如何在域中配置exchange2010

Posted 2023-05-05

1.Exchange Server 2010部署（一）部署企业中第一台Windows Server 2008 R2域控制器

（一）部署企业中第一台Windows Server 2008 R2域控制器
一、DC网络属性的基本配置
1、服务器DC的IP地址一定要是静态的IP地址，虽然不一定需要配置默认网关，但是DNS服务器指向一定要配置正确，因为AD的工作是紧密依赖于DNS服务的。本实例中整个微软网络环境都是白手起家的，考虑让这第一台DC同时充当企业网络中的DNS服务器，故需要将其首选DNS服务器地址配置为本台计算机的IP地址。

2、由于WIN08R2默认防火墙配置是根据连接网络类型来实施过滤的，所以，最好通过“网络和共享中心”将其网络类型有默认识别为的“公用网络”更改为“专用网络”。

3、除此之外，当前计算机的NetBios名，也就是计算机名需要设置好，因为安装完DC后，再去进行修改操作是不明智的。

二、准备安装AD服务
1、 在“运行”对话框中输入“dcpromo”点击“确定”启动向导

2、经过系统自动检测后，将出现AD安装向导的欢迎界面。在该对话框中可以选择使用标准或高级模式来进行安装。

3、点击“下一步”，对部署配置进行选择，由于是企业中的第一个DC，所以在此应选择“在新林中新建域”。创建新林需要管理员权限，所以必须是正在其上安装AD的服务器本地管理员组的成员。

4、点击“下一步”，对域林的根域进行命名。需要在之前对DNS基础结构有一个完整的计划。必须了解该林的完整DNS名称。可以在安装AD之前先安装DNS服务器服务，或者如本实例一样选择让AD安装向导安装DNS服务器服务。

5、点击“下一步”，“设置林功能级别”，功能级别确定了在域或林中启用AD的功能，还将限制可以在域或域林中DC上运行的Windows服务器版本。但是，功能级别不会影响在连接到域或域林的工作站和成员服务器上运行的操作系统

特别注意：
将域功能级别设置为某个特定值后，将无法回滚或降低域功能级别，但以下情况例外：将域功能级别提升至WIN08R2，并且林功能级别为WIN08或更低时，可以将域功能级别回滚到WIN08，且只能将其从WIN08R2降到WIN08，而不能将其回直接滚到WIN03。
将林功能级别设置为某个值之后，就不能回滚或降低林功能级别，但有一种情况例外：当您将林功能级别提升到WIN08R2且没有启用AD回收站时，则可以选择将林功能级别回滚到WIN08。且只能将其从WIN08R2降到WIN08，而不能将其回直接滚到WIN03。
6、点击“下一步”，配置“其它域控制器选项”。在AD安装期间，可以为DC选择安装DNS服务、或将其设置成为全局编录服务器（GC）或只读域控制器（RODC）。

注：
DNS服务器选项
正如“DC网络属性的基本配置”一节中谈到的在DC上同时安装DNS服务，此处就需要勾选“DNS服务器”选项。该选项的默认设置取决于此前选择的部署配置和当前网络中的DNS环境等因素。表4中列出了不同AD部署配置的默认DNS服务安装配置。
全局编录选项
由于林中的第一台DC必须是GC，因此在创建域林时“全局编录”复选框处于会被自动选中，而且变灰不能被取消。在现有域中安装其他DC时，默认也会选中该复选框。但是，可以手动取消选择。
在创建新的子域或域树时，默认情况下不会选中“全局编录”复选框，因为新域中的第一个域控制器承载着所有域范围的操作主机角色（FSMO角色），包括基础结构操作主机角色。在多域林中，除非域中的所有DC都是GC，否则在GC上承载基础结构主机角色可能会出现问题。因此，在新子域或域树的第一个DC上安装全局编录，则需要在将其他DC安装到域中之后转移基础结构主机角色，或是确保安装到域中的所有其他DC也都是GC。而且，在安装其他可写域控制器时，AD安装向导会验证基础结构主机是否承载于合适的DC上，并且会验证它是否可以修复使用所选安装选项引发的问题。
RODC选项
以下条件下不允许安装 RODC：
新林中安装第一个域控制器
新域中安装第一个域控制器
林功能级别不是WIN03、WIN08或WIN08R2
要安装RODC的域中没有WIN08 或WIN08R2的可写域控制器
选项间的关系
如果选中“只读域控制器（RODC）”复选框，除非无法选中“DNS 服务器”复选框，否则向导会自动选中此选项。如果在向导选中“DNS 服务器”复选框之后将其清除，则向导会发出警告：“如果不同时安装 DNS 服务器，分支机构中的客户端可能无法找到RODC”。默认情况下，“全局编录”复选框可能也处于选中状态，具体取决于选择的其他安装选项。默认情况下，如果选中“只读域控制器”复选框，向导就会自动选中“全局编录”复选框。
8、点击“下一步”，系统会弹出DNS服务委派警告对话框。在此，点击“是”继续完成向导。这个对话框的出现是由于配置其它服务器时，选择了“DNS服务器”选项，而当前计算机又未找到指定域的权威父域Windows DNS服务器，从而无法确定是否对指定域进行了委派导致的。

9、确定AD数据库、日志文件和SYSVOL放置的位置。对于数据库来讲主要存储有关用户、计算机和网络中其它对象的信息；日志文件记录与AD有关的活动；SYSVOL存储组策略对象和脚本，其默认是位于%windir%目录中的操作系统文件的一部分。

10、点击“下一步”，向导要求输入“目录还原模式的Administrator密码”。在 AD未运行时，目录服务还原模式（DSRM）密码是登录域控制器所必需的。

注：
DSRM密码与域管理员帐户的密码不同。
11、点击“下一步”，显示安装摘要，并且可以单击“导出设置”将在此向导中指定的设置保存到一个应答文件。然后，可以使用应答文件自动执行AD的后续安装。

12、点击“下一步”，安装向导执行安装操作。

13、执行完毕后，AD安装向导将出现完成安装页。点击“完成”。 系统会提示需要重新启动计算机配置才能生效。点击“立即重新启动”完成DC安装操作。
四、完成后简单验证安装情况
重启服务器后，可以通过以下几点的验证来确定DC的基本安装成功。
1、 AD数据文件是否产生。

2、DNS服务是否工作正常，与域相关的资源记录，特别是SRV记录是否正确写入。

3、SYSVOL文件夹是否存在，能正常访问。
4、日志中是否有错误事件等。
五、在DNS上增加反向查找区域

（二）部署企业中Windows Server 2008 R2额外域控制器
额外域控制器由于不是企业中的第一台域控制器，所以在其部署之前，亦即在创建域森林的时候就应该将其规划妥当。由此，虽然其没有首台DC部署那样需要注意的事项多，但是对于WIN08R2来讲还是有很多地方值得提及，也与早期的版本不同。
一、DC网络属性的基本配置
1、其配置情况主要参考当前网络规划和首台DC的配置而定，由于本文档首台DC被规划为同时充当DNS服务器，因此该台额外域控制器首选DNS服务器配置项中的值应该指向首台DC的IP地址。当这台额外域控制器同时还要作为域中的DNS服务器，而且还从首台DC同步DNS区域数据，那么可以将首选的DNS服务器选项设置为其自身IP地址。

2、同样需要将“网络和共享中心”窗口中的“公用网络”更改为“专用网络”。这样才能保证额外域控制在配置和运行中能够正常与其他服务器和客户通信。
3、确认当前计算机的计算机名及NetBiOS名。

二、准备安装AD服务
1、在“运行”对话框中输入“dcpromo”点击“确定”启动向导

2、经过系统自动检测后，将出现AD安装向导的欢迎界面。在该对话框中可以选择使用标准或高级模式来进行安装。

3、由于现在已经存在AD目录森林，所以在“选择某一部署配置”界面要选择“现有林”。因为现在是要安装额外域控制器，因此同时选中“向现有域添加域控制器”，单击“下一步”

4、指定要将此额外域控制器安装到的森林，即为哪个森林添加额外域控制器。在这里建议填写该服务器将要安装到的域，而不要写森林中的其它域。WIN8R2在这一过程中还同时需要指定具有升级额外域控制器权限的用户。如果是在工作组中直接升级为额外域控制器，则不能用当前账户凭证进行，只能使用备用凭证。此外，即使之前将该台作为额外域控制器的服务器已经加入了域，登录进行升级操作的域用户也必须要有在域中添加删除DC权限才能直接使用当前用户凭证，否则也只能使用备用凭证进行操作。
5、指定要将该服务器安装到哪个域，作为其额外域控制器存在。选中之后单击“下一步”。

6、确定当前额外域控制器物理主机放置的站点。在早期版本中实现非首台DC的安装时是不会出现如此的操作步骤的，在进行选择的时候直接都是很含糊的进行指定，而在WIN08R2中，微软把这些步骤进行的细化，并且更加明确了。这样便于工程师在部署时更能精确的进行配置。由于本文档是新域控环境，此处选择默认站点，后续再创建站点。

7、单击“下一步”，配置“其它域控制器选项”。此处，还要将该服务器作为DNS服务器实现，为域中DNS进行备份，所以勾选“DNS服务器”。
对于全局编录并非在每台DC上都要建立，建议每个站点至少要有一个GC；只读域控制器视网络规划而定，此处为可读写额外域控制器。

8、单击“下一步”，向导可能会提示“结构主机配置冲突”的对话框。如果域森林在此前只有一台DC，那么在安装额外域控制器，即第二台DC时，肯定会遇到这一提示对话框。产生这一个提示对话框的原因是因为当前域中的基础结构主机（IM）同时又承载着GC的角色。建议IM和GC不要在同一台DC上共存。在此，选择“将结构主机角色传送到此域控制器”。

9、指定活动目录数据库文件、日志文件、SYSVOL文件夹存放的位置，并且设置目录还原模式的管理员密码。在“摘要”页面确认相关设置信息无误，单击“下一步”，直接进行网络复制安装额外域控制器。

10、选择“通过网络从现有域控制器复制数据”，单击“下一步”。

注：对于WIN08R2安装额外域控制器时，可以从介质安装（IFM），而不用通过网络复制所有的目录数据。将安装介质存储在本地驱动器、可移动媒体（如 DVD）或网络共享文件夹上。执行IFM操作来创建额外域控制器，可以大大降低安装AD时所使用的网络带宽。但是，网络连接仍然是必要的，以便将所有的新对象和对现有对象的最新更改复制到新的域控制器。
创建安装介质有两种不同的方法：
建议使用Ntdsutil.exe工具来创建，通过该工具的ifm子命令可以创建安装AD目录服务所必需的文件
还可以使用还原系统状态备份并将其用作安装介质，但域控制器的系统状态备份所包含的数据通常要多于执行 IFM 操作所需的数据。
注意：若用另一个DC的备份作为安装介质，则应该使用最新的可用备份。较早的备份需要更多网络带宽来执行复制。并且所使用的备份不能比域的墓碑生存时间更早，该生存时间被默认设置为180天（早期版本的服务器上创建的林中，默认值为60天）。
但是，出于操作的方便和稳妥，在网络资源和服务器资源允许的情况下，建议还是采用通过网络复制来完成。
11、由于额外域控制器的安装，无论是从网络复制还是通过IFM来进行，都需要从现有DC中复制数据。通过“源域控制器”界面，可以手动指定将哪台现有DC作为安装期间必须复制的数据的源，也可以让该向导自动选择DC。

注：建议指定安装伙伴时，应选择入站和出站连接数较低的DC，并且不是重要负责使用文件复制服务（FRS）复制伙伴生产或转发更改的设备。此外，若不使用IFM，系统将在安装伙伴上创建或修改新的NTDS设置对象和新的计算机账户；安装伙伴还会将SYSVOL内容复制到新域控制器上。
注意：
只读域控制器（RODC）永远不能为安装伙伴。
如果安装 RODC，则只有运行WIN08或WIN08R2的可写域控制器才可以作为安装伙伴。
如果为现有域安装额外域控制器，则只有该域的DC可以为安装伙伴。
12、指定活动目录数据库文件、日志文件、SYSVOL文件夹存放的位置，并且设置目录还原模式的管理员密码。在“摘要”页面确认相关设置信息无误，单击“下一步”，直接进行网络复制安装额外域控制器。

10、安装完成后重启计算机。
三、完成后简单验证和其它操作
与第一台DC相同，安装完成后依然需要对其进行基本的测试和验证。
（三）部署企业中第一个站点

简单说明如何部署Site站点。
主域和额外域安装完成后，登陆到主域控制器，打开 Active Directory站点和服务
一 、创建站点
默认情况下所有的域控制器都在一个站点内，当我们需要创建一个新站点时，右键点击“Sites”，选择新站点。新站点取名为Beijing，并为Beijing站点选择了一个默认的站点链接器，关于这个站点链接器的作用我们将在后面的内容中予以介绍。站点创建完毕后，系统提示我们要进行后续操作，我们接下来将按照提示实现对站点的配置。

二 、定义站点子网
现在我们有了Beijing站点，接下来要考虑如何定义站点内的IP子网。如果不同的站点管辖了不同的IP子网，那么对域内的计算机来说是非常有利的，域控制器只要根据自己的IP地址就可以判断出自己应该隶属于哪个站点，域内的客户机登录到域时也会根据自己的IP地址来查询同一站点内的域控制器进行登录。
1、创建站点所属的子网，右键单击Subnets，选择“新建子网”。

2、创建了一个子网10.2.0.0/21，然后把这个子网分配给了Beijing站点。

三、定位服务器
定义了站点子网后，我们接下来就要根据每个域控制器的IP地址来把它们加入不同的站点了。如把BJRENNDC01放在Beijing站点，右键单击BJRENNDC01，选择“移动”。

同样的方法我们把BJRENNDC02也移动到Beijing站点，移动后的域控制器分布如图所示

四 、配置站点链接器
我们配置好了站点子网，然后把域控制器放到了站点中，现在我们要考虑如何配置站点链接器了。站点链接器是一个逻辑控制单元，它并不负责域控制器之间的物理连接，链接器的作用是对不同站点间的数据传递进行控制，以便最大限度地利用好站点间的链路带宽。
有了站点之后，域控制器之间的AD复制优先在本站点内进行，然后站点会选出一个“桥头服务器”代表所在的站点和其他站点的“桥头服务器”进行通讯，这样AD的更改就可以通过两个站点间的“桥头服务器”进行跨越站点的传递。AD复制在站点内的域控制器进行时是不压缩的，而AD复制如果跨站点进行则需要压缩。跨站点的AD复制拓扑是由ISTG（站点间拓扑生成器）来设计的。ISTG和KCC（被翻译为知识一致性验证器）不同，KCC负责站点内的拓扑设计，ISTG负责站点间的拓扑设计。
打开“Active Directory站点和服务”，可以看到Inter-Site-Transports下面有IP和SMTP两个子项，这是告诉我们站点间数据复制可以使用IP协议或SMTP协议。一般我们都选择使用IP，如果使用IP，站点间的数据传输将使用RPC协议，这种协议可以传输AD的全部内容而SMTP则只能传输AD的部分内容。

打开默认的站点链接器，在常规属性中可以看到这个站点链接器连接了Beijing和Default-First-Site-Name 两个站点。站点链接器的开销是100，开销反映了站点间连接速度的快慢，开销值越小，速度越快。站点间的开销是一个宏观上的相对值，并不具体对应传输速率。站点间的默认复制频率是180分钟，也就是默认情况下三个小时才跨站点复制一次，这个频率比站点内的AD复制低了很多，显然是为了适应广域网上的低速链路。

点击站点常规属性中的“更改计划”，我们可以设置站点间数据传输的时间段，这样有利于避开链路的高峰期，在适当的时机用适当的节奏进行站点间的数据传递。

站点配置完毕后，我们检查DNS服务器，发现DNS中已经有了相关的SRV记录。如图所示，我们发现Beijing站点的SRV记录已经出现在区域中了，这样的话有利于客户机通过查找DNS来定位出和自己所属站点内的域控制器。 参考技术A

千言万语化成一个视频，跟着做就行：

http://v.youku.com/v_show/id_XNDI3NzE3OTA0.html

 

简单来说，分以下几块：

前期部署，按邮箱大小，数量，邮件吞吐量计算网络，硬件需求

安装AD，Exchange是基于AD的。

拓展AD, 把Exchange的属性写入AD架构

安装Exchange，可能对Windows Server 系统还有些需求，例如Service Pack等

配置Exchange，这块其实看你需求，一般安装完就能满足域内用户的邮件收发。

如何使用普通域用户权限在域中任一台电脑上查看任一域用户账户状态？

如何使用普通域用户权限在域中任一台电脑上查看任一域用户账户状态？

?Lander Zhang 专注外企IT基础架构运维服务，IT Helpdesk 实战培训践行者
博客：https://blog.51cto.com/lander
51CTO讲师首页：https://edu.51cto.com/lecturer/733218.html
轻松进外企：IT Helpdesk工程师实战自学之路
博文介绍：https://blog.51cto.com/lander/2413018
视频课程专题系列：https://edu.51cto.com/topic/2471.html
更新时间：2020/02/28

使用场景

• 使用普通域用户权限，在域中任一台电脑上查看任一域用户账户状态，例如：
• 账户是否被锁定或过期
• 密码是否过期
• 密码初始设置时点
• 上次成功登陆时点
• 允许登陆时间段
• 该账户所在组

操作步骤
1.查看测试域账号权限
在AD中查看到Lander Zhang的域账号zhangla1权限为Domain User权限：

2.在客户端中查看域账号账户信息
在域中任一台电脑上查看任一域用户账户账户信息，以zhangla1为例。在命令行下输入 net user zhangla1 /domain：