配置AD域环境
Active Domain
-
微软技术：1）工作组：平等 2）域
-
主要优点：集中管理/统一管理
-
域成员：1）域控制器：Domain Controller 2）成员机
-
创建域：
关键步骤：1）创建“活动目录/AD”，拥有AD的PC，称为DC
2）DC安装完毕后，一个域也就诞生了
3）然后可以陆续将其他PC加入域 -
活动目录AD(Active Directory)：域的优点体现在活动目录的优点上
1）优点：实现集中管理
2）AD实际就是一个数据库，AD中包含域资源（域用户、域组、域共享、域计算机）
3）AD域需要与DNS服务器进行配合！！DNS服务器起到在域中做定位的作用！
4）一个AD域必须有一个唯一的域名。
如: wencoll公司就可以起域名：wencoll.com -
安装活动目录：
1）必须有固定的静态IP地址 （域控制器也是一个服务器）
2）系统版本必须为服务器版本
3）建议安装AD前修改计算机名，并重启生效
4）安装AD必须是管理员身份
5）提前规划好域的名字 ，如xzr.com -
安装：1）开始–运行–输入“dcpromo” 开始安装活动目录
2）勾选安装DNS
3）勾选“新林中新建域”
4）设置域名
5）设置“林功能级别”，“域功能级别”，建议保持为2003
6）设置目录还原密码
7）开始安装，并重启 -
活动目录安装完毕后：
1）域控制器的本地用户全部升级为域用户。
如：本地administrator升级为域管理员
本地guest升级为域来宾用户
2）验证是否成功安装：
计算机右键属性
计算机右键管理，检查是否还有本地用户
检查管理工具中是否有Active Directory 用户和计算机工具，并检查是否可以打开
检查DNS服务器是否安装完毕，并检查是否存在该域的配置文件及解析记录 -
将PC加入域、新建域用户
1）保证与DC/DNS可以通信！
2）DNS指向DC！
3）计算机右键–属性–计算机名–更改–输入域名–输入管理员账户及密码–成功-重启
4）加入域成功后，验证：1.DNS上自动出现解析记录
2.在AD中，computer自动出现成员机的计算机名
5）在AD上创建一个域用户，并成功在成员机上登录域！ -
在域中做文件共享服务器：
1）赋权限：给域用户或域组赋权限
OU、GPO
-
OU(Organization Union)：组织单位 作用：用于归类域资源（域用户、域计算机、域组）
-
组策略：Group Policy = GPO 需掌握组策略的阻止继承及强制！
只有组织单元OU才可以附加组策略GPO
作用：可以修改计算机的各种属性，如开始菜单、桌面背景、网络参数等。
组策略在域中，是基于OU来下发的
组策略在域中下发后，用户的应用顺序是：LSDOU
在应用过程中，如果出现冲突，后应用的生效！整个域环境首先要有个名字，就叫域名。域环境也有后缀，比如域名叫 xzr.com。
有了域控制器，就有了域环境。创建域环境重点就是创建域控制器，要想成为域控制器，重要的就是要有AD活动目录，因此域也叫AD域。
域控制器和域成员都要有自己的计算机名，如域控制器计算机名叫dc1，则计算机在这个域中完整的名字就叫做 dc1.xzr.com
域环境中每个人都有名字，也有后缀，访问PC可以直接通过访问域名，则需要DNS服务器。一般DC和DNS是合二为一的。
DC上有张表叫AD活动目录表，用来存储一些数据，如账号 密码，这些账号用户叫做域用户。
当域用户成功在某PC上登录时，会向DC发出请求，请求被控制。
域用户可以在域中任意一台PC上登录。同理，域管理员在域中任意一台PC有完全控制的权限。
配置文件 家目录DNS在服务器中起到定位的作用
nslook up abc.xzr.com 即可解析到对方的IP地址
\abc\c$ \abc.xzr.com\share 也可以省略 \abc\share由于加入了域环境，PC上登录了域用户，提交访问请求时会自动将域用户提交给服务器，因此域用户访问不用输入账号密码，因为自己只有一个身份，即当前系统的域账号身份，会自动提交到服务器。
也可以创建一个域组，把域用户加到该组，再给该域组赋予权限，相当于给该组的域用户加权限。组的作用还是为了降低权限赋予的工作量
组策略GPO也是一张文件一张表，这个表可以基于部门可以基于计算机也可以基于组织单元OU（取决于组织单元的范围大小）。 当域用户身份验证完毕后登陆上去，向DC发送请求，请求指示请求被控制。域用户被下发一张GPO组策略表，域用户便按照组策略GPO的策略进行执行。只有OU才可以附加GPO组策略
整个“域”——xzr.com 就是最大的组织单元
在域下新建组织单位“北京总部” 形成一个文件夹 文件夹中有一个logo代表OU
在他上面还有一个OU 域控制器Domain Controllers，里面放的不是用户，而是计算机DC1
| 正常情况下：LSDOU顺序 | |
|---|---|
| 上级OU： | 桌面：aa 运行：删除 |
| 下级OU： | x 运行：不删除 |
| 则下级OU的用户结果： 桌面：aa 运行：不删除 |
| 下级OU设置了阻止继承： | |
|---|---|
| 上级OU： | 桌面：aa 运行：删除 |
| 下级OU： | x 运行：不删除 |
| 则下级OU的用户结果： 桌面：x 运行：不删除 |
| ****上级设置了强制： | |
|---|---|
| 上级OU： | 桌面：aa 运行：删除 |
| 下级OU： | x 运行：不删除 |
| 则下级OU的用户结果： 桌面：aa 运行：删除 |
注意：当上级强制和下级阻止继承同时设置，强制生效！
- 组策略中下发软件：
1）只能下发微软格式的安装包： .msi
2）创建一个共享文件夹，保证域用户有权限，并将要下发的安装包放到共享文件夹中
3）在组策略中添加下发安装包（有2种选择，第1基于计算机下发，第2基于用户下发）
注意：组策略表包含2个部分：1.计算机配置：只对ou中的计算机资源生效
2.用户配置：只对ou中的域用户资源生效
步骤：
1.创建软件共享文件夹！
2.打开组策略–用户–软件设置，右键属性添加网络路径
3.添加软件
4.软件右键属性–部署–选中“在登录时安装应用程序”
5.客户机重启生效
- AD域的桌面漫游： \dc1.xzr.com\pic\abc.jpg
1）创建一个共享文件夹，保证域用户有权限
2）在普通成员机上，使用域用户登陆，并注销
3）在普通成员机上，使用域管理员登陆，并将用户的配置文件上传到共享文件夹
4）在DC的活动目录上，修改用户的用户属性，找到配置文件，并写入配置文件的网络路径，确定即可！