ad域控規(guī)劃方案(編輯修改稿)
2025-07-04 07:30 本頁面
【文章內(nèi)容簡介】 . 安全類組策略l 密碼策略178。 “強制密碼歷史”設置確定在重用舊密碼之前必須與用戶帳戶相關的唯一新密碼的數(shù)量。178。 配置“密碼最長使用期限”設置，以便密碼在環(huán)境需要時過期。178。 “密碼最短使用期限”設置確定了用戶更改密碼之前必須使用密碼的天數(shù)。178。 “最短密碼長度”設置確保密碼至少包含指定數(shù)量的字符。178。 “密碼必須符合復雜性要求策略”選項檢查所有新密碼以確保它們符合強密碼的基本要求。賬號鎖定策略帳戶鎖定策略是一項 Windows Server 2012 安全功能，它在指定時間段內(nèi)多次登錄嘗試失敗后鎖定用戶帳戶。允許的嘗試次數(shù)和時間段是由為安全策略鎖定設置配置的值決定的。用戶不能登錄到鎖定的帳戶。178。 “帳戶鎖定時間”設置確定在未鎖定帳戶且用戶可以嘗試再次登錄之前所必須經(jīng)歷的時間長度178。 “帳戶鎖定閾值”設置確定用戶在帳戶鎖定之前可以嘗試登錄帳戶的次數(shù)。178。 “復位帳戶鎖定計數(shù)器”設置決定了“帳戶鎖定閾值”復位為 0 以及帳戶被解鎖之前所必須經(jīng)過的時間長度。l 禁用本地管理員帳號 默認情況下，每臺加入到域中的計算機都有Administrator和Guest兩個帳號，Administrator帳號在安裝時口令為空。用戶使用這個帳號權限過大，因此一般不會給用戶使用這個管理員帳號，最好的做法就是通過組策略禁用這個帳號，用戶使用域的帳號。l 將域帳號加入到每臺PC機的本地Power Users組中 創(chuàng)建域帳號時，默認情況下這個帳號只屬于Domain Users組中，該組屬于每臺PC機的本地Users組。本地Users組中的成員權限受到嚴格限制，比如共享文件夾，安裝打印機驅動程序等工作的權限都沒有。而經(jīng)常有用戶需要這些權限，可以通過組策略來實現(xiàn)。禁用系統(tǒng)服務我們?yōu)閮?yōu)化系統(tǒng)和安全性考慮，經(jīng)常要禁用計算機的一些無需運行的服務。我們可以通過組策略把這些服務禁用掉。l 軟件限制策略 對一些規(guī)定不得使用的軟件可以通過組策略來禁用：178。 路徑規(guī)則：特殊文件路徑下的軟件不得使用：如program files下的某些軟件178。 證書規(guī)則：只有系統(tǒng)管理員頒發(fā)過證書的軟件可以使用，其他軟件禁止使用178。 哈希規(guī)則：對禁止使用的軟件通過哈希運算得到這個軟件的身份指紋，在組策略里設置只要是符合身份指紋鑒定的軟件就進行限制l 網(wǎng)絡連接控制策略 用戶經(jīng)常會通過改變“網(wǎng)絡連接”中的設置，繞過企業(yè)防火墻，建立自己的上網(wǎng)鏈路，比如電話撥號上網(wǎng)。這樣會帶來很大的安全隱患?？梢酝ㄟ^組策略限制用戶不得改變網(wǎng)絡連接中的配置，不允許用戶通過其他方式連接互聯(lián)網(wǎng)。. 計算機從工作組加入到域可能存在的問題和解決方法把計算機從工作組模式加入到域模式可能會出現(xiàn)以下二個問題問題：1. 一些軟件不能使用。有一些軟件以登錄者的管理員權限帳號運行，當計算機加入到域并對登錄帳號做了權限設置，或禁用了本地管理員帳號，這些需要管理員權限運行的軟件就有可能不能正常運行。2. 用戶桌面環(huán)境發(fā)生改變。由于加入域前后用戶是用不同的帳號登錄的，因此用戶以前的桌面環(huán)境無法使用。具體有178。 桌面上放置的資料178。 “我的文檔”等放置的資料178。 配置好的“網(wǎng)絡打印機”178。 IE里設置好的“網(wǎng)站收藏夾”等。解決方法：1. 對問題1我們可以按以下兩個方法來解決：(1) 把域帳號加入到本地管理員組(2) 卸載軟件，用域帳號登錄并安裝2. 對問題2針對不同的問題分別解決如下：(1) 把本地老帳號下的桌面內(nèi)容全部備份下來，復制到新域帳號的桌面(2) 把本地老帳號下的“我的文檔”內(nèi)容全部備份下來，復制到新域帳號的“我的文檔”(3) 重新連接和創(chuàng)建“網(wǎng)絡打印機”(4) 用特殊軟件把老帳號IE里的“網(wǎng)站收藏夾”備份下來，然后恢復到新域帳號中 2. 活動目錄方案實施. AD域命名和DNS的規(guī)劃Windows 2012 AD域命名和DNS的規(guī)劃之所以放在首要地位，是因為AD作為整個IT架構的基礎，不應該輕易被調(diào)整。盡管安裝后，Windows 2012 AD仍然可以重組和改名，這一點比Windows 2000 AD有了很大的進步，但是我們?nèi)匀唤ㄗh做一個長遠規(guī)劃，使得域命名和DNS服務能夠滿足企業(yè)35年的需求，盡量避免配置好后改作調(diào)整地巨大人力物力浪費。此外，部署Windows 2012 AD，還必須確定DNS服務器，確保它們滿足域控制器定位器系統(tǒng)的要求。一個支持AD的DNS至少需要滿足以下要求：l 必須支持服務定位資源記錄（SRV）l 應該支持 DNS 動態(tài)更新協(xié)議（RFC 2136）Windows 2012 Server 提供的 DNS 服務同時滿足這些要求，并且還提供下列重要的附加功能和改進：l Active Directory 集成：DNS 服務把區(qū)域數(shù)據(jù)存儲在目錄中，使得 DNS 復制創(chuàng)建多個主域，也減少了對維護一個單獨的 DNS 區(qū)域傳送復制拓撲的要求。l 安全動態(tài)更新：使得一個管理員可以精確地控制哪些計算機可以更新哪些名稱，并防止未經(jīng)授權的
環(huán)評公示相關推薦
鄂ICP備17016276號-1