Windows Server 2012R2 AD域控 辅助域 只读域 子域

Windows Server 2012R2 域与活动目录介绍

2018年8月20日

14:11

   

1. 域与活动目录

什么是域

域（Domain）是Windows网络中独立运行的单位，域之间相互访问则须要创建信任关系（Trust Relation）。信任关系是链接在域与域之间的桥梁。当一个域与其余域创建了信任关系后，两个域之间不但能够按须要相互进行管理，还能够跨网分配文件和打印机等设备资源，使不一样的域之间实现网络资源的共享与管理。

   

为何须要域

      若是资源分布在N台服务器上，那么用户须要资源时就要分别登录这N台服务器，也就须要N个帐号。一个用户如此，那M个呢，管理员也就须要给他们建立N*M个帐户，这样不只负责并且难管理。

有了域，管理员只须要给每一个用户建立一个域用户，用户只需在域中登录一次就能够访问域中的资源，实现了单一登录。

用户信息是存放在域中的域控制器（DC，Domain Controller）上，上图中，能够在服务器中选定一台或者几台服务器做为域控制器。有多台域控制器时，各个域控制器是平等的，每一个域控制器上都有所在域的所有用户的信息，域控制器之间须要同步这些信息。而其它不适域控制器的服务器仅仅是提供资源。

什么是活动目录

活动目录（Active Directory）是Windows 2003Server平台提供的目录服务。在中央数据库中存放信息，使用户在网络上只拥有一个用户帐号。目录是存储各类对象的一个物理上的容器，目录服务是使目录中全部信息和资源发挥做用的服务。

信息的安全性大大加强，引入基于策略的管理，使系统的管理更加明朗，具备很强的可扩展性、可伸缩性、智能的信息复制能力，与DNS集成紧密、与其余目录服务具备互操做性、具备灵活的查询。

活动目录逻辑结构：域、组织单元、树、林。

域控制器（DC,Domain Controller）上存放着域中全部用户、组、计算机等信息（实际上域控制器存放的信息还不止这些），域控制器把这些信息存放在活动目录中。

   

活动目录和DNS 的关系

在TCP/IP网络中，DNS（Domain Name System）是用来解决计算机名字和IP地址的映射关系的，活动目录和DNS是紧密不可分的，活动目录使用DNS服务器来登记域控制器的IP、各类资源的定位等，在一个域林中至少要有一个DNS服务器存在，因此安装活动目录时须要同时安装DNS。此外，域的命名也是采用DNS的格式来命名的。

   

1. 活动目录与组织单元

   

Ø  对象：用户、计算机、打印机、组等等。每一个对象都有本身的属性以及属性值。

Ø  组织单元（OU,Organization Unit）:组织单元是用来把对象按逻辑进行分组，便于管理、查找、受权和访问。组织单元只表示单个域中的对象集合（可包括组对象）组织单元具备继承性，子单元可以继承父单元的acl。同时域管理员可授予用户对域中全部组织单位或单个组织单位的管理权限。就像一个公司的各个部门的主管，权力平均化能更有效的管理。

   

   

   

   

   

Windows Server 2012R2 域与活动目录项目搭建

2018年8月25日

9:14

• 安装并配置域

Ø  活动目录设计

    } 域名与控制器的安装位置

        n  中小企业，为简单起见，在网络中只安装一个域控制器

        n  域的名字应该和DNS域名同样，为：DCServer.network.com

        n  其它全部计算机加入到域中

    } 组织单元的设计

        n  咱们这里根据公司的行政架构来设计OU

        n  各部门的用户、组、计算机、打印机等均放到对应的组织单元上

实验拓扑图

实验用VMware Workstation Pro虚拟机来模拟服务器和客户机，虚拟机之间采用内部网络的网络链接方式，其中SUBDCServer充当域成员服务器服务器，DCServer和RODCSever（系统Windows Server 2012r2）为域控制器。

DCServer：

更改主机名：

• 安装AD域控和DNS服务器。

• 下一步直至安装。

• 提高为域控制器。

• 选择添加林。（因要求来定域名）

• 输入密码，域控密码，用于域控降级，删除使用。

• 下一步，直到安装。

   

• 安装好重启计算机，因为活动目录的存在。启动时间会变长，发现创建好的域NETWORK。

• 在域控控制器上登陆时，只能以域中的用户登陆。虽然用户名仍然为Administrator，但Administrator是域用户。（该图在工具内Active Director用户和计算机）。

• 把客户机（服务器）加入域中

  a. 三种角色： 域控制器，成员服务器和独立服务器。

  b. 服务器的这个三个角色能够发生改变。

   

SUBDCServer：

• 打开电脑右键属性。

• 更改设置，

• 点击更改。

• 设置主机名和域名加入域控，输入帐号密码。帐号默认Administrator。

   

   

   

• 加入成功，重启电脑。

• 重启以后，打开计算机属性。

• 在DCServer域控制上能够查看到。

• 把服务器（计算机）从域中脱离

• 安装活动目录后的变化

  使用"Active Drirectory用户和计算机"工具来管理用户和组。

     

  a.建立一个网络部组织单元，内有用户一，用户登陆名为user1@network.com，密码为network.com，登陆目标client。

     

  b. 建立一个业务部组织单元，内有用户二，用户登陆名为user2@network.com，密码为network.net登陆段早上八点到晚上六点。

     

     

• 打开DCServer上Active Drirectory用户计算机。

• 右键建立组织单位。

   

• 右键建立用户。

• 用户登陆名。

• 选择用户不能更改密码和密码永不过时。密码为network.com

• 点击查看，选择高级功能。

• 打开网络部，右键选择用户选择属性。

• 点开帐户，点击登陆到，添加登陆目标client。

• 点击添加，选择client，肯定。

   

b. 建立一个业务部组织单元，内有用户二，用户登陆名为user2@network.com，密码为network.net登陆段早上八点到晚上六点。

   

• 同上建立组织单位，名称为业务部。

• 点开帐号，点击登陆时间。

• 点击星期一到星期日早上八点到以前拒绝登陆，晚上六点以后拒绝登陆

   

• 建立子域。

建立子域一般用于如下几种状况：

• 一个已经从公司中分离出来的独立经营的子公司。
• 有些公司的部门或小组基于对特殊技术的须要，而与其余部门相对独立的运行。
• 基于安全的考虑。

建立子域的好处主要用如下几个方面。

• 便于管理自身的用户和计算机，并容许采用不一样于父域的管理策略。
• 有利于子域资源的安全管理。

在父子域环境中，因为父子域间会创建双向可传递的父子信任关系，所以父域用户默承认以使用子域的计算机；同理，子域用户也可使用父域的计算机。

 

   

• 将RODCServer加入到域里面。

• 安装Active Drirectory域服务和DNS服务。

• 选择下一步，直到安装。

• 点击提高为域控制器。

• 选择第二个输入新域名RODCServer，并点击更改输入域用户和密码，默认administrator。

• 设置域管理密码，点击下一步到安装为止。

• 点击安装。

• 打开ActiveDirectory域信任关系，点击network.com右键属性。

• 点击信任查看。

• 在RODCServer上建立目录。

• 右键属性，点击安全。

• 选择第一个，点击编辑，点击肯定。

• 选择高级。

• 选择位置。

• 权限不只仅能够给域中的用也能够给林中的用户。

   

   

• 只读域控，辅助域控。

  只读域控制器（Read-only Domian Controller，RODC）的AD DS数据库只能够被读取，不能够被修改，也就是说用户或应用程序没法直接修改RODC的AD DS数据库。RODC的AD DS数据库内容只可以从其余可读写的域控制器复制过来。 RODC主要设计给远程分公司网络来使用的，由于通常来讲远程分公司的网络规模比较小，用户人数较少，此网络的安全措施或许并不如总公司完备，也可能缺少IT技术人员，所以采用RODC可避免因其AD DS数据库被破坏影响整个AD DS环境。

  辅助域控制器，在主域控不工做的事情下，辅助能够顶替他继续工做。

• 先将SUBDCServer加入，network域中。

• 安装Active Drirectory域，并提高为域控制器。

• 选择将域控添加到现有的域。

• 点击更改输入域控用户和密码。

   

• 选择只读域控作只读域控制器，不勾选只读，作辅助域控。输入密码还原模式密码。

 

• 默认选择下一步，选择DCServer.network.com

 

• 选择下一步到安装。