域的组成

  • 内网环境

    • 工作组：默认模式，人人平等
    • 域：人人不平等，集中管理

  • 域控制器：DC(Domain Controller)

    • 通常将域控制器同时部署为DNS服务器

  • 成员机（成员机之间平等）

  • 林

    • 一个主域和若干子域组成域树，树中的域通过信任关系连接起来，活动目录包含一个或多个域树。域树中的域层次越深级别越低，一个.代表一个层次，如域child.Microsoft.com 就比 Microsoft.com这个域级别低，因为它有两个层次关系，而Microsoft.com只有一个层次。而域Grandchild.Child.Microsoft.com又比 Child.Microsoft.com级别低，道理一样。他们都属于同一个域树。Child.Microsoft.com就属于Microsoft.com的子域。

    • 多个域树组成一个林

部署Active Directory

  • 开启虚拟机，桥接到vmnet2

  • 配置静态IP，禁用ipv6防止冲突

  • 修改计算机名，配置完成后计算机名会变更为计算机名+目录林根级域完全限定域名，例如dc1.cc.com,其中cc.com为域

  • 运行dcpromo安装活动目录(如果此计算机已经是域控制器，则此命令会卸载活动目录)，安装完成后DC中的本地管理员帐号自动提升为域管理员

  • 安装时同时部署DNS服务器，会自动注册DC(也就是本机)的域名解析记录

加入域

  • 确保待加入的成员机与DC在同一网段中

  • 如果没有配置DHCP服务器需要手动配置IP，并指定DNS，指定的DNS必须要能解析到DC的IP地址(通常DC同时为DNS服务器)

  • 在计算机属性中修改工作组为域，使用域管理员帐号加入域

  • 加入域后使用域帐号登录到成员机(域帐号在DC的AD中配置)，例如cc.com\yu.ge

域用户的权限

需要为域用户配置本地权限，使用域管理员帐号登录成员机，将成员机的域帐号添加到本地administrators组，此时域帐号对本机拥有完全控制权限。

组策略优先级

在DC中配置的组策略按照LSDOU(本地>站点>域>OU)的顺序依次查找，有多个OU组策略时，子容器的组策略会覆盖父容器的组策略。