AD域控規(guī)劃方案

1、作者：Pan Hon glia ng僅供個人學(xué)習(xí)活動目錄AD規(guī)劃方案1.1. 活動目錄介紹活動目錄是 Windows網(wǎng)絡(luò)體系結(jié)構(gòu)中一個基本且不可分割的部分，它為網(wǎng) 絡(luò)的用戶、管理員和應(yīng)用程序提供了一套分布式網(wǎng)絡(luò)環(huán)境設(shè)計的目錄服務(wù)。活動目錄使得組織機構(gòu)可以有效地對有關(guān)網(wǎng)絡(luò)資源和用戶的信息進行共享和管理。另外，目錄服務(wù)在網(wǎng)絡(luò)安全方面也扮演著中心授權(quán)機構(gòu)的角色，從而使操作系統(tǒng)可以輕松地驗證用戶身份并控制其對網(wǎng)絡(luò)資源的訪問。同等重要的是，活動目錄還擔(dān)當(dāng)著系統(tǒng)集成和鞏固管理任務(wù)的集合點。活動目錄提供了對基于 Windows的用戶賬號、客戶、服務(wù)器和應(yīng)用程序進 行管理的唯一點。同時，它也幫助組織機構(gòu)通過使

2、用基于Windows的應(yīng)用程序和與Windows相兼容的設(shè)備對非 Windows系統(tǒng)進行集成，從而實現(xiàn)鞏固目錄服 務(wù)并簡化對整個網(wǎng)絡(luò)操作系統(tǒng)的管理。公司也可以使用活動目錄服務(wù)安全地將網(wǎng) 絡(luò)系統(tǒng)擴展到In ternet上?；顒幽夸浺虼耸宫F(xiàn)有網(wǎng)絡(luò)投資升值，同時，降低為使 Windows網(wǎng)絡(luò)操作系統(tǒng)更易于管理、更安全、更易于交互所需的全部費用。活動目錄是微軟各種應(yīng)用軟件運行的必要和基礎(chǔ)的條件。下圖表示出活動 目錄成為各種應(yīng)用軟件的中心。1.2. 應(yīng)用 Windows 2012 Server AD 的好處Windows 2012 AD簡化了管理，加強了安全性，擴展了互操作性。它為用 戶、組、安全服務(wù)及

3、網(wǎng)絡(luò)資源的管理提供了一種集中化的方法。應(yīng)用Windows 2012 AD之后，企業(yè)信息化建設(shè)者和網(wǎng)絡(luò)管理員可以從中獲得如 下好處：1、方便管理，權(quán)限管理比較集中，管理人員可以較好的管理計算機資源。2、安全性高，有利于企業(yè)的一些保密資料的管理，比如一個文件只能讓某一個 人看,或者指定人員可以看，但不可以刪/改/移等。3、 方便對用戶操作進行權(quán)限設(shè)置，可以分發(fā)，指派軟件等，實現(xiàn)網(wǎng)絡(luò)內(nèi)的軟件一 起安裝。4、很多服務(wù)必須建立在域環(huán)境中，對管理員來說有好處：統(tǒng)一管理，方便在MS軟 件方面集成，如ISA EXCHANGE（郵件服務(wù)器）、ISA SERVER（上網(wǎng)的各種設(shè)置與 管理）等。5、使用漫游賬戶和文

4、件夾重定向技術(shù)，個人賬戶的工作文件及數(shù)據(jù)等可以存儲 在服務(wù)器上，統(tǒng)一進行備份、管理，用戶的數(shù)據(jù)更加安全、有保障。6方便用戶使用各種資源。7、SMS（System Management Serve）能夠分發(fā)應(yīng)用程序、系統(tǒng)補丁等，用戶可 以選擇安裝，也可以由系統(tǒng)管理員指派自動安裝。并能集中管理系統(tǒng)補?。ㄈ?Windows Updates，不需每臺客戶端服務(wù)器都下載同樣的補丁，從而節(jié)省大量網(wǎng) 絡(luò)帶寬。8、資源共享用戶和管理員可以不知道他們所需要的對象的確切名稱，但是他們可能知道這個 對象的一個或多個屬性，他們可以通過查找對象的部分屬性在域中得到一個所有 已知屬性相匹配的對象列表，通過域使得基于一個或

5、者多個對象屬性來查找一個 對象變得可能。9、管理A、域控制器集中管理用戶對網(wǎng)絡(luò)的訪問，如登錄、驗證、訪問目錄和共享資 源。為了簡化管理，所有域中的域控制器都是平等的，你可以在任何域控制器上 進行修改，這種更新可以復(fù)制到域中所有的其他域控制器上。B、域的實施通過提供對網(wǎng)絡(luò)上所有對象的單點管理進一步簡化了管理。因為 域控制器提供了對網(wǎng)絡(luò)上所有資源的單點登錄， 管理遠可以登錄到一臺計算機來 管理網(wǎng)絡(luò)中任何計算機上的管理對象。在 NT網(wǎng)絡(luò)中，當(dāng)用戶一次登陸一個域服 務(wù)器后，就可以訪問該域中已經(jīng)開放的全部資源，而無需對同一域進行多次登陸。 但在需要共享不同域中的服務(wù)時，對每個域都必須要登陸一次，否則無法

6、訪問未 登陸域服務(wù)器中的資源或無法獲得未登陸域的服務(wù)。10、可擴展性在活動目錄中，目錄通過將目錄組織成幾個部分存儲信息從而允許存儲大量的對 象。因此，目錄可以隨著組織的增長而一同擴展， 允許用戶從一個具有幾百個對 象的小的安裝環(huán)境發(fā)展成擁有幾百萬對象的大型安裝環(huán)境。11、安全性域為用戶提供了單一的登錄過程來訪問網(wǎng)絡(luò)資源，如所有他們具有權(quán)限的文件、 打印機和應(yīng)用程序資源。也就是說，用戶可以登錄到一臺計算機來使用網(wǎng)絡(luò)上另 外一臺計算機上的資源，只要用戶具有對資源的合適權(quán)限。域通過對用戶權(quán)限合 適的劃分，確定了只有對特定資源有合法權(quán)限的用戶才能使用該資源，從而保障了資源使用的合法性和安全性。12、可

7、冗余性每個域控制器保存和維護目錄的一個副本。 在域中，你創(chuàng)建的每一個用戶帳號都 會對應(yīng)目錄的一個記錄。當(dāng)用戶登錄到域中的計算機時，域控制器將按照目錄檢 查用戶名、口令、登錄限制以驗證用戶。當(dāng)存在多個域控制器時，他們會定期的 相互復(fù)制目錄信息，域控制器間的數(shù)據(jù)復(fù)制，促使用戶信息發(fā)生改變時（比如用 戶修改了口令），可以迅速的復(fù)制到其他的域控制器上，這樣當(dāng)一臺域控制器出 現(xiàn)故障時，用戶仍然可以通過其他的域控制進行登錄，保障了網(wǎng)絡(luò)的順利運行。1.3. 明確系統(tǒng)規(guī)劃目標(biāo)企業(yè)的Windows 2012 AD系統(tǒng)規(guī)劃構(gòu)建是為企業(yè)信息化建設(shè)服務(wù)的，需要 達到以下戰(zhàn)略目標(biāo)：圍繞企業(yè)的戰(zhàn)略發(fā)展需要，進行企業(yè)信息化

8、建設(shè)系統(tǒng)規(guī)劃，滿足企業(yè) 3-5年的業(yè)務(wù)發(fā)展對IT建設(shè)的要求；以業(yè)務(wù)為驅(qū)動，通過有效的信息系統(tǒng)，加強信息共享和協(xié)同辦公，提高 工作效率，降低成本；整合企業(yè)現(xiàn)有信息資產(chǎn)，加強企業(yè)管理與監(jiān)控；從信息中挖掘知識，提 高經(jīng)營決策與駕馭風(fēng)險的能力；推進知識管理理念，建立知識型企業(yè)，增強企業(yè)的核心競爭力。Windows 2012 AD系統(tǒng)規(guī)劃實施的具體目標(biāo)如下：規(guī)劃和部署基于 Windows 2012 AD的企業(yè)目錄服務(wù)，首先實現(xiàn)用戶的 單一登錄，保障網(wǎng)絡(luò)系統(tǒng)安全；通過AD實現(xiàn)用戶桌面的集中和自動管理，分發(fā)軟件補丁；進一步部署微軟的相關(guān)應(yīng)用平臺軟件，如實現(xiàn)基于Excha nge 2003的企業(yè)內(nèi)部郵件和協(xié)作

9、服務(wù)，1.4. 活動目錄設(shè)計方案為企業(yè)設(shè)計一個域，用戶的所有計算機（服務(wù)器和客戶機）全部加入到域， 用戶實現(xiàn)單一登錄和管理員通過域組策略實現(xiàn)安全及桌面管理。AD架構(gòu)拓?fù)淙缦隆?.5. 活動目錄優(yōu)勢1. 計算機工作組管理和AD管理比較對于基于Microsoft Windows操作系統(tǒng)的計算機運行和管理在兩種模式下： 工作組（workgroup）和域（domai n）。在工作組模式下，計算機處于一個孤立狀態(tài)，使用計算機的用戶登錄帳號和 計算機的管理均須在每臺計算機上創(chuàng)建或進行。見下圖。當(dāng)計算機超過20臺以上時，計算機的管理變得越來越困難，并且要為用戶 創(chuàng)建越來越多的訪問網(wǎng)絡(luò)資源的帳號，用戶要記住多

10、個訪問不同資源的帳號。而在域的模式下，用戶只需記住一個域帳號，即可登錄訪問域中的資源。并 且管理員通過組策略，可以輕松配置用戶的桌面工作環(huán)境和加強計算機安全設(shè)置 域模式下所有的域帳號保存在域控制器的活動目錄數(shù)據(jù)庫中。見下圖。2. 為什么要提供目錄服務(wù)？對更加強大、透明且高度集成的目錄服務(wù)的不斷需求是由爆炸性增長的網(wǎng)絡(luò) 計算所導(dǎo)致的。隨著局域網(wǎng)（LAN ）、廣域網(wǎng)（WAN）規(guī)模與復(fù)雜性的不斷提高 和這些網(wǎng)絡(luò)不斷被連入In ternet，以及應(yīng)用程序?qū)W(wǎng)絡(luò)的依賴程度不斷增強并不 斷被鏈接到協(xié)作企業(yè)網(wǎng)中的其它系統(tǒng)上，對目錄服務(wù)的需求也日漸增多。基于下列原因，目錄服務(wù)成為擴展的計算機系統(tǒng)中最重要的部件

11、之一：簡化管理 提供對用戶、應(yīng)用程序和設(shè)備的單一、一致性的管理點。加強安全性向用戶提供單一的網(wǎng)絡(luò)資源登錄，為管理員提供強大、一致 性的工具以使他們能夠管理為內(nèi)部臺式機用戶、遠程撥號用戶以及外部 電子商務(wù)客戶提供的安全服務(wù)。擴展的互操作性 向所有活動目錄特性提供基于標(biāo)準(zhǔn)的存取方式以及對 通用目錄的同步支持。目錄服務(wù)兼任管理工具和用戶工具。隨著網(wǎng)絡(luò)中對象數(shù)量的增加，目錄服務(wù) 變得必不可少。目錄服務(wù)在一個龐大的分布式系統(tǒng)中發(fā)揮著網(wǎng)絡(luò)集線器的作用。 致力于這些需求， Windows 2000服務(wù)器版引入了活動目錄-即一套用于改進 Windows網(wǎng)絡(luò)操作系統(tǒng)管理、安全性和互操作性的完整的目錄服務(wù)集。下圖

12、描述了活動目錄帶來的計算機安全和管理上的一些最重要的好處。3. AD簡化了計算機系統(tǒng)管理分布式系統(tǒng)常常導(dǎo)致時間的消耗和管理的冗余。當(dāng)公司在他們的基礎(chǔ)結(jié)構(gòu)上 添加應(yīng)用程序并雇用新的職員時，他們需要適當(dāng)?shù)叵蚋髯烂嫦到y(tǒng)分發(fā)軟件并管理 多個應(yīng)用程序目錄。通過在單一的位置管理用戶、組和網(wǎng)絡(luò)資源以及分發(fā)軟件和 管理桌面系統(tǒng)配置，活動目錄可以顯著降低公司的管理費用。例如，活動目錄在同一個位置管理 Windows用戶和Microsoft Exchange郵箱信息。基于下列原因， 活動目錄可以從以下方面幫助公司簡化管理：消除冗余管理任務(wù) 提供對Windows用戶賬號、客戶、服務(wù)器和應(yīng)用程 序以及現(xiàn)存目錄同步能力

13、進行單一點管理。降低桌面系統(tǒng)的行程針對用戶在公司中所擔(dān)當(dāng)?shù)慕巧詣酉蚱浞职l(fā)軟 件，以減少或消除系統(tǒng)管理員為軟件安裝和配置而安排的多次行程。 更好的實現(xiàn)IT資源的最大化安全地將管理功能分派到組織機構(gòu)的所有 層次上。降低總體擁有成本（TCO）通過使網(wǎng)絡(luò)資源容易被定位、配置和使用來 簡化對文件和打印服務(wù)的管理和使用。4. 加強安全性強大且一致的安全服務(wù)對企業(yè)網(wǎng)絡(luò)而言是必不可少的。管理用戶驗證和訪問控制的工作往往單調(diào)乏味且容易出錯。活動目錄集中進行管理并加強了與組織機構(gòu)的商業(yè)過程一致、且基于角色的安全性。例如，對多身份驗證協(xié) 議（如Kerberos, X.509認(rèn)證以及由靈活的訪問控制模型組成的智能卡

14、）的 支持實現(xiàn)了對于內(nèi)部桌面系統(tǒng)用戶、 遠程撥號用戶和外部電子商務(wù)客戶強大 且一致的安全服務(wù)?；顒幽夸浭褂靡韵路椒ㄔ鰪姲踩裕焊倪M了密碼的安全性和管理 通過向網(wǎng)絡(luò)資源提供單一的集成、高性能且 對終端用戶透明的安全服務(wù)。保證桌面系統(tǒng)的功能性 通過根據(jù)終端用戶角色鎖定桌面系統(tǒng)配置來防 止對特定客戶主機操作進行訪問，例如軟件安裝或注冊項編輯。加速電子商務(wù)的部署 通過提供對安全的In ternet標(biāo)準(zhǔn)協(xié)議和身份驗證機制的內(nèi)建支持，如Kerberos,公開密鑰基礎(chǔ)設(shè)施（PKI）和安全套接字協(xié)議層（SSL）之上的輕便目錄訪問協(xié)議（LDAP ）。緊密的控制安全性 通過對目錄對象和構(gòu)成他們的單獨數(shù)據(jù)元素設(shè)置訪

15、問控制特權(quán)。1.6. 重要組策略介紹1.軟件分發(fā)策略通過組策略可以為域中的計算機或用戶自動分發(fā)帶有msi包的軟件。見下圖2將用戶的個人數(shù)據(jù)從pc機上重定向到服務(wù)器上重定向有利于數(shù)據(jù)的安全以及集中備份。見下圖。3.安全類組策略密碼策略強制密碼歷史”設(shè)置確定在重用舊密碼之前必須與用戶帳戶相關(guān)的唯一 新密碼的數(shù)量。配置 密碼最長使用期限”設(shè)置，以便密碼在環(huán)境需要時過期。密碼最短使用期限”設(shè)置確定了用戶更改密碼之前必須使用密碼的天數(shù)。 最短密碼長度”設(shè)置確保密碼至少包含指定數(shù)量的字符。密碼必須符合復(fù)雜性要求策略”選項檢查所有新密碼以確保它們符合強 密碼的基本要求。賬號鎖定策略帳戶鎖定策略是一項 Win

16、dows Server 2012安全功能，它在指定時間段 內(nèi)多次登錄嘗試失敗后鎖定用戶帳戶。 允許的嘗試次數(shù)和時間段是由為安全 策略鎖定設(shè)置配置的值決定的。用戶不能登錄到鎖定的帳戶。帳戶鎖定時間”設(shè)置確定在未鎖定帳戶且用戶可以嘗試再次登錄之前所必須經(jīng)歷的時間長度帳戶鎖定閾值”設(shè)置確定用戶在帳戶鎖定之前可以嘗試登錄帳戶的次數(shù)。復(fù)位帳戶鎖定計數(shù)器”設(shè)置決定了 帳戶鎖定閾值”復(fù)位為0以及帳戶 被解鎖之前所必須經(jīng)過的時間長度。禁用本地管理員帳號默認(rèn)情況下，每臺加入到域中的計算機都有Administrator和Guest兩個帳號，Adm in istrator帳號在安裝時口令為空。用戶使用這個帳號權(quán)限過

17、大， 因此一般不會給用 戶使用這個管理員帳號，最好的做法就是通過組策略禁用這個帳號，用戶使用域的帳號。將域帳號加入到每臺PC機的本地Power Users組中創(chuàng)建域帳號時，默認(rèn)情況下這個帳號只屬于 Domain Users組中，該組屬 于每臺PC機的本地Users組。本地Users組中的成員權(quán)限受到嚴(yán)格限制， 比 如共享文件夾，安裝打印機驅(qū)動程序等工作的權(quán)限都沒有。而經(jīng)常有用戶需 要這些權(quán)限，可以通過組策略來實現(xiàn)。禁用系統(tǒng)服務(wù)我們?yōu)閮?yōu)化系統(tǒng)和安全性考慮，經(jīng)常要禁用計算機的一些無需運行的服 務(wù)。我們可以通過組策略把這些服務(wù)禁用掉。軟件限制策略對一些規(guī)定不得使用的軟件可以通過組策略來禁用：路徑規(guī)則

18、：特殊文件路徑下的軟件不得使用：如program files下的某些軟件 證書規(guī)則：只有系統(tǒng)管理員頒發(fā)過證書的軟件可以使用，其他軟件禁止使用 哈希規(guī)則：對禁止使用的軟件通過哈希運算得到這個軟件的身份指紋，在組策略里設(shè)置只要是符合身份指紋鑒定的軟件就進行限制網(wǎng)絡(luò)連接控制策略用戶經(jīng)常會通過改變“網(wǎng)絡(luò)連接”中的設(shè)置，繞過企業(yè)防火墻，建立自 己的上網(wǎng)鏈路，比如電話撥號上網(wǎng)。這樣會帶來很大的安全隱患?？梢酝ㄟ^ 組策略限制用戶不得改變網(wǎng)絡(luò)連接中的配置，不允許用戶通過其他方式連接 互聯(lián)網(wǎng)。1.7. 計算機從工作組加入到域可能存在的問題和解決方法把計算機從工作組模式加入到域模式可能會出現(xiàn)以下二個問題問題：1.

19、 一些軟件不能使用。有一些軟件以登錄者的管理員權(quán)限帳號運行，當(dāng)計 算機加入到域并對登錄帳號做了權(quán)限設(shè)置，或禁用了本地管理員帳號， 這些需要管理員權(quán)限運行的軟件就有可能不能正常運行。2. 用戶桌面環(huán)境發(fā)生改變。由于加入域前后用戶是用不同的帳號登錄的， 因此用戶以前的桌面環(huán)境無法使用。具體有桌面上放置的資料“我的文檔”等放置的資料配置好的“網(wǎng)絡(luò)打印機”IE里設(shè)置好的“網(wǎng)站收藏夾”等。解決方法：1. 對問題1我們可以按以下兩個方法來解決：(1) 把域帳號加入到本地管理員組(2) 卸載軟件，用域帳號登錄并安裝2. 對問題2針對不同的問題分別解決如下：(1) 把本地老帳號下的桌面內(nèi)容全部備份下來，復(fù)制到

20、新域帳號的桌面(2) 把本地老帳號下的“我的文檔”內(nèi)容全部備份下來，復(fù)制到新域帳號 的“我的文檔”(3) 重新連接和創(chuàng)建“網(wǎng)絡(luò)打印機”(4) 用特殊軟件把老帳號IE里的“網(wǎng)站收藏夾”備份下來，然后恢復(fù)到 新域帳號中2.活動目錄方案實施2.1. AD域命名和DNS的規(guī)劃Windows 2012 AD域命名和DNS的規(guī)劃之所以放在首要地位，是因為 AD 作為整個IT架構(gòu)的基礎(chǔ)，不應(yīng)該輕易被調(diào)整。盡管安裝后，Windows 2012 AD仍然可以重組和改名，這一點比 Windows 2000 AD有了很大的進步，但是我們 仍然建議做一個長遠規(guī)劃，使得域命名和DNS服務(wù)能夠滿足企業(yè)3-5年的需求， 盡

21、量避免配置好后改作調(diào)整地巨大人力物力浪費。此外，部署 Windows 2012 AD,還必須確定DNS服務(wù)器，確保它們滿足域 控制器定位器系統(tǒng)的要求。一個支持 AD的DNS至少需要滿足以下要求：必須支持服務(wù)定位資源記錄（SRV）應(yīng)該支持 DNS動態(tài)更新協(xié)議（RFC 2136）Windows 2012 Server提供的DNS服務(wù)同時滿足這些要求，并且還提供下 列重要的附加功能和改進：Active Directory集成：DNS服務(wù)把區(qū)域數(shù)據(jù)存儲在目錄中，使得DNS 復(fù)制創(chuàng)建多個主域，也減少了對維護一個單獨的 DNS區(qū)域傳送復(fù)制拓 撲的要求。安全動態(tài)更新：使得一個管理員可以精確地控制哪些計算機可

22、以更新哪 些名稱，并防止未經(jīng)授權(quán)的計算機從DNS獲得現(xiàn)有的名稱。條件轉(zhuǎn)發(fā)：根據(jù)不同的對外訪問的域名后綴，可以將用戶的 DNS名稱 解析請求轉(zhuǎn)發(fā)到不同的外部 DNS服務(wù)器。存根區(qū)域：可以定時地刷新和外部 DNS服務(wù)器的連接，及時發(fā)現(xiàn)那些 可能有故障、不再響應(yīng)用戶請求的服務(wù)器，提高用戶 DNS名稱解析的 效率。2.2. 確定AD邏輯結(jié)構(gòu)Windows 2012活動目錄的邏輯結(jié)構(gòu)由三個基本組件組成： 森林、域和0U。1、確定森林規(guī)劃森林是 Windows 2012 AD域的集合。在很多情況下，單一森林就足夠了。 單一森林環(huán)境易于建立和維護，森林間的域自動建立雙向可傳遞內(nèi)部信任關(guān)系， 不要求手動建立外

23、部信任配置，在安裝 Excha nge 2012 Server等應(yīng)用程序時，只 需應(yīng)用一次架構(gòu)更改即可影響所有域。如果各個單位有下列管理要求，就必須建立一個以上的森林：不互相信任管理員 希望限制信任關(guān)系范圍。不同意某種森林架構(gòu)更改策略。架構(gòu)更改、配置更改會影響到森林中所 有的域。如果單位不同意一個公共架構(gòu)策略，它們就不能共存于同一個 森林中。2、制定域規(guī)劃規(guī)劃域結(jié)構(gòu)時，始終遵循“簡單是最好的投資”的設(shè)計原則，盡管增加某 些復(fù)雜結(jié)構(gòu)可以增值，但是簡單的結(jié)構(gòu)更易于說明、維護和調(diào)試。一開始時總是 僅考慮每個森林中僅有一個域，然后為每一個增加的新域提供詳細的理由， 確保 添加到森林中的域都是有益的，因

24、為它們會帶來相應(yīng)的管理開銷而導(dǎo)致一定程度 的成本上升。創(chuàng)建更多的域的三種可能的原因是：希望實現(xiàn)相對分散式得IT管理模式：多域結(jié)構(gòu)更容易進行相對獨立的 管理、委派和權(quán)限控制。另外，不同的用戶帳戶在一個域內(nèi)是不能出現(xiàn) 重名的，多域之間就沒有限制。對于人士管理相對獨立的集團下屬公司， 多域結(jié)構(gòu)具有更好的靈活性。希望實現(xiàn)不同管理策略要求：包括用戶口令策略、賬戶鎖定策略和EFS 加密策略。例如，要求某些人必須取8個字符以上的口令，而其它人不 做限制。為此，必須將這些需要不同安全策略的用戶放在單獨的域中。希望減小WAN上的復(fù)制流量：域控制器域間復(fù)制將產(chǎn)生比域內(nèi)復(fù)制少 的多的流量。如果公司很大，具有跨地區(qū)的

25、組織結(jié)構(gòu)，且處于同一個森 林內(nèi)，則在不同地理位置上的機構(gòu)可能使用慢速的 WAN鏈路連接。為 減少WAN上的DC復(fù)制流量，可以在不同的地理位置設(shè)置不同的域。根據(jù)以上考慮，我們建議，企業(yè) Windows 2012 AD域邏輯結(jié)構(gòu)可以采 用“單森林、單域”的結(jié)構(gòu)設(shè)計。2.3. 確定AD物理結(jié)構(gòu)考慮到企業(yè)的地理分布情況，應(yīng)該考慮使用多站點拓?fù)鋪硪?guī)劃Win dows2012 AD物理結(jié)構(gòu)。從繪制基本的網(wǎng)絡(luò)拓?fù)洳季謭D著手工作， 繪制所有可能的站 點（Site）和站點鏈接（Site Link ）。速度快（1OMbps以上）、連接可靠的LAN網(wǎng)絡(luò)總是放置在單站點中。 站點定義為一組通過快速、可靠的線路連接起來

26、的IP子網(wǎng)。一般而言， 具有LAN速度或更快速度的網(wǎng)絡(luò)被認(rèn)為是快速網(wǎng)絡(luò)。窄帶的、或不太可靠的連接可以使用站點鏈接建立多站點網(wǎng)絡(luò)。 通常，WAN連接一般被認(rèn)為是窄帶連接。如果建立站點鏈接，實現(xiàn)多 站點網(wǎng)絡(luò)模式，貝客戶計算機在登錄到域時首先試圖與位于同一站點的DC通信；Windows 2012 AD復(fù)制使用站點拓?fù)洚a(chǎn)生復(fù)制連接。24規(guī)劃0U結(jié)構(gòu)和組策略組織單元（0U ）是一個用來在域中創(chuàng)建分層管理單位的容器。在域中創(chuàng)建 0U結(jié)構(gòu)時，必須注意始終按照“誰管理什么”的原則，從IT管理的需要出發(fā)， 劃分管理模型的結(jié)構(gòu)，而不是簡單按照公司業(yè)務(wù)單位和它的不同分支、部門和項 目來創(chuàng)建0U結(jié)構(gòu)?？紤]0U的下列特

27、性是很重要的：0U可以是嵌套的。一個0U可以包含子 0U，使得可以在域中創(chuàng)建一個分層的目錄樹結(jié) 構(gòu)。但是嵌套太多將導(dǎo)致管理復(fù)雜和低效， 所以建議以二級嵌套為最理 想，最多不應(yīng)超過四級嵌套。0U可以用來委派管理和控制對目錄對象的訪問。不能使0U成為安全組的成員，也不能因為用戶被委派管理0U或駐留在0U中而自動獲得訪問資源的權(quán)限?？梢栽?U上實施組策略。組策略是基于 Windows 2012注冊表的修改，從而集中控制用戶和計算 機的工作環(huán)境、桌面配置、軟件自動安裝和刪除的管理手段。一般而言， 安全策略必須在域級別實施，其它策略主要在 0U級別實施。不鼓勵用戶在0U結(jié)構(gòu)中瀏覽。沒有必要設(shè)計一個吸引最

28、終用戶的 0U結(jié)構(gòu)。盡管用戶有可能瀏覽一 個域的0U結(jié)構(gòu)，但對于用戶查找資源來說，這并不是一個最有效的 方法。在目錄中查找資源的最有效的方法是查詢?nèi)志庝洝Ｓ袃蓚€理由需要在 Windows 2012域中創(chuàng)建 0U結(jié)構(gòu)：創(chuàng)建0U以管理對象和委派授權(quán)。為組策略創(chuàng)建0U。一個完全為管理和委派而設(shè)計的0U結(jié)構(gòu)與一個完全為組策略而設(shè)計的0U結(jié)構(gòu)是不同的。0U結(jié)構(gòu)將很快變得相當(dāng)復(fù)雜。每次添加一個0U到規(guī)劃中時，要記下創(chuàng)建的具體原因。這有助于確保每個0U有一個目的，并將幫助閱讀規(guī)劃的人理解結(jié)構(gòu)所基于的理由。2.5.創(chuàng)建0U以管理和委派在單位中委派管理有一些好處。以前，在單位中除了IT之外的組可能必須將更改請

29、求提交到高級管理員，高級管理員代表他們進行更改。委派特定的權(quán) 限可以將責(zé)任分散到單位中的各個組，使您可以將必須有高級訪問權(quán)限的用戶的 數(shù)量降到最少。權(quán)限受到限制的管理員所發(fā)生的事故或錯誤所產(chǎn)生的影響只限于 他們負(fù)責(zé)的范圍。這一工作包括以下步驟：確定創(chuàng)建何種0U創(chuàng)建的0U結(jié)構(gòu)將完全取決于管理是如何在單位中委派的。委派管理 的三種方法是：按物理位置、按業(yè)務(wù)單位（公司部門）、按角色或任務(wù)。三 種方法經(jīng)常結(jié)合使用。修改訪問控制列表：修改0U的訪問控制列表（ACL）可以授予一個組對 0U的特定權(quán)限， 從而實現(xiàn)對該0U的委派管理。盡量委派權(quán)限給組賬戶而不是單獨的用戶， 如果可能，委派到本地組而不是全局組或

30、通用組。委派步驟。從域中的默認(rèn)結(jié)構(gòu)開始，按下列主要步驟創(chuàng)建0U結(jié)構(gòu)：-通過委派完全控制創(chuàng)建 0U的頂層；-創(chuàng)建0U的下層來委派每個對象類別控制。2.6.創(chuàng)建0U支持組策略使用 Windows 2012,可以使用組策略定義用戶和計算機配置，并將這些策 略與站點、域或0U關(guān)聯(lián)。是否要創(chuàng)建附加的 0U以支持組策略的應(yīng)用取決于 制定的策略以及所選擇的實現(xiàn)方案，包括：定義客戶計算機的管理與桌面配置標(biāo)準(zhǔn)定義軟件的自動分發(fā)特殊組策略應(yīng)用配置與管理在 Windows 2012中，組策略設(shè)置是管理員啟用集中更改和配置客戶計算 機管理的主要方法?？捎媒M策略為某個特定的用戶組和計算機組創(chuàng)建指定的安全 限制和桌面環(huán)境

31、配置。Windows 2012組策略有100多種與安全有關(guān)的設(shè)置和 450多種基于注 冊表的設(shè)置，為您管理用戶計算機環(huán)境提供了眾多選項。 Windows 2003組策略：可根據(jù)活動目錄定義或在計算機本地進行定義；可用Microsoft管理控制臺（MMC ）或*.adm文件保存和管理；是安全的；不會在實施的策略改變時把設(shè)置留在用戶配置文件中；可應(yīng)用于指定的活動目錄容器（站點、域與0U）中的用戶或計算機；可由安全組的用戶或計算機成員進一步控制；可用來配置多種類型的安全設(shè)；可用于實施登錄、注銷、啟動及關(guān)閉腳本；可用于安裝和維護軟件；可用于重定向文件夾（如 My Documents和 Applicat

32、ion Data文件夾）； 可用于在 Microsoft In ternet Explorer中執(zhí)行維護?？梢园聪铝腥齻€步驟配置和管理組策略：管理站點、域或 0U的組策略鏈接：默認(rèn)情況下，只有域管理員組和企業(yè)管理員組可以配置站點、域或部門 的組策略?？稍谡军c、域或 0U的“屬性”頁的“組策略”選項卡中 指定鏈接至站點、域或 OU的組策略對象。Active Directory支持以每 個屬性為基礎(chǔ)的安全設(shè)置。創(chuàng)建組策略對象：默認(rèn)情況下，只有域管理員組、企業(yè)管理員組和組策略創(chuàng)建者（所有者） 組的成員可以創(chuàng)建新的組策略對象。如果域管理員想使一個非管理員用 戶或組能夠創(chuàng)建組策略對象，則可將該用戶或組添

33、至組策略創(chuàng)建者（所有者）安全組中。這樣，他們就可以創(chuàng)建、修改自己的組策略對象，并 成為該組策略對象的創(chuàng)建者和所有者。編輯組策略對象：默認(rèn)情況下，組策略對象接受域管理員、企業(yè)管理員及組策略創(chuàng)建者（所 有者）組成員的完全控制，課以便機組策略，但非管理員用戶沒有設(shè)置 組策略鏈接的應(yīng)用權(quán)。2.7. 應(yīng)用組策略選項如果能認(rèn)真應(yīng)用組策略選項，即使開始用數(shù)據(jù)極其多的文件夾重定向選項 和軟件安裝選項，也能夠改善網(wǎng)絡(luò)的響應(yīng)時間。應(yīng)恰當(dāng)?shù)貞?yīng)用組策略選項，尤其 在剛開始時，更要仔細測試所有建議的更改，以確保不損壞網(wǎng)絡(luò)性能。下面是一 些可用的選項：安全組篩選選項：可針對某個特定組策略對象實施篩選，使之不能對篩選的計算

34、機和用戶 組生效。不許替代（強制繼承）和阻止繼承選項：例如，如果在域?qū)哟味x了一個指定的組策略對象， 并已指定組對象是 強制的（不許替代），那么組策略對象所包含的策略設(shè)置就會應(yīng)用于該 域中的所有0U;層次較低的容器（0U）將無法替代此域的組策略，一 般用于安全設(shè)置。也可阻止從父 Active Directory容器繼承組策略。但是，不許替代（強 制繼承）策略選項始終比阻止繼承策略選項優(yōu)先。處理“環(huán)回”策略設(shè)置的策略選項：默認(rèn)的設(shè)置使計算機策略優(yōu)先于用戶策略起作用，但有時必須要優(yōu)先實 施用戶策略，組策略的環(huán)回功能使管理員能夠?qū)崿F(xiàn)這一設(shè)置。主要用在 軟件安裝這一類的策略上。低速鏈接處理的選項：許多用戶，如使用便攜式計算機的用戶、遠離建筑物或在分部工作的用 戶，有時會用低速連接至網(wǎng)絡(luò)?？蓪M策略進行配置，使部分策略不能 生效，以減少網(wǎng)絡(luò)開銷。這些組策略設(shè)置包括：軟件安裝與維護腳本磁盤配額IP安全Dfs故障恢復(fù)策略Internet Explorer 維護周期刷新選項：可指定定時地處理組策略。默認(rèn)情況下， DC計算機策略每5分鐘刷 新一次，而成員服務(wù)器和客戶計算機每 90分鐘刷新一次，并帶有 30 分鐘的隨機偏移量?？筛鶕?jù)需要改變此刷新頻率。版權(quán)申明本文部分內(nèi)容，包括文字、圖片、以及設(shè)計等在網(wǎng)上搜集整理。版權(quán)為潘宏亮個人所有This artic