企業(yè)活動(dòng)目錄規(guī)劃方案(編輯修改稿)
2024-08-16 09:57 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 件限制策略 對(duì)一些規(guī)定不得使用的軟件可以通過(guò)組策略來(lái)禁用：178。 路徑規(guī)則：特殊文件路徑下的軟件不得使用：如program files下的某些軟件178。 證書(shū)規(guī)則：只有系統(tǒng)管理員頒發(fā)過(guò)證書(shū)的軟件可以使用，其他軟件禁止使用178。 哈希規(guī)則：對(duì)禁止使用的軟件通過(guò)哈希運(yùn)算得到這個(gè)軟件的身份指紋，在組策略里設(shè)置只要是符合身份指紋鑒定的軟件就進(jìn)行限制l 網(wǎng)絡(luò)連接控制策略 用戶經(jīng)常會(huì)通過(guò)改變“網(wǎng)絡(luò)連接”中的設(shè)置，繞過(guò)企業(yè)防火墻，建立自己的上網(wǎng)鏈路，比如電話撥號(hào)上網(wǎng)。這樣會(huì)帶來(lái)很大的安全隱患?？梢酝ㄟ^(guò)組策略限制用戶不得改變網(wǎng)絡(luò)連接中的配置，不允許用戶通過(guò)其他方式連接互聯(lián)網(wǎng)。. 計(jì)算機(jī)從工作組加入到域可能存在的問(wèn)題和解決方法把計(jì)算機(jī)從工作組模式加入到域模式可能會(huì)出現(xiàn)以下二個(gè)問(wèn)題問(wèn)題：1. 一些軟件不能使用。有一些軟件以登錄者的管理員權(quán)限帳號(hào)運(yùn)行，當(dāng)計(jì)算機(jī)加入到域并對(duì)登錄帳號(hào)做了權(quán)限設(shè)置，或禁用了本地管理員帳號(hào)，這些需要管理員權(quán)限運(yùn)行的軟件就有可能不能正常運(yùn)行。2. 用戶桌面環(huán)境發(fā)生改變。由于加入域前后用戶是用不同的帳號(hào)登錄的，因此用戶以前的桌面環(huán)境無(wú)法使用。具體有178。 桌面上放置的資料178。 “我的文檔”等放置的資料178。 配置好的“網(wǎng)絡(luò)打印機(jī)”178。 IE里設(shè)置好的“網(wǎng)站收藏夾”等。解決方法：1. 對(duì)問(wèn)題1我們可以按以下兩個(gè)方法來(lái)解決：(1) 把域帳號(hào)加入到本地管理員組(2) 卸載軟件，用域帳號(hào)登錄并安裝2. 對(duì)問(wèn)題2針對(duì)不同的問(wèn)題分別解決如下：(1) 把本地老帳號(hào)下的桌面內(nèi)容全部備份下來(lái)，復(fù)制到新域帳號(hào)的桌面(2) 把本地老帳號(hào)下的“我的文檔”內(nèi)容全部備份下來(lái)，復(fù)制到新域帳號(hào)的“我的文檔”(3) 重新連接和創(chuàng)建“網(wǎng)絡(luò)打印機(jī)”(4) 用特殊軟件把老帳號(hào)IE里的“網(wǎng)站收藏夾”備份下來(lái)，然后恢復(fù)到新域帳號(hào)中 3. 活動(dòng)目錄方案實(shí)施. AD域命名和DNS的規(guī)劃Windows 2003 AD域命名和DNS的規(guī)劃之所以放在首要地位，是因?yàn)锳D作為整個(gè)IT架構(gòu)的基礎(chǔ)，不應(yīng)該輕易被調(diào)整。盡管安裝后，Windows 2003 AD仍然可以重組和改名，這一點(diǎn)比Windows 2000 AD有了很大的進(jìn)步，但是我們?nèi)匀唤ㄗh做一個(gè)長(zhǎng)遠(yuǎn)規(guī)劃，使得域命名和DNS服務(wù)能夠滿足企業(yè)35年的需求，盡量避免配置好后改作調(diào)整地巨大人力物力浪費(fèi)。此外，部署Windows 2003 AD，還必須確定DNS服務(wù)器，確保它們滿足域控制器定位器系統(tǒng)的要求。一個(gè)支持AD的DNS至少需要滿足以下要求：l 必須支持服務(wù)定位資源記錄（SRV）l 應(yīng)該支持 DNS 動(dòng)態(tài)更新協(xié)議（RFC 2136）Windows 2003 Server 提供的 DNS 服務(wù)同時(shí)滿足這些要求，并且還提供下列重要的附加功能和改進(jìn)：l Active Directory 集成：DNS 服務(wù)把區(qū)域數(shù)據(jù)存儲(chǔ)在目錄中，使得 DNS 復(fù)制創(chuàng)建多個(gè)主域，也減少了對(duì)維護(hù)一個(gè)單獨(dú)的 DNS 區(qū)域傳送復(fù)制拓?fù)涞囊?。l 安全動(dòng)態(tài)更新：使得一個(gè)管理員可以精確地控制哪些計(jì)算機(jī)可以更新哪些名稱，并防止未經(jīng)授權(quán)的計(jì)算機(jī)從 DNS 獲得現(xiàn)有的名稱。l 條件轉(zhuǎn)發(fā)：根據(jù)不同的對(duì)外訪問(wèn)的域名后綴，可以將用戶的DNS名稱解析請(qǐng)求轉(zhuǎn)發(fā)到不同的外部DNS服務(wù)器。l 存根區(qū)域：可以定時(shí)地刷新和外部DNS服務(wù)器的連接，及時(shí)發(fā)現(xiàn)那些可能有故障、不再響應(yīng)用戶請(qǐng)求的服務(wù)器，提高用戶DNS名稱解析的效率。. 確定AD邏輯結(jié)構(gòu)Windows 2003活動(dòng)目錄的邏輯結(jié)構(gòu)由三個(gè)基本組件組成：森林、域和OU。 確定森林規(guī)劃森林是Windows 2003 AD域的集合。在很多情況下，單一森林就足夠了。單一森林環(huán)境易于建立和維護(hù)，森林間的域自動(dòng)建立雙向可傳遞內(nèi)部信任關(guān)系，不要求手動(dòng)建立外部信任配置，在安裝Exchange 2003 Server等應(yīng)用程序時(shí)，只需應(yīng)用一次架構(gòu)更改即可影響所有域。如果各個(gè)單位有下列管理要求，就必須建立一個(gè)以上的森林：l 不互相信任管理員。l 希望限制信任關(guān)系范圍。l 不同意某種森林架構(gòu)更改策略。架構(gòu)更改、配置更改會(huì)影響到森林中所有的域。如果單位不同意一個(gè)公共架構(gòu)策略，它們就不能共存于同一個(gè)森林中。 制定域規(guī)劃規(guī)劃域結(jié)構(gòu)時(shí)，始終遵循“簡(jiǎn)單是最好的投資”的設(shè)計(jì)原則，盡管增加某些復(fù)雜結(jié)構(gòu)可以增值，但是簡(jiǎn)單的結(jié)構(gòu)更易于說(shuō)明、維護(hù)和調(diào)試。一開(kāi)始時(shí)總是僅考慮每個(gè)森林中僅有一個(gè)域，然后為每一個(gè)增加的新域提供詳細(xì)的理由，確保添加到森林中的域都是有益的，因?yàn)樗鼈儠?huì)帶來(lái)相應(yīng)的管理開(kāi)銷而導(dǎo)致一定程度的成本上升。創(chuàng)建更多的域的三種可能的原因是：l 希望實(shí)現(xiàn)相對(duì)分散式得IT管理模式：多域結(jié)構(gòu)更容易進(jìn)行相對(duì)獨(dú)立的管理、委派和權(quán)限控制。另外，不同的用戶帳戶在一個(gè)域內(nèi)是不能出現(xiàn)重名的，多域之間就沒(méi)有限制。對(duì)于人士管理相對(duì)獨(dú)立的集團(tuán)下屬公司，多域結(jié)構(gòu)具有更好的靈活性。l 希望實(shí)現(xiàn)不同管理策略要求：包括用戶口令策略、賬戶鎖定策略和EFS加密策略。例如，要求某些人必須取8個(gè)字符以上的口令，而其它人不做限制。為此，必須將這些需要不同安全策略的用戶放在單獨(dú)的域中。l 希望減小WAN上的復(fù)制流量：域控制器域間復(fù)制將產(chǎn)生比域內(nèi)復(fù)制少的多的流量。如果公司很大，具有跨地區(qū)的組織結(jié)構(gòu)，且處于同一個(gè)森林內(nèi)，則在不同地理位置上的機(jī)構(gòu)可能使用慢速的WAN鏈路連接。為減少WAN上的DC復(fù)制流量，可以在不同的地理位置設(shè)置不同的域。l 根據(jù)以上考慮，我們建議，企業(yè)Windows 2003 AD域邏輯結(jié)構(gòu)可以采用“單森林、單域”的結(jié)構(gòu)設(shè)計(jì)。. 確定AD物理結(jié)構(gòu)Windows 2003 AD物理結(jié)構(gòu)主要是規(guī)劃站點(diǎn)拓?fù)?，用于幫助您決定在網(wǎng)絡(luò)的什么地方放置域控制器，以及管理域控制器之間的復(fù)制流量和用戶登錄流量?？紤]到企業(yè)的地理分布情況，應(yīng)該考慮使用多站點(diǎn)拓?fù)鋪?lái)規(guī)劃Windows 2003 AD物理結(jié)構(gòu)。從繪制基本的網(wǎng)絡(luò)拓?fù)洳季謭D著手工作，繪制所有可能的站點(diǎn)（Site）和站點(diǎn)鏈接（Site Link）。l 速度快（10Mbps以上）、連接可靠的LAN網(wǎng)絡(luò)總是放置在單站點(diǎn)中。站點(diǎn)定義為一組通過(guò)快速、可靠的線路連接起來(lái)的 IP 子網(wǎng)。一般而言，具有 LAN 速度或更快速度的網(wǎng)絡(luò)被認(rèn)為是快速網(wǎng)絡(luò)。 l 窄帶的、或不太可靠的連接可以使用站點(diǎn)鏈接建立多站點(diǎn)網(wǎng)絡(luò)。通常，WAN連接一般被認(rèn)為是窄帶連接。如果建立站點(diǎn)鏈接，實(shí)現(xiàn)多站點(diǎn)網(wǎng)絡(luò)模式，則：178。 客戶計(jì)算機(jī)在登錄到域時(shí)首先試圖與位于同一站
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1