_创建windows域

创建Windows域

一、将网络中多台计算机逻辑上组织到一起，进行集中管理，这种区别于工作组

的逻辑环境叫做域。

域是组织与存储资源的核心管理单元。

二、活动目录提供了存储网络上对象信息并使网络用户使用该数据的方法。

特点：1、集中管理

2、便捷的网络资源访问

3、可扩展性

三、域控制器（DC）的条件

安装者必须具有本地管理员权限

操作系统版本必须满足条件（Windows Server 2003除Web版外都满足）

本地磁盘至少有一个分区是NTFS文件系统

有TCP/IP设置（IP地址、子网掩码等）

有相应的DNS服务器支持

有足够的可用空间

一个域里至少需要一台DC（企业中一般至少2台DC，用来同步AD数据库，地位平等）

四、安装活动目录：2种方法：使用管理您的服务器向导；使用命令dcpromo

卸载活动目录：2种方法：使用管理您的服务器向导；使用命令dcpromo 把成员服务器升级为额外与控制器也可以用上面的2种方法。此时成员服务器上的本地账户全部消失。

五、活动目录的逻辑结构：林、树、域、OU

活动目录的物理结构：DC、站点

六、将计算机加入域

计算机IP地址正确，DNS指向DC（DNS安装在DC上）的IP地址。

加入域前检查网络的连通性。

七、DNS在域中的作用

1、域名的命名采用DNS标准

2、定位DC

客户端是如何通过DNS服务器查找到DC的呢？通过SRV记录，SRV记录将一种服务解析成提供该服务的计算机的DNS名称，而后由DNS映射到该服务提供的计算机相应的IP地址。

要补全SRV资源记录：

1、net stop netlogon和net start netlogon

2、删除DNS区域，重建DNS区域

八、域用户账户

本地用户帐户：存储在本地计算机SAM数据库

域用户帐户：存储在活动目录中DTDS.DIT

九、域用户账户

用户登录名：在域中必须惟一，最长20字符

登录时间：限制用户登录到域的时间

可以登录的计算机：定义了账户可以登录的计算机列表

十、用户配置文件

用户配置文件概念：

用户的桌面工作环境，包括桌面、开始菜单、我的文档、以及其他指定的设置。

一般存储在操作系统所在分区上的\Documents and Settings\username文件夹里。

用户配置文件类型：

本地用户配置文件

漫游用户配置文件

强制用户配置文件

临时用户配置文件

十一、用户主文件夹

用户主文件夹可以用于存放用户的私有文件。

配置用户主文件夹后，当域账户在客户机登录后，就会发现在本机多了一个分区(该分区不在本机)。增强了文件存储的安全可靠性。

十二、组的类型

安全组：用于设置用户权限，也可用于电子邮件通讯

通讯组：只用于电子邮件通讯

十三、组的作用域

1、本地域组

v使用范围是本域

v针对本域的资源创建本地域组

v本地域组的成员除了用户帐户、还可以是全局组、通用组等

2、全局组

v使用范围是整个林以及信任域

v以逻辑关系创建全局组

3、通用组

v使用范围是整个林以及信任域

通用组和全局组的差别：

v域功能级别是Windows 2000混合模式不能创建通用安全组；

v通用组的成员身份在全局编录中，多域环境下通用组成员登录或者查询速度较快。

十四、域功能级别

1、Windows 2000混合模式（NT Server、2000、2003）

2、Windows 2000本机模式（2000、2003）

3、Windows Server 2003模式（2003）

十五、组织单位（OU）

OU的设计方式：

v基于部门的OU

v基于地理位置的OU

v基于对象类型的OU

v OU 的设计也可以是混合的

十六、OU的委派

委派控制管理：

管理员可以为适当的用户和组指派一定范围的管理任务，从而减轻管理员的工作负担

实现步骤：

打开【Active Directory用户和计算机】，右击OU|【委派控制】

按向导提示，添加要委派任务的账户或者组

选择要委派的任务，按向导提示最终完成

Windows Server 2003 中域帐户的创建和配置方法。

1、学习 Windows Server 2003 中域帐户的创建和配置方法。

2、学习域网络的使用方法。

二、实验环境：

操作系统：Windows Server 2003；2~3 台计算机组成一个合作小组，可以通过网上邻居互相访问。在以下的实例中以3台计算机为例搭建一个域结构的 C/S 网络。（用2台计算机有些效果不易看出。）

三、实验内容：

1、搭建 C/S 域结构网络

域规划：建立一个单域的网络，其中有一台域控制器和两台客户机。

由于一个网络中域名不允许重复，建议使用“你的名字.local”的方式定义域名，本例中假设人名为张三(zhangsan)。IP 地址建议使用 172.16.***.***，要保证同一个网络的各计算机 IP 地址不冲突。

在第一台计算机上分别安装 Active Directory，将它升级为域控制器，域名按规划进行设置，在安装 Active Directory 的同时在该机上安装与之配套的 DNS 服务器。

将第二台计算机和第三台计算机都加入该域中，作为域中的客户机。

2、创建域共享资源

说明：在域控制器上创建一个文件夹，里面随意放置一个文件，将该文件夹设置为共享，共享名设置为“考勤”；在“lisi”计算机上创建一个文件夹，里面随意放置一个文件，将该文件夹设置为共享，共享名设置为“工作表”；在“wangwu”计算机上安装一个本地打印机，将它设置为共享，共享名设置为“打印机”。

把上面的三个共享资源发布在域控制器上。

3、创建域账户

域使用人员：

对资源的使用要求：

请按上面的情况规划组账户和用户账户，规划结果按下表的格式填写。（如果不会，请看参考答案。）

组帐户规划：

用户账户规划：

按照帐户规划在域控制器上创建组帐户和用户账户。对共享资源设置相应访问权限。

4、访问域共享资源

在客户机上用域帐户登录到域，用“网上邻居”访问各个共享资源。注意用不同帐户登录在资源访问上有什么不同。

在客户机上用本地帐户登录到本机，用“网上邻居”访问各个共享资源，注意它与登录到域上访问有什么区别？

5、创建和使用漫游用户配置文件

在域控制器上为“赵网管”创建一个漫游用户配置文件，位置就在域控制器中。

分别在不同计算机上用“赵网管”的身份登录到域，修改配置（如：更改桌面背景、在我的文档中建立一个文本文件等），查看配置是否在跟着用户走。

6、结束实验

删除所有的域控制器和 DNS 服务器；

为本机设立两个 Administrators 组的账户 Administrator 和 001，Administrator 账户密码为空，001 账户密码为 abc,123。

域控制服务器教程

把一台成员服务器提升为域控制器(一)

目前很多公司的网络中的PC数量均超过10台:按照微软的说法，一般网络中的PC数目低于10台，则建议建议采对等网的工作模式，而如果超过10台，则建议采用域的管理模式，因为域可以提供一种集中式的管理，这相比于对等网的分散管理有非常多的好处，那么如何把一台成员服务器提升为域控?我们现在就动手实践一下:

本篇文章中所有的成员服务器均采用微软的Windows Server 2003，客户端则采用Windows XP。

首先，当然是在成员服务器上安装上Windows Server 2003，安装成功后进入系统，

我们要做的第一件事就是给这台成员服务器指定一个固定的IP，在这里指定情况如下:

机器名:Server

IP:192.168.5.1

子网掩码:255.255.255.0

DNS:192.168.5.1(因为我要把这台机器配置成DNS服务器)

由于Windows Server 2003在默认的安装过程中DNS是不被安装的，所以我们需要手动去添加，添加方法如下:“开始—设置—控制面板—添加删除程序”，然后再点击“添加/删除Windows组件”，则可以看到如下画面:

向下搬运右边的滚动条，找到“网络服务”，选中:

默认情况下所有的网络服务都会被添加，可以点击下面的“详细信息”进行自定义安装，由于在这里只需要DNS，所以把其它的全都去掉了，以后需要的时候再安装:

然后就是点“确定”，一直点“下一步”就可以完成整个DNS的安装。在整个安装过程中请保证Windows Server 2003安装光盘位于光驱中，否则会出现找不到文件的提示，那就需要手动定位了

安装完DNS以后，就可以进行提升操作了，先点击“开始—运行”，输入“Dcpromo”，然后回车就可以看到“Active Directory安装向导”

在这里直接点击“下一步”:

这里是一个兼容性的要求，Windows 95及NT 4 SP3以前的版本无法登陆运行到Windows Server 2003的域控制器，我建议大家尽量采用Windows 2000及以上的操作系统来做为客户端。然后点击“下一步”:

在这里由于这是第一台域控制器，所以选择第一项:“新域的域控制器”，然后点“下一步

"

既然是第一台域控，那么当然也是选择“在新林中的域"

在这里我们要指定一个域名，我在这里指定的是https://www.360docs.net/doc/c213981501.html,，

这里是指定NetBIOS名，注意千万别和下面的客户端冲突，也就是说整个网络里不能再有一台PC的计算机名叫“demo”，虽然这里可以修改，但个人建议还是采用默认的好，省得以后麻烦。

在这里要指定AD数据库和日志的存放位置，如果不是C盘的空间有问题的话，建议采用默认。

这里是指定SYSVOL文件夹的位置，还是那句话，没有特殊情况，不建议修改:

第一次部署时总会出现上面那个DNS注册诊断出错的画面，主要是因为虽然安装了DNS，但由于并没有配置它，网络上还没有可用的DNS服务器，所以才会出现响应超时的现像，所以在这里要选择:“在这台计算机上安装并配置DNS，并将这台DNS服务器设为这台计算机的首选DNS服务器”。

“这是一个权限的选择项，在这里，我选择第二项:“只与Windows 2000或Window 2003操作系统兼容的权限”，因为在我做实验的整个环境里，并没有Windows 2000以前的操作系统存在”

这里是一个重点，还原密码，希望大家设置好以后一定要记住这个密码，千万别忘记了，因为在后面的关于活动目录恢复的文章上要用到这个密码的。

这是确认画面，请仔细检查刚刚输入的信息是否有误，尤其是域名书写是否正确，因为改域名可不是闹着玩的，如果有的话可以点上一步进入重输，如果确认无误的话，那么点“下一

步”就正式开安装了:

几分钟后，安装完成:

点完成:

点“立即重新启动”

密码策略设置导致不能添加域用户账户

核心提示：某公司局域网域控制器运行Windows Server 2003系统，在“Active Direct ory用户和计算机”窗口中添加用户时，总是提示所设置的密码不符合密码策略。

故障现象：某公司局域网域控制器运行Windows Server 2003系统，在“Active Directory用户和计算机”窗口中添加用户时，总是提示所设置的密码不符合密码策略。请问密码策略有哪些要求呢，能不能禁用密码策略？

解决方法：Windows Server 2003系统在安全性方面大大增强，默认域的安全策略要求域用户的密码必须符合复杂性要求，这些要求包括：在大写字母、小写字母、数字和符号4种中必须有3种；密码最小长度为6位；密码中不得包括全部或部分用户名。在设置域用户密码的时候必须满足上述要求方能成功创建域用户。

可以通过以下方法禁用密码复杂性要求：依次单击“开始/管理工具/域安全策略”，打开“默认域安全设置”窗口。在左窗格中依次展开“安全设置/账户策略”目录，并单击选中“密码策略”选项。然后在右窗格列表中双击“密码必须符合复杂性要求”选项，在打开的“密码必须符合复杂性要求属性”对话框中点选“已禁用”单选框，并单击“确定”按钮，如图4-34。

图4-34 设置密码策略

用户还可以将密码长度最小值由“7个字符”改为“0个字符”，另外为了使域策略设置马上生效，可使用“gpupdate”命令进行刷新，如图4-35。

图4-35 刷新组策略