AD域控制器一台往往都是不够的,一般都是需要两台或者两台以上,这样不至于一台AD域控制器瘫痪,导致整个架构无法运行,AD域是整个架构的核心;在上个文档中已经说了如何创建一台AD域,接下来我们看看如何在现有的AD域中添加域控制器。
1、已经有一台AD域控制器,创建AD域
2、设置IP地址,DNS指向第一台域控制器
3、设置计算机名
在对等网模式下,任何一台电脑只要接入网络,其他机器就都可以访问共享资源,如共享上网等。尽管对等网络上的共享文件可以加访问密码,但是非常容易被破解。在由Windows9x构成的对等网中,数据的传输是非常不安全的。
域控制器是指在“域”模式下,至少有一台服务器负责每一台联入网络的电脑和用户的验证工作,相当于一个单位的门卫一样,称为“域控制器(DomainController,简写为DC)”。
比较简单有效的方法是对整个域用户设置一个组策略,该组策略实现将Helpdesk用户组添加到本地计算机中,同时对该组策略的安全作出限制,对所有服务器计算机deny其“应用组策略”。具体操作是这样的:(1)在AD中新建Helpdesk用户组,添加相关的Helpdesk用户,新建ServerComputer组,将所有的服务器添加到该组中。
(2)在DC上打开“AD用户和计算机”,打开域的属性窗口,在组策略选项卡中单击“打开”按钮打开组策略管理,
新建一个组策略Helpdesk,并将该组策略链接到域上,对所有域用户生效,如图:
(3)右击“Helpdesk”,在弹出式菜单中选择“编辑”,那么就可以弹出我们熟悉的组策略编辑器了。
(4)依次展开“计算机设置”、“Windows设置”、“安全设置”、“受限制的组”,然后新建组“Helpdesk”,这个组隶属于“Administrators”组,如图:
这样设置后所有域中的计算机在应用策略后都会将Helpdesk组添加到本地的Administrators组中。
(5)右击左侧控制栏的“Helpdesk[xxx.com]策略”,在弹出式菜单中选择“属性”选项,并切换到安全选项卡,添加服务器计算机组ServerComputer,然后在下面的权限中设置其拒绝应用组策略。
(6)“确定”,完成组策略的设置。这个时候在员工计算机上运行gpupdate
/force可以强制马上刷新组策略,看到Helpdesk已经添加到Administrators组中。但是现在如果登录服务器也可以看到,Helpdesk也会被加入到Administrators组中,为什么呢?
因为计算机被加入到组中后计算机如果没有重启,那么他是不知道自己在这个组中的,所以组中的计算机必须重启!重启后就可以看到Helpdesk是不会被添加到Administrators组中的。
服务器需要24小时运行,不允许重启怎么办?可以将服务器一台一台的添加到(5)步中的安全控制中,分别对每一台计算机设置拒绝应用组策略即可。
教你一法,你可以先根据公司OU架构建一两个用户,然后用命令如:Csvde
–f
user.Csv
将AD对象导出到名为user.csv的文件
然后你可以对user.csv进行编辑如下所示
用Csvde
–I
–f
user.csv
导入就可以了
欢迎分享,转载请注明来源:夏雨云
评论列表(0条)