配置AD域环境、OU、GPO

配置AD域环境

Active Domain

1. 微软技术：1）工作组：平等 2）域

2. 主要优点：集中管理/统一管理

3. 域成员：1）域控制器：Domain Controller 2）成员机

4. 创建域：
   关键步骤：1）创建“活动目录/AD”，拥有AD的PC，称为DC
   2）DC安装完毕后，一个域也就诞生了
   3）然后可以陆续将其他PC加入域

5. 活动目录AD(Active Directory)：域的优点体现在活动目录的优点上
   1）优点：实现集中管理
   2）AD实际就是一个数据库，AD中包含域资源（域用户、域组、域共享、域计算机）
   3）AD域需要与DNS服务器进行配合！！DNS服务器起到在域中做定位的作用！
   4）一个AD域必须有一个唯一的域名。
   如: wencoll公司就可以起域名：wencoll.com

6. 安装活动目录：
   1）必须有固定的静态IP地址 （域控制器也是一个服务器）
   2）系统版本必须为服务器版本
   3）建议安装AD前修改计算机名，并重启生效
   4）安装AD必须是管理员身份
   5）提前规划好域的名字 ，如xzr.com

7. 安装：1）开始–运行–输入“dcpromo” 开始安装活动目录
   2）勾选安装DNS
   3）勾选“新林中新建域”
   4）设置域名
   5）设置“林功能级别”，“域功能级别”，建议保持为2003
   6）设置目录还原密码
   7）开始安装，并重启

8. 活动目录安装完毕后：
   1）域控制器的本地用户全部升级为域用户。
   如：本地administrator升级为域管理员
   本地guest升级为域来宾用户
   2）验证是否成功安装：
   计算机右键属性
   计算机右键管理，检查是否还有本地用户
   检查管理工具中是否有Active Directory 用户和计算机工具，并检查是否可以打开
   检查DNS服务器是否安装完毕，并检查是否存在该域的配置文件及解析记录

9. 将PC加入域、新建域用户
   1）保证与DC/DNS可以通信！
   2）DNS指向DC！
   3）计算机右键–属性–计算机名–更改–输入域名–输入管理员账户及密码–成功-重启
   4）加入域成功后，验证：1.DNS上自动出现解析记录
   2.在AD中，computer自动出现成员机的计算机名
   5）在AD上创建一个域用户，并成功在成员机上登录域！

10. 在域中做文件共享服务器：
    1）赋权限：给域用户或域组赋权限

OU、GPO

11. OU(Organization Union)：组织单位 作用：用于归类域资源（域用户、域计算机、域组）

12. 组策略：Group Policy = GPO 需掌握组策略的阻止继承及强制！
    只有组织单元OU才可以附加组策略GPO
    作用：可以修改计算机的各种属性，如开始菜单、桌面背景、网络参数等。
    组策略在域中，是基于OU来下发的
    组策略在域中下发后，用户的应用顺序是：LSDOU
    在应用过程中，如果出现冲突，后应用的生效！

    整个域环境首先要有个名字，就叫域名。域环境也有后缀，比如域名叫 haha.com。
    有了域控制器，就有了域环境。创建域环境重点就是创建域控制器，要想成为域控制器，重要的就是要有AD活动目录，因此域也叫AD域。
    域控制器和域成员都要有自己的计算机名，如域控制器计算机名叫dc1，则计算机在这个域中完整的名字就叫做 dc1.haha.com
    域环境中每个人都有名字，也有后缀，访问PC可以直接通过访问域名，则需要DNS服务器。一般DC和DNS是合二为一的。
    DC上有张表叫AD活动目录表，用来存储一些数据，如账号 密码，这些账号用户叫做域用户。
    当域用户成功在某PC上登录时，会向DC发出请求，请求被控制。
    域用户可以在域中任意一台PC上登录。同理，域管理员在域中任意一台PC有完全控制的权限。
    配置文件 家目录

    DNS在服务器中起到定位的作用
    nslook up abc.haha.com 即可解析到对方的IP地址
    \abc\c$ \abc.haha.com\share 也可以省略 \abc\share

    由于加入了域环境，PC上登录了域用户，提交访问请求时会自动将域用户提交给服务器，因此域用户访问不用输入账号密码，因为自己只有一个身份，即当前系统的域账号身份，会自动提交到服务器。

    也可以创建一个域组，把域用户加到该组，再给该域组赋予权限，相当于给该组的域用户加权限。组的作用还是为了降低权限赋予的工作量

    组策略GPO也是一张文件一张表，这个表可以基于部门可以基于计算机也可以基于组织单元OU（取决于组织单元的范围大小）。 当域用户身份验证完毕后登陆上去，向DC发送请求，请求指示请求被控制。域用户被下发一张GPO组策略表，域用户便按照组策略GPO的策略进行执行。只有OU才可以附加GPO组策略

整个“域”——xzr.com 就是最大的组织单元
在域下新建组织单位“北京总部” 形成一个文件夹 文件夹中有一个logo代表OU
在他上面还有一个OU 域控制器Domain Controllers，里面放的不是用户，而是计算机DC1

正常情况下：LSDOU顺序
上级OU：	桌面：aa 运行：删除
下级OU：	x 运行：不删除
则下级OU的用户结果： 桌面：aa 运行：不删除

下级OU设置了阻止继承：
上级OU：	桌面：aa 运行：删除
下级OU：	x 运行：不删除
则下级OU的用户结果： 桌面：x 运行：不删除

****上级设置了强制：
上级OU：	桌面：aa 运行：删除
下级OU：	x 运行：不删除
则下级OU的用户结果： 桌面：aa 运行：删除

注意：当上级强制和下级阻止继承同时设置，强制生效！

13. 组策略中下发软件：
    1）只能下发微软格式的安装包： .msi
    2）创建一个共享文件夹，保证域用户有权限，并将要下发的安装包放到共享文件夹中
    3）在组策略中添加下发安装包（有2种选择，第1基于计算机下发，第2基于用户下发）

注意：组策略表包含2个部分：1.计算机配置：只对ou中的计算机资源生效
2.用户配置：只对ou中的域用户资源生效

步骤：
1.创建软件共享文件夹！
2.打开组策略–用户–软件设置，右键属性添加网络路径
3.添加软件
4.软件右键属性–部署–选中“在登录时安装应用程序”
5.客户机重启生效

14. AD域的桌面漫游： \dc1.haha.com\pic\abc.jpg
    1）创建一个共享文件夹，保证域用户有权限
    2）在普通成员机上，使用域用户登陆，并注销
    3）在普通成员机上，使用域管理员登陆，并将用户的配置文件上传到共享文件夹
    4）在DC的活动目录上，修改用户的用户属性，找到配置文件，并写入配置文件的网络路径，确定即可！