5.监控Windows Server、活动目录、Exchange Server 2013
任务5：使用组策略配置安全性.
单元三：管理用户和组
单元四：配置和管理组策略 单元五：配置与管理分布式文 件系统
单元六：配置与管理存储系统
单元七：配置与管理打印服务 器 单元八：IP地址与配置方法
单元四 配置和管理组策略
任务1 任务2 任务3 任务4 任务5 配置本地计算机策略 创建和配置GPO 使用组策略配置用户环境 组策略管理软件 使用组策略配置安全性
允许管理员将统一的安全设置应用于多台计算机
可根据服务器角色设计 可通过组策略进行应用
2.9 安全配置向导
SCW 通过以下方式提供了有向导的受攻击面缩小步骤：
1. 禁用不需要的端口和服务 2. 配置windows防火墙 3. 配置IPSec筛选器
4. 配置LDAP设置
5. 配置服务器消息模块设置 6. 配置NTLM协议设置 7. 配置预定义审核设置
Windows 网络操作系统的配置与管理
单元一：安装windows操作系 统
单元二：安装与配置活动目录 域服务 单元九：配置与管理DHCP服务 器 单元十：配置与管理DNS服务器 单元十一：配置与管理Web服务 器 单元十二：配置与管理WSUS服 务器 单元十三：配置与管理ADCS 单元十四：配置路由与远程访问 单元十五：配置网络策略服务和 网络访问保护 单元十六：配置IPSec保护网络通 信
2.6 受限制组成员身份
受限制的组：该策略用来控制组的成员身份。使用该策略将成员放入一个 组。如果定义了“受限制的组”策略，并刷新组策略，那么不属于“受限 制组”策略成员列表中的成员将被删除。
组策略可按如下方法控制组成员身份：
• 对于本地计算机上的任何组，将 GPO 应用于包含该计算机账户的 OU
提供网络位置感知的配置文件 可导入或导出策略
Exchange 邮件服务器配置
Exchange 邮件服务器配置1、安装Exchange邮件服务。
安装前提：域功能级别和林功能级别、文件系统为NTFS格式。
2008版本中默认有SP1补丁，安装PowerShell和IIS。
注意，安装完以上服务器组件，最好重启一下机器，确保服务重启后生效。
接着，安照特定步骤依次执行安装任务。
2、实现总部与子公司、分公司共用一个企业邮件系统武汉总部和宜昌分公司邮件服务器域名为：; 邮箱格式：name@北京子公司和昌平分公司邮件服务器域名：；邮箱模式：name@首先，实现总部和北京子公司两个邮件服务器上的用户使用不同的邮件域名：需要配置一个新的接受域，否则发往公司邮箱服务器的@beijing的邮件全部会被服务器拒绝。
接下来，新建一条邮件策略，规定所有用户属性中公司为北京子公司的用户全部使用后缀为的邮箱地址。
在分公司用户的属性中添加公司为北京完成后，发现已经成功添加新的邮件域名。
3、设两个邮箱管理员：武汉的邮箱管理员可以管理总部、子公司和分公司的邮箱账号，北京的邮箱管理员只能管理北京子公司和昌平分公司的邮箱账号；在北京子域Domain Servers 组中添加总部Domain Admins管理员的帐户，并赋给相应的访问和管理权限。
Exchange 系统管理器”树最顶端的组织对象的权限，向总部邮件管理员授予对整个组织中所有邮箱的权限。
若要通过“Exchange 系统管理器”向您的管理帐户授予对单个数据库中所有邮箱的访问权限而不管继承的显式拒绝，请执行以下操作：1. 启动“Exchange 系统管理器”，然后找到要对其中存储的邮箱具有完全访问权限的数据库。
打开此对象的属性，然后单击安全选项卡。
2.如果看不到“安全”选项卡，请参见上文中有关启用“安全”选项卡的步骤。
3. 在该对象上向您的帐户授予完全显式权限，包括“另外接收为”和“另外发送为”权限。
进行完此更改后，您可能仍会看到将不可用的“拒绝”和“允许”权限指派给了您的帐户。
Exchange
第一章Exchange概述1996年4月，Exchange 4.0的发布标志着微软迈出了从提供工作组级软件到提供数据中心级软件的重要一步。
Exchange 4.0是微软客户端-服务器应用软件的旗舰产品，着重强调了微软是如何提供后台办公产品作为桌面产品的补充来提升生产力的。
Exchange目录称为微软Active Directory活动目录系统的基础，其他Exchange服务如SMTP、POP3、IMAP4、NNTP则成为了操作系统的一部分。
1、Exchange提供可靠的邮件系统、具备反垃圾邮件和防病毒的内置保护功能。
2、Exchange Server 2007新增功能：Exchange管理控制台、Exchange命令行管理程序（是一个基于任务的新命令行管理程序和脚本语言，用于进行系统管理）、统一消息、性能改进（允许每台服务器创建多达50个存储组，一个存储组可包含多达5个数据库，但每个服务器上最多只能有50个数据库）、可用性、邮箱服务器的高可用性（高可用性的内置功能有：本地连续复制、群集连续复制、单一副本群集）、邮件策略和遵从性功能、安全和保护、自动发现、扩展性可编程性。
3、Exchange管理控制台中新增的管理功能：组织配置、服务器配置、收件人配置、工具箱。
4、Exchange Server 2007服务器角色包括：邮箱服务器、客户端访问服务器、集线器（中心）传输服务器、统一消息服务器、边缘传输服务器。
5、连续复制分为：本地连续复制、群集连续复制。
6、新增统一消息功能：统一消息服务器角色、Exchange Server 2007统一消息。
7、新增客户端功能：统一消息、Outlook Web Access、Exchange ActiveSynct和移动功能、日历、缓存Exchange模式、邮件记录管理。
8、电子邮件策略和遵从性功能主要包括：地址重写、边缘传输规则、集线器传输规则、免责声明、日记。
9、下列反垃圾邮件和防病毒功能是Exchange Server 2007中的新增或改进的功能：连接筛选、内容筛选、垃圾邮件隔离、收件人筛选、发件人ID、发件人信誉、IP信誉服务、Outlook垃圾邮件筛选器列表聚合、防病毒保护的改进、使用Exchange托管服务。
Windows Server 2003活动目录改名和迁移
回顾
域改名（Rendom） AD迁移（ADMT）
Shortcut Trust
域改名操作步骤
生成当前森林描述
- Rendom /list 生成一个包含森林描述的XML文件
指定新森林描述
- 使用写字板修改森林描述XML文件，用新域名替换老域名
向所有域控制器推送域重命名指令并验证DNS
- Rendom /upload
ACE Access Allowed by Object
Access Mask
用户配置文件
保存用户的个人数据，并仅限该用户访问，包括
- 用户文档
- 桌面配置 - 快捷方式 - 开始菜单
用户登录系统后产生 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList
验证域控制器就绪
- Rendom /prepare
运行域重命名指令
- Rendom /execute
修改DC的DNS后缀 清除AD中的老域名——在确保所有成员计算机改名并重启后再执行
- Rendom /clean
解除森林冻结
- Rendom /end
修复组策略对象和链接
AD迁移
一些相关的基本概念
- SID基本概念
什么是封闭集?
- 在迁移资源过程中，其所属的集合关系可能丢失
两类封闭集：
- 用户和所属的全局组 - 资源和域本地组
ADMT如何解决封闭集的问题
- 迁移用户之前先迁移组 - 域全局组转换成通用组 - 域本地组必须手动更改为通用组
20
sIDHistory
2016新编AD域控规划方案
2016新编AD域控规划方案活动目录AD规划方案1.1. 活动目录介绍活动目录是Windows网络体系结构中一个基本且不可分割的部分，它为网络的用户、管理员和应用程序提供了一套分布式网络环境设计的目录服务。
活动目录使得组织机构可以有效地对有关网络资源和用户的信息进行共享和管理。
另外，目录服务在网络安全方面也扮演着中心授权机构的角色，从而使操作系统可以轻松地验证用户身份并控制其对网络资源的访问。
同等重要的是，活动目录还担当着系统集成和巩固管理任务的集合点。
活动目录提供了对基于Windows的用户账号、客户、服务器和应用程序进行管理的唯一点。
同时，它也帮助组织机构通过使用基于Windows的应用程序和与Windows相兼容的设备对非Windows系统进行集成，从而实现巩固目录服务并简化对整个网络操作系统的管理。
公司也可以使用活动目录服务安全地将网络系统扩展到Internet上。
活动目录因此使现有网络投资升值，同时，降低为使Windows网络操作系统更易于管理、更安全、更易于交互所需的全部费用。
活动目录是微软各种应用软件运行的必要和基础的条件。
下图表示出活动目录成为各种应用软件的中心。
1.2. 应用Windows 2012 Server AD的好处Windows 2012 AD简化了管理，加强了安全性，扩展了互操作性。
它为用户、组、安全服务及网络资源的管理提供了一种集中化的方法。
应用Windows 2012 AD之后，企业信息化建设者和网络管理员可以从中获得如下好处: 1、方便管理,权限管理比较集中，管理人员可以较好的管理计算机资源。
2、安全性高，有利于企业的一些保密资料的管理，比如一个文件只能让某一个人看,或者指定人员可以看,但不可以删/改/移等。
3、方便对用户操作进行权限设置，可以分发，指派软件等,实现网络内的软件一起安装。
4、很多服务必须建立在域环境中，对管理员来说有好处:统一管理,方便在MS 软件方面集成,如ISA EXCHANGE(邮件服务器)、ISA SERVER(上网的各种设置与管理)等。
邮件服务器配置
邮件服务器配置一、邮件服务器基础1、邮件服务器概念邮件服务器是一种用于电子邮件传输的计算机服务器，它使用SMTP （简单邮件传输协议）和POP3（邮局协议版本3）等协议来发送和接收电子邮件。
邮件服务器在互联网上运行，使得用户可以通过各种设备（如计算机、手机、平板电脑等）接收和发送电子邮件。
2、邮件服务器类型根据其功能和用途，邮件服务器可分为以下几种类型：1、个人邮件服务器：用于个人或家庭用户发送和接收电子邮件。
2、企业邮件服务器：用于企业用户发送和接收电子邮件，通常需要更高的安全性和可靠性。
3、邮件网关服务器：用于将来自不同邮件服务器（如Exchange Server、Gmail等）的邮件进行整合和管理。
4、邮件归档服务器：用于存储和管理邮件数据，以便进行搜索、恢复和管理。
二、邮件服务器配置流程1、选择邮件服务器软件选择适合自己需求的邮件服务器软件，如Microsoft Exchange Server、Google Gmail、开源的Postfix等。
根据需要选择免费或付费的版本。
2、安装邮件服务器软件根据所选邮件服务器软件的安装指南，进行安装。
通常需要将软件安装在计算机上，并配置网络连接和其他必要的服务。
3、配置邮件服务器软件配置邮件服务器的网络设置、安全性、用户账户和权限等。
确保配置正确，以便用户可以发送和接收电子邮件。
4、测试邮件服务器使用各种电子邮件客户端（如Outlook、Webmail等）测试邮件服务器的功能，确保能够正常发送和接收电子邮件。
5、维护邮件服务器定期监控和维护邮件服务器，确保其正常运行。
进行备份、更新软件和安全措施等操作，以保证邮件服务器的稳定性和安全性。
三、邮件服务器安全措施1、防火墙配置配置防火墙以保护邮件服务器免受未经授权的访问和攻击。
只允许必要的网络流量通过防火墙，并阻止潜在的威胁。
2、SSL/TLS加密使用SSL/TLS加密来保护邮件传输过程中的数据安全性。
这将确保在发送和接收电子邮件时，数据不会被窃取或篡改。
ADMT活动目录迁移工具
ADMT,ad 迁移工具哪些Exchange 管理员需要了解Active Directory 迁移工具由于“Active Directory 迁移工具”(ADMT) 是一种Active Directory 目录服务工具，而非Exchange 工具，因此您可能会产生疑问，为什么Exchange 管理员要学习Active Directory 迁移工具(ADMT) 呢。
从我的个人经验出发，在从Microsoft Exchange Server 5.5 向Exchange 2000 Server 和Exchange Server 2003 迁移的过程中，帐户迁移往往是令许多客户陷入困境的一个麻烦点。
随Microsoft Windows Server 2003 一起发布的第二版ADMT 具有一些与Exchange 有关的功能，这些功能都十分有用，可以大大地简化迁移过程。
许多客户使用的是非Microsoft 产品，而不是ADMT。
当然只要您能够确切地知道自己想要做什么，使用非Microsoft 产品也是很不错的。
而我经常会在问题发生后才想对策，因此特撰写了此文，以便于在第一时间避免这些错误的发生。
我在文中简单介绍了如何使用ADMT 来实现Windows NT 帐户的迁移，并描述了该工具在Exchange 迁移中所起的作用。
什么是Active Directory 迁移工具？ADMT 的第一版是随Microsoft Windows 2000 Server 一起发布的。
正如前面所提到的，ADMT 的第二版随Windows Server 2003 一起发布。
您可以在Windows Server 2003 CD 上找到该工具。
您可以使用ADMT 将用户、计算机和组从一个域迁移到另一个域。
这种迁移最常用的场合是从Windows NT 4.0 域迁移到Active Directory 域。
新版ADMT 中一个主要改进就是它可以迁移用户密码。
WMWAR服务器虚拟机系统技术规范书
虚拟机系统增配服务器的许可项目技术规范书采购方已应用VMware-VSphere软件初步构建了虚拟化平台，现根据使用要求增配服务器的许可。
关于VMware-VSphere软件主要功能要求如下：一、基本要求1、采用裸服务器架构，无需绑定操作系统即可搭建虚拟化平台。
2、虚拟机之间可以做到隔离保护，其中每一个虚拟机发生故障都不会影响同一个物理机上的其它虚拟机运行，每个虚拟机上的用户权限只限于本虚拟机之内，以保障系统平台的安全性。
3、每个虚拟机都可以安装操作系统，并且操作系统可以异构。
4、虚拟机可以实现物理机的全部功能，如具有自己的资源（内存、CPU、网卡、存储），可以指定单独的IP地址、MAC地址等。
5、能够提供性能监控功能，对资源中CPU、网络、磁盘使用率等指标的实时数据统计，并能反映目前物理机、虚拟机的资源瓶颈。
6、虚拟化软件可以在线进行版本升级，不同版本之间可以相互兼容。
二、兼容性要求1、兼容现有市场上X86服务器上能够运行的主流操作系统，尤其包括以下操作系统：Windows NT、WinXP、windows Vista、WIN7、Win2000、Win2003、windows 2008、Reahat Linux、Suse linux、Solaris x86、Novell、Trubo linux、FreeBSD、Ubuntu、Debian、Mac OS等等。
2、支持主流应用软件的运行，包括但不局限于数据库、中间件、ERP等等。
三、功能性要求1、支持HA功能，当一台物理机发生故障时，之上的VM（虚拟机）可以实现在集群之内的其它物理机上重新启动，保障业务连续性。
2、支持在线的VM迁移功能，可以在不停机的状态下，手工或自动地实现VM 在集群之内的不同物理机之间迁移，保障业务连续性。
3、精简存储。
4、为虚拟机提供备份和恢复功能。
5、支持第三方备份软件的标准API接口。
四、可管理性要求1、统一的图形界面管理软件，可以在一个地点完成所有虚拟机的日常管理工作，包括各子虚拟机控制管理、CPU内存管理、用户管理、存储管理、网络管理、日志收集、性能分析、故障诊断、权限管理、在线维护等工作。
《服务器配置管理》课程标准
《服务器配置管理》课程标准一、课程名称服务器配置管理二、适用专业本课程标准适用计算机网络技术专业三、课程性质本课程是计算机网络技术专业的专业核心课程。
是一门操作性和实践性很强的职业技术课程。
其主要教学内容是介绍Windows Server 2008网络操作系统的常见的网络系统管理和主流服务器的配置、维护与管理，并能利用网络互联设备组建和管理具有多台服务器的小型局域网的方法。
本课程采用“项目引导、任务驱动，一体化课堂”的教学模式开展教学，整个课程由12个项目引导，通过师生互动的讲练演结合和理实一体化教室实施教学。
学生在学习本课程后，能够根据企业的实际需求，配置相应的网络服务，组建公司的局域网络，并且能够维护和管理该网络。
为后续学习《网络设备配置与管理》等课程打下坚实的基础。
四、教学目标专业培养目标：本专业培养理想信念坚定，德智体美劳全面发展，具有一定的科学文化水平，良好的人文素养、职业道德和创新意识，精益求精的工匠精神，较强的就业能力和可持续发展的能力，掌握本专业知识和技术技能，培养动手能力强的网络服务的配置、维护和管理人才。
（一）知识目标1、按照网络组建的要求，掌握网络操作系统的基本概念和技术理论2、掌握Windows Server环境下组网的两种模式及其用户账户和组账户的管理3、掌握Windows Server系统的基础管理4、掌握Windows Server主流服务器的配置与管理5、了解中小型企业局域网或校园网的设计与规划（二）能力目标1、会安装和维护服务器系统软件和应用软件2、会搭建与配备网络3、会管理用户权限4、会网络服务配置、调试和维护5、会解决排除各种软硬件故障6、会创新和网络技术的综合应用7、能够对网络系统进行安全的维护；能运用常用的工具，对常见的问题能够进行简单的诊断与测试；8、能够独立深入阅读网络相关的技术文献；（三）素质目标（人文素质目标）1、适应网络时代的交流、生活，善于用网络获取信息，不迷信网络、也不拒绝网络。
Windows Server 2008 R2活动目录配置和管理
Demonstration:配置 AD DS 组帐户
在此stration:配置其他 AD DS 对象
在此演示，您将看到如何配置其他 AD DS 对象
Lesson 2:使用组策略
•为将访问分配给资源的选项。 •使用帐户组来分配资源的访问。 •使用帐户组和资源组。 •讨论： 在单个域或多域环境中使用组。
Module 1:配置
Active Directory ® 域服务的域名称服务
模块概述
•Active Directory 域服务和 DNS 集成的概述。 •配置 AD DS 集成的区域。 •配置只读 DNS 区域。
Lesson 1: Active Directory 域服务和 DNS 集成的概述
Lesson 1:配置 Active Directory 对象
•AD DS 对象的类型。 •演示： 配置 AD DS 用户帐户。 •AD DS 组类型。 •AD DS 组范围。 •默认 AD DS 组。 •AD DS 特别标识。 •讨论： 使用默认组和特别的标识。 •演示： 配置 AD DS 组帐户。 •演示： 配置其他 AD DS 对象。
2008
Windows XP
3 客户端验证现有的注册
4
DNS 服务器响应的说明 注册并不存在
客户端将动态更新发送
5 到DNS 服务器
如何安全动态 DNS 更新工作
只有当客户端有正确的凭据要更新接受安全 的动态更新
Windows Vista DNS Client
Local DNS Server
Domain Controller with Active Directory
•在域分区或应用程序分区中，可以存储一个 DNS 区域。 •管理员可以定义自定义复制的范围 应用程序分区。 •DomainDNSzones forestDNSzones 并存储 DNS
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
5、监控Windows Server和活动目录
今天我们通过SCOM 2012来监控Windows Server系列产品。
1 导入管理包
1.1 下载管理包
SCOM 2012在安装好以后已经自带了很多管理包了，当然我们还可以根据
自己的需求去下载更多没有的管理包以添加到现有的SCOM中。
打开SCOM控制台以后，选择“管理”选项卡，选择“管理”鼠标右键
“下载管理包”：
“浏览”下载管理包的保存路径，再点击“添加”：
点击“搜索”，找到“Windows Server”相关的管理包，然后选择“添加”：
点击“下载”：
等待下载的管理包：
1.2我们需要导入Windows Server相关的监控包。
SCOM的监控包一般下载下来后，有两种形式，一种是Mp的格式，可以直
接导入；一种是MSI格式的，MSI格式的需要先安装，然后再导入。
首先我们来先监控Windows Server：
打开System Center 2012 Operations Manager的管理控制台，然后切换到
“管理”，展开菜单，找到“管理包”，右击“管理包”，在弹出的菜单中选择
“导入管理包”，如图。
进入导入管理包向导之后，在选择管理包界面，选择“添加”，添加管理包的方
式有两种，一种是从目录中添加，一种是从磁盘中添加，这里我选择“从磁盘
中添加”，如图。
然后向导会提示我们是不是要在从本地磁盘添加Mp的同时搜索联机目录，添
加管理包时搜索联机目录的目的是在导入一些和其他管理包有依赖关系的管理
包时，可以自动搜索联机目录，解决依赖关系，这里我选择“否”。
选中需要导入的Windows server 管理包，如图。
单击“安装”，如图：
开始导入，如图：
稍微等待一段时间后，导入完成，如图：
导入完成后，我们回到管理包的查看界面，可以看到已经导入的管理包，如
图：
1.3监控Windows活动目录，比如监控DNS等。
实现对活动目录的基本监控，需要在SCOM上做如下的操作。
1）为Windows活动目录服务器安装监控代理；
2）导入活动目录监控相关的Mp包。
下面来看看如何导入AD的管理包。
在SCOM管理界面，选择“管理”——“管理包”，右击选择“导入管理包”，
如图：
选择AD和DNS相关的Discovery和Monitoring包，如图：
备注：基于SCOM服务器优化和性能的考虑，一般最佳实践要求只导入需要的
管理包，同时删除不需要的管理包。在选择管理包界面，点击“安装”，如图：
正在导入，如图：
等待片刻后，导入完成，如图：
然后我们回到管理包查看界面，可以看到我们刚才导入的管理包，如图。
管理包导入完成后，我们再为目标的Windows Server安装SCOM2012的监控代
理，然后SCOM2012就可以监控Windows server和AD以及DNS服务了，如
图：
然后我们再回到Windows计算机的监视界面，自定义一下视图，勾选一下我们
要查看的监控内容（例如处理器，服务情况等），如图。
从下图可以看出，SCOM2012已经能够对AD进行监控了如图：
1.4监控exchange server 2013
首先选择“代理管理”—“发现向导”，如图：
然后选择发现windows计算机，如图。
发现方法，这里我选择“高级发现”，计算机和设备类选择“仅服务器”，管理
服务器选择“win2012-2.a.com”，如图。
选择“浏览或键入计算机名称”，点击浏览，查找“win2012-3.a.com”计算机添
加，如图。
选择“使用选择的管理服务器操作账户”，如图。
在发现结果中，选择要管理的设备“win2012-3.a.com”，如图。
选择代理安装目录：
开始运行任务，如图。
等待一段时间后，代理安装成功，如图：
下载Exchange Server 2013的管理包：
选择添加：
搜索到Exchange 2013的管理包，选择添加：
点击下载Exchange 2013的管理包：
下载完毕：
导入Exchange Server 2013的管理包：
选择exchange server 2013的MP之后，点击“安装”，如图。
经过一段时间的等待之后，导入成功，如图。
在下图中，可以看到已导入成功的Exchange 2013管理包。
右键选择属性，可以查看该管理包的属性信息和依赖关系，如图。
首先确认exchange上SCOM代理使用的账户为本地系统账户，如图。
另外呢，我们还需要配置exchange的代理勾选如下的选项，如图。
做完上述三个步骤的配置之后，我们就可以来监控Exchange 2013了，经过一段
时间的等待，SCOM 2012 SP1已经可以监控到Exchange Server 2013的故障了。
首先在“个性化视图”中添加“Exchange Server”选项：
打开“Windows计算机”查看win2012-3.a.com的Exchange Server状态：
切换到“Microsoft Exchange Server 2013”-“Organization Health”选项查看：
切换到“Microsoft Exchange Server 2013”-“Server Health”选项查看：