AD域控及组策略管理
目录一、Active Directory（AD）活动目录简介1
1、工作组与域的区别1 2、公司采用域管理的好处2
3、Active Directory(AD）活动目录的功能3 二、AD域控（DC）基本操作4
1、登陆AD域控4
2、新建组织单位（OU）6 3、新建用户7 4、调整用户9 5、调整计算机12 三、AD域控常用命令13
1、创建组织单位：（dsadd）13 2、创建域用户帐户（dsadd)13 3、创建计算机帐户（dsadd)13 4、创建联系人（dsadd）14
5、修改活动目录对象（dsmod）14
6、其他命令（dsquery、dsmove、dsrm）15 四、组策略管理16
1、打开组策略管理器16
2、受信任的根法机构组策略设置18 3、IE安全及隐私组策略设置22 4、注册表项推送27 五、设置DNS转发30
一、 Active Directory(AD)活动目录简介
1、工作组与域的区别
域管理与工作组管理的主要区别在于：
1）、工作组网实现的是分散的管理模式,每一台计算机都是独自自主的，用户账户和权限信息保存在本机中，同时借助工作组来共享信息，共享信息的权限设置由每台计算机控制.在网上邻居中能够看到的工作组机的列表叫浏览列表是通过广播查询浏览主控服务器,由浏览主控服务器提供的.而域网实现的是主/从管理模式，通过一台域控制器来集中管理域内用
户帐号和权限,帐号信息保存在域控制器内，共享信息分散在每台计算机中，但是访问权限由控制器统一管理。这就是两者最大的不同。
2）、在“域”模式下，资源的访问有较严格的管理，至少有一台服务器负责每一台联入网络的电脑和用户的验证工作,相当于一个单位的门卫一样，称为“域控制器（Domain Controller，简写为DC)”。
3）、域控制器中包含了由这个域的账户、密码、属于这个域的计算机等信息构成的数据库。当电脑联入网络时，域控制器首先要鉴别这台电脑是否是属于这个域的，用户使用的登录账号是否存在、密码是否正确。如果以上信息有一样不正确，那么域控制器就会拒绝这个用户从这台电脑登录。不能登录，用户就不能访问服务器上有权限保护的资源,他只能以对等网用户的方式访问Windows共享出来的资源，这样就在一定程度上保护了网络上的资源。而工作组只是进行本地电脑的信息与安全的认证。
2、公司采用域管理的好处
1）、方便管理，权限管理比较集中，管理人员可以较好的管理计算机资源。
2）、安全性高，有利于企业的一些保密资料的管理，比如一个文件只能让某一个人看,或者指定人员可以看,但不可以删/改/移等。
3）、方便对用户操作进行权限设置,可以分发,指派软件等,实现网络内的软件一起安装. 4）、很多服务必须建立在域环境中，对管理员来说有好处：统一管理,方便在MS 软件方面集成,如ISA EXCHANGE（邮件服务器）、ISA SERVER(上网的各种设置与管理)等。
5）、使用漫游账户和文件夹重定向技术,个人账户的工作文件及数据等可以存储在服务器上，统一进行备份、管理，用户的数据更加安全、有保障.
6）、方便用户使用各种资源。
7）、SMS（System Management Server）能够分发应用程序、系统补丁等,用户可以选择安装，也可以由系统管理员指派自动安装。并能集中管理系统补丁（如Windows Updates），不需每台客户端服务器都下载同样的补丁，从而节省大量网络带宽。
8）、资源共享
用户和管理员可以不知道他们所需要的对象的确切名称，但是他们可能知道这个对象的一个或多个属性，他们可以通过查找对象的部分属性在域中得到一个所有已知属性相匹配的对象列表，通过域使得基于一个或者多个对象属性来查找一个对象变得可能。
2
9）、管理
域控制器集中管理用户对网络的访问，如登录、验证、访问目录和共享资源.为了简化管理，所有域中的域控制器都是平等的，你可以在任何域控制器上进行修改，这种更新可以复制到域中所有的其他域控制器上。
域的实施通过提供对网络上所有对象的单点管理进一步简化了管理。因为域控制器提供了对网络上所有资源的单点登录，管理远可以登录到一台计算机来管理网络中任何计算机上的管理对象。在NT网络中，当用户一次登陆一个域服务器后，就可以访问该域中已经开放的全部资源，而无需对同一域进行多次登陆。但在需要共享不同域中的服务时,对每个域都必须要登陆一次，否则无法访问未登陆域服务器中的资源或无法获得未登陆域的服务。
10)、可扩展性
在活动目录中，目录通过将目录组织成几个部分存储信息从而允许存储大量的对象。因此，目录可以随着组织的增长而一同扩展，允许用户从一个具有几百个对象的小的安装环境发展成拥有几百万对象的大型安装环境。
11)、安全性
域为用户提供了单一的登录过程来访问网络资源,如所有他们具有权限的文件、打印机和应用程序资源。也就是说，用户可以登录到一台计算机来使用网络上另外一台计算机上的资源，只要用户具有对资源的合适权限。域通过对用户权限合适的划分，确定了只有对特定资源有合法权限的用户才能使用该资源，从而保障了资源使用的合法性和安全性。
12)、可冗余性
每个域控制器保存和维护目录的一个副本。在域中，你创建的每一个用户帐号都会对应目录的一个记录.当用户登录到域中的计算机时，域控制器将按照目录检查用户名、口令、登录以验证用户。当存在多个域控制器时，他们会定期的相互复制目录信息，域控制器间的数据复制,促使用户信息发生改变时（比如用户修改了口令）,可以迅速的复制到其他的域控制器上，这样当一台域控制器出现故障时，用户仍然可以通过其他的域控制进行登录，保障了网络的顺利运行。
3、Active Directory(AD)活动目录的功能
活动目录（Active Directory）主要提供以下功能:
1）、基础网络服务：包括DNS、WINS、DHCP、证书服务等。
3
2）、服务器及客户端计算机管理：管理服务器及客户端计算机账户，所有服务器及客户端计算机加入域管理并实施组策略。
3）、用户服务：管理用户域账户、用户信息、企业通讯录(与电子邮件系统集成)、用户组管理、用户身份认证、用户授权管理等，按地市实施组管理策略.
4）、资源管理：管理打印机、文件共享服务等网络资源.
5）、桌面配置：系统管理员可以集中的配置各种桌面配置策略，如:界面功能的、应用程序执行特征、网络连接、安全配置等。
6）、应用系统支撑:支持财务、人事、电子邮件、企业信息门户、办公自动化、补丁管理、防病毒系统等各种应用系统。
二、 AD域控(DC）基本操作
1、登陆AD域控
登陆到本地市的域控服务器，依次点击“开始—管理工具-Active Directory 用户和计算机”,如下图:
4
图2-1
进入如下管理界面：
图2—2
以乐山市公司为例：
在乐山的只读域控服务器上可以看到个省公司下各地市的节点：
但是只能对自己公司的节点进行维护：
图2-3
5
2、新建组织单位（OU）
OU(Organizational Unit，组织单位)是可以将用户、组、计算机和其它组织单位放入其中的AD容器,是可以指派组策略设置或委派管理权限的最小作用域或单元。通俗一点说，如果把AD比作一个公司的话,那么每个OU就是一个相对的部门。
图1-3中以
图标开头的均表示组织单位，
若需要添加组织单位时,在需要添加的组织单位的上级节点依次点击点击“右键-新建—组织单位”,如下图：
图2-4
填写组织单位名称—点击确定
6
图2—4
既可在选中的组织单位节点下新增组织单位。 注：删除组织单位时，要在查看中勾选高级功能
图2-5
然后选中的组织单位属性-对象中将“防止对象被意外删除”前的勾去掉,才能删除.
图2—6
3、新建用户
图2—1 右侧窗口中以
图标开头的就是用户.与新建组织单位相似。对自己有权操作
维护的组织单位点击“右键-新建—用户”,填写用户基本信息,点击下一步。
7
图2-7
填写初始密码,点击下一步
图2—8
点击完成
8
图2-9
既可在选中的组织单位节点下新增用户
图2-10
4、调整用户
右键点击用户—属性
9
图2-11
进入用户信息修改：
图2—12
其中常规中电话号码必填
10
图2-13
图2—14
11
电话选项卡中移动电话必填
单位选项卡中所有信息必填
图2—15
注：直接下属不需要维护
这几个选项卡是常用，并且需要注意的。
5、调整计算机
当用户利用自己的帐号加入域后，在AD管理工具中就能看到登入域的计算机右键点击计算机可对其进行管理
图2-16
12
三、 AD域控常用命令
AD域控管理命令可以用命令行的方式，依次点击“开始—运行—cmd”,打开命令行工具。AD域控常用命令有很多，下面列举一些比较常见的例子：
1、创建组织单位:（dsadd）
命令格式：dsaddou〈OUDN〉 [—desc描述] [｛—s 服务器｜—d 域}] [-u 用户名] [-p ｛密码｜＊}] [—q］ ［{-uc｜—uoc|-uci}]
注意：OU名称应为要创建的OU的LDAP绝对路径(DN，Distinguished Name）,如果DN中包含空格，应该在路径两端使用双引号.
例如要在yjx。com域中建立一个名为finance的OU，可以执行以下命令： C:\\〉dsaddouou=finance,dc=yjx,dc=com —desc ”财务部\"
2、创建域用户帐户（dsadd）
命令格式：dsadd user [—samid〈SAMName〉] —pwd ｛〈Password〉|＊} –upn UPN 例如要在yjx。com域中建立一个名为mike的用户帐户，该用户将位于sales OU中,其显示名称为“mike yang\"，则可以执行以下命令:C:\\>dsadd user cn=mike，ou=sales，dc=yjx，dc=com -samid mike —pwd benet3.0 —display “mike yang”
3、创建计算机帐户(dsadd)
命令格式：dsadd computer 要在yjx.com域中的sales OU中建立一个名为client-2的计算机帐户，可以执行以下命令： C：\\>dsadd computer cn=client-2，ou=sales,dc=yjx，dc=com要在yjx。com域中的sales OU中建立一个名为client—3的计算机帐户，并设置计算机账户的描述信息为“测试工作站”，可以执行以下命令：
C:\\>dsadd computer cn=client—3,ou=sales，dc=yjx，dc=com —desc测试工作站
13
4、创建联系人(dsadd)
命令格式：dsadd contact 〈ContactDN> ［-fn] [—mi ］ [-ln〈LastName〉］ ［—display ] [—desc〈Description>］要在yjx.com域中的sales OU中建立一个名为杨建新的联系人,执行以下命令：
C:\\〉dsadd contact cn=杨建新,ou=sales，dc=yjx,dc=com -fnjianxin —ln yang -display 杨建新
5、修改活动目录对象（dsmod)
用于修改AD对象的属性，可以对OU、用户、组、联系人等对象进行修改。 C:\\>dsmod user /?
描述： 修改目录中现有的用户。
语法： dsmod user [-upn〈UPN〉］ ［—fn］ [-ln] [-display 〈DisplayName〉] ［—fnp[-empid] [-pwd {[—desc] [—office 〈Office>］ ［—tel〈Phone＃〉]［—email 〈Email>］ ［—hometel］ ［—pager 〈Pager#>] [—mobile 〈CellPhone#〉］ ［—fax ］ ［—webpg］ ［-company 〈Company>］ ［-mgr〈Manager〉] [—hmdir：] ［-profile ［—loscr[—acctexpires〈NumDays〉］ ［—disabled {yes | no}］ ［{—s 〈Server〉 | —d 〈Domain〉}］ ［—u ] [-p ｛〈Password> | *｝］ ［-c］ [-q］ ［{—uc | —uco | -uci}］］ 几个具体用法如下：14
重置用户帐户的密码
dsmod user UserDN —pwd新密码 ［—mustchpwd {yes | no｝］ 下次登录时修改此密码
启用或禁用账户
dsmod user UserDN可分辨名称 -disabled {yes｜no} yes 禁用 no 启用
修改计算机帐户属性的格式为:
dsmod computer ComputerDN 。.。[—desc Description] ［-loc Location] [-disabled {yes | no}］ [-reset] [｛—s Server ｜ -d Domain}] [-u UserName］ [—p ｛Password | *}] [—c］ ［-q］ ［｛—uc | -uco | —uci｝]
重设计算机帐户
dsmod computer ComputerDN —reset
启用或禁用计算机帐户
dsmod computer ComputerDN可分辨名称 —disabled {yes|no} yes 禁止登录 no 允许登录
将计算机帐户添加到组中
dsmod group GroupDN —addmbrComputerDN
要创建一个sales全局组，并将用户mike加入到该组中，可以执行以下命令: C：\\>dsadd group cn=sales,ou=sales,dc=yjx,dc=com -desc销售部 dsadd成功：cn=sales,ou=sales,dc=yjx，dc=com
C:\\>dsmod group cn=sales,ou=sales，dc=yjx,dc=com -addmbrcn=mike,ou=sales，dc=yjx，dc=com dsmod成功：cn=sales，ou=sales,dc=yjx，dc=com
6、其他命令（dsquery、dsmove、dsrm）
其他的活动目录操作命令还包括dsquery、dsmove、dsrm等,分别用于活动目录对象的查询、移动和删除。
15
要查找sales OU中的所有用户,可以执行以下命令： C:\\〉dsquery user ou=sales,dc=yjx，dc=com —name * \"CN=mike，OU=sales，DC=yjx,DC=com\" \"CN=user1，OU=sales,DC=yjx,DC=com\" ”CN=user2，OU=sales，DC=yjx，DC=com\"
要查找sales OU中已经3个星期不活动的用户，可以执行以下命令： C：\\>dsquery user ou=sales,dc=yjx，dc=com —inactive 3
要将mike用户移动到finance OU中，可以执行以下命令：
C:\\〉dsmove cn=mike,ou=sales，dc=yjx，dc=com —newparentou=finance，dc=yjx，dc=com dsmove成功:cn=mike，ou=sales,dc=yjx,dc=com
要删除sales OU中的用户user1，可以执行以下命令： C:\\>dsrm cn=user1,ou=sales,dc=yjx，dc=com
您确认要删除cn=user1,ou=sales，dc=yjx,dc=com 吗（Y/N)？ y dsrm成功:cn=user1,ou=sales，dc=yjx，dc=com
四、 组策略管理
1、打开组策略管理器
依次点击“开始—管理工具-点击进入组策略管理”，进入组策略管理器。如下图：
16
图4— 1
图4- 2
17
2、受信任的根法机构组策略设置
1、 启动组策略管理：开始-管理工具-组策略管理
图4-3
2、 选择拥有管理权限并需进行组策略设置的ou，右键选择创建组策略对象
图4—4
18
3、 输入新建的GPO的名称
图4—5
4、 选择新建的GPO，右键编辑
图4-6
19
5、 在组策略管理编辑器中选择计算机配置-策略—windows设置-安全设置—公钥策略—受信任的根证书颁发机构右键选择导入
图4-7
6、 选择需要导入的证书(可以利用证书管理进行导出)
20
图4-7
7、 选择受信任的根证书颁发机构
图4-8
21
8、 点击完成，完成组策略设置
图4-9
3、IE安全及隐私组策略设置
1、 启动组策略管理：开始—管理工具—组策略管理
22
图4—10
2、 选择拥有管理权限并需进行组策略设置的ou,右键选择创建组策略对象
图4—11
3、 输入新建的GPO的名称
23
图4—12
4、 选择新建的GPO，右键编辑
24
图4—13
5、 在组策略管理编辑器中选择：用户配置-策略—windows设置-Internet Explorer维护—安全，在右侧窗口中选择：安全区域和内容分级右键选择属性
图4—14
6、 选择导入当前安全区域和隐私设置
25
图4—15
7、 在弹出的IE增强的安全配置中选择继续
图4-16
26
8、 在安全和隐私设置选项卡中单击修改设置，在弹出的Internet属性窗体中设置相应的IE安全设置,点击确定，完成组策略设置
图4—17
4、注册表项推送
1、 启动组策略管理：开始—管理工具—组策略管理
27
图4—18
2、 选择拥有管理权限并需进行组策略设置的ou,右键选择创建组策略对象
图4-19
3、 输入新建的GPO的名称
28
图4-20
4、 选择新建的GPO，右键编辑
29
图4-21
5、 在组策略管理编辑器中选择：用户配置-策略—windows设置—Internet Explorer维护—安全,在右侧窗口中选择：安全区域和内容分级右键选择属性
图4—22
五、 设置DNS转发
效能协同平台DNS服务器只负责对效能协同平台相关网站、Lync、Outlook等进行路由，而每台电脑DNS只可以设置一个主要DNS和一个备用DNS。为了保证用户使用效能协同平台时可以继续访问其他站点及应用，可以在DNS上设置转发。具体配置如下：
依次点击：开始—管理工具—DNS，进入如下管理界面：
30
图4- 1
图4- 2
右键点击DNS—连接到DNS服务器，选择下列计算机输入： LSRODC
图4— 3
连接成功后右键点击LSRODC—属性
31
图4— 4
选择转发器点击编辑
图4— 5
加入需要转发的服务器地址：
图4- 6
32
