Windows Server 2022 Active Directory 配置實戰(zhàn)

第1章　Active Directory域服務(wù)（AD DS） 1
1.1　Active Directory域服務(wù)概述 2
1.1.1　Active Directory域服務(wù)的適用范圍 2
1.1.2　命名空間 2
1.1.3　對象與屬性 2
1.1.4　容器與組織單位 3
1.1.5　域樹 4
1.1.6　信任 4
1.1.7　林 5
1.1.8　架構(gòu) 6
1.1.9　域控制器 6
1.1.10　只讀域控制器 7
1.1.11　可重啟的AD DS 8
1.1.12　Active Directory回收站 8
1.1.13　AD DS的復(fù)制模式 8
1.1.14　域中的其他成員計算機(jī) 9
1.1.15　DNS服務(wù)器 10
1.1.16　輕量級目錄訪問協(xié)議 10
1.1.17　全局編錄 11
1.1.18　站點 11
1.1.19　目錄分區(qū) 12
1.2　域功能級別與林功能級別 13
1.2.1　域功能級別 13
1.2.2　林功能級別 13
1.3　Active Directory輕型目錄服務(wù) 14
第2章　創(chuàng)建AD DS域 15
2.1　創(chuàng)建AD DS域前的準(zhǔn)備工作 16
2.1.1　選擇適當(dāng)?shù)腄NS域名 16
2.1.2　準(zhǔn)備好一臺支持AD DS的DNS服務(wù)器 16
2.1.3　選擇AD DS數(shù)據(jù)庫的存儲位置 17
2.2　創(chuàng)建AD DS域 18
2.3　確認(rèn)AD DS域是否正常 23
2.3.1　檢查DNS服務(wù)器內(nèi)的記錄是否完整 23
2.3.2　排除注冊失敗的問題 25
2.3.3　檢查AD DS數(shù)據(jù)庫文件與SYSVOL文件夾 26
2.3.4　新增加的管理工具 27
2.3.5　查看事件日志文件 28
2.4　提升域與林功能級別 28
2.5　新建額外域控制器與RODC 29
2.5.1  安裝額外域控制器 30
2.5.2  利用“安裝媒體”來安裝額外域控制器 34
2.5.3  更改RODC的委派與密碼復(fù)制策略設(shè)置 35
2.6  RODC階段式安裝 36
2.6.1  創(chuàng)建RODC賬戶 37
2.6.2  將服務(wù)器附加到RODC賬戶 40
2.7  將Windows計算機(jī)加入或脫離域 41
2.7.1  將Windows計算機(jī)加入域 42
2.7.2  利用已加入域的計算機(jī)登錄 44
2.7.3  脫機(jī)加入域 45
2.7.4  脫離域 47
2.8  在域成員計算機(jī)內(nèi)安裝AD DS管理工具 47
2.9  刪除域控制器與域 49
第3章　域用戶與組賬戶的管理 53
3.1  管理域用戶賬戶 54
3.1.1  創(chuàng)建組織單位與域用戶賬戶 55
3.1.2  用戶登錄賬戶 56
3.1.3  創(chuàng)建UPN的后綴 57
3.1.4  賬戶的常規(guī)管理工作 59
3.1.5  域用戶賬戶的屬性設(shè)置 60
3.1.6  查找用戶賬戶 62
3.1.7  域控制器之間數(shù)據(jù)的復(fù)制 66
3.2  一次同時添加多個用戶賬戶 67
3.2.1  利用csvde.exe來添加用戶賬戶 68
3.2.2  利用ldifde.exe來添加、修改與刪除用戶賬戶 69
3.2.3  利用dsadd.exe等程序來添加、修改與刪除用戶賬戶 70
3.3  域組賬戶 72
3.3.1  域組的類型 72
3.3.2  組的作用域 72
3.3.3  域組的創(chuàng)建與管理 73
3.3.4  AD DS內(nèi)置的組 74
3.4  組的使用原則 76
3.4.1  A、G、DL、P原則 76
3.4.2  A、G、G、DL、P原則 76
3.4.3  A、G、U、DL、P原則 77
3.4.4  A、G、G、U、DL、P原則 77
第4章　利用組策略管理用戶工作環(huán)境 78
4.1  組策略概述 79
4.1.1  組策略的功能 79
4.1.2  組策略對象 80
4.1.3  策略設(shè)置與首選項設(shè)置 82
4.1.4  組策略的應(yīng)用時機(jī) 83
4.2  策略設(shè)置實例演練 84
4.2.1  策略設(shè)置實例演練一：計算機(jī)配置 84
4.2.2  策略設(shè)置實例演練二：用戶配置 86
4.3  首選項設(shè)置實例演練 88
4.3.1  “首選項設(shè)置”實例演練一 89
4.3.2  “首選項設(shè)置”實例演練二 92
4.4  組策略的處理規(guī)則 94
4.4.1  一般的繼承與處理規(guī)則 94
4.4.2  例外的繼承設(shè)置 96
4.4.3  特殊的處理設(shè)置 98
4.4.4  更改管理GPO的域控制器 102
4.4.5  更改組策略的應(yīng)用間隔時間 103
4.5  利用組策略來管理計算機(jī)與用戶環(huán)境 105
4.5.1  計算機(jī)配置的管理模板策略 105
4.5.2  用戶配置的管理模板策略 106
4.5.3  賬戶策略 106
4.5.4  更詳細(xì)的密碼策略 110
4.5.5  用戶權(quán)限分配策略 111
4.5.6  安全選項策略 113
4.5.7  登錄/注銷、啟動/關(guān)機(jī)腳本 114
4.5.8  文件夾重定向 117
4.6  利用組策略限制訪問“可移動存儲設(shè)備” 121
4.7  WMI篩選器 124
4.8  組策略建模與組策略結(jié)果 128
4.9  組策略的委派管理 133
4.9.1  站點、域或組織單位的GPO鏈接委派 133
4.9.2  編輯GPO的委派 134
4.9.3  新建GPO的委派 134
4.10  Starter GPO的設(shè)置與使用 135
第5章　利用組策略部署軟件 137
5.1  軟件部署概述 138
5.1.1  將軟件分配給用戶 138
5.1.2  將軟件分配給計算機(jī) 138
5.1.3  將軟件發(fā)布給用戶 138
5.1.4  自動修復(fù)軟件 139
5.1.5  刪除軟件 139
5.2  將軟件發(fā)布給用戶 139
5.2.1  發(fā)布軟件 139
5.2.2  在客戶端安裝被發(fā)布的軟件 141
5.2.3  測試自動修復(fù)軟件的功能 143
5.2.4  取消已發(fā)布的軟件 143
5.3  將軟件分配給用戶或計算機(jī) 144
5.3.1  分配給用戶 144
5.3.2  分配給計算機(jī) 145
5.4  將軟件升級 145
5.5  部署Adobe Acrobat 148
5.5.1  部署基礎(chǔ)版 149
5.5.2  部署更新程序 150
第6章　限制軟件的執(zhí)行 153
6.1  軟件限制策略概述 154
6.1.1  哈希規(guī)則 154
6.1.2  證書規(guī)則 154
6.1.3  路徑規(guī)則 155
6.1.4  網(wǎng)絡(luò)區(qū)域規(guī)則 155
6.1.5  規(guī)則的優(yōu)先級 155
6.2  啟用軟件限制策略 156
6.2.1  創(chuàng)建哈希規(guī)則 156
6.2.2  創(chuàng)建路徑規(guī)則 158
6.2.3  創(chuàng)建證書規(guī)則 160
6.2.4  創(chuàng)建網(wǎng)絡(luò)區(qū)域規(guī)則 163
6.2.5  不要將軟件限制策略應(yīng)用到本地系統(tǒng)管理員組 164
第7章　建立域樹與林 165
7.1  建立第一個域 166
7.2  建立子域 166
7.3  建立林中的第2棵域樹 172
7.3.1  選擇適當(dāng)?shù)腄NS架構(gòu) 172
7.3.2  建立第2棵域樹 174
7.4  更改域控制器的計算機(jī)名稱 179
7.5  刪除子域與域樹 183
第8章　管理域與林的信任 187
8.1  域與林的信任概述 188
8.1.1  信任域與受信任域 188
8.1.2  跨域訪問資源的流程 188
8.1.3  信任的種類 190
8.1.4  建立信任前的注意事項 194
8.2  建立快捷方式信任 196
8.3  建立林信任 200
8.3.1  建立林信任前的注意事項 201
8.3.2  開始建立林信任 202
8.3.3  “選擇性身份驗證”設(shè)置 208
8.4  建立外部信任 210
8.5  管理與刪除信任 212
8.5.1  信任的管理 212
8.5.2  刪除信任 215
第9章　AD DS數(shù)據(jù)庫的復(fù)制 217
9.1  站點與AD DS數(shù)據(jù)庫的復(fù)制 218
9.1.1  同一個站點之間的復(fù)制 219
9.1.2  不同站點之間的復(fù)制 220
9.1.3  復(fù)制通信協(xié)議 221
9.2  默認(rèn)站點的管理 221
9.2.1  默認(rèn)的站點 222
9.2.2  Servers文件夾與復(fù)制設(shè)置 222
9.3  利用站點來管理AD DS復(fù)制 225
9.3.1  建立站點與子網(wǎng) 226
9.3.2  建立站點鏈接 228
9.3.3  將域控制器移動到所屬的站點 229
9.3.4  指定首選的bridgehead服務(wù)器 231
9.3.5  站點鏈接與AD DS數(shù)據(jù)庫的復(fù)制設(shè)置 232
9.3.6  站點鏈接橋 233
9.3.7  站點鏈接橋的兩個范例討論 235
9.4  管理全局編錄服務(wù)器 236
9.4.1  向全局編錄內(nèi)添加屬性 237
9.4.2  全局編錄的功能 238
9.4.3  通用組成員緩存 239
9.5  解決AD DS復(fù)制沖突的問題 241
9.5.1  屬性標(biāo)記 241
9.5.2  沖突的種類 241
第10章　操作主機(jī)的管理 245
10.1  操作主機(jī)概述 246
10.1.1  架構(gòu)操作主機(jī) 246
10.1.2  域命名操作主機(jī) 246
10.1.3  RID操作主機(jī) 247
10.1.4  PDC模擬器操作主機(jī) 247
10.1.5  基礎(chǔ)結(jié)構(gòu)操作主機(jī) 250
10.2  操作主機(jī)的放置優(yōu)化 250
10.2.1  基礎(chǔ)結(jié)構(gòu)操作主機(jī)的放置 251
10.2.2  PDC模擬器操作主機(jī)的放置 251
10.2.3  林級別操作主機(jī)的放置 252
10.2.4  域級別操作主機(jī)的放置 252
10.3  找出扮演操作主機(jī)角色的域控制器 252
10.3.1  利用管理控制臺找出扮演操作主機(jī)的域控制器 253
10.3.2  利用命令找出扮演操作主機(jī)的域控制器 255
10.4  轉(zhuǎn)移操作主機(jī)角色 256
10.4.1  利用管理控制臺 256
10.4.2  利用Windows PowerShell命令 258
10.5  奪取操作主機(jī)角色 259
10.5.1  操作主機(jī)停擺所造成的影響 259
10.5.2  奪取操作主機(jī)角色實例演練 260
第11章　AD DS的維護(hù) 262
11.1  系統(tǒng)狀態(tài)概述 263
11.1.1  AD DS數(shù)據(jù)庫 263
11.1.2  SYSVOL文件夾 264
11.2  備份AD DS 264
11.2.1  安裝Windows Server Backup功能 264
11.2.2  備份系統(tǒng)狀態(tài) 264
11.3  還原AD DS 267
11.3.1  進(jìn)入目錄服務(wù)修復(fù)模式的方法 267
11.3.2  執(zhí)行AD DS的非授權(quán)還原 268
11.3.3  針對被刪除的AD DS對象執(zhí)行授權(quán)還原 272
11.4  AD DS數(shù)據(jù)庫的整理 274
11.4.1  可重新啟動的AD DS 275
11.4.2  整理AD DS數(shù)據(jù)庫 275
11.5  重置目錄服務(wù)修復(fù)模式的管理員密碼 278
11.6  更改可重新啟動的AD DS的登錄設(shè)置 279
11.7  Active Directory回收站 280
第12章　將資源發(fā)布到AD DS 283
12.1  將共享文件夾發(fā)布到AD DS 284
12.1.1  利用Active Directory用戶和計算機(jī)控制臺 284
12.1.2  利用計算機(jī)管理控制臺 285
12.2  查找AD DS內(nèi)的資源 286
12.2.1  通過網(wǎng)絡(luò)查找AD DS內(nèi)的資源 286
12.2.2  通過Active Directory用戶和計算機(jī)控制臺查找AD DS內(nèi)的資源 287
12.3  將共享打印機(jī)發(fā)布到AD DS 288
12.3.1  發(fā)布打印機(jī) 288
12.3.2  通過AD DS查找共享打印機(jī) 289
12.3.3  通過“打印機(jī)位置”來查找打印機(jī) 289
第13章　自動信任根CA 293
13.1  自動信任CA的設(shè)置準(zhǔn)則 294
13.2  自動信任內(nèi)部的獨立CA 294
13.2.1  下載獨立根CA的證書并保存 295
13.2.2  將CA證書導(dǎo)入受信任的根證書頒發(fā)機(jī)構(gòu) 296
13.3  自動信任外部的CA 299
13.3.1  下載獨立根CA的證書并保存 299
13.3.2  建立證書信任列表 300
第14章　利用WSUS部署更新程序 304
14.1  WSUS概述 305
14.2  WSUS的系統(tǒng)需求 305
14.3  WSUS的特性與工作方式 306
14.3.1  利用計算機(jī)組來部署更新程序 307
14.3.2  WSUS服務(wù)器的架構(gòu) 307
14.3.3  選擇數(shù)據(jù)庫與存儲更新程序的地點 308
14.3.4  延遲下載更新程序 309
14.3.5  使用快速安裝文件 309
14.4  安裝WSUS服務(wù)器 310
14.5  設(shè)置客戶端的自動更新 317
14.6  審批更新程序 320
14.6.1  建立新計算機(jī)組 322
14.6.2  審批更新程序的安裝 323
14.6.3  拒絕更新程序 325
14.6.4  自動審批更新程序 326
14.7  自動更新的組策略設(shè)置 326
第15章　AD RMS企業(yè)文件權(quán)限管理 331
15.1  AD RMS概述 332
15.1.1  AD RMS的需求 332
15.1.2  AD RMS如何工作 333
15.2  AD RMS實例演練 333
15.2.1  準(zhǔn)備好計算機(jī) 334
15.2.2  建立用戶賬戶 335
第16章　AD DS與防火墻 345
16.1  AD DS相關(guān)的端口 346
16.1.1  將客戶端計算機(jī)加入域、用戶登錄時會用到的端口 346
16.1.2  計算機(jī)登錄時會用到的端口 346
16.1.3  建立域信任時會用到的端口 347
16.1.4  驗證域信任時會用到的端口 347
16.1.5  訪問文件資源時會用到的端口 347
16.1.6  執(zhí)行DNS查詢時會用到的端口 347
16.1.7  執(zhí)行AD DS數(shù)據(jù)庫復(fù)制時會用到的端口 348
16.1.8  文件復(fù)制服務(wù)（FRS）會用到的端口 348
16.1.9  分布式文件系統(tǒng)（DFS）用到的端口 348
16.1.10  其他可能需要開放的端口 349
16.2  限制動態(tài)RPC端口的使用范圍 349
16.2.1  限制所有服務(wù)的動態(tài)RPC端口范圍 350
16.2.2  限制AD DS數(shù)據(jù)庫復(fù)制使用指定的靜態(tài)端口 351
16.2.3  限制FRS使用指定的靜態(tài)端口 352
16.2.4  限制DFS使用指定的靜態(tài)端口 353
16.3  IPSec與VPN端口 353
16.3.1  IPSec所使用的通信協(xié)議與端口 354
16.3.2  PPTP VPN所使用的通信協(xié)議與端口 354
16.3.3  L2TP/IPSec所使用的通信協(xié)議與端口 354