第4章_Windows_server_2003管理用戶、組.ppt

1、第四章 管理用戶和組,每個用戶都需要有一個帳戶，以便登錄到域訪問網(wǎng)絡(luò)資源或登錄到某臺計算機訪問該機上的資源，創(chuàng)建和管理用戶對象是網(wǎng)絡(luò)管理員執(zhí)行的最常見任務(wù)。組是用戶帳戶的集合，管理員通常通過組來對用戶的權(quán)限進行設(shè)置從而簡化了管理。,本章學習目的,本章學習要求及能力目的,掌握本地帳戶與域帳戶的管理方法 掌握設(shè)置帳戶屬性的方法 掌握用戶配置文件的創(chuàng)建方法 掌握用戶組的管理方法 在活動目錄中利用OU管理資源的方法,重點：創(chuàng)建并管理用戶和組，對用戶的配置文件進行配置和管理。,1.用戶賬戶簡介 Windows Server 2003提供兩種主要類型用戶賬戶：本地用戶賬戶（Local User Accou

2、nt）和域用戶賬戶（Domain User Account）。除此之外，Windows Server 2003系統(tǒng)中還有內(nèi)置用戶賬戶（Built-in User Account）。,創(chuàng)建并管理用戶,2.本地用戶賬戶,本地用戶帳戶只能登錄到帳戶所在的計算機并獲得對該資源的訪問。當創(chuàng)建本地用戶帳戶后，Windows Server 2003將在該機的本地安全性數(shù)據(jù)庫中創(chuàng)建該帳戶，本地帳戶信息存儲在本地，不會被復(fù)制到其他計算機或域控制器。當創(chuàng)建一個本地用戶賬戶后，計算機使用本地安全性數(shù)據(jù)庫驗證本地用戶賬戶，以便讓用戶登錄到該計算機。,注意： 不要在需要訪問域資源的計算機上創(chuàng)建本地用戶賬戶，因為域不能識

3、別本地用戶賬戶，也不允許本地用戶訪問域資源。而且，域管理員也不能管理本地用戶賬戶，除非他們用計算機管理控制臺中的操作菜單連接到本地計算機。,3.創(chuàng)建本地用戶賬戶,創(chuàng)建本地用戶賬戶可以在除了域的域控制器以外的任何一臺基于Windows Server 2003的計算機上進行。出于安全性考慮，通常建議只在不是域的組成部分的計算機上創(chuàng)建和使用本地用戶賬戶，即在屬于域的計算機上不要設(shè)置本地賬戶。工作組模式是使用本地用戶賬戶的最佳場所。,4.域用戶賬戶,域用戶賬戶可讓用戶登錄到域并獲得對網(wǎng)絡(luò)上其他地方資源的訪問權(quán)。域用戶賬戶是在域控制器上建立的，作為Active Directory的一個對象保存在域的Ac

4、tive Directory數(shù)據(jù)庫中。用戶在從域中的任何一臺計算機登錄到域中的時候必須提供一個合法的域用戶賬戶，該賬戶將被域的域控制器所驗證。 當在一個域控制器上新建一個用戶賬戶后，該用戶賬戶被復(fù)制到域中所有其他計算機上，復(fù)制過程完成后，域樹中的所有域控制器就都可以在登錄過程中對用戶進行身份驗證。,5.創(chuàng)建域用戶賬戶,域用戶賬戶是在域的域控制器上創(chuàng)建的，并會被自動復(fù)制到域中的其他域控制器上。若要創(chuàng)建和管理域用戶賬戶，可使用【Active Directory用戶和計算機】窗口，在Active Directory目錄樹中創(chuàng)建用戶對象。也可用該工具創(chuàng)建、刪除或禁用用戶對象，并管理用戶對象的屬性。,W

5、indows Server 2003在安裝時自動創(chuàng)建若干個用戶賬戶，并且賦予了相應(yīng)的權(quán)限，這些賬戶稱為內(nèi)置用戶賬戶。內(nèi)置用戶賬戶不允許被刪除。最常用的兩個內(nèi)置賬戶是Administrator和Guest。,6.內(nèi)置用戶賬戶,Guest（來客）賬戶一般被用于在域中或計算機中沒有固定賬戶的用戶臨時訪問域或計算機時使用的。默認情況下不允許該賬戶對域或計算機中的設(shè)置和資源做永久性的更改。該賬戶在系統(tǒng)安裝好之后是被屏蔽的，如果需要，可以手動啟用。,7.設(shè)置用戶賬戶屬性,創(chuàng)建的每一個用戶對象都有一套默認屬性。創(chuàng)建了用戶賬戶后，可以設(shè)置個人屬性、賬戶屬性、登錄選項和撥號設(shè)置。可使用為域用戶賬戶定義的屬性在目

6、錄中搜索用戶，或用于其他應(yīng)用程序。因此，創(chuàng)建每一個域用戶賬戶時都應(yīng)當提供詳細的定義信息。,用戶的屬性對話框中各項選項卡的作用,【常規(guī)】、【地址】、【電話】和【單位】這些選項卡中的屬性與用戶對象或Active Directory的操作沒有直接關(guān)系，只提供用戶的背景信息。在這些選項卡中輸入信息可讓您通過使用已掌握的用戶信息輕松查找所需域用戶賬戶。,1）設(shè)置個人屬性,屬性對話框中的【賬戶】選項卡包含幾個創(chuàng)建用戶對象時所配置的屬性，在該選項卡中可以為用戶更改登錄名。 在【賬戶過期】選項組中可以為該賬戶設(shè)置一個過期時間。默認情況下，賬戶是永久有效的，除非被刪除。如果某個臨時用戶賬戶希望在某個時間后自動失

7、效，則可以選中【在這之后】單選按鈕，然后打開下拉菜單，在日歷中為該賬戶選擇一個失效日期，當該賬號使用期超過設(shè)定的日期，則使用該賬戶將不能登錄到域中，而不需要管理員手動刪除賬戶。,2）設(shè)置賬戶屬性,3）設(shè)置登錄時間,4）設(shè)置用戶可登錄的計算機,默認情況下，用戶可以從任何一臺域中的計算機登錄到域。,用戶配置文件定義了用戶使用Windows Server 2003的工作環(huán)境，其中包括用戶計算機的顯示器設(shè)定、區(qū)域設(shè)定、鼠標、聲音設(shè)置、【開始】菜單及桌面快捷方式等參數(shù)，另外，還有網(wǎng)絡(luò)連接和打印機的設(shè)置等。,8.創(chuàng)建用戶配置文件,用戶配置文件實際上不是一個具體的文件，而是由一系列文件和文件夾組成的。在硬盤

8、上Windows Server 2003所在的分區(qū)上會有一個Documents and Settings文件夾，在該文件夾下面有所有在該計算機上登錄過的用戶的配置文件。每個用戶都會有一個自己的文件夾，文件夾的名字就是用戶的登錄名，該文件夾包含了用戶的各種設(shè)置,1)用戶配置文件的類型,分三類:本地用戶配置文件、漫游用戶配置文件和強制用戶配置文件。,（1）本地用戶配置文件,如果某個用戶配置文件僅限于本機使用，則稱為本地用戶配置文件。,域用戶可以在任意一臺域內(nèi)的計算機上登錄，但當你在一臺計算機上的用戶配置文件修改后，你會發(fā)現(xiàn)到另一臺計算機上登錄時，所有的設(shè)置還是原來的，并沒有發(fā)生修改，這就是因為用戶

9、的配置文件是保存在本地的。 如果我們想讓用戶的配置文件隨著帳號走，也就是不管用戶在哪臺計算機上登錄都能保持用戶配置文件一致，那么就要用到漫游用戶配置文件。,在域的環(huán)境下本地配置文件存在著一些問題：,漫游用戶配置文件是保存在網(wǎng)絡(luò)服務(wù)器上的用戶配置文件。當用戶要登錄到某臺計算機，而這臺計算機上沒有本地用戶配置文件時，管理員從網(wǎng)絡(luò)服務(wù)器上把漫游配置文件復(fù)制到登錄使用的客戶機上，并且把漫游配置文件應(yīng)用于那臺計算機。這樣，用戶總得到他的個人桌面設(shè)置和連接。,（2）漫游用戶配置文件,（3）強制用戶配置文件,系統(tǒng)管理員還可以根據(jù)實際情況把漫游用戶配置文件設(shè)為只讀，以防用戶隨意改動此配置文件。,強制用戶配置文

10、件也屬于漫游用戶配置文件，不過它具有只讀屬性，其內(nèi)容由系統(tǒng)管理員事先設(shè)置，用戶無法更改，每次登錄時都要使用固定的工作配置。用戶注銷時系統(tǒng)不保存登錄過程中用戶所做的任何改變。當用戶再次登錄時，配置文件仍然和上次登錄時一樣。,為了將漫游用戶配置文件改成強制性的，只須在保存漫游用戶配置文件的共享文件夾下將ntuser.dat文件更名為ntuser.man即可。,組是用戶或計算機賬戶的集合。通過使用組可以將權(quán)限分配給一組用戶而不是單個用戶賬戶。當將權(quán)限分配給組時，組的所有成員都將繼承那些權(quán)限，這樣可以簡化網(wǎng)絡(luò)管理。 除了用戶賬戶外，還可以將其他組、聯(lián)系人和計算機添加到組中。將組添加到其他組可以創(chuàng)建合并

11、組并減少需要分配權(quán)限的次數(shù)。也可將計算機添加到組中，簡化從一臺計算機上訪問另外一臺計算機上資源的系統(tǒng)任務(wù)。 與用戶帳戶一樣，按照在Windows Server 2003中組的使用可以分為本地組和域組。,創(chuàng)建并管理組,本地組有兩種類型：本地組（Local Groups）和內(nèi)置組（Built-in Groups）。 （1）本地組 本地組可以在任何一臺基于Windows Server 2003的非域控制器計算機上創(chuàng)建，通過將用戶加入到相應(yīng)的本地組賦予相應(yīng)的權(quán)限，就可以控制用戶對本地計算機上資源的訪問。本地賬戶信息是放置在創(chuàng)建該組的計算機內(nèi)的數(shù)據(jù)庫中，因此，其作用范圍只限于在創(chuàng)建該本地組的計算機上。,

12、1本地組類型,（2）內(nèi)置組 在安裝運行Windows Server 2003的客戶機或成員服務(wù)器時，會自動創(chuàng)建內(nèi)置組。內(nèi)置組具有一些特定的事先賦予的權(quán)力，用以完成某些特定的系統(tǒng)任務(wù)。內(nèi)置組不能被刪除，其作用范圍也僅限于其存在的計算機上。,域模式中的組又稱為域組，存儲在域的Active Directory中，在Active Directory中根據(jù)組的作用進行分類，可分為兩類：通信組和安全組。可以使用通信組創(chuàng)建電子郵件通信組列表，使用安全組給共享資源指派權(quán)限。,2域模式組類型,像通信組一樣，安全組也可用作電子郵件實體。給這種組發(fā)送電子郵件會將該郵件發(fā)給組中的所有成員。,安全組和通信組之間的轉(zhuǎn)換

13、在域功能級別設(shè)置為Windows 2000本機或更高模式的情況下，組都可以從安全組轉(zhuǎn)換為通信組，反之亦然。當域功能級別被設(shè)置為Windows 2000混合模式（域的模式我們將在本節(jié)后面給大家介紹）時，不可以轉(zhuǎn)換組。,在域模式中，不論是安全組還是通信組都有一個作用域，用來確定在域樹或域森林中該組的應(yīng)用范圍。按照作用域的不同，域模式中的組可以分為3類：全局組、本地域組和通用組。,3域模式中組的作用域,（1）全局組的成員是對網(wǎng)絡(luò)具有相同訪問權(quán)限的用戶。全局組的作用范圍是整個域樹，因此，全局組可以在屬于同一個域樹的域中被賦予權(quán)限。全局組的成員只能來自于定義該組的本域中的其他組和賬戶。全局組可以成為其他

14、組的成員，這些組可以是和該全局組是同一個域或是不同的域。由于全局組可以在不同的域中存在，因此，全局組中的成員可以訪問其他域中的資源。,（2）本地域組的作用范圍只是在創(chuàng)建此本地域組的本域內(nèi)，因此只能在域內(nèi)指派權(quán)限。成員可包括Windows Server 2003、Windows 2000或Windows NT域中的其他組和賬戶，本地域組具有開放的成員資格，即可以接受任何一種賬戶成為該組的成員，這些賬戶可以是同一個域中的其他本地組（必須在本機模式中）、域樹中的任何域用戶賬戶、域樹中的任何域的全局組、域樹中的任何域的通用組（必須在本機模式中）。但是本地域組不能成為其他任何組的成員。,（3）通用組可在

15、該域樹或域森林中的任何域中指派權(quán)限。其成員可包括域樹或域森林中任何域中的其他組和賬戶，但只有當域處于本機模式時，才能創(chuàng)建具有通用組的安全組。,創(chuàng)建新組時，在默認情況下，新組被設(shè)置為具有全局作用域的安全組，而與當前域功能級別無關(guān)。盡管在域功能級別為Windows 2000混合模式中不允許更改組作用域，但在其域功能級別為Windows 2000純模式和Windows Server 2003模式中，允許進行下列轉(zhuǎn)換：,4域模式中組之間的轉(zhuǎn)換,全局到通用。只有當要更改的組不是另一個全局作用域組的成員時，允許進行該轉(zhuǎn)換。 本地域到通用。只有當要更改的組沒有另一個本地域組作為其成員時，允許進行該轉(zhuǎn)換。 通

16、用到全局。只有當要更改的組沒有另一個通用組作為其成員時，允許進行該轉(zhuǎn)換。 通用到本地域。該操作沒有限制。,組成員與權(quán)限,5.域功能級別,1）域功能級別的類型 在Windows 2000 Server中有2種域功能級別：混合模式和本機模式。如果域處于混合模式，則可以支持Windows NT 4.0的域控制器，但不支持Windows 2000和Windows Server 2003的計算機的域控制器。在混合模式下不能使用通用組，而且也不能進行組嵌套。如果域處于本機模式，則可以支持所有功能。Windows Server 2003的域默認處于混合模式。,在Windows Server 2003中有3種

17、域功能級別 Windows 2000混合模式（默認） Windows 2000純模式 Windows Server 2003模式,域的級別及所支持的DC情況,注意： （1）默認情況下，只有Domain Admins和Enterprise Admins組中的成員才可以執(zhí)行提升域功能級別的操作。,（2）域的級別是可以改變的，但是要注意這種改變是單向不可逆的，而且一旦提升域功能級別之后，就不能再將運行舊版操作系統(tǒng)的域控制器引入該域中。,6.內(nèi)置組,Windows Server 2003在安裝時會自動創(chuàng)建一些組，這種組叫內(nèi)置組。內(nèi)置組又分為內(nèi)置本地組和內(nèi)置域組，內(nèi)置域組又分為內(nèi)置本地域組、內(nèi)置全局組和

18、內(nèi)置特殊組。,在活動目錄中利用OU管理資源,OU是活動目錄中最小的管理單元。OU一般來說與公司的行政管理部門相對應(yīng)，是一個活動目錄對象的容器。在OU中可以有用戶賬號、組賬號、計算機、打印機、共享文件夾及子OU等對象。,實現(xiàn)OU的權(quán)限委派,在Windows Server 2003的活動目錄中可以使用委派控制向?qū)韺崿F(xiàn)對OU的權(quán)限委派。,本章作業(yè),一練習 1填空題 （1）Windows Server 2003中用戶分為哪三種：內(nèi)置用戶、_和本地用戶。 （2）Windows Server 2003中域組安全作用域的類型分為_、_、通用組。 （3）當想暫時停用某用戶的賬戶時，應(yīng)該使用_功能。 （4）Administrator是操作系統(tǒng)中最重要的用戶賬戶，平常俗稱為超級用戶，它屬于系統(tǒng)中_賬戶。 （5）Windows Server 2003中新建的用戶默認屬于_組。 （6）Windows Server 2003中超級用戶的名字是_。,（7）Windows Server 2003中有3種域功能級別，即_、_和_。 （8）默認情況下，只有_和_組中的成員才可以執(zhí)