計算機網(wǎng)絡(luò)技術(shù)基礎(chǔ)實訓報告專業(yè)班級姓名學號課程名稱實驗項目域控制器的部署指導教師日期成績 第頁項目15實訓：域控制器的部署一、實訓目的1、了解域模式網(wǎng)絡(luò)的功能2、掌握域控制器的安裝方法3、掌握域模式網(wǎng)絡(luò)中用戶賬戶和計算機賬戶的管理方法二、實訓環(huán)境每人一臺Windows7/8/10物理機，并且在該物理機安裝了1臺WindowsServer2016虛擬機，1臺Windows7/8/10虛擬機。三、實訓內(nèi)容1、安裝域控制器“ActiveDirectory域服務(wù)”安裝完成后，需要對域控制器進行部署。單擊“服務(wù)器管理器-儀表板”標題欄上的小旗子（通知），隨后點擊“將此服務(wù)器提升為域控制器”，如圖15-5所示。圖15-5提升為域控制器在圖15-6中需要選擇域控制器的類型：“將域控制器添加到現(xiàn)有域”、“將新域添加到現(xiàn)有林”和“添加新林”，它們的區(qū)別就在于如果安裝的是域中的第一臺域控制器，則選擇“添加新林”；如果為了保證在任何時刻都有域控制器對網(wǎng)絡(luò)用戶進行驗證，保證網(wǎng)絡(luò)的正常工作，需要在網(wǎng)絡(luò)中安裝多個域控制器時，這時域中如果已經(jīng)存在一個域控制器，就需要選擇“將域控制器添加到現(xiàn)有域”。如果要將新的域控制器加入到已有的林中，則選擇“將新域添加到現(xiàn)有林”。我們因為要部署一個全新的網(wǎng)絡(luò)，在這里選擇“添加新林”，并為新域指定一個根域的名稱，“”,完畢后，單擊“下一步”。圖15-6選擇域控制器類型在圖15-7中設(shè)置目錄服務(wù)還原模式密碼（要求滿足密碼復雜度要求），單擊“下一步”。圖15-7域控制器選項在隨后的DNS選項中，如果當前網(wǎng)絡(luò)中沒有安裝DNS服務(wù)器或者未啟動DNS服務(wù)，可以不勾選“創(chuàng)建DNS委派”，將來在配置DNS服務(wù)器時進行。單擊“下一步”。為新域指定一個NetBIOS名，NetBIOS名是為了網(wǎng)絡(luò)中的DOS、Windows9X、WindowsMe等客戶機加入域而使用的。如圖15-8所示。圖15-8NetBIOS域名指定ActiveDirectory數(shù)據(jù)庫和日志文件保存的位置，為了安全起見，最好將Active數(shù)據(jù)庫和日志文件分別保存到不同的硬盤或計算機上。如圖15-9所示，完成設(shè)定后，單擊“下一步”。圖15-9數(shù)據(jù)庫、日志文件和SYSVOL的位置系統(tǒng)會進行先決條件檢查，以便保證域控制器的正常安裝，出現(xiàn)的警告信息可以不予理會。單擊“安裝”即可。安裝完畢后，系統(tǒng)會自動重新啟動，重新啟動完成后，代表計算機已經(jīng)成為域控制器了。重新啟動計算機的時間有點長，請耐心等待。2、用戶和組的管理ActiveDirectory用戶和計算機賬號代表物理實體，諸如計算機或人。用戶賬號或計算機賬號（以及組）稱為安全主體。安全主體是自動分配安全標識符的目錄對象。帶安全標識符的對象可登錄到網(wǎng)絡(luò)并訪問域資源。用戶或計算機賬號用于：驗證用戶或計算機的身份、授權(quán)或拒絕訪問域資源、管理其他安全主體、審計使用用戶或計算機賬號執(zhí)行的操作。我們以下設(shè)置賬號的工作都是在采用活動目錄的環(huán)境中進行。1）建立用戶賬號前的準備工作在一個網(wǎng)絡(luò)中，用戶和計算機都是網(wǎng)絡(luò)的主體，兩者缺一不可。擁有計算機賬號是計算機接入WindowsServer2016網(wǎng)絡(luò)的基礎(chǔ)，擁有用戶賬號是用戶登錄到網(wǎng)絡(luò)并使用網(wǎng)絡(luò)資源的基礎(chǔ)，因此用戶和計算機賬號管理是WindowsServer2016網(wǎng)絡(luò)管理中最必要且最經(jīng)常的工作。一個有經(jīng)驗的網(wǎng)絡(luò)管理員一定要注重對用戶賬號的統(tǒng)一規(guī)劃。在網(wǎng)絡(luò)中，每一個用戶可能具有不同的職能，為了保證網(wǎng)上用戶的相互識別和獨立性，每一個用戶都應(yīng)有一個唯一的用戶賬號，在這個用戶賬號中包含有用戶名稱、登錄密碼以及登錄方法等各項信息。但是，這些具有不同職能的用戶，其使用網(wǎng)絡(luò)資源的權(quán)限有些可能相同，有些可能不同，所以，我們利用“組”（即：用戶組）來分類管理這些用戶賬號，將具有相同資源權(quán)限的用戶納入同一個組來管理。正像每個用戶有唯一的“用戶賬號”一樣，每個組也有唯一的“組賬號”。只要給某一個組進行了權(quán)限設(shè)置，這個組的所有成員就具有與組相同的屬性，即可通過“組賬號”間接地給“用戶賬號”賦予權(quán)限，這比對用戶賬號逐一賦予權(quán)限要方便得多，同時避免了管理上的混亂，同時也大大減輕了管理員的負擔。因此，當組建規(guī)模較大（用戶數(shù)較多）的網(wǎng)絡(luò)時，很有必要對需要登錄服務(wù)器的用戶賬號進行分類管理和規(guī)劃。建議先制作一個表格，將用戶根據(jù)其在網(wǎng)絡(luò)中享有權(quán)限的不同來分類歸檔，然后運用組的功能，分別管理這些用戶賬號。在WindowsServer2016網(wǎng)絡(luò)中，如果采用活動目錄，那么可以直接在域的“users”組織單位中設(shè)置全域的用戶賬號。但為了管理和查找的方便，最好首先建立域的其他組織單位（如“電子與通信系”、“軟件與大數(shù)據(jù)系”等），然后在對應(yīng)的組織單位中再去建立用戶賬號和計算機賬號。以便于將來對用戶賬號和計算機賬號的各種操作。2）新建用戶賬號當有新的用戶需使用網(wǎng)絡(luò)上的資源時，作為網(wǎng)絡(luò)管理員必須在域控制器中為其添加一個相應(yīng)的用戶賬號，否則該用戶無法訪問域中的資源。另一方面，當有新的客戶計算機要加入到域中時，作為管理員的用戶必須在域控制器中為其創(chuàng)建一個計算機賬號，以便它有資格成為域成員。當成功創(chuàng)建一個用戶賬號后，WindowsServer2016Server會隨機自動分配一個SID（SecurityIdentifier，安全識別碼）給該用戶賬號。用戶賬號的SID同時具有唯一性和永久性。即在同一網(wǎng)絡(luò)中，SID不可能重復，即使用戶賬號已被刪除，其SID仍然會被永久保留；如果賬號刪除后又建立了一個同名賬戶，由于SID的不同，新建的賬戶也不可能擁有與以前同名賬戶的權(quán)限。以下將分步介紹用戶賬號的建立過程。（1）選擇“開始”→“Windows管理工具”→“ActiveDirectory管理中心”，打開“ActiveDirectory管理中心”窗口，如圖15-10所示。圖15-10ActiveDirectory管理中心（2）為了便于管理，我們先建立一個“電子與通信系”的組織單位，在圖15-10中右單擊“SDCIT（本地）”，選擇“新建”→“組織單位”，如圖開圖15-11所示。圖15-11創(chuàng)建組織單位打開新創(chuàng)建的組織單位“電子與通信系”，在右部的空白處單擊鼠標的右鍵，選擇“新建”→“用戶”（或單擊右部的“新建”→“用戶”），將出現(xiàn)圖15-12所示的對話框。在該對話框中，你可以按照提示輸入新建賬號的有關(guān)信息，包括用戶的姓、名、英文縮寫、姓名、用戶UPN登錄、用戶的注釋信息等。注意：用戶UPN登錄不能超過20個字節(jié)（10個漢字），而且不能包含/\[]:;|=,+<>？等字符。圖15-12用戶屬性在圖15-12的對話框中設(shè)置的密碼不要超過14個字符，原則上密碼可以使用任意字符，不過不建議使用漢字。而且在使用英文字母做密碼時，應(yīng)注意Windows網(wǎng)絡(luò)對密碼的驗證處理是大小寫敏感的。這一點一定要注意，否則從客戶機登錄時，會出現(xiàn)密碼不正確的提示。在WindowsServer2016中，為了保證網(wǎng)絡(luò)的安全性，強制用戶在設(shè)置密碼時必須滿足密碼復雜度的要求：不能包含用戶的賬戶名，不能包含用戶姓名中超過兩個連續(xù)字符的部分；至少有六個字符長；包含以下四類字符中的三類字符:英文大寫字母(A到Z)；英文小寫字母(a到z)；10個基本數(shù)字(0到9)；非字母字符(例如：!、$、#、%)；如果選擇了“用戶下次登錄時須更改密碼”項，系統(tǒng)將會強迫用戶在第一次登錄時更改密碼，否則無法登錄。針對很多安全意識不強而使用缺省密碼的用戶，這是保證用戶賬號安全的必要措施。如果是創(chuàng)建供多人使用的公用賬號，應(yīng)選擇“用戶不能更改密碼”項，否則任何一個用戶更改了密碼后，都將會使其他用戶無法使用該賬號登錄。當“密碼永不過期”一項被選定后，密碼將永久有效。如用戶賬號暫時不用，可選擇“賬戶已禁用”一項，以防止其他用戶利用此賬號登錄。設(shè)置完畢后，單擊“確定”，返回“ActiveDirectory管理中心”，即可創(chuàng)建了一個用戶賬號。3）管理用戶賬號(1)限制用戶登錄的時間憑借新建成的賬號的缺省設(shè)置，用戶可以在任何時間訪問WindowsServer2016服務(wù)器。但在實際的應(yīng)用中，有時需對用戶訪問網(wǎng)絡(luò)服務(wù)器的時間進行限制。例如，許多單位為了禁止用戶在下班后訪問服務(wù)器，對用戶賬號設(shè)置了登錄時間限制。這樣，在下班后，用戶（當然更主要針對盜用別人賬號的非法用戶）將無法登錄，這有利于網(wǎng)絡(luò)系統(tǒng)的安全管理。具體設(shè)置方法是：1、在圖15-10中右單擊已經(jīng)創(chuàng)建的用戶賬號，選擇“屬性”（或選中已有賬號，在右部單擊“屬性”）。在圖15-12中點擊“登錄小時...”。2、在創(chuàng)建新用戶的圖15-12中點擊“登錄小時...”。出現(xiàn)圖15-13所示的“登錄時段”對話框。對話框中藍色的方格表示允許該用戶使用的時間，該方格表示以小時為單位，一個方格代表一小時。藍色表示允許登錄，白色表示不允許登錄。在缺省狀況下，所有方塊均為藍色，即全天24小時都可登錄到WindowsServer2016服務(wù)器。如要設(shè)置在某一時間段內(nèi)不允許用戶訪問服務(wù)器時，只要用鼠標選中要限制的時段（按住鼠標左鍵，從起始時間格拖至結(jié)束時間格），再單擊“拒絕登錄”按鈕（此時所選時段應(yīng)全部變?yōu)榘咨?，即可限制該用戶賬號在該時段內(nèi)不能登錄；若選擇某時間段后，單擊“允許登錄”按鈕，則該時間段允許用戶登錄。在下圖中表示的是用戶wanglizheng能夠登錄網(wǎng)絡(luò)的時間是周一到周五的8:00到18:00，在其他時間段被禁止登錄網(wǎng)絡(luò)。需要特別指出的是，用戶賬號登錄時段的改變要在該用戶下次登錄時才生效，并不能實時地終止已登錄到WindowsServer2016服務(wù)器用戶的網(wǎng)絡(luò)連接。因此網(wǎng)絡(luò)系統(tǒng)管理員應(yīng)該在用戶當日用戶第一次登錄之前，完成對其賬號登錄時段的修改。圖15-13登錄小時數(shù)(2)限制用戶的登錄地點一個新用戶建成后，系統(tǒng)默許他可以在任何一臺工作站上登錄，但是為了保證網(wǎng)絡(luò)以及資源的安全性，必要時你可以設(shè)置讓其從指定的工作站登錄。例如銀行的柜臺終端，由于其操作員位置一般不允許隨意移動，因此將其鎖定到只能從特定終端登錄就顯得非常重要；而像部門主管之類的對業(yè)務(wù)擁有較高權(quán)限、工作地點范圍又相對固定的用戶，可以將其登錄地點分別設(shè)置到該部門主管所轄的電腦終端上，為各部門主管協(xié)同工作提供便利；而系統(tǒng)管理員(Administrator)由于其工作的特殊性，要求他必須能在任何時候、從任何位置對整個網(wǎng)絡(luò)進行訪問、管理，因此，限制系統(tǒng)管理員登錄地點的設(shè)置是不明智的。用戶登錄地點的設(shè)置方法與設(shè)置用戶登錄時間的方法類似，在圖15-12“用戶賬戶屬性”對話框中的單擊“登錄到”按鈕，此時出現(xiàn)圖15-14所示的“登錄到”對話框。這兩行提示信息意義為“所有計算機”登錄和“下列計算機”登錄。當選擇了用戶從指定的計算機登錄時，只要將代表該計算機的計算機名稱（可以是計算機的NetBIOS名稱或DNS名稱）輸入后單擊“添加”即可（切記計算機名稱前不能出現(xiàn)斜杠符“\”），每輸入一個計算機名稱后單擊“添加”按鈕，全部完成后單擊“確定”按鈕。如果禁止用戶從某臺計算機登錄網(wǎng)絡(luò)，選中該計算機，單擊“刪除”即可。圖15-14登錄到(3)設(shè)置用戶賬號信息在圖15-12中可以對所選定的用戶賬號進行有效期限和賬號類型等信息的設(shè)置。對話框中“賬戶過期”下方的“從不”一項，表示該用戶賬號除非被網(wǎng)絡(luò)管理員刪除，否則可被無限期使用；“賬號過期”下面的“結(jié)束日期”并輸入了限定時間后，該賬號只在期限所規(guī)定的時間內(nèi)有效，過了時間，該賬號就自動失效。一般用于對一些臨時賬戶的處理，例如，學生在校期間可以正常使用校園網(wǎng)中的賬戶，學生畢業(yè)后賬戶就失效，這也是保障安全性的一種措施。為了保證安全性，用戶不應(yīng)該使用默認密碼，所以密碼選項為設(shè)置“用戶下次登錄時須更改密碼”。對于公共賬戶，密碼選項應(yīng)該設(shè)置為“密碼永不過期”“用戶不能更改密碼”以防任何一個人修改了密碼，導致其他網(wǎng)絡(luò)用戶無法登錄網(wǎng)絡(luò)的情況。(4)修改用戶賬號在用戶賬號的使用中，可根據(jù)不同時間或不同環(huán)境的需要，對賬號的屬性進行必要的修改，WindowsServer2016Server允許你一次修改一個或多個用戶賬號的屬性。一次修改一個賬號的屬性。在圖15-12中雙擊要修改賬號的用戶名，執(zhí)行類似新建用戶賬號的操作，修改有關(guān)賬號的屬性。(5)用戶賬號的刪除當某些賬號不再使用時，出于對系統(tǒng)安全的考慮，應(yīng)及時將其從域中刪除。操作中可右單擊選中的賬戶，對所選定的一個或多個賬號進行刪除。一個用戶賬號被刪除后，如果再建立一個同名的賬號，該賬號不會繼承前一個被刪除賬號的屬性和權(quán)限，這是因為WindowsServer2016會給不同時期建立的每一個賬號分配一個固定的SID。4）創(chuàng)建計算機賬號每個加入WindowsServer2016域的WindowsServer2016和其他計算機都具有計算機賬號，否者無法進行域連接，實現(xiàn)域資源的訪問。與用戶賬號類似，計算機賬號也提供驗證和審核計算機登錄到網(wǎng)絡(luò)以及訪問域資源的方法。不過，一個計算機系統(tǒng)要加入到域中，只能使用一個計算機賬號，而一個用戶可擁有多個用戶賬號，且可在不同的計算機（指已經(jīng)連接到域中的計算機）上使用自己的用戶賬號進行網(wǎng)絡(luò)登錄。在圖15-10ActiveDirectory管理中心的“Computers”上單擊鼠標的右鍵，選擇“新建”→“計算機”，將出現(xiàn)圖15-15所示的對話框。圖15-15計算機賬戶在圖15-15中輸入計算機的名稱然后單擊“確定”即可。需要注意的是，建立的計算機賬號在整個域中必須是惟一的。關(guān)于計算機賬號的刪除、更名等操作，與用戶賬號的操作相同。5）組與組織單位組是WindowsServer2016從WindowsNT系統(tǒng)繼承下來的安全管理形式，它是指活動目錄或本地計算機對象，包含用戶、聯(lián)系人、計算機和其他組等。在WindowsServer2016網(wǎng)絡(luò)中，組可以用來管理用戶和計算機對網(wǎng)絡(luò)資源的訪問，例如活動目錄對象及其屬性、網(wǎng)絡(luò)共享、文件、目錄、打印機隊列。使用組，主要是為了方便管理訪問目的和權(quán)限相同的一系列用戶和計算機賬號。網(wǎng)絡(luò)管理員在賦予用戶或計算機賬號權(quán)限時，如果它們的權(quán)限各不相同，必須分別為它們設(shè)置；但是，如果它們的權(quán)限相同，還要分別進行設(shè)置，就多做了許多重復性工作。有了組的概念之后，就可以將這些具有相同權(quán)限的用戶或計算機劃歸到一個組中，使這些用戶成為該組的成員，然后通過賦予該組權(quán)限來使這些用戶或計算機都具有了相同的權(quán)限，這就大大減輕了作為管理員的用戶的賬號管理工作。組織單位(OrganizationalUnit,簡稱OU)是域中包含的一類目錄對象，它包括域中一些用戶、計算機和組、文件與打印機等資源。不過，組織單位不能包含其他域中的對象。由于目錄服務(wù)可以把域詳細地劃分成多個組織單位，且組織單位中還可以再劃分下級組織單位，因此組織單位的分層結(jié)構(gòu)主要用來建立域的分層結(jié)構(gòu)模型，使網(wǎng)絡(luò)結(jié)構(gòu)看起來更清晰。組織單位具有繼承性，子組織單位能夠繼承父組織單位的訪問許可權(quán)。網(wǎng)絡(luò)管理員可使用組織單位來創(chuàng)建管理模型。而且，網(wǎng)絡(luò)管理員可授予用戶對域中所有組織單位或單個組織單位的管理權(quán)限。注意：組和組織單位有很大的不同。組主要用于權(quán)限設(shè)置，而組織單位則主要用于網(wǎng)絡(luò)結(jié)構(gòu)的管理；另外，組織單位只表示單個域中的對象集合（可包括組對象），而組可以包含用戶、計算機、本地服務(wù)器上的共享資源。雖然系統(tǒng)提供了許多內(nèi)置組用于權(quán)限和安全設(shè)置，但是它們并不能滿足特殊安全和靈活性的需要。所以，要想很好的管理用戶賬號和計算機賬號，必須根據(jù)網(wǎng)絡(luò)情況創(chuàng)建一些新組。新組創(chuàng)建之后，就可以像使用內(nèi)置組一樣使用它們，賦予權(quán)限和進行組成員的添加。另外，在域中合理地添加和安排組織單位，不但方便了管理員對域中賬號和組的管理，而且還有利于網(wǎng)絡(luò)的擴展。要創(chuàng)建新組，在控制臺目錄樹中，展開域節(jié)點。右單擊要進行組創(chuàng)建的組織單位或容器，從彈出的快捷菜單中選擇“新建”→“組”，打開如圖15-16所示的“創(chuàng)建組：”對話框，在“組名”文本框中輸入要創(chuàng)建的組名。在“組范圍”選項區(qū)域中，通過單選按鈕來選擇組的作用域；在“組類型”選項區(qū)域中，通過選擇單選按鈕來選擇新組的類型。單擊“確定”按鈕即完成組的創(chuàng)建。圖15-16創(chuàng)建組一個新組被創(chuàng)建好之后，系統(tǒng)并沒有設(shè)置該組常規(guī)屬性和權(quán)限，也沒有為其指定組成員，該組幾乎不發(fā)揮任何作用。如果要充分發(fā)揮組對用戶和計算機賬號的管理作用，用戶必須設(shè)置該組的屬性。要設(shè)置組屬性，可參照下面的步驟。(1)右單擊要添加成員的組，從彈出的快捷菜單中選擇“屬性”或雙擊需要添加成員的組，打開該組的屬性對話框。(2)為了便于管理，在“描述”和“注釋”文本框中分別輸入有關(guān)該組的描述和注釋；如果要修改組名稱，輸入新的組名稱；為了便于組管理員同組成員交換信息，在“電子郵件”文本框中輸入組管理員的電子郵件地址。(3)在“成員”選項單擊“添加”，如圖15-17所示。要添加成員，單擊“添加”按鈕，打開“選擇用戶聯(lián)系人或計算機”對話框選擇要添加的成員。要刪除組成員，在“成員”列表框中選擇要刪除的組成員，然后單擊“刪除”按鈕即可。圖15-17添加組成員(4)因為用戶主要是通過向新組添加內(nèi)置組來設(shè)置新組的權(quán)限的，所以要設(shè)置組權(quán)限，在圖15-18組屬性對話框的“擴展”部分中單擊“添加”按鈕，打開“選擇組”對話框，為自己創(chuàng)建的組選擇內(nèi)置組。要刪除某個組權(quán)限，在“