域——windows服务器域详解

·域

1.Domain

2.内网环境：

1）工作组：默认模式，人人平等，不方便管理
2）域：人人不平等，集中管理，同一管理

3.域的特点：

集中/统一管理

4.域的组成:

1）域控制器: DC（Domain Controller）
2）成员机

5.域的部署：

1）安装域控制器—→生成域环境
2）安装活动目录—→生成域控制器
3）活动目录：Active Directory = AD

6.活动目录

1）AD
2）特点：集中管理/统一管理

7.组策略GPO(Group Policy)

8.部署安装活动目录：

1）开启2008虚拟机，并桥接到vmnet2
2）配置静态IP地址10.1.1.1/24

DNS地址在安装DNS服务器时会自动指向自己

3）开始—运行—输入dcpromo，安装活动目录。（此命令既可安装也可卸载）
弹出向导：
勾选DNS——在新林中新建域——域的FQDN（aspirin.com）——功能级别都设置为2003（以后在此林或域中新建域控制器系统必须在此版本以上）——设置活动目录服务还原密码123.com——勾选安装后重启

无需修改

4）在DC上登录域aspirin\administrator（**注意：**此时登录密码仍为曾经的本地管理员密码）
DC的本地管理员升级为域管理员

5）验证AD是否安装成功：
1、计算机右键属性—所属域
2、DNS服务器中是否自动创建aspirin.com区域文件及
3、自动注册DC的域名解析记录
4、开始—管理工具—Active Directory 用户和计算机（真正的活动目录数据库）
computer：普通域成员机列表
Domain Controller：DC列表
users：域账号

9.PC加入域：

1、与服务器放入同一网段（VMnet2），配置IP，并指DNS

2、计算机右键属性——计算机名——更改——隶属于——加入aspirin.com域

3、输入域管理员账号密码（有加入该域权限的账号）

4、重启加入域后，使用域用户登录成员机

注意：此时登录客户机时需选择登录到本地（仍使用本地账号密码）还是登录到域（使用域成员账号密码，需在服务器上创建）

5、新建域成员 右键users—新建—用户—填入姓名（显示用）—登录用户名

一般姓名用中文，用于显示，用户登录名一般使用姓名全拼，名在前，姓在后，中间加个点或下划线

例：张三，san.zhang@aspirin.com

创建成功

6、登录到域aspirin.com中

win7系统则是选择切换用户——其他用户（记得在服务器上为其新建用户李四）

10.常见小问题

1）加入域不成功
网络是不是不通！
解析是否能成功解析！
是否为DNS缓存问题
2）登入域不成功
如XP，已勾选登录域QF，不用再写aspirin.com
3）域用户的权限
建议将域用户加入到普通成员机的本地管理员组中

在客户机上登录域管理员帐号

将si.li添加进本地管理员组

本地管理员组：administrators
域管理员组：Domain Admins

11）OU：组织单位（Organizational Unit）

作用：用于归类域资源（域用户、域计算机、域组）

OU管理

**1、**右键域名——新建组织单位——勾选防止误删

**2、**在集团下新建多个OU

以上组织单位统称为组织架构（一般一个公司一到两年要变更一次组织架构）

**3、**将已建立的域成员加入到组织单位中

右键用户——所有任务——移动

选择一个组织单位添加进去

**4、**建议将用户所在的计算机也加入到同一组织单位中

12）组策略：Group Policy = GPO

作用：通过组策略可以修改计算机的各种属性，如开始菜单、桌面背景、网络参数等。
重点：组策略在域中，是基于OU来下发的！！
打开组策略管理

组策略在域中下发后，用户的应用顺序是：LSDOU
在应用过程中，如果出现冲突，后应用的生效！

1、新建组策略

2、编辑组策略

想要整个集团的桌面壁纸用一样的怎么办：

对一个集团下的组策略做编辑——用户配置——管理模板——桌面

首先右键——编辑——打开组策略管理编辑器

我们可以看到可以分别对用户和计算机做设置

用户注销后重新登录生效，计算机重启后生效

下面我们将对用户做设置，找到需要设置的组策略（分类太多不好找可以百度）

右侧一条条的就是组策略，状态默认为未配置，还有启用和禁用两个状态

启用桌面墙纸并选择一张图片（记得共享该文件夹允许所有人访问）（共享操作具体看文件共享）

选择高级共享

选择权限完全控制，默认用户everyone，可以再添加域下所有用户

然后设置NTFS权限，添加域下所有人有读取权限，确定保存

完成设置（由于对于库户籍来说图片文件为网络地址，所以要用\\来表示）

客户机验证：

不知道怎么回事这张图片无法上传，点击查看

在虚拟机验证有时会图片下载过慢导致桌面没有正常显示，但是点开桌面属性查看壁纸发现已经更改完成，并且用户无法更改

正常情况下：LSDOU顺序

（Local本地组策略—Site站点组策略—Domain域组策略—OU组织单位组策略）

一级一级查询，靠后生效，冲突时靠后一个生效

上级OU： 桌面：123.jpg 开始菜单运行菜单：删除

下级OU： 桌面：未配置 开始菜单运行菜单：不删除

下级OU用户结果：桌面：123.jpg 开始菜单运行菜单：不删除

下级OU设置了阻止继承：

上级OU： 桌面：123.jpg 开始菜单运行菜单：删除

下级OU： 桌面：未配置 开始菜单运行菜单：不删除

下级OU用户结果： 桌面：未配置 开始菜单运行菜单：不删除

注意是选中某个OU

上级设置了强制（到此为止，不再向后查询）：

上级OU： 桌面：123.jpg 开始菜单运行菜单：删除

下级OU： 桌面：未配置 开始菜单运行菜单：不删除

下级OU的用户结果： 桌面：123.jpg 开始菜单运行菜单：删除

注意：当上级强制和下级阻止继承同时设置，强制生效！

查看当前策略表都做了什么设置：

点开策略表——设置——弹出警告——添加——添加——关闭

其他各种策略自行研究