AD域控制器NTP服务设置

1）首先确认虚拟化底层的时间是否准确，因为所有虚拟机会自动同步虚拟主机的时间。

2）在所有AD服务器上开启时间同步功能

一、找到适合的NTP服务器

首先需要找一个适合自己网络环境的NTP服务器，因为不同的网络会有不同的NTP服务器起作用，检测NTP服务器的方法为在AD上运行 w32tm /stripchart /computer:NTP服务器域名或IP ，如 w32tm /stripchart /computer:182921211 ，若是可以使用会显示如下图

找到适合自己网络的可用NTP服务器后，假设找到182921211为可用NTP服务器，在AD服务器上开启时间同步，运行如下命令

三、设置主域控制器与国家授时中心服务器时间同步，同步周期为1天。

1、 添加时间服务器

在右边窗口点右键新建“字符串值”，将此“字符串值”命名为0。双击此新建的“字符串值”，输入： 182921211 ，保存。将“默认”（即第一个“字符串值”）修改为0即可，删除其他所有的值只保留如图所示的值

2、 指定时间源

修改键NtpServer的值为 182921211

3、 设置校时周期

修改键SpecialPollInterval的值为十进制的604800（即为604800秒，1天）

四、设置权威服务器

1、 设置权威服务器

在域控服务器上打开注册表，找到键值

修改键AnnounceFlags的值为十进制的10。

2、 启用 NTPServer

修改键Enabled的值为十进制的1

五、配置组策略，设置时间同步

1、 打开组策略管理

2、 在“Default Domain Policy”上右键，编辑。

3、 计算机配置—管理模板—系统—Windows时间服务，双击“全局配置设置”，选择“已启用”。

修改MaxNegPhaseCorrection的值为3600（即为3600秒，1小时）

修改MaxPosPhaseCorrection的值为3600（即为3600秒，1小时）

修改AnnounceFlags的值为5

点“应用”，“确定”。

4、 计算机配置—管理模板—系统—Windows时间服务—时间提供程序，“启用Windows NTP客户端”，选择“已启用”。

“配置Windows NTP客户端”，选择“已启用”。

修改NtpSever的值为 1829211

修改Type的值为NTP

修改SpecialPollInterval的值为1800（30分钟）

5、cmd命令在域控和客户端完成检测

域控上运行下面三条命令检测，返回成功执行了命令即为成功。若是返回此计算机没有重新同步，因为没有可用的时间数据。请排查上述文档中一步时间服务器是否可用，和五-4步服务器是否正确，看w32tm /query /source命令返回的结果是否正确。

域内的客户端想要同主域时间同步，执行下面的命令，返回成功执行了命令即为成功

注意时间若想成功同步，时间不能跟标准时间差别太大，在范围内的才能成功同步。

1、系统时间比标准时间系统时间晚14小时59分钟之内

2、系统时间比标准时间早30分钟之内

3）对于有些客户端Windows Times服务会自动停止，可以尝试重新注册一下此服务项

1首先，运行如下命令删除时间服务：

2然后，再运行如下命令加载默认时间配置服务：

使用 LDIFDE 将目录对象导入或导出到 Active Directory
使用 LDIFDE 来导出和导入目录对象
下面逐步介绍怎样将“组织单元”(OU) 和用户帐户从一个 Windows 2000 Active Directory 导入和导出到另一个 Windows 2000 Active Directory。对于本示例，“Export”是从其中导出对象的域的名称，“Import”是向其中导入对象的域的名称。还可以使用 LDIFDE 将大多数第三方文件夹导入 Active Directory。 从源域导出组织单元
以 Administrator 身份登录 Export 域。如果使用没有管理员特权的帐户登录，则可能无法对 Active Directory 执行导出和导入 *** 作。
单击开始，指向程序，指向 附件，然后单击“命令提示符”。
在命令提示符下，键入：
ldifde -f exportOuldf -s 服务器 1 -d "dc=Export,dc=com" -p subtree -r "(objectClass=organizationalUnit)" -l "cn,objectclass,ou"
运行此命令可将除域控制器之外的所有 OU 都导出到名为 ExportOUldf 的文件中。
从源域导出用户帐户
在命令提示符下，键入：
ldifde -f Exportuserldf -s 服务器 1 -d "dc=Export,dc=com" -p subtree -r "(&(objectCategory=person)(objectClass=User)(givenname=))" -l "cn,givenName,objectclass,samAccountName"
运行此命令可将 Export 域中的所有用户导出到名为 Exportuserldf 的文件中。如果您没有所需的全部属性，导入 *** 作就会不起作用。属性objectclass 和samAccountName 是必需的，但可以根据需要添加其他属性。
备注：内置帐户（如 Administrator）没有给定的名称。默认情况下，上面使用的 LDAP 筛选器不导出这些帐户。LDIFDE 不支持导出密码。
将组织单元从 Export 导入到 Import
以 Administrator 身份登录到 Import 域。如果使用没有管理特权的帐户登录，则可能无法对 Active Directory 执行导出和导入 *** 作。
使用“记事本”打开文件 Exportouldf。
在“记事本”中的编辑菜单上，单击替换。
在“查找内容”框中，键入 Export。在“替换为”框中，键入 Import。
单击“全部替换”。
在确认替换了域名之后，保存并关闭该文件。
在命令提示符下，键入：
ldifde -i -f ExportOUldf -s 服务器 2
您应该会看到一条消息，告诉您已经修改的项数以及命令已成功完成。
备注：在这种情况下，您必须先完成第一步，才能完成第二步，这样，才能有 OU 来包含用户。
将用户从 Export 导入到 Import
使用“记事本”打开文件 Exportuserldf。
在“记事本”中，打开编辑菜单，然后单击替换。
备注：请记住，在本示例中，“Export”是从其中导出对象的域的名称，“Import”是向其中导入对象的域的名称。您需要将“Export”替换为从其导出对象的域的名称，并将“Import”替换为向其导入对象的域的名称。
在“查找内容”框中，键入 Export。在“替换为”框中，键入 Import。
单击“全部替换”。
在确认替换了域名之后，保存并关闭文件。
在命令提示符下，键入：
ldifde -i -f Exportuserldf -s 服务器 2
查看使用 Active Directory 用户和计算机管理单元工具或使用 Windows 通讯簿新创建的联系人。
备注：由于 LDIFDE 不导出密码，因此在将用户导入到目录中时，会禁用帐户并将密码设置为空。这样做是出于安全原因。此外，帐户选项“用户下次登录时须更改密码”处于选中状态。
从整个目录林导出对象
如果您需要从整个目录林中导出 OU、用户和组，可以针对目录林中的每个域运行上面的 LDIFDE 导出命令，或者，也可以针对全局编录 (GC) 运行一次查询。为此，-s 开关指定的域控制器一定要是 GC，另外，要使用 -t 开关指定 GC 端口。GC 端口号是 3268。
例如，要针对 GC 执行所描述的导出 *** 作，LDIFDE 命令就会是：
ldifde -f Exportuserldf -s 服务器 1 -t 3268 -d "dc=Export,dc=com" -p subtree -r "(&(objectCategory=person)(objectClass=User)(givenname=))" -l "cn,givenName,objectclass,sAMAccountName"
备注：为了修改 AD 中的属性，遵循导入文件的以下格式（尤其是单行上的“-”，其下一行为全空行）是非常重要的。要导入此文件，只需运行：ldifde -i -f Importldf -s 服务器。
示例导入/修改文件格式：
dn: CN=Jane Doe,OU=Staff,DC=microsoft,DC=com
changetype: modify
replace: extensionAttribute1
extensionAttribute1: Staff
-
dn: CN=John Doe,OU=Staff,DC=microsoft,DC=com
changetype: modify
replace: extensionAttribute1
extensionAttribute1: Staff
-

Windows2000一个最大的创新之处就是引入了Active Directory（活动目录）,活动目录在网络的组织和管理方面起到了巨大的作用，如果你想最大限度的发挥Windows2000的作用的话，必需理解什么是活动目录。下面我就简要介绍一下活动目录，希望对大家学习Windows2000有所帮助。
在计算机网络术语中，目录代表存储网络上对象信息的一种层次结构。网络上的对象包括共享资源（例如服务器、打印机、网络用户以及计算机帐号等）、域、应用程序、服务、安全方针等等的你的网络中的一切事物。一个最典型的例子就是一个网络目录存储一个用户帐号时，它存储了用户的姓名、密码、电子邮件地址、电话号码等等。
目录服务区别于目录的地方在于，目录服务能够把目录中存储的信息提供给管理员，用户，网络服务或应用程序。理想情况下，目录服务使网络的物理拓扑结构和协议对用户来说是透明的，用户可以进入任何资源而不用知道它们之间是怎样以及在哪里连接的。如上面提到的那个例子，正是目录服务才使得同一网络中的其它授权用户能够了解到该用户目录中存储的信息（如电子邮件地址）。
目录服务具有广泛的接受力，可以与 *** 作系统结合，也可以与应用程序结合。Windows2000成功的把目录服务与 *** 作系统结合在一起，生成了活动目录，它提供了对用户，计算机和共享资源的管理。就象Microsoft Exchange的email目录服务，它使用户能够查找其它用户的电子邮件地址以便于发送电子邮件。
活动目录，Windows2000服务器版 *** 作系统的一种新的目录服务，只能运在域控制器上，它除了能够提供存储信息的场所，提供服务以使信息可用外，还可以保护网络对象不被非授权用户进入，通过网络复制对象以便在域控制器崩溃时数据不会丢失。
Windows2000中的活动目录具有如下特点：
与DNS（域名服务器）紧密结合：Windows2000中的活动目录和DNS紧密结合在一起，这利于在TCP/IP网络中计算机之间的相互识别和通讯。
灵活的查询功能：管 或用户可以使用开始菜单中的查找命令，桌面上的我的网络位置图标，或活动目录用户和计算机插件查找网络上任何一个对象以及其属性。例如，你可以用姓，名，电子邮件，办公地点，或其它用户帐号的属性来查找一个用户。
可扩展性：Windows2000的活动目录具有很强的可扩展性，管理员可以在计划中增加新的对象类，或者给现有的对象类增加新的属性。计划包括可以存储在目录中的每一个对象类的定义和对象类的属性。例如，你可以给每一个用户对象增加一个购物授权属性，然后存储每一个用户购买权限作为用户帐号的一部分。
以策略为基础的管理：组策略是用户或计算机初始化时用到的配置设置。所有的组策略设置都包含在应用到活动目录，域，或组织单元的组策略对象（GPOs）中。GPOs设置决定目录对象和域资源的进入权，什么样的域资源可以被用户使用，以及这些域资源怎样使用等。
可升级性：活动目录中含有一个或多个域，每一个域又有多个域控制器，使你能够升级目录来满足任何网络要求。多个域可以合并为一个域树，多个域树可以合并为一个森林。在最简单的结构中，一个单域网络既是一个域树，同时又是一个森林。
信息的可复制性：活动目录采用多控制复制，这样可以使你在任何域控制器上更新目录。在一个域中使用多域控制器可以提供错误容差和负载平衡。如果单域中的一个域控制器变慢、停止，或出现错误时，同一个域中的其它域控制器可以提供必要的目录进入，因为它们含有同样的目录数据。
信息的安全性：用户授权管理和目录进入控制已经整合在活动目录当中了，而它们都是Windows2000 *** 作系统的关键安全措施。活动目录集中控制用户授权，柯冀�肟刂撇恢荒茉诿恳桓瞿柯贾械亩韵笊隙ㄒ澹��一鼓茉诿恳桓龆韵蟮拿扛鍪粜陨隙ㄒ濉3�酥�猓�疃�柯蓟箍梢蕴峁┐娲⒑陀τ贸绦蜃饔糜虻陌踩�呗浴/p>
可互用性：因为活动目录是以标准目录进入协议为基础的，因此它可以与使用这些协议的的其它目录服务相互 *** 作。许多应用程序界面（API）都允许开发者进入这些协议，例如活动目录服务界面（ADSI）。
好了，活动目录的简要介绍就到此为止。需要告诉大家的是，如果大家想深入的了解Windows2000服务器版 *** 作系统的话，一定要先从活动目录开始，这样你才会领略到Windows2000的精髓。
微软在Windows NT Server 40中就已经贯彻了目录服务的思想。NT的"域（domain ）"的概念是目录服务的一个基本单元。"一次登录，Single Logon"在Windows NT Server 的环境下有了具体的应用，比如Internet Information Server、Exchange Serv er、SQL Server等都可以与Windows NT Server的账号验证集成起来，用户一次登录就可以获得Web、Email和数据库等多种多样的网络服务。 Windows 2000 Server在Windows NT Server 40的基础上，进一步发展了"活动目录（Active Directory）"。活动目录充分体现了微软产品的"ICE"，即集成性（Inte gration），深入性(Comprehensive)，和易用性(Ease of Use)等优点。活动目录是一个完全可扩展，可伸缩的目录服务，既能满足商业ISP的需要，又能满足企业内部网和外联网的需要。

---