1、,第3章 Windows Server 2003的安裝與配置,本章學(xué)習(xí)目標(biāo)： 了解Windows Server 2003的服務(wù)器角色、優(yōu)點(diǎn)；掌握4個(gè)版本 掌握Windows Server 2003的安裝；了解其啟動(dòng)過程 掌握活動(dòng)目錄的概念、域控制器的安裝和配置、活動(dòng)目錄中的用戶、計(jì)算機(jī)賬號(hào)與組的管理 掌握Windows Server 2003磁盤管理、資源共享,3.1 概述,3.1.1 Windows Server 2003的簡(jiǎn)介 1Windows Server 2003的服務(wù)器角色,文件和打印服務(wù)器 Web服務(wù)器和Web應(yīng)用程序服務(wù)器 郵件服務(wù)器 終端服務(wù)器 遠(yuǎn)程訪問/虛擬專用網(wǎng)絡(luò)（VPN）

2、服務(wù)器 目錄服務(wù)器 域名系統(tǒng)（DNS） 動(dòng)態(tài)主機(jī)配置協(xié)議（DHCP）服務(wù)器 Windows Internet 命名服務(wù)（WINS） 流媒體服務(wù)器,3.1 概述,3.1.1 Windows Server 2003的簡(jiǎn)介 2Windows Server 2003的優(yōu)點(diǎn),可靠性 高效性 聯(lián)網(wǎng) 最經(jīng)濟(jì) 可用性 可伸縮性 安全性,3.1 概述,3.1.2 Windows Server 2003的版本,Windows Server 2003標(biāo)準(zhǔn)版（Standard Edition） Windows Server 2003企業(yè)版（Enterprise Edition） Windows Server 2003

3、數(shù)據(jù)中心版（Datacenter Edition） Windows Server 2003 Web版（Web Edition）,3.2 Windows Server 2003的安裝與啟動(dòng),3.2.1 安裝前的準(zhǔn)備,1備份文件 2檢查計(jì)算機(jī)硬件和軟件的兼容性 3硬件配置要求 4選擇磁盤分區(qū) 5選擇文件系統(tǒng) 6確定安裝方式,3.2 Windows Server 2003的安裝與啟動(dòng),3.2.2 安裝Windows Server 2003服務(wù)器,Windows Server 2003服務(wù)器可使用多種方式進(jìn)行安裝：包括全新安裝、升級(jí)安裝和網(wǎng)絡(luò)安裝等。各種安裝方式過程相似，大體包括以下三個(gè)階段： 預(yù)復(fù)制

4、階段 文本模式階段 圖形用戶界面模式階段,3.2 Windows Server 2003的安裝與啟動(dòng),3.2.3 Windows Server 2003的啟動(dòng),Windows Server 2003的啟動(dòng)過程大致分為5個(gè)步驟： 預(yù)啟動(dòng) 啟動(dòng)（NTLDR、N） 裝載內(nèi)核（Ntoskrnl.exe） 初始化內(nèi)核 用戶登錄（Winlogon.exe）,3.3 系統(tǒng)管理與配置,3.3.1 活動(dòng)目錄概述,1活動(dòng)目錄 活動(dòng)目錄(Active Directory)是Windows Server 2003操作系統(tǒng)提供的一種新的目錄服務(wù)。所謂目錄服務(wù)其實(shí)是提供了一種按層次結(jié)構(gòu)組織的信息，然后按名稱關(guān)系檢索信息的

5、服務(wù)方式。這種服務(wù)提供了一個(gè)存儲(chǔ)在目錄中的各種資源的統(tǒng)一管理視圖，從而減輕了企業(yè)的管理負(fù)擔(dān)。目錄服務(wù)由兩部分內(nèi)容構(gòu)成，一部分是目錄：一部分是服務(wù)。 目錄是Windows操作系統(tǒng)中用于存儲(chǔ)用戶感興趣對(duì)象的信息資源。 服務(wù)(Service)是對(duì)提出要求的正確響應(yīng)，活動(dòng)目錄的最終目的是方便用戶使用其上的內(nèi)容，目錄是放置存儲(chǔ)信息，服務(wù)是按要求來提取信息。,3.3 系統(tǒng)管理與配置,3.3.1 活動(dòng)目錄概述,2活動(dòng)目錄的邏輯結(jié)構(gòu) Windows Server 2003的活動(dòng)目錄是由對(duì)象(Object)、域(Domain)、組織單元(Organizational Units)、樹(Trees)和森林(For

6、est)構(gòu)成的層次結(jié)構(gòu)。 (1)對(duì)象(Object)是對(duì)某具體事物即某種物理對(duì)象的命名，如用戶、組、打印機(jī)、共享文件夾、數(shù)據(jù)庫系統(tǒng)、應(yīng)用程序等，每個(gè)對(duì)象都表示網(wǎng)絡(luò)中的某個(gè)實(shí)體。一個(gè)用戶對(duì)象的屬性可能包含用戶的Name、Email和Phone等。 (2)域(Domain)是Windows Server 2003活動(dòng)目錄的核心單元，是共享一活動(dòng)目錄的一組計(jì)算機(jī)集合?；顒?dòng)目錄可以由一個(gè)或者多個(gè)域組成，其中每個(gè)域都擁有其獨(dú)立的安全策略以及與其他域之間的安全關(guān)系。特點(diǎn)：安全的邊界、復(fù)制的單元,3.3 系統(tǒng)管理與配置,3.3.1 活動(dòng)目錄概述,2活動(dòng)目錄的邏輯結(jié)構(gòu) (3)組織單元(OU)是組織、管理一個(gè)域

7、內(nèi)對(duì)象的容器，它能包容用戶賬號(hào)、用戶組、計(jì)算機(jī)、打印機(jī)和其他的組織單元。域可以被分割成幾個(gè)更加易于管理的單元，其中每個(gè)單元都是域中一種目錄對(duì)象的集合，稱之為組織單元。 (4)樹(Trees)，又稱為域樹，用來描述對(duì)象及容器的分層結(jié)構(gòu)關(guān)系。域樹是由若干個(gè)具有共同的模式、配置的域構(gòu)成的，形成了一個(gè)臨近的名字空間 (5)森林(Forest)又稱為域林、樹林。域樹的集合稱為域林，域林中可能有多棵域樹的存在，域林中不會(huì)有一個(gè)共享的連續(xù)命名為空間，域林是將不連續(xù)命名空間的域樹組合在一起。域林的最大特點(diǎn)就是不連續(xù)的命名空間。 在域、域樹和域林中，域和域林都有管理員，而域樹沒有。,3.3 系統(tǒng)管理與配置,3.

8、3.2 安裝和配置域控制器,1域控制器 在Windows Server 2003中，域中所有的域控制器之間都是平等的關(guān)系，不再區(qū)分主域控制器和備份域控制器，統(tǒng)一稱作域控制器或域服務(wù)器，活動(dòng)目錄的全部?jī)?nèi)容存放在域控制器上，它負(fù)責(zé)活動(dòng)目錄數(shù)據(jù)庫的維護(hù)、用戶身份的驗(yàn)證和活動(dòng)目錄的安全性。 域控制器（域服務(wù)器）與普通服務(wù)器的區(qū)別是在計(jì)算機(jī)上是否存放了活動(dòng)目錄的數(shù)據(jù)庫文件。,3.3 系統(tǒng)管理與配置,3.3.2 安裝和配置域控制器,2安裝域控制器 3安裝設(shè)置其他的域控制器,3.3 系統(tǒng)管理與配置,3.3.3 管理活動(dòng)目錄中的用戶和計(jì)算機(jī)賬號(hào),1用戶賬號(hào)的類型 (1)內(nèi)置用戶賬號(hào)(Built-In Acco

9、unts),(2)域用戶賬號(hào)(Domain User Accounts) (3)本地用戶賬號(hào)(Local User Accounts),系統(tǒng)管理員(Administrator) 來賓(Guest) 遠(yuǎn)程協(xié)助 (HelpAssistant),3.3 系統(tǒng)管理與配置,3.3.3 管理活動(dòng)目錄中的用戶和計(jì)算機(jī)賬號(hào),2用戶賬號(hào)的命名策略 (1)賬號(hào)名稱的命名原則,1)每一個(gè)用戶的賬號(hào)名稱在Active Directory中是唯一的，不同的用戶使用不同的賬號(hào)名稱。 2)Windows Server 2003中用戶登錄名的前綴沒有限制。 3)登錄名可以是除了下列字符以外的所有Unicode字符：前導(dǎo)空格；

10、尾隨空格以及“#”、“，”、“”、“”、“”、“：”。 4)當(dāng)一個(gè)網(wǎng)絡(luò)中的用戶數(shù)較多時(shí)，賬號(hào)名稱應(yīng)該便于記憶和區(qū)分。,3.3 系統(tǒng)管理與配置,3.3.3 管理活動(dòng)目錄中的用戶和計(jì)算機(jī)賬號(hào),(2)賬號(hào)的密碼要求(強(qiáng)密碼) 密碼至少有6個(gè)字符長(zhǎng)，它不包含用戶賬號(hào)的全部或部分，并至少包含以下四類字符中的三類：大寫字母、小寫字母、基本的10個(gè)數(shù)字以及鍵盤上的符號(hào)（例如！、#）。通過要求強(qiáng)密碼并實(shí)行賬號(hào)鎖定策略，有助于防卸攻擊者對(duì)域的攻擊。強(qiáng)密碼減少了對(duì)密碼的智能猜測(cè)以及詞典攻擊的風(fēng)險(xiǎn)。 (3)賬號(hào)選項(xiàng),登錄時(shí)間 允許用戶登錄的計(jì)算機(jī) 賬號(hào)的使用時(shí)限等,3.3 系統(tǒng)管理與配置,3.3.3 管理活動(dòng)目錄中

11、的用戶和計(jì)算機(jī)賬號(hào),3管理活動(dòng)目錄中的用戶賬號(hào),(1)用戶賬號(hào)的添加 (2)用戶賬號(hào)的刪除 (3)用戶賬號(hào)的移動(dòng) (4)用戶賬號(hào)的重命名 (5)用戶賬號(hào)的啟用與停用 (6)更改用戶賬號(hào)和密碼 (7)設(shè)置用戶賬號(hào)屬性 (8)更改用戶后綴,3.3 系統(tǒng)管理與配置,3.3.3 管理活動(dòng)目錄中的用戶和計(jì)算機(jī)賬號(hào),4管理活動(dòng)目錄中的計(jì)算機(jī)賬號(hào),(1)添加計(jì)算機(jī)賬號(hào) (2)設(shè)置計(jì)算機(jī)賬號(hào)的屬性 (3)管理遠(yuǎn)程客戶計(jì)算機(jī),3.3 系統(tǒng)管理與配置,3.3.4 管理活動(dòng)目錄中的組,1組的分類,(1)組的類型(安全組和分布式組) (2)組的作用范圍(通用組、全局組和域內(nèi)本地組) (3)系統(tǒng)內(nèi)置組,2活動(dòng)目錄中組的

12、管理 (1)管理組時(shí)應(yīng)注意的問題,1)一個(gè)用戶可以是多個(gè)組的成員。 2)一個(gè)組也可以是另一個(gè)組的成員中，可以將一個(gè)組添加到其他組中，實(shí)現(xiàn)組的嵌套。當(dāng)給上層組設(shè)置權(quán)限時(shí)，嵌套在該組中的下層組將自動(dòng)繼承其權(quán)限，而不需要對(duì)多個(gè)組單獨(dú)進(jìn)行設(shè)置，減少了設(shè)置權(quán)限的次數(shù)。,3.3 系統(tǒng)管理與配置,3.3.4 管理活動(dòng)目錄中的組,2活動(dòng)目錄中組的管理,(2)組的創(chuàng)建 (3)組的刪除 (4)組的重命名 (5)組成員的添加 (6)組成員的刪除,3.4 系統(tǒng)訪問控制,3.4.1 利用NTFS實(shí)現(xiàn)文件系統(tǒng)的安全,1Windows Server 2003支持的文件系統(tǒng)類型,(1)FAT文件系統(tǒng)(FAT16和FAT32)

13、 (2)NTFS簡(jiǎn)介,1)NTFS文件系統(tǒng)的優(yōu)點(diǎn) 2)NTFS的安全特性,3.4 系統(tǒng)訪問控制,3.4.1 利用NTFS實(shí)現(xiàn)文件系統(tǒng)的安全,2管理文件和文件夾的訪問許可權(quán),(1)NTFS文件權(quán)限的類型,讀?。捍藱?quán)限允許用戶讀取文件內(nèi)的數(shù)據(jù)、查看文件的屬性、查看文件的所有者、查看文件的權(quán)限。 寫入：此權(quán)限包括覆蓋文件、改變文件的屬性、查看文件的所有者、查看文件的權(quán)限等。 讀取及運(yùn)行：除了具有“讀取”的所有權(quán)限，還具有運(yùn)行應(yīng)用程序的權(quán)限。 修改：此權(quán)限除了擁有“寫入”、“讀取及運(yùn)行”的所有的權(quán)限外，還能夠更改文件內(nèi)的數(shù)據(jù)、刪除文件、改變文件名等。 完全控制：擁有所有的NTFS文件的權(quán)限，也就是擁有

14、上面所提到的所有權(quán)限，此外，還擁有“修改權(quán)限”和“取得所有”權(quán)限。,3.4 系統(tǒng)訪問控制,3.4.1 利用NTFS實(shí)現(xiàn)文件系統(tǒng)的安全,2管理文件和文件夾的訪問許可權(quán),(2)設(shè)置安全的訪問許可權(quán),對(duì)服務(wù)器上的所有文件，實(shí)施強(qiáng)有力的基于許可的安全措施。 對(duì)中低安全性的安裝，除系統(tǒng)卷和引導(dǎo)卷外，所有驅(qū)動(dòng)器上均實(shí)施域用戶(Domain User)管理，避免使用缺省的每個(gè)用戶(Everyone)、完全控制(Full control)許可等安全措施。 對(duì)于高安全性安裝，去掉所有Everyone、完全控制許可權(quán)。不要用缺省許可代替，只在特別需要的地方才增加許可。 以機(jī)構(gòu)中的自然關(guān)系為基礎(chǔ)建立組，按組分配文件

15、許可權(quán)。 利用第三方的許可審計(jì)軟件管理復(fù)雜環(huán)境中的許可權(quán)問題。,3.4 系統(tǒng)訪問控制,3.4.1 利用NTFS實(shí)現(xiàn)文件系統(tǒng)的安全,2管理文件和文件夾的訪問許可權(quán),(3)文件與文件夾的訪問許可沖突,隨著網(wǎng)絡(luò)環(huán)境下的共享文件和文件夾的創(chuàng)建，可能會(huì)出現(xiàn)資源許可權(quán)沖突。當(dāng)某個(gè)用戶是多個(gè)組的成員時(shí)，其中的某些組可能允許訪問某種資源，而其他組的成員被拒絕訪問它。另外，有時(shí)也可能出現(xiàn)重復(fù)的許可。,權(quán)限的累加性。用戶對(duì)每個(gè)資源的有效權(quán)限是其所有權(quán)限的總和，即權(quán)限相加，把所有的權(quán)限加在一起為該用戶的權(quán)限。 對(duì)資源的拒絕權(quán)限會(huì)覆蓋掉所有其他的權(quán)限。例如，當(dāng)用戶對(duì)某一個(gè)資源的權(quán)限被設(shè)為拒絕訪問，則用戶的最后權(quán)限是無

16、法訪問該資源，其他的權(quán)限不再起作用。 文件權(quán)限會(huì)覆蓋掉文件夾權(quán)限。當(dāng)用戶或組對(duì)某個(gè)文件夾以及該文件夾下的文件有不同的訪問權(quán)限時(shí)，用戶對(duì)文件的最終權(quán)限是用戶被賦予訪問該文件的權(quán)限。例如，共享文件夾允許完全控制而文件允許只讀，則該文件為只讀。,3.4 系統(tǒng)訪問控制,3.4.1 利用NTFS實(shí)現(xiàn)文件系統(tǒng)的安全,2管理文件和文件夾的訪問許可權(quán),(4)查看文件與文件夾的訪問許可權(quán) (5)更改文件或文件夾的訪問許可權(quán),3.4 系統(tǒng)訪問控制,3.4.2 Windows Server 2003磁盤管理,磁盤管理的新功能和新特征主要包括：,簡(jiǎn)化任務(wù)和直觀的用戶界面。 基本和動(dòng)態(tài)磁盤存儲(chǔ) 本地和網(wǎng)絡(luò)驅(qū)動(dòng)器管理 從

17、命令行（DISKPART）管理磁盤,“磁盤管理”MMC控制臺(tái)可以完成以下功能：,創(chuàng)建和刪除磁盤分區(qū)。 創(chuàng)建和刪除擴(kuò)展分區(qū)中的邏輯驅(qū)動(dòng)器。 讀取磁盤狀態(tài)信息，如分區(qū)大小。 讀取Windows Server 2003卷的狀態(tài)信息，如驅(qū)動(dòng)器名的指定、卷標(biāo)、文件類型、大小及可用空間。 指定或更改磁盤驅(qū)動(dòng)器及CD-ROM設(shè)備的驅(qū)動(dòng)器名和路徑。 創(chuàng)建和刪除卷和卷集。 創(chuàng)建和刪除包含或者不包含奇偶校驗(yàn)的帶區(qū)集。 建立或拆除磁盤鏡像集。 保存或還原磁盤配置。,3.4 系統(tǒng)訪問控制,3.4.2 Windows Server 2003磁盤管理,1基本磁盤管理 基本磁盤主要包含主磁盤分區(qū)、擴(kuò)展磁盤分區(qū)或邏輯驅(qū)動(dòng)器的

18、物理磁盤，它們都是以分區(qū)方式組織和管理磁盤空間?；敬疟P可包含最多4個(gè)主磁盤分區(qū)，或者3個(gè)主磁盤分區(qū)附加1個(gè)擴(kuò)展磁盤分區(qū)，而在擴(kuò)展分區(qū)中可包含多個(gè)邏輯驅(qū)動(dòng)器。 主磁盤分區(qū)是物理磁盤的一部分，它像物理上獨(dú)立的磁盤那樣工作。主磁盤分區(qū)通常用于啟動(dòng)操作系統(tǒng)。可以在不同的主分區(qū)安裝不同的操作系統(tǒng)，以實(shí)現(xiàn)多系統(tǒng)的引導(dǎo)。擴(kuò)展磁盤分區(qū)是相對(duì)于主磁盤分區(qū)而言的一種分區(qū)類型。一個(gè)硬盤可將除主磁盤分區(qū)外的所有磁盤空間劃為擴(kuò)展磁盤分區(qū)。在擴(kuò)展磁盤分區(qū)中可以創(chuàng)建一個(gè)或多個(gè)邏輯驅(qū)動(dòng)器。邏輯驅(qū)動(dòng)器類似于主磁盤分區(qū)，它可以被格式化并被指派驅(qū)動(dòng)器號(hào)。,3.4 系統(tǒng)訪問控制,3.4.2 Windows Server 2003磁

19、盤管理,1基本磁盤管理 基本磁盤管理的主要任務(wù)是查看分區(qū)情況，并根據(jù)實(shí)際需要添加、刪除、格式化分區(qū)，指派、更改或刪除驅(qū)動(dòng)器號(hào)，將分區(qū)標(biāo)記為活動(dòng)分區(qū)等。,(1)創(chuàng)建分區(qū) (2)格式化分區(qū) (3)刪除分區(qū),3.4 系統(tǒng)訪問控制,3.4.2 Windows Server 2003磁盤管理,2動(dòng)態(tài)磁盤管理 動(dòng)態(tài)磁盤可以提供一些基本磁盤所不具備的功能，例如創(chuàng)建可跨越多個(gè)磁盤的卷（跨區(qū)卷和帶區(qū)卷）和創(chuàng)建具有容錯(cuò)能力的卷（鏡像卷和 RAID-5卷）。所有動(dòng)態(tài)磁盤上的卷都是動(dòng)態(tài)卷。動(dòng)態(tài)卷有五種類型：簡(jiǎn)單卷、跨區(qū)卷、帶區(qū)卷、鏡像卷和 RAID-5卷。,(1)磁盤類型轉(zhuǎn)換,1)基本磁盤升級(jí)到動(dòng)態(tài)磁盤 2)動(dòng)態(tài)磁盤

20、轉(zhuǎn)換為基本磁盤,3.4 系統(tǒng)訪問控制,3.4.2 Windows Server 2003磁盤管理,2動(dòng)態(tài)磁盤管理 (2)卷的類型 卷，相當(dāng)于基本磁盤的分區(qū)，是Windows Server 2003的數(shù)據(jù)存儲(chǔ)單元。Windows Server 2003支持5種類型的動(dòng)態(tài)卷。,簡(jiǎn)單卷是動(dòng)態(tài)卷中的最基本單位，它的地位與基本磁盤中的主磁盤分區(qū)相當(dāng)。 跨區(qū)卷是幾個(gè)（大于一個(gè)）位于不同物理磁盤的未指派空間組合成的一個(gè)邏輯卷。 帶區(qū)卷與跨區(qū)卷類似，帶區(qū)卷也是幾個(gè)(大于一個(gè))分別位于不同磁盤的未指派空間所組合成的一個(gè)邏輯卷。不同的是，帶區(qū)卷的每個(gè)成員的容量大小相同，并且數(shù)據(jù)寫入是以64KB為單位平均寫到每個(gè)磁

21、盤內(nèi)。單純從速度方面考慮，帶區(qū)卷是Windows Server 2003所有磁盤管理功能中，運(yùn)行速度最快的卷。帶區(qū)卷功能類似于磁盤陣列RAID 0(條帶化存儲(chǔ)，存取速度快，但不具有容錯(cuò)能力)標(biāo)準(zhǔn)。帶區(qū)卷不具有擴(kuò)展容量的功能。,3.4 系統(tǒng)訪問控制,3.4.2 Windows Server 2003磁盤管理,2動(dòng)態(tài)磁盤管理 (2)卷的類型,鏡像卷的創(chuàng)建有兩種形式，可以用一個(gè)簡(jiǎn)單卷與另一磁盤中的未指派空間組合，也可以由兩個(gè)未指派的可用空間組合。這兩個(gè)區(qū)域存儲(chǔ)完全相同的數(shù)據(jù)，當(dāng)一個(gè)磁盤出現(xiàn)故障時(shí)，系統(tǒng)仍然可以使用另一個(gè)磁盤內(nèi)的數(shù)據(jù)，因此，它具備容錯(cuò)的功能。但它的磁盤利用率不高，只有50%。它可以包含

22、系統(tǒng)卷和啟動(dòng)卷。鏡像卷具有容錯(cuò)能力 。 RAID-5卷有一點(diǎn)類似于帶區(qū)卷，也是由多個(gè)分別位于不同磁盤的未指派空間所組成的一個(gè)邏輯卷。具有一定的容錯(cuò)能力。其功能類似于磁盤陣列RAID-5標(biāo)準(zhǔn)。RAID-5卷至少要由3個(gè)磁盤組成，系統(tǒng)在寫入數(shù)據(jù)時(shí)，以64KB為單位。RAID-5卷的磁盤空間有效利用率為(n-1)/n，其中n為磁盤的數(shù)目。,3.4 系統(tǒng)訪問控制,3.4.2 Windows Server 2003磁盤管理,3高級(jí)磁盤管理功能,(1)磁盤配額的含義,在Windows Server 2003網(wǎng)絡(luò)中，管理員在很多情況下都需要為客戶端指定可以訪問的磁盤空間配額，也就是限制用戶可以訪問服務(wù)器磁盤

23、空間的容量。這樣做的目的是避免個(gè)別用戶濫用磁盤空間。 磁盤配額除了限制內(nèi)部網(wǎng)絡(luò)用戶能夠訪問服務(wù)器磁盤空間的容量以外，還有其他一些用途。例如，Windows Server 2003內(nèi)置的電子郵件服務(wù)器無法設(shè)置用戶郵箱的容量，那么可以通過限制每個(gè)用戶可用的磁盤空間容量以限制用戶郵箱的容量；Windows Server 2003內(nèi)置的FTP服務(wù)器，無法設(shè)置用戶可用的上傳空間大小，也可以通過磁盤配額限制，限定用戶能夠上傳到FTP的數(shù)據(jù)量；通過磁盤配額限制Web網(wǎng)站中個(gè)人網(wǎng)頁可使用的磁盤空間。,3.4 系統(tǒng)訪問控制,3.4.2 Windows Server 2003磁盤管理,3高級(jí)磁盤管理功能 (2)啟用磁盤配額 在啟用