项目3_域网络构建与组策略应用.pptx

l lWindows Server 2008Windows Server 2008网络组建项目化教程网络组建项目化教程教材教材配套的光盘为师生双方提供了丰富的教学资源。主要包配套的光盘为师生双方提供了丰富的教学资源。主要包括括:课程标准课程标准(教学大纲教学大纲)、教学设计方案、教学设计方案(教案教案)、PPTPPT课课件、项目习作参考答案、配套软件清单及下载地址、模件、项目习作参考答案、配套软件清单及下载地址、模拟试卷及评分标准和参考答案拟试卷及评分标准和参考答案(4(4套套)、网络管理员职责、网络管理员职责、相关认证考试介绍与往年试卷、知识拓展资料、网络工相关认证考试介绍与往年试卷、知识拓展资料、网络工程案例与解决方案。程案例与解决方案。l l教材主编：夏笠芹教材主编：夏笠芹 方颂方颂l l出版社：出版社：WindowsWindows Server 2008Server 2008网络组建项目化教程网络组建项目化教程网络组建项目化教程网络组建项目化教程“十二五十二五十二五十二五”职业教育国家规划教材职业教育国家规划教材职业教育国家规划教材职业教育国家规划教材立项立项立项立项企业要构建一个办公网络，考虑到业务发展的需要，以及网络的安全性，需要对重要企业要构建一个办公网络，考虑到业务发展的需要，以及网络的安全性，需要对重要的公共资源和计算机使用人员的信息实现集中管理。的公共资源和计算机使用人员的信息实现集中管理。项目背景项目背景项目项目3 3 域网络构建与组策略应用域网络构建与组策略应用项目导入l l大、中型企业网络有几百到上千的用户，资源也比较分散，这大、中型企业网络有几百到上千的用户，资源也比较分散，这大、中型企业网络有几百到上千的用户，资源也比较分散，这大、中型企业网络有几百到上千的用户，资源也比较分散，这时候如何管理？时候如何管理？时候如何管理？时候如何管理？l l“工作组工作组工作组工作组”和和和和“域域域域”是是是是WindowsWindows网络的两种管理方式。网络的两种管理方式。网络的两种管理方式。网络的两种管理方式。工作组工作组工作组工作组n每一台计算机都独立维护自己的资源，不能集中管理所每一台计算机都独立维护自己的资源，不能集中管理所有网络资源有网络资源n每一台计算机都在本地存储用户的账户每一台计算机都在本地存储用户的账户n一个账户只能登录到一台计算机一个账户只能登录到一台计算机n工作组中的计算机的地位都是平等的，对于其他计算机工作组中的计算机的地位都是平等的，对于其他计算机来说既是服务器，也是客户机来说既是服务器，也是客户机 n工作组的网络规模一般少于工作组的网络规模一般少于1010台计算机台计算机域域域域n将网络中多台计算机逻辑上组织到一起，进行集中管理，将网络中多台计算机逻辑上组织到一起，进行集中管理，这种区别于工作组的逻辑环境叫做域这种区别于工作组的逻辑环境叫做域n域是组织与存储资源的核心管理单元域是组织与存储资源的核心管理单元 项目导入工作组工作组域域SAMSAMSAMSAMSAMSAM单用户帐单用户帐号号Active Directory项目3 域网络构建与组策略应用知识目标知识目标了解：域的概念、特点，活动目录的结构，域用户账户、域组账户和组织单位的概念、特点和用途熟悉：域控制器的条件，活动目录的管理与维护，域组账户的使用原则掌握：创建域，将计算机加入或脱离域，将域控制器降级为独立服务器或成员服务器；域用户账户、域组账户和组织单位的创建与管理；组策略的应用。能力目标能力目标会创建域，能将计算机加入或脱离域会创建与管理域用户账户、域组账户和组织单元能利用组策略技术对域中的计算机进行一些常用设置教学目标教学目标3.2 项目知识准备活动目录活动目录是存储网络上对象的相关信息并使该信息可供用户和网络是存储网络上对象的相关信息并使该信息可供用户和网络管理员使用的目录服务。管理员使用的目录服务。目录目录是一个数据库，用于保存与网络资源相关的信息结构、资源位是一个数据库，用于保存与网络资源相关的信息结构、资源位置、安全信息及管理信息等。如：计算机、用户、组、打印机等置、安全信息及管理信息等。如：计算机、用户、组、打印机等的名称、描述、地理位置、访问权限等信息。的名称、描述、地理位置、访问权限等信息。目录服务目录服务是使目录中所有信息和资源发挥作用的服务。是使目录中所有信息和资源发挥作用的服务。服务的主要表现是：网络中的所有用户和应用程序只需提供很少的信息就能准确定位到这些实体资源，保证用户能够快速访问。目录服务在网络安全方面也扮演着中心授权机构的角色，从而使操作系统可以轻松地验证用户身份并控制其对网络资源的访问。域域（Domain）是共用一个）是共用一个“目录服务数据库目录服务数据库”的安全边界的计算的安全边界的计算机的集合。机的集合。3.2.1 3.2.1 认识认识WindowsWindows的域的域3.2 项目知识准备教科教科教科教科书书的目的目的目的目录录网网网网络络的（活的（活的（活的（活动动）目）目）目）目录录ADAD存存存存储储对对象象象象章、章、章、章、节节的名称；的名称；的名称；的名称；页页号号号号基本基本基本基本单单元（元（元（元（对对象）：象）：象）：象）：用用用用户户、组组、计计算机、文件、打印算机、文件、打印算机、文件、打印算机、文件、打印机、机、机、机、联联系人等；系人等；系人等；系人等；综综合合合合单单元：元：元：元：组织单组织单元、域、域元、域、域元、域、域元、域、域树树、域林等、域林等、域林等、域林等提供提供提供提供的的的的服服服服务务让读让读者快速者快速者快速者快速查查找、定位找、定位找、定位找、定位书书上上上上的信息的信息的信息的信息对对网上的各种网上的各种网上的各种网上的各种资资源源源源实现实现集中集中集中集中统统一的一的一的一的单单点管理，点管理，点管理，点管理，让让管理管理管理管理员员和用和用和用和用户户能能能能够够便捷地便捷地便捷地便捷地查查找、定位和管理网上各找、定位和管理网上各找、定位和管理网上各找、定位和管理网上各类对类对象象象象的信息，的信息，的信息，的信息，进进儿使儿使儿使儿使这这些信息充分些信息充分些信息充分些信息充分发挥发挥作用。活作用。活作用。活作用。活动动目目目目录录也也也也作作作作为为网网网网络络安全的集中管理机构，使得操作系安全的集中管理机构，使得操作系安全的集中管理机构，使得操作系安全的集中管理机构，使得操作系统统可以可以可以可以验验证证用用用用户户的身分并控制用的身分并控制用的身分并控制用的身分并控制用户对户对网网网网络资络资源的源的源的源的访问访问。存存存存储储结结构构构构书书的前几的前几的前几的前几页页域控制器域控制器域控制器域控制器DCDCDCDC，结结构化的数据构化的数据构化的数据构化的数据仓库仓库大型数据大型数据大型数据大型数据库库扩扩展展展展性性性性静静静静态态不能不能不能不能增加条目增加条目增加条目增加条目动态动态活活活活动动可以随着网可以随着网可以随着网可以随着网络资络资源的增加而源的增加而源的增加而源的增加而动态动态地地地地进进行行行行扩扩展；展；展；展；提供提供提供提供对对网上网上网上网上资资源源源源实实施系施系施系施系统统管理、安全管管理、安全管管理、安全管管理、安全管理和互操作性等功能服理和互操作性等功能服理和互操作性等功能服理和互操作性等功能服务务。3.2.1 3.2.1 认识认识WindowsWindows的域的域3.2 项目知识准备域控制器域控制器在一个域中，活动目录数据库必须存储在域中特定的计算机上，这样的计算机被称为域控制器（Domain Controller，简写为DC）。一个域可以有一个或多个域控制器，各域控制器是平等的。成员服务器成员服务器那些安装了服务器版操作系统（如：Windows Server 2003或Windows 2000 Server），但未安装AD服务且加入域的计算机。工作站工作站所有安装Windows NT Workstation、Windows 2000 Professional或Windows XP Professional系统，且加入域的计算机 3.2.2 域中计算机的角色域中计算机的角色3.2 项目知识准备有许多计算机并不属于任何一个域，即以工作组模有许多计算机并不属于任何一个域，即以工作组模式运行着，从功能上来讲，也可将其分为两种角式运行着，从功能上来讲，也可将其分为两种角色：色：独立服务器安装了各种版本的Windows Server，但未加入域。它一旦加入域中，其角色便转化为“成员服务器”。一般客户端计算机无论执行何种操作系统，只要未加入域，且不是独立服务器的计算机，都归为此类。它一旦加入域中，其角色便是“工作站”。3.2.2 域中计算机的角色域中计算机的角色3.2 项目知识准备集中管理：集中管理：域中所有计算机共享了一个活动目录数据库，域中所有计算机共享了一个活动目录数据库，里面包含了整个域中的所有的资源信息、账户信息与里面包含了整个域中的所有的资源信息、账户信息与安全信息。安全信息。安全级别较高：安全级别较高：由于域中所有安全信息都集中存储在活由于域中所有安全信息都集中存储在活动目录数据库中，所以管理员可以通过指定强有力的动目录数据库中，所以管理员可以通过指定强有力的安全策略来保证整个域的安全。安全策略来保证整个域的安全。便于用户访问域中的资源：便于用户访问域中的资源：在域的活动目录数据库中，在域的活动目录数据库中，管理员可以创建管理员可以创建“域用户账户域用户账户”。一个域中无论有多少台计算机，用户只要拥有域用户账户，便可访问域中所有计算机上允许访问的资源，即域用户账户对资源的访问范围可以是整个域，而非局限在一台计算机上。域用户账户可以在加入域的任何一台计算机上登录，从而使用、访问该计算机上资源。3.2.3 域的特点域的特点3.2 项目知识准备组织单位组织单位（Organizational Unit，简称，简称OU）OU是组织、管理一个域内的对象的容器，它能包容用户账户、用户组、计算机、应用程序、打印机和其它的OU。域域(Domain)域是活动目录的核心单元，是对象（如计算机、用户、组织单位等）的容器，这些对象有相同的安全需求、复制过程和管理。域管理员具有管理本域的所有权利，如果其它的域显式地赋予它管理权限，他还能够访问或管理其它的域。域树域树(Tree)3.2.4 活动目录的组织结构活动目录的组织结构3.2 项目知识准备通过通过组策略组策略来实现用户和计算机的集中配置和管理。这来实现用户和计算机的集中配置和管理。这些设置包括安全选项、软件安装、脚本文件设置、桌些设置包括安全选项、软件安装、脚本文件设置、桌面外观和用户文件管理等。面外观和用户文件管理等。组策略的所有配置信息都保存在组策略对象组策略的所有配置信息都保存在组策略对象GPO（Group Policy Object）两类两类GPO：系统内建的默认GPO默认域策略（Default Domain Policy）：该策略将影响域中的所有用户和计算机。默认域控制器组策略（Default Domain Controllers Policy）：通常只影响到域中所有的域控制器。用户自定义GPO3.2.5 域中组策略的应用域中组策略的应用3.3 项目实施1.安装域控制器的条件安装域控制器的条件计算机必须运行计算机必须运行Windows Server 2003标准版、企业版或标准版、企业版或数据中心版，数据中心版，Web版的计算机不能成为域控制器版的计算机不能成为域控制器安装者具有本地管理员权限安装者具有本地管理员权限至少具有至少具有250MB的磁盘空间。其中，的磁盘空间。其中，200MB的空间用于的空间用于存放活动目录数据库，存放活动目录数据库，50MB的空间用于存放活动目的空间用于存放活动目录数据库的事务日志文件。录数据库的事务日志文件。安装域控制器的服务器上至少要有一个安装域控制器的服务器上至少要有一个NTFS分区。分区。有有TCP/IP设置（设置（IP地址、子网掩码、地址、子网掩码、DNS的的IP等）等）域结构的网络中必须有域结构的网络中必须有DNS服务器与其相配合。服务器与其相配合。DNS服服务器的作用是定位域控制器的位置。务器的作用是定位域控制器的位置。任务任务3-1 域控制器的安装域控制器的安装任务3-1 域控制器的安装2.域控制器的安装过程域控制器的安装过程：任务3-2 计算机加入或脱离域计算机能加入域的先决条件是：计算机能加入域的先决条件是：该计算机与域控制器能连通在计算机上正确设置首选DNS服务器的IP地址(这里设为第一台DC的IP)。客户端客户端1（物理机）（物理机）客户端客户端2（虚拟机（虚拟机2）IPIP：172.16.172.16.102102.X+160/16.X+160/16DNSDNS：172.16.102.X+80/16172.16.102.X+80/16 IPIP：172.16.102.X/16172.16.102.X/16域控制器域控制器（虚拟机（虚拟机1）IPIP：172.16.172.16.102.102.X+80/16X+80/16DNSDNS：172.16.102.X+80/16172.16.102.X+80/16加入域加入域任务3-2 计算机加入或脱离域任务3-3 创建与管理域用户账户创建域用户账户：创建域用户账户：任务3-3 创建与管理域用户账户限制用户登录域的时间：限制用户登录域的时间：任务3-3 创建与管理域用户账户限制域用户账户只能从特定的计算机上登录域限制域用户账户只能从特定的计算机上登录域任务3-4 创建与管理域组账户域组域组分类分类安全组安全组通讯组（分布式组）通讯组（分布式组）实现与安全性有关的工作和功能，实现与安全性有关的工作和功能，可以通过给安全组赋予访问资源的可以通过给安全组赋予访问资源的权限来限制安全组的成员对域中资权限来限制安全组的成员对域中资源的访问。如：可设置对某个文件源的访问。如：可设置对某个文件有有“读取读取”或或“改写改写”的权限。的权限。也可用在与安全无关的任务上，如：也可用在与安全无关的任务上，如：可以通过电子邮件软件将电子邮件可以通过电子邮件软件将电子邮件发送给安全组。发送给安全组。用在与安全无关的任务上。不能被赋予访用在与安全无关的任务上。不能被赋予访问资源的权限。只能收发电子邮件，即分问资源的权限。只能收发电子邮件，即分发组可以组织其成员的发组可以组织其成员的E-MAILE-MAIL地址成为地址成为E-E-MAILMAIL列表。利用这个特性使基于列表。利用这个特性使基于ADAD的应用的应用程序就可以直接利用分发组来发程序就可以直接利用分发组来发E-MAILE-MAIL给给多个用户以及实现其他和多个用户以及实现其他和E-MAILE-MAIL列表相关列表相关的功能（例如在的功能（例如在 Exchange Server Exchange Server 2007/10102007/1010中使用）。中使用）。本地域组本地域组全局组全局组通用组通用组作用作用范围范围该组所在的域内该组所在的域内所有受信任的域所有受信任的域所有受信任的域所有受信任的域成员成员所有域的用户账户、全局组、所有域的用户账户、全局组、通用组，以及本域的域本地组通用组，以及本域的域本地组本域的用户账户和本域的用户账户和全局组全局组所有域的用户账户、全局所有域的用户账户、全局组和通用组组和通用组任务3-5 创建与管理组织单元组织单位（组织单位（OU）OU是一个容器，在是一个容器，在OU中可中可以包含用户、组等其他对象，也可以在以包含用户、组等其他对象，也可以在OU中中建立子建立子OU。OU容纳和组织对象的方式：容纳和组织对象的方式：按对象类型来划分按企业的组织结构来划分；按地区来划分；混合划分方法 任务3-5 创建与管理组织单元创建组织单位创建组织单位任务3-5 创建与管理组织单元向组织单位添加对象向组织单位添加对象任务3-6 组策略对象(GPO)的创建与配置 创建和管理创建和管理GPO的工具：的工具：【开始】【管理工具】【组策略管理】该工具可以完成对组策略的各种配置和管理，包括备份，还原和生成组策略报表。任务3-6 组策略对象(GPO)的创建与配置统一定制桌面环境统一定制桌面环境步骤步骤1：在域控制器或成员服务器的非系统磁盘在域控制器或成员服务器的非系统磁盘(如如:E盘盘)中建一个文件夹中建一个文件夹“share”将统一的桌面壁纸文件将统一的桌面壁纸文件(如如:summer.jpg)放入放入“share”中中右右击该文件夹击该文件夹在弹出的快捷菜单中选择在弹出的快捷菜单中选择【属性属性】打开打开【文件共享文件共享】对话对话框框,单击单击【添加添加】前面的下拉按钮并选择前面的下拉按钮并选择【查找查找】选项选项在打开的在打开的【选择用选择用户或组户或组】对话框中单击对话框中单击【高级高级】按钮按钮在打开的对话框中单击在打开的对话框中单击【立即查找立即查找】按钮按钮,在在【搜索结果搜索结果】列表框中选择列表框中选择“Domain Users”组组两次单击两次单击【确定确定】按钮按钮系统返回系统返回【文件共享文件共享】对话框对话框,单击单击“Domain Users”组并设置其具组并设置其具有有“读者读者”的共享权限的共享权限单击单击【共享共享】按钮按钮单击单击【完成完成】按钮按钮,如图如图3-34所示。所示。任务3-6 组策略对象(GPO)的创建与配置步骤步骤2：依次单击依次单击【开始开始】【管理工具管理工具】【组策略管组策略管理理】打开打开【组策略管理组策略管理】窗口窗口,在左窗格中展开在左窗格中展开“域域”节点节点右击右击【组策略对象组策略对象】在弹出的快捷菜单中在弹出的快捷菜单中选择选择【新建新建】打开打开【新建新建GPO】对话框对话框,在在【名称名称】编辑框中输入组策略对象的名称编辑框中输入组策略对象的名称(如如,“统一桌面统一桌面”)单单击击【确定确定】按钮按钮,如图如图3-35所示。所示。任务3-6 组策略对象(GPO)的创建与配置2.配置配置GPO步骤步骤1:进入进入【组策组策略管理略管理】窗口窗口在右窗格中右击在右窗格中右击刚刚新建的刚刚新建的【统统一桌面一桌面】GPO在弹出的快捷菜在弹出的快捷菜单中选择单中选择【编辑编辑】,如图如图3-36所示。所示。任务3-6 组策略对象(GPO)的创建与配置步骤步骤2:打开打开【组策略管理编辑器组策略管理编辑器】窗口窗口,在左窗格中在左窗格中,依依次展开次展开【用户配置用户配置】【策略策略】【管理模板管理模板】【桌面桌面】单击单击【桌面桌面】在右窗格中右击在右窗格中右击【启用启用Active Desktop】在快捷菜单中选择在快捷菜单中选择【属性属性】。任务3-6 组策略对象(GPO)的创建与配置步骤步骤3:在打开的在打开的【启用启用Active Desktop属性属性】对话框中对话框中选择选择【设置设置】选项卡选项卡选择选择【已启用已启用】单击单击【确定确定】,如图如图3-38所示。所示。任务3-6 组策略对象(GPO)的创建与配置步骤步骤4:在图在图3-37所示的右窗格中所示的右窗格中,双击双击【桌面墙纸桌面墙纸】在打开的在打开的【桌面墙纸属性桌面墙纸属性】对话框中单击对话框中单击【已启用已启用】在在【墙纸名称墙纸名称】编辑框中输入存放桌面壁纸文件的完整路径编辑框中输入存放桌面壁纸文件的完整路径(如如:server1sharesunmmer.jpg)在在【墙纸样式墙纸样式】下拉列表中下拉列表中选择样式选择样式(如如“拉伸拉伸”)单击单击【确定确定】按钮按钮,如图如图3-39所示。所示。任务3-6 组策略对象(GPO)的创建与配置步骤步骤5：在域控制器上，点击在域控制器上，点击【开始开始】【运行运行】输入输入“gpupdate /force”命令强制刷新组策略。命令强制刷新组策略。再到客户端用再到客户端用“gpupdate /force”命令强制刷新组策略或者注销客户端再登录，此后客户端命令强制刷新组策略或者注销客户端再登录，此后客户端桌面就会自动换成指定的桌面背景了。桌面就会自动换成指定的桌面背景了。任务3-7为批量客户端自动安装软件 步骤步骤1：创建分发点。以管理员身份登录到用来存放创建分发点。以管理员身份登录到用来存放分发软件的服务器分发软件的服务器创建一个共享文件夹，并使域创建一个共享文件夹，并使域用户有共享读取权限和用户有共享读取权限和NTFS读取权限读取权限在分发点用在分发点用不同的子文件夹存放要分发的不同安装文件（不同的子文件夹存放要分发的不同安装文件（.msi文件）。文件）。任务3-7 批量自动安装客户端软件步骤步骤2：创建一个用于分发创建一个用于分发软件的软件的GPO。打开。打开【组策组策略管理器略管理器】窗口窗口创建名创建名为为“指派软件指派软件”的的GPO右击新建的右击新建的【指派软件指派软件】GPO在弹出的快捷菜单在弹出的快捷菜单中选择中选择【编辑编辑】打开打开【组策略管理编辑器组策略管理编辑器】窗口窗口,在左窗格中依次展开在左窗格中依次展开【用用户配置户配置】【策略策略】【软件设置软件设置】右击右击【软件软件安装安装】在弹出的快捷菜在弹出的快捷菜单中选择单中选择【新建新建】【程程序包序包】,如图如图3-46所示。所示。任务3-7 批量自动安装客户端软件步骤步骤3：步骤步骤3:弹出弹出【打开打开】对话框对话框,在左窗格中单击在左窗格中单击【文件夹文件夹】下拉按钮下拉按钮,选择软件分发点所在的文件夹选择软件分发点所在的文件夹(如如,“softtools”)在右窗格中选择被安装的软件包在右窗格中选择被安装的软件包单单击击【打开打开】按钮按钮在打开的在打开的【部署软件部署软件】对话框中对话框中选择选择【已分配已分配】单击单击【确定确定】,如图如图3-47所示。软所示。软件指派完成后的效果如图件指派完成后的效果如图3-48所示。所示。任务3-7 批量自动安装客户端软件步骤步骤4：在域控制器上在域控制器上,执行刷新组策略命令执行刷新组策略命令“gpupdate/force”。步骤步骤5:在客户机上在客户机上,注销重新登录系统注销重新登录系统单击单击【开始开始】【控制面板控制面板】双击双击【添加或删除添加或删除程序程序】单击单击【添加新程序添加新程序】在在【从网络从网络添加程序添加程序】列表中列表中,选择已分配的程序选择已分配的程序单击单击【添加添加】,该程序便会安装到客户机上。该程序便会安装到客户机上。项目3 域网络的构建与组策略应用项目知识准备项目知识准备认识Windows的域（活动目录、域、域树、域林）域中计算机的角色（域控制器、成员服务器、工作站）域的特点（集中管理、安全级别高、便于用户访问）活动目录的组织结构（组织单位、域、域树）域中组策略的应用项目实施项目实施安装域控制器的安装（条件、过程）计算机加入或脱离域创建与管理域用户账户创建与管理域组账户创建与管理组织单位创建与配置组策略对象批量自动安装客户端软件小结小结项目3 域网络构建与组策略应用实训实训（交实训报告书）（交实训报告书）实训3 安装和管理活动目录 习题习题（课堂小组活动）（课堂小组活动）一、选择题：18二、简答题：作业作业