Active Directory域服务

Posted

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了Active Directory域服务相关的知识,希望对你有一定的参考价值。

概念:

工作组:workgroup

  适合网络资源少,10台左右计算机。

  分散管理(对等网,每个员工维护自己的电脑,身份平等)

  适合于小型网络

  不便之处:为了达到互相访问的目的,可能需要在每台电脑上为其他同事建立很多用户帐号(不愿意透露管理员密码的情况下)

            每台电脑自己维护管理员密码,如果忘记密码,可能由it管理员强行破解密码

            每台计算机自由安装各种软件,容易引起系统崩溃


Windows域 Domain

  将网络中的资源逻辑上组织到一起,将其视为一个整体。资源:计算机、用户、组、打印机、共享文件夹等。

                逻辑上组织到一起:物理计算机和网络无需做任何更改,★★搜索

  集中管理(Client/Server架构)

                发起管理的计算机:域控制器 Domain Controller=DC 被管理的计算机:成员机或成员服务器

  适合于大中型网络

  对于工作组的改进:只需在域控上建立一套帐号,可以通行整个活动目录

                    遗忘密码后,简单的由域管理员在域控制器上重置即可

                    可以使用组策略进行软件分发:全自动为成员机安装配置所需软件。

                    利用配置文件位置实现对用户文件的自动备份。


概念:

  目录服务:可以方便的在网络中搜索用户账号、组、计算机、共享文件夹等对象。

  活动目录:微软公司实现的目录服务。Active Directory,是目录服务的一种,开放tcp389端口,ldap轻型目录访问协议。

  活动目录又是一个数据库:Database,轻松存储海量对象,可以在极短时间内返回查询结果。

活动目录优点:

  集中管理:有力工具=组策略

  便捷的网络资源访问(一次登录,到处访问)

  可扩展性


域Domain:目录服务的一种通俗实现,把后台复杂的查询语句,包装成图形化的容易管理的形式。

域控制器Domain Controller:安装了活动目录服务的计算机。


容器Container:可以容纳其他对象的对象称为容器。


逻辑结构:

单域Domain:只有一个域。

域树Domain Tree:父域和子域形成域树,★使用连续的域名后缀

域林Domain Forest:多棵域名后缀不同的域树构成一个森林。

组织单位:OU、子OU

★★★整个森林中的多个域存在“信任”关系,可以互访。


物理结构:

站点:用于优化多个域控制器之间的复制流量(知识的同步,主要是通用组的同步)

      可以把同一个高速网络中的多个域控制器放到一个站点中,★★站点内部优先复制。

域控制器。



域控制器的实现:

1 必须是windows server操作系统(web版除外)

2 有本地管理员权限

3 有ntfs文件系统,有足够空间

4 ★★有静态ip地址

5 ★★有dns服务的支持(工作组中靠计算机名标识一台电脑,域中靠类似于 www.benet.com 的域名标识一台电脑,可以在提升域控制器的过程中自动安装、配置)


配置过程:

1 2008r2原始状态,用管理员登录

2 设置静态ip地址,★★dns指向127.0.0.1(域控制器上将要安装dns服务,可以用自己来解析域名)

3 执行 dcpromo.exe 提升域控制器。

  domain controller promotion,域控制器的实现

  在新林中创建域(无中生有产生一个林,并成为这个林中第一个域,也称为“林根域”)

  ★★★新林的域名:至少两段,用英文的句点隔开,例如qq.com,不推荐无意义的字符串或特殊符号。

  后续默认,忽略dns警告,选中“安装dns服务器”

  定义还原模式密码:仅在还原域控制器备份时使用,可以并且推荐和活动目录管理员密码不同。

  ★★选择“完成后重新启动”选项。

4 重启后,原来工作组管理员自动升级为域管理员,密码不变。


管理工具实验:Active Directory 用户和计算机,简称ADUC

1 打开活动目录用户和计算机控制台,展开域名后缀

  Builtin 目录:无需自建,windows自带的组,称为“内置组”

  Computers 目录:加入域的成员机会列在此处

  Domain Controllers 目录:列出域中所有的域控制器

  Users 目录:域用户和组的默认位置

        Domain Admins:域管理员所在的组

        Domain Users:普通与用户所在的组

        Enterprise Admins:企业管理员所在的组,权限范围比域管理员更大

2 组织单位OU的创建:

  ★★根据地区或部门,把规模较大的域分割成容易管理的几块。

  右键单击域名后缀、新建、组织单位:

  模拟公司的架构,为每个部门建立组织单位

3 用户的创建:

  在每个部门的组织单位中建立员工帐号即可。

  新建、用户

  姓名可以使用中文

  ★★★登录名:纯粹中国公司往往使用员工姓名全拼zhangsan,外企中习惯使用:名的全拼.姓的全拼san.zhang

  ★★★密码:必须符合复杂性要求

  ————————————————————————————————————————————————————

  显示名:在所在OU中唯一

  登录名:在所在的域中唯一

  当显示名和登录名不同时,登录域必须使用登录名。

4 把计算机加入域:

  启动原始状态windows,设置和域控制器同一网段ip

  ★★★dns必须指向域控制器的ip

  在正式加域之前,应该可以ping通活动目录的域名后缀,例如 ping qq.com,如果不能解析,不要急于加域,先排查网络问题

  

  计算机属性、更改计算机名位置、隶属于:填写域名后缀,输入有权限把计算机加入域的帐号、密码

  ★★★重启计算机

  

  登录域:★★成员计算机有两套帐号可用,一套是原来的本地帐号,一套是域帐号

  如果要登录域,必须点击“切换用户”、使用“其他用户”登录域,用户名的写法:

  域名简写\登录名,例如qq.com的zhangsan用户,可以写 qq\zhangsan

  登录名@域名后缀, 例如qq.com的zhangsan用户,可以写 [email protected]

  

  

  ————————————————————————————————————————————————————

  额外域控制器的实现:防止“单点故障”(重要服务只有唯一的一台服务器,出现故障后引起业务混乱),一个域至少两台域控制器

  1 启动现有域控制器

  2 启动一台工作组状态2008r2,和域控制器在同一vm交换机(如果不在同一交换机需要设置网关)

    设置和域控制器同一网段ip,首选dns指向127.0.0.1,辅助dns指向第一台域控制器ip

  3 运行dcpromo.exe提升域控制器

    现有林

    向现有域添加域控制器

    输入林中任何一个域的域名后缀(一般填写本域的域名后缀)

    选择要成为哪一个域控制器的额外域控制器

    后续默认

    填写还原模式密码,完成重启。

  4 额外域控制器刚刚提升完毕,需要在第一台域控制器上执行 ipconfig /flushdns (推荐执行,否则可能短时间内第一台域控不能识别第二台)

    分别在两台域控制器建立ou、组、用户等对象,查看另一台是否能学习到。


本文出自 “10930418” 博客,转载请与作者联系!

以上是关于Active Directory域服务的主要内容,如果未能解决你的问题,请参考以下文章

Active Directory域服务

Windows 2012 Active Directory 域服务安装

学习总结-Active Directory 域服务管理08-多域管理

学习总结-Active Directory 域服务管理05-辅助域服务器

Windows Server 2016-Active Directory域服务概述

Active Directory域服务