ad域控規(guī)劃方案(參考版)
2025-06-10 07:30本頁面
【正文】 可根據(jù)需要改變此刷新頻率。 Internet Explorer 維護l 周期刷新選項：可指定定時地處理組策略。 IP 安全178。 腳本178。這些組策略設(shè)置包括：178。l 低速鏈接處理的選項：許多用戶，如使用便攜式計算機的用戶、遠離建筑物或在分部工作的用戶，有時會用低速連接至網(wǎng)絡(luò)。 l 處理“環(huán)回”策略設(shè)置的策略選項：默認(rèn)的設(shè)置使計算機策略優(yōu)先于用戶策略起作用，但有時必須要優(yōu)先實施用戶策略，組策略的環(huán)回功能使管理員能夠?qū)崿F(xiàn)這一設(shè)置。也可阻止從父 Active Directory 容器繼承組策略。下面是一些可用的選項：l 安全組篩選選項：可針對某個特定組策略對象實施篩選，使之不能對篩選的計算機和用戶組生效。. 應(yīng)用組策略選項如果能認(rèn)真應(yīng)用組策略選項，即使開始用數(shù)據(jù)極其多的文件夾重定向選項和軟件安裝選項，也能夠改善網(wǎng)絡(luò)的響應(yīng)時間。這樣，他們就可以創(chuàng)建、修改自己的組策略對象，并成為該組策略對象的創(chuàng)建者和所有者。l 創(chuàng)建組策略對象：默認(rèn)情況下，只有域管理員組、企業(yè)管理員組和組策略創(chuàng)建者（所有者）組的成員可以創(chuàng)建新的組策略對象?？稍谡军c、域或 OU 的“屬性”頁的“組策略”選項卡中指定鏈接至站點、域或 OU 的組策略對象。Windows 2003 組策略：l 可根據(jù)活動目錄定義或在計算機本地進行定義；l 可用 Microsoft 管理控制臺（MMC）或 *.adm 文件保存和管理；l 是安全的；l 不會在實施的策略改變時把設(shè)置留在用戶配置文件中；l 可應(yīng)用于指定的活動目錄容器（站點、域與 OU）中的用戶或計算機；l 可由安全組的用戶或計算機成員進一步控制；l 可用來配置多種類型的安全設(shè)；l 可用于實施登錄、注銷、啟動及關(guān)閉腳本；l 可用于安裝和維護軟件；l 可用于重定向文件夾（如 My Documents 和 Application Data 文件夾）；l 可用于在 Microsoft Internet Explorer 中執(zhí)行維護?？捎媒M策略為某個特定的用戶組和計算機組創(chuàng)建指定的安全限制和桌面環(huán)境配置。. 創(chuàng)建 OU 支持組策略使用 Windows 2012，可以使用組策略定義用戶和計算機配置，并將這些策略與站點、域或 OU 關(guān)聯(lián)。l 委派步驟。l 修改訪問控制列表： 修改 OU 的訪問控制列表 (ACL)可以授予一個組對 OU 的特定權(quán)限，從而實現(xiàn)對該OU的委派管理。委派管理的三種方法是：按物理位置、按業(yè)務(wù)單位（公司部門）、按角色或任務(wù)。權(quán)限受到限制的管理員所發(fā)生的事故或錯誤所產(chǎn)生的影響只限于他們負(fù)責(zé)的范圍。以前，在單位中除了 IT 之外的組可能必須將更改請求提交到高級管理員，高級管理員代表他們進行更改。這有助于確保每個 OU 有一個目的，并將幫助閱讀規(guī)劃的人理解結(jié)構(gòu)所基于的理由。OU 結(jié)構(gòu)將很快變得相當(dāng)復(fù)雜。l 為組策略創(chuàng)建 OU。在目錄中查找資源的最有效的方法是查詢?nèi)志庝洝]有必要設(shè)計一個吸引最終用戶的 OU 結(jié)構(gòu)。一般而言，安全策略必須在域級別實施，其它策略主要在OU級別實施。l 可以在OU上實施組策略。l OU 可以用來委派管理和控制對目錄對象的訪問。一個 OU 可以包含子 OU，使得可以在域中創(chuàng)建一個分層的目錄樹結(jié)構(gòu)。在域中創(chuàng)建OU結(jié)構(gòu)時，必須注意始終按照“誰管理什么”的原則，從IT管理的需要出發(fā)，劃分管理模型的結(jié)構(gòu)，而不是簡單按照公司業(yè)務(wù)單位和它的不同分支、部門和項目來創(chuàng)建OU結(jié)構(gòu)。 Windows 2012 AD復(fù)制使用站點拓?fù)洚a(chǎn)生復(fù)制連接。如果建立站點鏈接，實現(xiàn)多站點網(wǎng)絡(luò)模式，則：178。 l 窄帶的、或不太可靠的連接可以使用站點鏈接建立多站點網(wǎng)絡(luò)。站點定義為一組通過快速、可靠的線路連接起來的 IP 子網(wǎng)。從繪制基本的網(wǎng)絡(luò)拓?fù)洳季謭D著手工作，繪制所有可能的站點（Site）和站點鏈接（Site Link）。l 根據(jù)以上考慮，我們建議，企業(yè)Windows 2012 AD域邏輯結(jié)構(gòu)可以采用“單森林、單域”的結(jié)構(gòu)設(shè)計。如果公司很大，具有跨地區(qū)的組織結(jié)構(gòu)，且處于同一個森林內(nèi)，則在不同地理位置上的機構(gòu)可能使用慢速的WAN鏈路連接。為此，必須將這些需要不同安全策略的用戶放在單獨的域中。l 希望實現(xiàn)不同管理策略要求：包括用戶口令策略、賬戶鎖定策略和EFS加密策略。另外，不同的用戶帳戶在一個域內(nèi)是不能出現(xiàn)重名的，多域之間就沒有限制。一開始時總是僅考慮每個森林中僅有一個域，然后為每一個增加的新域提供詳細(xì)的理由，確保添加到森林中的域都是有益的，因為它們會帶來相應(yīng)的管理開銷而導(dǎo)致一定程度的成本上升。如果單位不同意一個公共架構(gòu)策略，它們就不能共存于同一個森林中。l 不同意某種森林架構(gòu)更改策略。如果各個單位有下列管理要求，就必須建立一個以上的森林：l 不互相信任管理員。在很多情況下，單一森林就足夠了。. 確定AD邏輯結(jié)構(gòu)Windows 2012活動目錄的邏輯結(jié)構(gòu)由三個基本組件組成：森林、域和OU。l 條件轉(zhuǎn)發(fā)：根據(jù)不同的對外訪問的域名后綴，可以將用戶的DNS名稱解析請求轉(zhuǎn)發(fā)到不同的外部DNS服務(wù)器。一個支持AD的DNS至少需要滿足以下要
環(huán)評公示相關(guān)推薦
鄂ICP備17016276號-1