第15节域

Fighting_hawk

已于 2022-07-01 03:03:53 修改

阅读量5.5k

点赞数 2

分类专栏： # 筑基02：Windows系统服务器文章标签：服务器网络安全

于 2021-12-13 00:29:35 首次发布

本文链接：https://blog.csdn.net/Fighting_hawk/article/details/121886913

版权

筑基02：Windows系统服务器专栏收录该内容

21 篇文章

订阅专栏

本文详细介绍了如何在Windows 2008上部署域环境，包括设置活动目录、网络配置、添加成员机、创建域用户，以及组织单元OU和组策略GPO的运用。重点讲解了组策略的应用，如禁用运行窗口、脚本配置和密码策略等。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

1概述

1.1域的基本概念和分类特点

域：Domain
内网环境分类：
（1）工作组：默认模式，人人平等。
（2）域：不平等，优点：集中管理、统一管理。
查看方式：右键计算机→属性。
域的组成：
（1）域控制器，DC（Domain Controller）一般是服务器，可以设置多个。
（2）成员机，成员机之间平等。
本地管理员组：administrators
域管理员组：Domain admins

1.2部署域核心条件

安装域控制器——就生成了域环境。
安装了活动目录——就生成了域控制器。
活动目录：AD（Active Directory）特点：集中管理、统一管理。放着公司所有公共资源，可建立域账号，域账号可以登录域内所有成员机。AD是DC的核心，因此域也称AD域、活动目录技术。
组策略：GPO，与活动目录配合完成对各成员机的命令下达。建立规则，将规则应用到域账号，要求域内主机仅能用域账号登录
DNS服务器：负责解析域内各主机的域名与IP。与DC完美配合，自动更新区域。

2部署域——以win2008为例。

2.1步骤1：win2008基本设置

开启win2008虚拟机，关闭防火墙。
调出桌面图标。开始→搜索→icon→调出。
设置磁盘分区。

2.2步骤2：网络设置

桥接到VMnet1.
配置静态IP地址.10.1.1.1/24。调出网络适配器设置→右键本地连接→属性→不勾选IPv6，双击进入IPv4。

2.3步骤3：安装活动目录

开始→运行→dcpromo，该命令可安装/卸载活动目录。（卸载需要先将所有域成员剔除回工作组状态，再把自己扁为普通主机）
出现下图提示，说明系统在检测本机是否适合作为域控制器。
合适即弹出安装向导。暂时不适用高级向导，直接点击下一步。
提示系统差异兼容性问题。
DNS相关配置。强烈建议在配置IP的时候不指定DNS服务器，在此处进行设置。
新建域。一般公司只有一个域；较大的公司总部设有一个父域如xxx.com，另外分公司设有子域xx.xxx.com，构成域树；更大的公司总部有父域xx1.com，后因新业务扩展新父域xx2.com，两个或多个域树构成域林。
设置第一个域的名称。程序会自动检查是否已经有林。
设置林功能级别。根据公司规划限制后续域控制器最低功能，本次实验选择2003。
设置域功能级别。此处设置的是本域的功能级别，本次实验设置2008。子域不受此域功能级别控制，但受林功能级别控制。
其他设置，直接点下一步。
提示无法创建，点是。
文件存储位置，不做修改，直接下一步。
账户与密码，此处为活动目录的登录密码（还原密码），与win2008登录密码没有关系，仅当活动目录出现故障时还原使用。
域设置摘要，检查设置是否满足自己要求。
安装中，安装完毕后需要重启电脑。
到此，该计算机已成为DC，原有管理员账号已迁移至活动列表中，自动成为域管理员账户。
登录域。用原来的本地管理员账户密码登录，DC只能用域账户登录，其余成员机可以使用本地账户登录（在组策略允许的情况下），但是不能享受域资源。
计算机属性显示已成为域成员，但是未能反映是否时DC。建议作为DC的主机先将计算机名修改为DC后，在进行活动目录安装。
查看DNS。开始→管理工具→DNS。当有员工注册成为域成员时，将自动更新区域内容。
查看域管理相关工具。其中以AD用户与计算机最为重要，信息显示如下。

2.4步骤4：将winXP与win7加入域

将winXP与win7与域设置在同一局域网下，即VMnet1，配置固定IP。
右键计算机属性→计算机名→更改→加入域。
弹出登录窗口。新用户加入域，需要获取DC许可，使用域管理员账户登录确定。
win7不需要输入域名，直接输入账户即可。
加入成功，重启生效。
在DC上查看活动目录，可以看到新加入的成员机。
DNS区域内容自动更新。

2.5步骤5：创建普通域用户

进入DC，开始→管理工具→AD用户与计算机→右键user→新建。
命名后设置密码，完成。
客户机登录，界面跟服务器登录相似，需要按三键登录。在选项中可以选择登录域或登录本机，可以通过组策略禁止登录本机。

2.6常见小问题

加入域不成功的问题
（1）是否位于同一局域网中，能否ping通？
（2）解析是否能成功？
（3）是否有DNS缓存？
登入域失败的问题
如winxp系统，如果已经勾选了域，账号就不用再写域的前缀。
域用户的权限
在DC中设置的域用户，登入成员机时，仅仅是普通用户，未取得完全控制权限，建议将与用户加入到普通成员机的本地管理员组中。

3组织单元OU

3.1概念

组织单位：OU（organization unit），用于归类域资源方便下发组策略（域用户、域计算机、域组，比如将资源按不同部门分类）。

3.2创建

进入DC，开始→管理工具→AD用户与计算机→右键域名→新建组织单元。
逐层命名建立架构如下。
当人事变动时，其OU也应相应调整。例如将上述设置的李白调整到董事会，在Users中找到李白→右键→所有任务→移动→在OU中选择董事会。回到OU查看详情如下：
同样地，对计算机也可以进行同样的移动操作，方便后续组策略可以对用户和对计算机分别进行限制和操作。
要求某一部门所有用户登录电脑时，均显示集团背景，则该要求跟着用户走，在那登陆都显示集团背景；要求某一部门所有电脑登录时，均显示集团背景，则该要求跟着计算机走，无论谁登录都显示集团背景。

4组策略GPO

4.1概述

GPO（Group Policy）
作用：通过组策略可以修改计算机的各种属性，如开始菜单、桌面背景、网络参数、登录密码复杂性等。
组策略在域中，是基于OU来下发的。
组策略有针对计算机与针对用户两种，针对计算机的策略将在开机和关机时执行，针对用户的策略在登录与注销时执行。

4.2设置策略步骤

进入DC，开始→管理工具→组策略管理→右键QQ集团→在这个域中创建GPO并在此处连接→命名建议域该OU一致。
对每一级别均设置一个组策略。
DC机上设置共享文件夹，方便各个成员机在组策略需要时下载所需要的文件。在DC中→D盘→新建文件夹share→该文件夹应保证所有域用户都能访问→右键该文件夹→共享→设置共享权限。
对该文件夹的安全权限，添加domain users组，并确保赋予读取下载的权限。
绘制QQ背景图，并存于share文件夹下，确保其扩展名是组策略所允许的jpg或bmp的格式。
将所有域用户同一设置背景图片。右键QQ集团组策略→依次展开→找到桌面壁纸→双击打开。
点击已启用，在图纸名称栏填写网络地址+文件名+后缀。确定。
使用域用户登录winxp，查看桌面背景，域组策略执行成功。
对董事会组策略设置背景加上CEO后缀，类似操作设置。
确保账户李白是位于董事会组下，重启电脑查看桌面变化。该策略与域组策略冲突，覆盖原策略执行。
强制执行的设置，右键QQ集团组策略→勾选强制，设置后不受后续策略的影响。
阻止继承的设置。右键董事长OU→阻止继承，重置上级策略设置并随心所欲。

4.3其他常用操作

4.3.1禁用运行窗口

从“开始”菜单中删除“运行”菜单，启用就删除，禁用就不删除，未配置就保持其他配置。当该项策略启用后，用户无法通过win+r启用运行窗口。

4.3.2执行脚本配置，使用户注销时自动清空D盘垃圾文件

新建一个命名为clear的文件，输入以下代码，修改后缀名为bat。

d:
cd\
cd tmp		#进入垃圾文件夹
rd ./s/q	#删除

在客户机D盘下先新建一个tmp文件夹，并生成一堆垃圾文件。
找到用户策略，双击注销。
将刚刚写好的批处理文件黏贴到默认路径下，选中该文件，依次确定。

4.3.3不显示按ctrl+alt+del进入命令，直接显示账户密码

理解该功能的实现是针对计算机还是用户，由于是计算机启动时就要生效的，因此时针对计算机的。
依次展开→找到该策略→启用。

4.3.4密码策略

1.依次展开→找到该策略→启用。
在这里插入图片描述
2. 复杂性原则：要求满足3/4原则，及大小写、特殊符号、数字，需要有其中至少三种。
3. 最短使用期限：限制不能频繁修改密码。
4. 最长使用期限：要求定期改密码，默认是42天。
5. 强制密码历史：不能重复使用历史上最近几种密码。

4.3.5账户锁定策略

1.账户锁定阈值：防止暴力破解，错误一定次数后锁定，需要域管理员在活动目录中找到该用户→右键→解锁。
2. 重置账户锁定计数器设置时间要等于或小于账户锁定时间。
在这里插入图片描述

4.4组策略执行顺序总结☆☆☆

一般情况下策略执行顺序：LSDOU，最后执行者生效：
（1）L：本地组策略；（2）S：站点；（3）D：域组策略：（4）OU：逐级OU组策略；
上级设置了强制：策略顺序执行至强制，后续OU策略不执行。
下级设置阻止继承时，相当于下级OU重置了上级所有策略，并按自身策略执行：
上级OU：桌面：QQ 运行：删除
下级OU：桌面：未配置运行：不删除
执行结果：桌面：未配置运行：不删除
当上级强制与下级阻止继承同时设置时，强制生效，因为后续策略不执行。