AD域服务简介和使用——其实都是配置dns和域控服务器,各pc加入域,然后设置账号,用AD。。。
AD域服务简介和使⽤——其实都是配置dns和域控服务器,各pc 加⼊域,然后设置账号,⽤AD。。。
CN:为可辨别名。OU:为组织单元。DC:为从属于哪个域
默认端⼝是TCP、UDP为389
OU\DC为图1,adtest分解为 dc=adtest,dc=com
OU为组织名称 ou=测试部
CN是你⾃⼰设为管理员的⼀个⽤户名称如:lihb 
密码为lihb的密码如a123456
⼀、前⾔
1.1 AD 域服务
什么是⽬录(directory)呢?
⽇常⽣活中使⽤的电话薄内记录着亲朋好友的姓名、电话与地址等数据,它就是 telephone directory(
电话⽬录);计算机中的⽂件系统(file system)内记录着⽂件的⽂件名、⼤⼩与⽇期等数据,它就是 file directory(⽂件⽬录)。
如果这些⽬录内的数据能够由系统加以整理,⽤户就能够容易且迅速地查到所需的数据,⽽ directory service(⽬录服务)提供的服务,就是要达到此⽬的。在现实⽣活中,查号台也是⼀种⽬录;在 Internet 上,百度和⾕歌提供的搜索功能也是⼀种⽬录服务。
Active Directory 域内的 directory database(⽬录数据库)被⽤来存储⽤户账户、计算机账户、打印机和共享⽂件夹等对象,⽽提供⽬录服务的组件就是 Active Directory (活动⽬录)域服务(Active Directory Domain Service,AD DS),它负责⽬录数据库的存储、添加、删除、修改与查询等操作。⼀般适⽤于⼀个局域⽹内。
在 AD 域服务(AD DS)内,AD 就是⼀个命名空间(Namespace)。利⽤ AD,我们可以通过对象名称来到与这个对象有关的所有信息。
在 TCP/IP ⽹络环境内利⽤ Domain Name System(DNS)来解析主机名与 IP 地址的对应关系,也就是利⽤ DNS 来解析来得到主机的 IP 地址。除此之外,AD 域服务也与 DNS 紧密结合在⼀起,它的域命名空间也是采⽤ DNS 架构,因此域名采⽤ DNS 格式来命名,例如可以将 AD 域的域名命名为 moonxy。
1.2 AD域对象与属性
AD 域内的资源以对象(Object)的形式存在,例如⽤户、计算机与打印机等都是对象,⽽对象则通过属性(Attriburte)来描述其特征,也就是说对象本⾝是⼀些属性的集合。例如,创建⼀个账户张三,则必须添加⼀个对象类型(object class)为⽤户的对象(也就是⽤户账户),然后在这个⽤户账户内输⼊张三的姓名、登录账户、电话号码和电⼦邮件等信息,这其中的⽤户账户就是对象,⽽姓名、登录账户等数据就是该对象的属性,张三就是对象类型为⽤户(user)的对象。
1.3 AD 域控制器 DC
AD 域服务(AD DS)的⽬录数据存储在域控制器(Domain Controller,DC)内。⼀个域内可以有多台域控制器,每台域控制器的地位⼏乎是平等的,它们各⾃存储着⼀份⼏乎完全相同的 Active Directory。当在任何⼀台域控制器内添加了⼀个⽤户账户后,此账户默认被创建在此域控制器的 Active Directory,之后会⾃动被复制(replicate)到其他域控制器的 Active Directory,以便让所有域控制器内的 Active Directory 数据都能够同步(synchronize)。
当⽤户在域内某台计算机登录时,会由其中⼀台域控制器根据其 Active Directory 内的账户数据,来审核⽤户输⼊的账户与密码是否正
确。如果是正确的,⽤户就可以登录成功;反之,会被拒绝登录。域控制器是由服务器级别的额计算机来扮演的,例如 Windows Server 2012 和 Windows Server 2008 R2 等。
通常,域控制器的 Active Directory 数据库是可以被读写的,除此之外,还有 Active Directory 数据库是只可以读取、不可以被修改的只读域控制器(Read-Only Domain Controller,RODC)。例如,某⼦公司位于远程⽹络,如果安全措施并不像总公司⼀样完备,则可以使⽤RODC。
1.4 LDAP
LDAP(Lightweight Directory Access Protocol),轻量⽬录访问协议,是⼀种⽤来查询与更新 Active Directory 的⽬录服务通信协议。AD
域服务利⽤ LDAP 命名路径(LDAP naming path)来表⽰对象在 AD 内的位置,以便⽤它来访问 AD 内的对象。
LDAP 数据的组织⽅式:
LDAP 名称路径如下:
标识名称(distinguished Name,DN):它是对象在 Active Directory 内的完整路径,DN 有三个属性,分别是 CN,OU,DC。
DC (Domain Component):域名组件;
CN (Common Name):通⽤名称,⼀般为⽤户名或计算机名;
OU (Organizational Unit):组织单位;
例如,如上⽤户账户,其 DN 为:
CN=张三,OU=Web前端组,OU=软件开发部,DC=moonxy,DC=com
其中 DC(Domain Component)表⽰ DNS 域名中的组件,例如 moonxy 中的 moonxy 与 com;OU为组织单位(Organization Unit);CN为通⽤名称(Common Name),⼀般为⽤户名或服务器名。除了DC与OU之外,其他都利⽤CN来表⽰,例如⽤户与计算机对象都属于CN。上述DN表⽰法中的 moonxy 为域名,软件研发部、Web前端组都是组织单位。此 DN 表⽰账户张三存储
在 moonxy\软件研发部\Web前端组路径中。
相对标识名称(Relative Distinguished Name,RDN):RDN⽤来代表DN完整路径中的部分路径,例如上⾯路径中的 CN=张三与
OU=Web前端组等都是 RDN。
Base DN:LDAP ⽬录树的最顶部就是根,也就是所谓的 "Base DN",如 "DC=moonxy,DC=com"。
除了 DN 与 RDN 这两个对象名称外,另外还有如下两个名称:
全局唯⼀标识符(Global Unique Identifier,GUID):GUID 是⼀个128位的数值,系统会⾃动为每个对象指定⼀个唯⼀的GUID。虽然可以改变对象的名称,但是其GUID永远不会改变。
⽤户主体名称(User Principal Name,UPN):每个⽤户还可以有⼀个⽐DN更短、更容易记忆的 UPN,例如上⾯的张三⾪属于moonxy,则其 UPN 可以为 zhangsan@moonxy。⽤户登录时所输⼊的账户名最好是 UPN,因为⽆论此⽤户的账户被移动到哪⼀个域,其 UPN 都不会改变,因此⽤户可以⼀直使⽤同⼀个名称来登录。
AD 与 LDAP 的关系:LDAP 是⼀种⽤来访问 AD 数据库的⽬录服务协议,AD DS 会通过 LDAP 名称路径来表⽰对象在 AD 数据库中的位置,以便⽤它来访问 AD 数据库内的对象。LDAP 的名称路径包括有 DN、RDN。
openLDAP(Linux),Active Directory(Microsoft)等是对 LDAP ⽬录访问协议的具体实现,除了实现协议的功能,还对它进⾏了扩展。
1.5 全局编录
虽然在域树内的所有域共享⼀个 Active Directory,但是 Active Directory 数据却分散在各个域内,⽽每个域仅存储该域本⾝的数据。因此,为了让⽤户、应⽤程序能够快速到位于其他域内的资源,在 AD 域服务器内设计了全局编录(Global Catalog,GC)。
全局编录的数据存储在域控制器内,这台域控制器被称为全局编录服务器,它存储着林内所有域的 AD 内的每个对象。不过只存储对象的部分属性,这些属性都是常⽤来搜索的属性,例如⽤户的电话号码、登录账户名等。全局编录让⽤户即使不知道对象位于哪⼀个域内,仍然可以快速的到所需的对象。
⽤户登录时,全局编录服务器还负责提供该⽤户所属的通⽤组的信息;⽤户利⽤ UPN 登录时,它会负责提供该⽤户⾪属于哪⼀个域的信息。
⼀个林内的所有域树共享相同的全局编录,⽽林内的第⼀台域控制器默认就是全局编录服务器。必要时,也可以另外指派其他域控制器来当做全局编录服务器。
⼆、安装 DNS 和 AD 域服务
Windows 版本:Windows Server 2008 Enterprise Service Pack 1
系统类型: 64 位操作系统
2.1 安装 DNS 服务器
这⼀步不是必须的,在安装 Active Directory 域服务时可以同时装上 DNS 服务器:Active Directory 域服务安装向导 -> 其它域控制服务器,勾上 DNS 服务器也有同样效果。但是鉴于服务器配置容易出现⼀些未知错误,所以还是推荐提前安装 DNS 服务⽐较好。
网卡驱动装不上⾸先应该配置 DNS 服务器的静态 IP(推荐),否则安装时会出现如下提⽰:
并且 DNS 服务器的地址设置为⾃⼰的地址 127.0.0.1:
开始菜单 -> 管理⼯具 -> 服务器管理器,或者直接点击开始菜单旁边的快捷图标:
选择左侧树形菜单 "⾓⾊" 节点,右键 "添加⾓⾊",此处的 "⾓⾊" 表⽰此服务器要被配置为什么功能的服务器,即提供什么样的服务:
河南地方戏曲剧
进⼊ "添加⾓⾊向导",点击 "下⼀步" 按钮:
进⼊选择 "⾓⾊" 页⾯:
勾选 "DNS 服务器" ⾓⾊,并点击 "下⼀步" 按钮:
进⼊ DNS 服务器简介页⾯,点击 "下⼀步" 按钮:
进⼊确认安装页⾯,点击 "安装" 按钮:
出现如下进度条:
点击 "关闭" 按钮,并重启服务器:
此时,DNS 服务已经安装完成。
2.2 安装 Active Directory 域服务
进⼊ "服务器管理器" 中添加 AD 域服务⾓⾊:
或者点击开始菜单 -> 运⾏ -> 输⼊命令 "dcpromo" ,然后回车:
备注:
dcpromo 命令是⼀个 "开关" 命令。如果 Windows Server  2008 计算机是成员服务器,则运⾏ dcpromo 命令会安装 AD 活动⽬录,将其升级为域控制器;如果Windows Server 2008 计算机已经是域控制器,则运⾏ dcpromo 命令会卸载 AD 活动⽬录,将其降级为成员服务器。进⼊安装界⾯界⾯:
弹出 Active Direcotry 域服务安装向导,点击 "下⼀步" 按钮:
进⼊兼容性提醒页⾯,不⽤理会,点击 "下⼀步" 按钮:
注意:如果是第⼀次搭建也是你整个内⽹中的第⼀台域控制器,那么需要选择第⼆项 "在新林中新建域",第⼀项是内⽹中已经存在 AD 环境再想搭建额外域控制器的时候使⽤的。
选择 "在新林中新建域”并点击",点击 "下⼀步" 按钮:
输⼊域名,这个要慎重,因为这个配置完毕之后要修改很⿇烦且有风险,并点击 "下⼀步" 按钮:
进⼊林功能级别设置界⾯,选择 "Windows Server 2008",然后点击 "下⼀步":
注意:
这⾥需要强调的是,如果你的 AD 中以后可能会出现 Windows Server 2003 系统的域控制器,请务必选择 Windows Server 2003 的域功能级别,要不以后那些 Windows Server 2003 的服务器就做不了域控制器了,所以安装第⼀台 DC 的时候,都选择的低级别的林功能,以后要升到 Windows Server 2008 的域功能级别是没问题的,若是选了 Windows Server 2008 的功能级别,以后要降级就难了。
点击 "下⼀步" 按钮:
如果最初没有安装 DNS 服务器,此处可以勾选并安装:
如果已经安装,此处即为灰⾊:
弹出 DNS 提⽰框,不⽤理会,点击 "是" 按钮,继续安装:
进⼊AD 域的数据库⽂件、⽇志⽂件和共享⽂件位置设置页⾯,此处保持默认设置,点击 "下⼀步" 按钮:
进⼊ "域还原密码" 设置界⾯,此密码相当的重要,后续做数据库迁移、备份、整理、恢复的时候都可能⽤到,务必要牢记:
填⼊密码之后,点击 "下⼀步" 按钮:
进⼊ "摘要" 界⾯,显⽰之前设置的摘要信息,点击 "下⼀步" 按钮:
此处可以点击 "导出设置" 到⼀个位置保持起来,以便后续排错时查阅,也可以作为 DC 安装时的⽆⼈值守安装的脚本。
安装向导进⼊配置过程
点击 "完成" 按钮,重启服务器:
此时,AD  域服务已经安装完成。ADDS域控制器已经安装完成,在完成域控制器的安装后,系统会⾃动的将该服务器的⽤户账号转移到AD 数据库中。
酷狗可以截歌吗2.3 检查 DC 是否已经注册到 DNS
域控制器 DC 会将⾃⼰扮演的⾓⾊注册到 DNS 服务器内,以便让其他计算机能够通过 DNS 服务器来到这台域控制器,因此先检查 DNS 服务器内是否已经存在这些记录。利⽤与系统管理员(MOONXY/Administrator)登录。
检查主机记录
⾸先检查域控制器是否已经将其主机名与 IP 地址注册到 DNS 服务器内。请到扮演 DNS 服务器⾓⾊的计算机 WIN-
< 上点击 "DNS" 菜单:
此处应该会有⼀个名称为 moonxy 的区域,图中的主机(A)记录表⽰域控制器 已经正确地将其主机名与 IP 地址注册到 DNS 服务器内。DNS 客户端所
提出的请求⼤多是正向解析,即通过 hostname 来解析 IP 地址对应与此处的正向查区域;通过 IP 来查 hostname 即为反向解析,对应于此处的反向查区域。
如果域控制器已经正确地将其扮演的⾓⾊注册到 DNS 服务器,则还应该有对应的 _tcp、_udp 等⽂件夹。在单击 _tcp ⽂件夹后可以看到如下所⽰的界⾯,其中数据类型为服务位置(SRV)的 _ldap 记录,表⽰ 已经正确地注册为域控制器。其中的 _gc 记录还可以看出全局编录服务器的⾓⾊也是由 扮演的。
倦的拼音和组词DNS 区域内包含这些数据后,其他要加⼊域的计算机就可以通过通过此区域来得知域控制器为 。这些加⼊域的成员(域控制器、成员服务器、Windows 8、Windows 7、Windows Vista、Windows XP Professional 等)也会将其主机与 IP 地址数据注册到此区域内。
三、管理 AD 域⽤户账户
3.1 域⽤户管理⼯具
可以使⽤如下两个⼯具来管理域账户,如下:
Active Directory ⽤户和计算机:这是之前 Windows Server 2008、Windows Server 2003 等系统就已经提供的⼯具;
Active Directory 管理中⼼:这是从 Windows Server 2008 R2 开始提供的⼯具,⽤来取代 Active Directory ⽤户和计算机。
3.2 创建组织单位与域⽤户账户
通过使⽤ Active Directory ⽤户和计算机进⾏说明:
可以将⽤户账户创建到任何⼀个容器或组织单位(OU)内。以下创建⼀个名为软件研发部的组织单位。然后再建⼦组织单位,最后在此⼦组织单位内创建域⽤户账户。
创建组织单位:
输⼊软件研发部的组织单位,然后点击 "确定" 按钮:
创建之后,在该组织下⾯继续创建两个⼦组织单位:Web 前端组和 Java 开发组。
Web 前端组:
Java开发组:
创建⽤户:
进⼊创建⽤户界⾯,填⼊⽤户信息,⽐如此处创建⽤户:张三,然后点击 "下⼀步" 按钮:
注意:
⽤户 UPN 登录:⽤户可以利⽤这个与电⼦邮箱格式相同的名称(zhangsan@moonxy)来登录域,此名称被称为 User Principal Name(UPN)。在整个林内,此名称必须是唯⼀的。
⽤户 SamAccountName 登录:⽤户也可以利⽤此名称(MOONXY\zhangsan)来登录域,其中 MOONXY 为 NetBIOS 域名。同⼀个域内,此登录名称必须是唯⼀的。Windows NT、Windows 98 等旧版系统并不⽀持 UPN,因此在这些计算机上登录时,只能使⽤此处的登录名。
进⼊创建密码界⾯,域⽤户的密码默认必须⾄少7个字符,且⾄少包含⼤写字母、⼩写字母、数字、⾮字母数字等4组中的3组,点击 "下⼀步" 按钮:
进⼊完成页⾯:
点击上⾯的 "完成" 按钮,即可看到新增的⽤户:张三
同理,在 "Web 前端组" ⼦组织单位下继续创建⽤户:李四,在 "Java开发组" 组组织机构下创建两个⽤户:王五、赵六。结果如下:
党务公开内容Web 前端组⽤户:
Java 开发组⽤户:
创建好上⾯的域⽤户账户之后,就可以⽤来测试登录域的操作。直接到域内任何⼀台⾮域控制器的计算机上登录域,例如 Windows Server 2012 成员服务器或已加⼊域的 Windows 8 计算机。⼀般⽤户账户默认⽆法在域控制器上登录,除⾮另外开放。
备注:
以上是 Windows Server 2008  AD 域服务器搭建的过程和简介,此过程也适⽤于 Windows Server 2008 R2 版本的 AD域搭建。此外也可以参考如下博友不同版本的搭建过程:
AD域怎么新建⽤户名和密码
现在我们的个⼈电脑已经成功加⼊了域,就需要域创建的⽤户与密码来登录电脑,才能正常的操作。
⼯具/原料
windows server 2016
⽅法/步骤
1. 1
打开服务器管理员,在⼯具菜单中选择【A D⽤户和计算机】
2. 2
游戏家族名为了更好的管理,我们把⽤户按部分进⾏分组,在域根⽬录下右击⿏标选择【新建】-》【组织单位】
3. 3
输⼊部门名称,点击确定创建完成。

版权声明:本站内容均来自互联网,仅供演示用,请勿用于商业和其他非法用途。如果侵犯了您的权益请与我们联系QQ:729038198,我们将在24小时内删除。