AD服务器是什么

Windows2000一个最大的创新之处就是引入了Active Directory（活动目录）,活动目录在网络的组织和管理方面起到了巨大的作用，如果你想最大限度的发挥Windows2000的作用的话，必需理解什么是活动目录。下面我就简要介绍一下活动目录，希望对大家学习Windows2000有所帮助。
在计算机网络术语中，目录代表存储网络上对象信息的一种层次结构。网络上的对象包括共享资源（例如服务器、打印机、网络用户以及计算机帐号等）、域、应用程序、服务、安全方针等等的你的网络中的一切事物。一个最典型的例子就是一个网络目录存储一个用户帐号时，它存储了用户的姓名、密码、电子邮件地址、电话号码等等。
目录服务区别于目录的地方在于，目录服务能够把目录中存储的信息提供给管理员，用户，网络服务或应用程序。理想情况下，目录服务使网络的物理拓扑结构和协议对用户来说是透明的，用户可以进入任何资源而不用知道它们之间是怎样以及在哪里连接的。如上面提到的那个例子，正是目录服务才使得同一网络中的其它授权用户能够了解到该用户目录中存储的信息（如电子邮件地址）。
目录服务具有广泛的接受力，可以与 *** 作系统结合，也可以与应用程序结合。Windows2000成功的把目录服务与 *** 作系统结合在一起，生成了活动目录，它提供了对用户，计算机和共享资源的管理。就象Microsoft Exchange的email目录服务，它使用户能够查找其它用户的电子邮件地址以便于发送电子邮件。
活动目录，Windows2000服务器版 *** 作系统的一种新的目录服务，只能运在域控制器上，它除了能够提供存储信息的场所，提供服务以使信息可用外，还可以保护网络对象不被非授权用户进入，通过网络复制对象以便在域控制器崩溃时数据不会丢失。
Windows2000中的活动目录具有如下特点：
与DNS（域名服务器）紧密结合：Windows2000中的活动目录和DNS紧密结合在一起，这利于在TCP/IP网络中计算机之间的相互识别和通讯。
灵活的查询功能：管 或用户可以使用开始菜单中的查找命令，桌面上的我的网络位置图标，或活动目录用户和计算机插件查找网络上任何一个对象以及其属性。例如，你可以用姓，名，电子邮件，办公地点，或其它用户帐号的属性来查找一个用户。
可扩展性：Windows2000的活动目录具有很强的可扩展性，管理员可以在计划中增加新的对象类，或者给现有的对象类增加新的属性。计划包括可以存储在目录中的每一个对象类的定义和对象类的属性。例如，你可以给每一个用户对象增加一个购物授权属性，然后存储每一个用户购买权限作为用户帐号的一部分。
以策略为基础的管理：组策略是用户或计算机初始化时用到的配置设置。所有的组策略设置都包含在应用到活动目录，域，或组织单元的组策略对象（GPOs）中。GPOs设置决定目录对象和域资源的进入权，什么样的域资源可以被用户使用，以及这些域资源怎样使用等。
可升级性：活动目录中含有一个或多个域，每一个域又有多个域控制器，使你能够升级目录来满足任何网络要求。多个域可以合并为一个域树，多个域树可以合并为一个森林。在最简单的结构中，一个单域网络既是一个域树，同时又是一个森林。
信息的可复制性：活动目录采用多控制复制，这样可以使你在任何域控制器上更新目录。在一个域中使用多域控制器可以提供错误容差和负载平衡。如果单域中的一个域控制器变慢、停止，或出现错误时，同一个域中的其它域控制器可以提供必要的目录进入，因为它们含有同样的目录数据。
信息的安全性：用户授权管理和目录进入控制已经整合在活动目录当中了，而它们都是Windows2000 *** 作系统的关键安全措施。活动目录集中控制用户授权，柯冀�肟刂撇恢荒茉诿恳桓瞿柯贾械亩韵笊隙ㄒ澹��一鼓茉诿恳桓龆韵蟮拿扛鍪粜陨隙ㄒ濉3�酥�猓�疃�柯蓟箍梢蕴峁┐娲⒑陀τ贸绦蜃饔糜虻陌踩�呗浴/p>
可互用性：因为活动目录是以标准目录进入协议为基础的，因此它可以与使用这些协议的的其它目录服务相互 *** 作。许多应用程序界面（API）都允许开发者进入这些协议，例如活动目录服务界面（ADSI）。
好了，活动目录的简要介绍就到此为止。需要告诉大家的是，如果大家想深入的了解Windows2000服务器版 *** 作系统的话，一定要先从活动目录开始，这样你才会领略到Windows2000的精髓。
微软在Windows NT Server 40中就已经贯彻了目录服务的思想。NT的"域（domain ）"的概念是目录服务的一个基本单元。"一次登录，Single Logon"在Windows NT Server 的环境下有了具体的应用，比如Internet Information Server、Exchange Serv er、SQL Server等都可以与Windows NT Server的账号验证集成起来，用户一次登录就可以获得Web、Email和数据库等多种多样的网络服务。 Windows 2000 Server在Windows NT Server 40的基础上，进一步发展了"活动目录（Active Directory）"。活动目录充分体现了微软产品的"ICE"，即集成性（Inte gration），深入性(Comprehensive)，和易用性(Ease of Use)等优点。活动目录是一个完全可扩展，可伸缩的目录服务，既能满足商业ISP的需要，又能满足企业内部网和外联网的需要。

添加文件服务器管理员用户。添加文件服务器管理员用户，在主域控上 *** 作用户组选择主要组domainadmins到这里，在主域控上 *** 作告一段落了。共享文件夹是指某个计算机用来和其它计算机间相互分享的文件夹，所谓的共享就是分享的意思。

0x01 介绍

在实际生产环境中，由于Windows AD域的限制，桌面对客户端电脑进行软件安装或其他系统配置时，均需要管理员权限，而网内客户端众多，不同客户端电脑密码可能都是不同的，也经常忘记本地管理员密码，所以这时候就需要批量变更客户端的本地管理员密码。

0x02 环境介绍

DC：Windows Server 2012R2 域名：yeahlocal

CLIENT:Windows 7 已经将客户端加入域

0x03 *** 作步骤

1 首先在DC上用于与计算机控制台，新建一个计算机OU，便于管理，将刚加入域的计算机移动到这个OU中。

2 在DC上打开组策略管理工具，新建一条策略，命名自己能看懂即可

3 并对此策略进行设置，依次展开 计算机配置— 策略 — Windows设置 —安全设置 — 安全选项 — 账户：重命名系统管理员账户 将administrator用户重命名其他，此处修改为Local_admin。

4 然后再回到Windows设置 — 脚本(启动/关机)，新建一条启动脚本。

#启动脚本内容：意思为新建administrator用户，密码设置为passwd1!,启用此账户

net user administrator passwd1! /active:yes

将脚本内容复制到txt，另存为cmd后缀或者bat后缀文档，然后点开启动属性，点开显示文件，出来路径，将脚本文件粘贴到路径中，再点开编辑浏览到刚才路径，选中写好的开机脚本文件。

另外，有时候还有特殊需求，比如域中客户端用户由于一些特殊原因需要本地管理员权限，有这个需求的时候又不可能每次到跑到客户端 *** 作电脑，因 此可以使用受限制的群组，设定，当域中某些特定用户需要有本机管理员权限的时候就可以直接在AD服务器上 *** 作即可。

5 回到用户和计算机管理工具，在Users中新建一个组，命名为Local-admins并将张三加入到此用户组测试。

6 再回到组策略管理工具中，此处依旧挂载在这条GPO策略上，找到计算机配置 — Windows设置 — 安全设置 — 受限制的组 新建Administrators 组，并将默认需要添加到客户端本地管理员的用户与用户组添加进来。

7 确定后关闭这条GPO编辑页，回到组策略管理工具，找到之前新建的yeah-Computers计算机组的OU，右键链接到现有GPO找到刚新建的GPO，链接确定。

8 此时，到DC服务器中强制刷新组策略。

#强制刷新组策略命令

gpupdate /force

9 找一台客户端验证策略是否生效，以本地管理员用户Local_admin登录，查看策略是否生效，因为应用的是计算机策略，只能在本地管理员账号下看到策略是否应用。

#查看当前用户计算生效gpo

gpresult/r

#如发现策略没应用，可多执行几次强制刷新策略命令

gpupdate /force

10 可以看到策略已经应用，我们再切换用户，以张三登录客户端，右键点击计算机，计算机管理–本地用户和组–组–administrators，可以发现当前已经有我们设定的用户组位于本地管理组中了。

到此已经完成需求的所有 *** 作，即通过GPO统一设置域内计算机本地管理员账户重命名为Local_admin,并在AD上新建一个Local-Admins用户组，将这个组加入到客户端本地管理员组中，后续需要用到本地管理员的域用户只要在AD上将用户加入到这个组即拥有本地管理员权限

与DNS（域名服务器）紧密结合：Windows2000中的活动目录和DNS紧密结合在一起，这利于在TCP/IP网络中计算机之间的相互识别和通讯。
灵活的查询功能：管理员或用户可以使用开始菜单中的查找命令，桌面上的我的网络位置图标，或活动目录用户和计算机插件查找网络上任何一个对象以及其属性。例如，你可以用姓名，电子邮件，办公地点，或其它用户帐号的属性来查找一个用户。
可扩展性：Windows2000的活动目录具有很强的可扩展性，管理员可以在计划中增加新的对象类，或者给现有的对象类增加新的属性。计划包括可以存储在目录中的每一个对象类的定义和对象类的属性。例如，你可以给每一个用户对象增加一个购物授权属性，然后存储每一个用户购买权限作为用户帐号的一部分。
以策略为基础的管理：组策略是用户或计算机初始化时用到的配置设置。所有的组策略设置都包含在应用到活动目录，域，或组织单元的组策略对象（GPOs）中。GPOs设置决定目录对象和域资源的进入权，什么样的域资源可以被用户使用，以及这些域资源怎样使用等。
可升级性：活动目录中含有一个或多个域，每一个域又有多个域控制器，使你能够升级目录来满足任何网络要求。多个域可以合并为一个域树，多个域树可以合并为一个森林。在最简单的结构中，一个单域网络既是一个域树，同时又是一个森林。
信息的可复制性：活动目录采用多控制复制，这样可以使你在任何域控制器上更新目录。在一个域中使用多域控制器可以提供错误容差和负载平衡。如果单域中的一个域控制器变慢、停止，或出现错误时，同一个域中的其它域控制器可以提供必要的目录进入，因为它们含有同样的目录数据。
信息的安全性：用户授权管理和目录进入控制已经整合在活动目录当中了，而它们都是Windows2000 *** 作系统的关键安全措施。
可互用性：因为活动目录是以标准目录进入协议为基础的，因此它可以与使用这些协议的的其它目录服务相互 *** 作。许多应用程序界面（API）都允许开发者进入这些协议，例如活动目录服务界面（ADSI）。

使用ADManager Plus可以批量管理AD域，正常情况下，我们只能对单一对象进行 *** 作，而ADManager Plus可以进行批量的管理，进行一系列的增删改查，包括对用户、组、组织单位、人等，也可以自定义模板去展示这些对象的信息，可极大简化日常AD管理工作。

1安装完AD域服务后，返回服务器管理器界面，点击"将此服务器提升为域控制器"，选择"添加新林"。
输入域名称：contosocom
2按图中所示选择林功能级别和域功能级别，输入目录还原密码，请牢记密码
3DNS选择，直接点击"下一步"
4NetBIOS域名默认为CONTOSO
5指定AD文件的目录位置，默认可以不需要修改
6确认安装内容。点击"下一步"
7先决条件检查，点击"安装"
8完成安装，点击"关闭"。

看AD
安全策略
里面-安全设置-账户策略-密码策略-密码长度最小值。
这个要看管理员了哦，不过一般的管理员喜欢设置8位或者6位。
我一般都是设置密码长度最小值是8
而且还要满足密码的复杂性，所以位数不能太多，很难记的。

Windows Server 2012在部署DC方面有了一些改变，不再使用“dcpromo”命令来部署，而是使用服务器管理器来安装AD域服务，如果使用“dcpromo”会出现以下提示；

首先我们先配置好IP地址、计算名，然后打开服务器管理器，点击添加角色和功能，d出添加角色和功能向导，点击下一步；
在安装类型默认选择“基于角色或基于功能的安装”，点击下一步；
在服务器选择页面保持默认“从服务器池中选择服务器”，点击下一步；
在服务器角色页面，选择我们要安装的”Active Directory域服务“，点击下一步d出功能选择对话框，点击添加功能；
在功能选择页面可以保持默认继续点击下一步，在这里我选择了安装NET 35；
进入AD域服务安装向导，继续下一步；
确认选择要安装的角色和功能，点击安装；
开始安装界面；
经过一会的等待，我们的角色和功能就已经安装完成，可以在服务器管理器界面的小旗处点击”将此服务器提升为域控制器“（PS：在这里我的上显示的是dc02服务器，有几张乱了，不要在意）
转到AD域服务配置向导，由于我们是搭建林中的第一台域控制器，所以选择”添加新林“在根域名输入要创建的域名；
由于我是测试环境，没有Windows 2012以下的服务器，所以保持默认林和域功能级别为2012 R2，实际生产中可根据环境来选择；输入目录还原密码，此密码是在还原域控状态时使用的密码，请谨记；
出现关于DNS警告，是由于我们的服务器中还没有安装DNS服务，不用理会，在下面的安装过程中会自动安装；
在NetBIOS界面中保持默认，点击下一步；
在路径选择页面可以指定数据库文件、日志文件和SYSVOL文件的存放位置，由于是测试环境，我就直接保持默认；
在摘要界面如果没有问题，我们可以选择下一步，否则，可以返回修改；
同时在上一步中我们可以脚本，将配置导出为PowerShell 脚本；
进行先决条件检查，检查通过后，点击安装；
正在启动安装；
正在安装DNS；
安装完成后需要重启服务器；
至此，我们的第一台DC就部署完成了。

---