Windows Server 2008 R2 Active Directory配置指南

第1章　active directory域服务（ad ds） 1

1-1　active directory域服务概述 2

1-1-1　active directory域服务的适用范围（scope） 2

1-1-2　名称空间（namespace） 2

1-1-3　对象（object）与属性（attribute） 3

1-1-4　容器（container）与组织单位（organization units, ou） 3

1-1-5　域树（domain tree） 4

1-1-6　信任（trust） 5

1-1-7　林（forest） 6

1-1-8　架构（schema） 7

1-1-9　域控制器（domain controller） 7

1-1-10　active directory的复制模式 8

1-1-11　域中的其他成员计算机 8

1-1-12　dns服务器 9

1-1-13　lightweight directory access protocol（ldap） 10

1-1-14　全局编录（global catalog） 11

1-1-15　站点（site） 11

1-1-16　目录分区（directory partition） 12

1-2　windows server 2008 r2域控制器的新功能 13

1-2-1　只读域控制器（rodc） 13

.1-2-2　可重新启动的ad ds（restartable ad ds） 14

1-2-3　active directory回收站 15

1-3　域功能级别与林功能级别 15

1-3-1　域功能级别（domain functionality level） 15

1-3-2　林功能级别（forest functionality level） 16

1-4　active directory轻型目录服务（ad lds） 17

第2章　建立ad ds域 19

2-1　创建ad ds域前的准备工作 20

2-1-1　选择适当的dns域名 20

2-1-2　准备好一台用来支持ad ds的dns服务器 20

2-1-3　选择active directory数据库的存储位置 22

2-2　创建ad ds域 23

2-2-1　使用windows窗口来安装第一台域控制器 24

2-2-2　使用应答文件来安装第一台域控制器 32

2-2-3　使用命令行来安装第一台域控制器 33

2-3　确认ad ds域是否正常 34

2-3-1　检查dns服务器内的日志是否完整 34

2-3-2　排除注册失败的问题 37

2-3-3　检查active directory数据库文件与sysvol文件夹 38

2-3-4　新添加的管理工具 40

2-3-5　查看事件日志文件 40

2-4　提升域与林功能级别 41

2-4-1　提升域功能级别 42

2-4-2　提升林功能级别 42

2-5　添加额外域控制器与rodc 42

2-5-1　使用windows窗口界面来安装额外域控制器 43

2-5-2　使用应答文件来安装额外域控制器 51

2-5-3　使用命令行来安装额外域控制器 52

2-5-4　使用安装媒体来安装额外域控制器 53

2-5-5　更改rodc的委派与密码复制策略设置 56

2-6　rodc阶段式安装 57

2-6-1　使用windows窗口创建rodc账户 58

2-6-2　将服务器附加到rodc账户 62

2-7　将windows计算机加入或脱离域 67

2-7-1　将windows计算机加入域 67

2-7-2　使用已加入域的计算机登录 70

2-7-3　脱机加入域 71

2-7-4　脱离域 73

2-8　在域成员计算机内安装ad ds管理工具 74

2-8-1　在windows server 2008 r2计算机上安装ad ds管理工具 74

2-8-2　在windows server 2008 计算机上安装ad ds管理工具 75

2-8-3　在windows 7计算机上安装ad ds管理工具 75

2-8-4　在windows vista计算机上安装ad ds管理工具 76

2-9　删除域控制器和域 77

2-9-1　使用windows窗口来删除域控制器或域 78

2-9-2　使用应答文件来删除域控制器或域 81

2-9-3　使用命令行来删除域控制器或域 82

2-10　域升级与在现有域环境中安装域控制器 83

2-10-1　将现有windows 2000或windows server 2003林升级 83

2-10-2　在现有windows 2000或windows server 2003林中添加windows server 2008或windows server 2008 r2域 86

2-10-3　在现有windows 2000或windows server 2003域中添加windows server 2008或windows server 2008 r2域控制器 86

第3章　域用户与组账户的管理 87

3-1　管理域用户账户 88

3-1-1　创建组织单位与域用户账户 89

3-1-2　用户登录账户 90

3-1-3　创建upn的后缀 92

3-1-4　账户的一般管理工作 93

3-1-5　域用户账户的属性设置 95

3-1-6　搜索用户账户 97

3-1-7　域控制器之间数据的复制 102

3-2　一次同时添加多个用户账户 103

3-2-1　使用csvde.exe来添加用户账户 104

3-2-2　使用ldifde.exe来添加、修改与删除用户账户 105

3-2-3　使用dsadd.exe等程序来添加、修改与删除用户账户 106

3-3　域组账户 108

3-3-1　域内的组类型 108

3-3-2　组的使用范围 109

3-3-3　域组的创建与管理 110

3-3-4　ad ds内置的组 111

3-3-5　特殊组账户 113

3-4　组的使用准则 113

3-4-1　a、g、dl、p策略 114

3-4-2　a、g、g、dl、p策略 114

3-4-3　a、g、u、dl、p策略 115

3-4-4　a、g、g、u、dl、p策略 115

第4章　使用组策略管理用户工作环境 116

4-1　组策略概述 117

4-1-1　组策略的功能 117

4-1-2　组策略对象 118

4-1-3　策略设置与首选设置 121

4-1-4　组策略的应用时限 122

4-2　策略设置实例演练 123

4-2-1　策略设置实例演练一：计算机配置 123

4-2-2　策略设置实例演练二：用户配置 125

4-3　首选设置实例演练 128

4-3-1　首选设置实例演练一 129

4-3-2　首选设置实例演练二 134

4-4　组策略的处理规则 138

4-4-1　一般的继承与处理规则 138

4-4-2　例外的继承设置 140

4-4-3　特殊的处理设置 143

4-4-4　更改管理gpo的域控制器 147

4-4-5　更改组策略的应用间隔时间 149

4-5　使用组策略来管理计算机与用户环境 151

4-5-1　计算机配置的管理模板策略 151

4-5-2　用户配置的管理模板策略 152

4-5-3　账户策略 153

4-5-4　用户权限分配策略 158

4-5-5　安全选项策略 160

4-5-6　登录/注销、启动/关机脚本 161

4-5-7　文件夹重定向 165

4-6　使用组策略来限制访问可移动存储设备 172

4-7　wmi筛选器 176

4-8　组策略建模与组策略结果 179

4-9　组策略的委派管理 186

4-9-1　站点、域或组织单位的gpo链接委派 186

4-9-2　编辑gpo的委派 187

4-9-3　添加gpo的委派 187

4-9-4　wmi筛选器的委派 188

4-10　starter gpo的设置和使用 189

第5章　使用组策略部署软件 191

5-1　软件部署概述 192

5-1-1　将软件分配给用户 192

5-1-2　将软件分配给计算机 192

5-1-3　将软件发布给用户 192

5-1-4　自动修复软件 193

5-1-5　删除软件 193

5-2　将软件发布给用户 194

5-2-1　发布软件 194

5-2-2　客户端安装被发布的软件 197

5-2-3　测试自动修复软件的功能 198

5-2-4　取消已发布的软件 199

5-3　将软件分配给用户或计算机 200

5-3-1　分配给用户 200

5-3-2　分配给计算机 201

5-4　软件升级和重新部署 201

5-4-1　软件升级 201

5-4-2　重新部署 205

5-5 部署microsoft office 206

5-5-1　部署microsoft office 2003 206

5-5-2　部署microsoft office 2007 212

5-6　发布zap应用程序 217

5-7　软件部署的其他设置 220

5-7-1　更改部署默认值 220

5-7-2　更改高级部署设置 221

5-7-3　扩展名和软件关联的优先级 222

5-7-4　软件分类 222

5-8　将软件重新封装成msi应用程序 224

第6章　限制软件的运行 227

6-1　软件限制策略概述 228

6-1-1　哈希规则 228

6-1-2　证书规则 228

6-1-3　路径规则 229

6-1-4　网络区域规则 229

6-1-5　规则的优先级 230

6-2　启用软件限制策略 230

6-2-1　新建哈希规则 231

6-2-2　新建路径规则 233

6-2-3　新建证书规则 235

6-2-4　新建网络区域规则 238

6-2-5　不要将软件限制策略应用到本地系统管理员 239

第7章　创建域树和林 241

7-1　创建第一个域 242

7-2　创建子域 242

7-2-1　使用windows窗口来创建子域 243

7-2-2　使用应答文件来创建子域 250

7-2-3　使用命令行来创建子域 252

7-3　创建林中的第2个域树 252

7-3-1　选择适当的dns架构 253

7-3-2　使用windows窗口来创建第2个域树 255

7-3-3　使用应答文件来创建第2个域树 262

7-3-4　使用命令行来创建第2个域树 263

7-4　删除子域和域树 264

7-4-1　使用windows窗口来删除子域或域树 264

7-4-2　使用应答文件来删除子域或域树 267

7-4-3　使用命令行来删除子域或域树 269

7-5　更改域控制器的计算机名称 270

第8章　管理域和林信任 272

8-1　域和林信任概述 273

8-1-1　信任域和受信任域 273

8-1-2　跨域访问资源的流程 273

8-1-3　信任的种类 276

8-1-4　创建信任前的注意事项 280

8-2　创建快捷方式信任 281

8-3　创建林信任 287

8-3-1　创建林信任前的注意事项 288

8-3-2　开始创建林信任 289

8-3-3　设置选择性身份验证 297

8-4　创建外部信任 299

8-5　管理和删除信任 302

8-5-1　信任的管理 302

8-5-2　信任的删除 305

第9章　active directory数据库的复制 307

9-1　站点与active directory数据库的复制 308

9-1-1　同一个站点之间的复制 309

9-1-2　不同站点之间的复制 310

9-1-3　目录分区与复制拓扑 311

9-1-4　复制协议 311

9-2　默认站点的管理 312

9-2-1　默认的站点 312

9-2-2　servers文件夹与复制设置 313

9-3　利用站点来管理active directory复制 316

9-3-1　创建站点与子网 317

9-3-2　创建站点链接 319

9-3-3　将域控制器转移到所属的站点 321

9-3-4　指定首选的bridgehead服务器 322

9-3-5　站点链接与active directory数据库的复制设置 324

9-3-6　站点链接桥 326

9-3-7　站点链接桥的两个示例讨论 328

9-4　管理全局编录服务器 330

9-4-1　添加属性到全局编录内 330

9-4-2　全局编录的功能 331

9-4-3　通用组成员身份缓存 333

9-5　解决active directory复制冲突的问题 334

9-5-1　属性戳记 335

9-5-2　冲突的种类 335

第10章　操作主机的管理 339

10-1　操作主机概述 340

10-1-1　架构操作主机 340

10-1-2　域命名操作主机 340

10-1-3　rid操作主机 341

10-1-4　pdc模拟器操作主机 341

10-1-5　基础结构操作主机 344

10-2　操作主机的放置优化 344

10-2-1　基础结构操作主机的放置 345

10-2-2　pdc模拟器操作主机的放置 345

10-2-3　林级别操作主机的放置 346

10-2-4　域级别操作主机的放置 346

10-3　找出扮演操作主机角色的域控制器 347

10-3-1　找出架构操作主机 347

10-3-2　找出域命名操作主机 348

10-3-3　找出rid、pdc与基础结构操作主机 349

10-4　转移操作主机角色 349

10-5　夺取操作主机角色 353

10-5-1　操作主机关机所造成的影响 353

10-5-2　夺取操作主机角色实例演练一 355

10-5-3　夺取操作主机角色实例演练二 357

第11章　ad ds的维护 361

11-1　系统状态概述 362

11-1-1　active directory数据库 362

11-1-2　sysvol文件夹 363

11-2　备份ad ds 363

11-2-1　安装windows server backup功能 363

11-2-2　备份系统状态 364

11-3　还原ad ds 367

11-3-1　进入目录服务还原模式的方法 367

11-3-2　执行ad ds的非授权还原 369

11-3-3　针对被删除的ad ds对象执行授权还原 374

11-4　active directory数据库的转移与重组 377

11-4-1　可重新启动的ad ds（restartable ad ds） 377

11-4-2　转移active directory数据库文件 378

11-4-3　重组active directory数据库 382

11-5　重设目录服务还原模式的系统管理员密码 386

11-6　更改可重新启动的ad ds的登录设置 387

11-7　active directory回收站 387

11-7-1　active directory回收站的系统需求 388

11-7-2　启用active directory回收站 389

11-7-3　还原被删除的对象 389

第12章　将资源发布到ad ds 396

12-1　将共享文件夹发布到ad ds 397

12-1-1　利用active directory用户和计算机控制台 397

12-1-2　利用计算机管理控制台 399

12-2　搜索ad ds内的资源 400

12-2-1　通过网络 400

12-2-2　通过active directory用户和计算机控制台 402

12-3　将共享打印机发布到ad ds 404

12-3-1　发布打印机 404

12-3-2　通过ad ds搜索共享打印机 407

12-3-3　利用打印机位置来搜索打印机 407

第13章　自动信任根ca 412

13-1　自动信任ca的设置准则 413

13-2　自动信任内部的独立ca 413

13-2-1　下载独立根ca的证书并保存 414

13-2-2　将独立根ca的证书导入到受信任的根证书颁发机构策略 416

13-3　自动信任外部的ca 419

13-3-1　下载独立根ca的证书并保存 419

13-3-2　申请可以为证书信任列表签名的证书 420

13-3-3　创建证书信任列表（ctl） 423

附录a　ad ds与防火墙 428

a-1　ad ds相关的端口 429

a-1-1　用户登录时会用到的端口 429

a-1-2　计算机登录时会用到的端口 430

a-1-3　创建域信任时会用到的端口 430

a-1-4　验证域信任时会用到的端口 430

a-1-5　访问文件资源时会用到的端口 431

a-1-6　运行dns查询时会用到的端口 431

a-1-7　运行active directory数据库复制时会用到的端口 431

a-1-8　文件复制服务（frs）会用到的端口 431

a-1-9　分布式文件系统（dfs）会用到的端口 432

a-1-10　其他可能需要开放的端口 432

a-2　限制动态rpc端口的使用范围 432

a-2-1　限制所有服务的动态rpc端口范围 433

a-2-2　限制active directory数据库复制时指定的静态端口 434

a-2-3　限制frs使用指定的静态端口 435

a-2-4　限制dfs使用指定的静态端口 435

a-3　ipsec与vpn端口 437

a-3-1　ipsec所使用的协议与端口 437

a-3-2　pptp vpn所使用的协议与端口 437

a-3-3　l2tp/ipsec所使用的协议与端口 437

附录b　服务器核心安装的管理 438

b-1　服务器核心安装概述 439

b-2　服务器核心安装的基本设置 440

b-2-1　更改计算机名 440

b-2-2　更改ip地址 441

b-2-3　启用服务器核心安装 443

b-2-4　加入域 443

b-2-5　将域用户加入本地administrators组 444

b-2-6　更改日期与时间、地区及语言选项 445

b-3　在服务器核心安装内安装服务器角色 445

b-3-1　查看现有的角色与功能 445

b-3-2　dns服务器角色 446

b-3-3　dhcp服务器角色 446

b-3-4　文件服务角色 447

b-3-5　hyper-v角色 447

b-3-6　打印服务角色 448

b-3-7　active directory证书服务（ad cs）角色 448

b-3-8　active directory轻型目录服务（ad lds）角色 448

b-3-9　active directory域服务（ad ds）角色 448

b-3-10　stream media services角色 448

b-3-11　web服务器（iis）角色 449

b-4　在服务器核心安装内安装功能 450

b-5　服务器核心安装的远程管理 451

b-5-1　通过远程桌面来管理服务器核心安装 452

b-5-2　通过 remoteapp来管理服务器核心安装 453

b-5-3　通过mmc管理控制台来管理服务器核心安装 458

b-5-4　通过服务器管理器来管理服务器核心安装 460

b-5-5　通过windows remote shell来管理服务器核心安装 467

b-5-6　安装硬件设备 467

b-5-7　其他注意事项 468

b-6　常用命令列表 468

b-6-1　设置与安装命令 469

b-6-2　网络与防火墙命令 470

b-6-3　更新、错误报告与回应 470

b-6-4　服务、程序与性能 471

b-6-5　事件日志 471

b-6-6　磁盘与文件系统 472

b-6-7　硬件设备驱动器 472