第04讲 构建域控制器PPT课件
域控制器详细配置文档。
域控制器配置说明首先我们要理解域环境的概念将网络中多台计算机逻辑上组织到一起，进行集中管理，这种区别于工作组的逻辑环境叫做域域是组织与存储资源的核心管理单元它优于工作组的地方：集中管理便捷的网络资源访问用户一次登录就可访问整个网络资源网络资源主要包含用户帐户、组、共享文件夹、打印机等可扩展性所以一般就是公司pc机大于30台左右，一般就建议采用域结构：一：域控制器的搭建：1.操作系统的要求：安装者必须具有本地管理员权限操作系统版本必须满足条件（Windows Server 2003除Web版外都满足）本地磁盘至少有一个分区是NTFS文件系统有TCP/IP设置（IP地址、子网掩码等）有相应的DNS服务器支持有足够的可用空间2.操作系统的安装：按Enter键创建分区：格式化分区，一般用NTFS（快）区别，此选项为不检测磁盘。
系统正在安装。
3.域环境的搭建：启动安装向导，使用管理您的服务器向导使用命令DCPROMO（推荐使用第二种方法）注意，安装的时候一定要有静态的IP地址和DNS。
安装向导：第一项为，新的域控制器：也就是在域林中新建一个域控制器。
第二项为，现有域控制器的额外控制器，即为现有域控制器的一个备份。
实现很好冗余选择在新林中的域：解释上面很详细。
DNS的建立，这步为最重要的，安装的时候请将2003的安装光盘放入到光驱中去，因为DNS的安装必须读取I386里面的文件：这就是必须要个NTFS分区的原因：对于新手，我们建议算在第二项。
安装域，等待········完成之后重启就OK了重启之后，我没就可以看到管理工具里面多了活动目录和DNS、域安全策略等，说明域控制器已经搭建完成！4.域控制器的管理。
1.组织单位的管理这是域控制器默认的几个OU，及为管理单元，我没可以手动新建！----右击---新建----组织单位。
（组织单位相当于一个容器，可以多容器内的用户进行统一设置，也可以实现OU委派等）2．组的管理，组，就是用于赋予权限的安全组织，一般控制文件的权限就用组来完成，可以右击一个组织单元，也可右击oleship.con新建，我们可以做个规划，新建一个gorup的组织单位，然后在里面再新建组：说明：作用域是指组的作用范围，当处于多域环境中就尤为重要了，组类型，安全组，主要用于控制权限，而通讯组主要用于exchange发送邮件。
AD域控制器的配置PPT演示
信息处理控制工程系《网络管理与维护》
二.在Server01上建立AD域控制器的DNS域
1、首先在Server01上安装DNS服务：在下图窗口中选择添加或删除 角色。
信息处理控制工程系《网络管理与维护》
1.在Server01上安装DNS服务
在虚拟机菜单的“虚拟机”下的“可移动设备”下的“CD/DVD” 下选择“连接”自动进行安装：
信息处理控制工程系《网络管理与维护》
2.配置DNS服务器上的AD域
在下图中点击“下一步”继续：
信息处理控制工程系《网络管理与维护》
3
在Server02上建立AD域控制器并连接至Server01 的DNS域上
4
用PC1和PC2加入到AD域中
5
配置PC1和PC2的用户类型为漫游和强制
6
在Server03上建立委派域控制器
信息处理控制工程系《网络管理与维护》
一.准备工作
在虚拟机上准备Server01（DNS）、Server02（AD域控制器）、 Server03（委派域控制器）、PC1（域成员）、PC2（域成员）。
2.配置DNS服务器上的AD域
在下图窗口依次打开“”域，再建立SRV记录，在第 二项“名称服务器（NS）”上双击：
信息处理控制工程系《网络管理与维护》
2.配置DNS服务器上的AD域
在下图窗口选择“server01.”点下面的编辑，再在后图窗口输入 相应的域名及IP地址点添加，最后点击“确定”。
AD域控制器的配置
域控制器的安装与配置
域控制器的安装
一、基本服务器配置
三、将服务器配置为域控制器 1.单击“开始”按钮，单击“运行”，键入“DCPROMO”，然后单击“确
定”。 2.在出现“Active Directory 安装向导”时，单击“下一步”开始安装。 3.阅读“操作系统兼容性”信息后，单击“下一步”。
技能训练四 域控制器的安装与配置
16.在“此连接使用下列项目”部分下面，单击 “Internet 协议 (TCP/IP)”，然后单击“属性”。 17.选择“使用下面的 IP 地址”，然后在“IP 地 址”中键入“10.0.0.2”。按两次“Tab”键，然后 在“默认网关”中键入“10.0.0.1”。在“首选 DNS 服务器”中键入“127.0.0.1”，然后单击“确 定”。单击“关闭”继续。18.在“Active Directory 安装向导”完成后，单击“完成”。19. 单击“立即重新启动”以重新启动计算机。
（1） 打开计算机属性——选 择——计算机名——点“更改”， 点域输入域名
（2） 输入域控制器管理员用户名和
密码，直到完成，并重启即可。
（3） 重启后可以看到登陆到域和本地
技能训练四 域控制器的安装与配置
第二节
创建额外域控制器
技能训练四 域控制器的安装与配置
额外域控制器的作用 额外域控制器是用来分担现有域控制器的，它与现
4.2.1 建立第一台域控制器[共8页]
![4.2.1 建立第一台域控制器[共8页]](https://img.taocdn.com/s3/m/2182c1be25c52cc58ad6bed2.png)
网络操作系统——Windows Server 2008篇84域用户的账号通过域的安全验证后，即可访问网络中的各种资源，服务器的角色可以改变，例如服务器在删除活动目录时，如果是域中最后一个域控制器，则使该服务器成为独立服务器，如果不是域中唯一的域控制器，则将使该服务器成为成员服务器。
同时独立服务器既可以转换为域控制器，也可以加入到某个域成为成员服务器。
4.2 任务1—安装Windows Server 2008域控制器【任务描述】企业网络采用域的组织结构，可以使局域网的管理工作变得更集中、更容易、更方便。
虽然活动目录具有强大的功能，但是安装Windows Server 2008操作系统时并未自动生成活动目录。
因此，管理员必须通过安装活动目录来建立域控制器，并通过活动目录的管理来实现针对各种对象的动态管理与服务。
同时客户机登录域的操作也是组建域网络必不可少的部分，也是网络管理员应该熟练掌握的基本技能之一。
【任务目标】作为网络管理员，只有明确安装域控制器的条件和准备工作，掌握域网络的组建流程和操作技术，才能在服务器上安装好Windows Server 2008操作系统。
为此，可以启用活动目录安装向导，在成功安装活动目录后，将使一个独立服务器升级为域控制器。
同时通过该任务，还应能够区分登录窗口，例如是登录域不是登录本机的登录框。
4.2.1 建立第一台域控制器活动目录是Windows Server 2008非常关键的服务，它不是孤立的，而是与许多协议和服务有着非常紧密的关系，并涉及整个操作系统的结构和安全。
因此，活动目录的安装并非一般Windows 组件那样简单，必须在安装前完成一系列的准备，注意事项如下。
（1）文件系统和网络协议：Windows Server 2008所在的分区必须是NTFS 文件系统，同样活动目录必须安装在NTFS 分区，同时计算机上要正确安装了网卡驱动程序，并启用了TCP/IP 协议簇。
域控制器管理方案
域控制器管理方案
域控制器是一种网络中的服务器，用于管理和控制该网络的用户、计算机和其他资源。
本文档旨在提供一个完整的域控制器管理方案，包括域控制器的部署、配置和维护。
第一部分：域控制器的概述
1.1域控制器的定义
1.2域控制器的作用
1.3域控制器的优势
第二部分：域控制器的部署
2.1需要的硬件和软件
2.2域控制器部署的步骤
2.3域控制器部署后的配置
第三部分：域控制器的配置
3.1域的创建
3.2用户和计算机的管理
3.3组织单位的创建和管理
3.4策略和权限的配置
第四部分：域控制器的维护
4.1定期备份与恢复
4.2安全性管理
4.3故障排除和修复
4.4域控制器的更新和升级
第五部分：域控制器管理的最佳实践5.1有效的用户和组织单位管理
5.2安全策略的实施
5.3高可用性和容错性的配置
5.4监控和性能优化
第六部分：常见问题解答
6.1如何添加或删除域控制器？
6.2如何配置域的信任关系？
6.3如何重置域管理员密码？
6.4如何处理域控制器的故障？
第七部分：域控制器管理的注意事项7.1遵循最佳实践
7.2定期备份与恢复
7.3保持域的健康状态
7.4定期审计域控制器
结论
本文档提供了一个完整的域控制器管理方案，包括域控制器的部署、
配置和维护。
通过遵循最佳实践和注意事项，可以有效地管理和维护域控
制器，确保网络的安全和稳定性。
同时，本文档还提供了常见问题的解答，帮助管理员更好地理解和解决域控制器管理中遇到的问题。
创建第一个域控制器
复。
源增加、人员增加、网的络改变威。胁等带来
的管理成本的增加，郑工程师在研究
了windows域管理带来的优势的情况
（5）SMS系统管理服务（Sys下te，m 给企业CIO建议，（在6）公灵司活内的部查询部机制
Management Server）
署域控制器，降低企业管用理户和成管本理。员可使用“开始”菜单、“网上邻
1
在JDY公司网络中创建第一台域控制器，并检查DNS服务器内的 记录是否完备；
5 管理域组账户；
2 创建更多的域控制器；
6 提升域与林的功能级别；
3 将Windows计算机加入或脱离域； 4 管理域用户账户；
7 删除域控制器与域。
企业的SOLOGEN
7.1 创建第一个域控制器
目录 项目任务 课程要点 技能要点 知识讲解 技能操作 工作点评 课程小结
项目七 域的创建与使用
7.1 创建第一个域控制器
企业的SOLOGEN
职业技能
4
任务实施
企业的SOLOGEN
项目七 域的创建与使用
教学资源：
学习目标
【教学视频08-01-域.mp4】
n 识记：域及其相关概念； n 领会：域中的信任关系建立和域管理的
特点。
【技能目标】
【08-01-域.ppt】
企业的SOLOGEN
（2）安全性能加强、权限更加分明 有利于企业的一些保密资料的管理,
比如说某个盘允许某个人可以读写， 其他人不可以读写；某个文件只让哪 个人或者某些人可读,但不可以删/改/ 移等。可以封掉客户端的USB端口， 防止公司机密资料的外泄。安全性完 全与 活动目录(Active Directory) 集 成。不仅可在目录中的每个对象上定 义访问控制，而且还可在每个对象的 属性上定义。活动目录(Active Directory)提供安全策略的存储和应 用范围。安全策略可包含帐户信息： 如域范围内的密码限制或对特定域资 源的访问权；通过组策略设置下发并 执行安全策略。
AD域学习交流精品PPT课件
创建第一个域
❖ 启动活动目录安装向导选择域控制器和域的类型定制新 域所需要的信息
域名，DNS名，和NetBIOS名 数据库文件，日志文件，和共享系统卷的位置 指定使用目录服务恢复模式的密码 ❖ 活动目录安装向导: 安装活动目录 把计算机转换成域控制器
❖ 域控制器是域中的第一台服务器，域控制器上存储着Active Directory，可以说，域控制器就是域的灵魂。
❖ 创建计算机账号就是把成员服务器和用户使用的客户机加入域，这些 计算机加入域时会在Active Directory中创建计算机账号。
❖ 创建完计算机账号后，我们需要为企业内的员工在Active Directory 中创建关联的用户账号。
A：域中的两个域控制器，内容应该完全一致，但如 果现在其中一个的Active Directory内容出现了 差异，那应该以哪个域控制器的内容为主呢？
B：假如有个域控制器由于更换硬件导致有几天时间 没有在线，而其他的域控制器在这段时间对Active Directory进行了修改，那么当这个域控制器重新 上线时就会这样呢？
GUID：比较两个域控制器的GUID了，显然这完全是个随机的 结果。一般情况下时间完全相同的非常罕见，因此GUID这个 因素只是一个备选方案
全局唯一标识符，简称GUID：是一种由算法生成的唯一标识 。在 Windows 平台上，GUID 广泛应用于微软的产品中，用 于标识如注册表项、类及接口标识、数据库、系统目录等对 象。
IP 192.168.1.3/24 dns:192.168.1.1
或 dns:192.168.1.2
域控制器教程,看了就会
把一台成员服务器提升为域控制器(一)目前很多公司的网络中的PC数量均超过10台:按照微软的说法，一般网络中的PC数目低于10台，则建议采对等网的工作模式，而如果超过10台，则建议采用域的管理模式，因为域可以提供一种集中式的管理，这相比于对等网的分散管理有非常多的好处，那么如何把一台成员服务器提升为域控?我们现在就动手实践一下:本篇文章中所有的成员服务器均采用微软的Windows Server 2003，客户端则采用Windows XP。
首先，当然是在成员服务器上安装上Windows Server 2003，安装成功后进入系统，我们要做的第一件事就是给这台成员服务器指定一个固定的IP，在这里指定情况如下:机器名:ServerIP:192.168.5.1子网掩码:255.255.255.0DNS:192.168.5.1(因为我要把这台机器配置成DNS服务器)由于Windows Server 2003在默认的安装过程中DNS是不被安装的，所以我们需要手动去添加，添加方法如下:“开始—设置—控制面板—添加删除程序”，然后再点击“添加/删除Windows组件”，则可以看到如下画面:向下搬运右边的滚动条，找到“网络服务”，选中:默认情况下所有的网络服务都会被添加，可以点击下面的“详细信息”进行自定义安装，由于在这里只需要DNS，所以把其它的全都去掉了，以后需要的时候再安装:然后就是点“确定”，一直点“下一步”就可以完成整个DNS的安装。
在整个安装过程中请保证Windows Server 2003安装光盘位于光驱中，否则会出现找不到文件的提示，那就需要手动定位了。
安装完DNS以后，就可以进行提升操作了，先点击“开始—运行”，输入“Dcpromo”，然后回车就可以看到“Active Directory安装向导”在这里直接点击“下一步”:这里是一个兼容性的要求，Windows 95及NT 4 SP3以前的版本无法登陆运行到Windows Server 2003的域控制器，我建议大家尽量采用Windows 2000及以上的操作系统来做为客户端。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
• 输入要脱离的域的管 理员账户和密码
• 重新启动计算机即可
4.4.1 Active Directory用户和计算机
可以查看域中有哪些计算机。
可以查看域中有哪些域控制器。
可以在域中创建组织单位、用户或者组
4.4.2 把XP等加入到域中
域的好处
服务器和用户的计算机都在同一个域中，用 户在域中只要拥有一个账号
用户只需要在域中拥有一个域账户，只需要 在域中登录一次就可以访问域中的资源了。
域控制器
用户信息存放在域中的域控制器(DC， Domain Controller)上
4.2.1 什么是活动目录
我们的电话本、地址本也是一种目录，微软 的活动目录（AD，Active Directory）也是 一种存放信息的方式而已
服务器角色的变化
服务器角色的变化
4.3.3 域控制器降级为成员服务器
输入“dcpromo”命令 回答是是否域中的最后一个域控制器
要输入新的管理员密码
输入新的管理员密码
4.3.4 独立服务器提升为成员服务器
也就是加入到域的过程：
确认“本地连接”属性中的TCP/IP首选DNS指向 了域的DNS服务器
组织单位把这些对象按逻辑进行分组，便于管 理、查找、授权和访问。
组织单位有许多划分方法
按部门划分，如计算机系、艺术系等； 按地理位置划分，如一号教学楼、二号教学楼等
组 帐 户
4.2.4 用户访问资源的过程
二、创建域的操作步骤
4.3.1 创建域
确认“本地连接”属性TCP/IP中首选DNS指 向了自己
首先确认DNS指向了域控制器
加入域中
加入到域中
4.4.3 加入域以后的变化
可以选择是登录到
本地计算机，还是
登录到域
登录到本地就不能
使用域中的资源
xyz
登录到域就能使用
域中的资源
文件权限可以分配给域中的用户了
user1是xyz域中的 用户
user1如果在其他 计算机上登录到域， 就可以使用该计算 机上的资源了。
从“开始”→“控制面板”→“系统”菜单中， 打开“系统属性”窗口，选择“计算机名”选 项卡
点击“更改”按钮，打开“计算机名称更改” 窗口
输入计算机名、域名
输入要加入的域的名字 输入要加入的域的管理员账户和密码 重新启动计算机
4.3.5 成员服务器降级为独立服务器
也就是从域中脱离的过程
在一个域中至少要有一个DNS服务器存在。 Windows Server 2003中域的命名也是采用
DNS的格式来命名的。
4.2.3 活动目录中的组织单元 （OU，Organization Unit）
对象
用户、计算机、打印机、组等等 每个对象都有自己的属性以及属性值
组织单位（OU，Organization Unit）
确认活动目录是否已经正常
从“开始”→“管理工具”→“Active Directory 用户和计 算机”菜单中，打开Active Directory 用户和计算机窗口， 确认活动目录是否已经正常。
4.3.2 成员服务器、独立服务器
Windows Server 2003服务器在域中可以有三种角 色：域控制器、成员服务器和独立服务器。
当一Windows Server 2003服务器安装了活动目录，服务 器就成为了域控制器，域控制器可以对用户的登录等进 行验证
Windows Server 2003可以仅仅加入到域中，而不安装活 动目录，这时服务器的主要目的是为了提供网络资源， 服务器称为成员服务器
独立服务器和域没有什么关系，当服务器不加入到域中 也不安装活动目录，服务器就称为独立服务器了
输入“dcpromo”命令打开“Active Directory安装向导”
安装配置DNS
选择“只在这台计算机上安装并配置DNS”。 这样在安装活动目录时可以一同安装DNS，并 且把首选DNS指向自己
输入新域的DNS全名
指定新的NetBIOS名 可以改变活动目录数据库以及日志存放的路径 选择在该计算机上安装DNS
三、域用户和组的管理
域用户账户管理（P93-100）
域用户账户的建立 域用户账户属性的设置
登录时间、登录地点、加入组等
复制用户账户
组账户管理（P101-106）
域组的类型
按组的安全性分 安全组 分布式组
域控制器（DC，Domain Controller）上存 放有域中所有用户、组、计算机等信息。域 控制器就把这些信息存放在活动目录中，活 动目录实际上就是一个特殊的数据库
4.2.2 活动目录和DNS
Windows Server 2003的活动目录和DNS是紧 密不可分的，它使用DNS服务器来登记域控 制器的IP、各种资源的定位等
内容回顾
工作组网络的特点？ 工作组网络的适用环境？
服务器1
服务器2
服务器3
用户
用户
企业需求
公司多台服务器，员工可能访问每一台服务 器。
员工不希望每访问一台服务器就登录一次， 管理员也不想分别在每台服务器上为同一员 工创建多个帐号。
第4讲 构建域控制器
10.1.14.125
域控制器 域
如果网络中只有 Windows 2000 Server 和Windows Server 2003的服务器，可以 选择“只与Windows 2000或Windows Server 2003操作系统 兼容的权限”
启动计算机
输入活动目录的恢复密码 等待安装 安装完毕后，确定“本地连接”属性
中的TCP/IP设置，检查首选DNS是否指 向了自己，确认后才重新启动计算机 重新启动计算机时，由于活动目录的 存在，启动时间会变长
用户
本讲任务
10.1.14.126
成员服务器
构建一域控制器，域名 为
把独立服务器加入到域 中
把一XP计算机加入到 域中，同时可以访问两 台服务器上的共享文件
用户
域用户和组的管理
一、基本知识
4.1.1 为什么需要域
如果资源分布在多台服务器上，要在每台服务器分别为每 一员工建立一个账户（共M*N），用户则需要在每台服务器 上（共M台）登录