Windows Server 2012R2 AD域控 辅助域 只读域 子域

Windows Server 2012R2 域与活动目录介绍

2018年8月20日

14:11

  1. 域与活动目录

什么是域

域(Domain)是Windows网络中独立运行的单位,域之间相互访问则需要建立信任关系(Trust Relation)。信任关系是连接在域与域之间的桥梁。当一个域与其他域建立了信任关系后,两个域之间不但可以按需要相互进行管理,还可以跨网分配文件和打印机等设备资源,使不同的域之间实现网络资源的共享与管理。

为什么需要域

如果资源分布在N台服务器上,那么用户需要资源时就要分别登陆这N台服务器,也就需要N个账号。一个用户如此,那M个呢,管理员也就需要给他们创建N*M个账户,这样不仅负责而且难管理。

有了域,管理员只需要给每个用户创建一个域用户,用户只需在域中登陆一次就可以访问域中的资源,实现了单一登陆。

用户信息是存放在域中的域控制器(DC,Domain Controller)上,上图中,可以在服务器中选定一台或者几台服务器作为域控制器。有多台域控制器时,各个域控制器是平等的,每个域控制器上都有所在域的全部用户的信息,域控制器之间需要同步这些信息。而其它不适域控制器的服务器仅仅是提供资源。

什么是活动目录

活动目录(Active Directory)是Windows 2003Server平台提供的目录服务。在中央数据库中存放信息,使用户在网络上只拥有一个用户账号。目录是存储各种对象的一个物理上的容器,目录服务是使目录中所有信息和资源发挥作用的服务。

信息的安全性大大增强,引入基于策略的管理,使系统的管理更加明朗,具有很强的可扩展性、可伸缩性、智能的信息复制能力,与DNS集成紧密、与其他目录服务具有互操作性、具有灵活的查询。

活动目录逻辑结构:域、组织单元、树、林。

域控制器(DC,Domain Controller)上存放着域中所有用户、组、计算机等信息(实际上域控制器存放的信息还不止这些),域控制器把这些信息存放在活动目录中。

活动目录和DNS 的关系

在TCP/IP网络中,DNS(Domain Name System)是用来解决计算机名字和IP地址的映射关系的,活动目录和DNS是紧密不可分的,活动目录使用DNS服务器来登记域控制器的IP、各种资源的定位等,在一个域林中至少要有一个DNS服务器存在,所以安装活动目录时需要同时安装DNS。此外,域的命名也是采用DNS的格式来命名的。

  1. 活动目录与组织单元

?  对象:用户、计算机、打印机、组等等。每个对象都有自己的属性以及属性值。

?  组织单元(OU,Organization Unit):组织单元是用来把对象按逻辑进行分组,便于管理、查找、授权和访问。组织单元只表示单个域中的对象集合(可包括组对象)组织单元具有继承性,子单元能够继承父单元的acl。同时域管理员可授予用户对域中所有组织单位或单个组织单位的管理权限。就像一个公司的各个部门的主管,权力平均化能更有效的管理。

Windows Server 2012R2 域与活动目录项目搭建

2018年8月25日

9:14

  • 安装并配置域

?  活动目录设计

} 域名与控制器的安装位置

n  中小企业,为简单起见,在网络中只安装一个域控制器

n  域的名字应该和DNS域名一样,为:DCServer.network.com

n  其它所有计算机加入到域中

} 组织单元的设计

n  我们这里根据公司的行政架构来设计OU

n  各部门的用户、组、计算机、打印机等均放到对应的组织单元上

实验拓扑图

实验用VMware Workstation Pro虚拟机来模拟服务器和客户机,虚拟机之间采用内部网络的网络连接方式,其中SUBDCServer充当域成员服务器服务器,DCServer和RODCSever(系统Windows Server 2012r2)为域控制器。

DCServer:

更改主机名:

  • 安装AD域控和DNS服务器。

  • 下一步直至安装。

  • 提升为域控制器。

  • 选择添加林。(因要求来定域名)

  • 输入密码,域控密码,用于域控降级,删除使用。

  • 下一步,直到安装。

  • 安装好重启计算机,由于活动目录的存在。启动时间会变长,发现建立好的域NETWORK。

  • 在域控控制器上登录时,只能以域中的用户登录。虽然用户名仍然为Administrator,但Administrator是域用户。(该图在工具内Active Director用户和计算机)。

  • 把客户机(服务器)加入域中

    a. 三种角色: 域控制器,成员服务器和独立服务器。

    b. 服务器的这个三个角色可以发生改变。

SUBDCServer:

  • 打开电脑右键属性。

  • 更改设置,

  • 点击更改。

  • 设置主机名和域名加入域控,输入账号密码。账号默认Administrator。

  • 加入成功,重启电脑。

  • 重启之后,打开计算机属性。

  • 在DCServer域控制上可以查看到。

  • 把服务器(计算机)从域中脱离

  • 安装活动目录后的变化

    使用"Active Drirectory用户和计算机"工具来管理用户和组。

    a.创建一个网络部组织单元,内有用户一,用户登录名为user1@network.com,密码为network.com,登录目标client。

    b. 创建一个业务部组织单元,内有用户二,用户登录名为user2@network.com,密码为network.net登录段早上八点到晚上六点。

  • 打开DCServer上Active Drirectory用户计算机。

  • 右键创建组织单位。

  • 右键创建用户。

  • 用户登录名。

  • 选择用户不能更改密码和密码永不过期。密码为network.com

  • 点击查看,选择高级功能。

  • 打开网络部,右键选择用户选择属性。

  • 点开账户,点击登录到,添加登录目标client。

  • 点击添加,选择client,确定。

b. 创建一个业务部组织单元,内有用户二,用户登录名为user2@network.com,密码为network.net登录段早上八点到晚上六点。

  • 同上创建组织单位,名称为业务部。

  • 点开账号,点击登录时间。

  • 点击星期一到星期日早上八点到之前拒绝登录,晚上六点之后拒绝登录

  • 创建子域。

创建子域通常用于以下几种情况:

  • 一个已经从公司中分离出来的独立经营的子公司。
  • 有些公司的部门或小组基于对特殊技术的需要,而与其他部门相对独立的运行。
  • 基于安全的考虑。

创建子域的好处主要用以下几个方面。

  • 便于管理自身的用户和计算机,并允许采用不同于父域的管理策略。
  • 有利于子域资源的安全管理。

在父子域环境中,由于父子域间会建立双向可传递的父子信任关系,因此父域用户默认可以使用子域的计算机;同理,子域用户也可以使用父域的计算机。

  • 将RODCServer加入到域里面。

  • 安装Active Drirectory域服务和DNS服务。

  • 选择下一步,直到安装。

  • 点击提升为域控制器。

  • 选择第二个输入新域名RODCServer,并点击更改输入域用户和密码,默认administrator。

  • 设置域管理密码,点击下一步到安装为止。

  • 点击安装。

  • 打开ActiveDirectory域信任关系,点击network.com右键属性。

  • 点击信任查看。

  • 在RODCServer上创建目录。

  • 右键属性,点击安全。

  • 选择第一个,点击编辑,点击确定。

  • 选择高级。

  • 选择位置。

  • 权限不仅仅可以给域中的用也可以给林中的用户。

  • 只读域控,辅助域控。

    只读域控制器(Read-only Domian Controller,RODC)的AD DS数据库只可以被读取,不可以被修改,也就是说用户或应用程序无法直接修改RODC的AD DS数据库。RODC的AD DS数据库内容只能够从其他可读写的域控制器复制过来。 RODC主要设计给远程分公司网络来使用的,因为一般来说远程分公司的网络规模比较小,用户人数较少,此网络的安全措施或许并不如总公司完备,也可能缺乏IT技术人员,因此采用RODC可避免因其AD DS数据库被破坏影响整个AD DS环境。

    辅助域控制器,在主域控不工作的事情下,辅助可以顶替他继续工作。

  • 先将SUBDCServer加入,network域中。

  • 安装Active Drirectory域,并提升为域控制器。

  • 选择将域控添加到现有的域。

  • 点击更改输入域控用户和密码。

  • 选择只读域控做只读域控制器,不勾选只读,做辅助域控。输入密码还原模式密码。
  • 默认选择下一步,选择DCServer.network.com
  • 选择下一步到安装。

Windows Server 2012R2 域与活动目录知识点总结

2018年8月25日

9:30

  • 活动目录概述

    目录:存储以某种方式相关联的对象的信息集

    目录服务:用户通过其提供的服务来使用目录中的信息

    目录服务功能:组织网络中的资源,提供对资源的管理,对资源的控制

    功能:组织,管理,控制

    适用范围:便于用户查找、管理和使用这些资源

    • 小型网络:UNC路径(一般不使用AD)
    • 大型网络:难以确定资源位置、名称
    • 所以需要目录服务快速定位资源
      • 对用户透明、高效
      • 不需要知道资源的物理位置,如何连接、

      目录服务的逻辑结构: 域(domain)

      域树(domain tree)

      森林(forest)

      组织单元(OU)

    目录服务的物理结构: 站点(site)

    域控制器(domain controller)

    操作主机(operation master)

    域:

    域是活动目录中逻辑结构的核心单元,是一个有安全边界的计算机集合。一个域包含许多计算机,它们由管理员设定,共用一个目录数据库,一个域有一个唯一的名字。

    容器与OU:

  • 容器与对象相似,有自己的名称,也是一些属性的集合。容器可以包含其它的对象,也可以包含其它的容器。OU是AD中的一个特殊的容器,他可以包含对象、OU和组策略。
  • OU 可以把对象组织到一个逻辑结构中,使其能最佳适应组织的需要。
  • 委派 OU 的管理控制权,必须把 OU 及 OU 包含对象的具体的权限指定给一个或几个用户和组。

    看图写DN

    Administrator@yinheedu.com UPN的认识。

  • 快照准备(无内容)
  • 管理域账户和组

    账户类型:计算机账户,用户账户,组账户

    用户账户UPN理解

    建立UPN好处:

  • 由于UPN的格式与电子邮件帐户相同,所以可以让用户不论是登录域或收发电子邮件,都可以使用一致的名称。
  • 如果域内有很多子域,则域名很长,如sales.north.abc.com,所以当用户登录域的时候名字就会太长,所以可以通过创建UPN后缀来减少长度,便于记忆

    管理域账户的几种方式:ad管理中心,ad用户和组,目录服务工具,csvde,ldifde

    域组的类型:通讯组(仅作电子邮件组,么有启用安全特性),安全组

    域组作用域的分类:域本地组,全局组,通用组(三个域组的理解)

    域组的嵌套:A,G,DL,P为主理解各种嵌套

  • 管理信任关系

    访问令牌:

    当用户登录到某台计算机,在验证用户帐号和密码无误外系统会为该用户建立一个"访问令牌"(access token),其包含该用户的SID和用户所属组的SID。用户拿到"访问令牌"后系统会根据令牌中的SID去决定用户对特定资源拥有哪些访问权限。

    信任关系理解:

    信任种类:

    安全设置

  • 组策略之桌面管理

    组策略作用:

    方便地管理AD中的计算机和用户

    账户策略的设定

    本地策略的设定

    脚本的设定

    用户桌面环境

    计算机启动/关机与用户登录/注销时所执行的脚本文件

    文件夹重定向

    软件分发

    应用组策略的前提条件

  • 组策略只能管理AD中的计算机和用户
  • 只能针对整个站点、域或组织单位来设置组策略
  • 要使用组策略,必须有相应的管理权限
  • 组策略只适用于Windows 2000以上操作系统的计算机

    组策略结构:

  • 组策略的设置数据皆保存在GPO中
  • GPO链接至SDOU(Site、Domain、Organized Unit)
  • GPO管理SDOU中的计算机和用户

    GPO与SDOU间的链接关系

原文地址:https://www.cnblogs.com/zsbgy/p/9747021.html

时间: 2024-10-26 02:10:07

Windows Server 2012R2 AD域控 辅助域 只读域 子域的相关文章

在windows server 2012R2为DNS创建辅助区域

1.在DNS01中打开服务器管理器,点击工具,选择DNS 2.因为我们要在DNS01上配置区域woodgrebebank.com传送到DNS02 ,所以右击要传送的区域woodgrobebank.com选择属性 3.选择区域传送,在按下图步骤配置 4.输入DNS02 的IP地址,然后点击确定,(此时报错可以不用理它) 5.点击应用确定 6.在DNS02中打开DNS管理器,右击正向查找区域,点击新建区域 7.向导中点击下一步 8.选择辅助区域,然后点击下一步 9.输入传送的区域名称,也就是刚才的w

Windows Server 2012 AD 站点和域部署系列(一)部署准备工作

本系列开始将模拟搭建一套(单林.多站点.多域树.多辅域.多子域)拓扑实验环境,希望通过此系列的实验,可以让你对域和站点有进一步的了解和认知. 首先进入Windows Server 2012 AD 站点和域部署系列(一)部署前的准备工作: 物理结构: 本实验模拟三个物理点:北京.广州.上海,根据物理点位置关系创建三个站点:BJ.GZ.SH. BJ站点子网:  172.16.10.0/24, GZ站点子网:  172.16.29.0/24, SH站点子网:  172.16.28.0/24. 下图为物

Windows Server 2012 AD域管理创建

前言 关于AD域管理及其权限划分概论: 1. AD域源于微软,适用于windows,为企业集中化管理和信息安全提供强力保障. 2. 提供域中文件夹共享,但同时又对不同用户有不用的权限. 3.通过对设备限制USB接口,网络访问特定网站来实现对企业内部信息的保护和防止流失. 4.个人文件夹可以重定向到服务器文件夹上,实现真正的在同一个域中使用者数据不受固定PC限制既数据跟随用走. 5.用户的权限不需要定制,只需要加入若干个带有不同权限属性的固定组就可以获得相应的权限功能. 我们按照下图来创建第一个林

windows server 2008R2 AD域用户UPN名称还原

windows server 2008R2 AD域用户UPN名称还原 今天在一个用户环境碰到一个非常奇怪的事情,4000多个账户UPN名称全部都为空,和客户沟通后得知是大概禁用过邮箱,不太确定是不是因为那个原因引起的,分析得知可能是由于删除过Exchange邮箱,把AD账户都误删了,误删后通过第三方的AD恢复软件把AD账号都恢复回来了,造成UPN名称都丢失了,具体情况见下图: 我们通过以下步骤把这些UPN名称还原 步骤1. 导出对应的AD账号列表名单为csv文件,命令如下: Get-ADUser

windows server 2008额外域控提升为主域控

windows server 2008额外域控提升为主域控 ---图形界面操作方法 https://blog.csdn.net/tladagio/article/details/79618338 windows server 2008额外域控提升为主域控 ---命令行界面操作方法 https://blog.csdn.net/tladagio/article/details/79631388 本文转自https://blog.csdn.net/saga_gallon/article/details

Windows Server 笔记(六):Active Directory域服务:额外域控制器

额外域控制器: 额外域控制器是指除了第一台安装的域控制器(主域控制器)意外的所有域控制器: 那么额外域控制器有什么好处呢? 1.可以提供容错.即一台DC出问题后,另一台仍可以可以继续工作,提供服务: 2.提高用户登录效率.多台域控可以分担用户审核,加快用户登录速度: 3.备份.域控制器之间会相互复制,就等于多了一份备份: 1.首先设置好IP配置:这里首选DNS指向自己,备用DNS指向主域:将服务器加入域: 2.选择"添加角色和功能": 3.选择"下一步": 4.选择

windows server 2012r2 快速启动模式部署remoteapp,检查兼容性,显示有挂起的重新启动

windows server 2012r2 快速启动模式部署remoteapp,检查兼容性,显示有挂起的重新启动. 解决方法: HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Session Manager中找到PendingFileRenameOperations,删除 或者删除CurrentControlSet 下的相应表项 ⒈在"开始/运行"中输入Regedit就可打开注册表编辑器,对注册表进行查看或修改 ⒉打开注册表编辑器,在HK

windows server 2012R2数据库的还原

windows server 2012R2 数据库的还原 实例:模拟服务器的崩溃 在实际的工作环境中,由于管理员的误操作和服务器自身的原因会造成数据的破坏或丢失,若是管理员的误操作还可以将备份在本地的数据恢复回来,若是数据库崩溃那数据从本地是恢复不回来的,下面,我们模拟服务器崩溃,在服务器崩溃之前将数据备份到其他服务器上. 模拟服务器: server01是准备要崩溃的服务器              server02是一个全新的,也就是后来盛放数据的服务器 准备工作:准备两块磁盘,一块在serv

windows server 2012R2数据库的备份与还原

windows server 2012R2数据库的备份与还原 实验模拟:北京有一个uec.com 的主服务器,需要在上海创建一个额外域控制器,但上海与北京网络延迟较大,正常复制不成功. 思路:在北京创建一个AD数据库的介质文件,存放AD数据库内的数据,将此介质文件复制到上海的服务器上,在上海利用 介质问价创建额外域控制器. 准备环境: 北京: server 01       IP: 192.168.1.101 上海: server 02       IP: 192.168.1.102 步骤一:在