第6章基于服務器的網(wǎng)絡應用6．1概述6.2網(wǎng)絡操作系統(tǒng)的安裝及訪問6．3活動目錄6．4客戶機配置6．5用戶帳戶6．6組帳戶6．7NTFS權限6．8共享文件夾

6．1概述

1.服務器

2．服務器操作系統(tǒng)OS3．WindowsServer2003操作系統(tǒng)

4．操作系統(tǒng)應用環(huán)境

返回1.服務器在基于服務器的網(wǎng)絡中，配置一臺專用的計算機，在這臺計算機上運行著各種服務器程序，向網(wǎng)絡提供各種服務，稱這種計算機為服務器

返回2．服務器操作系統(tǒng)OS在基于服務器的網(wǎng)絡中有兩個明顯的特點：第一，有一臺專門提供網(wǎng)絡服務的物理服務器，運行著各種服務程序；第二，在服務器上安裝著網(wǎng)絡操作系統(tǒng)。相對上一章討論的操作系統(tǒng)，網(wǎng)絡操作系統(tǒng)是一種網(wǎng)絡專用的操作系統(tǒng)，主要用于網(wǎng)絡的管理與控制，是一種功能強大的操作系統(tǒng)

返回3．WindowsServer2003操作系統(tǒng)

WindowsServer2003是美國微軟公司于2003年春天推出的網(wǎng)絡操作系統(tǒng)。WindowsServer2003是WindowsNT系列網(wǎng)絡操作系統(tǒng)的后續(xù)版本。1993年5月微軟推出WindowsNT3.1是微軟第一個基于圖形用戶界面的大型的網(wǎng)絡操作系統(tǒng)之后，微軟的網(wǎng)絡操作系統(tǒng)的版本不斷更新，十年內(nèi)相繼又推出了WindowsNT3.5、WindowsNT4.0、Windows2000Server和WindowsServer2003等

返回4個系列版本W(wǎng)indowsServer2003在推出時一共推出了4個系列版本W(wǎng)indowsServer2003WEBEdition主要用于作為WEB服務器的操作系統(tǒng)。WindowsServer2003StandardEdition是標準版，用于組建中、小企業(yè)局域網(wǎng)，支持SMP4個CPU、4GB內(nèi)存空間。WindowsServer2003EnterpriseEdition主要針對高端網(wǎng)絡應用，支持SMP8個CPU，64GB內(nèi)存空間。WindowsServer2003DatacenterEdition適合于組建大型企業(yè)網(wǎng)，支持SMP32個CPU、512GB內(nèi)存空間

4．操作系統(tǒng)應用環(huán)境

建立操作系統(tǒng)的應用環(huán)境是網(wǎng)絡系統(tǒng)管理員的首要任務。主要包括操作系統(tǒng)的安裝網(wǎng)絡環(huán)境配置用戶管理組管理文件資源管理文件資源發(fā)布打印機資源管理等返回6.2網(wǎng)絡操作系統(tǒng)的安裝及訪問

6．2．1 安裝特點

6．2．2 安裝規(guī)劃

6．2．3安裝的準備階段

6．2．4安裝過程

返回6．2．1 安裝特點

WindowsServer2003的安裝過程則非常簡單、方便。其安裝的特點是系統(tǒng)收集信息少、重啟動次數(shù)少。WindowsServer2003對系統(tǒng)硬件識別能力強，即插即用的功能強，所以在安裝過程中基本上可以作到無人值守

另外WindowsServer2003把系統(tǒng)的安裝與域控制器（活動目錄）的安裝分離開來可以把操作系統(tǒng)安裝成一個獨立服務器，獨立服務器默認地安裝成加入一個工作組如Workgroup待獨立服務器安裝完畢后，再安裝域控制器，這種安排方式可以減少安裝的難度返回6．2．2安裝規(guī)劃1．關于硬件件平臺2．關于安安裝方法3．關于選選用文件系系統(tǒng)返回1．關于硬件件平臺WindowsServer2003支持多種CPU平臺，包括括IntelCPU平臺、PowerPC平臺以及Alpha平臺等WindowsServer2003一般要求的的硬件配置置至少是奔奔騰133CPU、128M內(nèi)存和2G硬盤剩余空空間。低于于這樣的配配置WindowsServer2003將拒絕安裝裝。當然這只是是最低的限限制，作為為一個網(wǎng)絡絡操作系統(tǒng)統(tǒng)，在一個個PC服務器上安安裝時建議議CPU應至少為PⅢ，內(nèi)存至至少為256MB。較高的配配置才能充充分發(fā)揮WindowsServer2003的性能2．關于安裝裝方法所謂安裝方方法指的是是升級安裝裝還是全新新安裝；是本地安裝裝還是網(wǎng)絡絡安裝；是把發(fā)行盤盤復制到硬硬盤安裝還還是用光盤盤直接啟動動安裝；是安裝成單單啟動系統(tǒng)統(tǒng)還是安裝裝成多啟動動系統(tǒng)等3．關于選用用文件系統(tǒng)統(tǒng)NT系列操操作系統(tǒng)支支持FAT、FAT32和NTFS格式的文件件系統(tǒng)。NTFS文文件系統(tǒng)具具有非常優(yōu)優(yōu)良的性能能，尤其是是在文件系系統(tǒng)的安全全性方面。。NTFS支支持文件加加密，支持持硬盤限額額。NTFS使得只只有取得合合法權限的的用戶訪問問資源。NTFS不不光可以對對文件夾設設置安全屬屬性，還支支持直接對對文件設置安全屬屬性。不只可以以限制用用戶對文文件資源源的網(wǎng)絡訪問問權限，還可以以限制用用戶的本地訪問問權限。WindowsServer2003操作系統(tǒng)統(tǒng)規(guī)定安裝域控控制器的的前提是是必須安安裝NTFS文件系統(tǒng)統(tǒng)格式。所以只有有獨立服服務器和和成員服服務器才才有可能能安裝成成FAT文件系統(tǒng)統(tǒng)格式，，域控制制器不存存在FAT文件系統(tǒng)統(tǒng)格式6．2．3安裝的準準備階段段用硬盤安安裝需要要在硬盤盤建立一一個文件件夾，然然后把發(fā)發(fā)行盤的的所有文文件復制制到文件件夾。而對于光光盤直接接啟動的的安裝方方式則要要設置CMOS使支持持光盤啟啟動。采采取光盤盤直接啟啟動的方方法進行行安裝只只需把WindowsServer2003啟動盤盤放入光光驅(qū)，重重新啟動動系統(tǒng)就就可以直直接進入入安裝階階段。如果采取取升級安安裝的方方式，在在NT4.0下把WindowsServer2003發(fā)行盤裝裝入光驅(qū)驅(qū)返回6．2．4安裝過程程基本上分分兩個階階段。第一階段段進行系系統(tǒng)硬件件檢查并并復制必必要的文文件。第二階段段收集系系統(tǒng)安裝裝過程中中所需要要掌握的的必要信信息，進進行組件件安裝、、網(wǎng)絡組組件安裝裝、開始始菜單安安裝和最最后設置置等返回1．第一階階段安裝裝先進行硬硬件系統(tǒng)統(tǒng)檢查，，并進行行必要的的文件復復制。當出現(xiàn)WindowsServer2003許可協(xié)議議對話框框時按F8繼續(xù)然后出現(xiàn)現(xiàn)磁盤分分區(qū)設置置的對話話框并提提供三種種選擇三種選擇擇：?要在所選選分區(qū)上上安裝WindowsServer2003，請按按ENTER鍵鍵?要在尚未未劃分的的空間中中創(chuàng)建磁磁盤分區(qū)區(qū)，請按按C鍵，，然后輸輸入磁盤盤分區(qū)的的大小?刪除所選選分區(qū)請請按D鍵鍵，之后后還要按按照提示示按L鍵鍵或ENTER選用哪種種文件系系統(tǒng)用NTFS文件件系統(tǒng)格格式化磁磁盤分區(qū)區(qū)用FAT文件系系統(tǒng)格式式化磁盤盤分區(qū)保留原來來的分區(qū)區(qū)格式如果選擇擇格式化化分區(qū)，，格式化化完成后后安裝程程序?qū)⑽奈募椭浦频竭@個個磁盤分分區(qū)，復復制完成成后重新新啟動系系統(tǒng)。2．第二階階段第二階段段繼續(xù)收收集有關關信息。。首先進行行設備檢檢查。進行區(qū)域域設置時時應選擇擇中文（（中國））。然后要求求輸入姓姓名、單單位，緊緊跟著的的對話框框要求輸輸入計算算機名。。計算機名名是網(wǎng)上上計算機機帳戶的的唯一標標識，不不能與網(wǎng)網(wǎng)上其它它計算機機重名。。然后要求求輸入產(chǎn)產(chǎn)品系列列號接著出現(xiàn)現(xiàn)“授權權模式””對話框框。授權權模式包包括兩種種選擇：：每服務務器和每每客戶。。所謂授授權模式式實際上上是一個個軟件使使用版權權問題8個過程程第二個階階段的安安裝很有有規(guī)律性性，一共共進行8個過程程，每個個過程都都出現(xiàn)一一個安裝裝進程指指示。這這些過程程包括：：△正在安裝裝準備△正在安裝裝網(wǎng)絡△正在進行行配置△正在完成成安裝△安裝開始始菜單項項△注冊組件件△保存設置置△刪除任何何用過的的臨時文文件之后進入入最后工工作階段段，完成成整個安安裝過程程，此時時系統(tǒng)重重新啟動動3．訪問服服務器把WindowsServer2003安裝完成成后，這這臺計算算機就可可以作為為服務器器向別的的計算機機提供服服務了，，例如可可以作為為一個文文件服務務器。在提供服服務之前前還應進進行一些些必要的的環(huán)境建建立的工工作，包包括用戶戶管理、、文件資資源的權權限管理理等獨立服務務器WindowsServer2003組成的網(wǎng)網(wǎng)絡可以以以工作作組模式式或域模模式兩種種模式工工作。在在上節(jié)安安裝過程程中，已已經(jīng)按工工作組模模式進行行了安裝裝，這樣樣的服務務器稱為為獨立服務務器。獨立服務務器向網(wǎng)網(wǎng)絡只能能提供本本機的資資源，又又稱為本地資源源，資源訪訪問的方方便性受受到了限限制TCP/IP協(xié)議為了使網(wǎng)網(wǎng)絡上的的客戶機機能夠訪訪問服務務器，要要對服務務器的網(wǎng)網(wǎng)絡進行行必要的的配置。。在安裝過過程中，，已經(jīng)默默認安裝裝了TCP/IP協(xié)議以及及文件及及打印機機的服務務功能。。雖然安裝裝了TCP/IP協(xié)議，但但是并未未對協(xié)議議進行配配置，所所以，網(wǎng)網(wǎng)絡客戶戶還不能能訪問這這臺服務務器帳戶WindowsServer2003安裝完成成后，自自動地建建立兩個個帳戶，，一個是是管理員員帳戶，，即Administrator，對網(wǎng)絡絡的所有有資源具具有完全全的權限限。另一個是是guest來賓帳戶戶，但這這個帳戶戶默認是是不可以以使用的的。同時WindowsServer2003還建立了了一些組組帳戶，，其中有有一個默默認的組組帳戶是是everyone，所有的的用戶帳帳戶都默默認加入入這個組組，包括括guest帳戶資源的訪訪問權限限以administrator帳戶登錄錄，可以以設置資資源的訪訪問權限限。設置資源源的訪問問權限可可以通過過資源管管理器進進行。除了Administrator以外，其其它用戶戶對文件件資源默默認的訪訪問權限限為只讀讀，這是是由everyone組的權限限所規(guī)定定的，除除非進行行重新配配置（設置過過程略））建立新的的用戶和和組除了系統(tǒng)統(tǒng)默認的的組及用用戶以外外，管理理員還可可以建立立新的用用戶和組組。對這些用用戶及組組設置了了訪問權權限以后后就可以以對文件件等資源源進行訪訪問。在獨立服服務器上上建立的的用戶及及組稱本地用戶戶及本地組。相應地，，以后還還要介紹紹域用戶戶及組。。以新建立立的用戶戶登錄，，即可以以在本機機（服務務器）或或客戶機機通過網(wǎng)網(wǎng)絡訪問問服務器器的資源源。不同的用用戶由于于權限設設置不同同，對資資源的訪訪問具有有不同的的權限。這一點點是與Windows98組成的對對等網(wǎng)不不同的，，在Windows98中，對某某文件夾夾的權限限，所有有用戶都都是相同同的（設置過程略略）6．3活動目錄6．3．1域的基本概念念6．3．2域的組成6．3．3域的結構6．3．4域控制器6．3．5安裝活動目錄錄6．3．6活動目錄管理理單元的界面面返回6．3．1域的基本概念念我們可以通過過域把若干計計算機組織起起來構成一個個計算機信息息網(wǎng)絡系統(tǒng)。。域成員中的的計算機有域域控制器、域域成員服務器器和域成員計計算機通過活動目錄錄，用戶訪問問網(wǎng)絡的任何何資源可以一一次性登錄，，即一次登錄錄可以訪問網(wǎng)網(wǎng)絡上的任何何服務器、計計算機、打印印機以及文件件等資源活動目錄中的的組織單位可可以以公司組組織結構的形形式建立和管管理，這樣就就把網(wǎng)絡的管管理系統(tǒng)建立立在了公司組組織結構的基基礎之上，并并且很完善地地結合起來返回6．3．2域的組成為了更深刻地地理解域的概概念，分析一一下域的組成成。首先看一一下工作組即即對等網(wǎng)的組組成。如圖6-7所示返回本地安全數(shù)據(jù)庫本地安全數(shù)據(jù)庫本地安全數(shù)據(jù)庫本地安全數(shù)據(jù)庫圖6-7工作組的組成工作組在工作組中，，各個計算機機以對等的地地位出現(xiàn)，一一臺計算機在在作為客戶機機共享網(wǎng)上資資源的同時還還可以向網(wǎng)絡絡提供資源。。網(wǎng)上的計算機機除了上一章章介紹的Windows3.X、Windows95、Windows98、WindowsMe等以外，還可可以是WindowsNTServer4.0、WindowsNTWorkstation4.0、Windows2000professional、Windows2000Server和WindowsServer2003Server等單域的組成一個單域的組組成如圖6-8所示。單域的的組成與工作作組不同。首先在域中的的計算機運行行的操作系統(tǒng)統(tǒng)只能是WindowsNT4.0Server、WindowsNT4.0Workstation、Windows2000Professional、Windows2000Server、WindowsServer2003以及WindowsXP。Windows個人機操作系系統(tǒng)，包括Windows95/98等，雖然可以以訪問域，但但不能加入域域。另外只有Windows的Server版可以作為域域控制器，客戶版不可以以作為域控制制器。當然并不是說說所有的服務務器都必須安安裝成域控制制器域控制器ActiveDirectoryActiveDirectory域控制器客戶機客戶機圖6-8域的構成域加入域域的WindowsServer2003稱為成成員服服務器器。不不加入入域的的WindowsServer2003稱獨立立服務務器，，這樣樣的服服務器器沒有有什么么意義義。域與工工作組組除了了成員員略有有不同同外最最主要要的不不同之之處是是：域具有有集中中安全全管理理功能能，安安全管管理的的數(shù)據(jù)據(jù)庫集集中存存放在在域控控制器器上，，具體體體現(xiàn)現(xiàn)就是是在域域控制制器上上安裝裝活動動目錄錄兩種模模式在一個個域中中，如如果沒沒有Windows操作系系統(tǒng)的的早期期版本本，如如NT4.0等，只只有Windows2000和WindowsServer2003等操作作系統(tǒng)統(tǒng)，這這樣的的組網(wǎng)網(wǎng)模式式稱為為本機模式，，否則則稱為為混合模式6．3．3域的結結構在WindowsServer2003中采用用單域域和多多域模模式多域之之間具具有一一定的的邏輯輯結構構，即即樹型型的結結構形形式。。域之間間有主主域與與子域域之分分。其次，，如果果是一一個大大型的的多域域網(wǎng)絡絡，還還可以以把樹樹型域域的范范圍擴擴大到到域森森林，，從而而使得得域的的結構構更加加合理理。另外域域之間間的任任何關關系是是可以以自動動傳遞遞的返回容錯一般中中、小小型的的網(wǎng)絡絡可以以組成成單域域模式式。出出于安安全考考慮，，在域域中最最好設設置兩兩個或或多個個域控控制器器小型的的域當當然只只需要要一個個域控控制器器，較較大的的域或或者出出于容容錯和和安全全角度度考慮慮的域域結構構則應應該設設置其其它的的域控控制器器。一個域域中的的域控控制器器沒有有主從從之分分。當當一個個域控控制器器出現(xiàn)現(xiàn)問題題不能能對網(wǎng)網(wǎng)絡實實施控控制時時，域域中的的另外外一個個域控控制器器可以以立即即單獨獨完成成域控控制器器的功功能，，達到到容錯錯與安安全的的目的的命名體體系WindowsServer2003域采用用樹型型結構構，DNS域也采采用樹樹型結結構，，這就就使得得WindowsServer2003域與DNS域具有了了相同同的命命名體體系，例如如采用用以““點””隔開開的域域名但不能能把WindowsServer2003域的概概念與與Internet域的概概念混混淆起起來。。WindowsServer2003的域是是對網(wǎng)網(wǎng)絡中中計算算機進進行管管理的的方法法，Internet的域則則是命命名體體系，，與計計算機機的管管理關關系不不大域目錄錄樹對于大大型網(wǎng)網(wǎng)絡或或出于于公司司管理理結構構需要要的中中小型型網(wǎng)絡絡可以以考慮慮建立立多域域模式式的網(wǎng)網(wǎng)絡。。如圖圖6-9所示這這是一一個域域目錄錄樹圖6-9域樹結構圖6-10域林結構。圖6-10所示為為一個個域目目錄林林的例例子6．3．4域控制制器如果你你已經(jīng)經(jīng)決定定把你你的網(wǎng)網(wǎng)絡結結構設設計成成一個個域模模式結結構，，那么么接下下來還還要考考慮根根據(jù)網(wǎng)網(wǎng)絡規(guī)規(guī)模的的大小小以及及企業(yè)業(yè)的組組織機機構的的形式式，把把網(wǎng)絡絡設計計成域域樹或或者是是域林林如果已已經(jīng)決決定設設計成成一個個單域域的結結構，，接下下來還還應該該考慮慮域的的組成成。所所謂域域的組組成主主要指指在域域中有有幾個個域控控制器器。在在WindowsServer2003的域中中，域域控制制器沒沒有主主、從從之分分。推薦至至少應應該設設置兩兩個域域控制制器，多個個域控控制可可以減減少域域控制制器管管理網(wǎng)網(wǎng)絡的的負擔擔并提提高域域的容容錯性性能域控制制器就就是一一臺服服務器器，在在這臺臺服務務器上上安裝裝并配配置了了活動動目錄錄組件件。稍后會會看到到，配配置成成域控控制器器后，，在啟啟動菜菜單的的管理理工具具中增增加了了幾個個有關關活動動目錄錄的管管理工工具。。正是是基于于這些些管理理工具具，域域控制制器才才能使使系統(tǒng)統(tǒng)管理理員對對網(wǎng)絡絡實施施有效效的管管理與與控制制返回回幾點點說說明明1.對域域控控制制器器的的相相關關操操作作只只有有系系統(tǒng)統(tǒng)管管理理員員才才具具有有權權限限。。例例如如Administrator用用戶戶。。2.安裝裝相相應應的的網(wǎng)網(wǎng)絡絡服服務務軟軟件件。。3．．配配置置IP地地址址。。由由于于域域需需要要與與DNS相相配配合合，，而而DNS服服務務器器要要求求該該計計算算機機的的IP地地址址應應為為靜靜態(tài)態(tài)的的，，所所以以在在安安裝裝域域控控制制器器之之前前，，應應首首先先為為此此計計算算機機設設置置IP地地址址。。4，設設計計好好域域名名。。如如果果你你的的網(wǎng)網(wǎng)絡絡與與Internet是連連接接的的，，那那么么，，域域名名系系統(tǒng)統(tǒng)應應該該遵遵循循Internet域的的命命名名體體系系如果果你你的的網(wǎng)網(wǎng)絡絡是是一一個個與與Internet不進進行行連連接接的的內(nèi)內(nèi)部部網(wǎng)網(wǎng)絡絡，，這這時時，，可可以以自自行行設設計計域域名名體體系系，，但但建建議議應應采采用用Internet的域域名名體體系系以以便便兼兼容容本書書例例子子第第一一個個域域控控制制器器安安裝裝WindowsServer2003操操作作系系統(tǒng)統(tǒng)安安裝裝Windows2000Professional安安裝裝Windows98操操作作系系統(tǒng)統(tǒng)6．3．5安裝裝活活動動目目錄錄安裝裝活活動動目目錄錄的的實實質(zhì)質(zhì)是是配配置置域域控控制制器器。。按按照照域域的的結結構構，，域域控控制制器器可可以以安安裝裝成成第第一一個個域域控控制制器器、、額額外外域域控控制制器器和和子子域域的的域域控控制制器器任何何網(wǎng)網(wǎng)絡絡，，無無論論是是單單域域、、域域樹樹或或域域林林，，所所安安裝裝的的第第一一個個域域控控制制器器稱稱為為第一一個個域域控控制制器器。一個個域域如如果果已已經(jīng)經(jīng)安安裝裝了了一一個個域域控控制制器器，，再再安安裝裝的的域域控控制制器器稱稱額外外域域控控制制器器。在一一個個域域樹樹的的根根域域下下再再安安裝裝的的域域稱稱為為子子域域，，子子域域的的域域控控制制器器稱稱子子域域域域控控制制器器。。在網(wǎng)網(wǎng)絡絡中中，，無無論論是是單單域域、、域域樹樹還還是是域域林林，，第第一一個個域域控控制制器器非非常常重重要要，，在在其其上上運運行行著著全局局編編錄錄的的數(shù)數(shù)據(jù)據(jù)庫庫，以以便便在在整整個個網(wǎng)網(wǎng)絡絡內(nèi)內(nèi)實實現(xiàn)現(xiàn)互互相相訪訪問問。。通過過配配置置您您的的服服務務器器向向?qū)?，，可可以以完完成成域域控控制制器器的的配配置置，，從從而而實實現(xiàn)現(xiàn)活活動動目目錄錄的的安安裝裝（安安裝裝過過程程略略））返回回6．3．6活動目錄錄管理單單元的界界面ActiveDirectory用戶與與計算機機是應用用最廣、、應用最最多，也也是最常常用的管管理單元元。網(wǎng)絡絡或域的的計算機機、文件件、打印印機、用用戶、組組等都是是通過這這個管理理單元進進行管理理的。除此之外外，通過過ActiveDirectory用戶戶與計算算機組件件還可以以把共享享文件夾夾、打印印機等在在域中進進行發(fā)布布和實施施組策略略等。因因為域中中的計算算機（運運行Windows2000或WindowsServer2003操作系系統(tǒng)）在在網(wǎng)上鄰鄰居→全全體網(wǎng)絡絡中都可可以看到到活動目目錄的圖圖標———目錄，，這樣域域中的用用戶都可可以非常常方便地地了解和和利用活活動目錄錄來使用用域資源源返回界面窗口口窗口分成成兩個子子窗口左側為控控制臺樹樹，在樹樹中的一一組節(jié)點點為管理理單元，，如圖中中的Users等。選中中某一個個單元，，在右側側顯示該該單元的的詳細子子項?？梢钥吹降組MC控制臺的的界面與與Windows的資源管管理器相相仿。而而且許多多管理工工具如DNS、DHCP、WINS、IIS等都采用用相同的的界面2．活動目目錄中涉涉及到的的幾個概概念在ActiveDirectory用戶與計計算機管管理單元元中，經(jīng)經(jīng)常涉及及到一些些概念，，在下面面予以介介紹（1）對象ActiveDirectory用戶與計計算機管管理的計計算機、、用戶、、組、文文件、打打印機等等稱為對對象。對象具有有一些屬屬性，例例如用戶戶對象具具有登錄錄名、口口令、地地址、電電話、單單位等等等一些屬屬性（2）容器容器也是是一種對對象，但但容器可可以包含其它的對對象與容容器，也也就是說說容器是是可以嵌嵌套的。。例如組織織單位是是一個對對象，是是一種容容器對象象在組織單單位中可可以包含含其它的的對象。。很明顯，，容器是是用于管管理對象象的，通通過容器器把對象象按照相相應的對對象類別別進行組組織，使使得活動動目錄按按照階梯梯型的結結構進行行層次管管理（3）組織單單位組織單位位是一種種容器。。組織單位位也是為為了便于于對對象象進行組組織和管管理而設設置。組織單位位是一種種非常有有特色的的管理方方法，使使得網(wǎng)絡絡的結構構與公司司的管理理層次結結構相對對應，更更便于對對網(wǎng)絡進進行管理理3．ActiveDirectory用戶與計計算機的的界面如圖6-33所示,左側的控控制臺樹樹中，以以為根，以以對象為為結點。。這些結點點都是一一些容器器結點。。選中某一一個容器器，在右右側顯示示其中的的詳細項項目。例如選擇擇計算機機組織單單位，顯顯示其中中包含域域的一些些組及用用戶。Users其其內(nèi)包含含域中的的部分組組及用戶戶對象。。Builtin其內(nèi)內(nèi)包含域域中由系系統(tǒng)內(nèi)置置的一些些本地域域組，例例如ServerOperators組組是內(nèi)置置的組，，其成員員擁有管管理域控控制器的的權限。。Computers默默認的的域計算算機組織織單位。。成員包包括域中中的客戶戶機、成成員服務務器等。。DomainControler域控控制器所所在的容容器。6．4客戶機配配置6．4．1概述6．4．2 Windows98客戶機6．4．3 WindowsXP客戶機6．4．4 Windows2000客戶機返回6．4．1概述在WindowsServer2003域中，可可以使用用多種客客戶機。。包括Windows95、Windows98、WindowsME、WindowsNT、Windows2000、UNIX、Linux以及Maciontosh等等。本書主要要介紹Windows98、WindowsXP和Windows2000Professional作為客戶戶機操作作系統(tǒng)的的配置返回6．4．2 Windows98客戶機6．4．3 WindowsXP客戶機WindowsXPProfessional（簡稱XP）是2001年秋推出出的32位操作系系統(tǒng)。WindowsXP可以加入入WindowsServer2003域，并可可以真正正成為域域成員計計算機。。返回6．4．4 Windows2000客戶機WindowsServer2003對Windows2000作為客戶戶機支持持最好，，可以說說是天衣衣無縫。。所以建議議在以WindowsServer2003作為操作作系統(tǒng)的的網(wǎng)絡中中，客戶戶機選用用Windows2000，可以得得到完全全的網(wǎng)絡絡服務。。首先Windows2000可以作為為域成員員。另外Windows2000Professional能夠被識識別并自自動把該該計算機機帳戶加加入Computer容器，在在此容器器中對該該計算機機進行管管理。而且Windows2000Professional登錄后，，在網(wǎng)上上鄰居中中將出現(xiàn)現(xiàn)“目錄錄”圖標標，使得得客戶機機可以非非常方便便地訪問問域活動動目錄中中的網(wǎng)絡絡資源返回6．5用戶帳戶戶6．5．1帳戶的基基本概念念6．5．2帳戶的建建立6．5．．3用戶戶帳戶的的管理返回6．5．1帳戶的的基本本概念念WindowsServer2003有兩類類帳戶戶。一類是是本地地帳戶戶一類是是域帳帳戶返回本地帳帳戶本地帳帳戶是是在成成員服服務器器、獨獨立服服務器器計算算機中中可以以建立立的一一種帳帳戶，，可以以訪問問這些些計算算機中中的資資源。。本地帳帳戶只只可以以訪問問計算算機本本地資資源，，而不不能訪訪問域域網(wǎng)絡絡資源源。本地帳帳戶建建立在在本地地計算算機的的用戶戶數(shù)據(jù)據(jù)庫中中，由由本地地計算算機的的超級級用戶戶進行行管理理。但本地地帳戶戶的用用戶不不能訪訪問域域網(wǎng)絡絡的資資源。。在域網(wǎng)網(wǎng)絡中中，不不提倡倡使用用本地地用戶戶帳戶戶。本地帳帳戶可可以通通過““計算算機管管理””工具具進行行設置置域用戶戶帳戶戶另一類類是域域用戶戶帳戶戶，本本節(jié)主主要介介紹的的概念念都是是針對對這種種用戶戶。域用戶戶在有有限的的權限限內(nèi)可可以訪訪問域域中的的資源源，由由域網(wǎng)網(wǎng)絡管管理員員對域域用戶戶實施施有效效的管管理。。域用戶戶的建建立以以及所所有的的管理理工作作基本本上可可以在在管理理工具具ActiveDirectory用戶與與計算算機中中進行行。域用戶戶的資資料信信息存存放在在域安安全數(shù)數(shù)據(jù)庫庫中。。當設計計好活活動目目錄及及組織織單位位后，，可以以把用用戶帳帳戶建建立在在某個個組織織單位位中。。當然，，也可可以建建立在在默認認的Users組織單單位中中。一般還還可以以把用用戶帳帳戶劃劃歸到到某個個組中中以便便管理理和訪訪問資資源網(wǎng)絡上上的用用戶有有兩種種網(wǎng)絡上上的用用戶有有兩種種。一一種是是普通通用戶戶帳戶戶；還還有一一種是是管理理員帳帳戶，，又稱稱為超超級用用戶帳帳戶這兩種種帳戶戶的區(qū)區(qū)分主主要是是指訪訪問網(wǎng)網(wǎng)絡資資源的的權限限的大大小。。如果果一個個用戶戶的權權力足足以大大到與與管理理員權權力等等同時時那他他就是是一個個超級級用戶戶。普通用用戶只只可以以訪問問網(wǎng)絡絡、使使用網(wǎng)網(wǎng)絡資資源。。超級用用戶具具有至至高無無上的的權限限，可可以負負責對對普通通用戶戶帳戶戶的所所有管管理工工作。。最重要要的是是，系系統(tǒng)管管理員員可以以管理理整個個域網(wǎng)網(wǎng)絡，，包括括網(wǎng)絡絡的安安裝、、規(guī)劃劃、設設備與與資源源的管管理與與使用用等默認的的兩個個帳戶戶網(wǎng)絡安安裝好好以后后，默默認地地建立立兩個個帳戶戶。一一個是是普通通用戶戶帳戶戶Guest；一個個是網(wǎng)網(wǎng)絡管管理員員帳戶戶Administrator。Guest又稱來來賓帳帳戶，，這是是為臨臨時訪訪問網(wǎng)網(wǎng)絡的的用戶戶提供供的。。由于于存在在不安安全性性，WindowsServer2003在安裝后默默認設置其其為不可用用在安裝網(wǎng)絡絡時安裝向向?qū)г釂枂栆筝斎肴胍粋€管理理員帳戶的的密碼，就就是為這個個帳戶建立立的。所以安裝WindowsServer2003的人人自然就是是系統(tǒng)管理理員，具有有管理整個個網(wǎng)絡的權權力。這個帳戶的的名字不能能更改，帳帳戶也不能能刪除，具具有特殊的的屬性。6．5．2帳戶的建立立通過“ActiveDirectory用戶戶與計算機機”可以進進行用戶帳帳戶的建立立和管理。?；旧峡梢砸酝ㄟ^三個個操作建立立一個用戶戶的帳戶。。一是關于于用戶帳戶戶的名字；；一是關于于帳戶的口口令；還有有就是設置置用戶帳戶戶的屬性。。（過程略））返回6．5．3用戶帳戶戶的管理實際上建立立帳戶和根根據(jù)屬性查查找用戶等等都包含在在管理用戶戶帳戶的操操作范圍內(nèi)內(nèi)除此之外，，還包括為為用戶重命命名、改變變口令、限限制用戶登登錄等這些操作都都可以使用用該用戶快捷捷菜單中的相關命命令進行返回（1）用戶戶登錄時間間的設置登錄時間的的限制具有有某種安全全的意義。。例如限制制用戶只能能在每周的的工作日及及工作時間間內(nèi)進行登登錄，其它它時段拒絕絕用戶登錄錄用戶登錄工工作站的設設置一個合法的的用戶帳戶戶，默認為為可以在任任何客戶機機上登錄。。這樣為用用戶使用域域網(wǎng)絡資源源提供了方方便，但也也存在某些些不安全因因素的存在在，可以通通過對用戶戶帳戶登錄錄站點的限限制解決3．用戶快快捷菜單上上的其它命命令△停用/啟啟用帳戶可可用于設設置停用和和啟用用戶戶帳戶。△重命名可可以為用用戶重新設設置一個新新的名字。。如果一個個職工離開開了企業(yè)，，建議不要要刪除該帳帳戶，可以以設置為““停用”帳帳戶。等新新職工調(diào)進進來接替其其工作后再再啟用該帳帳戶。重命命名一個用用戶帳戶后后，其原來來的所有權權限和組關關系等都不不變。這是是由于系統(tǒng)統(tǒng)對用戶的的識別是用用該用戶的的安全標識識符（SID），而而非用戶的的名字。賦賦予用戶的的權限等也也使用標識識符?！髦卦O密碼碼如果用用戶密碼到到期或者忘忘記了密碼碼，可以用用該命令重重新為用戶戶設置一個個新的密碼碼。除此之外，，還有兩個個常用的命命令，“將將成員添加加到組…””可以把一一個用戶添添加到某個個組中?！啊耙苿印眲t則可以使用用戶帳戶在在不同的組組織單位內(nèi)內(nèi)移動，以以便于選擇擇一個新的的組織單位位。6．6組帳戶6．6．1組的概念念6．6．2組的類型6．6．3內(nèi)置組返回6．6．1組的概念念設立組的目目的是為了了對用戶帳帳戶加強管管理。這里里所說的管管理主要是是指設置用用戶訪問資資源的權限限問題。建立了用戶戶帳戶后，，就要對用用戶訪問資資源的權限限進行設置置。一個小小規(guī)模的具具有幾十個個以下用戶戶帳戶的網(wǎng)網(wǎng)絡，對每每個用戶分分別設置相相應的權限限應該是不不成什么問問題。但是是對于一個個具有成千千上萬個用用戶的大規(guī)規(guī)模的網(wǎng)絡絡，如果用用戶帳戶的的管理是無無序、無組組織的，對對每個用戶戶都要分別別設置對資資源訪問的的權限，無無疑其管理理的工作量量將是非常常巨大的，，而且還可可能會出現(xiàn)現(xiàn)信息安全全方面的漏漏洞及隱患患。設立了組帳帳戶，就可可以把具有有同等責任任、同樣權權限或公司司中同一組組織構成的的用戶組成成一個組，，然后再對對這個組分分配訪問資資源的權限限。返回續(xù)在一個組織織單位中建建立了用戶戶及組帳戶戶后，就可可以通過組組帳戶的屬屬性把用戶戶加到相應應的組中來來，也可以以把某些組組加入到規(guī)規(guī)定的另外外的組中。。這些工作作可以通過過活動目錄錄由系統(tǒng)管管理員或其其它具有管管理員權限限的用戶進進行操作除了由管理理員建立的的組以外，，同用戶帳帳戶一樣，，在安裝了了系統(tǒng)之后后系統(tǒng)還將將內(nèi)置一些些組帳戶同用戶帳戶戶一樣，組組帳戶也區(qū)區(qū)分域的組組帳戶和本本地組帳戶戶。只有成成員服務器器、獨立服服務器和Windows2000Professional計算機才可可以設置本本地組帳戶戶，以便對對本地用戶戶帳戶進行行管理。對對于域控制制器計算機機不能設置置本地組帳帳戶。與用用戶帳戶一一樣，本地地組帳戶的的設置沒有有實際意義義6．6．2組的類型1．分類方法法2．分類的意意義3．把用戶加加入組4．組的建建立返回1．分類方法法如果按照安安全性來分分類把組分分為兩類：：一類是安安全組，即即具有訪問問權限設置置功能的組組，一般建建立的都屬屬于安全組組。另一類類是分布組組如果按照組組的成員及及組的作用用范圍來分分類可以把把組分為三三類：一類類是全局組；一類是通通用組；還還有一類是是本地域組。單域的結構構只具有全全局組和本本地域組，，多域結構構才增加通通用組。另外，只有有本機模式式下才可以以建立通用用組2．分類的意意義把組分為全全局組、通通用組和本本地域組是是從兩個方方面考慮的的。一個是是從組的成員角度考慮；；一個是從從訪問資源的角度考慮慮從組成員角角度考慮針針對的是全全局組和通通用組。從資源角度度考慮針對對的是本地地域組全局組和通通用組我們知道，，域中的用用戶帳戶就就是指人，，組是對人的的分組（包包括全局組組和通用組組）。一般的企業(yè)業(yè)、公司都都具有組織織機構，人人在不同的的組織機構構中，例如如銷售組、、財務組等等。那么通過組組就可以按按一定的組組織機構把把用戶帳戶戶組織起來來。所以可以認認為組是對對用戶帳戶戶的分類，，例如把銷銷售部的用用戶用一個個全局組組組織起來本地域組訪問網(wǎng)絡的的資源，例例如文件、、文件夾和和打印機等等，需要具具備訪問權權限。建立一個組組并設置這這個組對資資源訪問具具有某些權權限，這樣樣的組稱本本地域組。?？梢姳镜赜蛴蚪M是針對對資源的，，是對資源源訪問的權權限進行分分類的。當某些用戶戶或全局組組的用戶成成員需要具具備對該資資源的訪問問權限時可可使其加入入這個組3．把用戶加加入組先把用戶帳帳戶加入到到全局組然后再把全全局組根據(jù)據(jù)對資源的的訪問權限限加入到不不同的本地地域組中去去當然在此之之前應該已已經(jīng)設置了了某個本地地域組對某某個資源的的訪問權限限4．組的建立立通過ActiveDirectory用戶與計算算機的管理理工具建立立組（略）6．6．3內(nèi)置組內(nèi)置組是WindowsServer2003安裝了活動動目錄之后后自動建成成的組。內(nèi)置組主要要分為三類類，即內(nèi)置置本地域組組、內(nèi)置全全局組和系系統(tǒng)組返回1．內(nèi)置本本地域組與建立的本本地域組一一樣，內(nèi)置置的本地域域組也是針針對權限訪訪問而設立立的，這些些組本身已已經(jīng)被賦予予了一些權權力和權限限。本地域域組一般都都建在builtin容器中中?！鰽dministrators這這個組的的成員都具有系統(tǒng)統(tǒng)管理員的的權限可以管理整整個域。系系統(tǒng)內(nèi)置的的Administrator帳戶就就是這個組組的成員。。其成員還還包括了幾幾個內(nèi)置的的全局組。。△SeverOperators這這個組組的成員可可以管理域域控制器計計算機。例例如可以在在域控制器器計算機上上登錄并對對文件夾及及文件進行行管理等。?！鰽ccountOperators這這個組的成成員擁有管管理域控制制器的權利利，可以對對域中的用用戶及組帳帳戶進行操操作，例如如建立和管管理這些帳帳戶等2．．內(nèi)內(nèi)置置全全局局組組內(nèi)置置全全局局組組也也是是用用于于對對用用戶戶帳帳戶戶進進行行組組織織和和管管理理的的。。主要要有有DomainAdmins全全局局組組、、Domainusers全全局局組組、、DomainGuest全全局局組組和和EnterpriseAdmins全全局局組組等等。。系統(tǒng)統(tǒng)默默認認自自動動把把DomainAdmins加加入入到到Administrators本本地地域域組組中中。。可見見此此全全局局組組中中的的成成員員權權力力是是非非常常大大的的，，必必須須格格外外謹謹慎慎。。此組組默認認的的成成員員是是Administrator。3．．內(nèi)內(nèi)置置系系統(tǒng)統(tǒng)組組內(nèi)置置的的系系統(tǒng)統(tǒng)組組在在ActiveDirectory用用戶戶與與計計算算機機的的管管理理工工具具中中是是不不可可見見的的。。只有有在在進進行行資資源源訪訪問問權權限限設設置置時時才才可可以以看看到到。。例如如我我們們經(jīng)經(jīng)常?？纯吹降降牡腅veryone就就是是一一個個系系統(tǒng)統(tǒng)組組。。任何何一一個個訪訪問問計計算算機機的的用用戶戶都都默默認認是是這這個個組組的的成成員員，，且且無無法法更更改改6．．7NTFS權權限限6．．7．．1NTFS權權限限的的基基本本概概念念6．．7．．2NTFS權權限限的的類類型型6．．7．．3NTFS權權限限設設置置6．．7．．4有有效效權權限限6．．7．．5復復制制和和移移動動后后的的權權限限返回回6．．7．．1NTFS權權限限的的基基本本概概念念NTFS文文件件系系統(tǒng)統(tǒng)具具備備完完善善的的文文件件系系統(tǒng)統(tǒng)資資源源訪訪問問控控制制的的功功能能,在在網(wǎng)網(wǎng)絡絡上上可可以以進進行行文文件件夾夾級級的的保保護護。。在在本本地地既可可以以對對文文件件夾夾級級進進行行保保護護，，也也可可以以進進行行文文件件級級的的保保護護對于于一一個個網(wǎng)網(wǎng)絡絡管管理理員員，，在在規(guī)規(guī)劃劃網(wǎng)網(wǎng)絡絡環(huán)環(huán)境境時時的的重重要要任任務務就就是是規(guī)規(guī)劃劃網(wǎng)網(wǎng)絡絡資資源源的的應應用用環(huán)環(huán)境境，，設設置置網(wǎng)網(wǎng)絡絡資資源源的的訪訪問問權權限限。。設置文件及文文件夾的NTFS權限是是建立網(wǎng)絡應應用環(huán)境的基基礎工作。首先應建立若若干本地域組組，然后設置置不同的本地地域組對文件件資源的相應應權限。再建建立若干全局局組，把全局局組或某些個個別用戶帳戶戶加入到本地地域組中以便便獲取相應的的資源。返回6．7．2NTFS權限限的類型NTFS權限限包括文件夾夾的權限和文文件的權限。。文件夾的權限限與文件的權權限不同。有有時即使權限限名相同，其其含義也不一一定完全相同同返回1．文件夾權權限類型△讀取（Read）顯顯示文件夾中中的文件及子子文件夾；顯顯示文件夾的的屬性、權限限分配的情況況和文件夾的的所有者△寫入（Write）在在文件夾中中建立文件和和子文件夾；；改變文件夾夾的屬性；顯顯示文件夾的的所有者和權權限分配情況況。△列出文件夾夾目錄（ListFolderContents）顯顯示文件夾中中的文件和子子文件夾的名名字，又稱作作遍歷?！髯x取和運行行（ReadExecute）此此權限與““列出文件夾夾目錄”的權權限基本相同同，唯一不同同之處是權限限的繼承性。?！傲谐鑫募A目錄”的的權限只是由由文件夾繼承承，而“讀取取及運行”可可以由文件夾夾與文件同時時繼承?！餍薷模∕odify））修改文件件夾的名字和和刪除文件夾夾并具有“寫寫入”、“讀讀取和執(zhí)行””權限。△完全控制（（FullControl）擁擁有所有NTFS文件夾夾的權限?？煽梢孕薷臋嘞尴藓腿〉梦募A的所有權權。2．文件權限限類型△讀取顯顯示文件內(nèi)容容；顯示文件件的屬性、所所有者和權限限分配情況。?！鲗懭肟煽梢詫⑽募哺采w、改變文文件的屬性、、查看文件的的所有者和權權限等。擁有有此權限只能能將整個文件件覆蓋掉但不不能改寫文件件內(nèi)的數(shù)據(jù)。?！髯x取與運行行擁有讀讀取文件的權權限并具有運運行應用程序序的權限?！餍薷目煽梢愿奈募?nèi)的數(shù)據(jù)、、刪除文件、、重命名文件件，同時擁有有“寫入”和和“讀取及運運行”的權限限?！魍耆刂茡頁碛兴蠳TFS權限限，擁有“修修改權限”與與“取得所有有權”的權限限。文件和文件夾夾還可以設置置特殊屬性，，是在列表以以外的屬性，，可以通過單單擊安全屬性性設置對話框框中的“高級級”按鈕進行行進一步的設設置。6．7．3NTFS權權限設置在進行NTFS權限設置置時，可以對對文件夾及文文件進行屬性性設置、權限限設置、繼承承權設置、特特殊權限設置置以及所有權權更改等。這這些設置都是是在“我的電電腦”或“資資源管理器””中進行。（略）返回6．7．4有有效權限在NTFS權權限設置中，，一個用戶的的有效權限是是累加的。當當一個用戶屬屬于不同的組組時，所具有有的最終權限限是在不同組組的權限累加加的結果返回6．7．5復復制和移動動后的權限文件與文件夾夾如果被復制制或移動以后后，原來的權權限將可能發(fā)發(fā)生變化。視視復制和移動動操作不同，，又視源與目目標不同。復復制和移動文文件時操作能能否進行，還還與對被操作作的文件以及及目標文件夾夾是否具有相相應的操作權權限有關返回6．8共享文文件夾夾6．8．1文件共共享6．8．2設置共共享文文件夾夾6．8．3訪問共共享文文件夾夾6．8．4發(fā)布共共享文文件夾夾返回6．8．1文件共共享作為服服務器器的計計算機機可以以把共共享文文件夾夾設置置為共共享，，作為為客戶戶機的的用戶戶可以以通過過網(wǎng)上上鄰居居訪問問共享享文件件夾從從而獲獲得網(wǎng)網(wǎng)上的的文件件資源源顧名思思義，，共享享文件件夾只只能對對文件件夾進進行文文件資資源的的訪問問限制制，而而不能能對文文件進進行網(wǎng)網(wǎng)絡訪訪問的的限制制。對對于NTFS系統(tǒng)，，本地地用戶戶還可可以通通過NTFS權限進進行文文件資資源訪訪問的的限制制，可可以配配合使使用。。對于于FAT系統(tǒng)，，這是是唯一一的對對文件件資源源進行行限制制的方方法共享文文件夾夾權限限設置置與NTFS權限設設置具具有一一定的的關系系。在在NTFS分區(qū)上上的文文件夾夾既可可以設設置用用戶的的共享享文件件夾的的權限限，也也可以以設置置NTFS權限返回共享文文件夾夾的權權限類類型包包括：：△讀取取可可以查查看文文件夾夾內(nèi)的的文件件名稱稱、子子文件件夾名名稱，，查看看文件件內(nèi)的的數(shù)據(jù)據(jù)，運運行程程序，，遍歷歷文件件夾等等?！鳌餍扌薷某仙鲜鰴鄼嘞尥馔猓€還可以以向共共享文文件夾夾添加加文件件、子子文件件夾，，修改改文件件夾內(nèi)內(nèi)的數(shù)數(shù)據(jù)。?！鳌魍耆刂浦瞥仙鲜鏊袡鄼嘞尥馔猓€還可以以刪除除文件件與子子文件件夾。。對于于NTFS分區(qū)區(qū)的文文件及及文件件夾，，還可可以修修改權權限和和取得得所有有權。。與與NTFS權限限不同同，因因為共共享文文件夾夾是在在網(wǎng)絡絡上進進行訪訪問，，因此此還涉涉及如如何在在網(wǎng)絡絡上訪訪問的的問題題。稍稍后將將詳細細介紹紹，可可以通通過網(wǎng)網(wǎng)上鄰鄰居，，映射射網(wǎng)絡絡驅(qū)動動器以以及在在活動動目錄錄上發(fā)發(fā)布等等各種種方法法。6．8．2設置共享文文件夾以超級用戶戶帳戶登錄錄，進入““資源管理理器”或““我的電腦腦”，選擇擇某一個文文件夾右鍵鍵單擊，選選擇屬性菜菜單命令或或“共享和和安全”，，都可以進進入如圖6-80所示的共享享文件夾的的權限設置置對話框（略）返回6．8．3訪問共享文文件夾訪問共享文文件夾可以以通過三種種方法：通過網(wǎng)上鄰鄰居訪問通過映射網(wǎng)網(wǎng)絡驅(qū)動器器訪問通過活動目目錄訪問。。通過網(wǎng)上鄰鄰居和通過過映射網(wǎng)絡絡驅(qū)動器這這兩種方法法與對等網(wǎng)網(wǎng)共享文件件夾的訪問問方法一樣樣，尤其是是用Windows98作客戶機時時返回6．8．4發(fā)布共享文文件夾所謂發(fā)布共共享文件夾夾就是把共共享文件夾夾發(fā)布到ActiveDirectory，客戶通過過活動目錄錄可以訪問問共享文件件夾。只要能夠訪訪問活動目目錄的客戶戶機都可以以使用這種種訪問方式式。這種訪問方方式的優(yōu)點點非常明顯顯?？蛻魴C機在訪問服服務器時，，通過活動動目錄就可可以看到這這些共享文文件夾，而而無需進入入域控制器器。也就是說無無需知道共共享文件夾夾在哪臺計計算機就可可以訪問文文件夾返回發(fā)布共享文文件夾步驟驟如下：首先把要發(fā)發(fā)布的文件件夾如hhy計算機上的的JC設置為共享