《二零一六_R2_AD_DS架构-第01部分_部署AD_DS、Kerberos及LDAP协议》.pdf

第01部分 部署AD DS 部署AD DS 为什么需要域 如果资源分布在多台服务器上，要在每台服务 器分别为每一员工建立一个账户（共M*N）， 用户则需要在每台服务器上（共M台）登录 域的好处 服务器和用户的计算机都在同一个域中，用户 在域中只要拥有一个账号 用户只需要在域中拥有一个域账户，只需要在 域中登录一次就可以访问域中的资源了。 本章重点 部署 AD DS 计算机在域内和域外的角色 将独立服务器加入域 将Windows XP加入域 退出域和DC降级 林与域功能级别 部署AD DS 建立第1个域 具体来说,建立第1个域就是要建立第1部域控制器 （Domain Controller,以下简称为DC） 而建立DC的第1个动作就是执行Dcpromo.exe－－但是必 须具有系统管理员权限才能执行此程序,因此务必先 以具有系统管理员权限的用户帐户登入。 建立第一部DC 以下的示范步骤,系假设目前的网络无任何域,所要建立 的是整个网络的第一个域－－又称为根域（Root Domain）。 『新增角色』并未建立DC 安装Windows Server 2008后,启动时预设会自 动开启初始化设定工作视窗,虽然可以在此窗 口中点选新增角色,接着选取安装Active Directory域服务,以使该计算机扮演DC角色。 然而,这种作法并未真正建立DC,到了最后一个 画面还是要求必须执行Dcpromo.exe,如下图。 『新增角色』并未建立DC 所以我们建议无须使用新增角色功能,干脆直接 执行Dcpromo.exe吧！ 执行Dcpromo.exe 请按开始钮,输入dcpromo、按Enter键： 执行Dcpromo.exe 之后按完成钮,再按立即重新启动钮。 重新启动后若要确认此计算机是否已经是DC,从 『开始/系统管理工具』菜单是否出现关于 Active Directory的命令即可得知： 执行Dcpromo.exe 先前在第6步骤所设的密码,系使用于当AD数据 库毁损时,可在开机启动Windows Server 2008之前按F8键,进入目录服务还原模式,重 建AD数据库。 由于此重建动作会改变既有的AD资料,为防止滥 用,因此必须以密码保护,而且此密码不必和 域系统管理员的密码相同。 域中的计算机 除了域控制器之外,域中的计算机还可区分成以 下两类： 成员服务器（Member Server） 工作站（Workstation） 成员服务器 安装Windows Server 2008、Windows Server 2003 / 2003 R2、Windows 2000 Server等系 统,加入了域、但不是DC的计算机。 或是安装Windows NT Server系统,且加入域的 电脑,都算是成员服务器。 由于这些服务器都是域的成员,所以审核使用者 身份的工作,都交由DC执行,使用者只要通过 DC的身份验证,即可依据设定的权限来使用服 务器所提供的服务。 换言之,成员服务器都信任DC的身分验证。 最好停用成员服务器的本机账户 虽然加入了域,但是成员服务器上仍保留本机的 帐户数据库,因此使用者仍可利用这些本机帐 户,登入该服务器。 对域的安全管理而言,这些本机账户可能会是漏 洞,所以我们建议停用成员服务器的本机帐户, 强迫使用者一律以域账户登入。 工作站 所有安装以下操作系统,而且加入域的计算机都 算是工作站： Windows NT Workstation Windows 2000 Professional Windows XP Professional Windows 7/vista商用入门版、商用进阶版和旗舰 版 工作站 使用者可利用这些工作站登入域,存取域中的资 源、执行应用程序等等,但是Windows Server 2