《操作系統(tǒng)與網(wǎng)絡(luò)服務(wù)器管理》課件-項(xiàng)目三VIP

安裝域控制器創(chuàng)建并管理用戶和賬戶組創(chuàng)建并管理計(jì)算機(jī)賬戶設(shè)置并管理域的安全策略項(xiàng)目三安裝并管理AtiveDirectory活動(dòng)二任務(wù)活動(dòng)目錄的安裝及配置一、任務(wù)描述以某公司內(nèi)部局域網(wǎng)里建立第一個(gè)域控制器為例,詳細(xì)介紹域控制器的安裝和基本配置過(guò)程。二、任務(wù)分析因?yàn)槭窃O(shè)置該公司網(wǎng)絡(luò)中第一個(gè)DC,故創(chuàng)建時(shí)應(yīng)該選取的是“為新的林創(chuàng)建域控制器”。另外,這里我們有如下約定:以作為該域的名稱,該域控制器的計(jì)算機(jī)名為MYSERVER2003,它的IP地址必須要固定(在TCP／IP屬性中進(jìn)行設(shè)置),不可設(shè)置為自動(dòng)獲取?；顒?dòng)一安裝域控制器三、操作步驟1.以管理員的身份登錄準(zhǔn)備安裝AD的WindowsServer2003服務(wù)器,選擇“開(kāi)始/運(yùn)行”,輸入“dcpromo”命令,點(diǎn)擊“確定”按鈕，進(jìn)入安裝向?qū)?如圖3-1-1所示?；顒?dòng)一安裝域控制器2.在AD安裝向?qū)е羞x取“新域的域控制器”,點(diǎn)擊“下一步”后，選擇創(chuàng)建一個(gè)新的“在新林中的域”，如圖3-1-2和3-1-3所示?；顒?dòng)一安裝域控制器3.在圖3-1-4所示的安裝向?qū)е袑⒂虻拿Q設(shè)置為“”,點(diǎn)擊“下一步”。注意域名需要事先規(guī)劃確定,避免后續(xù)改動(dòng)造成很多麻煩。點(diǎn)擊“下一步”按鈕?；顒?dòng)一安裝域控制器4.在NetBIOS域名中保持默認(rèn)的域名“abc”,如圖3-1-5所示。同樣地，放置AD數(shù)據(jù)庫(kù)和日志文件的文件夾及作為系統(tǒng)卷共享的文件夾保持默認(rèn)設(shè)置，點(diǎn)擊“下一步”按鈕?；顒?dòng)一安裝域控制器5.在圖3-1-6所示的安裝向?qū)е刑崾井?dāng)前域中還沒(méi)有DNS服務(wù)器,選擇安裝DNS服務(wù),同時(shí)準(zhǔn)備好WindowsServer2003安裝光盤,點(diǎn)擊“下一步”。6.在圖3-1-7安裝向?qū)Р僮飨到y(tǒng)兼容性選擇中,若網(wǎng)絡(luò)中有早于Windows2000的NT服務(wù)器(例如WindowsNT40Server)應(yīng)該選前者,這里假設(shè)我們的網(wǎng)絡(luò)操作系統(tǒng)都是Windows2000以后的操作系統(tǒng),選擇后點(diǎn)擊“下一步”?；顒?dòng)一安裝域控制器活動(dòng)一安裝域控制器7.在圖3-1-8活動(dòng)目錄還原模式的密碼設(shè)定中,為了后續(xù)操作方便，在此不進(jìn)行設(shè)定,直接點(diǎn)擊“下一步”。注意:這里的“目錄服務(wù)器還原模式的管理員密碼”和我們當(dāng)前系統(tǒng)的“域管理員密碼”是兩個(gè)不同的概念,后者是域管理員在日常管理中使用的密碼,而前者是目錄服務(wù)器還原模式下使用的。8.安裝向?qū)纬傻男畔⒄鐖D3-1-9所示。參考向?qū)崾具M(jìn)行后續(xù)安裝步驟，按提示插入WindowsServer2003安裝光盤,安裝配置好ActiveDirectory和DNS。最后安裝向?qū)?huì)提示安裝完成,重新啟動(dòng)后則當(dāng)前的服務(wù)器MYSERVER2003成為域的域控制器。成為域控制器的計(jì)算機(jī),在“開(kāi)始/管理工具”中可以瀏覽到活動(dòng)目錄的管理工具，如圖3-1-10所示?；顒?dòng)一安裝域控制器活動(dòng)一安裝域控制器任務(wù)1用戶組的創(chuàng)建一、任務(wù)描述接下來(lái)我們?cè)谇懊婊顒?dòng)中所構(gòu)建的域控制器里創(chuàng)建一個(gè)銷售組sales_group,該組的成員如下表所示,這里我們只新建組,組的成員在以后任務(wù)中創(chuàng)建。二、任務(wù)分析在創(chuàng)建一個(gè)組時(shí),一般先要知道該組的作用,組名要能夠反映這個(gè)組所包含的含義,以方便后面的管理操作。我們這里新建的組是為銷售部員工創(chuàng)建的,所以取名為“sales_group”。活動(dòng)二創(chuàng)建并管理用戶和組賬戶三、操作步驟1.打開(kāi)“ActiveDirectory用戶和計(jì)算機(jī)”窗口,在當(dāng)前域“”中選擇“Users”,單擊鼠標(biāo)右鍵在快捷菜單中選擇“新建/組”，在彈出的“新建對(duì)象一組”窗口中,輸入組的名稱“sales_group”,并設(shè)置好該組的作用域和類型,如圖3-2-1所示。活動(dòng)二創(chuàng)建并管理用戶和組賬戶活動(dòng)二創(chuàng)建并管理用戶和組賬戶2.新建好組以后,在“ActiveDirectory用戶和計(jì)算機(jī)”窗口中的“Users”中可以看到“sales_group”組,如圖3-2-2所示。活動(dòng)二創(chuàng)建并管理用戶和組賬戶四、學(xué)習(xí)支持ActiveDirectory中有三種組作用域:通用、全局和本地域。通用組作用域可以在任何域或林中分配權(quán)限,它可以轉(zhuǎn)換為本地域或全局組作用域(只要是沒(méi)有其他通用組作為成員存在)。全局組作用域可以在任何域中分配成員權(quán)限,它可以轉(zhuǎn)換為通用組作用域(只要不是任何其他全局組中的成員)。本地域組作用域的成員權(quán)限只能在與父域或本地組相同的域中分配,它可以轉(zhuǎn)換為通用組作用域(只要沒(méi)有其他域本地組作為成員存在)?；顒?dòng)二創(chuàng)建并管理用戶和組賬戶任務(wù)2用戶賬戶的創(chuàng)建一、任務(wù)描述接著在前面的銷售組sales_group中新建該組的成員“張三”的賬戶“manager”,其他成員賬戶的添加可參照該實(shí)例來(lái)操作,這里不再贅述。二、任務(wù)分析添加“manager”賬戶時(shí),還需要注意該賬戶是給銷售部經(jīng)理張三的,所以我們給他的權(quán)限是域管理員,在添加完賬戶后應(yīng)把它加入管理員組(Administrators)?；顒?dòng)二創(chuàng)建并管理用戶和組賬戶三、操作步驟1.打開(kāi)“ActiveDirectory用戶和計(jì)算機(jī)”窗口,在當(dāng)前域“”中選擇“Users”,單擊鼠標(biāo)右鍵，在快捷菜單中選擇“新建/用戶”。在相應(yīng)位置輸入姓名、賬戶后點(diǎn)擊“下一步”，輸入賬戶密碼。如圖323所示，完成用戶賬戶的設(shè)置?；顒?dòng)二創(chuàng)建并管理用戶和組賬戶2.完成賬戶設(shè)置后,選擇該賬戶,單擊鼠標(biāo)右鍵，在快捷菜單中選擇“屬性”,在“隸屬于”選項(xiàng)卡中點(diǎn)擊“添加”按鈕,彈出“選擇組”對(duì)話框，如圖3-2-4所示。在該對(duì)話框中添加“Administrators”組,從而將“manager”賬戶添加到管理員組中。活動(dòng)二創(chuàng)建并管理用戶和組賬戶3.按照提示依次點(diǎn)擊“確定”,即完成將“manager”賬戶添加到“Administrators”組中的操作,添加成功后如圖3-2-5所示?；顒?dòng)二創(chuàng)建并管理用戶和組賬戶四、學(xué)習(xí)支持1.“Builtin”容器中的常用組。2.Users容器中的常用組?；顒?dòng)二創(chuàng)建并管理用戶和組賬戶任務(wù)將客戶端計(jì)算機(jī)添加到域中一、任務(wù)描述繼續(xù)前面的任務(wù),向域中添加一個(gè)計(jì)算機(jī)賬戶xp1,需要注意的是在某個(gè)域中添加計(jì)算機(jī)賬戶有兩種方式:一種是在客戶端計(jì)算機(jī)上修改計(jì)算機(jī)名及所屬的域來(lái)實(shí)現(xiàn),另一種是直接在DC上的“ActiveDirectory用戶賬戶和計(jì)算機(jī)”中的“Computers”中直接添加計(jì)算機(jī)名稱。下面的任務(wù)是在客戶端計(jì)算機(jī)上,將該計(jì)算機(jī)賬戶添加到的域中。二、任務(wù)分析通過(guò)客戶端計(jì)算機(jī)將該計(jì)算機(jī)賬戶xp1添加到的域中,前提是該計(jì)算機(jī)和當(dāng)前的域控制器在同一個(gè)網(wǎng)絡(luò)中的物理連接已經(jīng)接好,并且它們的IP地址在同一個(gè)網(wǎng)段中,同時(shí)客戶端計(jì)算機(jī)的首選DNS服務(wù)器IP地址應(yīng)設(shè)置為域中已經(jīng)存在的?；顒?dòng)三創(chuàng)建并管理計(jì)算機(jī)賬戶三、操作步驟1.在客戶端計(jì)算機(jī)桌面上選擇“我的電腦”,單擊鼠標(biāo)右鍵在快捷菜單中選擇“屬性”,在“計(jì)算機(jī)名”選項(xiàng)卡中點(diǎn)擊“更改”按鈕。在打開(kāi)的“計(jì)算機(jī)名稱更改”窗口中,輸入計(jì)算機(jī)名“xp1”,隸屬于域“”,點(diǎn)擊“確定”按鈕?；顒?dòng)三創(chuàng)建并管理計(jì)算機(jī)賬戶活動(dòng)三創(chuàng)建并管理計(jì)算機(jī)賬戶2.驗(yàn)證通過(guò)后顯示添加成功,即計(jì)算機(jī)賬戶xp1已經(jīng)添加到域,此時(shí)系統(tǒng)會(huì)提示重新啟動(dòng)計(jì)算機(jī)。同時(shí)在域控制器端,我們打開(kāi)“ActiveDirectory用戶和計(jì)算機(jī)”里的“Computers”可以看到里面新增了一個(gè)“xp1”計(jì)算機(jī)賬戶,如圖3-3-2所示,也印證了在客戶端計(jì)算機(jī)添加賬戶成功。活動(dòng)三創(chuàng)建并管理計(jì)算機(jī)賬戶3.回到客戶端,我們重新啟動(dòng)計(jì)算機(jī)后,在登錄窗口里就可以用實(shí)驗(yàn)中所創(chuàng)建的manager用戶賬戶,在當(dāng)前xp1計(jì)算機(jī)上登錄到abc域,如圖3-3-3所示?；顒?dòng)三創(chuàng)建并管理計(jì)算機(jī)賬戶任務(wù)1用安全模板配置安全策略一、任務(wù)描述本任務(wù)中，我們要在域控制器MYSERVER2003的管理控制臺(tái)(MMC)中打開(kāi)管理單元“安全模板”,通過(guò)它自定義一個(gè)名稱為“MYhisecdc”的安全模板,將密碼策略中密碼長(zhǎng)度最小值設(shè)置為3個(gè)字符,賬戶鎖定策略中賬戶鎖定時(shí)間設(shè)定為30分鐘,其余配置和預(yù)定義的安全模板“hisecdc”保持一致。二、任務(wù)分析一般情況下我們可以使用預(yù)定義安全模板來(lái)創(chuàng)建所需要的安全模板,可預(yù)先復(fù)制出一個(gè)副本,然后使用副本來(lái)修改,這樣就不會(huì)破壞原來(lái)的預(yù)定義模板?；顒?dòng)四設(shè)置并管理域的安全策略三、操作步驟1.進(jìn)入MYSERVER2003計(jì)算機(jī)的開(kāi)始菜單,選擇“運(yùn)行”,并輸入命令“mmc”,出現(xiàn)管理控制臺(tái)界面,如圖3-4-1所示。活動(dòng)四設(shè)置并管理域的安全策略2.在管理控制臺(tái)中,選擇“文件/添加／刪除管理單元”。在“添加/刪除管理單元”中，點(diǎn)擊“添加”按鈕，在“添加獨(dú)立管理單元”對(duì)話框中選擇“安全模板”，點(diǎn)擊“添加”后關(guān)閉即可。如圖3-4-2所示。活動(dòng)四設(shè)置并管理域的安全策略3.這時(shí)我們?cè)凇翱刂婆_(tái)根節(jié)點(diǎn)”上就可以看到添加進(jìn)來(lái)的“安全模板”管理單元了,如圖3-4-3所示。活動(dòng)四設(shè)置并管理域的安全策略4.在安全模板中選擇“hisecdc”,單擊鼠標(biāo)右鍵，選擇“另存為”,輸入新的安全模板名“MYhisecdc”，點(diǎn)擊“保存”按鈕，將該安全模板另存為一個(gè)副本,如圖3-4-4所示。活動(dòng)四設(shè)置并管理域的安全策略5.接下來(lái)我們就要修改安全模板“MYhisecdc”里的密碼策略和賬戶鎖定策略,把密碼策略改為3個(gè)字符,把賬戶鎖定策略改為30分鐘,如圖3-4-5所示?；顒?dòng)四設(shè)置并管理域的安全策略6.這樣就設(shè)置好了一個(gè)新的安全模板“MYhisecdc”,為了驗(yàn)證新的安全模板創(chuàng)建成功,我們可以找到C:＼WINDOWS＼security＼templates下面的安全模板文件“MYhisecdc.inf”,雙擊打開(kāi),可以看到里面的參數(shù)符合我們前面的修改設(shè)置,如圖3-4-6所示?；顒?dòng)四設(shè)置并管理域的安全策略7.新的安全模板設(shè)置好以后,關(guān)閉管理控制臺(tái)時(shí),MMC會(huì)提示是否將當(dāng)前控制臺(tái)的設(shè)置狀態(tài)保存,為了在后面的操作中不用再次添加“安全模板”管理單元,簡(jiǎn)化操作,選擇“是”。四、學(xué)習(xí)支持預(yù)定義的安全模板是作為創(chuàng)建安全策略的初始點(diǎn)而提供的,這些策略經(jīng)過(guò)自定義設(shè)置以滿足不同的組織要求。使用安全模板管理單元可以對(duì)該模板進(jìn)行自定義。一旦對(duì)預(yù)定義的安全模板進(jìn)行了自定義,就可以用來(lái)配置單臺(tái)甚至上千臺(tái)的計(jì)算機(jī)。默認(rèn)情況下,預(yù)定義的安全模板存儲(chǔ)在如下目錄:Systemroot＼Security＼Templates?；顒?dòng)四設(shè)置并管理域的安全策略任務(wù)2通過(guò)AD將安全模板運(yùn)用到域中一、任務(wù)描述在前一個(gè)任務(wù)中,我們學(xué)習(xí)了如何利用“安全模板”創(chuàng)建一個(gè)安全策略,但這個(gè)安全策略如何才能運(yùn)用到域中去呢?下面我們將使用“ActiveDirectory用戶和計(jì)算機(jī)”把剛才我們創(chuàng)建的安全模板“MYhisecdc”運(yùn)用到域。二、任務(wù)分析在“ActiveDirectory用戶和計(jì)算機(jī)”中,我們把安全模板“MYhisecdc”運(yùn)用到域,其實(shí)是通過(guò)域的組策略來(lái)實(shí)現(xiàn)的,組策略包含的內(nèi)容很多,安全策略是其中的一部分。有關(guān)組策略的知識(shí)點(diǎn),可參考本任務(wù)后的學(xué)習(xí)支持?；顒?dòng)四設(shè)置并管理域的安全策略三、操作步驟1.在域控制器上,我們打開(kāi)“ActiveDirectory用戶和計(jì)算機(jī)”,選擇“”,單擊鼠標(biāo)右鍵，在快捷菜單中選擇“屬性”。在“屬性”窗口中選擇“組策略”選項(xiàng)卡,點(diǎn)擊“新建”按鈕,新建一個(gè)名為“MYgpo”的組策略對(duì)象(GPO)，然后點(diǎn)擊“編輯”按鈕,打開(kāi)組策略編輯器(GPOE)對(duì)“MYgpo”組策略進(jìn)行調(diào)整，如圖3-4-7所示?；顒?dòng)四設(shè)置并管理域的安全策略活動(dòng)四設(shè)置并管理域的安全策略2.如圖3-4-8所示,在打開(kāi)的組策略編輯器(GPOE)中可以看到“MYgpo”組策略?；顒?dòng)四設(shè)置并管理域的安全策略3.如圖3-4-9所示,在組策略編輯器中選擇“計(jì)算機(jī)配置”中的“安全設(shè)置”，單擊鼠標(biāo)右鍵，選擇“導(dǎo)入策略”。在“策略導(dǎo)入來(lái)源”對(duì)話框中選擇前面創(chuàng)建的安全模板文件活動(dòng)四設(shè)置并管理域的安全策略4.導(dǎo)入成功以后,回到組策略編輯器,查看組策略對(duì)象“MYgpo”中的安全設(shè)置是否與安全模板“MYhisecdc”一致。主要查看密碼策略中密碼長(zhǎng)度最小值是否也已設(shè)置為3個(gè)字符,賬戶鎖定策略中賬戶鎖定時(shí)間已設(shè)定為30分鐘,如圖3-4-10所示。至此,我們就已經(jīng)通過(guò)AD將安全模板運(yùn)用到域中了。活動(dòng)四設(shè)置并管理域的安全策略活動(dòng)四設(shè)置并管理域的安全策略四、學(xué)習(xí)支持組策略設(shè)置定義了系統(tǒng)管理員需要管理的用戶桌面環(huán)境的各種組件,如:用戶可用的程序、用戶桌面上出現(xiàn)的程序以及“開(kāi)始”菜單選項(xiàng)。要為特定用戶組創(chuàng)建特殊的桌面配置,需使用組策略對(duì)象編輯器。指定的組策略設(shè)置包含在組策略對(duì)象中,而組策略對(duì)象又與選定的ActiveDirectory對(duì)象(即站點(diǎn)、域或組織單位)相關(guān)聯(lián)。組策略不僅應(yīng)用于用戶和客戶端計(jì)算機(jī),還應(yīng)用于成員服務(wù)器、域控制器以及管理范圍內(nèi)的任何其他計(jì)算機(jī)。默認(rèn)情況下,應(yīng)用于域(即在域級(jí)別應(yīng)用,剛好在ActiveDirectory用戶和計(jì)算機(jī)的根目錄之上)的組策略會(huì)影響域中的所有計(jì)算機(jī)和用戶?！癆ctiveDirectory用戶和計(jì)算機(jī)”還提供內(nèi)置的“DomainControllers”組織單位?；顒?dòng)四設(shè)置并管理域的安全策略任務(wù)3通過(guò)“安全配置和分析”管理單元將安全模板運(yùn)用到特定計(jì)算機(jī)上一、任務(wù)描述前面的任務(wù)是向域中運(yùn)用安全模板,如果安全模板只需要運(yùn)用到有限的幾臺(tái)服務(wù)器上(因?yàn)榘踩０謇镌O(shè)置得比較嚴(yán)格,不需要用到所有計(jì)算機(jī)),那么有什么其他方法呢?可以通過(guò)MMC,添加“安全配置和分析”管理單元來(lái)為單個(gè)計(jì)算機(jī)添加安全模板,從而實(shí)現(xiàn)在單個(gè)計(jì)算機(jī)上的安全策略運(yùn)用?；顒?dòng)四設(shè)置并管理域的安全策略二、任務(wù)分析以MYSERVER2003計(jì)算機(jī)為例,通過(guò)MMC添加“安全配置和分析”管理單元,然后再運(yùn)用“hisecdc”模板。用類似的方法,可以將需要的安全模板運(yùn)用到其他計(jì)算機(jī)上,只要將需要的安全模板文件復(fù)制到目標(biāo)計(jì)算機(jī)上,然后在目標(biāo)計(jì)算機(jī)的MMC中執(zhí)行同樣的操作即可。三、操作步驟1.在MYSERVER2003計(jì)算機(jī)上打開(kāi)MMC,選擇“文件/打開(kāi)”,選擇之前保存的文件“MY控制臺(tái).msc”，如圖3-4-11所示。活動(dòng)四設(shè)置并管理域的安全策略活動(dòng)四設(shè)置并管理域的安全策略2.在MMC的窗口中選擇“文件/添加／刪除管理單元”。在彈出的“添加獨(dú)立管理單元”窗口中選“安全配置與分析”,點(diǎn)擊“添加”按鈕，然后點(diǎn)擊“確定”按鈕，如圖3-4-12所示?；顒?dòng)四設(shè)置并管理域的安全策略活動(dòng)四設(shè)置并管理域的安全策略3.在MMC窗口中選擇“安全配置與分析”管理單元,單擊鼠標(biāo)右鍵，在快捷菜單中選擇“打開(kāi)數(shù)據(jù)庫(kù)”，輸入“TestPolicy”作為新數(shù)據(jù)庫(kù)名稱,點(diǎn)擊“打開(kāi)”按鈕。在“導(dǎo)入模板”窗口中選擇“hisecdc.inf”安全模板文件,然后點(diǎn)擊“打開(kāi)”按鈕，如圖3-4-13所示。活動(dòng)四設(shè)置并管理域的安全策略活動(dòng)四設(shè)置并管理域的安全策略4.如圖3-4-14所示,在MMC中選中“安全配置和分析”管理單元，可以看到“TestPolicy.sdb”數(shù)據(jù)庫(kù)文件已被打開(kāi)?；顒?dòng)四設(shè)置并管理域的安全策略5.為了查看“hisecdc.inf”安全策略和當(dāng)前計(jì)算機(jī)系統(tǒng)安全策略的差異,可以選中“安全配置和分析”管理單元，單擊鼠標(biāo)右鍵，快捷菜單中選擇“立即分析計(jì)算