1、第六章 用戶和組管理 本章介紹的是Windows Server 2003 R2版本系統(tǒng)的本地、域用戶/組賬戶的相關(guān)知識(shí)和管理方法，其中主要包括本地和域用戶/組賬戶類別，域用戶和組賬戶的添加、復(fù)制、重命名、刪除和屬性配置等 。 本章重點(diǎn)：uWindows Server 2003本地組的默認(rèn)安全設(shè)置uWindows Server 2003默認(rèn)域用戶賬戶類型及安全設(shè)置uWindows Server 2003默認(rèn)域組賬戶類型及用戶權(quán)利u域賬戶的屬性配置u域用戶賬戶的基本管理u域組賬戶的基本管理 第第1課時(shí)主講內(nèi)容課時(shí)主講內(nèi)容u默認(rèn)本地用戶和組賬戶 u本地組的默認(rèn)安全設(shè)置 uActive Directo

2、ry命名方法 u域組的分類 u組作用域 u“Active Directory用戶和計(jì)算機(jī)”管理單元基本結(jié)構(gòu) u組織單位（OU）及其作用 6.1 Windows Server 2003本地用戶和組 6.1.1 本地用戶和組賬戶 “本地用戶和組”位于“計(jì)算機(jī)管理”工具（在【控制面板】的【管理工具】下）中，如右圖所示。這是自Windows 2000系統(tǒng)后開發(fā)的用戶、計(jì)算機(jī)和組賬戶管理工具，可以利用這一組管理工具來管理單個(gè)本地或遠(yuǎn)程計(jì)算機(jī)；也可以使用“本地用戶和組”保護(hù)并管理存儲(chǔ)在本地計(jì)算機(jī)上的用戶賬戶和組；還可以在特定計(jì)算機(jī)或本地計(jì)算機(jī)上指派本地用戶或組賬戶的權(quán)限和權(quán)利。 1本地用戶和組賬戶概述 下

3、列客戶端和服務(wù)器操作系統(tǒng)上可以使用“本地用戶和組”：u 運(yùn)行Windows 2000/XP Professional系統(tǒng)的客戶端計(jì)算機(jī)。u 運(yùn)行Windows 2000 Server/Server 2003家族系統(tǒng)的成員服務(wù)器。u 運(yùn)行Windows 2000 Server/ Server 2003家族系統(tǒng)產(chǎn)品的獨(dú)立服務(wù)器。2默認(rèn)本地用戶賬戶 在安裝運(yùn)行Windows Server 2003的獨(dú)立服務(wù)器或成員服務(wù)器時(shí)，會(huì)自動(dòng)創(chuàng)建上面圖中所示的默認(rèn)用戶賬戶。Windows Server 2003服務(wù)器上的所有默認(rèn)的本地用戶賬戶如書中表2-1所示。2默認(rèn)本地用戶賬戶 在安裝運(yùn)行Windows Se

4、rver 2003的獨(dú)立服務(wù)器或成員服務(wù)器時(shí)，會(huì)自動(dòng)創(chuàng)建這些默認(rèn)用戶賬戶。Windows Server 2003服務(wù)器上的所有默認(rèn)的本地用戶賬戶如表6-1所示。3默認(rèn)本地組賬戶 Windows Server 2003系統(tǒng)中默認(rèn)本地組的描述及為每個(gè)組指派的用戶權(quán)利如書中表6-2所示。 6.1.2 本地組的默認(rèn)安全設(shè)置 在Windows Server 2003系統(tǒng)中，本地組主要包括了Administrators、Power Users和Users這三種基本的安全級別，新建用戶基本上都是通過這三個(gè)組中的成員身份分配到最終權(quán)利和權(quán)限的。當(dāng)然除此之外，還包括Anonymous和其他組。 1Adminis

5、trators（系統(tǒng)管理員組） Administrators組可以執(zhí)行計(jì)算機(jī)的維護(hù)任務(wù)。分配給該組的默認(rèn)權(quán)限允許對整個(gè)本地計(jì)算機(jī)系統(tǒng)進(jìn)行完全控制，所以只有受信任的人員才可成為該組的成員?？梢赃@么理解，這個(gè)組的成員的權(quán)限是不受限制的。2Power Users（超級用戶組） Power Users組的成員擁有的權(quán)限比Users組的成員所擁有的要多，但比Administrators組的成員所擁有的要少。 Power Users可以執(zhí)行除了為Administrators組保留的任務(wù)外（如把用戶或組添加到Administrators組中，查看和編輯組策略，查看和修改安全策略等那些將影響整個(gè)計(jì)算機(jī)系統(tǒng)環(huán)境

6、和安全的任務(wù)）的其他任何操作系統(tǒng)任務(wù)。分配給Power Users組的默認(rèn)權(quán)限允許Power Users組的成員修改整個(gè)計(jì)算機(jī)的設(shè)置。3Users（普通用戶組） Users組是最安全的組，因?yàn)榉峙浣o該組的默認(rèn)權(quán)限不允許成員修改操作系統(tǒng)的設(shè)置或用戶資料4Anonymous（匿名登錄）組 對Windows XP Professional和Windows Server 2003家族而言，Anonymous組不再是Everyone組的成員，所以要允許匿名用戶具有某項(xiàng)權(quán)限，就必須手動(dòng)添加，明確分配。 5其他組 除了以上介紹的默認(rèn)本地組之外，還有一些默認(rèn)組是不常用的，而且有些也只是在特定的應(yīng)用和環(huán)境下才出

7、現(xiàn)的，它們包括：u 交互（Interactive）組u 網(wǎng)絡(luò)（Network）組u 終端服務(wù)器用戶（Terminal Server User）組u Backup Operators組本節(jié)具體內(nèi)容參見書中介紹。6.2 域用戶和組 6.2.1 Active Directory命名方法 可以按DomainNameUserName格式使用Windows 2000以前版本的域名從運(yùn)行Windows 2000以前版本的操作系統(tǒng)的計(jì)算機(jī)上登錄到Windows Server 2003域。也可以使用同樣的格式從運(yùn)行Windows 2000和Windows XP的計(jì)算機(jī)或運(yùn)行Windows Server 2003

8、的服務(wù)器登錄到Windows Server 2003域。用戶還可以使用與其用戶賬戶相關(guān)的用戶主體名稱（UPN）登錄到運(yùn)行Windows 2000和Windows XP的計(jì)算機(jī)或運(yùn)行Windows Server 2003的服務(wù)器。 用戶主體名稱（UPN）用來標(biāo)識(shí)用戶賬戶所在域的用戶賬戶名稱（有時(shí)指用戶登錄名稱）和域名。這是登錄到Windows域的標(biāo)準(zhǔn)用法。 格式如下：用戶賬戶名域名。1用戶賬戶 在Active Directory中，每個(gè)用戶賬戶都有一個(gè)用戶登錄名、一個(gè)Windows 2000以前版本的用戶登錄名（安全賬戶管理器SAM的賬戶名）和一個(gè)UPN后綴。在創(chuàng)建用戶賬戶時(shí)，管理員輸入用戶登錄

9、名，并選擇UPN后綴。Active Directory建議Windows 2000以前版本的用戶登錄名使用此用戶登錄名的前20個(gè)字節(jié)。管理員可以隨時(shí)更改Windows 2000以前版本的登錄名，也就是說這個(gè)登錄名可以與Active Directory中的用戶登錄名不一樣。 2計(jì)算機(jī)賬戶 在Active Directory中創(chuàng)建的每個(gè)計(jì)算機(jī)賬戶都有一個(gè)相對可分辨名稱、一個(gè)Windows 2000以前版本計(jì)算機(jī)名（安全賬戶管理器的賬戶名）、一個(gè)主DNS后綴、一個(gè)DNS主機(jī)名和一個(gè)服務(wù)主體名稱（SPN）。 Active Directory建議Windows 2000以前版本的名稱使用相對可分辨名稱的

10、前15個(gè)字節(jié)。管理員可以隨時(shí)更改Windows 2000以前版本的名稱，也就是說這個(gè)計(jì)算機(jī)名可以與Active Directory中的可分辨名稱不一樣。以上具體內(nèi)容參見書中介紹。 6.2.2 域默認(rèn)用戶賬戶類型 域用戶和組不是在“計(jì)算機(jī)管理”工具中，而是位于“Active Directory用戶和計(jì)算機(jī)”管理工具。 1基本默認(rèn)賬戶 基本的默認(rèn)的域用戶賬戶中，Administrator、Guest和Help Assistant三個(gè)用戶賬戶是系統(tǒng)安裝并在創(chuàng)建域時(shí)自動(dòng)創(chuàng)建的，其他用戶賬戶是在安裝一些服務(wù)器服務(wù)和應(yīng)用程序后自動(dòng)創(chuàng)建的。每個(gè)默認(rèn)賬戶均有不同的權(quán)利和權(quán)限組合。Administrator賬戶

11、具有最廣泛的權(quán)利和權(quán)限，而Guest賬戶的權(quán)利和權(quán)限則有限。Windows Server 2003系統(tǒng)的域控制器上的主要默認(rèn)用戶賬戶的描述如書中表6-3所示。 2域賬戶選項(xiàng) 每個(gè)Active Directory用戶賬戶有許多賬戶屬性選項(xiàng)。這些選項(xiàng)能夠確定如何在網(wǎng)上對持有特殊用戶賬戶進(jìn)行登錄的人員實(shí)施身份驗(yàn)證。具體參見書中表6-4所示。 以上具體內(nèi)容參見書中介紹。 6.2.3 域組賬戶 1域組的分類 組可用于將用戶賬戶、計(jì)算機(jī)賬戶和其他組賬戶收集到可管理的單元中，使用組而不是單獨(dú)的用戶，可簡化網(wǎng)絡(luò)的維護(hù)和管理。在Windows Server 2003系統(tǒng)的域中有兩種類型的組：通信組和安全組。 2

12、默認(rèn)域組 在配置域控制器后，系統(tǒng)也會(huì)自動(dòng)生成一些默認(rèn)組，這些不同的默認(rèn)組對應(yīng)的權(quán)限不一樣，是為特定的應(yīng)用而自動(dòng)創(chuàng)建的?？梢允褂眠@些預(yù)定義的組控制對共享資源的訪問，并委派特定的域范圍的管理角色。可以通過使用“Active Directory用戶和計(jì)算機(jī)”管理工具來管理組。默認(rèn)組位于“Builtin”容器和“Users”容器中?！癇uiltin”容器包含用本地域作用域定義的組，“Users”容器包含通過全局作用域定義的組和通過本地域作用域定義的組。可將這些容器中的組移動(dòng)到域中的其他組或組織單位，但不能將它們移動(dòng)到其他域。 “Builtin”容器和“Users”容器中的默認(rèn)組定義及權(quán)限分配分別參見書

13、中表6-5和表6-6。具體內(nèi)容參見書中介紹。 6.2.4 組作用域 組（不論是“安全組”還是“通信組”）都有一個(gè)作用域，用來確定在域樹或林中該組的應(yīng)用范圍。 1組作用域類型 有3類不同的組作用域：通用、全局和本地域。 2組作用域之間的關(guān)系和行為 全局組和本地域組的關(guān)系，非常類似于域用戶賬號和本地賬號的關(guān)系。域用戶賬號，可以全局使用，即在本域和其他有信任關(guān)系的域中都可以使用，而本地賬號只能在本地機(jī)上使用。全局組可以在本域和其他有信任關(guān)系的域中使用，而本地域組只能在本域中使用。本地域組的成員可以來自域樹或林中的所有域，但其作用域只能是當(dāng)前域；全局組的成員只能來自當(dāng)前域，而作用域可以是域樹或森中所有

14、的域。本地域組的權(quán)利是自身的，全局組的權(quán)利是來自其隸屬于的本地域組的。不同組作用域的具體行為參見書中表6-7。 3使用組作用域的情形 1）何時(shí)使用具有本地域作用域的組 具有本地域作用域的組將幫助用戶定義和管理對單個(gè)域內(nèi)資源的訪問。這些組可將以下組或賬戶作為它的成員：具有全局作用域的組，具有通用做用域的組，賬戶，具有本地域作用域的其他組，以及上述任何組或賬戶的混合體。 2）何時(shí)使用具有全局作用域的組 使用具有全局作用域的組管理那些需要每天維護(hù)的目錄對象，如用戶和計(jì)算機(jī)賬戶。 3）何時(shí)使用具有通用做用域的組 使用具有通用做用域的組來合并跨越不同域的組?？梢詫①~戶添加到具有全局作用域的組并且將這些組

15、嵌套在具有通用做用域的組內(nèi)。 4更改組作用域 創(chuàng)建新組時(shí)，在默認(rèn)情況下，新組配置為具有全局作用域的安全組，而與當(dāng)前域功能級別無關(guān)。在域功能級別設(shè)置為Windows 2000混合域中不允許更改組作用域，但在其域功能級別設(shè)置為Windows 2000本地或Windows Server 2003的域中，允許進(jìn)行下列轉(zhuǎn)換：全局到通用轉(zhuǎn)換，本地域到通用轉(zhuǎn)換，通用到全局轉(zhuǎn)換，通用到本地域轉(zhuǎn)換。以上具體內(nèi)容參見書中介紹。6.3 “ADUC”容器和OU 6.3.1 “ADUC”管理單元基本結(jié)構(gòu) 如果剛創(chuàng)建了域控制器，則默認(rèn)顯示的容器為如下幾個(gè)：Builtin、Computers、Domain Controll

16、ers、Users。如果在ADUC控制臺(tái)中執(zhí)行【查看】【高級功能】菜單命令，下面幾個(gè)高級用途的容器將顯示在控制臺(tái)中：LostAndFound、Program Data、NTDS Quotas、System。如下圖所示。 各容器的具體用途參見書中介紹。6.3.2 組織單位（OU） “組織單位”（OU）是“域”結(jié)構(gòu)下的次一級結(jié)構(gòu)（域也是一種組織單位），是更小一級的管理單元。它與“域”有著許多相似之處，不僅可以包括可以自己管理的用戶、組、計(jì)算機(jī)，還可以包含組策略，以及更下一級的組織單位。但用戶帳戶策略的配置只能在域級別組策略中配置，不能在OU組策略中配置。 新建組織單位的方法是在“Active Di

17、rectory用戶和計(jì)算機(jī)”（ADUC）管理單元控制臺(tái)的域上單擊鼠標(biāo)右鍵，在打開菜單中選擇【新建】下面的【組織單位】命令，在打開的對話框中配置OU名稱即可，如右圖所示。 具體內(nèi)容參見書中介紹。 第第2課時(shí)主講內(nèi)容課時(shí)主講內(nèi)容u新建、移動(dòng)、刪除域用戶賬戶 u域用戶賬戶基本選項(xiàng)配置 u域用戶賬戶設(shè)置登錄時(shí)間 u域用戶賬戶的登錄主機(jī)限制 u禁用或啟用用戶賬戶u配置用戶的所屬組u新建組u向組中添加用戶成員6.4 域用戶賬戶的管理 6.4.1 新建域用戶賬戶 用戶賬戶有“Windows界面方式”和“命令行方式”兩種。1Windows界面方式 用戶賬戶Windows界面創(chuàng)建方式首先是在ADUC管理單元控制

18、臺(tái)（如下左圖所示）。然后在要添加賬戶的容器上單擊右鍵，在打開菜單中選擇【新建】下的【用戶】命令，再在打開如下右圖所示對話框向?qū)е幸来芜M(jìn)行即可。2命令行方式 使用如下命令可以創(chuàng)建用戶賬戶：dsadd user UserDN -samid SAMName -pwd Password|* 以上具體示例內(nèi)容參見書中介紹。6.4.2 重設(shè)用戶密碼 重置用戶賬戶密碼的方法很簡單，只需選擇相應(yīng)用戶賬戶，然后單擊鼠標(biāo)右鍵，在打開菜單中選擇【重設(shè)密碼】命令，在打開的如下圖所示的對話框中輸入新密碼，然后單擊【確定】按鈕即可。 重設(shè)用戶密碼的管理任務(wù)也可在命令行狀態(tài)下通過輸入如下命令語句進(jìn)行：dsmod user

19、UserDN -pwd NewPassword 以上具體示例內(nèi)容參見書中介紹。6.4.3 移動(dòng)用戶賬戶 在Windows Server 2003系統(tǒng)中移動(dòng)用戶很簡單，也有“Windows界面”和“命令行”兩種方式。1Windows界面方式在ADUC管理單元控制臺(tái)的相應(yīng)選項(xiàng)中選擇要移動(dòng)的用戶。單擊鼠標(biāo)右鍵，在打開菜單中選擇【移動(dòng)】命令，打開如下左圖所示的對話框。在對話框中選擇用戶要移動(dòng)的目的位置，然后單擊【確定】按鈕即可完成用戶的移動(dòng)操作。2命令行方式 移動(dòng)用戶賬戶的命令行語句如下：dsmov UserDN -newparent ParentDN -pwd Password|* 以上具體方法與示

20、例內(nèi)容參見書中介紹。6.4.4 刪除用戶賬戶 刪除的方法也有“Windows界面”方式和“命令行”方式兩種。 1Windows界面方式 刪除用戶的方法很簡單，只需在ADUC管理單元控制臺(tái)相應(yīng)容器中選擇要?jiǎng)h除的用戶賬戶，單擊鼠標(biāo)右鍵，在打開菜單中選擇【刪除】命令，然后在提示對話框中單擊“確認(rèn)”按鈕進(jìn)行再次確認(rèn)即可。 2命令行方式 刪除用戶賬戶的命令行方式是在命令行狀態(tài)下（進(jìn)入命令行狀態(tài)的方法參見前面介紹）輸入“dsrm ObjectDN”命令語句。其中ObjectDN參數(shù)是用來指定要?jiǎng)h除的用戶對象的可分辨名稱。 具體方法參見書中介紹。 6.4.5 其他的用戶賬戶基本管理 1. 復(fù)制用戶賬戶 復(fù)制

21、用戶賬戶的方法很簡單，只需在ADUC管理工具控制臺(tái)中選擇要復(fù)制的用戶賬戶，單擊鼠標(biāo)右鍵，在打開菜單中選擇【復(fù)制】命令，打開如下左圖所示對話框。在其中輸入新用戶帳戶即可。2. 添加到組 在ADUC管理單元控制臺(tái)中選擇要設(shè)置隸屬組的用戶賬戶，然后單擊鼠標(biāo)右鍵，在打開菜單中選擇【屬性】命令，在打開的對話框中選擇“隸屬于”選項(xiàng)卡。然后單擊【添加】按鈕，打開如下面右圖所示對話框，在其中進(jìn)行輸入要隸屬的組名稱即可。 3禁用賬戶 這是對暫時(shí)不需要使用，或者暫時(shí)不想讓用戶使用的賬戶所采用的方式。用戶被禁用后，用戶就再也不能通過該賬戶登錄網(wǎng)絡(luò)了。禁用用戶賬戶的方法是在用戶賬戶快捷菜單中選擇“禁用賬戶”選項(xiàng)，此時(shí)

22、系統(tǒng)會(huì)彈出一個(gè)如下圖所示提示框。并且在相應(yīng)賬戶上立即有一個(gè)紅色的“”標(biāo)記，表示該賬戶被禁用了，暫時(shí)不能使用。 4剪切 這里的“剪切”操作與平常我們所進(jìn)行的文件或文件夾“剪切”沒什么兩樣，最終都是通過粘貼的方式來實(shí)現(xiàn)移動(dòng)目的的，還不如直接使用上面介紹的“移動(dòng)”快捷菜單項(xiàng)。“剪切”操作執(zhí)行的方法也是在用戶賬戶快捷菜單中選擇“剪切”選項(xiàng)進(jìn)行的。以上具體方法參見書中介紹。 6.5 域用戶賬戶屬性配置 6.5.1 基本選項(xiàng)配置 用戶賬戶的基本選項(xiàng)配置是在如圖2-35所示“賬戶”選項(xiàng)卡進(jìn)行的。在該對話框中的“賬戶選項(xiàng)”列表和下面的“賬戶過期”欄中列出了許多基本的賬戶配置選項(xiàng)，選項(xiàng)的說明參見書中表6-4。

23、如果要同時(shí)修改多個(gè)配置一樣的用戶賬戶選項(xiàng)，則在ADUC控制臺(tái)相應(yīng)容器中按住【Ctrl】（非連續(xù)選擇）或【Shift】（連續(xù)選擇）按鍵，然后單擊選擇每個(gè)要配置的用戶，再在選定的用戶上單擊鼠標(biāo)右鍵，在彈出菜單中選擇【屬性】命令。在打開的對話框中同樣選擇“賬戶”選項(xiàng)卡進(jìn)行配置即可。 具體內(nèi)容參見中介紹。6.5.2 設(shè)置登錄時(shí)間 用戶登錄時(shí)間設(shè)置是企業(yè)網(wǎng)絡(luò)安全管理的必要措施。在企業(yè)網(wǎng)絡(luò)中，對員工的賬戶的使用通常是有時(shí)間限制的，規(guī)定在什么時(shí)間中可以登錄到網(wǎng)絡(luò)，什么時(shí)間又不允許。 設(shè)置用戶賬戶登錄時(shí)間的具體方法是在ADUC管理單元控制臺(tái)中選擇要設(shè)置登錄時(shí)間的用戶賬戶，然后單擊鼠標(biāo)右鍵，在打開菜單中選擇【屬

24、性】命令，在打開的對話框中選擇“賬戶”選項(xiàng)卡（參見上頁圖示）。 單擊【登錄時(shí)間】按鈕，打開如右圖所示的對話框。設(shè)置時(shí)如果是連續(xù)時(shí)段，可以用鼠標(biāo)拖動(dòng)一個(gè)時(shí)段，然后再一次性選擇“允許登錄”或“拒絕登錄”單選按鈕即可。當(dāng)然如果是分散的單個(gè)時(shí)間點(diǎn)，則只能一個(gè)個(gè)設(shè)置了。 具體設(shè)置方法和示例內(nèi)容參見書中介紹。6.5.3 限制用戶登錄的主機(jī) 在企業(yè)網(wǎng)絡(luò)中經(jīng)常需要限制一些用戶登錄（可以是本地登錄，也可以是網(wǎng)絡(luò)訪問方式登錄）到一些特定主機(jī)，如財(cái)務(wù)部、人事部、各部門經(jīng)理用主機(jī)。這時(shí)就可以通過用戶賬戶屬性中的“登錄到”選項(xiàng)來配置。 設(shè)置方法是在“賬戶”選項(xiàng)卡中單擊【登錄到】按鈕，打開如右圖所示的對話框。默認(rèn)是可以登

25、錄到網(wǎng)絡(luò)中的所有計(jì)算機(jī)。如果要限制只能訪問特定的計(jì)算機(jī)，則要選擇“下列計(jì)算機(jī)”單選按鈕，然后在下面的“計(jì)算機(jī)名”文本框中輸入允許登錄的計(jì)算機(jī)名，單擊【添加】按鈕添加可以登錄訪問的計(jì)算機(jī)列表中。具體設(shè)置方法和示例內(nèi)容參見書中介紹。6.5.4 禁用或啟用用戶賬戶 禁用或啟用用戶賬戶也 有“Windows界面”和“命令行”兩種方式。1Windows界面方式 在ADUC管理單元控制臺(tái)中選擇要禁用或啟用的用戶賬戶，然后單擊鼠標(biāo)右鍵，在打開菜單中根據(jù)實(shí)際需要的管理任務(wù)進(jìn)行選擇，如果要禁用某賬戶，則選擇【禁用賬戶】命令（注意如果用戶以前不是處于啟用狀態(tài)的，則沒有此選項(xiàng)；如果要啟用原來已禁用的用戶賬戶，則選擇

26、【啟用賬戶】命令（注意如果用戶以前不是處于禁用狀態(tài)的，則沒有此選項(xiàng)。2命令行方式 命令行方式是在命令行狀態(tài)下輸入以下命令語句：dsmod user UserDN -disabled yes|no 具體設(shè)置方法和示例內(nèi)容參見書中介紹。6.5.5 配置用戶的所屬組 在ADUC管理單元控制臺(tái)中選擇要設(shè)置登錄時(shí)間的用戶賬戶，然后單擊鼠標(biāo)右鍵，在打開菜單中選擇【屬性】命令，在打開的對話框中選擇“隸屬于”選項(xiàng)卡（對話框如下面左圖所示）。然后單擊【添加】按鈕，打開如下面右圖所示對話框，在其中進(jìn)行輸入要隸屬的組名稱即可。 具體設(shè)置方法和示例內(nèi)容參見書中介紹。6.6 域組賬戶管理 6.6.1 新建組 新建組的工作也有“Windows界面”和“命令行”兩種方式。1Windows界面方式 在ADUC管理單元控制臺(tái)要添加新組的容器上單擊鼠標(biāo)右鍵，