添加域账号
1、首先你需要搞到公司的人员表（这个一般都可以在人事部搞到手），然后
对人员表做一下简单的修改，修改后的格式如下，分成五个部分，分别是：姓、名、姓名、用户名、登录密码。
2、下面要做的就是把他保存成CSV后缀名的文件，在“文件”中选择“另存为”选择CSV的格式
3、然后把文件拷贝到域控的C盘根目录下
用记事本打开此文件，可以看到生成如下的格式
以下是我的域中OU的情况
现在我要用命令批量的把用户添加到名为“员工”的OU里。
4、运行cmd进入命令行模式，先输入以下命令，查看能否正常输入变量
for /f "tokens=1,2,3,4,5 delims=," %a in (person.csv) do
@echo %a %b %c %d %e
可以正常显示如下
5、接下来我们就要输入完整的命令行来进行批量的用户添加
for /f "tokens=1,2,3,4,5 delims=," %a in (person.csv) do dsadd user "cn=
%c,ou=员工,dc=myloverxhy,dc=com" -samid %d -upn %d@ -ln %a -fn %b -pwd %e -disabled yes
其中ou 对应为你要添加到的OU名
两个dc按顺序分别对应你的域名
@对应你的后缀
Disabled yes定义添加完的用户是禁用的
运行命令后结果如下，检查下密码规则是不是符合要求
成功添加用户。
接下来我们到OU里查看用户，已经全部出现，并且显示为禁用
我们可以选中所有用户，然后右键“启用账户”即可完成。
我们可以测试使用账号在域中登录，是可以完成的。
win7系统计算机加入域方法
Win7计算机加入域的步骤将用户加入域中1.进行计算机DNS修改，将DNS改为服务器的IP；2.修改计算机名，并且将计算机加入域。
右键点击“我的电脑”，点击，进入系统属性对话框，点击“更改”；3.输入计算机名称和所要加入的域的名称；4.填入已经加入域中账户的名称和密码5.加入域成功6.重新启动计算机7.重启计算机后会出现下面的登陆界面8. 按下Ctrl-Alt-Delete后，出现如下界面，点击“切换用户”；9.点击其他用户；10.输入加入域中的账户和密码；11.这样计算机就加入到了域中；现在计算机就加入到了域中，在域中的计算机可以通过远程访问来访问服务器上的资源。
域中的用户远程访问服务器加入域中的用户可以轻松的访问服务器，下面的步骤就是域中用户如何访问服务器的操作。
1. 点击“开始”，点击“远程桌面连接”；2.服务器计算机名称为Zeus.regon，输入要远程访问的计算机名称，点击“连接”；3.这时跳出了登陆界面进行账号的登陆；4. 这时可以看到服务器上的界面；域中的用户远程访问自己的计算机权限设置如果出差在外或者没有带电脑，想访问自己计算机，就可以使用下面的方法。
1.设置电脑的权限，系统属性里面的远程一栏，点击“选择用户”；2.选择添加3.输入登陆域的用户名；4.输入要验证的网络安全密码；5．验证成功，出现下面的效果，用户名的下面会有一条下划线；6.点击确定，自己的域账户就加了进去；这样就可以在别的电脑远程访问自己的电脑了。
远程访问自己的电脑上面提过加入域的用户可以远程访问服务器，现在用户可以在其他电脑上远程访问自己的计算机。
1.点击“开始”，点击“远程桌面连接”；2.本计算机的计算机名称为l005a，输入要远程访问的计算机名称；3.这样就可以在计算机上显示远程访问的计算机的桌面。
AD域管理操作指引：批量导入域账号
海格物流AD项目：操作指引批量导入域账号安全警告所载信息为深圳市索信达实业有限公司专有，不得泄漏非深圳市索信达实业有限公司员工。
这份文件的收件人，其保留和使用，同意保护此处包含的信息。
用户请注意，这个项目可能会受到非披露协议的条款。
1、将事先制作好的用户账号文件Adduser.csv文件复制到DC（ad1.hg.local）的C盘根目录下，以管理员身份运行CMD窗口。
将脚本粘贴到CMD窗口中，回车运行。
2、脚本调用Adduser.csv文件，批量导入用户3、批量导入的域账号默认情况下为禁用状态，需管理员手工启用账户4、用户首次使用域账号登录计算机时，强制用户更改密码For Do脚本参考：for /f "skip=1 eol=; tokens=1-10 delims=," %a in (c:\addusers.csv) do dsadd user cn=%a,ou=hg,dc=hg,dc=local-upn%****************%b-pwd%c-dept%d-display%a -title %e -mustchpwd yes -disabled yes域用户批量导入脚本for do：1、使用for do命令批量导入域用户时，需要首先将用户名及所需导入的各项属性做成Excel文档，并保存为.csv的文件格式，参考如下2、编辑for do脚本，使之能匹配.csv文档里的各项属性for /f "skip=1 eol=; tokens=1-10 delims=," %a in (c:\addusers.csv) do dsadd user cn=%a,ou=hg,dc=hg,dc=local-upn%****************%b-pwd%c-dept%d-display%a -title %e -mustchpwd yes -disabled yes可参考以下参数进行导入属性的删减：（b%代表命令调用文件中的第b列数据，依次类推）（(c:\addusers.csv)表示脚本调用的文件的具体路径）名称 cn=a%对象存放位置 ou=hg,dc=hg,dc.local用户登录名–upn%**********账号–samid=b%密码–pwd显示名–display公司 -company部门–dept职位 -title办公室 -office分机 -tel传真 -fax手机 -mobile电子邮件–email请按照以上方式添加和删除相应的账号附件属性。
电脑加入域和账号加入域
要把一台电脑加入域，仅仅使它和服务器在网上邻居中能够相互“看”到是远远不够的，必须要由网络管理员进行相应的设置，把这台电脑加入到域中。这样才能实现文件的共享。
两者之间没有区别。
计算机帐户是用来识别计算机的而用户帐户是用来识别用户的
计算机帐户是用来识别计算机的。MS对计算机帐户的定义是：存储在AD中并能唯一识别域中计算机的帐户。计算机帐户使用的名称与加入域的计算机名称相同。每个运行 Windows NT、Windows 2000、Windows XP 的计算机或运行 Windows Server 2003 的服务器都有一个计算机帐户。运行 Windows 95 和 Windows 98 的计算机没有高级安全功能，未被指派计算机帐户。如果95/98计算机要加入域的话，需要手工创建计算机帐户。
“域”模式下，至少有一台服务器负责每一台联入网络的电脑和用户的验证工作，相当于一个单位的门卫一样，称为“域控制器（Domain Controller，简写为DC）”。
域控制器中包含了由这个域的账户、密码、属于这个域的计算机等信息构成的数据库。当电脑联入网络时，域控制器首先要鉴别这台电脑是否是属于这个域的，用户使用的登录账号是否存在、密码是否正确。如果以上信息有一样不正确，那么域控制器就会拒绝这个用户从这台电脑登录。不能登录，用户就不能访问服务器上有权限保护的资源，他只能以对等网用户的方式访问Windows共享出来的资源，这样就在一定程度上保护了网络上的资源。
用户帐户是用来识别用户（操作者）的。登陆域是用户登陆，不是计算机登陆。在用户登陆过程中，AD控制器会验证用户所在计算机的计算机帐户是否有效，是否有访问网络资源的权限。
如何建域用户账号
如何建域用户账号建立域用户账号是组织中进行身份管理和授权的重要一环。
在域中创建用户账号既可以实现用户身份认证，又可以进行用户访问权限的管理。
以下是实施域用户账号的步骤：1.确定域控制器：首先需要确定用于创建域用户账号的域控制器。
域控制器是一个拥有活动目录服务角色的服务器，用于管理和控制域中所有对象和用户。
2.创建用户模板：在创建用户账号之前，通常可以先创建一个用户模板。
用户模板包含一些常用的配置信息，例如用户名、密码策略、组成员资格、权限等。
通过创建用户模板，可以减少后续创建账号时的重复步骤。
这是一个用来管理域用户账号的工具，可以在域控制器上找到。
双击打开这个工具。
4.在树状结构的目录中选择正确的域和组织单元（OU）：在左侧的目录结构中，点击鼠标右键，选择"New"，然后再选择"user"来创建新的用户账号。
5.填写用户账号信息：在弹出的新用户界面中，填写用户账号的基本信息。
这些信息通常包括名字、登录名、密码、账户类型等。
根据组织需求，还可以添加更多信息，例如员工号码、职位等。
6.分配组和权限：在新用户界面的"Member Of"选项中，可以将用户账号添加到特定的组中。
组可以用来集中管理用户权限和访问控制。
可以根据不同的岗位或者部门创建不同的组，并将用户账号添加到相应的组中。
7.配置用户账户选项：在新用户界面的"Account"选项卡中，可以配置用户账号的一些其他选项，例如密码到期策略、账户锁定、登录时间等。
8.完成创建用户账号：将用户账号的基本信息填写完成后，点击"OK"按钮即可完成用户账号的创建。
9.进行账号测试：创建用户账号后，建议进行账号测试，以确保用户可以成功登录，并根据需要访问相关资源。
可以使用创建的用户名和密码在域中的计算机上进行登录，检查账号是否正常工作。
10.管理和更新用户账号：。
AD域同步账号配置手册
3、修改url、base、principal、password.与真实域环境相对应。
4、用securityadmin账号登录系统，进入系统页面，选择系统设置——人员配置管理——同步用户源配置，在“同步用户数据源类型”和“同步用户认证源类型”分别选择AD。
AD
1、进入到服务器目录\conf\sync \下,将mapping-ad目录下department.map.xml、group.map.xml、ldapsource.xml、user.map.xml文件拷贝到mapping目录下。
2、打开ldapsource.xml如图：
同步整个域用户，base这里填整个域
点开一条概述，可以查看详细信息
7、用systemadmin账号登录系统，进入系统页面，选择系统设置——人员配置管理——组织机构管理，可以查看同步过来的账号信息
8、在PC终端，使用域账号登录，登录的账号必须带上域后缀，例如wangfeng@
5、选择系统设置——人员配置管理——用户同步。依下图所示选择。
同步用户数Байду номын сангаас源类型：AD
是否启用同步：是
同步方式：每日同步/时间间隔同步
每日同步时间：如在同步方式中选择每日同步，则在此选择同步时间。
间隔同步时间（单位/小时）：如在同步方式中选择时间间隔同步，则在此选择间隔时间。
6、点击“保存”然后点击“立即同步”，可以在“同步结果列表”里查看同步状态
如何加域
一、在电脑上确认administrator 账号可用
1.注销现有账号，尝试用administrator登录电脑。
如果不成功则回到现有账号，进入控制面板---用户---激活administrator部分电脑需要给administrator设置密码。
2.如果administrator可用则进入下一步
二、在桌面右键我的电脑，选择属性。
再点更改。
在新窗口更改计算机名（自定）和域。
域的内容是cn.coscon.cos
然后确定。
会弹出对话框，要求输入有权限加入域的账号和密码。
可使用自己的域账号和密码加入。
输入完成后点确定。
根据电脑提示点重启电脑。
三、重启电脑后进入控制面板----用户账户----管理用户账户
点添加，然后再弹出的窗口里面填入自己的域账号,以及在域填入CN
然后点下一步，确定。
四、在开始菜单点注销。
在登录窗口点切换账号。
然后再输入你的域帐号和密码，登录则完成了加域。
AD管理域用户和组帐户PPT课件
可以创建组的地方
选择根据组所需要的管理能力创建组的特定域或组织单位。 例如，如果域中有多个组织单位，而每一个都有不同的管 理员，则可在那些组织单位中创建具有全局作用域的组， 这样管理员就能在各自的组织单位中管理用户的组成员身 份。如果组织单位以外的访问控制需要组，组织单位中的 组可以嵌套至可在树林中的其他地方使用的具有通用作用 域的组（或具有全局作用域的其他组）中。
Everyone 代表所有当前网络的用户，包括来自其他域的 来宾和用户。无论用户何时登录到网络上，它们都将被自 动添加到 Everyone 组。
第22页/共33页
特殊标识 (cont.)
Network 代表当前通过网络访问给定资源的用户（不 是通过从本地登录到资源所在的计算机来访问资源的 用户）。无论用户何时通过网络访问给定的资源，它 们都将自动添加到 Network 组。
第14页/共33页
域组
Active Directory Users and Computers Console Window Help
Active View
Tree
Builtin 9 objects
Active Directory Users and Computer Name
Type
Description
Interactive 代表当前登录到特定计算机上并且访问 该计算机上给定资源的所有用户（不是通过网络访问 资源的用户）。无论用户何时访问当前登录的计算机 上的给定资源，它们都被自动添加到 Interactive 组。
虽然可以给特殊标识指派对资源的权利和权限，但不 能修改或查看其成员身份。组作用域不适用于特殊标 识。无论用户何时登录或访问特殊资源，都被自动指 派这些特殊标识。
域学习笔记七：将域用户添加到本地管理员组
域学习笔记七：将域⽤户添加到本地管理员组
前⾔：域中的普通⽤户，登录电脑后很多权限是受限的，⽐如不能更改⽹络设置等等。
假如想让域⽤户能对本地做更多的权限操作，可以让它加⼊到本地管理员组。
1.1、使⽤本地管理员账号登录客户端主机sales01。
1.2、在控制⾯板的管理⼯具中，双击打开"计算机管理"。
1.3、在系统⼯具的本地⽤户和组下⾯，点击"组"，双击右边的"Administrators"。
1.4、可以看到，域管理员默认是本地系统管理员。
此时，点击"添加"。
1.5、输⼊"sales01"，点击"检查"。
1.6、输⼊域的管理员账号及密码，点击"确定"。
1.7、点击"确定"。
1.8、最后点击"应⽤"再点击"确定"即可。
1.9、现在使⽤张三的账号登录sales01这台电脑，此时已经拥有了更改⽹络设置等权限。
Windows Server 2008 R2域的安全管理
项目一基于Windows Server 2008 R2域的安全管理Windows Server 2008 R2是微软最新的服务器操作系统，该操作系统秉承“按需定制”的原则，可以根据需要选择安装组件。
网络中常用的基础服务以“角色”的方式体现，更多的管理任务以“功能”的方式体现。
由于系统安装的服务少，因而能够减少网络攻击面，提升网络安全。
其中的AD DS域服务是Windows网络的基础网络服务，是Windows系列应用型产品的核心平台，是用户管理、计算机管理的基础。
一、项目简介本项目实现计算机系OU中若干计算机账号和用户账号（见表1-1）的统一的管理。
表1-1 网络环境描述图1-1 基于域的网络拓扑图图1-1是网络拓扑图。
二、实训环境1、软件环境Windows Server 2008 R2、Windows 7 等镜像文件光盘、VMware 7.1以上版本的虚拟机软件。
2、学院域，计算机系是域中的一个OU。
三、项目学时本项目预计学时24学时，包含评讲。
任务1 应用组策略管理用户工作环境（6学时）组策略是一个能够让系统管理员充分管理用户工作环境的技术，通过它来确保用户拥有与权限相符的工作环境，也通过它来限制用户，如此不但可以让用户拥有适当的环境，也可以减轻系统管理员的管理负担。
[安全管理需求]用户使用统一的方式上网，在登录、注销时使用统一脚本，普通用户在离开时可以关闭本地服务器。
为便于备份和管理，要实现文件夹的重定向，将文件目录统一放至文件服务器上。
用户登录后环境要求统一，如桌面、磁盘配额等。
为了安全起见，不允许用户私自使用移动存储介质，如USB、光盘设备。
[任务描述]1、设置用户使用代理服务器上网设置域内的计算机系内的用户必须使用企业内部的代理服务器（Proxy Server）上网，代理服务器的网址为，端口号为8080，同时要将用户浏览器IE的连接标签内更改代理服务器设置的功能禁用，以免用户私自通过此处更改这些设置值。
使用Netdom重新加入域
使用Netdom重新加入域2008-08-02 14:29公司网络中某些电脑在登录时，无法连接域，后查找问题根源，原来是在"用户和计算机管理" 的 computers容器中将原来的计算机删除了，但是直接在computers容器中重新将客户端加进来，客户端电脑还是不能登录域，再在computers容器中查看计算机属性，发现手工新建的计算机的dns 名是空白的，而在客户端电脑进行加入域操作的计算机 dns名显示为完成的计算机名称。
后来我就在客户端更改网络ID，将客户端重新加入域，重新建立客户端与dc间的信任关系，至此客户机可以正常登录域。
现在我就想将域中所有的计算机重新加入到域中，但是在每个这户端去添加就很麻烦了，有没有方法，通过命令，直接在服务器端就可以完成这个操作呢? 一、如果客户机没有加入域中或者已经退出域，可以按以下方法操作：呵呵，copy一下1。
在DC添加机器账号netdom add c123（待加入域的计算机名） /domain:/userd:administrator（域的管理员帐号） /passwordd:123456（域的管理员帐号的密码）回车，会提示这命令成功。
这时你会发现 AD——》COMPUTERS 下多一个C123 计算机。
2。
建立机器帐号并把机器帐号添加到域netdom join c123（待加入域的计算机名） /domain:abc（域）/userd:administrator（域的管理员帐号） /passwordd:123456（域的管理员帐号的密码） /usero:administrator（待加入域的计算机管理员帐号）/passwordo:123456789(待加入域的计算机管理员帐号密码） /reboot 回车。
客户机C123 就会重启，这时已经加入abc域了。
按照这个顺序，先netdom add，再运行 netjoin（单独运行其中一个，最终都没有成功），可以将一台没有加入到域中的电脑加入域，并且在客户端能够正常登录，同时，AD的computers容器中也会生成一个正确的计算机帐号。