Windows_Server_2003本地账户和组的概念
Windows severe 2003本地帐户和组
实现Windows Server 2003 工作组
1/19
Version 1.0
内容回顾
Windows Server 2003网络 IP地址
静态IP地址 动态IP地址 IPCONFIG PING TRACERT WHOAMI
网络测试工具
MMC控制台 管理工具
2
本章目标
16
本地用户帐户的命名规则
必须唯一，且不区分大小写 不能够与现有的用户名和组名相 同 登录名最多20个字符 专用字符和字母、数字的组合 无效字符不能用在帐号中： / \ [ ] : , * ? < > ; | = + @ “
17
本地用户密码的命名规则
最长127个字符 存储在SAM数据库中或AD中 尽量使用大小写字母、数字和特殊符号 （！、@、#）组合，且大于7位字符长 的复杂密码。（默认是较弱的加密方法） 空密码问题 密码策略
可以登录机器和关闭系统 也可以对加密文件进行备份
51
3、Guests
该组是提供没有用户账户，但是需要访问本 地计算机内资源的用户使用，该组的成员无 法永久地改变其桌面的工作环境。该组最常 见的默认成员为用户账户 Guest。
如果这台计算机已加入域，则域的Domain Guests会自动地被加入到该计算机的 Guests组中。
56
7、Users
该Users本地组的组员，只拥有一些基本的权利 一般用户所在的组(默认创建的用户都属于该组) 该组成员可以运行程序、使用网络
不能修改操作系统的设置、 不能更改其他用户的数据、 不能关闭服务器级的计算机。 不能创建共享目录，不能创建打印机
Windows Server 2003帐户管理
2.1 用户帐户的类型 2.2 组类型 2.3 计算机账户 2.2 组类型 2.3 计算机账户
整理ppt
1
2.1 用户帐户的类型
Windows Server 2003可以有两种 类型的用户账户：域用户账户和本地 用户账户。
域用户账户建立在域控制器的活动目 录数据库内。
整理ppt
4
2.2 组类型
Windows Server 2003提供了许多内置组。在“Active Directory用户和计算机”的窗口中，选择目录树中的 Builtin项，右侧将列出内置的组。下面介绍一些常用的内 置本地域组及其权限和用途。
（1）Administrators组。
（2）Server Operators组。
（3）Account Operators组。
（4）Print Operators组。
（5）Backup Operators组。
（6）Users组。
（7）Guests组。。
整理ppt
5
2.2 组类型
2．内置的全局组 当建立一个域时，系统会在活动目录内建
立一些内置的全局组。这些全局组位于 Users组织单位中，它们本身没有任何权限， 需要通过将其加入具备一定权限的本地域 组或者直接给此全局组指派相应的权限。
（2）Domain Users组。Windows Server 2003会自动将Domain Users组 加入到Users本地域组内，此组的默认成员 为用户账户User。
（3）Domain Guests组。Windows Server 2003会自动将Domain Guests组 加入到Guests本地域组内，此组的默认成 员为用户账户Guest。
用户账户的管理
4
1.2 内置的用户账户
返回目录
2．Guest:来宾用户
Guest 是 供 无 账 户 的 用 户 临 时 使 用 的 账 户 ， 利 用 Guest账户登录，可访问一些公开的资源。设置此账户， 是为方便提供公开资源的系统，不必为所有用户都设置 个人账户。
账户只有有限的权限。用户可更改该账户的名称， 但无法将其删除。基于安全因素，系统默认此账户禁用。 因为如启用Guest账户，任何人都可以使用域中的资源。
1.4 域用户账户的创建与设置
1.创建组织单位与域用户账户
返回目录
新建组织单位
13
1.4 域用户账户的创建与设置
返回目录
14
选择新建用户
1.4 域用户账户的创建与设置
返回目录
在如下图所示的画面中，输入“姓”、“名”、“姓 名”、 “用户登录名”、“用户登录名（Windows 2000以前版 本）”。然后单击“下一步”。
3
1.2 内置的用户账户
返回目录
Windows Server 2003的域的内置账户有：Administrator与 Guest.
1．Administrator:系统管理员账户 这个账户对域有最大的控制权（可以管理账户和组、文 件与打印机以及设置组策略等），使用者无法删除它。 建议将Administrator账户重新命名，这样想破坏系统管 理员账户密码的人，就无法猜到账户的名称。
信息。
19
1.5 域用户账户的属性设置
2. 账户信息的设置
返回目录
20
设置用户属性
1.5 域用户账户的属性设置
3.登录时间的设置
返回目录
图中横向每一块代表一个小时，纵向每一方块代表一天。中间填充 的区域代表可以登录的时间，空白的区域是不能登录的时间。
实训七管理用户和组
实训七管理用户和组一、实训目的1．掌握本地帐户与域帐户的管理方法；2．掌握设置帐户属性的方法；3．掌握用户配置文件的创建方法；4．掌握用户组的管理方法；5．在活动目录中利用OU管理资源的方法。
二、实训环境Win2003server 1台、直通双绞线4根(每根3米)、WinXP 3台，组网形式如下。
三、实训理论基础每个用户都需要有一个帐户，以便登录到域访问网络资源或登录到某台计算机访问该机上的资源，创建和管理用户对象是网络管理员执行的最常见任务。
组是用户帐户的集合，管理员通常通过组来对用户的权限进行设置从而简化了管理。
1．用户账户简介Windows Server 2003提供两种主要类型用户账户：本地用户账户（Local User Account）和域用户账户（Domain User Account）。
除此之外，Windows Server 2003系统中还有内置用户账户（Built-in User Account）。
2．本地用户账户本地用户帐户只能登录到帐户所在的计算机并获得对该资源的访问。
当创建本地用户帐户后，Windows Server 2003将在该机的本地安全性数据库中创建该帐户，本地帐户信息存储在本地，不会被复制到其他计算机或域控制器。
当创建一个本地用户账户后，计算机使用本地安全性数据库验证本地用户账户，以便让用户登录到该计算机。
3．创建本地用户账户创建本地用户账户可以在除了域的域控制器以外的任何一台基于Windows Server 2003的计算机上进行。
出于安全性考虑，通常建议只在不是域的组成部分的计算机上创建和使用本地用户账户，即在属于域的计算机上不要设置本地账户。
工作组模式是使用本地用户账户的最佳场所，如图4．域用户账户域用户账户可让用户登录到域并获得对网络上其他地方资源的访问权。
域用户账户是在域控制器上建立的，作为Active Directory 的一个对象保存在域的Active Directory 数据库中。
通用组、全局组、本地域组的区别
1、本地域组：多域用户访问单域资源（访问同一个域）本地域组的成员可包括Windows Server2003、Windows 2000或WindowsNT域中的其他组和账户，而且只能在其所在域内指派权限。
2、全局组：单域用户访问多域资源（必须是一个域里面的用户）全局组的成员可包括其所在域中的其他组和账户，而且可在林中的任何域中指派权限；3、通用组：多域用户访问多域资源通用组的成员可包括域树或林中任何域的其他组和账户，而且可在该域树或林中的任何域中指派权限；当域功能级别设置为Windows2000混合模式时，不能创建具有通用组的安全组。
本地域组：可以从任何域添加用户账户、通用组和全局组。
域本地组不能嵌套于其他组中。
它主要是用于授予位于本域资源的访问权限。
全局组：只能在创建该全局组的域上进行添加用户账户和全局组，但全局组可以嵌套在其他组中。
可以将某个全局组添加到同一个域上的另一个全局组中，或添加到其他域的通用组和域本地组中（注意这里不能它加入到不同域的全局组中，全局组只能在创建它的域中添加用户和组）。
虽然可以利用全局组授予访问任何域上的资源的权限，但一般不直接用它来进行权限管理。
通用组：通用组是集合了上面两种组的优点，即可以从任何域中添加用户和组，可以嵌套于其他域组中。
比如：有两个域，A和B，A中的5个财务人员和B中的3个财务人员都需要访问B中的“FINA”文件夹。
这时，可以在B中建一个DL，因为DL的成员可以来自所有的域，然后把这8个人都加入这个DL，并把FINA的访问权赋给DL。
这样做的坏处是什么呢？因为DL 是在B域中，所以管理权也在B域，如果A域中的5个人变成6个人，那只能A域管理员通知B域管理员，将DL的成员做一下修改，B域的管理员太累了。
这时候，我们改变一下，在A和B域中都各建立一个全局组（G），然后在B域中建立一个DL，把这两个G都加入B域中的DL中，然后把FINA的访问权赋给DL。
哈哈，这下两个G组都有权访问FINA文件夹了，是吗？组嵌套造成权限继承嘛！这时候，两个G分布在A和B域中，也就是A和B的管理员都可以自己管理自己的G啦，只要把那5个人和3个人加入G中，就可以了！以后有任何修改，都可以自己做了，不用麻烦B域的管理员！这就是A-G-DL-P。
如何管理Active_Directory用户和计算机
管理Active Directory用户和计算机服务器技术2010-01-26 21:36:55 阅读133 评论0 字号：大中小在使用Windows Server 2003 所包括的Active Directory服务的网络上，每个用户都必须由目录中的一个用户对象来表示。
用户对象由包含用户信息的属性和用户在网络上的权利组成。
创建和管理用户对象是网络管理员执行的常见任务。
一、用户账号简介用户账号可为用户提供登录到域以访问网络资源或登录到计算机以访问该机资源的能力。
定期使用网络的每个人都应有一个惟一的用户账号。
Windows Server 2003提供两种主要类型的用户账号：本地用户账号和域用户账号。
除此之外，Windows Server 2003系统中还有内置的用户账号。
1.本地用户账号（Local User Account）本地用户账号只能登录到账号所在计算机并获得对该资源的访问。
当创建本地用户账号后，Windows Server 2003将在该机的本地安全性数据库中创建该账号，本地账号信息仍为本地，不会被复制到其他计算机或域控制器。
当创建一个本地用户账号后，计算机使用本地安全性数据库验证本地用户账号，以便让用户登录到该计算机。
注意不要在需要访问域资源的计算机上创建本地用户账号，因为域不能识别本地用户账号，也不允许本地用户访问域资源。
而且，域管理员也不能管理本地用户账号，除非他们用计算机管理控制台中的操作菜单连接到本地计算机。
2.域用户账号（Domain User Account）域用户账号可让用户登录到域并获得对网络上其他地方资源的访问。
域用户账号是在域控制器上建立的，作为AD的一个对象保存在域的AD数据库中。
用户在从域中的任何一台计算机登录到域中的时候必须提供一个合法的域用户账号，该账号将被域的域控制器所验证。
当在一个域控制器上新建一个用户账号后，该用户账号被复制到域中所有其他计算机上，复制过程完成后，域树中的所有域控制器就都可以在登录过程中对用户进行身份验证。
Windows的用户和用户组说明
2、内置特殊组：
Everone
任何一个用户都属于这个组。注意，如果Guest帐号被启用时，则给Everone这个组指派权限时必须小心，因为当一个没有帐户的用户连接计算机时，他被允许自动利用Guest帐户连接，但是因为Guest也是属于Everone组，所以他将具备Everyone所拥有的权限。
Power Users
该组内的用户具备比Users组更多的权利，但是比Administrators组拥有的权利更少一些，例如，可以：
创建、删除、更改本地用户帐户
创建、删除、管理本地计算机内的共享文件夹与共享打印机
自定义系统设置，例如更改计算机时间、关闭计算机等
2、控制台:
系统控制台是Windows 2000及其后续版本中一个非常重要的系统组件，集中安置了系统中的多个系统配置维护工具。
依次打开“控制面板→计算机管理”打开“计算机管理”控制台，在窗口左侧定位到“本地用户和组→用户”，在窗口右侧就罗列了当前系统已经建立的账户，一些在“用户账户”中没有显示的账户都可以在这里查到。在窗口右侧空白处点右键选择“新用户”，然后输入账户信息就可以建立一个新用户了。
一、WINDOWS的用户和用户组说明
1、基本用户组
Administrators
属于该administators本地组内的用户，都具备系统管理员的权限，它们拥有对这台计算机最大的控制权限，可以执行整台计算机的管理任务。内置的系统管理员账号Administrator就是本地组的成员，而且无法将它从该组删除。
任何通过网络连接此计算机的用户都属于这个组。
Creator Owner
文件夹、文件或打印文件等资源的创建者，就是该资源的Creator Owner（创建所有者）。不过，如果创建者是属于Administrators组内的成员，则其Creator Owner为Administrators组。
Windows Server 2003网络操作系统(第2版)部分习题解答
第1章习题解答1-1 简述网络操作系统的分类答：网络操作系统一般可以分为两类：面向任务型与通用型。
面向任务型网络操作系统是为某种特殊网络应用要求设计的；通用型网络操作系统能提供基本的网络服务功能，支持用户在各个领域应用的需求。
1-2 简述网络操作系统的功能答：网络操作系统除了应具有前述一般操作系统的进程管理、存储管理、文件管理和设备管理等功能之外，还应提供高效可靠的通信能力及多种网络服务功能。
包括文件、打印、数据库、通信、信息、分布式、网络管理和．Internet/Intranet服务。
1-5 简述Windows Server 2003系统的新功能答：1、Active Directory 改进；2、卷影子副本恢复；3、群集技术新特性；4、文件及打印服务新功能；5、Internet Information Services 6.0(IIS 6.0)新功能；6、系统管理新功能；7、集成的 .NET框架；8、安全的无线局域网(802.1X) ；9、命令行管理；10、终端服务新功能；11、组策略管理控制台；12、企业UDDI(Universal Description, Discovery, and Integration,UDDI)服务新功能。
第2章习题2-1 安装Windows Server 2003有哪几种类型？答：1 通过安装光盘直接安装Windows server 2003 2.从网络环境安装Windows server 2003 3.Wwindows server 2003的自动安装 4.从低版本升级到Windows server 2003。
5.还原安装Windows server 20032-2 应答文件的用户交互类型有哪几种？答：用户交互类型有5种，分别为：用户控制全部自动隐藏页只读使用GUI2-3安装Windows Server 2003对系统的要求有哪些？答：（1）对于基于x86 的计算机：建议使用最小速度为550MHz（支持的最小速度为133MHz）的一个或多个处理器。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
1.1.2本地账户
本地账户的登录验证
1.1.3内置账户
内置账户
Windows Server 2003安装完毕后，系统会在服务 器上自动创建一些内置账户 Administrator（系统管理员）： 拥有最高权限。 Guest（来宾） :是为临时访问计算机的用户提供的。该
账户自动生成，且不能被删除，可以更改名字
1.2 本地组的基本概念
1.2组的概念
什么是组
“组”：相同权限的用户的集合。 组的信息存放在本地安全账户数据库中（SAM) 。
本地组：
创建在本地的组账户。本地组的账户只能在本地机使用。 本地组有两种类型：用户创建的组和系统内置的组。
1.2组的概念
设置每个用户的信息，同时要求用户第一次
登录时，要修改密码
1.本地账户的基本概念
1.1.1账户的概念
账户：账户是用户登录到域访问网络资源或登录到某台计算机访
问该机上的资源的标识，包括账户名和密码。 账户名的命名规则：
用户登录名在本地计算机上必须唯一
总共可包含20个字符 包括特殊字符和字母数字字符的组合，但不能使用以下字
符
” / \ [ ] : ; | = , + * ? < &户
本地账户建立在本地，且只能在本地计算机上
登录；
本地计算机上个管理本地账户的数据库，称为
安全帐户管理器 (SAM)，路径为
%systemroot%\system32\config\SAM
本地账户和组的概念
主讲人：鲁恩铭
企业需求
公司有100个员工，每个人工作内容不同。
然而他们中有些人有相同的权限。
需要为每个人创建不同的帐号
还需要把有类似功能的用户放在一个组中
每个用户有自己的特定信息，需要可以自己
设置密码
本讲任务
为每个用户创建一个帐号
把有共同点的用户放在同一组中。