服务器⑴打开“Active Directory用户和计算机”控制台。
⑵管理用户和组。
⑶管理计算机和设备。
⑷配置组策略。
⑸监控AD域服务器的性能和状态。
⑹定期备份AD域服务器数据。
⒎故障排除和维护⑴检查系统日志和事件查看器以解决问题。
⑵更新和维护AD域服务器的操作系统和安全补丁。
⑶定期检查AD域服务器的健康状态。
⑷备份和恢复AD域服务器数据。
附件：本文档没有附件。
法律名词及注释：●AD: Active Directory的缩写，是一种目录服务，用于在Windows域网络中存储和组织网络资源和用户标识。
●域控制器（Domn Controller）: 运行Active Directory服务的服务器，用于认证和授权网络中的用户和计算机。
●DNS: 域名系统（Domn Name System）是一种分布式数据库，用于将域名转换为IP地址。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
Windows Terminal Service 终端服务器安装配置文档
一：将服务器提升为域服务器
如果你的Win2003高级服务器版，没有升级到域控制器，就是nt下常说的dc。
在
开始菜单的管理工具中选择“配置服务器”。
next
选择“active directory”。
下一步
选择“启动active directory向导”。
next
next
默认即可。
next
next
next
这里指定一个dns名
机子会去搜寻dns服务器，next
我的输入"kelaode"，你们自定。
默认得，next
next
确定。
这里我不配置dns，根据自己的情况配置。
next
默认即可。
next
next
next
这个需要一些时间。
完成。
重起。
二：用户登录
1：设置策略组
添加受策略控制组时注意画圈位置，必须使用“应用组策略”，否则策略不能生效
右面，可以继续“添加”受此策略控制的组，该组现可管理“政治处”和“指挥处”两个组
2：编辑策略组
交互登录设置
（1）编辑本地策略（如在“管理策略”），添加“通过终端服务容许登录”和“允许本地登录“
（2）打开“开始---管理工具----域安全策略”中添加“通过终端服务容许登录”和“允许本地登录“（下图）
（3）打开“默认域安全策略”，在下图中添加远程登录的组
此时，即可已完成交互登录的设定！
受策略控制组的权限设定
1：Netmeeting 禁止文件发送设定
2：在“管理模板—资源管理器”中做磁盘访问权限设定，网上邻居中不显示“整个网络“等的设定
磁盘访问设定
隐藏磁盘设定
统”中如图设定
在“用户配置---管理模板---桌面”中如下配置
1、完全禁用控制面板设定，将“禁止访问控制面板“起用”即可！
2、控制面板部分禁用设定，不起用“禁止访问控制面板”，然后在起用“直显示指定控制面板程序”，并添加相应的程序名，只
显示“键盘、鼠标和字体”等设定如下
设置后效果如下图：
控制面板程序对照表(见最后附加表)
禁止添加删除程序设定，如下图：
打印机添加设定
在“控制面板——打印机”中，可进行禁止用户添加、删除打印机设定，如下图
使用Ctrl+Alt+Del时，只显示“注销“的设定
任务栏和开始菜单设定
禁用网络连接、禁用帮助、禁用运行的设定，将“注销“添加到开始菜单的设定，开始菜单中不显示用户文件夹设定
图一
图二
在此我们可以对开始菜单进行必要的设定，如为了安全我们可以在开始菜单禁止使用“运行菜单”、禁止访问关机命令等可能会危及系统的工具和命令！
网络设定
禁止普通用户访问Tcp/IP高级设置，禁用新建连接，禁止访
问LAN连接属性等的设置
1.网络设定：注意DNS设定！
2.重定向文件夹权限设定
此处注意，最好加入Domain User的共享权限（默认为Everyone）为完全控制，否则会发生不能重定向的现象。
（出现的问题为：访问被拒绝，或不能决定重定向类型）
3.文件夹重定向设定
3-1 A pplication Date重定向
注意：此处设定时安全组为Domain User ,根路径为重定向文件服务器的共享目录！文件夹位置处默认为“在根路径为每用户创建一个文件夹）上见图片圆圈处！
3-2桌面重定向、我的文档重定向等（同图3-1）设定！
3-3开始菜单重定向
由于目标文件夹位置没有“在根路径为每用户创建一个文件
夹”项，所以在路径处输入为“\\vip\share\%username%”，此时用户的开始菜单便只会存在于用户目录下！如果仅输入“\\vip\share”则会使用户的开始菜单为公共目录，每个人的个性设定就会影响到其他人！
4.重定向后的问题
如图所示，重定向后开始菜单会有公共文件夹出现，如果不想看见，可通过
终端服务器负载均衡
设置终端服务器的负载均衡有两种方法。
●在域控制器中的DNS设置IP轮询。
●终端服务器中设置网络负载均衡或使用网络负载平衡管理器；
以上方法均可实现终端服务器的负载均衡。
并且都可以实现终端客户机和终端服务器失去连接后，自动和其它终端服务器连接，终端服务器的NLB和负载平衡管理器重新连接的速度要比DNS IP轮询快些
方法一：设置域控制器的DNS轮询
在域控制器的DNS设置中，正向查找区域相应位置增加主机。
名称cluster是终端客户访问终端服务器的名称，IP是第一台终端服务器的IP地址。
再增加一台主机，名称同样为cluster，IP为第二台终端服务器的IP地址。
方法二：设置终端服务器NLB
NLB设置有两种方法：1、管理工具－网络负载平衡管理器；2、在终端服务器的网卡设置中直接设置。
在终端服务器的网卡上设置NLB操作步骤较少。
在终端服务器1的网卡上启用网络负载均衡，并选择属性。
输入NLB集群的虚拟IP地址和名称，
192．168．112．103
255．255．255．0
Cluster.domain.local
如果是单块网卡，选择多播，否则NLB无法工作。
主机参数中输入优先级（每终端服务器唯一）、本机网卡的IP设置。
192.168.112.103
在终端服务器2上完成同样配置
此时，终端客户可以通过虚拟IP地址192.168.112.103访问终端服务。
如需要通过虚拟主机名访问，需在域控制器的DNS设置中增加一条主机记录。
域控制器的DNS设置中增加一条主机记录。
名称：cluster；IP：192.168.112.103。
主机记录增加完成后，选择cluster记录的属性，选择安全。
增加终端服务器nlb1和nlb2，同时添加写入权限给此二台终端服务器。
1.1.1Session Directory配置
配置会话目录的目的是当终端服务器和终端客户机的连接断开后，终端客户机重新登录时，此时由于有多台终端服务器，会话目录保证断开连接的终端客户可以连接到正确的终端服务器，使终端客户连接到断开前的会话。
会话目录设置分为服务器设置和终端服务器上的设置。
在域控制器中，启动Terminal Services Session Directory服务。
组中增加nlb1和nlb2，使终端服务器可以使用Session Directory
在终端服务器nlb1上，选择终端服务配置－服务器设置－会话目录上右键选择
属性。
选择加入会话目录，在集群名中填入cluster.domain.local，会话目录服务器名中填入win2003。
在nlb2终端服务器进行同样设置。
会话目录设置完成
将终端服务器加入session derictory组里面后，在域控制器上用负载均衡管理器检查是否所有节点是否被激活，里面会看到具体的状态。
附加控制面板程序对应表。