AD对象

AD对象类型

用户

在AD域默认可以登陆任何具备信任关系的域中的计算机

访问应用，服务运行账户

访问网络资源（SSO）

默认加入域中的计算机，被域用户登陆后，在访问资源时，默认使用登陆该计算机的域用户的身份访问该资源

命令类型：

SAMaccount方式：域名称\用户名（默认）

UPN方式：用户名@域DNS名称

用户属性

各种应用通过属性进行筛选（LDAP）

属性的定义：AD架构

默认位置

CN=users，DC=XXX，DC=com

更改默认创建用户的位置
 

clip_image001


clip_image002


用户配置文件：

用于保存用户个性化配置

需要在指定的文件服务器中定义共享文件

在指定的用户属性中，定义用户配置文件的共享位置和自动生成的名称

组

安全组：

管理AD对象，用于当资源为指定组配置权限时，该组中的用户直接应用该权限

通讯组：

只是用于当部署Exchange时，邮件组的应用（群发邮件），无法在资源中为该类型组配置权限

组的作用域：在组织中有多个域环境和信任域时

考虑：管理应用时，需要相关的管理账户，当这些账户存在于不同的域时，无法实现一个域用户管理多个域的对象

clip_image003

通过组的作用域的概念，对组进行规划，实现多域管理和权限的需求

内置本地（Local）：每个系统自动生成的用于管理当前计算机系统的组，该组的权限范围只限定于当前计算机

本地域（Local domain）：该组可以被当前域的资源配置权限（资源引用），该组的成员范围，任意信任的域

全局（Global）：该组可以被任意信任的域的资源引用,该组的成员必须和该组同一个域

通用（Universal）：该组可以被任意信任的域的资源引用，该组的成员可以是该组所在森林中的任意用户

通用组的保存位置为全局编录服务器（GC）

该作用域的组，一般用于整个组织的配置和管理，不推荐用于管理组织中个个域的对象

基于组的作用域对组织中的资源、权限进行有效的管理（AGDLP）

AP：在森林中，任意域的资源可以直接为任意域的用户配置相关访问该资源的权限

ADLP：在资源组中，通过创建作用域范围为（DL）的组后，在当区域的资源配置该组权限，组织中，其他域的用户访问资源时，可以将其他域的用户添加到该组中

AGP&AGDLP：在用户域中，可以创建全局作用域的组，在资源域中，可以在资源中直接配置其他域的全局组，或者将其他域中的全局组添加到资源域的域本地组中

clip_image004

组织中的应用的用户权限规划（多域环境）

多域多用户规划（AP）（推荐）

应用的管理权限：管理该应用的用户，必须首先添加到应用的管理组中

单用户全局管理（ADLP）（不推荐）

在森林中，定义被管理的域

clip_image005


计算机

计算机加域

任何域用户都可以将计算机添加到域（次数限制为3），域管理员组成员的用户可以为计算机无限制次数加域

计算机脱域

手工脱域

计算机的本地管理员可以直接强制该计算机脱域（无域用户名密码）

普通域用户无法将使用的计算机脱域

意外脱域：重新更新域的计算机账户信息即可（客户端计算机重新加域）

物理机环境

长时间不启动&不连接到域

本地时钟和AD时钟不同导致脱域

虚拟机环境

恢复快照

不建议删除计算机账户，对于脱域的计算机，更新计算机域账户即可（重新加域）

离线加域

客户端计算机在没有网络连接到域控制器时，通过在DC中创建该计算机账户，并导出配置文件，在客户端计算机，手工导入该文件，更改客户端计算机状态（Nano Server）

AD对象配置

批量对象管理和操作

DS开头的cmd命令

Powershell相关命令

CSV文件（可用Excel编辑的文件）：第三方对象批量导入当前域

Excel编辑批量导入用户的信息

本地向微软Azure迁移时使用

admt（ad迁移工具）（Active Directory Migration Toolkit (ADMT)）：不同AD域&森林间用户迁移工具

手册

https://www.microsoft.com/en-us/download/details.aspx?id=19188

工具

https://www.microsoft.com/en-us/download/confirmation.aspx?id=56570

操作

http://www.itprotoday.com/management-mobility/migrate-ad-users-child-domain-parent-domain-using-admt-v32

Windows Server 2016 Visio

https://gallery.technet.microsoft.com/scriptcenter/Active-Directory-Visio-136ad959

AD管理和委派

OU规划

基于位置，业务，应用，和资源（参考组织的组织结构和规划）

后期的组策略和委派考虑

委派

当访问，管理指定资源时，可以指定任意域用户具备指定的权限-委派

委派

被访问的资源

委派的对象

委派的权限

委派管理

删除委派：在被委派资源的安全列表中，找到委派权限的对象，将该对象进行删除

委派使用

委派的用户通过在本地安装指定资源的管理工具，使用委派的用户登陆该计算机，打开工具，执行委派操作

Remote Server Administration Tools for Windows 10

https://www.microsoft.com/en-us/download/details.aspx?id=45520