【正文】 用戶權(quán)限的分配，使系統(tǒng)的管理得到最大的簡化，方案中采用AGDLP策略及AGUDLP策略。在每個(gè)域中創(chuàng)建全局組，用與組織本域的帳戶，在沒個(gè)域中創(chuàng)建域本地組，用于完成權(quán)限的指派。在本域內(nèi)的權(quán)限的分配，可以使用AGDLP策略，在域間的權(quán)限分配，使得AGDLP策略，依次將用戶加入全局組，將全局組加入通用組，在將通用組加入域本地組，最后可以根據(jù)需要將權(quán)限授予指定的域本地組，采用這樣的方式，不僅可以使用戶的組織和權(quán)限分配簡單，也可以減少域間的復(fù)制流量，從而提高系統(tǒng)的性能。如圖所示：域本地組通用組全局組用戶 通用組全局組用戶分配權(quán)限 在設(shè)計(jì)方案中，安全的設(shè)計(jì)主要分2個(gè)部分，首先是ISA Server的應(yīng)用，通過ISA Server的配置，建立軟件防火墻，保護(hù)集團(tuán)內(nèi)部網(wǎng)絡(luò)不受外部用戶的攻擊，同時(shí)利用ISA Server提供的網(wǎng)站過濾功能和服務(wù)器發(fā)布功能，對(duì)企業(yè)內(nèi)部用戶的上網(wǎng)行為進(jìn)行規(guī)范，并能保障服務(wù)器的安全使用。其次，在方案設(shè)計(jì)中，充分應(yīng)用Window系統(tǒng)提供的組策略功能，利用組策略，可以在每個(gè)公司的域中設(shè)計(jì)安全策略。防止用戶進(jìn)行非授權(quán)的訪問，保護(hù)用戶在工作環(huán)境不受破壞。具體的設(shè)計(jì)方案如下：216。 ISA Server：ISA Server是微軟公司出品的軟件防火墻代理服務(wù)器產(chǎn)品，它不僅可以起到代理服務(wù)器的緩存作用，也能實(shí)現(xiàn)防火墻的功能，通過軟件防火墻上設(shè)置過濾規(guī)則，可以控制內(nèi)部用戶對(duì)網(wǎng)站的訪問，同時(shí)利用其提供的服務(wù)器發(fā)布功能，也可以將企業(yè)內(nèi)部的服務(wù)器發(fā)布到Internet上，提供互聯(lián)網(wǎng)的訪問，在本方案的設(shè)計(jì)中，主要利用了網(wǎng)站過濾和服務(wù)器發(fā)布的功能，在集團(tuán)中心即房安裝和配置ISA服務(wù)器，繼承防火墻功能和代理服務(wù)器的功能，將集團(tuán)總部及子公司的WEB服務(wù)器及MAIL服務(wù)器發(fā)布到互聯(lián)網(wǎng)上。集團(tuán)中所有的客戶端做為ISA的客戶端，所有的互聯(lián)網(wǎng)的訪問均通過ISA服務(wù)器轉(zhuǎn)發(fā)，這樣，就可以在ISA服務(wù)器上對(duì)所有網(wǎng)絡(luò)流量進(jìn)行監(jiān)控并對(duì)實(shí)現(xiàn)網(wǎng)絡(luò)訪問的過濾。具體部署如圖： 對(duì)外發(fā)布WEBMAIL森林樹ISA ClientISA ClientISA Server216。 防火墻功能：ISA服務(wù)器位于企業(yè)網(wǎng)絡(luò)和外網(wǎng)之間，采用三網(wǎng)卡分別連接內(nèi)網(wǎng)和外網(wǎng)和DZM區(qū)，充分利用防火墻的角色，并利用網(wǎng)站和內(nèi)容規(guī)則來限制用戶能夠訪問的網(wǎng)站216。 服務(wù)器發(fā)布：利用ISA服務(wù)器將企業(yè)中的郵件和WEB服務(wù)器發(fā)布到互聯(lián)網(wǎng)上，保證外部用戶可以訪問公司的WEB服務(wù)器，并將公司用戶可以與外部客戶利用郵件交換信息。216。 客戶端：在所有用戶計(jì)算機(jī)上安裝ISA客戶端軟件，并配置瀏覽器使用ISA Server作為代理服務(wù)器上網(wǎng)。216。 安全策略：在Windows系統(tǒng)中的域模式下，安全策略是保護(hù)系統(tǒng)及用戶在工作環(huán)境不被破壞的重要工具，在本方案中采用了組策略這個(gè)工具對(duì)全部系統(tǒng)提供安全保護(hù)，由于集團(tuán)各個(gè)子公司采用獨(dú)立的管理模式，所以在每個(gè)域中單獨(dú)設(shè)置組策略，并使組策略應(yīng)用到每個(gè)域中的用戶和計(jì)算機(jī)。各個(gè)子公司的系統(tǒng)管理員可以獨(dú)立的管理子公司的域，并可以在以后修改和編輯組策略，以適應(yīng)公司未來的需求。在本方案中，根據(jù)集團(tuán)的目前的需求，建立了基本的組策略 ⑴ 密碼長度最小值為7 ⑵ 密碼最長存留期為30天 ⑶ 密碼過期期限為50天 ⑷ 帳戶鎖定閥值為5次無效登陸 ⑸ 啟動(dòng)密碼必須符合復(fù)雜性需求策略五、Windows服務(wù)器解決方案. WEB服務(wù)器微軟Windows Server 2003中的IIS 、可靠的、可擴(kuò)展的、安全的及可管理的內(nèi)聯(lián)網(wǎng)、外聯(lián)網(wǎng)和互聯(lián)網(wǎng)Web服務(wù)器解決方案。IIS 。優(yōu)點(diǎn)IIS 和 Windows Server 2003在網(wǎng)絡(luò)應(yīng)用服務(wù)器的管理、可用性、可靠性、安全性、性能與可擴(kuò)展性方面提供了許多新的功能。IIS 。IIS Windows Server 2003提供了最可靠的、高效的、連接的、完整的網(wǎng)絡(luò)服務(wù)器解決方案。特點(diǎn)描述可靠性與可伸縮性IIS 、更可靠的Web服務(wù)器環(huán)境，新的環(huán)境包括應(yīng)用程序健康監(jiān)測、應(yīng)用程序自動(dòng)地循環(huán)利用。其可靠的性能提高了網(wǎng)絡(luò)服務(wù)的可用性并且節(jié)省了管理員用于重新啟動(dòng)網(wǎng)絡(luò)服務(wù)所花費(fèi)的時(shí)間，IIS 。更安全、易于管理IIS 。安全性能的增強(qiáng)包括技術(shù)與需求處理變化兩方面。另外，增強(qiáng)了在安全方面的認(rèn)證和授權(quán)。IIS ，這意味著默認(rèn)系統(tǒng)的安全系數(shù)就被設(shè)為最大，它提供的增強(qiáng)的管理性能改善了XML metabase的管理及新的命令行工具。服務(wù)器合并IIS ，它為Web服務(wù)器的合并提供了新的機(jī)遇。通過將可靠的體系結(jié)構(gòu)和內(nèi)核模式驅(qū)動(dòng)程序完美結(jié)合在一起，IIS 。服務(wù)器合并還可以降低企業(yè)與人工、硬件以及站點(diǎn)管理相關(guān)的成本。增強(qiáng)的開發(fā)與國際化支持通過Windows Server 2003 與IIS ，應(yīng)用程序開發(fā)人員將從Windows Server 2003 與IIS 單一的、完整的應(yīng)用平臺(tái)環(huán)境中受益?；贗IS ，Windows Server 2003為開發(fā)者提供高標(biāo)準(zhǔn)的附加功能，包括快速應(yīng)用程序開發(fā)以及廣泛的語言選擇，同時(shí)也提供了國際化支持和支持最新的Web標(biāo)準(zhǔn)。更高的安全性IIS 。IIS ，從而減少了暴露在攻擊者面前的攻擊表面積。此外，IIS 。IIS ，改善了對(duì)XML元數(shù)據(jù)庫（metabase）的管理，并且提供了新的命令行工具。IIS ，大大提高了信息系統(tǒng)的安全性。Web服務(wù)器更高的可靠性和可用性IIS ，以提高Web服務(wù)器的可靠性和可用性。新的容錯(cuò)進(jìn)程架構(gòu)和其它功能特性可以幫助用戶減少不必要的停機(jī)時(shí)間，并提高應(yīng)用程序的可用性。功能特性描述容錯(cuò)進(jìn)程架構(gòu)IIS （又稱應(yīng)用程序池）。應(yīng)用程序池為管理員管理一組Web站點(diǎn)和應(yīng)用程序提供了便利，同時(shí)提高了系統(tǒng)的可靠性，因?yàn)橐粋€(gè)應(yīng)用程序池中的錯(cuò)誤不會(huì)引起另外一個(gè)應(yīng)用程序池或者服務(wù)器本身發(fā)生故障。健康狀況監(jiān)視IIS ，并自動(dòng)重新啟動(dòng)應(yīng)用程序池中發(fā)生故障的Web站點(diǎn)或應(yīng)用程序，從而提高了應(yīng)用程序的可用性。通過自動(dòng)禁用在短時(shí)間內(nèi)頻繁發(fā)生故障的Web站點(diǎn)和應(yīng)用程序，IIS 。自動(dòng)進(jìn)程回收IIS ——例如CPU利用率和內(nèi)存占用情況，自動(dòng)停止和重新啟動(dòng)發(fā)生故障的Web站點(diǎn)和應(yīng)用程序，同時(shí)將請(qǐng)求放入隊(duì)列。IIS ，將Web服務(wù)客戶端應(yīng)用程序與后端不穩(wěn)定的Web應(yīng)用程序隔離開來。快速的故障保護(hù)如果某個(gè)應(yīng)用程序在短時(shí)間內(nèi)頻繁發(fā)生故障，IIS ，并且向所有新發(fā)出和排入隊(duì)列的針對(duì)該應(yīng)用程序的請(qǐng)求返回一個(gè)“503服務(wù)不可用”錯(cuò)誤信息。例如，此外，還可以觸發(fā)某些定制操作，例如觸發(fā)一個(gè)調(diào)試操作或者向管理員發(fā)出通知?？焖俟收媳Ｗo(hù)可以保護(hù)Web服務(wù)器免遭拒絕服務(wù)攻擊。更加輕松的服務(wù)器管理借助IIS ，Web基礎(chǔ)結(jié)構(gòu)的管理工作變得比以往更加輕松和靈活，從而為企業(yè)節(jié)約IT管理成本帶來了新的機(jī)遇。功能特性描述基于XML的配置文件IIS （metabase）為發(fā)生故障的服務(wù)器帶來了經(jīng)過改進(jìn)的備份和恢復(fù)功能。此外，它還提供了得到改進(jìn)的故障處理和元數(shù)據(jù)庫損壞恢復(fù)。使用常見的文本編輯工具對(duì)其進(jìn)行直接編輯提供了更為出色的可管理性。運(yùn)行程序的同時(shí)對(duì)其進(jìn)行編輯在服務(wù)器保持運(yùn)行的同時(shí)，IIS 。例如，管理員可以使用該特性添加一個(gè)新的站點(diǎn)，創(chuàng)建虛擬目錄，或者修改應(yīng)用程序池和工作進(jìn)程的配置——所有這些都是在IIS ，并且無需進(jìn)行重新編譯或者重新啟動(dòng)服務(wù)器。基于命令行和腳本的管理IIS Server 2003的命令行工具完成很多常見的管理工作。利用一個(gè)簡單的命令，管理員即可管理多個(gè)本地或遠(yuǎn)程計(jì)算機(jī)。IIS ，以在不使用圖形用戶界面的情況下，從命令行自動(dòng)完成多種常見的管理任務(wù)。對(duì)WMI的支持IIS Management Instrumentation（Windows管理規(guī)范，WMI）， Web管理員可以通過它獲取重要的企業(yè)管理數(shù)據(jù)，例如性能計(jì)數(shù)器和配置文件。WMI的接口從本質(zhì)上說類似于繼續(xù)享受支持的Microsoft Active Directory174。 Service Interfaces（ADSI），可以在管理腳本中使用，并且可以用來修改基于XML的配置元數(shù)據(jù)庫。服務(wù)器合并和先前版本相比，IIS ，現(xiàn)在，單臺(tái)服務(wù)器即可托管更多的站點(diǎn)和應(yīng)用程序。功能特性描述站點(diǎn)伸縮性IIS 。例如，在初始化過程中，IIS 。通過運(yùn)行IIS ，您可以在單臺(tái)服務(wù)器上管理更多的站點(diǎn)和并發(fā)執(zhí)行更多的工作進(jìn)程。和IIS的先前版本相比，服務(wù)器的啟動(dòng)和關(guān)閉過程更加快捷。所有這些改進(jìn)都使得IIS .新的內(nèi)核模式驅(qū)動(dòng)程序，Windows Server 2003引入了一種新的內(nèi)核模式驅(qū)動(dòng)程序，即HTTP協(xié)議堆棧（），并使用它進(jìn)行HTTP的解析和緩存，從而大大提高了系統(tǒng)的伸縮性和性能表現(xiàn)。IIS ，并且針對(duì)提高Web服務(wù)器的吞吐量這一目的進(jìn)行了特別的優(yōu)化和調(diào)整。Web園IIS ，這種配置又被稱作Web園（Web garden）。處理器關(guān)聯(lián)如果設(shè)置了處理器關(guān)聯(lián)，IIS 微處理器或CPU上。處理器關(guān)聯(lián)還可以和運(yùn)行在多處理器計(jì)算機(jī)之上的Web園配合使用，在這些計(jì)算機(jī)上，CPU群集專門共指定的應(yīng)用程序池使用。更快捷的應(yīng)用程序開發(fā)通過提供一組全面完善的集成化應(yīng)用程序服務(wù)和領(lǐng)先于業(yè)界的工具，Windows Server 2003應(yīng)用程序環(huán)境大大改善了開發(fā)人員的工作效率和生產(chǎn)力。功能特性描述，Windows Server 2003提供了更為美妙的開發(fā)體驗(yàn)。Windows Server 2003的各種增強(qiáng)建立在IIS ，為開發(fā)人員提供了高水平的功能特性，例如快速應(yīng)用程序開發(fā)（RAD）和廣泛靈活的語言選擇。在Windows Server 2003中， Framework的得到了進(jìn)一步優(yōu)化，因?yàn)橛脕硖幚碚?qǐng)求的體系架構(gòu)與IIS 。Microsoft .NET FrameworkMicrosoft .NET 。此外，它還可以幫助他們開發(fā)與他們目前正在設(shè)計(jì)和開發(fā)的應(yīng)用程序完全相同的程序。.NET Framework和語言無關(guān)；實(shí)際上您可以使用任何語言為它開發(fā)程序。，包括： Microsoft Visual C++174。 .NET、Visual Basic174。 .NET、JScript174。以及Visual C .NET。XML Web 服務(wù)IIS Web服務(wù)平臺(tái)。XML Web服務(wù)為用戶遠(yuǎn)程訪問服務(wù)器功能提供了手段。通過使用Web服務(wù)，企業(yè)可以將編程接口暴露給他們的數(shù)據(jù)或業(yè)務(wù)邏輯，也可以通過客戶端和服務(wù)器應(yīng)用程序獲得和操縱這些數(shù)據(jù)和業(yè)務(wù)邏輯?？缭浇M織地理邊界的信息共享跨越組織的地理邊界使用各種語言進(jìn)行信息共享正在經(jīng)濟(jì)全球化浪潮中發(fā)揮越來越大的作用。過去，HTTP協(xié)議的非Unicode結(jié)構(gòu)將開發(fā)人員限制在系統(tǒng)代碼頁上。現(xiàn)在，利用經(jīng)過UTF8（UCS Transformation Format 8）編碼的URL ，Unicode成為了可能，它帶來的好處之一便是：人們可以支持更復(fù)雜的語言了，例如中文。IIS 。此外，它還添加了新的服務(wù)器支持函數(shù)，允許開發(fā)人員訪問以Unicode形式表述的URL地址，因此改善了產(chǎn)品的國際化支持能力。更高的安全性IIS 4x 或 IIS 5x安全，它擁有很多新的功能特性，能夠大大提高您的Web基礎(chǔ)結(jié)構(gòu)的安全性。此外，在默認(rèn)狀況下，IIS “鎖定”狀態(tài)，同時(shí)具有最為可靠的超時(shí)設(shè)置和內(nèi)容限制。 功能特性描述鎖定服務(wù)器IIS 。為了減少系統(tǒng)向外界暴露的攻擊表面積，IIS Server 2003之中——管理員必須明確地選擇該組件并安裝它。IIS ，并僅僅能夠?yàn)橛脩籼峁╈o態(tài)內(nèi)容。通過使用Web服務(wù)擴(kuò)展節(jié)點(diǎn)，Web站點(diǎn)的管理員可以根據(jù)組織的特殊需要，啟用或禁用某些IIS功能。Web服務(wù)擴(kuò)展列表默認(rèn)情況下的IIS安裝不會(huì)編譯、執(zhí)行或者提交任何動(dòng)態(tài)頁面。為了向用戶提供這些文件，您必須在Web服務(wù)擴(kuò)展列表中添加每個(gè)允許提交的文件擴(kuò)展名。這種做法可以防止某些人調(diào)用一些不夠安全的動(dòng)態(tài)頁面。默認(rèn)的低權(quán)限賬戶所有IIS “網(wǎng)絡(luò)服務(wù)”用戶賬戶運(yùn)行，這個(gè)在Windows Server 2003中新增加的賬戶類型是一種擁有有限操作系統(tǒng)權(quán)限的內(nèi)置賬戶。所有的ASP內(nèi)置功能都使用低權(quán)限賬戶（匿名用戶）在系統(tǒng)中運(yùn)行。授權(quán)IIS Server 2003內(nèi)置的新的授權(quán)框架進(jìn)行了進(jìn)一步的擴(kuò)展。此外，Web應(yīng)用程序可以使用URL授權(quán)——以及授權(quán)管理器（Authorization Manager）——對(duì)用戶的訪問加以控制?，F(xiàn)在，受約束的委派授權(quán)使得域管理員只能向特定的計(jì)算機(jī)和服務(wù)進(jìn)行委派操作。web應(yīng)用服務(wù)器集群系統(tǒng)，是由一群同時(shí)運(yùn)行同一個(gè)web應(yīng)用的服務(wù)器組成的集群系統(tǒng)，在外界看來，就像是一個(gè)服務(wù)器一樣。為了均衡集群服務(wù)器的負(fù)載，達(dá)到優(yōu)化系統(tǒng)性能的目的，集群服務(wù)器將眾多的訪問請(qǐng)求，分散到系統(tǒng)中的不同節(jié)點(diǎn)進(jìn)行處理。從而實(shí)現(xiàn)了更高的有效性和穩(wěn)定性，而這也正是基于Web的企業(yè)應(yīng)用所必須具備的特性。高可靠性可以看作為系統(tǒng)的一種冗余設(shè)定。對(duì)于一個(gè)特定的請(qǐng)求，如果所申請(qǐng)的服務(wù)器不能進(jìn)行處理的話，那么其他的服務(wù)器能不能對(duì)之進(jìn)行有效的處理呢？對(duì)于一個(gè)高效的系統(tǒng)，如果一個(gè)Web服務(wù)器失敗的話，其他的服務(wù)器可以馬上取代它的位置，對(duì)所申請(qǐng)的請(qǐng)求進(jìn)行處理，而且這一過程對(duì)用戶來說，要盡可能的透明，使用戶察覺不到！穩(wěn)定性決定了應(yīng)用程序能否支持不斷增長的用戶請(qǐng)求數(shù)量，它是應(yīng)用程序自身的一種能力。穩(wěn)定性是影響系統(tǒng)性能的眾多因素的一種有效的測量手段，包括機(jī)群系統(tǒng)所能支持的同時(shí)訪問系統(tǒng)的最大用戶數(shù)目以及處理一個(gè)請(qǐng)求所需要的時(shí)間。在現(xiàn)有眾多的均衡服務(wù)器負(fù)載的方法中，廣泛研究并使用的是以下兩個(gè)方法：DNS負(fù)載平衡的方法RRDNS(RoundRobin Domain Name System) 負(fù)載均衡器DNS輪流排程 RRDNS(RoundRobin Domain Name System)域名服務(wù)器（Domain Name Server）中的數(shù)據(jù)文件將主機(jī)名字映射到其IP地址。當(dāng)你在瀏覽器中鍵入一個(gè)URL時(shí)（例如：），瀏覽器則將請(qǐng)求