【文章內容簡介】 program files下的某些軟件178。 證書規(guī)則：只有系統(tǒng)管理員頒發(fā)過證書的軟件可以使用，其他軟件禁止使用178。 哈希規(guī)則：對禁止使用的軟件通過哈希運算得到這個軟件的身份指紋，在組策略里設置只要是符合身份指紋鑒定的軟件就進行限制l 網(wǎng)絡連接控制策略 用戶經(jīng)常會通過改變“網(wǎng)絡連接”中的設置，繞過企業(yè)防火墻，建立自己的上網(wǎng)鏈路，比如電話撥號上網(wǎng)。這樣會帶來很大的安全隱患?？梢酝ㄟ^組策略限制用戶不得改變網(wǎng)絡連接中的配置，不允許用戶通過其他方式連接互聯(lián)網(wǎng)。. 計算機從工作組加入到域可能存在的問題和解決方法把計算機從工作組模式加入到域模式可能會出現(xiàn)以下二個問題問題：1. 一些軟件不能使用。有一些軟件以登錄者的管理員權限帳號運行，當計算機加入到域并對登錄帳號做了權限設置，或禁用了本地管理員帳號，這些需要管理員權限運行的軟件就有可能不能正常運行。2. 用戶桌面環(huán)境發(fā)生改變。由于加入域前后用戶是用不同的帳號登錄的，因此用戶以前的桌面環(huán)境無法使用。具體有178。 桌面上放置的資料178。 “我的文檔”等放置的資料178。 配置好的“網(wǎng)絡打印機”178。 IE里設置好的“網(wǎng)站收藏夾”等。解決方法：1. 對問題1我們可以按以下兩個方法來解決：(1) 把域帳號加入到本地管理員組(2) 卸載軟件，用域帳號登錄并安裝2. 對問題2針對不同的問題分別解決如下：(1) 把本地老帳號下的桌面內容全部備份下來，復制到新域帳號的桌面(2) 把本地老帳號下的“我的文檔”內容全部備份下來，復制到新域帳號的“我的文檔”(3) 重新連接和創(chuàng)建“網(wǎng)絡打印機”(4) 用特殊軟件把老帳號IE里的“網(wǎng)站收藏夾”備份下來，然后恢復到新域帳號中3. 活動目錄方案實施. AD域命名和DNS的規(guī)劃Windows 2003 AD域命名和DNS的規(guī)劃之所以放在首要地位，是因為AD作為整個IT架構的基礎，不應該輕易被調整。盡管安裝后，Windows 2003 AD仍然可以重組和改名，這一點比Windows 2000 AD有了很大的進步，但是我們仍然建議做一個長遠規(guī)劃，使得域命名和DNS服務能夠滿足企業(yè)35年的需求，盡量避免配置好后改作調整地巨大人力物力浪費。此外，部署Windows 2003 AD，還必須確定DNS服務器，確保它們滿足域控制器定位器系統(tǒng)的要求。一個支持AD的DNS至少需要滿足以下要求：l 必須支持服務定位資源記錄（SRV）l 應該支持 DNS 動態(tài)更新協(xié)議（RFC 2136）Windows 2003 Server 提供的 DNS 服務同時滿足這些要求，并且還提供下列重要的附加功能和改進：l Active Directory 集成：DNS 服務把區(qū)域數(shù)據(jù)存儲在目錄中，使得 DNS 復制創(chuàng)建多個主域，也減少了對維護一個單獨的 DNS 區(qū)域傳送復制拓撲的要求。l 安全動態(tài)更新：使得一個管理員可以精確地控制哪些計算機可以更新哪些名稱，并防止未經(jīng)授權的計算機從 DNS 獲得現(xiàn)有的名稱。l 條件轉發(fā)：根據(jù)不同的對外訪問的域名后綴，可以將用戶的DNS名稱解析請求轉發(fā)到不同的外部DNS服務器。l 存根區(qū)域：可以定時地刷新和外部DNS服務器的連接，及時發(fā)現(xiàn)那些可能有故障、不再響應用戶請求的服務器，提高用戶DNS名稱解析的效率。. 確定AD邏輯結構Windows 2003活動目錄的邏輯結構由三個基本組件組成：森林、域和OU。 確定森林規(guī)劃森林是Windows 2003 AD域的集合。在很多情況下，單一森林就足夠了。單一森林環(huán)境易于建立和維護，森林間的域自動建立雙向可傳遞內部信任關系，不要求手動建立外部信任配置，在安裝Exchange 2003 Server等應用程序時，只需應用一次架構更改即可影響所有域。如果各個單位有下列管理要求，就必須建立一個以上的森林：l 不互相信任管理員。l 希望限制信任關系范圍。l 不同意某種森林架構更改策略。架構更改、配置更改會影響到森林中所有的域。如果單位不同意一個公共架構策略，它們就不能共存于同一個森林中。 制定域規(guī)劃規(guī)劃域結構時，始終遵循“簡單是最好的投資”的設計原則，盡管增加某些復雜結構可以增值，但是簡單的結構更易于說明、維護和調試。一開始時總是僅考慮每個森林中僅有一個域，然后為每一個增加的新域提供詳細的理由，確保添加到森林中的域都是有益的，因為它們會帶來相應的管理開銷而導致一定程度的成本上升。創(chuàng)建更多的域的三種可能的原因是：l 希望實現(xiàn)相對分散式得IT管理模式：多域結構更容易進行相對獨立的管理、委派和權限控制。另外，不同的用戶帳戶在一個域內是不能出現(xiàn)重名的，多域之間就沒有限制。對于人士管理相對獨立的集團下屬公司，多域結構具有更好的靈活性。l 希望實現(xiàn)不同管理策略要求：包括用戶口令策略、賬戶鎖定策略和EFS加密策略。例如，要求某些人必須取8個字符以上的口令，而其它人不做限制。為此，必須將這些需要不同安全策略的用戶放在單獨的域中。l 希望減小WAN上的復制流量：域控制器域間復制將產生比域內復制少的多的流量。如果公司很大，具有跨地區(qū)的組織結構，且處于同一個森林內，則在不同地理位置上的機構可能使用慢速的WAN鏈路連接。為減少WAN上的DC復制流量，可以在不同的地理位置設置不同的域。l 根據(jù)以上考慮，我們建議，企業(yè)Windows 2003 AD域邏輯結構可以采用“單森林、單域”的結構設計。. 確定AD物理結構Windows 2003 AD物理結構主要是規(guī)劃站點拓撲，用于幫助您決定在網(wǎng)絡的什么地方放置域控制器，以及管理域控制器之間的復制流量和用戶登錄流量?？紤]到企業(yè)的地理分布情況，應該考慮使用多站點拓撲來規(guī)劃Windows 2003 AD物理結構。從繪制基本的網(wǎng)絡拓撲布局圖著手工作，繪制所有可能的站點（Site）和站點鏈接（Site Link）。l 速度快（10Mbps以上）、連接可靠的LAN網(wǎng)絡總是放置在單站點中。站點定義為一組通過快速、可靠的線路連接起來的 IP 子網(wǎng)。一般而言，具有 LAN 速度或更快速度的網(wǎng)絡被認為是快速網(wǎng)絡。 l 窄帶的、或不太可靠的連接可以使用站點鏈接建立多站點網(wǎng)絡。通常，WAN連接一般被認為是窄帶連接。如果建立站點鏈接，實現(xiàn)多站點網(wǎng)絡模式，則：178。 客戶計算機在登錄到域時首先試圖與位于同一站點的DC通信；178。 Windows 2003 AD復制使用站點拓撲產生復