Chapter 1 Active Directory Domain Services(AD DS) 1
1-1 Active Directory Domain Services概述 1
1-1-1 Active Directory Domain Services的适用范围（Scope） 2
1-1-2 名称空间（Namespace） 2
1-1-3 对象（Obiect）与属性（Attribute） 2
1-1-4 容器（Container）与组织单位（Organization Units,OU） 3
1-1-5 域树目录（Domain Tree） 3
1-1-6 信任（Trust） 4
1-1-7 林（Forest） 5
1-1-8 架构（Schema） 6
1-1-9 域控制器（Domain Controller） 6
1-1-10 Active Directory的复制模式 7
1-1-11 域中的其他成员计算机 7
1-1-12 DNS服务器 8
1-1-13 轻型目录访问协议（LDAP） 8
1-1-14 全局编录（Global Catalog） 10
1-1-15 站点（Site） 10
1-1-16 目录分区（Directory Partition） 11
1-2 Windows Server 2008域控制器的新功能 12
1-2-1 只读域控制器（RODC） 12
1-2-2 可重新启动的AD DS（Restartable AD DS） 13
1-3 域功能级别与林功能级别 14
1-3-1 域功能级别（Domain Functionality Level） 14
1-3-2 林功能级别（Forest Functionality Level） 15
1-4 Active Directory轻型目录服务（AD LDS） 15
Chapter 2 创建AD DS域 17
2-1 创建AD DS域前的准备工作 17
2-1-1 选择适当的DNS域名 18
2-1-2 准备好用来支持AD DS的DNS服务器 18
2-1-3 选择Active Directory数据库的存储地点 20
2-2 创建AD DS域 21
2-2-1 使用Windows窗口界面来安装网络中的第一台域控制器 22
2-2-2 使用应答文件安装网络中的第一台域控制器 30
2-2-3 使用“命令行”来安装网络中的第一台域控制器 31
2-3 确认AD DS域是否正常 32
2-3-1 检查DNS服务器内的日志是否完整 32
2-3-2 排除注册失败的问题 35
2-3-3 检查Active Directory数据库文件与SYSVOL文件夹 36
2-3-4 添加新的管理工具 37
2-3-5 查看事件日志文件 38
2-4 提升域与林功能级别 39
2-4-1 提升域功能级别 39
2-4-2 提升林功能级别 39
2-5 添加额外域控制器与RODC 39
2-5-1 使用Windows窗口界面来安装额外域控制器 40
2-5-2 使用应答文件来安装额外域控制器 47
2-5-3 使用“命令行”来安装额外域控制器 49
2-5-4 使用“安装媒体”来安装额外域控制器 49
2-5-5 更改RODC的委派与密码复制策略设置 52
2-6 阶段式安装RODC 53
2-6-1 使用Windows窗口界面创建RODC账户 53
2-6-2 将服务器附加到RODC账户 57
2-7 将Windows计算机加入或脱离域 61
2-7-i 将Windows计算机加入域 61
2-7-2 使用已加入域的计算机登录 64
2-7-3 脱离域 65
2-8 在域成员计算机内安装AD DS管理工具 66
2-9 删除域控制器与域 67
2-9-1 使用Windows窗口界面来删除域控制器或域 68
2-9-2 使用应答文件来删除域控制器或域 71
2-9-3 使用“命令行”删除域控制器或域 72
2-10 域升级与在现有域环境中安装域控制器 73
2-10-1 将现有Windows 2000或Windows Server 2003林升级 73
2-10-2 在现有Windows 2000或Windows Server 2003林中添加一个Windows Server 2008域 75
2-10-3 在现有Windows 2000或Windows Server 2003域中添加一台Windows Server 2008域控制器 76
Chapter 3 域用户与组账户的管理 77
3-1 管理域用户账户 77
3-1-1 创建组织单位与域用户账户 78
3-1-2 用户登录账户 79
3-1-3 创建UPN的后缀 81
3-1-4 账户的一般管理工作 82
3-1-5 域用户账户的内容设置 84
3-1-6 查找用户账户 86
3-1-7 域控制器之间数据的复制 87
3-2 一次同时添加多个用户账户 89
3-2-1 利用csvde.exe来添加用户账户 89
3-2-2 利用ldifd.eexe来添加、修改与删除用户账户 91
3-2-3 利用dsadd.exe等程序来添加、修改与删除用户账户 92
3-3 域组账户 93
3-3-1 域内的组类型 94
3-3-2 组的作用域 94
3-3-3 域组的创建与管理 95
3-3-4 AD DS内置的组 96
3-3-5 特殊组账户 98
3-4 组的使用准则 99
3-4-1 A、G、DL、P策略 99
3-4-2 A、G、G、DL、P策略 99
3-4-3 A、G、U、DL、P策略 100
3-4-4 A、G、G、U、DL、P策略 100
Chapter 4 利用组策略来管理用户的工作环境 101
4-1 组策略概述 101
4-1-1 组策略的功能 101
4-1-2 组策略对象（Group Policy Object） 103
4-1-3 策略设置与首选项设置 105
4-1-4 组策略的应用时限 106
4-2 策略设置实战演练 107
4-2-1 策略设置实战演练1：计算机配置 107
4-2-2 策略设置实战演练2：用户配置 109
4-3 首选项设置实战演练 112
4-3-1 首选项设置实战演练1 112
4-3-2 首选项设置实战演练2 117
4-4 组策略的处理规则 121
4-4-1 一般的继承与处理规则 121
4-4-2 特殊的继承设置 122
4-4-3 特殊的处理设置 125
4-4-4 更改管理GPO的域控制器 129
4-4-5 更改组策略的应用间隔时间 131
4-5 利用组策略来管理计算机与用户环境 133
4-5-1 计算机配置的管理模板策略 133
4-5-2 用户配置的管理模板策略 134
4-5-3 账户策略 135
4-5-4 用户权限分配策略 139
4-5-5 安全选项策略 141
4-5-6 登录／注销、启动／关机脚本 142
4-5-7 文件夹重定向 145
4-6 利用组策略来限制访问“可移动存储设备” 152
4-7 WMI筛选器 155
4-8 组策略建模与组策略结果 159
4-8-1 组策略建模 159
4-8-2 组策略结果 163
4-9 组策略的委派管理 165
4-9-1 站点、域或组织单位的GPO链接委派 165
4-9-2 编辑GPO的委派 166
4-9-3 添加GPO的委派 166
4-10 “Starter GPO”的设置与使用 167
Chapter 5 利用组策略部署软件 169
5-1 软件部署概述 169
5-1-1 将软件分配给用户 170
5-1-2 将软件分配给计算机 170
5-1-3 将软件发布给用户 170
5-1-4 自动修复软件 171
5-1-5 删除软件 171
5-2 将软件发布给用户 171
5-2-1 发布软件 171
5-2-2 客户端安装已发布的软件 174
5-2-3 测试自动修复软件的功能 175
5-2-4 取消已发布的软件 177
5-3 将软件分配给用户或计算机 177
5-3-1 分配给用户 177
5-3-2 分配给计算机 178
5-4 将软件升级与重新部署 179
5-4-1 软件升级 179
5-4-2 重新部署 181
5-5 部署Microsoft Office 182
5-5-1 部署Microsoft Office 2003 183
5-5-2 部署Microsoft Office 2007 188
5-6 发布ZAP应用程序 192
5-7 软件部署的其他设置 195
5-7-1 更改部署默认值 195
5-7-2 更改高级部署设置 196
5-7-3 扩展名与软件关联的优先级 197
5-7-4 软件分类 197
5-8 将软件重新包装成“MSI应用程序” 199
Chapter 6 限制软件的运行 201
6-1 软件限制策略概述 201
6-1-1 哈希规则 202
6-1-2 证书规则 202
6-1-3 路径规则 202
6-1-4 网络区域规则 202
6-1-5 规则的优先级 203
6-2 启用软件限制策略 203
6-2-1 新建哈希规则 204
6-2-2 新建路径规则 207
6-2-3 新建证书规则 209
6-2-4 新建网络区域规则 212
6-2-5 不要将软件限制策略应用到本地系统管理员 213
Chapter 7 新建域树和林 215
7-1 新建第一个域 215
7-2 新建子域 216
7-2-1 利用Windows窗口界面来新建子域 216
7-2-2 利用应答文件来新建子域 225
7-2-3 使用“命令行”来新建子域 227
7-3 新建林中的第2个域树 228
7-3-1 选择适当的DNS架构 228
7-3-2 使用Windows窗口界面来新建第2个域树 230
7-3-3 使用应答文件来新建第2个域树 239
7-3-4 使用“命令行”来新建第2个域树 240
7-4 删除子域与域树 240
7-4-1 使用Windows窗口界面来删除子域或域树 241
7-4-2 使用应答文件来删除子域或域树 244
7-4-3 使用“命令行”来删除子域或域树 246
7-5 更改域控制器的计算机名 246
Chapter 8 管理域与林信任 249
8-1 域与林信任概述 249
8-1-1 信任域与受信任域 249
8-1-2 跨域访问资源的流程 250
8-1-3 信任的种类 252
8-1-4 建立信任前的注意事项 256
8-2 建立“快捷方式信任” 258
8-3 新建“林信任” 263
8-3-1 建立“林信任”前的注意事项 264
8-3-2 开始建立“林信任” 265
8-3-3 “选择性身份验证”设置 272
8-4 建立“外部信任” 275
8-5 管理与删除信任 277
8-5-1 信任的管理 277
8-5-2 信任的删除 280
Chapter 9 Active Directory数据库的复制 283
9-1 站点与Active Directory数据库的复制 283
9-1-1 同一个站点之间的复制 284
9-1-2 不同站点之间的复制 286
9-1-3 目录分区与复制拓扑 287
9-1-4 复制协议 287
9-2 默认站点的管理 287
9-2-1 默认的站点 287
9-2-2 Servers文件夹与复制设置 288
9-3 用站点来管理Active Directory复制 290
9-3-1 建立站点与子网 291
9-3-2 建立站点链接 293
9-3-3 将域控制器转移到所属的站点 294
9-3-4 指定“首选的bridgehead服务器” 296
9-3-5 站点链接 Active Directory数据库的复制设置 297
9-3-6 站点链接桥 299
9-3-7 站点链接桥的两个范例 301
9-4 管理“全局编录服务器” 303
9-4-1 将属性添加到全局编录内 303
9-4-2 全局编录的功能 304
9-4-3 通用组成员身份缓存 305
9-5 解决Active Directory复制冲突的问题 307
9-5-1 属性印章 307
9-5-2 冲突的种类 307
Chapter 10 操作主机的管理 311
10-1 操作主机概述 311
10-1-1 架构操作主机 312
10-1-2 域命名操作主机 312
10-1-3 RID操作主机 312
10-1-4 PDC模拟器操作主机 312
10-1-5 基础结构操作主机 315
10-2 操作主机的放置优化 316
10-2-1 基础结构操作主机的放置 316
10-2-2 PDC模拟器操作主机的放置 316
10-2-3 林级别操作主机的放置 317
10-2-4 域级别操作主机的放置 317
10-3 找出扮演操作主机角色的域控制器 318
10-3-1 找出“架构操作主机” 318
10-3-2 找出“域命名操作主机” 319
10-3-3 找出“RID”、“PDC模拟器”与“基础结构”操作主机 320
10-4 转移操作主机角色 320
10-5 夺取操作主机角色 323
10-5-1 操作主机故障所造成的影响 323
10-5-2 夺取操作主机角色实战演练1 325
10-5-3 夺取操作主机角色实战演练2 327
Chapter 11 AD DS的维护 331
11-1 系统状态概述 331
11-1-1 Active Directory数据库 332
11-1-2 SYSVOL文件夹 333
11-2 备份AD DS 333
11-2-1 安装Windows Server Backup功能 333
11-2-2 备份系统状态 333
11-3 还原AD DS 335
11-3-1 进入“目录服务还原模式”的方法 335
11-3-2 执行AD DS的“非系统授权还原” 336
11-3-3 针对被删除的AD DS对象执行“系统授权还原” 337
11-3-4 还原组成员的隶属关系 341
11-4 Active Directory数据库的转移与整理 342
11-4-1 可重新启动的AD DS（Restartable AD DS） 342
11-4-2 转移Active Directory数据库文件 342
11-4-3 整理Active Directory数据库 347
11-5 重设“目录服务还原模式”的系统管理员密码 350
11-6 更改“可重新启动的AD DS”的登录设置 351
Chapter 12 将资源发布到AD DS 353
12-1 将共享文件夹发布到AD DS 353
12-1-1 利用“Active Directory用户和计算机”控制台发布 353
12-1-2 利用“计算机管理”控制台发布 355
12-2 查找AD DS内的资源 356
12-2-1 通过“网络”查找 356
12-2-2 通过“Active Directory用户和计算机”控制台查找 358
12-3 将共享打印机发布到AD DS 361
12-3-1 发布打印机 361
12-3-2 通过AD DS查找共享打印机 363
12-3-3 利用“打印机位置”来查找打印机 363
Chapter 13 自动信任根CA 367
13-1 自动信任CA的设置准则 367
13-2 自动信任内部的独立CA 368
13-2-1 下载独立根CA的证书并保存 368
13-2-2 将独立根CA的证书导入到“受信任的根证书颁发机构”策略 370
13-3 自动信任外部的CA 373
13-3-1 下载独立根CA的证书并保存 374
13-3-2 创建“证书信任列表（CTL）” 377
Appendix A AD DS与防火墙 383
A-1 AD DS相关的端口 383
A-1-1 将客户端计算机加入域和用户登录时会用到的端口 384
A-1-2 计算机登录时会用到的端口 384
A-1-3 创建域信任时会用到的端口 385
A-1-4 验证域信任时会用到的端口 385
A-1-5 访问文件资源时会用到的端口 385
A-1-6 执行DNS查询时会用到的端口 385
A-1-7 执行Active Directory数据库复制时会用到的端口 385
A-1-8 文件复制服务（FRS）会用到的端口 386
A-1-9 分布式文件系统（DFS）会用到的端口 386
A-1-10 其他可能需要开放的端口 387
A-2 限制动态RPC端口的使用范围 387
A-2-1 限制所有服务的动态RPC端口范围 387
A-2-2 限制Active Directory数据库复制使用指定的静态端口 389
A-2-3 限制FRS使用指定的静态端口 390
A-2-4 限制DFS使用指定的静态端口 390
A-3 IPSec与VPN端口 391
A-3-1 IPSec所使用的协议与端口 391
A-3-2 PPTP VPN所使用的协议与端口 391
A-3-3 L2TP/IPSec所使用的协议与端口 391
Appendix B 服务器核心安装选项的管理 393
B-1 “服务器核心安装”概述 393
B-2 “服务器核心安装”的基本设置 394
B-2-1 更改计算机名称 394
B-2-2 更改IP地址 395
B-2-3 启用“服务器核心安装” 396
B-2-4 启用Windows防火墙的“远程管理”规则 396
B-2-5 加入域 397
B-2-6 将域用户加入本地Administrators组 397
B-2-7 更改日期与时间、地区及语言选项 397
B-3 在“服务器核心安装”内安装服务器角色 398
B-3-1 查看现有的角色 398
B-3-2 DNS服务器角色 398
B-3-3 DHCP服务器角色 399
B-3-4 文件服务角色 399
B-3-5 Hyper-V角色 400
B-3-6 打印服务角色 400
B-3-7 Active Directory Lightweight Directory Services（AD LDS）角色 400
B-3-8 Active Directory Domain Services（AD DS）角色 400
B-3-9 Stream Media Services角色 400
B-3-10 Web服务器（IIS）角色 401
B-4 在“服务器核心安装”内安装功能 402
B-5 管理“服务器核心安装” 403
B-5-1 在“命令提示符”环境下管理 404
B-5-2 在远程计算机通过“远程桌面”管理 404
B-5-3 在远程计算机通过TS RemoteApp管理 405
B-5-4 在远程计算机通过Windows Remote Shell管理 408
B-5-5 在远程计算机通过MMC管理控制台管理 408
B-5-6 硬件设备的安装 409
B-5-7 其他注意事项 410
B-6 常用命令列表 410
B-6-1 设置与安装命令 411
B-6-2 网络与防火墙命令 412
B-6-3 更新、错误报告与回应 412
B-6-4 服务、程序与性能 413
B-6-5 事件日志 414
B-6-6 磁盘与文件系统 414
B-6-7 硬件设备驱动程序 415