第4章Windows2000Server组网技术.ppt

第4章Windows2000Server组网技术 Still waters run deep.流静水深流静水深,人静心深人静心深 Where there is life,there is hope。有生命必有希望。有生命必有希望4.1 Windows 2000概述概述 4.1.1 Windows 2000简介简介 1Windows 2000 Professional 2Windows 2000 Server 3Windows 2000 Advanced Server 4Windows 2000 Datacenter Server 4.1 Windows 2000概述概述4.1.2 Windows 2000 Server的新特性的新特性 1性能、安全性和易于管理的新功能性能、安全性和易于管理的新功能（1）可靠性增强）可靠性增强（2）可用性增强）可用性增强（3）可伸缩性强）可伸缩性强（4）性能和调整功能加强）性能和调整功能加强（5）身份验证和智能卡支持）身份验证和智能卡支持（6）其他安全功能）其他安全功能（7）IntelliMirror功能功能（8）远程管理）远程管理（9）国际化功能）国际化功能 4.1 Windows 2000概述概述2文件和打印服务器的新功能文件和打印服务器的新功能（1）Active Directory（活动目录）（活动目录）（2）磁盘和文件管理功能磁盘和文件管理功能（3）网络打印功能）网络打印功能 4.1 Windows 2000概述概述3Internet、应用程序和网络支持的新功、应用程序和网络支持的新功能能（1）Internet和多媒体功能和多媒体功能（2）应用程序和开发支持）应用程序和开发支持 4.1 Windows 2000概述概述4.1.3 Windows 2000 Server的安装的安装 1安装前的准备安装前的准备（1 1）系统需求）系统需求CPUCPU：Pentinum Pentinum 133MHz133MHz或或更更快快的的处处理理器器，并并且且每每台台计计算机最多可以支持算机最多可以支持4 4个个CPUCPU。内存最少内存最少64MB64MB，建议最小用，建议最小用256mb256mb，最大支持为，最大支持为4GB4GB。硬硬盘盘：硬硬盘盘分分区区必必须须具具有有足足够够的的可可用用空空间间，需需要要的的最最小小空空间间为为1GB1GB，而而且且要要保保证证在在安安装装完完成成后后该该分分区区还还剩剩余余850mb850mb以上的空间。以上的空间。显显示器：示器：VGAVGA或更高分辨率的或更高分辨率的显显示器。示器。网卡：一块以上的网卡。其它设备网卡：一块以上的网卡。其它设备（2 2）硬件兼容性）硬件兼容性4.1 Windows 2000概述概述（3 3）文件系统）文件系统NTFS是是Windows 2000 Server推推荐荐的的文文件件系系统统，只只有有它它才才支支持持Local权权限限的的设设置置、文文件件的的压压缩缩、数数据据的的加加密密、资资源源访访问问的的审审核核等等。另另外外，只只有有NTFS文文件件系系统才支持统才支持Active Directory。Windows 95OSR2、Windows 98等等操操作作系系统统都都支支 持持 FAT和和 FAT32，而而 DOS、Windows 3.X、Windows NT只支持只支持FAT。如果想安装双操作系统，则应保留有如果想安装双操作系统，则应保留有FAT和和FAT32文件系统的磁盘分区。并且文件系统的磁盘分区。并且C盘的文件系统必须是盘的文件系统必须是FAT或或FAT32，不能是，不能是NTFS文件系统。文件系统。4.1 Windows 2000概述概述（4）客户许可协议方式）客户许可协议方式n每客户方式每客户方式 n每服务器方式每服务器方式（5）工作组和域）工作组和域 2安装步骤安装步骤 4.2 活动目录活动目录 4.2.1 活动目录简介活动目录简介 4.2.2 活动目录的优点活动目录的优点4.2.3 安装活动目录安装活动目录 4.2.4 活动目录用户和计算机控制活动目录用户和计算机控制台的使用台的使用 4.2.1 活动目录简介活动目录简介 活活动动目目录录是是一一种种目目录录服服务务，它它存存储储有有关关网网络络对对象象的的信信息息，例例如如，用用户户、组组和和计计算算机机账账户户、共共享享资资源源和和打打印印机机等等，并并使使管管理理员员和和用用户户可可以以方方便便地地查查找找和和使使用用网网络络信信息息。活活动动目目录录的的应应用用起起源源于于Windows NT 4.0，在在Windows 2000 Server中中得得到到进进一一步步的的应应用用和和发发展展，具具有有可可扩扩展展性性和和可可调调整整性性，并并将将结结构构化化数数据据存存储储作作为为目录信息逻辑和分层组织的基础。目录信息逻辑和分层组织的基础。域模式的最大好处就是它的单一网络登录能力，任何域模式的最大好处就是它的单一网络登录能力，任何用户只要在域内有一个账户，就可以漫游网络。用户只要在域内有一个账户，就可以漫游网络。在在Windows 2000中，域中的所有域控制器之中，域中的所有域控制器之间都是平等关系，不再区分主域控制器和备份域间都是平等关系，不再区分主域控制器和备份域控制器，这是因为控制器，这是因为Windows 2000采用了动态采用了动态活动目录服务，在进行目录复制时不是沿用一般活动目录服务，在进行目录复制时不是沿用一般目录服务的主从方式，而是采用多主复制方式。目录服务的主从方式，而是采用多主复制方式。Windows 2000活动目录服务的另一大特点是活动目录服务的另一大特点是与与Internet融合，它把融合，它把DNS作为其定位服务。作为其定位服务。为了克服为了克服DNS管理困难的缺点，管理困难的缺点，Windows 2000将将DNS与其特有的与其特有的DHCP和和WINS紧密配紧密配合起来，从而使合起来，从而使DNS管理变得易于操作。管理变得易于操作。4.2.1 活动目录简介活动目录简介 4.2.2 活动目录的优点活动目录的优点1基于策略的管基于策略的管理理 2扩展性扩展性 3可调整性可调整性 4信息复制信息复制 5与与DNS的集成的集成 6灵活的查询灵活的查询 7信息安全性信息安全性 4.2.3 安装活动目录安装活动目录 活动目录安装如图活动目录安装如图4-1至至4-13所示所示图图4-1 启动启动Active Directory安装向导安装向导图图4-2 选择域控制类型选择域控制类型图图4-3 创建目录树或子域创建目录树或子域4.2.3 安装活动目录安装活动目录 图图4-4 创建或加入目录林创建或加入目录林 图图4-5 指定新域名指定新域名4.2.3 安装活动目录安装活动目录 图图4-6 输入输入NetBIOS域名域名 图图4-4 指定数据库和日志文件的位置指定数据库和日志文件的位置4.2.3 安装活动目录安装活动目录 图图4-8 指定系统卷共享的文件夹的位置指定系统卷共享的文件夹的位置 图图4-9 选择安装与配置选择安装与配置DNS4.2.3 安装活动目录安装活动目录 图图4-10 为用户和组对象选择默认权限为用户和组对象选择默认权限 图图4-11 设置目录服务恢复设置目录服务恢复模式的管理员密码模式的管理员密码4.2.3 安装活动目录安装活动目录 图图4-12 “摘要摘要”对话框对话框 图图4-13 “正在配置正在配置Active Directory”窗口窗口返回本节返回本节4.2.3 安装活动目录安装活动目录 4.2.4 活动目录用户和计算机控制台活动目录用户和计算机控制台的使用的使用 活活动动目目录录用用户户和和计计算算机机控控制制台台，用用于于增增加加、修修改改、删删除除、管管理理Windows 2000用用户户和和计计算算机机账账户户、组组和和组组织织单单位位等等对对象象，并并可可在在目目录录上上发发布布和和管管理理资源。资源。图图4-14 “Active Directory用户和计算机用户和计算机”控制台控制台1改变用户和计算机显示方式改变用户和计算机显示方式 打开打开“活动目录用户和计算机活动目录用户和计算机”控制台，可以展开域控制台，可以展开域节点，在窗口左边的控制台树中显示一些文件夹，如节点，在窗口左边的控制台树中显示一些文件夹，如果是新安装的域控制器，文件夹缺省显示是：果是新安装的域控制器，文件夹缺省显示是：Builtin（预定义本地组预定义本地组）；）；Computers（计算机计算机）Domain Contro1s（域控制器域控制器）；）；Users（预定义全局组预定义全局组）；）；ForeignSecurityPricapal（外部安全负责人外部安全负责人）。）。图图4-15 “筛选器选项筛选器选项”对话框对话框1改变用户和计算机显示方式改变用户和计算机显示方式 2预定义的组预定义的组 当用户安装了一个域控制器后，在当用户安装了一个域控制器后，在Builtin和和Users文件夹下可以看到系统预定义的组，这些文件夹下可以看到系统预定义的组，这些组都是安全组，代表不同的权限和权利。组都是安全组，代表不同的权限和权利。图图4-16 预定义的本地组预定义的本地组图图4-14 预定义的全局组预定义的全局组2预定义的组预定义的组 4.3 组织单位的管理组织单位的管理 4.3.1 添加组织单位添加组织单位 4.3.2 删除组织单位删除组织单位 4.3.3 设置组织单位属性设置组织单位属性 4.3.1 添加组织单位添加组织单位 在域中合理地添在域中合理地添加和设置组织单位，加和设置组织单位，不仅方便了管理员不仅方便了管理员对域中用户和组的对域中用户和组的管理，而且还有利管理，而且还有利于网络的扩展。要于网络的扩展。要添加组织单位，如添加组织单位，如图图4-18所示。所示。图图4-18 创建组织单位创建组织单位4.3.2 删除组织单位删除组织单位 当域中的某个组织单位不再发挥作用时，管当域中的某个组织单位不再发挥作用时，管理员可将其删除，以免影响对其他组织单位的理员可将其删除，以免影响对其他组织单位的管理。要删除不再需要的组织单位，可以依次管理。要删除不再需要的组织单位，可以依次选择选择“开始开始”“程序程序”“管理工具管理工具”“Active Directory用户和计算机用户和计算机”选项，选项，打开打开“Active Directory用户和计算机用户和计算机”窗口。窗口。4.3.3 设置组织单位属性设置组织单位属性 组组织织单单位位被被添添加加之之后后，如如果果不不根根据据需需要要设设置置其其属属性性，就就很很难难发发挥挥其其管管理理的的方方便便性性和和安安全全性性。通通过过设设置置组组织织单单位位的的属属性性，不不但但可可以以指指定定组组织织单单位位的的管管理理人人和和常常规规属属性性，也也可可为为组组织织单单位位创创建建组组策策略略。要要设设置置组组织织单单位位的的属属性性，可可参参照照下下面的步骤：面的步骤：如图如图4-19至至4-22所示所示4.3.3 设置组织单位属性设置组织单位属性 图图4-19 “常规常规”选项卡选项卡 图图4-20 “管理者管理者”选项卡选项卡4.3.3 设置组织单位属性设置组织单位属性 图图4-21 “组策略组策略”选项卡选项卡 图图4-22 “组策略组策略”对话框对话框4.4 用户账户的管理用户账户的管理 4.4.1 用户账户的类型用户账户的类型 4.4.2 内置的用户账户内置的用户账户 4.4.3 建立域用户账户建立域用户账户 4.4.4 域用户账户的属性设置域用户账户的属性设置 4.4.5 管理域用户账户管理域用户账户 4.4.6 建立本地用户账户建立本地用户账户 4.4.1 用户账户的类型用户账户的类型（1）域用户账户）域用户账户域用户账户建立在域控制器的域用户账户建立在域控制器的Active Directory数数据库内。用户可以利用域用户账户来登录域，并利据库内。用户可以利用域用户账户来登录域，并利用它来访问网络上的资源，例如访问其他计算机内用它来访问网络上的资源，例如访问其他计算机内的文件、打印机等资源。的文件、打印机等资源。（2）本地用户账户）本地用户账户本本地地用用户户账账户户建建立立在在Windows 2000独独立立服服务务器器、Windows 2000成成员员服服务务器器或或Windows 2000 Professional的的本本地地安安全全数数据据库库内内，而而不不是是域域控控制制器器内内。用用户户可可以以利利用用本本地地用用户户账账户户来来登登录录此此计计算算机机，但但是是只只能能够够访访问问这这台台计计算算机机内内的的资资源源，无无法法访访问问网网络上的资源。络上的资源。4.4.2 内置的用户账户内置的用户账户（1）Administrator（系统管理员系统管理员）Administrator拥有最高的权限，可以用它来拥有最高的权限，可以用它来管理计算机与域内的设置，例如建立、更改、管理计算机与域内的设置，例如建立、更改、删除用户与组账户、设置安全策略、设置用户删除用户与组账户、设置安全策略、设置用户帐户的权限等。帐户的权限等。（2）Guest（客户客户）Guest是供临时用户使用的账户，例如提供偶是供临时用户使用的账户，例如提供偶尔需要登录、或者仅登录一次的用户使用，以尔需要登录、或者仅登录一次的用户使用，以便访问网络上的资源。便访问网络上的资源。4.4.3 建立域用户账户建立域用户账户 必必须须使使用用“Active Directory用用户户和和计计算算机机”管管理理单单元元来来建建立立域域用用户户账账户户。当当使使用用这这个个管管理理单单元元来来建建立立账账户户时时，这这个个账账户户会会被被建建立立在在MMC控控制制台台所所找找到到的的第第一一台台域域控控制制器器内内，以以后后该该账账户户会会被被自自动动复复制制到到此此域域内内的的所有域控制器内。所有域控制器内。在在每每个个用用户户账账户户添添加加完完成成后后，活活动动目目录录都都会会为为其其建建立立一一个个惟惟一一的的安安全全识识别别码码（Security Identifier，SID），Windows 2000系系统统内内部部是是利利用用这这个个SID来来代代表表该该用用户户，有有关关的的权权限限设设置置等等都都是是通通过过SID来来设设置置的的，而而不不是是利利用用户的账户名称。用用户的账户名称。图图4-23 “新建对象新建对象-用户用户”对话框对话框 图图4-24 设置密码设置密码4.4.3 建立域用户账户建立域用户账户 4.4.4 域用户账户的属性设置域用户账户的属性设置 1用用户户个个人人信信息息的设置的设置所谓所谓“用户个人信用户个人信息息”，就是指姓名、，就是指姓名、地址、电话、传真、地址、电话、传真、移动电话、公司、移动电话、公司、部门、职称、电子部门、职称、电子邮件、邮件、Web页等。页等。如图如图4-25所示所示 图图4-25 “属性属性”对话框对话框 4.4.4 域用户账户的属性设置域用户账户的属性设置2账户信息的设置账户信息的设置选择选择“账户账户”选项卡，选项卡，如图如图4-26所示。所示。（1）账户过期）账户过期（2）登录时间的设置）登录时间的设置（3）限制用户只能够限制用户只能够从某些工作站登录从某些工作站登录 图图4-26 “账户账户”选项卡选项卡图图4-24 “登录时段登录时段”窗口窗口图图4-28 设置允许登录的工作站设置允许登录的工作站4.4.4 域用户账户的属性设置域用户账户的属性设置4.4.5 管理域用户账户管理域用户账户 依依次次选选择择“开开始始”“程程序序”“管管理理工工具具”“Active Directory用用户户和和计计算算机机”选选项项，打打开开“活活动动目目录录用用户户和和计计算算机机”对对话话框框，选选定定用用户户账账户户并并右右击击，打打开开如如图图4-29所所示示的的快快捷捷菜菜单，然后选择相应的命令来管理域用户账户。单，然后选择相应的命令来管理域用户账户。（1）复制。）复制。（2）停用账户）停用账户/启用账户。启用账户。（3）重命名。）重命名。（4）删除账户。）删除账户。（5）重设密码。）重设密码。（6）解除被锁定的账户。）解除被锁定的账户。图图4-29 管理域用户账户管理域用户账户4.4.5 管理域用户账户管理域用户账户 4.4.6 建立本地用户账户建立本地用户账户 本本地地用用户户账账户户是是建建立立在在Windows 2000 Professional、Windows 2000独独立立服服务务器器或或成成员员服服务务器器的的本本地地安安全全数数据据库库内内，而而不不是是域域控控制制器器内内的的账账户户。用用户户可可以以利利用用本本地地用用户户账账户户登登录录此此账账户户所所在在的的计计算算机机，但但是是无无法法登登录录域域，同同时时只只能能够够访访问问这这台台计计算算机机内内的的资资源源，无无法法访访问问网络上的资源。网络上的资源。4.5 组的建立组的建立 4.4.1 组的类型组的类型 4.4.2 组的作用域组的作用域 4.4.3 域组的管理域组的管理 4.4.4 本地组的建立本地组的建立 4.4.5 内置的组内置的组 4.5.1 组的类型组的类型 Windows 2000所所支支持持的的组组分分为为以以下下两两种类型：安全式和分布式。种类型：安全式和分布式。安全组：安全组可以用来设置权限，简安全组：安全组可以用来设置权限，简化网络的维护和管理。化网络的维护和管理。分布式组：分布式组只能用在与安全分布式组：分布式组只能用在与安全（权限的设置等权限的设置等）无关的任务上，例如，无关的任务上，例如，可以将电子邮件发送给某个分布式组。分可以将电子邮件发送给某个分布式组。分布式组不能进行权限设置。布式组不能进行权限设置。4.5.2 组的作用域组的作用域 1全局组全局组全局组主要是用来组织用户，可以将多个权限相全局组主要是用来组织用户，可以将多个权限相似的用户账户加入到同一个全局组内。似的用户账户加入到同一个全局组内。2本地域组本地域组本地域组主要用来指派其在所属域内的访问权限，本地域组主要用来指派其在所属域内的访问权限，以便可以访问该域内的资源。以便可以访问该域内的资源。3通用组通用组通用组主要用来指派在所有域内的访问权限，以通用组主要用来指派在所有域内的访问权限，以便可以访问每一个域内的资源。便可以访问每一个域内的资源。4.5.3 域组的管理域组的管理 可可以以依依次次选选择择“开开始始”“程程序序”“管管理理工工具具”“Active Directory用用户户和和计计算算机机”选选项项，打打开开“Active Directory用用户户和和计计算算机机”对话框，来添加、删除与管理域组。对话框，来添加、删除与管理域组。1域组的添加、删除与更名域组的添加、删除与更名 2添加域组的成员添加域组的成员 图图4-30 “新建对象新建对象-组组”对话框对话框 图图4-31 “选择用户、联系选择用户、联系人或计算机人或计算机”对话框对话框 4.5.3 域组的管理域组的管理 4.5.4 本地组的建立本地组的建立 本本地地组组是是建建立立在在Windows 2000 Professional、Windows2000独独立立服服务务器器或或成成员员服服务务器器的的本本地地安安全全数数据据库库内内，而而不不是是域域控控制制器器内内。本本地地组组只只能能够够访访问问此此组组所所在在计计算算机机内内的的资资源源，无无法法访访问问网网络络上的资源。上的资源。建建议议只只在在未未加加入入域域的的计计算算机机内内建建立立本本地地组组账账户户，而而不不要要在在加加入入域域的的计计算算机机内内建建立立本本地地组组账账户户，因因为为无无法法通通过过域域内内其其他他任任何何一一台台计计算算机机来来访访问问这这些些账账户户、设设置置这这些些账账户户的的权权限限，因因此此这这些些账账户户无无法法访访问问域域上上的的资资源源，同同时时域域系系统统管管理理员员也也无无法法管管理理这些本地组账户。这些本地组账户。4.5.5 内置的组内置的组 Windows 2000域域内内含含多多个个内内置置的的组组，包包括括本本地地域域组组、全全局局组组与与系系统统组组。而而Windows 2000独独立立服服务务器器、Windows 2000成成员员服服务务器器、Windows 2000 Professional内内则则包包含含了了一一些些内内置置的的本本地地组组与与系系统统组组。这这些些组组本本身身己己被被赋赋予予了了一一些些权权利利与与权权限限，以以便便让让其其具具备备管管理理域域控控制制器器与与活活动动目目录录的的能能力力。只只要要将将用用户户或或全全局局组组等等账账户户加加入入到到这这些些内内置置的的本本地地域域组组内内，这这些些账账户也将具有相同的权利与权限。户也将具有相同的权利与权限。1、练习WINDOWS2000SEVER的安装2、注意活动目录3、什么是网络操作系统？典型的网络操作系统有那些特征？4、局域网中选择操作系统应该遵循那些原则？5、活动目录的优点是什么？4.6 组策略组策略 4.6.1 组策略概述组策略概述 1组策略对象组策略对象 n本地组策略对象本地组策略对象 n非本地组策略对象非本地组策略对象 4.6 组策略组策略 2策略的应用顺序策略的应用顺序（1 1）唯一的本地组策略对象。）唯一的本地组策略对象。（2 2）站点组策略对象，按照行政管理指定的顺序。）站点组策略对象，按照行政管理指定的顺序。（3 3）域组策略对象，按照行政管理指定的顺序。）域组策略对象，按照行政管理指定的顺序。（4 4）对对于于组组织织单单位位组组策策略略对对象象，按按照照从从大大组组织织单单位位到到小小的的组组织织单单位位顺顺序序（从从父父组组织织单单位位到到子子组组织织单单位位），而而在在每每个个组组织织单单位位级级别别中中，则则按按照照行行政政管管理理指指定定的的顺序。顺序。默认情况下，这些策略不一致时，后应用的策略将默认情况下，这些策略不一致时，后应用的策略将覆盖以前应用的策略。当然，如果这些设置一致，前覆盖以前应用的策略。当然，如果这些设置一致，前后的策略都将作为有效策略。后的策略都将作为有效策略。4.6 组策略组策略3策略继承策略继承n阻止继承阻止继承 n强迫继承强迫继承 4组策略的类型组策略的类型（1）用户配置）用户配置（2）计算机配置）计算机配置 在在“用户配置用户配置”和和“计算机配置计算机配置”中均包含有以中均包含有以下三方面的内容：下三方面的内容：n软件设置软件设置 nWindows设置设置 n管理模板管理模板 4.6 组策略组策略4.6.2 组策略的创建和验证组策略的创建和验证1创建组策略创建组策略 2验证更改后组策略的有效性验证更改后组策略的有效性 4.6.3 组策略的更改组策略的更改 1利用利用“组策略组策略”选项卡选项卡 2利用组策略编辑器利用组策略编辑器 4.6 组策略组策略4.6.4 软件设置策略软件设置策略 1Windows安安装装程程序序：用用于于在在Windows安装程序文件中安装软件包。安装程序文件中安装软件包。2添添加加删删除除程程序序：控控制制面面板板中中的的“添添加加删删除除程程序序”使使用用户户能能在在自自己己的的计计算算机机上上管管理理软件。软件。3“组策略组策略”管理单元：管理员可以使用管理单元：管理员可以使用“组策略组策略”管理单元的管理单元的“软件安装软件安装”来管理软来管理软件。件。4.6 组策略组策略1将应用程序指派或发行给用户将应用程序指派或发行给用户（1）指派或发行应用程序）指派或发行应用程序（2）安装指派或发行的应用程序）安装指派或发行的应用程序 2将应用程序指派或发行给计算机将应用程序指派或发行给计算机 3管理应用程序管理应用程序 4.6 组策略组策略4.6.5 Windows设置策略设置策略 1启动关闭脚本和登陆注销脚本启动关闭脚本和登陆注销脚本 2安全设置安全设置 3文件夹重定向文件夹重定向 4.6.6 管理模板策略管理模板策略