第3章_Windows_Server_2003域及其帐户管理2

注：通常我们把计算机账户存放在活动目录的 Computers 容器中。
二、共享资源账户
域中的共享资源包括共享文件夹、共享打印机等，它们可 以位于域中任意一台成员计算机中。 创建共享资源账户的过程就是把共享资源发布到域中的过 程。 只有域管理员组的成员才能执行发布共享资源的操作。
准备工作： 在准备加入域的文件夹或打印机设置为“共享” 。
如果该文件夹发布到域中了，则该文件夹既可以用域的 方式访问，也可以用工作组的方式访问。
三、域用户帐户
域用户帐户在域控制器的活动目录中创建和管理。
在系统内部，域用户账户用SID区分。
一个域用户账户的权利和权限通常取决于它所在的组。一 个域用户账户可同时属于多个组，其权限为各组权限的叠 加。
域用户帐户只存在于域控制器中，各成员计算机中只有其 本地用户帐户。
注意：加入时会要求输入用户名和密码，这里必须输入管 理员的用户名和密码。 方法二：以管理员身份登录域控制器，打开“开始 | 管理 工具 | Active Directory 用户和计算机”，在目录树上单击 右键，选择“新建 | 计算机”，输入欲加入域的计算机名 或IP地址，就可以把指定计算机加入域中。
信任关系有方向性和传递性。
域A
域B
域C
假设域A和域B建立了双向可传递的信任关系，域B和域C 建立了双向可传递的信任关系，则域A和域C自动成为双向 信任的。
于构建域树结构，父域 与子域之间为父子信任关 系。
2、树根：双向、可传递
用于构建域林结构，域林 中根域之间为树根信任关 系。
DNS服务器将计算机A的 名字解析为IP地址，并将 IP地址回送给人员B。
人员B利用IP地址访问计 算机A。
五、域的其它组成部分
DHCP服务器：用于为域中的各成员计算机分配IP地址等 配置信息。如果域中的计算机都采用手工配置IP地址，则 可以不需要DHCP服务器。
域用户帐户：用于域使用者的身份验证，只有拥有了域用 户帐户的人员才能登录到域。
创建域用户帐户
打开“开始 | 管理工具 | Active Directory 用户和计算 机”； 在目录树上单击右键，选择“新建 | 用户”，输入 姓、 名、密码、密码选项 等参数，就创建了一个新的域用 户账户。
域用户帐户的组织
如果帐户数量较少，通常将域用户帐户放置在 Users 容 器中。 如果帐户数量很多，通常可创建一些组织单位(OU)，将 帐户分门别类地放在各OU中。 OU相当于活动目录中的文件夹，它可以创建多层。
参数设置完成，单击“下一步”开始安装活动目录，这期 间需要插入 Windows Server 2003 安装盘。安装时间 需要几分钟。
安装完成后，要求重新启动计算机。
重启之后，域控制器安装完成。
安装了第一个域控制器后意味着域已经建立。其后还需 进行以下工作：
安装额外的域控制器：可根据需要安装。
安装域控制器就是安装 Active Directory 的过程。安装了 Active Directory 的计算机就成为域控制器。
安装过程：
准备工作：
选择一台准备作为域控制器的计算机。
它必须有一个NTFS分区。
如果它已经存在DNS服务器或DHCP服务器，应该将它 们卸载。
检查该机IP设置：如果将来DNS和DHCP服务器都要装在 该计算机中，应该设置一个固定的IP地址，DNS服务器 地址也应该设置为本机IP地址。
将计算机加入域：这些计算机成为该域的成员计算机。
创建域用户帐户，并把它们分配给特定人员：这些人成 为域用户。
向域中添加共享资源：这些资源可以供域用户共享。
删除域控制器
如果域中有多个域控制器，删除了一个域控制器，该计算 机就降格为成员计算机。 如果删除了域中所有域控制器，则该域也被删除。
删除方法：与安装方法一样。 单击“开始 | 管理工具 | 配置您的服务器向导”。 在服务器角色中选择“域控制器”，单击“下一步”，启 动 Active Directory 安装向导。 按照提示完成操作就删除了域控制器。
内置的域用户帐户：
Administrator(管理员)：该帐户具有对域的完全控制权。 它同时是 Administrators、Domain Admins 等多个内置组 的成员。
Guest(来宾)：该帐户只有极有限的权利。默认是禁用的。 它是 Guests组和Domain Guests组的成员。
内置用户账户可以重命名或禁用，但不能删除。
二、构建域树
在各个域中分别安装域控制器，但应该先建立父域，再 建立子域，在安装子域中第一台域控制器时应选择：
域控制器类型 新域的域控制器
域类型 在现有域树中的子域
域树中子域的域名必须与父 域的域名相关联。
linite.local
根域A
子域B sales.linite.local
子域D group.sales.linite.local
指定域名：输入新域的域名。域名必须符合DNS域名规则， 输入后，系统会花一些时间在网络中检查该域名。
由于域名建立后很难更改，所以最好一次确定域名，避免更改。
指定NetBIOS名：默认为DNS域名的前半段，一般不需 修改。
设置数据库和日志文件文件夹位置：如果条件许可，这两 个文件夹最好放在两块不同的硬盘中。
域用户账户分配给使用域的人员，用它可登录到域中；
域组账户用于将域用户账户和计算机账户分组，为组指派 权限和权利，可简化管理。
计算机账户是加入到域中的计算机，每台加入域的服务器 和客户机都拥有一个计算机账户，用它可控制域中包含哪 些计算机。
共享资源帐户是加入到域中的共享文件夹、共享打印机等， 共享资源必须加入到域中才能被域用户共享。
C C
二、域模式
在域模式的网络中，可以把各计算机组织起来，各计算机 中的账户和资源也可以组织起来进行集中管理。
当一个域用户要访问域中不同的计算机，他只需登录一次 就可以访问域中的各台计算机中的共享资源。
ABC
域控制器
域网络的结构
一、域控制器
在域结构的网络中，需要一个对账户和资源进行统一管理的 机制，这个机制就是活动目录（Active Directory）。 域中所有的账户和共享资源都需要在活动目录中进行登记。 用户可以利用活动目录查找和使用这些资源。 安装有活动目录的计算机称为域控制器。
多域网络
如果一个单位有多个部门，可以在每个部门建立一个域。
多域网络通常有3种结构：
1、彼此独立的域
2、域树结构
域A
域B
根域A
子域B
子域C
子域D
3、域林结构
根域A
根域B
子域C
子域E
子域D
域信任关系
彼此独立的域之间没有信任关系。这种域之间不能互访对 方的共享资源。
建立了信任关系的域，经过一定的授权后，用户可以在一 个域中访问另一个域中的共享资源。
把共享资源加入域：
以管理员身份登录域控制器，打开“开始 | 管理工具 | Active Directory 用户和计算机”，在目录树上单击右键， 选择“新建 | 文件夹”或“新建 | 打印机” ，输入共享资 源的路径，就可以把该资源加入域中。
注：通常我们把共享资源账户也存放在活动目录的 Computers 容器中，如果资源数量较多，可以另建容器。
四、DNS服务器
在网络中访问计算机时使用的地址是IP地址。当我们用计 算机名访问成员计算机时，需要先通过DNS服务器把计算 机名转换为IP地址再访问。
A.jsj.local 192.168.0.10
DNS服务器 A 192.168.0.10
B.jsj.local 192.168.0.11
人员B在网上邻居中找到 了域中的计算机A，双击 计算机A的图标提出访问 请求。
域用户帐户的使用
在一台域成员计算机上登录，在登录界面上输入帐户 名和密码，并选择要登录的域。
域用户帐户属性的设置
在活动目录中，双击用户名或单击右键选择“属性”。
常规选项卡
设置该帐户的详细说明 信息。
账户选项卡
修改帐户的登录名、 登录选项、密码选项、 帐户期限等。
登录时间限制
默认为不限制，本例设置为只允许星期一至星期五 的7:00~19:00登录。
二、域名
每个域都有一个域名，用于标识一个域。域名通常采用层次 结构命名。如：jsj.local
三、成员计算机
域建立后，只有那些加入到域中的计算机才能用来访问域 中的资源，这些计算机是成员计算机。
成员计算机的计算机全名：计算机名.域名
如：一台计算机名字为A，当它加入 jsj.local 域后，它的全 名变为 A.jsj.local。
域帐户管理
域账户管理类似于本地账户管理，它有以下特点： 1、在域控制器上没有本地用户帐户，其原有的本地用 户帐户自动转变为域用户帐户； 2、域账户在域控制器上创建和管理； 3、拥有域用户账户的人登录域时，由域控制器对其进 行身份验证。
域账户包括域用户账户、域组账户、域计算机账户、域共 享资源帐户。
三、构建域林
在各个域中分别安装域控制器，在建立新域树的第一台 域控制器时应选择：
域控制器类型 新域的域控制器
域类型 在现有的林中的域树
域林中各根域的域名之 间不需要相关联。
linite.local
根域A

根域E
sales.linite.local
子域B
说明：域间的信任关系一般是在建立域时创建。如果 想要建立一些特殊的信任关系，可以先建立彼此独立 的域，然后在域控制器上使用“新建信任向导”设置 域间的信任类型。
单击“开始 | 管理工具 | 配置您的服务器向导”。
在服务器角色中选择“域控制器”，单击“下一步”，启 动 Active Directory 安装向导。