windows_ad域配置方案和操作手册范本.docx

神达化工windows_ad域配置方案和操作手册2015年01月14日目录1. 背景 32. 为什么要用域 42.1.一个演示实例说明 42.2域的概念 73. 如何部署一个域 73.1. DNS前期准备 83.1.1. 创建区域并允许动态更新 93.1.2. 检查NS和SOA记录 123.2. 创建域控制器 143.3. 创建计算机账号 233.4. 创建用户账号 264. 用备份进行域的灾难重建 304.1. 如何备份 304.2. 如何还原 345. 部署额外域控制器 396. ACTIVE DIRECTORY的授权还原 487. ACTIVE DIRECTORY的脱机碎片整理 578. 针对神达化工的具体方案 628.1.用户管理 628.2.灾备和重建 638.3.桌面恢复 638.4.域用户集成本地管理员 638.5如何限制域用户脱离域后登陆 68 1. 背景神达化工（以下简称：神达化工）目前实施的HONEYWELL PHD实时数据库需要且必须运行在windows的ad域中，目前项目进展顺利神达化工实施HONEYWELL PHD 实时数据库的网络拓扑如图1所示：图1n 一台域控制器：负责域用户的维护n 一台数据库服务器：运行HONEYWELL所依赖的数据库n 一台web服务器：对外访问，所有终端通过这台机器获取浏览信息。

神达化工在以往的信息化建设中并未使用过windows的ad域，借助HONEYWELL PHD 实时数据库项目，希望将域引入并通过域对公司部的计算机进行管控在项目建设过程中，针对windows的ad域，神达化工还有如下疑虑：1、 什么是域，为什么要实施域2、 如何创建、管理、维护域3、 如何处理灾备和恢复针对以上几个问题，下面将详细介绍并列举实例进行演示2. 为什么要用域微软管理计算机可以使用域和工作组两个模型，默认情况下计算机安装完操作系统后是隶属于工作组的我们从很多书里可以看到对工作组特点的描述，例如工作组属于分散管理，适合小型网络等等我们这时要考虑一个问题，为什么工作组就不适合型网络呢，难道每台计算机分散管理不好吗？下面我们通过一个例子来说明这个问题2.1.一个演示实例说明假设现在工作组有两台计算机，一台是服务器Florence，一台是客户机Perth服务器的职能大家都知道，无非是提供资源和分配资源服务器提供的资源也有多种形式，可以是共享文件夹，可以是共享打印机，可以是电子，也可以是数据库等等现在服务器Florence提供一个简单的共享文件夹作为服务资源，我们的任务是要把这个共享文件夹的访问权限授予公司的员工建国。

注意，这个文件夹只有建国一个人可以访问）那我们就要考虑一下如何才能实现这个任务，一般情况下管理员的思路都是在服务器上为建国这个用户创建一个用户账号，如果访问者能回答出建国账号的用户名和密码，我们就认可这个访问者就是建国基于这个朴素的管理思路，我们来在服务器上进行具体的实施操作首先，如图2所示，我们在服务器上为建国创建用户账号图2然后，在共享文件夹中进行权限分配，如图3所示，我们只需把共享文件夹的读权限授予用户建国图3接下来，建国就可以在客户机Perth上准备访问服务器上的共享文件夹建国准备访问资源\\Florence\人事档案，服务器对访问者提出了身份验证请求，如图4所示，建国输入了自己的用户名和口令图4如图5所示，建国成功地通过了身份验证，访问到了目标资源图5以上实例说明，在这个小型网络中，工作组模型没有暴露出什么问题但是如果我们要把问题扩展一下，假设现在公司不是一台服务器，而是500台服务器，那么我们的麻烦就来了如果这500台服务器上都有资源要分配给建国，那会有什么样的后果呢？由于工作组的特点是分散管理，也就意味着每台服务器都要给建国创建一个用户账号那么建国这个用户就必须痛不欲生的记住自己在每个服务器上的用户名和密码，而服务器管理员也将需要为每个用户账号都重新创建500次。

如果公司有1000人呢？我们难以想象这样管理网络资源的后果，这一切的根源都是由于工作组的分散管理这就说明工作组这种散漫的管理方式和大型网络所要求的高效率是背道而驰的2.2域的概念既然工作组不适合大型网络的管理要求，那么我们就需要重新审视一下其他的管理模型其中域模型就是针对大型网络的管理需求而设计的，域就是共享用户账号、计算机账号和安全策略的计算机集合从域的基本定义中我们可以看到，域模型的设计考虑到了用户账号等资源的共享问题这样域中只要有一台计算机为公司员工创建了用户账号，那么其他计算机就都可以共享账号了这样就很好地解决刚才我们提到的账号重复创建的问题域中的这台集中存储用户账号的计算机就是域控制器、用户账号、计算机账号和安全策略被存储在域控制器上一个名为Active Directory的数据库中3. 如何部署一个域一般情况下，域中有三种计算机，一种是域控制器，域控制器上存储着Active Directory；一种是成员服务器，负责提供、数据库、DHCP等服务；还有一种是工作站，是用户使用的客户机我们准备搭建一个基本的域环境，拓扑如图6所示，Florence是域控制器，Berlin是成员服务器，Perth是工作站。

图63.1. DNS前期准备DNS服务器对域来说是不可或缺的一方面，域中的计算机使用DNS域名，DNS需要为域中的计算机提供域名解析服务另外一种重要的原因是域中的计算机需要利用DNS提供的SRV记录下来定位域控制器因此我们在创建域之前需要先做好DNS的准备工作那么究竟由哪台计算机来负责做DNS服务器呢一般工程师有两种选择，要么使用域控制器来做DNS服务器，要么就使用一台单独的DNS服务器这台DNS服务器不但能为域提供解析服务，同时还能为公司其他的业务提供DNS解析支持，大家可以根据具体的网络环境来选择DNS服务器那么在创建域之前，DNS服务器需要做好哪些准备工作呢？3.1.1. 创建区域并允许动态更新首先我们需要在DNS服务器上创建一个区域，区域的名称和域名相同，域计算机的DNS记录都创建在这个区域中我们在DNS服务器上打开DNS管理器，如图7所示，右键单击正向查找区域，选择新建一个区域出现新建区域向导后，点击下一步继续图7区域类型选择“主要区域”，如图8所示图8区域名称和域名相同，是adtest.图9由于区域一定要允许动态更新，因此在创建域的过程中需要向DNS区域中写入A记录、SRV记录和Cname记录。

图10区域创建完毕，点击完成结束创建图113.1.2. 检查NS和SOA记录区域创建完成后，一定要检查一下区域的NS记录和SOA记录NS记录描述有多少个DNS服务器可以解析这个区域，而SOA记录描述哪个DNS服务器是区域的主服务器如果NS记录和SOA记录出错，域的创建过程中就无法向DNS区域中写入应有的记录在DNS服务器上打开DNS管理器，在区域中检查ns记录，如图12所示，我们发现ns记录不是一个有效的完全合格域名，我们需要对它进行修改图12我们把ns记录改为 ns.adtest..，解析出的IP地址和DNS服务器的IP是吻合的，这样我们就完成了ns记录的修改，如图13所示图13如图14所示，我们把区域的SOA记录也同样进行修改，现在区域的主服务器是ns.adtest..，这样SOA记录也修改完毕了图14至此，DNS准备工作完成，我们接下来可以部署域了3.2. 创建域控制器有了DNS的支持，我们现在就可以开始创建域控制器域控制器是域中的第一台服务器，域控制器上存储着Active Directory，可以说，域控制器就是域的灵魂我们准备在Florence上创建域控制器，首先检查Florence网卡的TCP/IP属性，注意，Florence应该使用192.168.11.1作为自己的DNS服务器。

因为我们刚刚在192.168.11.1上创建了区域图15如图16所示，在Florence上运行Dcpromo，开始域控制器的创建图16如图17所示，出现Active Directory安装向导，创建域控制器其实就是在Florence上安装一个Active Directory数据库，点击下一步继续图17因为A是一个新创建的域，所以我们选择创建“新域的域控制器”，如图18所示图18如图19所示，我们选择创建一个“在新林中的域”，这个选项是什么意思呢？我们虽然只是简单地创建了一个域，但其实从逻辑上讲是创建了一个域林因为域一定要隶属于域树，而域树也一定要隶属于域林我们实际上是创建了一个域林，即使这个域林只有一棵域树，域树只有一个树根图19如图20所示，输入域的DNS名称，adtest.图20域的NETBIOS名称是ADTEST，由于.在NETBIOS名称中是非法字符，所以基本上域的NETBIOS名称就是域名中.之前的部分图21Active Directory数据库的路径我们使用了默认值，如果在生产环境中，可以考虑把数据库和日志部分分开存储，如图22所示图22如图23所示，Sysvol文件夹的路径我们也使用默认值，至于Sysvol文件夹的作用，我们后续会有介绍。

图23接下来Active Directory的安装向导会对DNS服务器进行检测，检查在DNS服务器上是否已经创建了和域名相同的区域，而且区域是否允许动态更新如图24所示，DNS检测通过注意，如果DNS检测有问题，我们应该及时排除故障，而不应该继续向下进行图24接下来要选择用户和组的默认权限，我们选择了不允许匿名用户查询域中的信息图25设置一下还原模式的管理员口令，这在我们从备份中恢复Active Directory时需要用到图26如图27所示仔细检查一下创建域的各项设置是否正确，如果没有问题就可以继续进行图27如图28，Active Directory安装向导开始在Florence上安装Active Directory图28如图29所示，重启计算机后即可完成Active Directory的安装图29重启Florence后我们发现已经可以使用域管理员的身份进行登录，说明域已经被成功创建了图30检查DNS服务器，我们发现DNS区域中已经自动创建了很多记录，这些记录的作用以后我们再来分析，现在大家只需要注意检查一下创建域时有没有把这些记录创建出来，如果没有那就有问题了图31至此，我们完成了域控制器的创建，域诞生了。

3.3. 创建计算机账号创建计算机账号就是把成员服务器和用户使用的客户机加入域，这些计算机加入域时会在Active Directory中创建计算机账号创建计算机账号从操作上看似非常简单，其实背后涉及的东西很多，例如域控制器和加入域的计算机要共享一个密钥等等以Berlin为例为大家介绍如何把计算机加入域，首先要确保Berlin已经使用了192.168.11.1作为自己的DNS服务器，否则Berlin无法利用DNS定位域控制器图32如图33所示，在Berlin的计算机属性中切。