网管宝典2.ppt

第2章 用户和组管理;2.1 Windows Server 2003本地用户和组; 1．本地用户和组账户概述 下列客户端和服务器操作系统上可以使用“本地用户和组”： 运行Windows 2000/XP Professional系统的客户端计算机。 运行Windows 2000 Server/Server 2003家族系统的成员服务器。 运行Windows 2000 Server/ Server 2003家族系统产品的独立服务器。2．默认本地用户账户 在安装运行Windows Server 2003的独立服务器或成员服务器时，会自动创建上面图中所示的默认用户账户。Windows Server 2003服务器上的所有默认的本地用户账户如书中表2-1所示。2．默认本地用户账户 在安装运行Windows Server 2003的独立服务器或成员服务器时，会自动创建这些默认用户账户。Windows Server 2003服务器上的所有默认的本地用户账户如表2-1所示。3．默认本地组账户 Windows Server 2003系统中默认本地组的描述及为每个组指派的用户权利如书中表2-2所示。 ;2.1.2 本地组的默认安全设置 ; Power Users可以执行除了为Administrators组保留的任务外（如把用户或组添加到Administrators组中，查看和编辑组策略，查看和修改安全策略等那些将影响整个计算机系统环境和安全的任务）的其他任何操作系统任务。分配给Power Users组的默认权限允许Power Users组的成员修改整个计算机的设置。3．Users（普通用户组） Users组是最安全的组，因为分配给该组的默认权限不允许成员修改操作系统的设置或用户资料4．Anonymous（匿名登录）组 对Windows XP Professional和Windows Server 2003家族而言，Anonymous组不再是Everyone组的成员，所以要允许匿名用户具有某项权限，就必须手动添加，明确分配。 5．其他组 除了以上介绍的默认本地组之外，还有一些默认组是不常用的，而且有些也只是在特定的应用和环境下才出现的，它们包括： 交互（Interactive）组 网络（Network）组 终端服务器用户（Terminal Server User）组 Backup Operators组本节具体内容参见书中介绍。;2.2 域用户和组 ; 在Active Directory中，每个用户账户都有一个用户登录名、一个Windows 2000以前版本的用户登录名（安全账户管理器SAM的账户名）和一个UPN后缀。在创建用户账户时，管理员输入用户登录名，并选择UPN后缀。Active Directory建议Windows 2000以前版本的用户登录名使用此用户登录名的前20个字节。管理员可以随时更改Windows 2000以前版本的登录名，也就是说这个登录名可以与Active Directory中的用户登录名不一样。 2．计算机账户 在Active Directory中创建的每个计算机账户都有一个相对可分辨名称、一个Windows 2000以前版本计算机名（安全账户管理器的账户名）、一个主DNS后缀、一个DNS主机名和一个服务主体名称（SPN）。 Active Directory建议Windows 2000以前版本的名称使用相对可分辨名称的前15个字节。管理员可以随时更改Windows 2000以前版本的名称，也就是说这个计算机名可以与Active Directory中的可分辨名称不一样。以上具体内容参见书中介绍。 ;2.2.2 域默认用户账户类型 ;2.2.3 域组账户 ;2.2.4 组作用域 ; 3．使用组作用域的情形 1）何时使用具有本地域作用域的组 具有本地域作用域的组将帮助用户定义和管理对单个域内资源的访问。这些组可将以下组或账户作为它的成员：具有全局作用域的组，具有通用做用域的组，账户，具有本地域作用域的其他组，以及上述任何组或账户的混合体。 2）何时使用具有全局作用域的组 使用具有全局作用域的组管理那些需要每天维护的目录对象，如用户和计算机账户。 3）何时使用具有通用做用域的组 使用具有通用做用域的组来合并跨越不同域的组。可以将账户添加到具有全局作用域的组并且将这些组嵌套在具有通用做用域的组内。 4．更改组作用域 创建新组时，在默认情况下，新组配置为具有全局作用域的安全组，而与当前域功能级别无关。在域功能级别设置为Windows 2000混合