AD域部署方案完整版

1、Windows AD域架構(gòu)設(shè)計(jì)方案目錄一、前言3 1.1 現(xiàn)狀及存在問題的調(diào)研3 1.2 AD域架構(gòu)的應(yīng)用給公司管理帶來的優(yōu)勢4 1.3 域架構(gòu)設(shè)計(jì)原則 5二、公司域架構(gòu)規(guī)劃5 2.1 域架構(gòu)部署規(guī)劃5 2.2 通過OU、GPO 和用戶組實(shí)現(xiàn)域安全的管理6 2.4 硬件部署調(diào)試計(jì)劃7一、前言 由于Windows 網(wǎng)絡(luò)系統(tǒng)架構(gòu)在公司應(yīng)用中的普及，公司會(huì)面臨大量客戶端及服務(wù)器的統(tǒng)一安全管理；AD域的規(guī)劃架構(gòu)需要根據(jù)公司現(xiàn)有的網(wǎng)絡(luò)規(guī)模布局和IT管理制度，以適應(yīng)公司當(dāng)前和長遠(yuǎn)的發(fā)展需求，有效地保護(hù)用戶的資料，減少用戶的風(fēng)險(xiǎn)。 針對整個(gè)公司的域架構(gòu)規(guī)劃和實(shí)施，前期需要先完成公司域規(guī)劃及部署：實(shí)現(xiàn)公司統(tǒng)一

2、的目錄服務(wù)管理，統(tǒng)一的公司用戶信息、安全策略。 Windows 網(wǎng)絡(luò)架構(gòu)客戶端默認(rèn)屬于工作組的辦公環(huán)境，所有的用戶賬號均保存在本地客戶端上，網(wǎng)絡(luò)共享數(shù)據(jù)時(shí)只能允許所有人everyone 查看的權(quán)限，數(shù)據(jù)共享及網(wǎng)絡(luò)安全存在較多的風(fēng)險(xiǎn)。Windows 域架構(gòu)管理模式可以解決眾多網(wǎng)絡(luò)安全性問題，域環(huán)境下可以輕易實(shí)現(xiàn)網(wǎng)絡(luò)用戶賬號的集中管理，規(guī)范客戶端密碼長度和復(fù)雜性；在域環(huán)境下，可以實(shí)現(xiàn)所有客戶端系統(tǒng)的補(bǔ)丁自動(dòng)更新，有效提高服務(wù)器及桌面系統(tǒng)的安全性。 在Windows AD域的辦公環(huán)境下，并不會(huì)太多改變原有的客戶端工作組下的辦公習(xí)慣；域賬號登陸默認(rèn)緩存功能，用戶離開公司網(wǎng)絡(luò)，同樣可以使用域用戶賬號在本

3、機(jī)登陸，不會(huì)改變原有工作組的工作習(xí)慣。 另外公司應(yīng)用系統(tǒng)中，很多應(yīng)用系統(tǒng)是基于微軟的AD架構(gòu)，如MS Cluster集群高可用系統(tǒng)、Exchange 郵件系統(tǒng)、OCS及時(shí)通訊系統(tǒng)、MOSS 公司門戶網(wǎng)站協(xié)作系統(tǒng)等等；所以AD域的架構(gòu)管理不但可以方便公司內(nèi)部安全管理，還為以后的公司應(yīng)用擴(kuò)展提供了系統(tǒng)基礎(chǔ)。 服務(wù)器和桌面電腦管理 如何統(tǒng)一管理服務(wù)器和桌面系統(tǒng)安全策略 如何統(tǒng)一管理桌面系統(tǒng)的應(yīng)用 如何保持所有系統(tǒng)安全補(bǔ)丁升級到最新 身份管理大量的用戶登錄名和目錄簡單或空白的密碼不安全的訪問網(wǎng)絡(luò)和應(yīng)用資源不當(dāng)?shù)腶dmin權(quán)限開放客戶端自行管理安全客戶端自行管理資源當(dāng)前環(huán)境統(tǒng)一的安全規(guī)范統(tǒng)一方便的資源管

4、理域 環(huán)境單一登陸權(quán)限控制病毒防控用戶規(guī)范1.可控的資源訪問可控的資源訪問2.靈活的文件權(quán)限靈活的文件權(quán)限3.統(tǒng)一的桌面規(guī)則統(tǒng)一的桌面規(guī)則4.非域用戶無法訪非域用戶無法訪問公司資源問公司資源1.統(tǒng)一的病毒設(shè)置統(tǒng)一的病毒設(shè)置2.統(tǒng)一的更新設(shè)置統(tǒng)一的更新設(shè)置3.統(tǒng)一的用戶權(quán)限統(tǒng)一的用戶權(quán)限用戶方面管理方面1.方便訪問各種資源方便訪問各種資源2.從各位置登陸桌面從各位置登陸桌面3.用戶文件在服務(wù)器用戶文件在服務(wù)器1.集中部署軟件集中部署軟件2.集中更新升級軟件集中更新升級軟件2.集中備份數(shù)據(jù)集中備份數(shù)據(jù) 在進(jìn)行總體框架設(shè)計(jì)時(shí)，考慮到公司的現(xiàn)有網(wǎng)絡(luò)架構(gòu)及公司管理體系，微軟在AD域設(shè)計(jì)方面推薦遵循的是以

5、下原則 n穩(wěn)定性 在系統(tǒng)結(jié)構(gòu)設(shè)計(jì)上要充分考慮到系統(tǒng)運(yùn)行的穩(wěn)定性。系統(tǒng)平臺(tái)方面要考慮各種系統(tǒng)配置對穩(wěn)定性的影響，系統(tǒng)必須經(jīng)過嚴(yán)格的測試，包括功能測試、在各種系統(tǒng)環(huán)境或系統(tǒng)配置上的測試等，確保系統(tǒng)在多種設(shè)備環(huán)境上能夠穩(wěn)定運(yùn)行。必要時(shí)，可以通過遠(yuǎn)程管理、監(jiān)控手段與本地系統(tǒng)管理相結(jié)合的方式，保證系統(tǒng)的穩(wěn)定、可靠。 n易管理 系統(tǒng)平臺(tái)的管理要盡量簡單，盡量少地使用戶涉及到系統(tǒng)平臺(tái)的管理工作，必要的管理任務(wù)也要提供相應(yīng)的培訓(xùn)、幫助資料甚至操作引導(dǎo)界面來幫助用戶順利地完成工作。信息交換系統(tǒng)的管理在設(shè)計(jì)時(shí)也要考慮到易管理性方面的要求，通過操作引導(dǎo)界面輔助用戶完成所需的數(shù)據(jù)交換的管理工作。 n易維護(hù) 系統(tǒng)的結(jié)構(gòu)

6、設(shè)計(jì)要易于維護(hù)，組成系統(tǒng)的功能元素要具有一定的獨(dú)立性，可以根據(jù)用戶的需要進(jìn)行替換而不影響或很少影響其他功能元素，并能夠與其他功能元素協(xié)作共同完成用戶的功能。 n 易擴(kuò)展 系統(tǒng)無論是在業(yè)務(wù)功能上，還是在信息的交換規(guī)范上都應(yīng)當(dāng)易于擴(kuò)展，以便適應(yīng)今后業(yè)務(wù)的發(fā)展。 n易用性 系統(tǒng)的操作應(yīng)盡量簡單，對操作提示、錯(cuò)誤報(bào)告、監(jiān)控信息反饋等要全面、詳細(xì)，真正做到易學(xué)、易用、易培訓(xùn)。 n安全性 使用系統(tǒng)平臺(tái)的相關(guān)安全設(shè)置以及應(yīng)用系統(tǒng)的安全性實(shí)現(xiàn)，實(shí)現(xiàn)整個(gè)系統(tǒng)的安全性。確保系統(tǒng)不被非授權(quán)用戶侵入，數(shù)據(jù)不丟失，確認(rèn)發(fā)送者和接收者的身份，保證傳輸數(shù)據(jù)不被非法獲取、篡改等。 n統(tǒng)一性 各級系統(tǒng)的建設(shè)要遵循統(tǒng)一的要求進(jìn)行

7、，在平臺(tái)、應(yīng)用系統(tǒng)、應(yīng)用策略、安全管理等方面保持一致，提供統(tǒng)一的用戶體驗(yàn)，保證系統(tǒng)內(nèi)部數(shù)據(jù)傳輸服務(wù)的可靠性。二公司域架構(gòu)規(guī)劃2.1 域架構(gòu)部署規(guī)劃 域結(jié)構(gòu)設(shè)計(jì)是活動(dòng)目錄中最重要，它既要盡可能貼近用戶的管理模式和組織結(jié)構(gòu)，也要考慮網(wǎng)絡(luò)情況及今后的各種變化。我們依據(jù)微軟活動(dòng)目錄結(jié)構(gòu)的設(shè)計(jì)原則，用最簡單的結(jié)構(gòu)來滿足客戶的管理需求。在域的管理架構(gòu)OU組織單位設(shè)計(jì)上基于公司的管理模式而不是公司的組織結(jié)構(gòu)圖。 以下是單域結(jié)構(gòu)相對于其他結(jié)構(gòu)的優(yōu)點(diǎn)：l 集中管理整個(gè)公司的安全策略。l 集中管理整個(gè)公司的組策略。l 完全利用組織單元反映公司的管理結(jié)構(gòu)。l 當(dāng)公司機(jī)構(gòu)重組時(shí)可以非常靈活的進(jìn)行調(diào)整。l 當(dāng)資源和用戶

8、需要在組織機(jī)構(gòu)內(nèi)遷移時(shí)可以非常靈活的調(diào)整。l 相對其它方案可以使用較少的域控制器。l 用戶在查找AD內(nèi)的信息時(shí)相對簡單。l 單一的組策略更容易實(shí)施。 公司的AD域架構(gòu)以及服務(wù)器部署完成后，在域管理上，我們利用域的組織單元OU進(jìn)行公司管理架構(gòu)的設(shè)計(jì)及進(jìn)行公司管理策略的分配。在OU組織單位設(shè)計(jì)上我們基于公司的管理模式而不按照公司的組織結(jié)構(gòu)進(jìn)行設(shè)置。OU組織單元的設(shè)計(jì)將遵循的原則組織單元的設(shè)計(jì)將遵循的原則反映公司內(nèi)部的組織結(jié)構(gòu)反映公司機(jī)密程度需求有利于通過組策略進(jìn)行細(xì)化的終端管理 OU作為域的基本管理單元，在域內(nèi)，管理員可以按照不同的OU組織單元運(yùn)用不同級別的組策略安全設(shè)置。通過組策略應(yīng)用的安全更改類型包括：l修改文件系統(tǒng)的權(quán)限。l修改注冊表對象的權(quán)限。l更改注冊表中的設(shè)置。l更改用戶權(quán)限分配。l配置系統(tǒng)服務(wù)。l配置審核和事件日志。l設(shè)置帳戶和密碼策略。l配置桌面系統(tǒng)環(huán)境等等。服務(wù)器調(diào)整購買主域控制器架