第第3章章ActiveDiretory集中管理集中管理l l介绍用户和组介绍用户和组l l用户登录名用户登录名l l创建多个用户账户创建多个用户账户l l管理用户账户管理用户账户l l在在ActiveDirectory中使用组中使用组l l在域中使用组的策略在域中使用组的策略l l域用户账户和组错误诊断域用户账户和组错误诊断l l最佳实践最佳实践3.1介绍用户和组介绍用户和组l l为每个用户创建一个惟一的账户，提供用户登录为每个用户创建一个惟一的账户，提供用户登录为每个用户创建一个惟一的账户，提供用户登录为每个用户创建一个惟一的账户，提供用户登录和使用网络的能力和使用网络的能力和使用网络的能力和使用网络的能力 l l使用脚本文件成批创建用户使用脚本文件成批创建用户使用脚本文件成批创建用户使用脚本文件成批创建用户 l l组将用户集合起来，用于管理和共同资源的授权组将用户集合起来，用于管理和共同资源的授权组将用户集合起来，用于管理和共同资源的授权组将用户集合起来，用于管理和共同资源的授权 l l使用组的嵌套来简化管理使用组的嵌套来简化管理使用组的嵌套来简化管理使用组的嵌套来简化管理用户用户用户用户共享资源共享资源共享资源共享资源权限权限组组组组3.2用户登录名用户登录名l l用户登录名介绍用户登录名介绍l l创建用户主要名称后缀创建用户主要名称后缀用户登录名介绍用户登录名介绍l l在在Windows2003网络中用户可以使用网络中用户可以使用“用户主要名称用户主要名称”或或“用户登录名用户登录名”登录网登录网络络用户登录名介绍（续）用户登录名介绍（续）l l由两部分组成由两部分组成前缀前缀如：如：suzanf后缀后缀如：如：contoso.msft完整就是：完整就是：suzanfcontoso.msft后缀默认是根域的域名后缀默认是根域的域名l l用户首选名字的优点用户首选名字的优点当当你你将将一一个个用用户户移移动动到到另另一一个个域域时时，无无需需改改动动它它的的登登录录方方式式，因因为为用用户户首首选选名名在在AD中惟一可以与用户的电子邮件一致中惟一可以与用户的电子邮件一致后缀后缀前缀前缀suzanfcontoso.msft用户登录名介绍（续）用户登录名介绍（续）用户登录名字（兼容早期系统）用户登录名字（兼容早期系统）l l提供使用早期客户系统的用户使用，该名提供使用早期客户系统的用户使用，该名字就是用户的账户，如同用户首选名字中字就是用户的账户，如同用户首选名字中的前缀的前缀l l注意：用户登录名和用户登录主名前缀这注意：用户登录名和用户登录主名前缀这两者可以不同两者可以不同+用户用户域域contososuzanf用户登录名介绍（续）用户登录名介绍（续）用户登录名字的惟一准则用户登录名字的惟一准则l l树林中用户主名惟一树林中用户主名惟一l l在域中，用户登录名惟一在域中，用户登录名惟一l l在账户所在的容器中，账户的完全名在账户所在的容器中，账户的完全名( (Full Name) Full Name) 应当惟一应当惟一创建用户主要名称后缀创建用户主要名称后缀l l当我们的用户主名后缀和根域的域名有当我们的用户主名后缀和根域的域名有出入的情况下，我们可能就需要添加用出入的情况下，我们可能就需要添加用户主名后缀户主名后缀添加新的后缀添加新的后缀3.3创建多个用户账户创建多个用户账户l l批量导入用户账户批量导入用户账户l l使用使用 CSVDE CSVDE 创建多个用户账户创建多个用户账户l l使用使用 LDIFDE LDIFDE 创建多个用户账户创建多个用户账户3.3.1 3.3.1 批量导入用户账户批量导入用户账户l l通通过过批批量量导导入入操操作作，你你可可以以在在 Windows2003AD中中一一次次性性创创建建多多个个用用户户账账户户。这这个个过过程程中中要要使使用用到到一一个个包包含含你你要要创创建建的的用用户户账账户户所所有有信信息息的的文文本本文文件件，这这个个文文件件可可以以使用数据库程序或使用数据库程序或 Excel和和 Word制作制作ActiveDirectory文本文件文本文件 suzanf judyl用户信息用户信息3.3.2使用使用CSVDE创建多个用户账户创建多个用户账户l lCSVCSV（CommaSeparatedvaluesCommaSeparatedvalues）是一种用来存）是一种用来存）是一种用来存）是一种用来存储数据的纯文本文件格式，常用于电子表格或数据储数据的纯文本文件格式，常用于电子表格或数据储数据的纯文本文件格式，常用于电子表格或数据储数据的纯文本文件格式，常用于电子表格或数据库软件。库软件。库软件。库软件。l l规则：规则：规则：规则：1 1、开头是不留空，以行为单位。、开头是不留空，以行为单位。、开头是不留空，以行为单位。、开头是不留空，以行为单位。2 2、可含或不含列名，含列名则居文件第一行。、可含或不含列名，含列名则居文件第一行。、可含或不含列名，含列名则居文件第一行。、可含或不含列名，含列名则居文件第一行。3 3、 一行数据不垮行，无空行。一行数据不垮行，无空行。一行数据不垮行，无空行。一行数据不垮行，无空行。4 4、 以半角以半角以半角以半角“ “，” ”作分隔符，列为空也要表达其存在。作分隔符，列为空也要表达其存在。作分隔符，列为空也要表达其存在。作分隔符，列为空也要表达其存在。5 5、列内容如存在，则用、列内容如存在，则用、列内容如存在，则用、列内容如存在，则用“”“”包含起来。包含起来。包含起来。包含起来。6 6、列内容如存在、列内容如存在、列内容如存在、列内容如存在“”“”则用则用则用则用“”“”“”“”包含。包含。包含。包含。7 7、文件读写时引号，逗号操作规则互逆。、文件读写时引号，逗号操作规则互逆。、文件读写时引号，逗号操作规则互逆。、文件读写时引号，逗号操作规则互逆。8 8、内码格式不限，可为、内码格式不限，可为、内码格式不限，可为、内码格式不限，可为ASCIIASCII、UnicodeUnicode或者其他。或者其他。或者其他。或者其他。使用使用CSVDE创建多个用户账户创建多个用户账户DN=全名全名+路径路径显示名称显示名称用户主名用户主名用户登录名用户登录名对象类型对象类型格式举例格式举例格式举例格式举例第一行为属性行：第一行为属性行：DN,objectClass,samAccountName,userPrincipalName,displayName,userAccountControl第二行开始是用户值：第二行开始是用户值：cn=Suzan Fine,ou=Human Resources,dc=asia,dc=contoso,dc=msft,user,suzanf,suzanfcontoso.msft,Suzan Fine,512Csvde.exe 是一个 Windows 2000 命令行实用程序，安装 Windows 2000 之后，它位于 SystemRootSystem32 文件夹中。Csvde.exe 与 Ldifde.exe 类似，但它以逗号分隔值 (CSV) 格式提取信息。可以使用 Csvde 导入和导出使用逗号分隔值格式的 Active Directory 数据。使用电子表格程序（如 Microsoft Excel）可打开此 .csv 文件，查看标题信息和值信息。csvde-i-fc:filename.csv使用使用 CSVDE创建多个用户账户（续）创建多个用户账户（续）l lCSVDE脚本的输入脚本的输入CSVDEIFFILENAMEI标明输入状态标明输入状态F标明文件标明文件l lCSVDE脚本的输出脚本的输出CSVDEFFILENAMEF标明文件标明文件3.3.3 3.3.3 使用使用 LDIFDE创建多个用户账户创建多个用户账户DN=全名全名+路径路径对象类型对象类型显示名称显示名称用户主名用户主名用户登录名用户登录名格式举例格式举例格式举例格式举例DN:CN=Suzan Fine,OU=Human Resources,DC=asia,DC=contoso,DC=msftobjectClass: usersamAccountName: suzanf userPrincipalName: suzanfcontoso.msftdisplayName: Suzan FineuserAccountControl: 512l lLDIFDE脚本输入脚本输入LDIFDEIFFILENAME使用使用 LDIFDE创建多个用户账户创建多个用户账户（续）（续）l lLDIFDE脚本输出脚本输出LDIFDEFFILENAME3.4管理用户账户管理用户账户l l执行常规的管理任务执行常规的管理任务l l定位用户账户定位用户账户执行常规的管理任务执行常规的管理任务账户被锁定 定位用户账户定位用户账户R RemoveemoveDescription挑选属性挑选属性指定查找范围指定查找范围指定特定属性的值指定特定属性的值设置条件设置条件3.5在在ActiveDirectory中使用组中使用组l l介绍介绍ActiveDirectory中的组中的组l l使用全局组使用全局组l l使用域本地组使用域本地组l l使用通用组使用通用组介绍介绍ActiveDirectory中的组中的组l l组通常用于组织用户账户进行统一的授权组通常用于组织用户账户进行统一的授权n在在AD中有两种组：安全中有两种组：安全组和分布组组和分布组n一个用户可以同时属于多个组一个用户可以同时属于多个组n在在AD中，将一个组加入另一个组称为中，将一个组加入另一个组称为“嵌套嵌套”使用全局组使用全局组使用全局组规则使用全局组规则作为其他组作为其他组作为其他组作为其他组成员成员成员成员成员组成成员组成成员组成成员组成作用域作用域作用域作用域 授予权限授予权限授予权限授予权限 l混合模式：混合模式：来自本域的用户l本机模式：本机模式：本域用户和本域全局组 l混合模式混合模式：域本地组l本机模式本机模式：任何域的本地和通用组、本域的全局组 l访问本域和信任域 l树林中的所有域 添加添加添加添加全局组全局组使用域本地组使用域本地组使用域本地组规则使用域本地组规则其他组成员其他组成员其他组成员其他组成员成员组成成员组成成员组成成员组成作用域作用域作用域作用域授予权限授予权限授予权限授予权限l混合模式：混合模式：任何域用户和全局组l本机模式：本机模式：任何域用户和全局组、通用组、本域的本地组 l混合模式：混合模式：无 l本机模式本机模式：本域的本地组 l只能访问本域 l只能在本域授权 添加添加添加添加全局组全局组域域DLG域本地组域本地组使用通用组使用通用组其他组成员其他组成员其他组成员其他组成员使用通用组规则使用通用组规则成员身份成员身份成员身份成员身份l混合模式混合模式：无l本机模式本机模式：树林中任何域用户和全局组、通用组 l混合模式混合模式：无l本机模式本机模式：树林中任何域的本地和通用组 作用域作用域作用域作用域l访问树林中的所有域 授予权限授予权限授予权限授予权限l 树林中的所有域 从多个域从多个域添加添加全局组全局组通用组通用组在域中使用组的策略在域中使用组的策略l l使用全局和域本地组使用全局和域本地组l l课堂讨论课堂讨论在单域中使用组在单域中使用组使用全局和域本地组使用全局和域本地组l l使用本地组和全局组的策略使用本地组和全局组的策略使用本地组和全局组的策略使用本地组和全局组的策略 ：A-G-G-DL-PA-G-G-DL-P原则原则原则原则 用户账户用户账户全局组全局组全局组全局组域本地组域本地组权限权限A AGGDLDLP PGGDLG添加域用户账户到全局组中添加域用户账户到全局组中（可选）添加全局组到另一个全局组中（可选）添加全局组到另一个全局组中添加全局组到域本地组中添加全局组到域本地组中为域本地组分配资源权限为域本地组分配资源权限3.6设置和管理发布打印机设置和管理发布打印机l l介绍打印机发布介绍打印机发布l l管理打印机发布管理打印机发布l l在运行非在运行非 Windows2003的计算机中发布的计算机中发布打印机打印机l l管理发布的打印机管理发布的打印机3.6.1介绍打印机发布介绍打印机发布下面是发布打印机的默认行为下面是发布打印机的默认行为下面是发布打印机的默认行为下面是发布打印机的默认行为 l l在域中的在域中的 Windows 2003Windows 2003计算机共享的计算机共享的的打印机的打印机会在会在 ADAD 中自动发布中自动发布l l如果删除打印机服务器，那么发布的打印机对象如果删除打印机服务器，那么发布的打印机对象会自动删除会自动删除 l l每台打印服务器只负责自己的打印机的发布每台打印服务器只负责自己的打印机的发布 l l在配置和修改打印机的属性时，在配置和修改打印机的属性时， Windows 2003Windows 2003 将自动更新在将自动更新在ADAD 发布的打印机对象的属性发布的打印机对象的属性发布发布发布发布 打印机3.6.2管理打印机发布管理打印机发布l l在在AD中查看发布的打印机对象中查看发布的打印机对象l l控制打印机的发布控制打印机的发布l l管理离线（不可用）的打印机管理离线（不可用）的打印机管理打印机发布（续）管理打印机发布（续）l l在在AD中查看发布的打印机对象中查看发布的打印机对象l l控制打印机的发布控制打印机的发布不自动发布打开打印机的共享属性去掉“在目录中列出”通过组策略实现管理打印机发布（续）管理打印机发布（续）l l管理离线（不可用）打印机管理离线（不可用）打印机 ActiveDirectoryActiveDirectory通过通过通过通过在在在在 DCDC上运行的上运行的上运行的上运行的“ “ORPHANPRUNERORPHANPRUNER”的进程的进程的进程的进程 ，删除离线的打，删除离线的打，删除离线的打，删除离线的打印机印机印机印机 周期性的（每周期性的（每周期性的（每周期性的（每8 8小时）小时）小时）小时） “ “ORPHANPRUNERORPHANPRUNER”进进进进程验证打印服务器的可用性，以决定是否继续程验证打印服务器的可用性，以决定是否继续程验证打印服务器的可用性，以决定是否继续程验证打印服务器的可用性，以决定是否继续发布打印队列发布打印队列发布打印队列发布打印队列管理打印机发布（续）管理打印机发布（续）发布发布发布发布 打印机在运行非在运行非Windows2003的计算机中的计算机中发布打印机发布打印机l l方法一方法一在你要发布打印机的容器下，按右键，在弹出的菜单中选择“新建” “打印机”填入连接到打印服务器的 UNCl l方法二方法二使用使用PUBPRN.VBS脚本，用命令行发布打印脚本，用命令行发布打印机机在运行非在运行非Windows2003的计算机中的计算机中发布打印机（续）发布打印机（续）CSCRIPTPUBPRN.VBSPNT1“LDAP:/OU=SALES,DC=ABC,DC=COM”n举例举例3.7.4管理发布的打印机管理发布的打印机ActiveDirectory用户和计算机用户和计算机控制台 窗口 帮助操作 查看Active Directory Users and DENVER2154 1 objects名称Type树DenverDOM2154.msftAccountingBuiltinComputersDomain ControllersDENVER2154Users将当前选择移动到另一个组织单位。PrinterDENVER2154 Apple Printer移动连接打开任务删除重命名刷新帮助属性属性安装打印机到计算机安装打印机到计算机改变打印队列属性改变打印队列属性在一个域中移动打在一个域中移动打印机印机打开和管理打印队列打开和管理打印队列实现打印机定位实现打印机定位l l打印机定位打印机定位l l打印机定位要求打印机定位要求l l定义位置名字定义位置名字l l配置打印机定位配置打印机定位打印机定位打印机定位l l打打印印机机定定位位帮帮助助用用户户快快速速连连接接到到离离自自己己物物理理位置最近的一台打印机位置最近的一台打印机名称位置型号PRIV0080PRIV0039PRIV0118CORP0071CORP0032CORP0099CORP0026CORP0051USA/Seattle/Building 1/Near 1119 USA/Seattle/Building 1/Near 2005USA/Seattle/Building 1/Near 1134USA/Seattle/Building 1/Near COPY ROOMUSA/Seattle/Building 1/Near 1280USA/Seattle/Building 1/Near 1218USA/Seattle/Building 1/Near 1218USA/Seattle/Building 1/Near 1182HP ColorHP LaserHP Laser HP Laser HP LaserHP ColorHP LaserHP Laser3 31 12 2打印机定位（续）打印机定位（续）实现过程实现过程l lAD 搜索与用户计算机所处的 IP 子网相应的子网对象l lAD 使用搜索出来的子网对象的值来定位具有相同值的打印机 l l将满足条件的打印机列出打印机定位要求打印机定位要求l lActiveDirectory 网络至少配置了一个站网络至少配置了一个站点中有两个以上的点中有两个以上的 IP子网子网l lIP子网的分布应当与网络的物理位置一致子网的分布应当与网络的物理位置一致l l在站点中的在站点中的 IP子网对象上有一个位置属性，子网对象上有一个位置属性，它的值将在它的值将在 AD搜索中起作用搜索中起作用l l客户计算机要能够访问到客户计算机要能够访问到 ActiveDirectory定义位置名字定义位置名字l l应当根据网络的物理位置来命名位置信息应当根据网络的物理位置来命名位置信息l l用一定的格式来设置你的用一定的格式来设置你的 IP子网的位置子网的位置值值l l在打印机位置信息中输入相同的位置信息在打印机位置信息中输入相同的位置信息 格式格式NAME/NAME/NAME配置打印机定位配置打印机定位l l使用组策略允许打印机位置追踪使用组策略允许打印机位置追踪l l创建创建AD中的子网对象中的子网对象l l设置子网对象的位置属性设置子网对象的位置属性l l设置打印机对象的位置属性设置打印机对象的位置属性3.7设置和管理发布共享目录设置和管理发布共享目录l l发布共享目录的优点发布共享目录的优点 使得用户在连接共享目录时，无需再记住共享目录的物理位置（UNC），方便用户操作发布发布发布发布共享目录服务器服务器1ActiveDirectory发布到发布到发布到发布到ActiveActiveDirectoryDirectory共享目录共享目录l l发布一个共享发布一个共享文件夹文件夹l l添加描述和关添加描述和关键字，以方键字，以方便用户查找便用户查找l l需要时将发布需要时将发布的共享目录的共享目录移动到其他移动到其他ActiveDirectory容容器中器中设置和管理发布共享目录（续）设置和管理发布共享目录（续）发布并连接到共享打印机发布并连接到共享打印机发布并连接到共享目录发布并连接到共享目录5分钟分钟实验实验在在ActiveDirectory中发布资源中发布资源最佳实践最佳实践发布最常用的文件夹和打印机发布最常用的文件夹和打印机使用简单易识别的打印机定位名称使用简单易识别的打印机定位名称使用容易识别的描述和关键字使用容易识别的描述和关键字将发布的打印机和文件夹放置在包含用户账户的将发布的打印机和文件夹放置在包含用户账户的OU中中在发布的资源上设置在发布的资源上设置DACL以限制访问权限以限制访问权限UseDACLsonPublishedResourcestoLimitAccess在发布的对象上针对用户和组设置只读的权限在发布的对象上针对用户和组设置只读的权限回顾回顾学习完本部分后，将能够：学习完本部分后，将能够：n描述在描述在ActiveDirectory上公布资源的用途上公布资源的用途n在在ActiveDirectory中设置和管理公布的打印机中设置和管理公布的打印机n设置公布的打印机的位置设置公布的打印机的位置n在在ActiveDirectory中设置和管理公布的共享文件夹中设置和管理公布的共享文件夹n区分区分ActiveDirectory上公布的对象和实际共享资源上公布的对象和实际共享资源之间的差别之间的差别n解决在解决在ActiveDirectory上公布资源的常见问题上公布资源的常见问题n应用最佳操作在应用最佳操作在ActiveDirectory上公布资源上公布资源