1、第四章 管理用戶和組,每個(gè)用戶都需要有一個(gè)帳戶，以便登錄到域訪問網(wǎng)絡(luò)資源或登錄到某臺(tái)計(jì)算機(jī)訪問該機(jī)上的資源，創(chuàng)建和管理用戶對(duì)象是網(wǎng)絡(luò)管理員執(zhí)行的最常見任務(wù)。組是用戶帳戶的集合，管理員通常通過組來對(duì)用戶的權(quán)限進(jìn)行設(shè)置從而簡化了管理。,本章學(xué)習(xí)目的,本章學(xué)習(xí)要求及能力目的,掌握本地帳戶與域帳戶的管理方法 掌握設(shè)置帳戶屬性的方法 掌握用戶配置文件的創(chuàng)建方法 掌握用戶組的管理方法 在活動(dòng)目錄中利用OU管理資源的方法,重點(diǎn)：創(chuàng)建并管理用戶和組，對(duì)用戶的配置文件進(jìn)行配置和管理。,1.用戶賬戶簡介 Windows Server 2003提供兩種主要類型用戶賬戶：本地用戶賬戶（Local User Accou

2、nt）和域用戶賬戶（Domain User Account）。除此之外，Windows Server 2003系統(tǒng)中還有內(nèi)置用戶賬戶（Built-in User Account）。,創(chuàng)建并管理用戶,2.本地用戶賬戶,本地用戶帳戶只能登錄到帳戶所在的計(jì)算機(jī)并獲得對(duì)該資源的訪問。當(dāng)創(chuàng)建本地用戶帳戶后，Windows Server 2003將在該機(jī)的本地安全性數(shù)據(jù)庫中創(chuàng)建該帳戶，本地帳戶信息存儲(chǔ)在本地，不會(huì)被復(fù)制到其他計(jì)算機(jī)或域控制器。當(dāng)創(chuàng)建一個(gè)本地用戶賬戶后，計(jì)算機(jī)使用本地安全性數(shù)據(jù)庫驗(yàn)證本地用戶賬戶，以便讓用戶登錄到該計(jì)算機(jī)。,注意： 不要在需要訪問域資源的計(jì)算機(jī)上創(chuàng)建本地用戶賬戶，因?yàn)橛虿荒茏R(shí)

3、別本地用戶賬戶，也不允許本地用戶訪問域資源。而且，域管理員也不能管理本地用戶賬戶，除非他們用計(jì)算機(jī)管理控制臺(tái)中的操作菜單連接到本地計(jì)算機(jī)。,3.創(chuàng)建本地用戶賬戶,創(chuàng)建本地用戶賬戶可以在除了域的域控制器以外的任何一臺(tái)基于Windows Server 2003的計(jì)算機(jī)上進(jìn)行。出于安全性考慮，通常建議只在不是域的組成部分的計(jì)算機(jī)上創(chuàng)建和使用本地用戶賬戶，即在屬于域的計(jì)算機(jī)上不要設(shè)置本地賬戶。工作組模式是使用本地用戶賬戶的最佳場(chǎng)所。,4.域用戶賬戶,域用戶賬戶可讓用戶登錄到域并獲得對(duì)網(wǎng)絡(luò)上其他地方資源的訪問權(quán)。域用戶賬戶是在域控制器上建立的，作為Active Directory的一個(gè)對(duì)象保存在域的Ac

4、tive Directory數(shù)據(jù)庫中。用戶在從域中的任何一臺(tái)計(jì)算機(jī)登錄到域中的時(shí)候必須提供一個(gè)合法的域用戶賬戶，該賬戶將被域的域控制器所驗(yàn)證。 當(dāng)在一個(gè)域控制器上新建一個(gè)用戶賬戶后，該用戶賬戶被復(fù)制到域中所有其他計(jì)算機(jī)上，復(fù)制過程完成后，域樹中的所有域控制器就都可以在登錄過程中對(duì)用戶進(jìn)行身份驗(yàn)證。,5.創(chuàng)建域用戶賬戶,域用戶賬戶是在域的域控制器上創(chuàng)建的，并會(huì)被自動(dòng)復(fù)制到域中的其他域控制器上。若要?jiǎng)?chuàng)建和管理域用戶賬戶，可使用【Active Directory用戶和計(jì)算機(jī)】窗口，在Active Directory目錄樹中創(chuàng)建用戶對(duì)象。也可用該工具創(chuàng)建、刪除或禁用用戶對(duì)象，并管理用戶對(duì)象的屬性。,W

5、indows Server 2003在安裝時(shí)自動(dòng)創(chuàng)建若干個(gè)用戶賬戶，并且賦予了相應(yīng)的權(quán)限，這些賬戶稱為內(nèi)置用戶賬戶。內(nèi)置用戶賬戶不允許被刪除。最常用的兩個(gè)內(nèi)置賬戶是Administrator和Guest。,6.內(nèi)置用戶賬戶,Guest（來客）賬戶一般被用于在域中或計(jì)算機(jī)中沒有固定賬戶的用戶臨時(shí)訪問域或計(jì)算機(jī)時(shí)使用的。默認(rèn)情況下不允許該賬戶對(duì)域或計(jì)算機(jī)中的設(shè)置和資源做永久性的更改。該賬戶在系統(tǒng)安裝好之后是被屏蔽的，如果需要，可以手動(dòng)啟用。,7.設(shè)置用戶賬戶屬性,創(chuàng)建的每一個(gè)用戶對(duì)象都有一套默認(rèn)屬性。創(chuàng)建了用戶賬戶后，可以設(shè)置個(gè)人屬性、賬戶屬性、登錄選項(xiàng)和撥號(hào)設(shè)置?？墒褂脼橛蛴脩糍~戶定義的屬性在目

6、錄中搜索用戶，或用于其他應(yīng)用程序。因此，創(chuàng)建每一個(gè)域用戶賬戶時(shí)都應(yīng)當(dāng)提供詳細(xì)的定義信息。,用戶的屬性對(duì)話框中各項(xiàng)選項(xiàng)卡的作用,【常規(guī)】、【地址】、【電話】和【單位】這些選項(xiàng)卡中的屬性與用戶對(duì)象或Active Directory的操作沒有直接關(guān)系，只提供用戶的背景信息。在這些選項(xiàng)卡中輸入信息可讓您通過使用已掌握的用戶信息輕松查找所需域用戶賬戶。,1）設(shè)置個(gè)人屬性,屬性對(duì)話框中的【賬戶】選項(xiàng)卡包含幾個(gè)創(chuàng)建用戶對(duì)象時(shí)所配置的屬性，在該選項(xiàng)卡中可以為用戶更改登錄名。 在【賬戶過期】選項(xiàng)組中可以為該賬戶設(shè)置一個(gè)過期時(shí)間。默認(rèn)情況下，賬戶是永久有效的，除非被刪除。如果某個(gè)臨時(shí)用戶賬戶希望在某個(gè)時(shí)間后自動(dòng)失

7、效，則可以選中【在這之后】單選按鈕，然后打開下拉菜單，在日歷中為該賬戶選擇一個(gè)失效日期，當(dāng)該賬號(hào)使用期超過設(shè)定的日期，則使用該賬戶將不能登錄到域中，而不需要管理員手動(dòng)刪除賬戶。,2）設(shè)置賬戶屬性,3）設(shè)置登錄時(shí)間,4）設(shè)置用戶可登錄的計(jì)算機(jī),默認(rèn)情況下，用戶可以從任何一臺(tái)域中的計(jì)算機(jī)登錄到域。,用戶配置文件定義了用戶使用Windows Server 2003的工作環(huán)境，其中包括用戶計(jì)算機(jī)的顯示器設(shè)定、區(qū)域設(shè)定、鼠標(biāo)、聲音設(shè)置、【開始】菜單及桌面快捷方式等參數(shù)，另外，還有網(wǎng)絡(luò)連接和打印機(jī)的設(shè)置等。,8.創(chuàng)建用戶配置文件,用戶配置文件實(shí)際上不是一個(gè)具體的文件，而是由一系列文件和文件夾組成的。在硬盤

8、上Windows Server 2003所在的分區(qū)上會(huì)有一個(gè)Documents and Settings文件夾，在該文件夾下面有所有在該計(jì)算機(jī)上登錄過的用戶的配置文件。每個(gè)用戶都會(huì)有一個(gè)自己的文件夾，文件夾的名字就是用戶的登錄名，該文件夾包含了用戶的各種設(shè)置,1)用戶配置文件的類型,分三類:本地用戶配置文件、漫游用戶配置文件和強(qiáng)制用戶配置文件。,（1）本地用戶配置文件,如果某個(gè)用戶配置文件僅限于本機(jī)使用，則稱為本地用戶配置文件。,域用戶可以在任意一臺(tái)域內(nèi)的計(jì)算機(jī)上登錄，但當(dāng)你在一臺(tái)計(jì)算機(jī)上的用戶配置文件修改后，你會(huì)發(fā)現(xiàn)到另一臺(tái)計(jì)算機(jī)上登錄時(shí)，所有的設(shè)置還是原來的，并沒有發(fā)生修改，這就是因?yàn)橛脩?/p>

9、的配置文件是保存在本地的。 如果我們想讓用戶的配置文件隨著帳號(hào)走，也就是不管用戶在哪臺(tái)計(jì)算機(jī)上登錄都能保持用戶配置文件一致，那么就要用到漫游用戶配置文件。,在域的環(huán)境下本地配置文件存在著一些問題：,漫游用戶配置文件是保存在網(wǎng)絡(luò)服務(wù)器上的用戶配置文件。當(dāng)用戶要登錄到某臺(tái)計(jì)算機(jī)，而這臺(tái)計(jì)算機(jī)上沒有本地用戶配置文件時(shí)，管理員從網(wǎng)絡(luò)服務(wù)器上把漫游配置文件復(fù)制到登錄使用的客戶機(jī)上，并且把漫游配置文件應(yīng)用于那臺(tái)計(jì)算機(jī)。這樣，用戶總得到他的個(gè)人桌面設(shè)置和連接。,（2）漫游用戶配置文件,（3）強(qiáng)制用戶配置文件,系統(tǒng)管理員還可以根據(jù)實(shí)際情況把漫游用戶配置文件設(shè)為只讀，以防用戶隨意改動(dòng)此配置文件。,強(qiáng)制用戶配置文

10、件也屬于漫游用戶配置文件，不過它具有只讀屬性，其內(nèi)容由系統(tǒng)管理員事先設(shè)置，用戶無法更改，每次登錄時(shí)都要使用固定的工作配置。用戶注銷時(shí)系統(tǒng)不保存登錄過程中用戶所做的任何改變。當(dāng)用戶再次登錄時(shí)，配置文件仍然和上次登錄時(shí)一樣。,為了將漫游用戶配置文件改成強(qiáng)制性的，只須在保存漫游用戶配置文件的共享文件夾下將ntuser.dat文件更名為ntuser.man即可。,組是用戶或計(jì)算機(jī)賬戶的集合。通過使用組可以將權(quán)限分配給一組用戶而不是單個(gè)用戶賬戶。當(dāng)將權(quán)限分配給組時(shí)，組的所有成員都將繼承那些權(quán)限，這樣可以簡化網(wǎng)絡(luò)管理。 除了用戶賬戶外，還可以將其他組、聯(lián)系人和計(jì)算機(jī)添加到組中。將組添加到其他組可以創(chuàng)建合并

11、組并減少需要分配權(quán)限的次數(shù)。也可將計(jì)算機(jī)添加到組中，簡化從一臺(tái)計(jì)算機(jī)上訪問另外一臺(tái)計(jì)算機(jī)上資源的系統(tǒng)任務(wù)。 與用戶帳戶一樣，按照在Windows Server 2003中組的使用可以分為本地組和域組。,創(chuàng)建并管理組,本地組有兩種類型：本地組（Local Groups）和內(nèi)置組（Built-in Groups）。 （1）本地組 本地組可以在任何一臺(tái)基于Windows Server 2003的非域控制器計(jì)算機(jī)上創(chuàng)建，通過將用戶加入到相應(yīng)的本地組賦予相應(yīng)的權(quán)限，就可以控制用戶對(duì)本地計(jì)算機(jī)上資源的訪問。本地賬戶信息是放置在創(chuàng)建該組的計(jì)算機(jī)內(nèi)的數(shù)據(jù)庫中，因此，其作用范圍只限于在創(chuàng)建該本地組的計(jì)算機(jī)上。,

12、1本地組類型,（2）內(nèi)置組 在安裝運(yùn)行Windows Server 2003的客戶機(jī)或成員服務(wù)器時(shí)，會(huì)自動(dòng)創(chuàng)建內(nèi)置組。內(nèi)置組具有一些特定的事先賦予的權(quán)力，用以完成某些特定的系統(tǒng)任務(wù)。內(nèi)置組不能被刪除，其作用范圍也僅限于其存在的計(jì)算機(jī)上。,域模式中的組又稱為域組，存儲(chǔ)在域的Active Directory中，在Active Directory中根據(jù)組的作用進(jìn)行分類，可分為兩類：通信組和安全組。可以使用通信組創(chuàng)建電子郵件通信組列表，使用安全組給共享資源指派權(quán)限。,2域模式組類型,像通信組一樣，安全組也可用作電子郵件實(shí)體。給這種組發(fā)送電子郵件會(huì)將該郵件發(fā)給組中的所有成員。,安全組和通信組之間的轉(zhuǎn)換

13、在域功能級(jí)別設(shè)置為Windows 2000本機(jī)或更高模式的情況下，組都可以從安全組轉(zhuǎn)換為通信組，反之亦然。當(dāng)域功能級(jí)別被設(shè)置為Windows 2000混合模式（域的模式我們將在本節(jié)后面給大家介紹）時(shí)，不可以轉(zhuǎn)換組。,在域模式中，不論是安全組還是通信組都有一個(gè)作用域，用來確定在域樹或域森林中該組的應(yīng)用范圍。按照作用域的不同，域模式中的組可以分為3類：全局組、本地域組和通用組。,3域模式中組的作用域,（1）全局組的成員是對(duì)網(wǎng)絡(luò)具有相同訪問權(quán)限的用戶。全局組的作用范圍是整個(gè)域樹，因此，全局組可以在屬于同一個(gè)域樹的域中被賦予權(quán)限。全局組的成員只能來自于定義該組的本域中的其他組和賬戶。全局組可以成為其他

14、組的成員，這些組可以是和該全局組是同一個(gè)域或是不同的域。由于全局組可以在不同的域中存在，因此，全局組中的成員可以訪問其他域中的資源。,（2）本地域組的作用范圍只是在創(chuàng)建此本地域組的本域內(nèi)，因此只能在域內(nèi)指派權(quán)限。成員可包括Windows Server 2003、Windows 2000或Windows NT域中的其他組和賬戶，本地域組具有開放的成員資格，即可以接受任何一種賬戶成為該組的成員，這些賬戶可以是同一個(gè)域中的其他本地組（必須在本機(jī)模式中）、域樹中的任何域用戶賬戶、域樹中的任何域的全局組、域樹中的任何域的通用組（必須在本機(jī)模式中）。但是本地域組不能成為其他任何組的成員。,（3）通用組可在

15、該域樹或域森林中的任何域中指派權(quán)限。其成員可包括域樹或域森林中任何域中的其他組和賬戶，但只有當(dāng)域處于本機(jī)模式時(shí)，才能創(chuàng)建具有通用組的安全組。,創(chuàng)建新組時(shí)，在默認(rèn)情況下，新組被設(shè)置為具有全局作用域的安全組，而與當(dāng)前域功能級(jí)別無關(guān)。盡管在域功能級(jí)別為Windows 2000混合模式中不允許更改組作用域，但在其域功能級(jí)別為Windows 2000純模式和Windows Server 2003模式中，允許進(jìn)行下列轉(zhuǎn)換：,4域模式中組之間的轉(zhuǎn)換,全局到通用。只有當(dāng)要更改的組不是另一個(gè)全局作用域組的成員時(shí)，允許進(jìn)行該轉(zhuǎn)換。 本地域到通用。只有當(dāng)要更改的組沒有另一個(gè)本地域組作為其成員時(shí)，允許進(jìn)行該轉(zhuǎn)換。 通

16、用到全局。只有當(dāng)要更改的組沒有另一個(gè)通用組作為其成員時(shí)，允許進(jìn)行該轉(zhuǎn)換。 通用到本地域。該操作沒有限制。,組成員與權(quán)限,5.域功能級(jí)別,1）域功能級(jí)別的類型 在Windows 2000 Server中有2種域功能級(jí)別：混合模式和本機(jī)模式。如果域處于混合模式，則可以支持Windows NT 4.0的域控制器，但不支持Windows 2000和Windows Server 2003的計(jì)算機(jī)的域控制器。在混合模式下不能使用通用組，而且也不能進(jìn)行組嵌套。如果域處于本機(jī)模式，則可以支持所有功能。Windows Server 2003的域默認(rèn)處于混合模式。,在Windows Server 2003中有3種

17、域功能級(jí)別 Windows 2000混合模式（默認(rèn)） Windows 2000純模式 Windows Server 2003模式,域的級(jí)別及所支持的DC情況,注意： （1）默認(rèn)情況下，只有Domain Admins和Enterprise Admins組中的成員才可以執(zhí)行提升域功能級(jí)別的操作。,（2）域的級(jí)別是可以改變的，但是要注意這種改變是單向不可逆的，而且一旦提升域功能級(jí)別之后，就不能再將運(yùn)行舊版操作系統(tǒng)的域控制器引入該域中。,6.內(nèi)置組,Windows Server 2003在安裝時(shí)會(huì)自動(dòng)創(chuàng)建一些組，這種組叫內(nèi)置組。內(nèi)置組又分為內(nèi)置本地組和內(nèi)置域組，內(nèi)置域組又分為內(nèi)置本地域組、內(nèi)置全局組和

18、內(nèi)置特殊組。,在活動(dòng)目錄中利用OU管理資源,OU是活動(dòng)目錄中最小的管理單元。OU一般來說與公司的行政管理部門相對(duì)應(yīng)，是一個(gè)活動(dòng)目錄對(duì)象的容器。在OU中可以有用戶賬號(hào)、組賬號(hào)、計(jì)算機(jī)、打印機(jī)、共享文件夾及子OU等對(duì)象。,實(shí)現(xiàn)OU的權(quán)限委派,在Windows Server 2003的活動(dòng)目錄中可以使用委派控制向?qū)韺?shí)現(xiàn)對(duì)OU的權(quán)限委派。,本章作業(yè),一練習(xí) 1填空題 （1）Windows Server 2003中用戶分為哪三種：內(nèi)置用戶、_和本地用戶。 （2）Windows Server 2003中域組安全作用域的類型分為_、_、通用組。 （3）當(dāng)想暫時(shí)停用某用戶的賬戶時(shí)，應(yīng)該使用_功能。 （4）Administrator是操作系統(tǒng)中最重要的用戶賬戶，平常俗稱為超級(jí)用戶，它屬于系統(tǒng)中_賬戶。 （5）Windows Server 2003中新建的用戶默認(rèn)屬于_組。 （6）Windows Server 2003中超級(jí)用戶的名字是_。,（7）Windows Server 2003中有3種域功能級(jí)別，即_、_和_。 （8）默認(rèn)情況下，只有_和_組中的成員才可以執(zhí)