Windows Server 2012 R2 Active Directory配置指南PDF电子书下载

第1章 Active Directcry域服务（AD DS） 1

1.1 Active Directory域服务概述 2

1.1.1 Active Directory域服务的适用范围（Scope） 2

1.1.2 名称空间（Namespace） 2

1.1.3 对象（Object）与属性（Attribute） 3

1.1.4 容器（Container）与组织单位（Organization Units,OU） 3

1.1.5 域树（Domain Tree） 4

1.1.6 信任（Trust） 5

1.1.7 林（Forest） 5

1.1.8 架构（Schema） 6

1.1.9 域控制器（Domain Controller） 6

1.1.10 只读域控制器（RODC） 7

1.1.11 可重新启动的ADDS（Restartable ADDS） 9

1.1.12 Active Directory回收站 9

1.1.13 ADDS的复制模式 9

1.1.14 域中的其他成员计算机 10

1.1.15 DNS服务器 10

1.1.16 轻型目录访问协议（LDAP） 11

1.1.17 全局编录（Global Catalog） 12

1.1.18 站点（Site） 12

1.1.19 目录分区（Directory Partition） 13

1.2 域功能级别与林功能级别 14

1.2.1 域功能级别（Domain Functionality Level） 14

1.2.2 林功能级别（Forest Functionality Level） 15

1.3 Active Directory轻型目录服务 15

第2章 建立ADDS域 17

2.1 建立ADDS域前的准备工作 18

2.1.1 选择适当的DNS域名 18

2.1.2 准备好一台支持ADDS的DNS服务器 18

2.1.3 选择ADDS数据库的存储位置 20

2.2 建立ADDS域 21

2.3 确认ADDS域是否正常 26

2.3.1 检查DNS服务器内的记录是否完整 27

2.3.2 排除登记失败的问题 30

2.3.3 检查AD DS数据库文件与SYSVOL文件夹 30

2.3.4 新增加的管理工具 32

2.3.5 查看事件日志文件 32

2.4 提升域与林功能级别 33

2.5 新建额外域控制器与RODC 34

2.5.1 安装额外域控制器 35

2.5.2 利用安装介质来安装额外域控制器 40

2.5.3 修改RODC的委派与密码复制策略设置 42

2.6 RODC阶段式安装 43

2.6.1 建立RODC账户 43

2.6.2 将服务器附加到RODC账户 48

2.7 将Windows计算机加入或脱离域 51

2.7.1 将Windows计算机加入域 51

2.7.2 利用已加入域的计算机登录 55

2.7.3 脱机加入域 56

2.7.4 脱离域 57

2.8 在域成员计算机内安装AD DS管理工具 58

2.9 删除域控制器与域 60

第3章 域用户与组账户的管理 65

3.1 管理域用户账户 66

3.1.1 创建组织单位与域用户账户 67

3.1.2 用户登录账户 68

3.1.3 创建UPN的后缀 69

3.1.4 账户的一般管理工作 71

3.1.5 域用户账户的属性设置 72

3.1.6 搜索用户账户 74

3.1.7 域控制器之间数据的复制 79

3.2 一次同时添加多个用户账户 80

3.2.1 利用csvde.exe来新建用户账户 81

3.2.2 利用klifde.exe来添加、修改与删除用户账户 82

3.2.3 利用dsadd.exe等程序来添加、修改与删除用户账户 83

3.3 域组账户 85

3.3.1 域内的组类型 85

3.3.2 组的使用范围 85

3.3.3 域组的建立与管理 86

3.3.4 AD DS内置的组 87

3.3.5 特殊组账户 89

3.4 组的使用原则 89

3.4.1 A、G、DL、P原则 90

3.4.2 A、G、G、DL、P原则 90

3.4.3 A、G、U、DL、P原则 91

3.4.4 A、G、G、U、DL、P原则 91

第4章 使用组策略管理用户工作环境 92

4.1 组策略概述 93

4.1.1 组策略的功能 93

4.1.2 组策略对象 94

4.1.3 策略设置与首选项设置 97

4.1.4 组策略的应用时机 97

4.2 策略设置实例演示 98

4.2.1 策略设置实例演示一：计算机配置 98

4.2.2 策略设置实例演示二：用户配置 101

4.3 首选项设置实例演示 103

4.3.1 首选项设置实例演示一 103

4.3.2 首选项设置实例演示二 107

4.4 组策略的处理规则 109

4.4.1 一般的继承与处理规则 109

4.4.2 例外的继承设置 111

4.4.3 特殊的处理设置 113

4.4.4 更改管理GPO的域控制器 117

4.4.5 更改组策略的应用间隔时间 118

4.5 利用组策略来管理计算机与用户环境 120

4.5.1 计算机配置的管理模板策略 121

4.5.2 用户配置的管理模板策略 122

4.5.3 账户策略 123

4.5.4 用户权限分配策略 126

4.5.5 安全选项策略 128

4.5.6 登录／注销、启动／关机脚本 128

4.5.7 文件夹重定向 132

4.6 使用组策略限制访问可移动存储设备 138

4.7 WMI 筛选器 141

4.8 组策略模型与组策略结果 145

4.9 组策略的委派管理 151

4.9.1 站点、域或组织单位的GPO链接委派 151

4.9.2 编辑GPO的委派 152

4.9.3 新建GPO的委派 152

4.10 Starter GPO的设置和使用 153

第5章 利用组策略部署软件 156

5.1 软件部署的概述 157

5.1.1 将软件分配给用户 157

5.1.2 将软件分配给计算机 157

5.1.3 将软件发布给用户 157

5.1.4 自动修复软件 158

5.1.5 删除软件 158

5.2 将软件发布给用户 158

5.2.1 发布软件 158

5.2.2 在客户端安装被发布的软件 161

5.2.3 测试自动修复软件的功能 162

5.2.4 取消已发布的软件 163

5.3 将软件分配给用户或计算机 164

5.3.1 分配给用户 164

5.3.2 分配给计算机 165

5.4 对软件进行升级并重新部署 166

5.4.1 软件升级 166

5.4.2 重新部署 169

5.5 部署Microsoft Office 171

5.6 软件部署的其他设置 176

5.6.1 更改部署默认值 177

5.6.2 更改高级部署设置 177

5.6.3 扩展名与软件关联的优先级 178

5.6.4 软件分类 179

5.7 将软件重新封装成MSI应用程序 180

第6章 限制软件的运行 183

6.1 软件限制策略概述 184

6.1.1 哈希规则 184

6.1.2 证书规则 184

6.1.3 路径规则 185

6.1.4 网络区域规则 185

6.1.5 规则的优先级 185

6.2 启用软件限制策略 186

6.2.1 建立哈希规则 187

6.2.2 建立路径规则 189

6.2.3 建立证书规则 191

6.2.4 建立网络区域规则 194

6.2.5 不要将软件限制策略应用到本地系统管理员 195

第7章 建立域树和林 196

7.1 建立第一个域 197

7.2 建立子域 197

7.3 建立林中的第二个域树 203

7.3.1 选择适当的DNS架构 204

7.3.2 建立第二个域树 206

7.4 删除子域与域树 212

7.5 更改域控制器的计算机名称 215

第8章 管理域和林信任 220

8.1 域与林信任概述 221

8.1.1 信任域与受信任域 221

8.1.2 跨域访问资源的流程 221

8.1.3 信任的种类 224

8.1.4 建立信任前的注意事项 227

8.2 建立快捷方式信任 229

8.3 建立林信任 235

8.3.1 建立林信任前的注意事项 235

8.3.2 开始建立林信任 236

8.3.3 选择性验证设置 244

8.4 建立外部信任 246

8.5 管理与删除信任 248

8.5.1 信任的管理 248

8.5.2 信任的删除 251

第9章 AD DS数据库的复制 254

9.1 站点与ADDS数据库的复制 255

9.1.1 同一个站点之间的复制 256

9.1.2 不同站点之间的复制 257

9.1.3 目录分区与复制拓扑 258

9.1.4 复制协议 258

9.2 默认站点的管理 259

9.2.1 默认的站点 259

9.2.2 Servers文件夹与复制设置 260

9.3 利用站点来管理ADDS复制 263

9.3.1 创建站点与子网 264

9.3.2 创建站点链接 267

9.3.3 将域控制器移动到所属的站点 268

9.3.4 指定首选的bridgehead服务器 270

9.3.5 站点链接与ADDS数据库的复制设置 271

9.3.6 站点链接桥 272

9.3.7 站点连接桥的两个示例讨论 274

9.4 管理全局编录服务器 276

9.4.1 添加属性到全局编录内 277

9.4.2 全局编录的功能 277

9.4.3 通用组成员身份缓存 279

9.5 解决ADDS复制冲突的问题 280

9.5.1 属性戳记 281

9.5.2 冲突的种类 281

第10章 操作主机的管理 285

10.1 操作主机概述 286

10.1.1 架构操作主机 286

10.1.2 域命名操作主机 286

10.1.3 RID操作主机 287

10.1.4 PDC模拟器操作主机 287

10.1.5 基础结构操作主机 291

10.2 操作主机的放置优化 291

10.2.1 基础结构操作主机的放置 291

10.2.2 PDC模拟器操作主机的放置 291

10.2.3 林级别操作主机的放置 293

10.2.4 域级别操作主机的放置 293

10.3 找出扮演操作主机角色的域控制器 293

10.3.1 利用管理控制台找出扮演操作主机的域控制器 293

10.3.2 利用命令找出扮演操作主机的域控制器 295

10.4 转移操作主机角色 296

10.4.1 利用管理控制台 297

10.4.2 利用Windows PowerShell命令 299

10.5 夺取操作主机角色 300

10.5.1 操作主机停止服务所造成的影响 300

10.5.2 夺取操作主机角色实例演示 302

第11章 AD DS的维护 305

11.1 系统状态概述 306

11.1.1 ADDS数据库 306

11.1.2 SYSVOL文件夹 307

11.2 备份ADDS 307

11.2.1 安装Windows Server Backup功能 307

11.2.2 备份系统状态 308

11.3 还原ADDS 310

11.3.1 进入目录服务还原模式的方法 311

11.3.2 执行ADDS的非授权还原 312

11.3.3 针对被删除的ADDS对象执行授权还原 316

11.4 ADDS数据库的移动与重组 319

11.4.1 可重新启动的ADDS(Restartable ADDS) 320

11.4.2 移动ADDS数据库文件 320

11.4.3 重组ADDS数据库 324

11.5 重置“目录服务还原模式”的系统管理员密码 327

11.6 更改可重新启动的ADDS的登录设置 328

11.7 Active Directory回收站 329

第12章 将资源发布到AD DS 333

12.1 将共享文件夹发布到ADDS 334

12.1.1 利用Active Directory用户和计算机控制台 334

12.1.2 利用计算机管理控制台 335

12.2 查找ADDS内的资源 336

12.2.1 通过网络 336

12.2.2 通过Active Directory用户和计算机控制台 338

12.3 将共享打印机发布到ADDS 339

12.3.1 发布打印机 339

12.3.2 通过ADDS查找共享打印机 341

12.3.3 利用打印机位置来查找打印机 341

第13章 自动信任根CA 345

13.1 自动信任CA的设置准则 346

13.2 自动信任内部的独立CA 346

13.2.1 下载独立根CA的证书并另存为证书文件 347

13.2.2 将CA证书导入到受信任的根证书颁发机构策略 348

13.3 自动信任外部的CA 351

13.3.1 下载独立根CA的证书并另存为证书文件 351

13.3.2 建立证书信任列表（CTL） 354

附录A AD DS与防火墙 358

A.1 ADDS相关的端口 359

A.1.1 将客户端计算机加入域、用户登录时会用到的端口 359

A.1.2 计算机登录时会用到的端口 360

A.1.3 建立域信任关系时会用到的端口 360

A.1.4 验证域信任时会用到的端口 360

A.1.5 访问文件资源时会用到的端口 361

A.1.6 执行DNS查询时会用到的端口 361

A.1.7 执行ADDS数据库复制时会用到的端口 361

A.1.8 文件复制服务（FRS）会用到的端口 361

A.1.9 分布式文件系统（DFS）会用到的端口 362

A.1.10 其他可能需要开放的端口 362

A.2 限制动态RPC端口的使用范围 362

A.2.1 限制所有服务的动态RPC端口范围 363

A.2.2 限制ADDS数据库复制使用指定的静态端口 365

A.2.3 限制FRS使用指定的静态端口 366

A.2.4 限制DFS使用指定的静态端口 367

A.3 IPSec与VPN端口 368

A.3.1 IPSec所使用的通信协议与端口 368

A.3.2 PPTPVPN所使用的通信协议与端口 369

A.3.3 L2TP/IPSec所使用的通信协议与端口 369

附录B ServerCoe服务器的管理 370

B.1 Server Core服务器概述 371

B.2 Server Core服务器的基本设置 373

B.2.1 修改计算机名 373

B.2.2 修改IP地址 373

B.2.3 启用ServerCore服务器 375

B.2.4 加入域 376

B.2.5 将域用户加入本机Administrators组 377

B.2.6 修改日期与时间 377

B.3 在Server Gore服务器内安装角色与功能 377

B.3.1 查看所有角色与功能的状态 377

B.3.2 DNS服务器角色 378

B.3.3 DHCP服务器角色 379

B.3.4 文件服务器角色 379

B.3.5 Hyper-V角色 379

B.3.6 打印服务角色 380

B.3.7 Active Directory证书服务（ADCS）角色 380

B.3.8 Active Directory域服务（AD DS）角色 380

B.3.9 Web服务器（IIS）角色 380

B.4 远程管理Server Core服务器 381

B.4.1 通过服务器管理器来管理ServerCore服务器 381

B.4.2 通过MMC管理控制台来管理ServerCore服务器 385

B.4.3 通过远程桌面来管理Server Core服务器 386

B.4.4 硬件设备的安装 388

B.5 切换到GUI模式 389

B.5.1 若Server Core服务器是从GUI图形模式转换过来的 389

B.5.2 若Server Core服务器被安装为ServerCore模式 389