4.2 管理域用户、组和组织单位-高二《Windows Server 2019系统管理与服务器配置》同步教学课件 （电子工业出版社）

* 任务4.2 管理域用户、组和组织单位 项目4 部署与管理Active Directory域服务 6.1 Teleworking 任务描述 某公司的网络管理员小赵，根据需求已经完成Active Directory域的初步部署，小赵已将财务部的CLIENT计算机，以及销售部的若干台计算机加入phei.com.cn域。财务部有员工Lisi和Pengwu，销售部有员工 Wanger和Zhangsan，小赵要为这些员工创建登录phei.com.cn域的用户账户并进行分组。 项目4 部署与管理Active Directory域服务 1.1 LAN 设计 1.1.1 融合网络 1.1.1.1 网络复杂性不断增加 任务要求 根据公司业务需求，我们需要在域控制器上添加域用户并按照部门进行逻辑划分，由于考虑到日后将要使用组策略对相应部门的计算机和用户进行管理，因此组织单位可以实现对某个部门的用户、组、计算机等进行组策略设置。 本任务在DC域控制器上完成相关操作，采用由大到小的方式分别新建组织单位、组、用户和计算机，最后将用户、组、计算机划分到相应的组织单位中。组织结构转换为域的逻辑关系如表4.2.1所示。 项目4 部署与管理Active Directory域服务 1.1 LAN 设计 1.1.1 融合网络 1.1.1.1 网络复杂性不断增加 任务实施 1. 新建组织单位 2．在组织单位中新建组 3. 在组织单位中新建用户 4. 将用户添加到组 5. 将成员计算机（对象）移动到组织单位 教师演示实现过程 任务4.2 管理域用户、组和组织单位 1.1 LAN 设计 1.1.1 融合网络 1.1.1.2 融合网络的组成元素 知识链接 1.认识域用户、组和组织单位 Active Directory域用户账户代表物理实体，如人员。管理员可以将用户账户用作某些 应用程序的专用服务账户。用户账户也被称为安全主体。安全主体是指自动为其分配安全标识符（SID）的目录对象，可用于访问域资源。用户账户主要的作用如下。 ①验证用户的身份。用户可以使用能够通过域身份验证的身份登录计算机或域。每个登录到网络的用户都应该有自己唯一的账户和密码。为了最大限度地保证安全，需要避免多个用户共享同一个账户。 ②授权或拒绝对域资源的访问。在验证用户身份之后，为该用户授予访问域资源的权限或拒绝该用户对域资源的访问。 任务4.2 管理域用户、组和组织单位 1.1 LAN 设计 1.1.1 融合网络 1.1.1.2 融合网络的组成元素 知识链接 1. 默认域用户 Active Directory用户和“计算机管理”窗口中的“用户”容器显示了 Administrator和 Guest两种内置用户账户。这些内置用户账户是在创建域时自动创建的。 每个内置用户账户都有不同的权限组合。Administrator账户在域内具有最大的权限， 而Guest账户则具有有限的权限。 如果网络管理员没有修改或禁用内置用户账户的权限，恶意用户（或服务）就会使用 这些权限通过Administrator账户或Guest账户非法登录域。保护这些账户的一种较好的安 全操作是重命名或禁用它们。由于重命名的用户账户会保留其SID,因此也会保留其他所 有属性，如说明、密码、组成员身份、用户配置文件、账户信息，以及任何已分配的权限 和用户权利。 任务4.2 管理域用户、组和组织单位 1.1 LAN 设计 1.1.1 融合网络 1.1.1.2 融合网络的组成元素 知识链接 若要拥有用户身份验证和授权的安全优势，则可以通过“Active Directory用户和计算机”窗口为所有加入网络的用户创建单独的用户账户，并将各用户账户（包括Administrator 账户和Guest账户）添加到组，以便控制分配给该账户的权限。如果具有适合某网络的账户和组，则需要确保可以识别登录该网络的用户和只能访问允许资源的用户。 设置强密码和实施账户锁定策略，可以帮助域抵御攻击。强密码会减少攻击者对密码的智能密码猜测和字典攻击的危险。账户锁定策略会减少攻击者通过重复登录企图危及用户所在域的安全的可能性。账户锁定策略可以确定用户账户在禁用之前尝试登录的失败次数。 任务4.2 管理域用户、组和组织单位 1.1 LAN 设计 1.1.1 融合网络 1.1.1.2 融合网络的组成元素 知识链接 3.域中组 组是指用户与计算机账户、联系人，以及其他可以作为单个单位管理的组的集合。属于特定组的用户和计算机被称为组成员。 Active Directory域服务中