Windows Server 2012 R2怎么配置域控制器

Windows Server 2012 R2域控制器部署

Active Directory概述：

活动目录（Active Directory）是面向Windows Standard Server、Windows Enterprise Server以及 Windows Datacenter Server的目录服务。（Active Directory不能运行在Windows Web Server上，但是可以通过它对运行Windows Web Server的计算机进行管理。）Active Directory存储了有关网络对象的信息，并且让管理员和用户能够轻松地查找和使用这些信息。Active Directory使用了一种结构化的数据存储方式，并以此作为基础对目录信息进行合乎逻辑的分层组织。Microsoft Active Directory 服务是Windows 平台的核心组件，它为用户管理网络环境各个组成要素的标识和关系提供了一种有力的手段。

Windows Server 2012在部署DC方面有了一些改变，不再使用“dcpromo”命令来部署，而是使用服务器管理器来安装AD域服务，如果使用“dcpromo”会出现以下提示；

首先我们先配置好IP地址、计算名，然后打开服务器管理器，点击添加角色和功能，弹出添加角色和功能向导，点击下一步；

在安装类型默认选择“基于角色或基于功能的安装”，点击下一步；

在服务器选择页面保持默认“从服务器池中选择服务器”，点击下一步；

在服务器角色页面，选择我们要安装的”Active Directory域服务“，点击下一步弹出功能选择对话框，点击添加功能；

在功能选择页面可以保持默认继续点击下一步，在这里我选择了安装.NET 3.5；

进入AD域服务安装向导，继续下一步；

确认选择要安装的角色和功能，点击安装；

开始安装界面；

经过一会的等待，我们的角色和功能就已经安装完成，可以在服务器管理器界面的小旗处点击”将此服务器提升为域控制器“（PS：在这里我的图片上显示的是dc02服务器，有几张图片乱了，不要在意）

转到AD域服务配置向导，由于我们是搭建林中的第一台域控制器，所以选择”添加新林“在根域名输入要创建的域名；

由于我是测试环境，没有Windows 2012以下的服务器，所以保持默认林和域功能级别为2012 R2，实际生产中可根据环境来选择；输入目录还原密码，此密码是在还原域控状态时使用的密码，请谨记；

出现关于DNS警告，是由于我们的服务器中还没有安装DNS服务，不用理会，在下面的安装过程中会自动安装；

在NetBIOS界面中保持默认，点击下一步；

在路径选择页面可以指定数据库文件、日志文件和SYSVOL文件的存放位置，由于是测试环境，我就直接保持默认；

在摘要界面如果没有问题，我们可以选择下一步，否则，可以返回修改；

同时在上一步中我们可以点击查看脚本，将配置导出为PowerShell 脚本；

进行先决条件检查，检查通过后，点击安装；

正在启动安装；

正在安装DNS；

安装完成后需要重启服务器；

至此，我们的第一台DC就部署完成了。

安装2000或2003server版的服务器软件，注意，必须是server版的！

第一步建立域：

在运行里输入dcpromo就可以了,然后一步一步向下做就可以了．

条件：必须是windos

2000/2003

server系列的计算机。

有ntfs分区计算机内必须有200m的空间存放ad的数据库、50m的空间存放日志文件。

安装tcp/ip和配置dns〕

第二步将其它计算机加入域：

首先将客户机tcp/ip配置中所配的dns服务器，指向dc所用的dns服务器。然后我的电脑/右键/属性/网络标识/属性/隶属于，选择域：输入域名，确定。提示输入用户口和口令，确定后提示重启。

第三步管理域用户：

打开管理工具下的active

directory

用户和计算机，然后建立组织单位及组和用户，用所建立的用户在其它加入域的计算机登陆就可以了．

我在这里只能简单打那么多了，一来表达能力有限，而且管理域其实也是一下很复杂的过程，给以下的网址，你有空看看吧．

一、 域的组建1.服务器配置因为只有本地办公，所以只需要单域就够了。服务器是三台IBM 服务器，*作系统是WINDOWS 2000 SERVER版（也不一定要三台，实际上一台也能完成这些服务，至于用不用高级服务器版随你便了）。

:M]9X5Tb` he0

)`$g4vITV${U.q4y0 SERVER（192.168.0.1）：主域控制器，域名final.com，IP192.168.0.1；并配置为主DNS服务器（转发DNS请求到ISP的DNS服务器IP，这样当客户机的DNS指向SERVER时不仅可以正常使用局域网也可以访问Internet）；安装WINS服务。

!`/O,{(R:l9f0 Many Summer -- 非常夏天/YEI&t#E6pP(t

SERVER2（192.168.0.2）：备份域控制器，DHCP服务器，建立作用域192.168.0.0/24，提供192.168.0.10~192.168.0.100（具体提供多少IP地址请根据需要自定，关键是请留出一部分IP给服务器用）；配置作用域选项，其中网关为192.168.0.254（宽带共享路由器），DNS、WINS服务器地址为192.168.0.1. SERVER3（192.168.0.3）：备用。Many Summer -- 非常夏天v\(t[c_1k6a

Many Summer -- 非常夏天 c*L\"T'C[SD

如果为了稳定，可以在SERVER2上配置为DNS为主DNS的备份区域及GC，这样即使SERVER因调试重启或故障暂时不能使用时保证客户机仍可正常使用网络。

*cuu"l2U)X0

0["UrT,VJp^0 请不要问我如何安装DC、DNS、DHCP、WINS服务，微软的设计简直就是*瓜化的安装。

y%r,|.b#B-i-M9m1nx0

CuxAf5wl0 2.OU的建立公司有人事部、行政部、财务部、工程部、市场部五个部门（虚拟的）。Many Summer -- 非常夏天 ddFhn w6Z'D

为了管理及配置策略方便，建立以下OU层级。Many Summer -- 非常夏天o8h,O%j"qZ}y[@O

建立一级OU名为“FINAL”，“FINAL”下建三个二级OU，分别为“管理员”、“公司领导”、“部门”。在“部门”下按部门名称建立五个部门OU.在每个二级OU和**OU下分别建立安全组和用户，并把用户加入相应的安全组。Many Summer -- 非常夏天0vf$wh j]#a

u+t-U'l&Ldf'{xm1c0 用户帐号建立原则：以公司花名册为准，用员工工号为登录名建立用户帐号，建立后移动到相应的部门OU，并加入相应的安全组，员工的帐号均为Domain Users组。Many Summer -- 非常夏天7WYf&W.m*jU q

_E-^P ijZ0 如在“管理员”OU里建立“管理组”，建立用户“000”，并把用户“000”加入安全组“管理组”；在OU“部门”－“人事部”下建立用户“004”，加入安全组“人事组”。Many Summer -- 非常夏天l b\b-}3Ao8Xop

-n5ktuv4O0 建立用户帐号的时候请完整输入用户的姓名资料，以便日后若安装Exchange时使用。

!N~P ~*OUHWY9W0

9^je.n [7[:X4o0 请注意：这时OU里并没有计算机帐号，因为在设计OU时客户机并没有安装，请看后面的客户机安装。

9R,Lk$]Sj0

/C4U9~/L2A'z0 3.组策略及网络使用按以上设计的OU层级，可以在公司、管理层次、功能部门分别设计相应的组策略。以下举两个实例以供参考。

_ hrQo7vy7uw0 Many Summer -- 非常夏天QoM w\*Sf0og

例一：限制客户机登录用户客户机加入域后（客户机的安装及配置见后），默认情况下任何一个域帐号可以在任何一台客户机登录到域使用该台客户机。可我朋友公司的人竟然不接受这个观点，说这样子岂不是每个人的电脑其他人都可以打开了，不安全，要给每台电脑再加上CMOS开机密码。当时我气的差点儿六孔喷血而亡（当时正在吃KFC，嘴里不会吐出来的）。

k2G{ ?:Z/BJ0 Many Summer -- 非常夏天+}lX }2q.l"u

在我几番耐心讲解，告诉他们“电脑应做为公司一种共享的办公设备，而不是某个单用的电脑。任何一个连入网络的设备（电脑、打印机）都是网络的一部分，都是公司的资源”。终于达成以下协议，每个部门的人只能登录该部门的电脑。这一点从一定程度上增加了客户机的安全性。

b5o&W3d'{{(@8i0 Many Summer -- 非常夏天CRjfz

在**OU，如“人事部”上创建组策略，在“计算机设置”－“本地策略”－“用户权利指派”－“在本地登录”，设置Domain Admin组和“人事组”有效，这样只有管理员和人事部的人才能登录人事部的电脑了。其他部门分别添加相应组策略。Many Summer -- 非常夏天l$e2|k({Wr R.Nm

Many Summer -- 非常夏天&Vf ~O8FfH p,\*a

例二：网络共享的设计及文件夹重定向由于给用户的是Domain User的权限，所以用户不能共享本地的文件，那么如何解决用户文件共享的需要呢？这就要求在服务器上有管理员统一设置了。Many Summer -- 非常夏天$Jkkb%]fz

Many Summer -- 非常夏天 U1LM n:G@H8v H

服务器上的共享：在SERVER3上建立一个文件夹“DATA”，并完全共享，共享名为默认的“DATA”。在“DATA”文件夹下建立“SHARE DOCUENT”文件夹，在此文件夹建立每个部门的文件夹并设置NTFS权限。

W&T#ioxo$A0

4{"Xt,O:~5I0 其中DATA，Share document文件夹设置Domain Admin组，SYSTEM完全控制，Everyone只读；部门文件夹的NTFS权限设置为Domain admin组和本部门安全组有完全控制权限，Everyone只读。Many Summer -- 非常夏天o0gp'W i RB!S

cp,MacX FQ^*d3{0 用户帐号配置：建立用户帐号时，为用户配置“主文件夹”，连接到服务器上的本部门文件夹。Many Summer -- 非常夏天7_}UGU-e-N

Many Summer -- 非常夏天%C4b)hV.\`1i HZU

图中的部门文件夹路径应为完整的UNC，如 “\\server3\data\share document\人事部”。

B!d(Y^$B V$Z"|0 Many Summer -- 非常夏天tF+v%t9B'f

这样设置当用户登录后在“我的电脑”里会多一个网络映射Z盘，映射到用户本部门共享文件夹，用户可以把需要共享的文件拷贝到Z盘，其他用户就可以通过共享访问。

[n8L-QK0 Many Summer -- 非常夏天b|5d.v4bc

放在共享里的文件，本部门人的有完全控制权限，其他部门人具有只读权限。用户可以进一步在本部门文件夹内建立自己的文件夹，并设置更严格的权限。有些用户可能没有固定的电脑，个人文件放在部门共享文件夹里会有一些问题出现。一是安全性有待进一步设计，二是用户对共享不是很熟悉，多数人不会去设置文件夹安全属性。考虑到这一点，再加上文件存放的方便性，我做了文件夹重定向。

o9J"^"[{y1j0

(a D0y(}*mM(kE+f.v0 在一级OU FINAL上添加组策略，这是为了保证域内所有的用户的My Document文件夹都存放到服务器上。

wkjd~$j0

K*X eC4l(yIH0 组策略－用户配置－Windows设置－文件夹重定向，设置My Document属性，设置"基本-将每个人的文件夹定向到同一位置"，"目录文件夹位置"为file://Server3/Data/User Document/%username.以上的设计完成了两个通过网络共享方案：（1）存放在My Document里的文件，用户无论在哪台客户机登录时均可正常访问，且只有自己可以访问；（2）各部门可在服务器上共享文件，且只有本部门有修改权限。

%F-]+P*mIY.R0

---