第第5章章 Windows 2000用户管理用户管理 教学提示：对于Windows 2000系统管理员来说，用户账户管理是最基本也是最重要的工作之一。账户管理的主要内容包括：增加/删除账户、修改账户信息、建立账户本地配置文件和漫游配置文件、账户授权与审核等。 教学目标：本章的主要目标是学习Windows 2000账户的基本管理操作，并掌握用户配置文件的设置方法。5.1 用用 户户 分分 类类 用过Windows 95或Windows 98的用户都知道，Windows 95或Windows 98的用户密码形同虚设，在进入系统时虽然提示输入登录用户名和密码，简单地单击【取消】按钮就可以进入系统。Windows 2000在这一方面作了很大的改进：用户必须输入正确的用户名和密码才能登录系统，如果不输入正确的用户名和密码就不能进入系统；同时将不同用户分配不同的权限。这就为规范管理计算机用户提供了手段。 可以从权限和应用范围两方面对用户进行分类：从权限上，Windows 2000将用户分为管理员、用户和来宾三类，各有其不同的默认权限；从应用范围上，Windows 2000将用户分为本地用户和全局用户(域用户)，每一台Windows 2000服务器(非域控制器)都可以创建和管理自己的用户账户即本地用户，而域用户则是由作为域控制器的服务器创建和管理的，目的是为用户提供全域范围内的安全凭据，以便用户能够登录到网络并访问域资源。5.2 本本 地地 用用 户户 Windows 2000 系统管理员的一项主要任务就是管理账户 。本地用户账户使用户能登录本机并访问本机资源。分配给账户的权限和特权确定了用户可执行的操作，以及可访问的计算机资源。 创建本地用户 删除本地用户 停用本地用户 重设用户密码5.2.1 创建本地用户创建本地用户 当有新的用户需登录Windows 2000系统，作为管理员的用户必须为其添加一个相应的用户账户，否则该用户无法进入系统。下面介绍本地用户账户的创建过程。返回5.2.2 删除本地用户删除本地用户 当系统中的某一个用户账户不再被使用或者作为管理员的用户不再希望某个用户账户存在于系统中，可将该用户账户删除以便更新系统的用户信息。返回5.2.3 停用本地用户停用本地用户 如果某个用户的账户暂时不使用，可将其停用。例如，单位有人长期出差在外期间，为防止他人盗用其账户，可暂停其账户的使用。账户被停用之后，无法登录进入系统。当该用户需要重新使用已被停用的账户时，系统管理员可按照停用账户类似的操作重新启用该账户以便用户使用。返回5.2.4 重设用户密码重设用户密码 用户密码是用户在进行系统登录时所提供的最重要的安全凭证，因此当用户密码被别人盗用或者用户感到有必要修改自己的密码时，用户可以通过Windows 2000 提供的修改密码工具对用户密码进行重新设置。在设置密码时，应注意避免过于简单，以免被他人轻易破解。返回5.3 域域 用用 户户 在一个网络中，用户和计算机都是网络的主体在一个网络中，用户和计算机都是网络的主体 ， 两者缺一不可。两者缺一不可。拥有计算机账户是计算机接入拥有计算机账户是计算机接入 Windows 2000 和和 Windows NT 网络网络的基础，拥有用户账户是用户登录到网络并使用网络资源的基础，的基础，拥有用户账户是用户登录到网络并使用网络资源的基础，因此用户和计算机账户管理是因此用户和计算机账户管理是Windows 2000 网络管理中最必要、最网络管理中最必要、最常用的工作。常用的工作。 域用户简介域用户简介 创建域用户创建域用户 删除域用户删除域用户 停用域用户停用域用户 移动域用户移动域用户5.3.1 域用户简介域用户简介 域用户主要用于：验证用户或计算机的身份、授权对域资源的访问、审域用户主要用于：验证用户或计算机的身份、授权对域资源的访问、审核使用用户或计算机账户所执行的操作等。核使用用户或计算机账户所执行的操作等。 用户账户用来记录用户的用户名和密码、隶属的组和可以访问的网络资用户账户用来记录用户的用户名和密码、隶属的组和可以访问的网络资源，以及用户的个人文件和设置。每个用户都应在域控制器中拥有一个用户源，以及用户的个人文件和设置。每个用户都应在域控制器中拥有一个用户账户，才能访问服务器，使用网络上的资源。用户账户由一个账户，才能访问服务器，使用网络上的资源。用户账户由一个“用户名用户名”和和一个一个“密码密码”来标识，二者都需要用户在登录时输入。活动目录用户使用已来标识，二者都需要用户在登录时输入。活动目录用户使用已经验证和授权访问域资源的身份登录到计算机和域。而且，用户账户也可作经验证和授权访问域资源的身份登录到计算机和域。而且，用户账户也可作为某些应用程序的服务账户。为某些应用程序的服务账户。 每个加入域的每个加入域的Windows 2000和和Windows NT计算机都具有计算机账户，计算机都具有计算机账户，否则无法进行域连接，实现域资源的访问。与用户账户类似，计算机账户也否则无法进行域连接，实现域资源的访问。与用户账户类似，计算机账户也提供验证和审核计算机机登录到网络以及访问域资源的方法。不过，一个计提供验证和审核计算机机登录到网络以及访问域资源的方法。不过，一个计算机系统要加入到域中，只能使用一个计算机账户，而一个用户可拥有多个算机系统要加入到域中，只能使用一个计算机账户，而一个用户可拥有多个账户，且可在不同计算机账户，且可在不同计算机(通常指已经连接到域中的计算机通常指已经连接到域中的计算机)上使用自己的账上使用自己的账户进行网络登录。户进行网络登录。返回5.3.2 创建域用户创建域用户 当有新的用户需使用网络上的资源时，作为管理员的用户必须在当有新的用户需使用网络上的资源时，作为管理员的用户必须在域控制器中为其添加一个相应的账户，否则该用户无法访问域中的资域控制器中为其添加一个相应的账户，否则该用户无法访问域中的资源。另一方面，当有新的客户计算机要加入到域中时，作为管理员的源。另一方面，当有新的客户计算机要加入到域中时，作为管理员的用户必须在域控制器中为其创建一个计算机账户，以便它有资格成为用户必须在域控制器中为其创建一个计算机账户，以便它有资格成为域成员。计算机账户的创建非常简单，这里不再细述，下面只着重介域成员。计算机账户的创建非常简单，这里不再细述，下面只着重介绍域用户账户的创建过程。绍域用户账户的创建过程。返回5.3.3 删除域用户删除域用户 当系统中的某一个用户账户不再被使用或者作为管理员的用户不当系统中的某一个用户账户不再被使用或者作为管理员的用户不再希望某个用户账户存在于域中，可将该用户账户删除。另外，在网再希望某个用户账户存在于域中，可将该用户账户删除。另外，在网络的使用中，当域中的某个计算机断开了与网络的连接，或者管理员络的使用中，当域中的某个计算机断开了与网络的连接，或者管理员不再希望某个计算机存在于域中，可将该计算机的计算机账户从域控不再希望某个计算机存在于域中，可将该计算机的计算机账户从域控制器中删除，以防其他计算机假借原来的计算机使用域中的网络资源。制器中删除，以防其他计算机假借原来的计算机使用域中的网络资源。 要删除一个用户和计算机账户，在【要删除一个用户和计算机账户，在【Active Divectory 用户和计算用户和计算机】窗口的控制台目录树中，展开域节点。单击要删除的用户或者计机】窗口的控制台目录树中，展开域节点。单击要删除的用户或者计算机所在的组织单元或容器，例如算机所在的组织单元或容器，例如Users，使详细资料窗口中列出组织，使详细资料窗口中列出组织单元或容器的内容。然后在详细资料窗口中右击要删除的用户或者计单元或容器的内容。然后在详细资料窗口中右击要删除的用户或者计算机，从弹出的快捷菜单中选择【删除】命令，出现信息确认框后，算机，从弹出的快捷菜单中选择【删除】命令，出现信息确认框后，单击【是】按钮即可将该用户或者计算机删除。单击【是】按钮即可将该用户或者计算机删除。如图如图5.9所示。所示。返回图图5.9 删除域用户删除域用户返回5.3.4 停用域用户停用域用户 停用账户的目的是防止其他用户或者计算机使用暂时不使用的账停用账户的目的是防止其他用户或者计算机使用暂时不使用的账户进行域登录。账户被停用之后，当该用户或者计算机需要重新使用户进行域登录。账户被停用之后，当该用户或者计算机需要重新使用已被停用的账户时，系统管理员要重新启用该账户以便用户或计算机已被停用的账户时，系统管理员要重新启用该账户以便用户或计算机使用。使用。 停用用户账户，在【停用用户账户，在【Active Divectory 用户和计算机】窗口的控制用户和计算机】窗口的控制台目录树中，展开域节点。单击要停用的用户账户或者计算机所在的台目录树中，展开域节点。单击要停用的用户账户或者计算机所在的组织单元或容器，使详细资料窗口中列出该组织单元或容器的内容。组织单元或容器，使详细资料窗口中列出该组织单元或容器的内容。然后在详细资料窗口中，右击要停用的用户或者计算机账户，从弹出然后在详细资料窗口中，右击要停用的用户或者计算机账户，从弹出的快捷菜单中选择【停用账户】命令，出现信息确认框后，单击【是的快捷菜单中选择【停用账户】命令，出现信息确认框后，单击【是】按钮即可停用被选用户或者计算机账户。如】按钮即可停用被选用户或者计算机账户。如图图5.10所示。所示。返回图图5.10 停用账户停用账户返回5.3.5 移动域用户移动域用户 在一个大型网络中，为了便于管理，系统管理员经常需要将用户和计在一个大型网络中，为了便于管理，系统管理员经常需要将用户和计算机账户移动到新的组织单元或容器中。例如，公司一个职员从销售部调算机账户移动到新的组织单元或容器中。例如，公司一个职员从销售部调到工程部，则应将其账户从销售部的组织单元中移动到工程部所在的组织到工程部，则应将其账户从销售部的组织单元中移动到工程部所在的组织单元中。账户被移动之后，用户和计算机仍可使用原有账户进行网络登录，单元中。账户被移动之后，用户和计算机仍可使用原有账户进行网络登录，不需要重新创建。不过，用户和计算机账户的管理人和组策略将随着组织不需要重新创建。不过，用户和计算机账户的管理人和组策略将随着组织单元的改变而改变。单元的改变而改变。 要移动用户和计算机账户，在要移动用户和计算机账户，在Active Divectory 用户和计算机窗口的用户和计算机窗口的控制台目录树中，展开域节点。单击要移动用户或者计算机账户所在的组控制台目录树中，展开域节点。单击要移动用户或者计算机账户所在的组织单元或容器，使详细资料窗口中列出相应的内容，右击要移动的用户账织单元或容器，使详细资料窗口中列出相应的内容，右击要移动的用户账户，从弹出的快捷菜单中选择【移动】命令，打开移动对话框，在【将对户，从弹出的快捷菜单中选择【移动】命令，打开移动对话框，在【将对象移动到容器】文本框中双击域节点，展开该节点，如象移动到容器】文本框中双击域节点，展开该节点，如图图5.11所示。单击所示。单击移动的目标组织单元，然后单击【确定】按钮即可完成移动。移动的目标组织单元，然后单击【确定】按钮即可完成移动。返回图图5.11 移动域用户移动域用户返回5.3.6 重设域用户密码重设域用户密码 (1) 在【在【Active Divectory 用户和计算机】窗口的控制台目录树中，用户和计算机】窗口的控制台目录树中，展开域节点。然后单击包含要重新设置密码的用户的组织单元或容器，展开域节点。然后单击包含要重新设置密码的用户的组织单元或容器，使详细资料窗口中列出相应的内容。使详细资料窗口中列出相应的内容。 (2) 在详细资料窗口中，右击要重新设置密码的用户账户，从弹出在详细资料窗口中，右击要重新设置密码的用户账户，从弹出的快捷菜单中选择【重设密码】命令，打开如的快捷菜单中选择【重设密码】命令，打开如图图5.12所示的【重设密码所示的【重设密码】对话框，在【新密码】和【确认密码】文本框中输入要设置的新密】对话框，在【新密码】和【确认密码】文本框中输入要设置的新密码。如果允许用户更改密码，可启用【用户下次登录时须更改密码】码。如果允许用户更改密码，可启用【用户下次登录时须更改密码】复选框。复选框。 (3) 单击【确定】按钮保存设置。单击【确定】按钮保存设置。 (4) 在弹出的确认信息框，单击【确定】按钮可完成设置。在弹出的确认信息框，单击【确定】按钮可完成设置。返回图图5.12 重设域用户密码重设域用户密码返回5.4 使用用户配置文件管理用户登录环境使用用户配置文件管理用户登录环境 用户配置文件概述用户配置文件概述 使用本地用户配置文件使用本地用户配置文件 使用漫游用户配置文件使用漫游用户配置文件5.4.1 用户配置文件概述用户配置文件概述 在运行在运行 Windows 2000 的计算机上，通过用户配置文件这种机制来的计算机上，通过用户配置文件这种机制来自动创建和维护本地计算机上每个用户工作环境的桌面设置，以使系自动创建和维护本地计算机上每个用户工作环境的桌面设置，以使系统每次重新启动后，总会恢复到关机前的桌面状态。用户配置文件定统每次重新启动后，总会恢复到关机前的桌面状态。用户配置文件定义用户的桌面环境，包括个人显示设置、网络和打印机连接，以及其义用户的桌面环境，包括个人显示设置、网络和打印机连接，以及其他指定的设置。用户或者用户的系统管理员可以定义桌面环境。当用他指定的设置。用户或者用户的系统管理员可以定义桌面环境。当用户第一次登录到计算机的时候，系统为每个用户创建一个用户配置文户第一次登录到计算机的时候，系统为每个用户创建一个用户配置文件。件。 用户配置文件为用户提供了多种便利。用户配置文件为用户提供了多种便利。返回5.4.2 使用本地用户配置文件使用本地用户配置文件 对于全新安装对于全新安装Windows 2000 Server 的用户的用户 ，本地用户配置文件，本地用户配置文件将保存在系统所在磁盘分区的将保存在系统所在磁盘分区的Documents and Settings 文件夹中的用户文件夹中的用户名下面。对于从名下面。对于从WINNT升级至升级至Windows 2000 Server 的升级安装的用的升级安装的用户，本地用户配置文件保存在户，本地用户配置文件保存在 WINNTprofiles 文件夹中的用户名下文件夹中的用户名下面。如果在服务器上用户没有预先配置漫游用户配置文件，则该用户面。如果在服务器上用户没有预先配置漫游用户配置文件，则该用户第一次登录到计算机时，系统会在该用户名称下创建一个用户配置文第一次登录到计算机时，系统会在该用户名称下创建一个用户配置文件夹。然后默认用户中的内容将复制到新用户配置文件夹中。用户配件夹。然后默认用户中的内容将复制到新用户配置文件夹中。用户配置文件，与置文件，与“所有用户所有用户”文件夹中的公用程序组设置一起创建用户的文件夹中的公用程序组设置一起创建用户的桌面。当用户注销时，在会话期间对默认设置做的所有更改都会保存桌面。当用户注销时，在会话期间对默认设置做的所有更改都会保存到新的用户配置文件夹中。到新的用户配置文件夹中。“默认用户默认用户”中的用户配置文件保持不变。中的用户配置文件保持不变。返回5.4.3 使用漫游用户配置文件使用漫游用户配置文件 从从Active Directory 中，可以为漫游用户配置文件指派服务器位置。中，可以为漫游用户配置文件指派服务器位置。如果在用户的域账户中输入了用户配置文件的路径，那么当用户注销如果在用户的域账户中输入了用户配置文件的路径，那么当用户注销时，该用户本地用户配置文件的副本将保存到本地的用户配置文件路时，该用户本地用户配置文件的副本将保存到本地的用户配置文件路径位置。用户下次登录时，用户配置文件路径位置中的用户配置文件，径位置。用户下次登录时，用户配置文件路径位置中的用户配置文件，将与本地用户配置文件夹中的副本进行比较，然后打开最新的用户配将与本地用户配置文件夹中的副本进行比较，然后打开最新的用户配置文件副本。如果服务器不能使用，就使用本地缓存的漫游用户配置置文件副本。如果服务器不能使用，就使用本地缓存的漫游用户配置文件的副本。不论用户在什么地方登录，都可以使用自己的用户设置文件的副本。不论用户在什么地方登录，都可以使用自己的用户设置和文档。和文档。返回5.5 上上 机机 指指 导导目的：掌握目的：掌握Windows 2000域控制器中用户与计算机账户的设置和使用。域控制器中用户与计算机账户的设置和使用。环境：运行环境：运行Windows 2000 server/或或Windows Professional 的计算机各一台，的计算机各一台，且位于同一局域网中，其中运行且位于同一局域网中，其中运行Windows 2000 server 的机器设置成主域服的机器设置成主域服务器。注意将两台机器的务器。注意将两台机器的IP地址配置在同一网段，保证网络连通。地址配置在同一网段，保证网络连通。5.5.1 设置用户账户设置用户账户 以系统管理员身份登录到以系统管理员身份登录到Windows 2000 server。5.5.2 设置计算机账户设置计算机账户 加入到域中且运行加入到域中且运行Windows 2000的每一台计算机均要具有计算机账户。的每一台计算机均要具有计算机账户。5.5.3 使用用户和计算机账户使用用户和计算机账户 在另外一台安装了在另外一台安装了Windows 2000 Professional的机器上进行以下操作。的机器上进行以下操作。