配置AD域环境、OU、GPO

文章目录

    • 配置AD域环境
    • OU、GPO

配置AD域环境

Active Domain

  1. 微软技术:1)工作组:平等 2)域

  2. 主要优点:集中管理/统一管理

  3. 域成员:1)域控制器:Domain Controller 2)成员机

  4. 创建域:
    关键步骤:1)创建“活动目录/AD”,拥有AD的PC,称为DC
    2)DC安装完毕后,一个域也就诞生了
    3)然后可以陆续将其他PC加入域

  5. 活动目录AD(Active Directory):域的优点体现在活动目录的优点上
    1)优点:实现集中管理
    2)AD实际就是一个数据库,AD中包含域资源(域用户、域组、域共享、域计算机)
    3)AD域需要与DNS服务器进行配合!!DNS服务器起到在域中做定位的作用!
    4)一个AD域必须有一个唯一的域名。
    如: wencoll公司就可以起域名:wencoll.com

  6. 安装活动目录:
    1)必须有固定的静态IP地址 (域控制器也是一个服务器)
    2)系统版本必须为服务器版本
    3)建议安装AD前修改计算机名,并重启生效
    4)安装AD必须是管理员身份
    5)提前规划好域的名字 ,如xzr.com

  7. 安装:1)开始–运行–输入“dcpromo” 开始安装活动目录
    2)勾选安装DNS
    3)勾选“新林中新建域”
    4)设置域名
    5)设置“林功能级别”,“域功能级别”,建议保持为2003
    6)设置目录还原密码
    7)开始安装,并重启

  8. 活动目录安装完毕后:
    1)域控制器的本地用户全部升级为域用户。
    如:本地administrator升级为域管理员
    本地guest升级为域来宾用户
    2)验证是否成功安装:
    计算机右键属性
    计算机右键管理,检查是否还有本地用户
    检查管理工具中是否有Active Directory 用户和计算机工具,并检查是否可以打开
    检查DNS服务器是否安装完毕,并检查是否存在该域的配置文件及解析记录

  9. 将PC加入域、新建域用户
    1)保证与DC/DNS可以通信!
    2)DNS指向DC!
    3)计算机右键–属性–计算机名–更改–输入域名–输入管理员账户及密码–成功-重启
    4)加入域成功后,验证:1.DNS上自动出现解析记录
    2.在AD中,computer自动出现成员机的计算机名
    5)在AD上创建一个域用户,并成功在成员机上登录域!

  10. 在域中做文件共享服务器:
    1)赋权限:给域用户或域组赋权限

OU、GPO

  1. OU(Organization Union):组织单位 作用:用于归类域资源(域用户、域计算机、域组)

  2. 组策略:Group Policy = GPO 需掌握组策略的阻止继承及强制!
    只有组织单元OU才可以附加组策略GPO
    作用:可以修改计算机的各种属性,如开始菜单、桌面背景、网络参数等。
    组策略在域中,是基于OU来下发的
    组策略在域中下发后,用户的应用顺序是:LSDOU
    在应用过程中,如果出现冲突,后应用的生效!

    整个域环境首先要有个名字,就叫域名。域环境也有后缀,比如域名叫 haha.com。
    有了域控制器,就有了域环境。创建域环境重点就是创建域控制器,要想成为域控制器,重要的就是要有AD活动目录,因此域也叫AD域。
    域控制器和域成员都要有自己的计算机名,如域控制器计算机名叫dc1,则计算机在这个域中完整的名字就叫做 dc1.haha.com
    域环境中每个人都有名字,也有后缀,访问PC可以直接通过访问域名,则需要DNS服务器。一般DC和DNS是合二为一的。
    DC上有张表叫AD活动目录表,用来存储一些数据,如账号 密码,这些账号用户叫做域用户。
    当域用户成功在某PC上登录时,会向DC发出请求,请求被控制。
    域用户可以在域中任意一台PC上登录。同理,域管理员在域中任意一台PC有完全控制的权限。
    配置文件 家目录

    DNS在服务器中起到定位的作用
    nslook up abc.haha.com 即可解析到对方的IP地址
    \abc\c$ \abc.haha.com\share 也可以省略 \abc\share

    由于加入了域环境,PC上登录了域用户,提交访问请求时会自动将域用户提交给服务器,因此域用户访问不用输入账号密码,因为自己只有一个身份,即当前系统的域账号身份,会自动提交到服务器。

    也可以创建一个域组,把域用户加到该组,再给该域组赋予权限,相当于给该组的域用户加权限。组的作用还是为了降低权限赋予的工作量

    组策略GPO也是一张文件一张表,这个表可以基于部门可以基于计算机也可以基于组织单元OU(取决于组织单元的范围大小)。 当域用户身份验证完毕后登陆上去,向DC发送请求,请求指示请求被控制。域用户被下发一张GPO组策略表,域用户便按照组策略GPO的策略进行执行。只有OU才可以附加GPO组策略

整个“域”——xzr.com 就是最大的组织单元
在域下新建组织单位“北京总部” 形成一个文件夹 文件夹中有一个logo代表OU
在他上面还有一个OU 域控制器Domain Controllers,里面放的不是用户,而是计算机DC1

正常情况下:LSDOU顺序
上级OU: 桌面:aa 运行:删除
下级OU: x 运行:不删除
则下级OU的用户结果: 桌面:aa 运行:不删除
下级OU设置了阻止继承:
上级OU: 桌面:aa 运行:删除
下级OU: x 运行:不删除
则下级OU的用户结果: 桌面:x 运行:不删除
****上级设置了强制:
上级OU: 桌面:aa 运行:删除
下级OU: x 运行:不删除
则下级OU的用户结果: 桌面:aa 运行:删除

注意:当上级强制和下级阻止继承同时设置,强制生效!

  1. 组策略中下发软件:
    1)只能下发微软格式的安装包: .msi
    2)创建一个共享文件夹,保证域用户有权限,并将要下发的安装包放到共享文件夹中
    3)在组策略中添加下发安装包(有2种选择,第1基于计算机下发,第2基于用户下发)

注意:组策略表包含2个部分:1.计算机配置:只对ou中的计算机资源生效
2.用户配置:只对ou中的域用户资源生效

步骤:
1.创建软件共享文件夹!
2.打开组策略–用户–软件设置,右键属性添加网络路径
3.添加软件
4.软件右键属性–部署–选中“在登录时安装应用程序”
5.客户机重启生效

  1. AD域的桌面漫游: \dc1.haha.com\pic\abc.jpg
    1)创建一个共享文件夹,保证域用户有权限
    2)在普通成员机上,使用域用户登陆,并注销
    3)在普通成员机上,使用域管理员登陆,并将用户的配置文件上传到共享文件夹
    4)在DC的活动目录上,修改用户的用户属性,找到配置文件,并写入配置文件的网络路径,确定即可!

你可能感兴趣的:(Windows)