【文章內(nèi)容簡介】 好后點“完成”。此時在用戶列表中便出現(xiàn)了這個新用戶。 　　 在窗口的上方有一個“要使用本機，用戶必須輸入用戶名和密碼”的選項。在安裝Windows 2000的時候，系統(tǒng)就提示過此項，如果只有你個人使用這臺電腦，可以不用選擇本項， （） 如果有多人使用本臺電腦，可以選擇此項，這樣能保證你的文件和你自定義的桌面風格不被意外破壞。 （圖八） （圖九）. Windows 2000 組的認識組 　　 在前面我們提到過工作組是Windows 2000安全機制的一個部分。那么這個組到底是什么意思呢？在什么樣的情況下我們會用到組呢？我們可以把組看作是一個班級，用戶便是班級里的學生。 （） 當我們要給一批用戶分配同一個權(quán)限時，就可以將這些用戶都歸到一個組中，只要給這個組分配此權(quán)限，組內(nèi)的用戶就都會擁有此權(quán)限。 （） 就好像給一個班級發(fā)了一個通知，班級內(nèi)的所有學生都會收到這個通知一樣。 組是為了方便管理用戶的權(quán)限而設(shè)計的。 （） (圖1)(圖2) 2000 組的創(chuàng)建那么如何來創(chuàng)建一個組呢？下面我們就來創(chuàng)建一個叫做Right的組。還是在控制面板中雙擊用戶和密碼。（）（圖3）打開高級選項卡，中間是高級用戶管理的欄目，點其中的高級按鈕， （） 屏幕上彈出一個新的本地用戶和組的管理窗口，在Windows 2000中許多的管理窗口都是類似這樣的，它們在Windows中叫做MMC。 （） （圖4） （圖5）在 中可以看到窗口的左邊是本地計算機上的用戶和組，這里的本地是指這臺安裝了Windows Professional的電腦。用鼠標點一下用戶，在右邊便顯示出當前已有的用戶，剛才我們建立的用戶New也在其中。 （圖7） （圖8）用鼠標點一下組，右邊立刻列出了當前已有的組，這些組是安裝系統(tǒng)時自動建立的，每一個組有各自不同的管理計算機權(quán)限。下面我們就來建立一個新組Right,單擊窗口上方的操作菜單，選擇新建組。( ) 立刻可以看到一個創(chuàng)建組的窗口，對操作者來說用戶和組都是通過名稱來區(qū)別的，在操作系統(tǒng)內(nèi)部則是通過給每一個用戶和組都分配一個唯一的識別號來區(qū)別它們。 （圖9） （圖10）在組名中輸入Right,在描述中輸入電腦教育軟件部，下面的成員現(xiàn)在是空白的，我們可以將屬于該組的用戶都添加到其中。比如我們將剛才建立的用戶New加入Right組，點下面的添加（如 19 ）。 屏幕上又出現(xiàn)一個選擇用戶的窗口，在窗口的上方列的是當前已有的組和用戶，其中兩個人的圖標表示組，一個人的圖標表示用戶，從中選擇New，再點添加( 20 )。 （圖11） （圖12）下面的列表中便出現(xiàn)了帳號New，在名稱的前面還多了一個機器名的標識，用來表示這個帳號在哪個機器上創(chuàng)建的。接下來點確定，這樣就將用戶New加入到了Right組，就好像給Right班級分配了一個叫New的學生。(如圖13 ) 最后點創(chuàng)建，待窗口變成現(xiàn)在看到的那樣，就表示新組已經(jīng)建立好了，我們可以繼續(xù)在這個空窗口中建立其他的組，關(guān)閉這個窗口，在列表中便增加了一個Right組。（圖13） 活動目錄服務(wù)的基本安裝和配置一 實驗?zāi)康陌惭b活動目錄服務(wù)，配置和管理域和域控制器。二 實驗內(nèi)容(1) 活動目錄的介紹和安裝。(2) 活動目錄用戶和計算機管理。三 實驗環(huán)境(1)一臺裝有 Windows 2000 Server 操作系統(tǒng)的計算機作為域控制器。(2)多臺裝有 Windows2000 操作系統(tǒng)的計算機作為域成員。(3)一臺華為交換機S2026, 一臺華為路由器R2600,兩個HUB,網(wǎng)線若干。 ．活動目錄(Active Directory)介紹活動目錄(Active Directory) 是用于 Windows 2000 Server 的目錄服務(wù)。它存儲著網(wǎng)絡(luò)上各種對象的有關(guān)信息，并使該信息易于管理員和用戶查找及使用。Active Directory 目錄服務(wù)使用結(jié)構(gòu)化的數(shù)據(jù)存儲作為目錄信息的邏輯層次結(jié)構(gòu)的基礎(chǔ)?；顒幽夸浀膬?yōu)點：信息安全性 、基于策略的管理 、可擴展性 、可伸縮性 、信息的復(fù)制 、與 DNS 集成 、與其他目錄服務(wù)的互操作性、靈活的查詢。活動目錄包括兩方面：目錄和目錄相關(guān)的服務(wù)。目錄是存儲各種對象的一個物理上的容器，目錄管理的基本對象是用戶、計算機、文件以及打印機等資源。而目錄服務(wù)是使目錄中所有信息和資源發(fā)揮作用的服務(wù)，如用戶和資源管理、基于目錄的網(wǎng)絡(luò)服務(wù)、基于網(wǎng)絡(luò)的應(yīng)用管理?；顒幽夸浭且粋€分布式的目錄服務(wù)。信息可以分散在多臺不同的計算機上，保證快速訪問和容錯；同時不管用戶從何處訪問或信息處在何處，對用戶都提供統(tǒng)一的視圖。在當今網(wǎng)絡(luò)計算的爆炸性增長的Internet時代，微軟活動目錄還廣泛地采用了Internet標準，給用戶帶來了幾乎無窮無盡的益處?；顒幽夸浖闪岁P(guān)鍵服務(wù)，如域名服務(wù)(DNS)，消息隊列服務(wù)（MSMQ），事務(wù)服務(wù)（MTS）等；集成了關(guān)鍵應(yīng)用，如電子郵件、網(wǎng)管、ERP等；同時還集成了當今的關(guān)鍵的數(shù)據(jù)訪問，如ADSI，OLE DB等?；顒幽夸浭荳indows2000網(wǎng)絡(luò)體系結(jié)構(gòu)必不可少的、不可分割的重要組件，可以這樣說：沒有活動目錄，就沒有Windows2000。所以理解活動目錄，對于理解Windows2000的整體價值是十分重要的。要理解活動目錄。我們必須從它的邏輯結(jié)構(gòu)和物理結(jié)構(gòu)入手。在此，為大家介紹活動目錄的邏輯結(jié)構(gòu)。 層次化的目錄結(jié)構(gòu)Windows2000的活動目錄是由組織單元(OU)、域(Domain)、域樹(Tree)、森林(Forest)構(gòu)成的層次結(jié)構(gòu)?；顒幽夸洖槊總€域建立一個目錄數(shù)據(jù)庫的副本，這個副本只存儲用于這個域的對象。如果多個域之間有相互關(guān)系，它們可以構(gòu)成一個域樹。在每個域樹中，每個域都擁有自己的目錄數(shù)據(jù)庫副本存儲自己的對象，并且可以查找域樹中其它目錄數(shù)據(jù)庫的副本。多個域樹構(gòu)成了森林。Windows2000活動目錄的這種層次結(jié)構(gòu)使得企業(yè)網(wǎng)絡(luò)具有很強的擴展性，便于組織、管理以及目錄定位。這一點，不論是多主域模型還是完全信任域模型都無法與Windows2000活動目錄結(jié)構(gòu)模型相比。Windows2000活動目錄更適合企業(yè)的目錄服務(wù)。面向?qū)ο蟮拇鎯φ缜懊嫠岬降?，活動目錄以對象的形式存儲關(guān)于網(wǎng)絡(luò)元素的信息，對象是對象類（模式:對象schema Object）的一個實例，而每個對象類都有很多屬性，這些屬性描述了某種對象類的特殊特征。這使得組織機構(gòu)可以在目錄中存儲廣泛的信息，從而便于組織、管理和控制對它的訪問。這種面向?qū)ο蟮拇鎯C制同時也實現(xiàn)了對象的安全，因為對象的屬性被封裝在對象內(nèi)部。當然，所有這些對象都有一個全局唯一的標志。域、域樹、森林域是NT活動目錄的核心單元，是對象（如計算機、用戶等）的容器，這些對象有相同的安全需求、復(fù)制過程和管理。在域中，所有的域控制器都是平等的?；顒幽夸浺远嘀鲝?fù)制模型在域控制器間實現(xiàn)目錄復(fù)制。一個域可以是其它域的子域或父域，這些子域、父域構(gòu)成了一棵樹域樹。域樹實現(xiàn)了連續(xù)的域名空間，域樹上的域共享相同的DNS域名后綴。域樹的第一個域是該域樹的根(root)，域樹中的每一個域共享共同的配置、模式對象、全局目錄（Global catalog）。多棵域樹就構(gòu)成了森林。森林中的域樹不共享連續(xù)的命名空間。森林中的每一域樹擁有它自己的唯一的命名空間。在森林中創(chuàng)建的第一棵域樹缺省地被創(chuàng)建為該森林的根樹(Root Tree)。域樹和域林的組合為用戶提供了靈活的域命名選項。連續(xù)和非連續(xù)的 DNS 名稱空間都可加入到用戶的目錄中。 （圖1）域樹 （圖2）域林使用包容結(jié)構(gòu)建立組織模型組織單元是組織、管理一個域內(nèi)的對象的容器，它能包容用戶帳號、用戶組、計算機、打印機 和其它的組織單元。很明顯，通過組織單元的包容，組織單元具有很清楚的層次結(jié)構(gòu)。這種包容結(jié)構(gòu)可以使管理者把組織單元切入到域中以反應(yīng)出企業(yè)的組織結(jié)構(gòu)并且可以委派任務(wù)與授權(quán)。建立包容結(jié)構(gòu)的組織模型能夠幫助我們解決許多問題，同時仍然可以使用大型的域、域樹中每個對象都可以顯示在全局目錄，從而用戶就可以利用一個服務(wù)功能輕易地找到某個對象而不管它在域樹結(jié)構(gòu)中的位置。從上面我們對活動目錄的邏輯結(jié)構(gòu)的介紹，我們可以看出：活動目錄的這種層次結(jié)構(gòu)能幫助我們簡化管理、加強網(wǎng)絡(luò)安全、輕易地查找所需要的對象和資源，在大型企業(yè)網(wǎng)絡(luò)環(huán)境下我們再也不會因為找不到共享資源而頭痛。二． 活動目錄(Active Directory)的安裝1．安裝第一臺域控制器運行 Active Directory 安裝向?qū)?Windows 2000 Server 計算機升級為域控制器會創(chuàng)建一個新域或者向現(xiàn)有的域添加其他域控制器。創(chuàng)建域控制器可以：創(chuàng)建網(wǎng)絡(luò)中的第一個域；在樹林中創(chuàng)建其他的域；提高網(wǎng)絡(luò)可用性和可靠性；提高站點之間的網(wǎng)絡(luò)性能?！　∫獎?chuàng)建 Windows 2000 域，必須在該域中至少創(chuàng)建一個域控制器。創(chuàng)建域控制器也將創(chuàng)建該域。不可能有沒有域控制器的域。如果確定用戶的單位需要一個以上的域，則必須為每個附加的域至少創(chuàng)建一個域控制器。樹林中的附加域可以是：新的子域、新域樹的根。在安裝 Active Directory 前首先確定DNS服務(wù)正常工作，下面安裝根域為 的域中第一臺域控制器。　　步驟1 利用配置服務(wù)器啟動位于 %Systemroot%\system32 中的 Active Directory 安裝向?qū)С绦?。() 　　步驟2單擊下一步,由于用戶所建立的是域中的第一臺域控制器所以選擇新域的域控制器 單擊下一步。步驟3 選擇創(chuàng)建一個新域的域目錄樹 ,單擊下一步步驟4 選擇創(chuàng)建一個新域的域目錄林, 單擊下一步步驟5 在新域的 DNS 全名中輸入要創(chuàng)建得域名，()，單擊下一步。圖4步驟6 安裝向?qū)ё詣訉⒂蚩刂破鞯?NetBIOS 名設(shè)置為 nt2000 ,單擊下一步。步驟7 顯示數(shù)據(jù)庫、目錄文件 及Sysvol 文件的保存位置，一般不必作修改。單擊下一步。步驟8 配置 DNS 服務(wù),單擊下一步,（如果在安裝 Active Directory 之前未配置 DNS 服務(wù)器可以在此讓安裝向?qū)渲?DNS ，推薦使用這種方法。）。步驟9 為用戶和組選擇默認權(quán)限，考慮到現(xiàn)在一些單位中仍然需要使用 Windows 2000 的以前版本，所以選擇與 Windows 2000 服務(wù)器之前版本相兼容的權(quán)限 () 。單擊下一步。步驟10 輸入以目錄恢復(fù)模式下的管理員密碼,單擊下一步。步驟11 安裝向?qū)э@示摘要信息,單擊下一步開始安裝（）。步驟12 安裝完成之后，重新啟動計算機。2．檢驗安裝結(jié)果在安裝完成后，可以通過以下方法檢驗 Active Directory 安裝正確，在安裝過程中一項最重要的工作是在 DNS 數(shù)據(jù)庫中添加服務(wù)記錄( SRV 記錄)。1．檢查 DNS 文件的SRV記錄　　用文本編輯器打開 %systemroot%/system32/config/ 中的 文件，察看 LDAP 服務(wù)記錄，在本例中為：. 600 IN SRV 0 100 389 SRV 記錄在 NSLOOKUP 命令工具中運行正常。步驟1 在命令提示行下，輸入 NSLOOKUP。步驟2 輸入 set type=srv。步驟3 輸入 。如果返回了服務(wù)器名和 IP 地址，說明 SRV 記錄工作正常。3．安裝第二臺域控制器在安裝完第一臺域控制器后其域名為 ,在上例中該服務(wù)器用于總公司，如果由于公司擴展的需要為其新建的工廠建立自己的域名和域控制器，則用戶將工廠的域名定義為 ，由于此域名與 是連續(xù)的域名，所以他們組成了一個目錄樹，今后隨著工廠的發(fā)展用戶還可以在這個目錄樹下繼續(xù)逐級添加子域（如：），如果需要添加的域名與該目錄樹不連續(xù)（如：）則用戶就需要建立一個新的目錄樹，這樣由多個目錄樹組成了域目錄林。在安裝第二臺域控制器之前，首先檢驗它的IP設(shè)置和DNS設(shè)置，以保證可以訪問域控制器（）。步驟1 利用配置服務(wù)器啟動位于 %Systemroot%\system32 中的 Active Directory 安裝向?qū)С绦? 。() 單擊下一步。步驟2 由于用戶所建立的是域中的一臺域控制器所以選擇新域的域控制器 單擊下一步。步驟3 選擇在現(xiàn)有域目錄樹中創(chuàng)建一個新的子域 ,單擊下一步。步驟4 在網(wǎng)絡(luò)憑據(jù)對話框中輸入上一級域的域名及具有管理員權(quán)限的用戶名和密碼, 單擊下一步。步驟5 在子域安裝對話框中輸入父域域名（）和子域域名（man）,在下方的子域完整域名中會自動顯示 ,單擊下一步。步驟6 安裝向?qū)ё詣訉⒂蚩刂破鞯?NetBIOS 名設(shè)置為man,用戶也可以進行修改 ,單擊下一步。步驟7 顯示數(shù)據(jù)庫、目錄文件及 Sysvol 文件的保存位置，一般不必作修改。單擊下一步。步驟8 為用戶和組選擇默認權(quán)限，考慮到現(xiàn)在大多數(shù)單位中仍然需要使用 Windows 2000 的以前版本，所以選擇與 Windows 2000 服務(wù)器之前版本相兼容的權(quán)限,單擊下一步。步驟9 單擊下一步開始安裝，在重新啟動后，在 的 Active Directory 域