集团计算机域管理方案最新版本.pdf

《集团计算机域管理方案最新版本.pdf》由会员分享，可在线阅读，更多相关《集团计算机域管理方案最新版本.pdf（6页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、集团计算机域管理方案集团计算机域管理方案1.1.集团现有的网络环境集团现有的网络环境就目前集团计算机网络以物理范围上划分大致分为顺德总部，中山区工厂分支，昆山工厂分支和海林工厂分支。另外还有顺德的生态厂，中冠工厂等，与顺德总部 较邻近的分支这些分支没有常驻网络专员，其次不排除今后的其他工厂分支的参加。逻辑上，中山区工厂，昆山工厂，海林工厂，及生态厂通过 VPN 连接至顺 德总部，形成逻辑上的一个网络整体。各分支和总部除了以 VPN形式存在的工作组模式的网络外，没有其他应用，客户端计算机的管理也没有一个统一。现在需要 加强总部和各分支计算机的管理，故欲部署集团形式的域管理方案。针对目前集团计算机

2、的管理要求：集成化统一管理，所以决定采用单域多站点的形式。单域，满足集成化，统一；多站点，合理管理各个效劳器之间的复制和复制开销。1 1ADAD 架构架构页脚下载后可删除，如有侵权请告知删除！如下图：顺德总部建立两台域控制器，分别为主域控制器 DC1，和辅助域控制器 DC2，中山，昆山和海林各设置一台域控制器，分别为 DC3,DC4 和DC5。鉴于物理位置上中冠和生态厂距离总部较近，有网络速度上的优势，直接通过 VPN 登录总部域控制器验证。假设今后其它分支参加，可新增控制器方式并入总部域。为了方便控制和管理各个分支工厂域控制器的复制，我们通过站点的方式解决这个问题。效劳器操作系统方面推荐使用

3、 windows server 2003 sp2.(sp2增强了对站点的管理)因此，我们在顺德总部，中山，昆山，海林分别建立一个站点，然后添加顺德总部到中山，顺德总部到昆山，顺德总部到海林的站 点链接并编辑站点复制。备注：考虑到站点复制的开销，我们这里只设置各分支到总部的站点间复制，而不设置所有站点间相互复制。可以手动设置复制开销和复 制时间为了实现各控制器间的冗余和客户端计算机以及移动用户能本地验证登陆，我们还需在分支工厂的域控制器上建立本地 DNS，同时，可以设置顺德总部 DC1,中山 DC3,昆山 DC4,海林 DC5 为 GC。客户端计算机上，主 DNS 为各点本地 DNS，备用 DN

4、S 为总部 DNS。这样所有的控制器之间都是冗余 状态，且移动笔记本用户无论到哪个工厂都可以实现本地验证登陆，减少登录验证时间，各分支工厂网络专员管理本地计算机网络可以直接对该分支域控制器操作。2 2OUOU 设计设计页脚下载后可删除，如有侵权请告知删除！如图：一级OU 是以各分支工厂来划分的。OU 的名称可以是分支工厂的拼音来命名便于区分。因为 GPO 应用的最根本容器是 OU，将不同分支工厂分别建立不 同 OU，增强了GPO 链接的灵活性。方便了各分支工厂网络专员根据工厂实际情况来管理计算机。与此同时，更方便了对不同分支工厂网络专员权限的委派。二级 OU 的设计分别在各个工厂 OU 下，建

5、立组-IT，OU-SERVERS,OU-PC,OU-NOTEBOOK,OU-USERS,OU-GROUPS.IT(组)：存放分支工厂网络专员的账号，负责该 OU 下对象的管理委派权限：1、创立、删除以及管理用户帐户2、重设用户密码并强制在下次登录时更改密码3、读取所有用户信息4、创立、删除和管理组5、修改组成员身份Servers(OU)：存放各分支工厂效劳器计算机账号PCOU：存放各分支工厂台式计算机账号Notebook(OU)：存放各分支工厂笔记本计算机账号Users(OU)：存放各分支工厂用户账号GroupsOU：存放各分支工厂的组主域 administrator 对整个 AD 具有最高管

6、理权限，新建一个 domain admin，管理域内所有对象。建立各分支工厂网络专员账号，委派其管理各分支工厂 OU 内的对象。因为组策略的应用关系到整个域的稳定，所以权限不下放，如果有需求由分支工厂网络专员向总部 AD 管理员反映处理。之所以设置 GROUPS(OU),是为了满足今后文件共享及其他权限的的管理。例如：人力资源中 心需要一个公共磁盘来存放该部门文件，但又不需要其他部门查看，那么可以通过建立组的形式来分配权限。备注：当然，目前我们公司很多职能中心都是通过派驻 形式到各个分工厂，如果总部需要建立一个公共磁盘，让所有人力资源中心同事都能访问，包括分支工厂的派驻专员，那么我们只需要在一

7、级 OU 下新建一个公共组人 力资源中心，然后把各分支工厂的组人力资源中心包含进来，然后分配总部公共组人力资源中心权限即可实现3 3客户端权限设计客户端权限设计对客户端计算机权限的管理和设计直接影响到整个域的管理。权限过松，管理上显得比拟粗放；权限太少，那么什么东西都需要管理员才能完成。所以无论权限太多 和太少都将直接涉及到网络管理员的日常工作。默认的添加到页脚下载后可删除，如有侵权请告知删除！域的计算机即 DOMAIN USERS 组的用户只具有本地计算机的 USERS 组的权限权限比拟低，因此我们将域用户赋予本地 POWER USER 组权限。Power user 权限分析：运行 Wind

8、ows 2000、Windows XP Professional 或 Windows Server 2003 家族中属于 Windows Logo program for Software的应用程序和以前的应用程序。安装不修改操作系统文件的程序或安装系统效劳。自定义整个系统的资源，包括打印机、日期/时间、电源选项和其他“控制面板资源。创立和管理本地用户帐户和组。启动和停顿默认情况下不启动的效劳。Power Users 不具有将自己添加到 Administrators 组的权限。Power Users 不能访问 NTFS 卷上的其他用户数据，除非他们获得了这些用户的授权。由于域用户上不存在 Po

9、wer users 组，因此我们在添加计算机到域时需要手动添加该用户到本地计算机的 Power users 组。默认的域用户是能够登录到所有的域计算机的，因此我们还需要设置该域用户帐号只能登陆到指定的计算机。同时默认添加到域的计算机帐号会自动 参加到一个 COMPUTER 的对象中，因此需要我们手动添加到指定的 OU 中。对于已经添加到域的用户，且具有本地计算机的 Power users 的用户在日常的使用中：1，不具有更改计算机名的权限2，不具有更改计算机本地连接的权限3，不具有更改或安装硬件驱动的权限4，不具有添加和安装打印机驱动的权限关于其他的更多的具体权限将在今后应用中根据需要修改所以

10、我们还需要提升 Power users 的权限：装载和卸载驱动程序权限。也需要在组策略设计中禁用阻止添加打印机驱动策略。这里谈到组策略的设计，就需要说下目前根本的组策略：计算机策略：1，帐户密码策略便于设置密码2，装载和卸载设备驱动程序便于安装打印机，扫描仪等常见设备3，阻止用户安装打印机驱动程序便于添加本地和网络打印机4，计算机登陆和启动总是等待网络便于更新 GPO5，关闭计算机更新都是 D 版系统，不必说了页脚下载后可删除，如有侵权请告知删除！6，定义计算机防火墙设置平安方面用户策略：1，定义 IE 首页2，定义受信用站点等平安区域例如 OA 需要对 IE 的设置3，统一部署桌面，制止修改

11、桌面统一形象当然，以上是一些根本的计算机和用户策略，我们还有可以根据需要设置一些计算机优化方便的策略，例如：关机清理虚拟页面文件，禁用自动播放，关闭缩略图缓存，定义任务栏，定义系统设置等等，这里比拟广泛，主要是关于系统优化方便。其次还有一些特殊应用，例如：禁用 USB 存储但可以使用 USB 设备等等，这些可以通过启动脚本来实现。这里不做过多的阐述。根据今后的应用来灵活修改。关于组策略应用连接，我们在不修改域默认策略，统一集团计算机环境，各分之灵活控制的根底上来实施。即：保持默认策略便于意外灾难性恢复，一条根本策略到达统一的目的，多个优化，特殊策略灵活配置各个不同分之网络的实际情况分别连接域与

12、 OU 等对象。客户端计算机命名和用户命名：1，计算机命名：YB+数字2，用户命名：地名+部门+数字其实整个客户端设计中，计算机名和用户命名都是次要的，主要是为了方便管理和识别，如果有更直观的方式也可以。3 3灾难性恢复，系统容错和扩展应用。灾难性恢复，系统容错和扩展应用。前面在谈到域架构的时候，我们所有的域控制器都是冗余的，故任何一台辅助控制器灾难性损坏都能够在不影响其他计算机用户正常使用的情况下迅速恢复，即使 是主域控制器的灾难性损坏，我们也能够及时通过辅助控制器夺取 FSMO 主机角色，升级到主域控制器来恢复，容错能力非常强。在整个域应用成熟之后，我们还 可以扩展周边应用：例如通过 SMS 来分发软件，计算机资产管理；部署远程维护软件来实现远程维护计算机等等。4 4实施进度表实施进度表6 月第二个星期：准备效劳器。6 月第三个星期：效劳器测试。6 月第四个星期：批量加域。页脚下载后可删除，如有侵权请告知删除！7 月第一个星期：各分支准备效劳器，网络专员培训。7 月第二个星期：所有分支计算机全部加域。7 月第三个星期：使用结果考察，后期调整。页脚下载后可删除，如有侵权请告知删除！