标签:打开 eve 继承 功能 改变 operation csv 有一个 存储
Windows Server 2012R2 域与活动目录介绍
2018年8月20日
14:11
什么是域
域(Domain)是Windows网络中独立运行的单位,域之间相互访问则需要建立信任关系(Trust Relation)。信任关系是连接在域与域之间的桥梁。当一个域与其他域建立了信任关系后,两个域之间不但可以按需要相互进行管理,还可以跨网分配文件和打印机等设备资源,使不同的域之间实现网络资源的共享与管理。
为什么需要域
如果资源分布在N台服务器上,那么用户需要资源时就要分别登陆这N台服务器,也就需要N个账号。一个用户如此,那M个呢,管理员也就需要给他们创建N*M个账户,这样不仅负责而且难管理。
有了域,管理员只需要给每个用户创建一个域用户,用户只需在域中登陆一次就可以访问域中的资源,实现了单一登陆。
用户信息是存放在域中的域控制器(DC,Domain Controller)上,上图中,可以在服务器中选定一台或者几台服务器作为域控制器。有多台域控制器时,各个域控制器是平等的,每个域控制器上都有所在域的全部用户的信息,域控制器之间需要同步这些信息。而其它不适域控制器的服务器仅仅是提供资源。
什么是活动目录
活动目录(Active Directory)是Windows 2003Server平台提供的目录服务。在中央数据库中存放信息,使用户在网络上只拥有一个用户账号。目录是存储各种对象的一个物理上的容器,目录服务是使目录中所有信息和资源发挥作用的服务。
信息的安全性大大增强,引入基于策略的管理,使系统的管理更加明朗,具有很强的可扩展性、可伸缩性、智能的信息复制能力,与DNS集成紧密、与其他目录服务具有互操作性、具有灵活的查询。
活动目录逻辑结构:域、组织单元、树、林。
域控制器(DC,Domain Controller)上存放着域中所有用户、组、计算机等信息(实际上域控制器存放的信息还不止这些),域控制器把这些信息存放在活动目录中。
活动目录和DNS 的关系
在TCP/IP网络中,DNS(Domain Name System)是用来解决计算机名字和IP地址的映射关系的,活动目录和DNS是紧密不可分的,活动目录使用DNS服务器来登记域控制器的IP、各种资源的定位等,在一个域林中至少要有一个DNS服务器存在,所以安装活动目录时需要同时安装DNS。此外,域的命名也是采用DNS的格式来命名的。
? 对象:用户、计算机、打印机、组等等。每个对象都有自己的属性以及属性值。
? 组织单元(OU,Organization Unit):组织单元是用来把对象按逻辑进行分组,便于管理、查找、授权和访问。组织单元只表示单个域中的对象集合(可包括组对象)组织单元具有继承性,子单元能够继承父单元的acl。同时域管理员可授予用户对域中所有组织单位或单个组织单位的管理权限。就像一个公司的各个部门的主管,权力平均化能更有效的管理。
Windows Server 2012R2 域与活动目录项目搭建
2018年8月25日
9:14
? 活动目录设计
} 域名与控制器的安装位置
n 中小企业,为简单起见,在网络中只安装一个域控制器
n 域的名字应该和DNS域名一样,为:DCServer.network.com
n 其它所有计算机加入到域中
} 组织单元的设计
n 我们这里根据公司的行政架构来设计OU
n 各部门的用户、组、计算机、打印机等均放到对应的组织单元上
实验拓扑图
实验用VMware Workstation Pro虚拟机来模拟服务器和客户机,虚拟机之间采用内部网络的网络连接方式,其中SUBDCServer充当域成员服务器服务器,DCServer和RODCSever(系统Windows Server 2012r2)为域控制器。
DCServer:
更改主机名:
a. 三种角色: 域控制器,成员服务器和独立服务器。
b. 服务器的这个三个角色可以发生改变。
SUBDCServer:
使用"Active Drirectory用户和计算机"工具来管理用户和组。
a.创建一个网络部组织单元,内有用户一,用户登录名为user1@network.com,密码为network.com,登录目标client。
b. 创建一个业务部组织单元,内有用户二,用户登录名为user2@network.com,密码为network.net登录段早上八点到晚上六点。
b. 创建一个业务部组织单元,内有用户二,用户登录名为user2@network.com,密码为network.net登录段早上八点到晚上六点。
创建子域通常用于以下几种情况:
创建子域的好处主要用以下几个方面。
在父子域环境中,由于父子域间会建立双向可传递的父子信任关系,因此父域用户默认可以使用子域的计算机;同理,子域用户也可以使用父域的计算机。
只读域控制器(Read-only Domian Controller,RODC)的AD DS数据库只可以被读取,不可以被修改,也就是说用户或应用程序无法直接修改RODC的AD DS数据库。RODC的AD DS数据库内容只能够从其他可读写的域控制器复制过来。 RODC主要设计给远程分公司网络来使用的,因为一般来说远程分公司的网络规模比较小,用户人数较少,此网络的安全措施或许并不如总公司完备,也可能缺乏IT技术人员,因此采用RODC可避免因其AD DS数据库被破坏影响整个AD DS环境。
辅助域控制器,在主域控不工作的事情下,辅助可以顶替他继续工作。
Windows Server 2012R2 域与活动目录知识点总结
2018年8月25日
9:30
目录:存储以某种方式相关联的对象的信息集
目录服务:用户通过其提供的服务来使用目录中的信息
目录服务功能:组织网络中的资源,提供对资源的管理,对资源的控制
功能:组织,管理,控制
适用范围:便于用户查找、管理和使用这些资源
目录服务的逻辑结构: 域(domain)
域树(domain tree)
森林(forest)
组织单元(OU)
目录服务的物理结构: 站点(site)
域控制器(domain controller)
操作主机(operation master)
域:
域是活动目录中逻辑结构的核心单元,是一个有安全边界的计算机集合。一个域包含许多计算机,它们由管理员设定,共用一个目录数据库,一个域有一个唯一的名字。
容器与OU:
看图写DN
Administrator@yinheedu.com UPN的认识。
账户类型:计算机账户,用户账户,组账户
用户账户UPN理解
建立UPN好处:
管理域账户的几种方式:ad管理中心,ad用户和组,目录服务工具,csvde,ldifde
域组的类型:通讯组(仅作电子邮件组,么有启用安全特性),安全组
域组作用域的分类:域本地组,全局组,通用组(三个域组的理解)
域组的嵌套:A,G,DL,P为主理解各种嵌套
访问令牌:
当用户登录到某台计算机,在验证用户帐号和密码无误外系统会为该用户建立一个"访问令牌"(access token),其包含该用户的SID和用户所属组的SID。用户拿到"访问令牌"后系统会根据令牌中的SID去决定用户对特定资源拥有哪些访问权限。
信任关系理解:
信任种类:
安全设置
组策略作用:
方便地管理AD中的计算机和用户
账户策略的设定
本地策略的设定
脚本的设定
用户桌面环境
计算机启动/关机与用户登录/注销时所执行的脚本文件
文件夹重定向
软件分发
应用组策略的前提条件
组策略结构:
GPO与SDOU间的链接关系
Windows Server 2012R2 AD域控 辅助域 只读域 子域
标签:打开 eve 继承 功能 改变 operation csv 有一个 存储
原文地址:https://www.cnblogs.com/zsbgy/p/9747021.html