《AD域權(quán)限設(shè)置》PPT課件.ppt

用戶賬戶管理,用戶賬戶 域用戶賬戶名稱 用戶賬戶命名約定的制定準(zhǔn)則 用戶賬戶在 Active Directory 層次結(jié)構(gòu)中的位置 用戶賬戶的密碼選項 要求或限制更改密碼,用戶賬戶,域用戶賬戶 （存儲在 Active Directory）,本地用戶賬戶（存儲在本地計算機）,Windows Server 2003 域,用戶賬戶命名約定的制定準(zhǔn)則,創(chuàng)建用戶賬戶時應(yīng)該考慮：,雇員重名,不同類型的雇員，例如臨時雇員或合同雇員,用戶賬戶在 Active Directory 層次結(jié)構(gòu)中的位置,地理設(shè)計,商業(yè)設(shè)計,用戶賬戶的密碼選項,防止用戶使用選中的賬戶登錄,賬戶已禁用,描述,賬戶選項,防止用戶更改自己的密碼,用戶不能更改密碼,用戶必須在下次登錄到網(wǎng)絡(luò)時更改自己密碼,用戶下次登錄時須更改密碼,防止用戶密碼過期,密碼永不過期,要求或限制更改密碼,創(chuàng)建本地和域服務(wù)賬戶 創(chuàng)建新的本地賬戶（不在本地登錄）,限制更改密碼,遇到以下情況，使用這個選項,選項,創(chuàng)建新的域賬戶 重設(shè)密碼,要求更改密碼,DSADD,DSADD 是 Windows Server 2003 Server 新提供的工具 DSADD 用于將計算機、聯(lián)系人、組、組織單位或用戶添加到目錄中 可通過輸入 DSADD /? 獲取如何使用該命令的詳細(xì)信息,用戶賬戶的屬性,用戶賬戶的屬性對話框,計算機賬戶的屬性,計算機賬戶的屬性對話框,管理組帳戶,創(chuàng)建組 管理組成員身份 使用組應(yīng)用策略 更改組 使用默認(rèn)組,創(chuàng)建組,組 域功能級別 全局組 通用組 域本地組 本地組 組的創(chuàng)建位置 組命名規(guī)則,組,組使管理員能夠一次性對資源分配權(quán)限，從而簡化管理,組的特點是根據(jù)作用域和類型來定義,描述,組類型,僅僅能夠與 電子郵件應(yīng)用程序配合 使用，不能用來分配權(quán)限,分布,常常用來分配用戶權(quán)利和權(quán)限， 具有通訊組功能,安全,組作用域的判斷主要考慮是否需要擴展到多個域或限制在一個域中 三種組作用域：全局、本地域、通用,組,組的作用域,通用組的成員可包括域樹或森林中任何域中的其他組和賬戶，可在該域樹或森林中的任何域中指派權(quán)限 全局組的成員可包括只在其中定義該組的域中的其他組和賬戶，可在森林中的任何域中指派權(quán)限 域本地組的成員可包括 Windows Server2003、Windows2000 或 WindowsNT 域中的其他組和賬戶，而且只能在域內(nèi)指派權(quán)限,域功能級別,全局、本地域,Windows NT Server 4.0, Windows Server 2000, Windows Server 2003,全局、本地域、通用,Windows Server 2000, Windows Server 2003,全局、本地域、通用,Windows Server 2003,支持的域控制器,支持的組作用域,全局組規(guī)則,全局組,混合模式：同一個域中的用戶賬戶 本機模式：同一個域的用戶賬戶和全局組,成員,在自己和所有信任的域里可見,作用域,混合模式： 域本地組 本機模式： 任何域里的通用和域本地組，以及相同域的全局組,可作為右邊表格中所示組的成員,林中所有域,權(quán)限,通用組規(guī)則,通用組,混合模式：不適用 本機模式：用戶賬戶、全局組和森林中任何域的其他通用組,成員,森林中所有域都可見,作用域,混合模式：不適用 本機模式：任何域中的域本地組和通用組,可作為右邊表格中所示組的成員,森林中所有域,權(quán)限,域本地組規(guī)則,域本地組,混合模式：任何域中的用戶賬戶和全局組 本機模式：森林中任何域的用戶賬戶、全局組和通用組，以及同一域中的域本地組,成員,僅在自己所在的域中可見,作用域,混合模式：無 本機模式：同一域中的域本地組,可作為右邊表格中所示組的成員,域本地組所屬的域,權(quán)限,本地組規(guī)則,本地組,計算機的本地用戶賬戶,成員,無,可作為右邊表格中所示組的成員,內(nèi)置組列表及說明,組的創(chuàng)建位置,在森林的根域、森林的任何其他域、組織單位創(chuàng)建組 根據(jù)管理需要選擇域或組織單位來創(chuàng)建組 例： 目錄有多個組織單位，每個擁有不同的管理員，可以為這些組織單位創(chuàng)建全局組,組命名規(guī)則,安全組：,在組名的命名約定中合并作用域 名稱能夠反映所屬關(guān)系（部門或小組名稱） 在組名的開頭添上域名或其縮寫 使用描述符來標(biāo)識一個組所擁有的最大權(quán)限，例如：DL IT London OU Admins,通訊組：,使用短的別名 顯示名稱里不應(yīng)包含用戶的別名 一個通訊組最多由五個合作者管理,管理組成員,“成員”和“隸屬于”屬性 演示 “成員”和“隸屬于” 確定用戶賬戶的從屬組 在組中添加和刪除成員,“成員”和“隸屬于”屬性,組或小組,全局組,域本地組,Tom、Jo 和 Kim,Sam、Scott 和 Amy,Denver Admins,Denver Admins,Vancouver Admins,Denver OU Admins,在組中添加和刪除成員,通過使用“ActiveDirectory 用戶和計算機”來添加成員 通過使用“屬性”對話框的“隸屬于”選項卡來添加用戶賬戶或組,使用組應(yīng)用策略,組嵌套 組策略,組,組,組,組,組,組嵌套,意味著將組作為其他組的成員,嵌套組用來加強組管理 嵌套組選項取決于 Windows Server 2003 域的功能級別設(shè)置為 Windows 2000 本機模式還是 Windows 2000 混合模式,組策略,