Windows Server 2012R2 域与活动目录介绍
2018年8月20日
14:11
- 域与活动目录
什么是域
域（Domain）是Windows网络中独立运行的单位，域之间相互访问则需要建立信任关系（Trust Relation）。信任关系是连接在域与域之间的桥梁。当一个域与其他域建立了信任关系后，两个域之间不但可以按需要相互进行管理，还可以跨网分配文件和打印机等设备资源，使不同的域之间实现网络资源的共享与管理。
为什么需要域
如果资源分布在N台服务器上，那么用户需要资源时就要分别登陆这N台服务器，也就需要N个账号。一个用户如此，那M个呢，管理员也就需要给他们创建N*M个账户，这样不仅负责而且难管理。
有了域，管理员只需要给每个用户创建一个域用户，用户只需在域中登陆一次就可以访问域中的资源，实现了单一登陆。
用户信息是存放在域中的域控制器（DC，Domain Controller）上，上图中，可以在服务器中选定一台或者几台服务器作为域控制器。有多台域控制器时，各个域控制器是平等的，每个域控制器上都有所在域的全部用户的信息，域控制器之间需要同步这些信息。而其它不适域控制器的服务器仅仅是提供资源。
什么是活动目录
活动目录（Active Directory）是Windows 2003Server平台提供的目录服务。在中央数据库中存放信息，使用户在网络上只拥有一个用户账号。目录是存储各种对象的一个物理上的容器，目录服务是使目录中所有信息和资源发挥作用的服务。
信息的安全性大大增强，引入基于策略的管理，使系统的管理更加明朗，具有很强的可扩展性、可伸缩性、智能的信息复制能力，与DNS集成紧密、与其他目录服务具有互操作性、具有灵活的查询。
活动目录逻辑结构：域、组织单元、树、林。
域控制器（DC,Domain Controller）上存放着域中所有用户、组、计算机等信息（实际上域控制器存放的信息还不止这些），域控制器把这些信息存放在活动目录中。
活动目录和DNS 的关系
在TCP/IP网络中，DNS（Domain Name System）是用来解决计算机名字和IP地址的映射关系的，活动目录和DNS是紧密不可分的，活动目录使用DNS服务器来登记域控制器的IP、各种资源的定位等，在一个域林中至少要有一个DNS服务器存在，所以安装活动目录时需要同时安装DNS。此外，域的命名也是采用DNS的格式来命名的。
- 活动目录与组织单元
Ø 对象：用户、计算机、打印机、组等等。每个对象都有自己的属性以及属性值。
Ø 组织单元（OU,Organization Unit）:组织单元是用来把对象按逻辑进行分组，便于管理、查找、授权和访问。组织单元只表示单个域中的对象集合（可包括组对象）组织单元具有继承性，子单元能够继承父单元的acl。同时域管理员可授予用户对域中所有组织单位或单个组织单位的管理权限。就像一个公司的各个部门的主管，权力平均化能更有效的管理。
Windows Server 2012R2 域与活动目录项目搭建
2018年8月25日
9:14
- 安装并配置域
Ø 活动目录设计
} 域名与控制器的安装位置
n 中小企业，为简单起见，在网络中只安装一个域控制器
n 域的名字应该和DNS域名一样，为：DCServer.network.com
n 其它所有计算机加入到域中
} 组织单元的设计
n 我们这里根据公司的行政架构来设计OU
n 各部门的用户、组、计算机、打印机等均放到对应的组织单元上
实验拓扑图
实验用VMware Workstation Pro虚拟机来模拟服务器和客户机，虚拟机之间采用内部网络的网络连接方式，其中SUBDCServer充当域成员服务器服务器，DCServer和RODCSever（系统Windows Server 2012r2）为域控制器。
DCServer：
更改主机名：
- 安装AD域控和DNS服务器。
- 下一步直至安装。
- 提升为域控制器。
- 选择添加林。（因要求来定域名）
- 输入密码，域控密码，用于域控降级，删除使用。
- 下一步，直到安装。
- 安装好重启计算机，由于活动目录的存在。启动时间会变长，发现建立好的域NETWORK。
- 在域控控制器上登录时，只能以域中的用户登录。虽然用户名仍然为Administrator，但Administrator是域用户。（该图在工具内Active Director用户和计算机）。
-
把客户机（服务器）加入域中
a. 三种角色： 域控制器，成员服务器和独立服务器。
b. 服务器的这个三个角色可以发生改变。
SUBDCServer：
- 打开电脑右键属性。
- 更改设置，
- 点击更改。
- 设置主机名和域名加入域控，输入账号密码。账号默认Administrator。
- 加入成功，重启电脑。
- 重启之后，打开计算机属性。
- 在DCServer域控制上可以查看到。
- 把服务器（计算机）从域中脱离
-
安装活动目录后的变化
使用"Active Drirectory用户和计算机"工具来管理用户和组。
a.创建一个网络部组织单元，内有用户一，用户登录名为[email protected]，密码为network.com，登录目标client。
b. 创建一个业务部组织单元，内有用户二，用户登录名为[email protected]，密码为network.net登录段早上八点到晚上六点。
- 打开DCServer上Active Drirectory用户计算机。
- 右键创建组织单位。
- 右键创建用户。
- 用户登录名。
- 选择用户不能更改密码和密码永不过期。密码为network.com
- 点击查看，选择高级功能。
- 打开网络部，右键选择用户选择属性。
- 点开账户，点击登录到，添加登录目标client。
- 点击添加，选择client，确定。
b. 创建一个业务部组织单元，内有用户二，用户登录名为[email protected]，密码为network.net登录段早上八点到晚上六点。
- 同上创建组织单位，名称为业务部。
- 点开账号，点击登录时间。
- 点击星期一到星期日早上八点到之前拒绝登录，晚上六点之后拒绝登录
- 创建子域。
创建子域通常用于以下几种情况：
- 一个已经从公司中分离出来的独立经营的子公司。
- 有些公司的部门或小组基于对特殊技术的需要，而与其他部门相对独立的运行。
- 基于安全的考虑。
创建子域的好处主要用以下几个方面。
- 便于管理自身的用户和计算机，并允许采用不同于父域的管理策略。
- 有利于子域资源的安全管理。
在父子域环境中，由于父子域间会建立双向可传递的父子信任关系，因此父域用户默认可以使用子域的计算机；同理，子域用户也可以使用父域的计算机。
- 将RODCServer加入到域里面。
- 安装Active Drirectory域服务和DNS服务。
- 选择下一步，直到安装。
- 点击提升为域控制器。
- 选择第二个输入新域名RODCServer，并点击更改输入域用户和密码，默认administrator。
- 设置域管理密码，点击下一步到安装为止。
- 点击安装。
- 打开ActiveDirectory域信任关系，点击network.com右键属性。
- 点击信任查看。
- 在RODCServer上创建目录。
- 右键属性，点击安全。
- 选择第一个，点击编辑，点击确定。
- 选择高级。
- 选择位置。
- 权限不仅仅可以给域中的用也可以给林中的用户。
-
只读域控，辅助域控。
只读域控制器（Read-only Domian Controller，RODC）的AD DS数据库只可以被读取，不可以被修改，也就是说用户或应用程序无法直接修改RODC的AD DS数据库。RODC的AD DS数据库内容只能够从其他可读写的域控制器复制过来。 RODC主要设计给远程分公司网络来使用的，因为一般来说远程分公司的网络规模比较小，用户人数较少，此网络的安全措施或许并不如总公司完备，也可能缺乏IT技术人员，因此采用RODC可避免因其AD DS数据库被破坏影响整个AD DS环境。
辅助域控制器，在主域控不工作的事情下，辅助可以顶替他继续工作。
- 先将SUBDCServer加入，network域中。
- 安装Active Drirectory域，并提升为域控制器。
- 选择将域控添加到现有的域。
- 点击更改输入域控用户和密码。
- 选择只读域控做只读域控制器，不勾选只读，做辅助域控。输入密码还原模式密码。
- 默认选择下一步，选择DCServer.network.com
- 选择下一步到安装。
Windows Server 2012R2 域与活动目录知识点总结
2018年8月25日
9:30
-
活动目录概述
目录：存储以某种方式相关联的对象的信息集
目录服务：用户通过其提供的服务来使用目录中的信息
目录服务功能：组织网络中的资源，提供对资源的管理，对资源的控制
功能：组织，管理，控制
适用范围：便于用户查找、管理和使用这些资源
- 小型网络：UNC路径(一般不使用AD)
- 大型网络：难以确定资源位置、名称
-
所以需要目录服务快速定位资源
- 对用户透明、高效
- 不需要知道资源的物理位置，如何连接、
目录服务的逻辑结构： 域（domain）
域树(domain tree)
森林(forest)
组织单元(OU)
目录服务的物理结构： 站点(site)
域控制器(domain controller)
操作主机(operation master)
域：
域是活动目录中逻辑结构的核心单元，是一个有安全边界的计算机集合。一个域包含许多计算机，它们由管理员设定，共用一个目录数据库，一个域有一个唯一的名字。
容器与OU:
- 容器与对象相似，有自己的名称，也是一些属性的集合。容器可以包含其它的对象，也可以包含其它的容器。OU是AD中的一个特殊的容器，他可以包含对象、OU和组策略。
- OU 可以把对象组织到一个逻辑结构中，使其能最佳适应组织的需要。
-
委派 OU 的管理控制权，必须把 OU 及 OU 包含对象的具体的权限指定给一个或几个用户和组。
看图写DN
[email protected] UPN的认识。
- 快照准备（无内容）
-
管理域账户和组
账户类型：计算机账户，用户账户，组账户
用户账户UPN理解
建立UPN好处：
- 由于UPN的格式与电子邮件帐户相同，所以可以让用户不论是登录域或收发电子邮件，都可以使用一致的名称。
-
如果域内有很多子域，则域名很长，如sales.north.abc.com,所以当用户登录域的时候名字就会太长，所以可以通过创建UPN后缀来减少长度，便于记忆
管理域账户的几种方式：ad管理中心，ad用户和组，目录服务工具，csvde，ldifde
域组的类型：通讯组（仅作电子邮件组，么有启用安全特性），安全组
域组作用域的分类：域本地组，全局组，通用组（三个域组的理解）
域组的嵌套：A,G,DL,P为主理解各种嵌套
-
管理信任关系
访问令牌:
当用户登录到某台计算机，在验证用户帐号和密码无误外系统会为该用户建立一个"访问令牌"(access token)，其包含该用户的SID和用户所属组的SID。用户拿到"访问令牌"后系统会根据令牌中的SID去决定用户对特定资源拥有哪些访问权限。
信任关系理解：
信任种类：
安全设置
-
组策略之桌面管理
组策略作用：
方便地管理AD中的计算机和用户
账户策略的设定
本地策略的设定
脚本的设定
用户桌面环境
计算机启动/关机与用户登录/注销时所执行的脚本文件
文件夹重定向
软件分发
应用组策略的前提条件
- 组策略只能管理AD中的计算机和用户
- 只能针对整个站点、域或组织单位来设置组策略
- 要使用组策略，必须有相应的管理权限
-
组策略只适用于Windows 2000以上操作系统的计算机
组策略结构:
- 组策略的设置数据皆保存在GPO中
- GPO链接至SDOU（Site、Domain、Organized Unit）
-
GPO管理SDOU中的计算机和用户
GPO与SDOU间的链接关系