第1章 Active Directory域服务（AD DS） 1
1-1 Active Directory域服务概述 2
1-1-1 Active Directory域服务的适用范围（Scope） 2
1-1-2 名称空间（Namespace） 2
1-1-3 对象（Object）与属性（Attribute） 3
1-1-4 容器（Container）与组织单位（Organization Units,OU） 3
1-1-5 域树（Domain Tree） 4
1-1-6 信任（Trust） 5
1-1-7 林（Forest） 6
1-1-8 架构（Schema） 7
1-1-9 域控制器（Domain Controller） 7
1-1-10 Active Directory的复制模式 8
1-1-11 域中的其他成员计算机 8
1-1-12 DNS服务器 9
1-1-13 Lightweight Directory Access Protocol（LDAP） 10
1-1-14 全局编录（Global Catalog） 11
1-1-15 站点（Site） 11
1-1-16 目录分区（Directory Partition） 12
1-2 Windows Server 2008 R2域控制器的新功能 13
1-2-1 只读域控制器（RODC） 13
1-2-2 可重新启动的AD DS（Restartable AD DS） 14
1-2-3 Active Directory回收站 15
1-3 域功能级别与林功能级别 15
1-3-1 域功能级别（Domain Functionality Level） 15
1-3-2 林功能级别（Forest Functionality Level） 16
1-4 Active Directory轻型目录服务（AD LDS） 17
第2章 建立AD DS域 19
2-1 创建AD DS域前的准备工作 20
2-1-1 选择适当的DNS域名 20
2-1-2 准备好一台用来支持AD DS的DNS服务器 20
2-1-3 选择Active Directory数据库的存储位置 22
2-2 创建AD DS域 23
2-2-1 使用Windows窗口来安装第一台域控制器 24
2-2-2 使用应答文件来安装第一台域控制器 32
2-2-3 使用命令行来安装第一台域控制器 33
2-3 确认AD DS域是否正常 34
2-3-1 检查DNS服务器内的日志是否完整 34
2-3-2 排除注册失败的问题 37
2-3-3 检查Active Directory数据库文件与SYSVOL文件夹 38
2-3-4 新添加的管理工具 40
2-3-5 查看事件日志文件 40
2-4 提升域与林功能级别 41
2-4-1 提升域功能级别 42
2-4-2 提升林功能级别 42
2-5 添加额外域控制器与RODC 42
2-5-1 使用Windows窗口界面来安装额外域控制器 43
2-5-2 使用应答文件来安装额外域控制器 51
2-5-3 使用命令行来安装额外域控制器 52
2-5-4 使用安装媒体来安装额外域控制器 53
2-5-5 更改RODC的委派与密码复制策略设置 56
2-6 RODC阶段式安装 57
2-6-1 使用Windows窗口创建RODC账户 58
2-6-2 将服务器附加到RODC账户 62
2-7 将Windows计算机加入或脱离域 67
2-7-1 将Windows计算机加入域 67
2-7-2 使用已加入域的计算机登录 70
2-7-3 脱机加入域 71
2-7-4 脱离域 73
2-8 在域成员计算机内安装AD DS管理工具 74
2-8-1 在Windows Server 2008 R2计算机上安装AD DS管理工具 74
2-8-2 在Windows Server 2008计算机上安装AD DS管理工具 75
2-8-3 在Windows 7计算机上安装AD DS管理工具 75
2-8-4 在Windows Vista计算机上安装AD DS管理工具 76
2-9 删除域控制器和域 77
2-9-1 使用Windows窗口来删除域控制器或域 78
2-9-2 使用应答文件来删除域控制器或域 81
2-9-3 使用命令行来删除域控制器或域 82
2-10 域升级与在现有域环境中安装域控制器 83
2-10-1 将现有Windows 2000或Windows Server 2003林升级 83
2-10-2 在现有Windows 2000或Windows Server 2003林中添加Windows Server 2008或Windows Server 2008 R2域 86
2-10-3 在现有Windows 2000或Windows Server 2003域中添加Windows Server 2008或Windows Server 2008 R2域控制器 86
第3章 域用户与组账户的管理 87
3-1 管理域用户账户 88
3-1-1 创建组织单位与域用户账户 89
3-1-2 用户登录账户 90
3-1-3 创建UPN的后缀 92
3-1-4 账户的一般管理工作 93
3-1-5 域用户账户的属性设置 95
3-1-6 搜索用户账户 97
3-1-7 域控制器之间数据的复制 102
3-2 一次同时添加多个用户账户 103
3-2-1 使用csvde.exe来添加用户账户 104
3-2-2 使用ldifde.exe来添加、修改与删除用户账户 105
3-2-3 使用dsadd.exe等程序来添加、修改与删除用户账户 106
3-3 域组账户 108
3-3-1 域内的组类型 108
3-3-2 组的使用范围 109
3-3-3 域组的创建与管理 110
3-3-4 AD DS内置的组 111
3-3-5 特殊组账户 113
3-4 组的使用准则 113
3-4-1 A、G、DL、P策略 114
3-4-2 A、G、G、DL、P策略 114
3-4-3 A、G、U、DL、P策略 115
3-4-4 A、G、G、U、DL、P策略 115
第4章 使用组策略管理用户工作环境 116
4-1 组策略概述 117
4-1-1 组策略的功能 117
4-1-2 组策略对象 118
4-1-3 策略设置与首选设置 121
4-1-4 组策略的应用时限 122
4-2 策略设置实例演练 123
4-2-1 策略设置实例演练一：计算机配置 123
4-2-2 策略设置实例演练二：用户配置 125
4-3 首选设置实例演练 128
4-3-1 首选设置实例演练一 129
4-3-2 首选设置实例演练二 134
4-4 组策略的处理规则 138
4-4-1 一般的继承与处理规则 138
4-4-2 例外的继承设置 140
4-4-3 特殊的处理设置 143
4-4-4 更改管理GPO的域控制器 147
4-4-5 更改组策略的应用间隔时间 149
4-5 使用组策略来管理计算机与用户环境 151
4-5-1 计算机配置的管理模板策略 151
4-5-2 用户配置的管理模板策略 152
4-5-3 账户策略 153
4-5-4 用户权限分配策略 158
4-5-5 安全选项策略 160
4-5-6 登录／注销、启动／关机脚本 161
4-5-7 文件夹重定向 165
4-6 使用组策略来限制访问可移动存储设备 172
4-7 WMI筛选器 176
4-8 组策略建模与组策略结果 179
4-9 组策略的委派管理 186
4-9-1 站点、域或组织单位的GPC链接委派 186
4-9-2 编辑GPO的委派 187
4-9-3 添加GPO的委派 187
4-9-4 WMI筛选器的委派 188
4-10 Starter GPO的设置和使用 189
第5章 使用组策略部署软件 191
5-1 软件部署概述 192
5-1-1 将软件分配给用户 192
5-1-2 将软件分配给计算机 192
5-1-3 将软件发布给用户 192
5-1-4 自动修复软件 193
5-1-5 删除软件 193
5-2 将软件发布给用户 194
5-2-1 发布软件 194
5-2-2 客户端安装被发布的软件 197
5-2-3 测试自动修复软件的功能 198
5-2-4 取消已发布的软件 199
5-3 将软件分配给用户或计算机 200
5-3-1 分配给用户 200
5-3-2 分配给计算机 201
5-4 软件升级和重新部署 201
5-4-1 软件升级 201
5-4-2 重新部署 205
5-5 部署Microsoft Office 206
5-5-1 部署Microsoft Office 2003 206
5-5-2 部署Microsoft Office 2007 212
5-6 发布ZAP应用程序 217
5-7 软件部署的其他设置 220
5-7-1 更改部署默认值 220
5-7-2 更改高级部署设置 221
5-7-3 扩展名和软件关联的优先级 222
5-7-4 软件分类 222
5-8 将软件重新封装成MSI应用程序 224
第6章 限制软件的运行 227
6-1 软件限制策略概述 228
6-1-1 哈希规则 228
6-1-2 证书规则 228
6-1-3 路径规则 229
6-1-4 网络区域规则 229
6-1-5 规则的优先级 230
6-2 启用软件限制策略 230
6-2-1 新建哈希规则 231
6-2-2 新建路径规则 233
6-2-3 新建证书规则 235
6-2-4 新建网络区域规则 238
6-2-5 不要将软件限制策略应用到本地系统管理员 239
第7章 创建域树和林 241
7-1 创建第一个域 242
7-2 创建子域 242
7-2-1 使用Windows窗口来创建子域 243
7-2-2 使用应答文件来创建子域 250
7-2-3 使用命令行来创建子域 252
7-3 创建林中的第2个域树 252
7-3-1 选择适当的DNS架构 253
7-3-2 使用Windows窗口来创建第2个域树 255
7-3-3 使用应答文件来创建第2个域树 262
7-3-4 使用命令行来创建第2个域树 263
7-4 删除子域和域树 264
7-4-1 使用Windows窗口来删除子域或域树 264
7-4-2 使用应答文件来删除子域或域树 267
7-4-3 使用命令行来删除子域或域树 269
7-5 更改域控制器的计算机名称 270
第8章 管理域和林信任 272
8-1 域和林信任概述 273
8-1-1 信任域和受信任域 273
8-1-2 跨域访问资源的流程 273
8-1-3 信任的种类 276
8-1-4 创建信任前的注意事项 280
8-2 创建快捷方式信任 281
8-3 创建林信任 287
8-3-1 创建林信任前的注意事项 288
8-3-2 开始创建林信任 289
8-3-3 设置选择性身份验证 297
8-4 创建外部信任 299
8-5 管理和删除信任 302
8-5-1 信任的管理 302
8-5-2 信任的删除 305
第9章 Active Directory数据库的复制 307
9-1 站点与Active Directory数据库的复制 308
9-1-1 同一个站点之间的复制 309
9-1-2 不同站点之间的复制 310
9-1-3 目录分区与复制拓扑 311
9-1-4 复制协议 311
9-2 默认站点的管理 312
9-2-1 默认的站点 312
9-2-2 Servers文件夹与复制设置 313
9-3 利用站点来管理Active Directory复制 316
9-3-1 创建站点与子网 317
9-3-2 创建站点链接 319
9-3-3 将域控制器转移到所属的站点 321
9-3-4 指定首选的bridgehead服务器 322
9-3-5 站点链接与Active Directory数据库的复制设置 324
9-3-6 站点链接桥 326
9-3-7 站点链接桥的两个示例讨论 328
9-4 管理全局编录服务器 330
9-4-1 添加属性到全局编录内 330
9-4-2 全局编录的功能 331
9-4-3 通用组成员身份缓存 333
9-5 解决Active Directory复制冲突的问题 334
9-5-1 属性戳记 335
9-5-2 冲突的种类 335
第10章 操作主机的管理 339
10-1 操作主机概述 340
10-1-1 架构操作主机 340
10-1-2 域命名操作主机 340
10-1-3 RID操作主机 341
10-1-4 PDC模拟器操作主机 341
10-1-5 基础结构操作主机 344
10-2 操作主机的放置优化 344
10-2-1 基础结构操作主机的放置 345
10-2-2 PDC模拟器操作主机的放置 345
10-2-3 林级别操作主机的放置 346
10-2-4 域级别操作主机的放置 346
10-3 找出扮演操作主机角色的域控制器 347
10-3-1 找出架构操作主机 347
10-3-2 找出域命名操作主机 348
10-3-3 找出RID、PDC与基础结构操作主机 349
10-4 转移操作主机角色 349
10-5 夺取操作主机角色 353
10-5-1 操作主机关机所造成的影响 353
10-5-2 夺取操作主机角色实例演练一 355
10-5-3 夺取操作主机角色实例演练二 357
第11章 AD DS的维护 361
11-1 系统状态概述 362
11-1-1 Active Directory数据库 362
11-1-2 SYSVOL文件夹 363
11-2 备份AD DS 363
11-2-1 安装Windows Server Backup功能 363
11-2-2 备份系统状态 364
11-3 还原AD DS 367
11-3-1 进入目录服务还原模式的方法 367
11-3-2 执行AD DS的非授权还原 369
11-3-3 针对被删除的AD DS对象执行授权还原 374
11-4 Active Directory数据库的转移与重组 377
11-4-1 可重新启动的AD DS（Restartable AD DS） 377
11-4-2 转移Active Directory数据库文件 378
11-4-3 重组Active Directory数据库 382
11-5 重设目录服务还原模式的系统管理员密码 386
11-6 更改可重新启动的AD DS的登录设置 387
11-7 Active Directory回收站 387
11-7-1 Active Directory回收站的系统需求 388
11-7-2 启用Active Directory回收站 389
11-7-3 还原被删除的对象 389
第12章 将资源发布到AD DS 396
12-1 将共享文件夹发布到AD DS 397
12-1-1 利用Active Directory用户和计算机控制台 397
12-1-2 利用计算机管理控制台 399
12-2 搜索AD DS内的资源 400
12-2-1 通过网络 400
12-2-2 通过Active Directory用户和计算机控制台 402
12-3 将共享打印机发布到AD DS 404
12-3-1 发布打印机 404
12-3-2 通过AD DS搜索共享打印机 407
12-3-3 利用打印机位置来搜索打印机 407
第13章 自动信任根CA 412
13-1 自动信任CA的设置准则 413
13-2 自动信任内部的独立CA 413
13-2-1 下载独立根CA的证书并保存 414
13-2-2 将独立根CA的证书导入到受信任的根证书颁发机构策略 416
13-3 自动信任外部的CA 419
13-3-1 下载独立根CA的证书并保存 419
13-3-2 申请可以为证书信任列表签名的证书 420
13-3-3 创建证书信任列表（CTL） 423
附录A AD DS与防火墙 428
A-1 AD DS相关的端口 429
A-1-1 用户登录时会用到的端口 429
A-1-2 计算机登录时会用到的端口 430
A-1-3 创建域信任时会用到的端口 430
A-1-4 验证域信任时会用到的端口 430
A-1-5 访问文件资源时会用到的端口 431
A-1-6 运行DNS查询时会用到的端口 431
A-1-7 运行Active Directory数据库复制时会用到的端口 431
A-1-8 文件复制服务（FRS）会用到的端口 431
A-1-9 分布式文件系统（DFS）会用到的端口 432
A-1-10 其他可能需要开放的端口 432
A-2 限制动态RPC端口的使用范围 432
A-2-1 限制所有服务的动态RPC端口范围 433
A-2-2 限制Active Directory数据库复制时指定的静态端口 434
A-2-3 限制FRS使用指定的静态端口 435
A-2-4 限制DFS使用指定的静态端口 435
A-3 IPSec与VPN端口 437
A-3-1 IPSec所使用的协议与端口 437
A-3-2 PPTP VPN所使用的协议与端口 437
A-3-3 L2TP/IPSec所使用的协议与端口 437
附录B 服务器核心安装的管理 438
B-1 服务器核心安装概述 439
B-2 服务器核心安装的基本设置 440
B-2-1 更改计算机名 440
B-2-2 更改IP地址 441
B-2-3 启用服务器核心安装 443
B-2-4 加入域 443
B-2-5 将域用户加入本地Administrators组 444
B-2-6 更改日期与时间、地区及语言选项 445
B-3 在服务器核心安装内安装服务器角色 445
B-3-1 查看现有的角色与功能 445
B-3-2 DNS服务器角色 446
B-3-3 DHCP服务器角色 446
B-3-4 文件服务角色 447
B-3-5 Hyper-V角色 447
B-3-6 打印服务角色 448
B-3-7 Active Directory证书服务（AD CS）角色 448
B-3-8 Active Directory轻型目录服务（AD LDS）角色 448
B-3-9 Active Directory域服务（AD DS）角色 448
B-3-10 Stream Media Services角色 448
B-3-11 Web服务器（IIS）角色 449
B-4 在服务器核心安装内安装功能 450
B-5 服务器核心安装的远程管理 451
B-5-1 通过远程桌面来管理服务器核心安装 452
B-5-2 通过RemoteApp来管理服务器核心安装 453
B-5-3 通过MMC管理控制台来管理服务器核心安装 458
B-5-4 通过服务器管理器来管理服务器核心安装 460
B-5-5 通过Windows Remote Shell来管理服务器核心安装 467
B-5-6 安装硬件设备 467
B-5-7 其他注意事项 468
B-6 常用命令列表 468
B-6-1 设置与安装命令 469
B-6-2 网络与防火墙命令 470
B-6-3 更新、错误报告与回应 470
B-6-4 服务、程序与性能 471
B-6-5 事件日志 471
B-6-6 磁盘与文件系统 472
B-6-7 硬件设备驱动器 472