ad域控規(guī)劃方案(編輯修改稿)
2025-06-26 00:12 本頁面
【文章內(nèi)容簡介】 . 安全類組策略l 密碼策略178。 “強(qiáng)制密碼歷史”設(shè)置確定在重用舊密碼之前必須與用戶帳戶相關(guān)的唯一新密碼的數(shù)量。178。 配置“密碼最長使用期限”設(shè)置，以便密碼在環(huán)境需要時(shí)過期。178。 “密碼最短使用期限”設(shè)置確定了用戶更改密碼之前必須使用密碼的天數(shù)。178。 “最短密碼長度”設(shè)置確保密碼至少包含指定數(shù)量的字符。178。 “密碼必須符合復(fù)雜性要求策略”選項(xiàng)檢查所有新密碼以確保它們符合強(qiáng)密碼的基本要求。賬號鎖定策略帳戶鎖定策略是一項(xiàng) Windows Server 2012 安全功能，它在指定時(shí)間段內(nèi)多次登錄嘗試失敗后鎖定用戶帳戶。允許的嘗試次數(shù)和時(shí)間段是由為安全策略鎖定設(shè)置配置的值決定的。用戶不能登錄到鎖定的帳戶。178。 “帳戶鎖定時(shí)間”設(shè)置確定在未鎖定帳戶且用戶可以嘗試再次登錄之前所必須經(jīng)歷的時(shí)間長度178。 “帳戶鎖定閾值”設(shè)置確定用戶在帳戶鎖定之前可以嘗試登錄帳戶的次數(shù)。178。 “復(fù)位帳戶鎖定計(jì)數(shù)器”設(shè)置決定了“帳戶鎖定閾值”復(fù)位為 0 以及帳戶被解鎖之前所必須經(jīng)過的時(shí)間長度。l 禁用本地管理員帳號 默認(rèn)情況下，每臺(tái)加入到域中的計(jì)算機(jī)都有Administrator和Guest兩個(gè)帳號，Administrator帳號在安裝時(shí)口令為空。用戶使用這個(gè)帳號權(quán)限過大，因此一般不會(huì)給用戶使用這個(gè)管理員帳號，最好的做法就是通過組策略禁用這個(gè)帳號，用戶使用域的帳號。l 將域帳號加入到每臺(tái)PC機(jī)的本地Power Users組中 創(chuàng)建域帳號時(shí)，默認(rèn)情況下這個(gè)帳號只屬于Domain Users組中，該組屬于每臺(tái)PC機(jī)的本地Users組。本地Users組中的成員權(quán)限受到嚴(yán)格限制，比如共享文件夾，安裝打印機(jī)驅(qū)動(dòng)程序等工作的權(quán)限都沒有。而經(jīng)常有用戶需要這些權(quán)限，可以通過組策略來實(shí)現(xiàn)。禁用系統(tǒng)服務(wù)我們?yōu)閮?yōu)化系統(tǒng)和安全性考慮，經(jīng)常要禁用計(jì)算機(jī)的一些無需運(yùn)行的服務(wù)。我們可以通過組策略把這些服務(wù)禁用掉。l 軟件限制策略 對一些規(guī)定不得使用的軟件可以通過組策略來禁用：178。 路徑規(guī)則：特殊文件路徑下的軟件不得使用：如program files下的某些軟件178。 證書規(guī)則：只有系統(tǒng)管理員頒發(fā)過證書的軟件可以使用，其他軟件禁止使用178。 哈希規(guī)則：對禁止使用的軟件通過哈希運(yùn)算得到這個(gè)軟件的身份指紋，在組策略里設(shè)置只要是符合身份指紋鑒定的軟件就進(jìn)行限制l 網(wǎng)絡(luò)連接控制策略 用戶經(jīng)常會(huì)通過改變“網(wǎng)絡(luò)連接”中的設(shè)置，繞過企業(yè)防火墻，建立自己的上網(wǎng)鏈路，比如電話撥號上網(wǎng)。這樣會(huì)帶來很大的安全隱患?？梢酝ㄟ^組策略限制用戶不得改變網(wǎng)絡(luò)連接中的配置，不允許用戶通過其他方式連接互聯(lián)網(wǎng)。. 計(jì)算機(jī)從工作組加入到域可能存在的問題和解決方法把計(jì)算機(jī)從工作組模式加入到域模式可能會(huì)出現(xiàn)以下二個(gè)問題問題：1. 一些軟件不能使用。有一些軟件以登錄者的管理員權(quán)限帳號運(yùn)行，當(dāng)計(jì)算機(jī)加入到域并對登錄帳號做了權(quán)限設(shè)置，或禁用了本地管理員帳號，這些需要管理員權(quán)限運(yùn)行的軟件就有可能不能正常運(yùn)行。2. 用戶桌面環(huán)境發(fā)生改變。由于加入域前后用戶是用不同的帳號登錄的，因此用戶以前的桌面環(huán)境無法使用。具體有178。 桌面上放置的資料178。 “我的文檔”等放置的資料178。 配置好的“網(wǎng)絡(luò)打印機(jī)”178。 IE里設(shè)置好的“網(wǎng)站收藏夾”等。解決方法：1. 對問題1我們可以按以下兩個(gè)方法來解決：(1) 把域帳號加入到本地管理員組(2) 卸載軟件，用域帳號登錄并安裝2. 對問題2針對不同的問題分別解決如下：(1) 把本地老帳號下的桌面內(nèi)容全部備份下來，復(fù)制到新域帳號的桌面(2) 把本地老帳號下的“我的文檔”內(nèi)容全部備份下來，復(fù)制到新域帳號的“我的文檔”(3) 重新連接和創(chuàng)建“網(wǎng)絡(luò)打印機(jī)”(4) 用特殊軟件把老帳號IE里的“網(wǎng)站收藏夾”備份下來，然后恢復(fù)到新域帳號中 2. 活動(dòng)目錄方案實(shí)施. AD域命名和DNS的規(guī)劃Windows 2012 AD域命名和DNS的規(guī)劃之所以放在首要地位，是因?yàn)锳D作為整個(gè)IT架構(gòu)的基礎(chǔ)，不應(yīng)該輕易被調(diào)整。盡管安裝后，Windows 2012 AD仍然可以重組和改名，這一點(diǎn)比Windows 2000 AD有了很大的進(jìn)步，但是我們?nèi)匀唤ㄗh做一個(gè)長遠(yuǎn)規(guī)劃，使得域命名和DNS服務(wù)能夠滿足企業(yè)35年的需求，盡量避免配置好后改作調(diào)整地巨大人力物力浪費(fèi)。此外，部署Windows 2012 AD，還必須確定DNS服務(wù)器，確保它們滿足域控制器定位器系統(tǒng)的要求。一個(gè)支持AD的DNS至少需要滿足以下要求：l 必須支持服務(wù)定位資源記錄（SRV）l 應(yīng)該支持 DNS 動(dòng)態(tài)更新協(xié)議（RFC 2136）Windows 2012 Server 提供的 DNS 服務(wù)同時(shí)滿足這些要求，并且還提供下列重要的附加功能和改進(jìn)：l Active Directory 集成：DNS 服務(wù)把區(qū)域數(shù)據(jù)存儲(chǔ)在目錄中，使得 DNS 復(fù)制創(chuàng)建多個(gè)主域，也減少了對維護(hù)一個(gè)單獨(dú)的 DNS 區(qū)域傳送復(fù)制拓?fù)涞囊蟆 安全動(dòng)態(tài)更新：使得一個(gè)管理員可以精確地控制哪些計(jì)算機(jī)可以更新哪些名稱，并防止未經(jīng)授權(quán)的計(jì)
環(huán)評公示相關(guān)推薦
鄂ICP備17016276號-1