第2章活动目录服务祥解.ppt

2.2 部署Active Directory目录服务 2.2.5 域控制器的管理 提升域功能级别 Windows 2000混合 Windows 2000纯模式 Windows Server 2003（临时） Windows Server 2003 删除（降级）域控制器 如果该域有子域，则不能将它删除 降级域中最后一个域控制器将使该域从树林中删除 降级林中的最后一个域控制器将删除林 2.2 部署Active Directory目录服务 2.2.6 域成员计算机的配置与管理 将计算机加入到域 Windows 2000及更高版本的计算机可作为域成员加入到域 将独立服务器加入到域 将工作站加入到域 2.2 部署Active Directory目录服务 2.2.6 域成员计算机的配置与管理 域成员计算机登录到域 使用UPN用户名“用户名@域名”和密码登录到域 使用SAM账户名称和密码登录到域 2.2 部署Active Directory目录服务 2.2.6 域成员计算机的配置与管理 让域成员计算机退出域 将域成员计算机重新加入工作组即可 2.3 管理和使用AD对象和资源 2.3.1 了解Active Directory对象 Active Directory对象的特性 每个对象具有全域唯一标识符（GUID） 每个对象有一份访问控制列表（ACL），记载安全性主体访问权限 对象具有多种名称格式，具体名称类型见下表 wang Windows NT域登录名称 SAM wang@ Windows 2000/2003域登录名称 UPN /sales/wang AD管理工具使用的名称 AD规范名称 cn=wang,ou=sales,dc=abc,dc=com LADP唯一识别名称 LDAP DN cn=wang LADP相对识别名称 LDAP RDN S-1-5-21-1292428093-725345543 标识用户、组和计算机账户的唯一号码 SID（安全标识符） 示例 说明 对象名称 2.3 管理和使用AD对象和资源 2.3.1 了解Active Directory对象 Active Directory对象主要类别 用户（User） 计算机（Computer） 联系人（Contact） 组（Group） 组织单位（Organization Unit） 打印机（Printer） 共享文件夹（Shared Folder） InterOrgPersion 2.3 管理和使用AD对象和资源 2.3.2 管理域用户账户 域用户账户在域控制器上建立，又称AD用户账户 域用户账户存储在目录数据库中，可实现统一的安全认证 Windows Server 2003内置域用户账户 Administrator（系统管理员账户）和Guest（来宾账户） 域用户账户有一个用户登录名、一个Windows 2000以前版本的用户登录名（SAM）和一个用户主要名称后缀 2.3 管理和使用AD对象和资源 2.3.3 管理计算机账户 计算机账户提供验证和审核计算机访问网络及域资源的方法 每个运行Windows NT/2000及更高版本的计算机在域中都有一个计算机账户 将计算机加入到域时自动添加相应的计算机账户 可在域控制器上创建计算机账户 2.3 管理和使用AD对象和资源 2.3.4 管理组 组的基本特性 组可跨越组织单位或域 组可作为安全主体，与用户、计算机一样被授予权限 组为非容器对象，组成员与组之间没有从属关系 组的作用域 通用组 全局组 本地域组 组的类型 安全组 通信组 2.3 管理和使用AD对象和资源 2.3.4 管理组 默认组 创建域时自动创建的安全组称为默认组 默认组被自动指派一组用户权利 默认组位于“Builtin”容器和“Users”容器中 创建与管理组 将成员添加到组中 定位到组，再选择成员加入到该组中 定位到成员，再选择成员加入到组中 2.3 管理和使用AD对象和资源 2.3.5 管理组织单位 组织单位是指派组策略设置或委派管理权限的最小作用域 组织单位可包含组，但是组不能将组织单位作为成员 组可作为安全主体，被授予权限，而组织单位不行 2.3 管理和使用AD对象和资源 2.3.6 设置AD对象访问控制权限 每个AD对象都有一个访问控制列表，记录安全主体（用户、组、计算机）对其读取、写入、审核等访问权限 在域中访问控制是通过为对象设置不同的访问级别或权限，在对象级别进行管理的 2.3 管理和使用AD对象和