基础知识

工作组

类似一个社团，不存在集中管理，无服务机与客户机之分，是对等的

将不同的计算机按功能（或部门）分别列入不同的工作组中

实例：加入/更改/退出 工作组： 计算机- 属性- 计算机名- 更改设置- 工作组更改- （修改名称。若没有这个工作组会新建）- 重启

域

域(Domain)

一个有安全边界的计算机集合（安全边界： 是指在两个域中，一个域中的用户无法访问另一个域中第资源），可以理解为升级版的“工作组”

域控制器(Domain Controller, 简写为DC)

一个域中一个类似管理服务器的计算机，相当于单位的门卫一样，域内电脑如果想互相访问，首先都是经过它的审核

域的分类

• 单域 （固定位置的小公司。一个yu内要建立至少两个DC，一个作为备份DC）
• 父域、子域 （比如一个大公司，有分公司；不同地理位置分公司；子公司可以通过自己的域管理自己的资源； 出于安全策略）
• 域数(tree)
• 域森林(forest)
• DNS域名服务器 (实际上，域的name就是DNS域的name； 通常dns服务器与DCS 是一台机器)

活动目录（Active Directory，AD）

是指域环境中提供目录服务的组件。

目录是什么？目录就是存储有关网络对象（如用户、组、计算机、共享资源、打印机和联系 人等）的信息。目录服务是指帮助用户快速、准确地从目录中找到其所需要的信息的服务。活动 目录实现了目录服务，为企业提供了网络环境的集中式管理机制

活动目录相当于字典的索引，即活动目录里的资源就是字典资源的快捷方式，用户通过寻找快捷方式而定位资源

逻辑结构

组织对象的做法不考虑被管理对象的具体地理位置的组织框架

活动目录的逻辑结构就包括： 组织单元(ou)、域(domain)、域树(tree)、域森林(forest)

在域树内的所有域共享一个活动目录，这个活动目录内的数据分散的存储在各个域内，且每个域只存储该域内的数据。

活动目录主要功能

• 账号集中管理
• 软件集中管理
• 环境集中管理
• 增强安全性
• 更可靠
• 活动目录为Microsoft统一管理的平台

DC与AD最大的区别是：

域控制器（DC）与活动目录（AD）最大的区别是： 如果网络规模较大，就考虑把网络中的众多对象，如计算机、用户、用户组、打印机、共享文件等，分门别类、井然有序地放在一个大仓库中，并将检索信息整理好，以便查找、管理和使用这些对象（资源）。这个拥有层次结构的数据库，就是活动目录数据库，简称 AD 库。

那么，我们应该把这个数据库放在哪台计算机上呢？用于存储活动目录数据库的计算机称为DC

所以，要实现域环境，其实就是要安装 AD。当内网中的一台计算机上安装了 AD，它就变成 了 DC

安全域

目的：

将一组安全等级相同的计算机划入同一网段内

DMZ

“隔离区”， “非军事化分区”， 为了解决安装防火墙后外部网络不能访问内部网络费武器的问题

放置 一些必须公开的服务器设施，比如：企业web服务器、FTP服务器和论坛等

有效的保护了内部网络

DMZ的屏障功能:

• 内网可以访问外网
• 内网可以访问DMZ
• 外网不能访问内网
• 外网可以访问DMZ
• DMZ不能访问外网
• DMZ不能访问内网

域中计算机分类

• 域控制器
• 成员服务器
• 客户机
• 独立服务器

内权限解读

域本地组 （来自全林用于本域）

多域用户访问单域资源（访问同一个域），不能嵌套于其他组中，主要是用于授权位于域资源的访问权限

全局组 （来自本域作用于全林）

单域用户访问多域资源（必须是同一个域里面的用户），全局组嵌套在其他组中

通用组 （来自全林作用于全林）

通用组成员来自域林中任何域中的用户账户、全局组和其他的通用组，可以在该域林中的任何域中指派权限，可以嵌套于其他域组中。非常适于域林中的跨域访问。

A-G-DL-P策略

A - 用户账号 G - 全局组 U - 通用组 DL - 域本地组 P - 资源权限

A-G-DL-P策略 是将用户账号添加到全局组中，讲全局组添加到域本地组中， 然后为域本地组分配资源权限。按照AGDLP的原则对用户组织和管理起来更容易

在AGDLP形成以当给一个用户某个权限的时候，只要把这个用户家到某一个本地域组就可以了。

全局组、通用组的权限

• 域管理员组 Domain Admins
• 企业系统管理员组 Enterprise Admins
• 架构管理员组 Schema Admins
• 域用户组 Domain Users

本地组的权限：

• Administrators (管理员组)
• Remote Desktop USer （远程登录组）
• Print Operator (打印机操作员组)
• Account Operators （账号操作员组）
• Server Operater （服务器操作员组）
• Backup Operators (备份操作员组 )

域环境搭建

Windows 2012 R2

设置IP

更改计算机名

安装域控制器和DNS服务

升级服务器

创建Active Directory用户

Windows7

Windwos7

通过防火墙Monowall构建二级内网

防火墙Monowall的使用

开源，基于软件的防火墙， 基于Web页面管理的

中文版： www.cat-home.org/?action=show&id=158

网络适配器: 2个， 一个NAT，一个桥接，硬盘要求特别低；

配置：