AD部署解决方案.docx
- 文档编号:17249478
- 上传时间:2023-07-23
- 格式:DOCX
- 页数:17
- 大小:26.78KB
AD部署解决方案.docx
《AD部署解决方案.docx》由会员分享,可在线阅读,更多相关《AD部署解决方案.docx(17页珍藏版)》请在冰点文库上搜索。
AD部署解决方案
AD部署解决方案
设计一个稳定、可靠和扩展性良好活动目录架构对一个企业网络管理及平安具有重大意义,并对部署微软相关产品如Exchange等具有举足轻重和决定性重要意义。
1.1.活动目录介绍
活动目录是Windows2003网络体系构造中一个根本且不可分割局部,它为网络用户、管理员和应用程序提供了一套分布式网络环境设计目录效劳。
活动目录使得组织机构可以有效地对有关网络资源和用户信息进展共享和管理。
另外,目录效劳在网络平安方面也扮演着中心授权机构角色,从而使操作系统可以轻松地验证用户身份并控制其对网络资源访问。
同等重要是,活动目录还担当着系统集成和稳固管理任务集合点。
总来说,活动目录这些功能使组织机构可以将标准化商业规那么贯彻于分布式应用和网络资源当中,同时,无需管理员来维护各种不同专用目录。
活动目录提供了对基于Windows用户账号、客户、效劳器和应用程序进展管理唯一点。
同时,它也帮助组织机构通过使用基于Windows应用程序和与Windows相兼容设备对非Windows系统进展集成,从而实现稳固目录效劳并简化对整个网络操作系统管理。
公司也可以使用活动目录效劳平安地将网络系统扩展到Internet上。
活动目录因此使现有网络投资升值,同时,降低为使Windows网络操作系统更易于管理、更平安、更易于交互所需全部费用。
活动目录是微软各种应用软件运行必要和根底条件。
以下图表示出活动目录成为各种应用软件中心。
1.2.应用Windows2003ServerAD好处
Windows2003Server是微软最新推出网络操作系统效劳器,它沿用了Windows2000Server先进技术并且使之更易于部署、管理和使用。
其结果是:
其高效构造有助于使您网络成为单位战略性资产。
应用Windows2003Server好处如下表所示:
优势
描述
可靠性
WindowsServer2003是迄今为止最快、最可靠和最平安Windows效劳器操作系统。
提供集成构造,用于帮助您确保商业信息平安性。
提供可靠性、实用性和可伸缩性,使您可以提供用户需要网络构造。
高效
WindowsServer2003提供各种工具,允许您部署、管理和使用网络构造以获得最大效率。
提供灵活易用工具,有助于使您设计和部署与组织及网络要求相匹配。
通过加强策略、使任务自动化以及简化升级来帮助您主动管理网络。
通过让用户自行处理更多任务来降低支持开销。
连接性
连接WindowsServer2003可以帮助您创立业务解决方案构造,以便与雇员、合作伙伴、系统和客户更好地连接。
提供集成Web效劳器和流媒体效劳器,帮助您快速、轻松和平安地创立动态Intranet和InternetWeb站点。
提供集成应用程序效劳器,帮助您轻松地开发、部署和管理XMLWeb效劳。
提供多种工具,使您得以将XMLWeb效劳与内部应用程序、供给商和合作伙伴连接起来。
最经济
与来自Microsoft许多硬件、软件和渠道合作伙伴产品和效劳相结合,WindowsServer2003提供了有助于使您根底架构投资获得最大回报选择。
为使您得以快速将技术投入使用完整解决方案提供简单易用说明性指南。
通过利用最新硬件、软件和方法来优化效劳器部署,从而帮助您合并各个效劳器。
降低用户所属权总本钱(TCO),使投资很快就能获得回报。
Windows2003Server核心是一组基于ActiveDirectory〔目录效劳,简称“AD〞〕根底构造效劳。
Windows2003AD简化了管理,加强了平安性,扩展了互操作性。
它为用户、组、平安效劳及网络资源管理提供了一种集中化方法。
应用Windows2003AD之后,企业信息化建立者和网络管理员可以从中获得如下好处:
系统平台根底架构。
基于Windows2003AD规划网络根底架构,使企业获得一个稳定、可扩大网络根底平台。
不单单是满足当前网络需要,更关键是预计了今后3-5年内可能开展需要,使得将来网络规划建立无需再次重复投资。
单一登录。
可以统一用户帐户设置和用户身份验证,实现用户单一登录,用户访问网络中资源不再需要反复输入用户名称和口令。
同时,它还是企业应用集成根底。
基于AD单一登录功能,便于实现在不同程序之间协作和集成应用。
网络平安。
可以基于AD,集中设置和统一管理用户、组、资源操作权限,方便维护管理。
集中管理和委派授权。
基于Windows2003活动目录OU实施委派授权管理,未来向下属企业推广时,分级维护,集团各部门、下属公司可以对所辖范围内局部参数进展维护,如增加用户、设置权限、增加栏目、自定义流程等。
用户桌面管理。
通过规划部署Windows2003OU和组策略,可以统一规划用户桌面和用户操作环境,实现对客户计算机集中控制管理,加强信息管理平安可靠性。
软件自动分发。
通过规划部署Windows2003OU和组策略,还可以实现应用程序自动分发、升级和删除,不但可以实现客户机软件统一安装管理,而且大大减轻了软件安装配置工作量。
1.3.明确系统规划目标
企业Windows2003AD系统规划构建是为企业信息化建立效劳,需要到达以下战略目标:
围绕企业战略开展需要,进展企业信息化建立系统规划,满足企业3-5年业务开展对IT建立要求;
以业务为驱动,通过有效信息系统,加强信息共享和协同办公,提高工作效率,降低本钱;
整合企业现有信息资产,加强企业管理与监控;从信息中挖掘知识,提高经营决策与驾驭风险能力;
推进知识管理理念,建立知识型企业,增强企业核心竞争力。
Windows2003AD系统规划实施具体目标如下:
规划和部署基于Windows2003AD企业目录效劳,首先实现用户单一登录,保障网络系统平安;
通过AD实现用户桌面集中和自动管理,分发软件补丁;
进一步部署微软相关应用平台软件,如实现基于Exchange2003企业内部邮件和协作效劳,
1.4.活动目录设计方案
我们为企业设计一个域,用户所有计算机〔效劳器和客户机〕全部参加到域,用户实现单一登录和管理员通过域组策略实现平安及桌面管理。
AD架构拓扑如下。
用户关心问题解答
2.1.活动目录优势
1.计算机工作组管理和AD管理比拟
对于基于MicrosoftWindows操作系统计算机运行和管理在两种模式下:
工作组(workgroup)和域(domain)。
在工作组模式下,计算机处于一个孤立状态,使用计算机用户登录帐号和计算机管理均须在每台计算机上创立或进展。
见以下图。
当计算机超过20台以上时,计算机管理变得越来越困难,并且要为用户创立越来越多访问网络资源帐号,用户要记住多个访问不同资源帐号。
而在域模式下,用户只需记住一个域帐号,即可登录访问域中资源。
并且管理员通过组策略,可以轻松配置用户桌面工作环境和加强计算机平安设置。
域模式下所有域帐号保存在域控制器活动目录数据库中。
见以下图。
2.为什么要提供目录效劳
对更加强大、透明且高度集成目录效劳不断需求是由爆炸性增长网络计算所导致。
随着局域网〔LAN〕、广域网〔WAN〕规模与复杂性不断提高和这些网络不断被连入Internet,以及应用程序对网络依赖程度不断增强并不断被链接到协作企业网中其它系统上,对目录效劳需求也日渐增多。
基于以下原因,目录效劳成为扩展计算机系统中最重要部件之一:
简化管理提供对用户、应用程序和设备单一、一致性管理点。
加强平安性向用户提供单一网络资源登录,为管理员提供强大、一致性工具以使他们能够管理为内部台式机用户、远程拨号用户以及外部电子商务客户提供平安效劳。
扩展互操作性向所有活动目录特性提供基于标准存取方式以及对通用目录同步支持。
目录效劳兼任管理工具和用户工具。
随着网络中对象数量增加,目录效劳变得必不可少。
目录效劳在一个庞大分布式系统中发挥着网络集线器作用。
致力于这些需求,Windows2000效劳器版引入了活动目录--即一套用于改良Windows网络操作系统管理、平安性和互操作性完整目录效劳集。
以下图描述了活动目录带来计算机平安和管理上一些最重要好处。
简化了计算机系统管理
分布式系统常常导致时间消耗和管理冗余。
当公司在他们根底构造上添加应用程序并雇用新职员时,他们需要适当地向各桌面系统分发软件并管理多个应用程序目录。
通过在单一位置管理用户、组和网络资源以及分发软件和管理桌面系统配置,活动目录可以显著降低公司管理费用。
例如,活动目录在同一个位置管理Windows用户和MicrosoftExchange邮箱信息。
基于以下原因,活动目录可以从以下方面帮助公司简化管理:
消除冗余管理任务提供对Windows用户账号、客户、效劳器和应用程序以及现存目录同步能力进展单一点管理。
降低桌面系统行程针对用户在公司中所担当角色自动向其分发软件,以减少或消除系统管理员为软件安装和配置而安排屡次行程。
更好实现IT资源最大化平安地将管理功能分派到组织机构所有层次上。
降低总体拥有本钱〔TCO〕通过使网络资源容易被定位、配置和使用来简化对文件和打印效劳管理和使用。
4.加强平安性
强大且一致平安效劳对企业网络而言是必不可少。
管理用户验证和访问控制工作往往单调乏味且容易出错。
活动目录集中进展管理并加强了与组织机构商业过程一致、且基于角色平安性。
例如,对多身份验证协议〔如Kerberos,认证以及由灵活访问控制模型组成智能卡〕支持实现了对于内部桌面系统用户、远程拨号用户和外部电子商务客户强大且一致平安效劳。
活动目录使用以下方法增强平安性:
改良了密码平安性和管理通过向网络资源提供单一集成、高性能且对终端用户透明平安效劳。
保证桌面系统功能性通过根据终端用户角色锁定桌面系统配置来防止对特定客户主机操作进展访问,例如软件安装或注册项编辑。
加速电子商务部署通过提供对平安Internet标准协议和身份验证机制内建支持,如Kerberos,公开密钥根底设施〔PKI〕和平安套接字协议层〔SSL〕之上轻便目录访问协议〔LDAP〕。
严密控制平安性通过对目录对象和构成他们单独数据元素设置访问控制特权。
2.2.重要组策略介绍
1.软件分发策略
通过组策略可以为域中计算机或用户自动分发带有msi包软件。
见以下图。
2.将用户个人数据从pc机上重定向到效劳器上
重定向有利于数据平安以及集中备份。
见以下图。
3.平安类组策略
密码策略
²“强制密码历史〞设置确定在重用旧密码之前必须与用户帐户相关唯一新密码数量。
²配置“密码最长使用期限〞设置,以便密码在环境需要时过期。
²“密码最短使用期限〞设置确定了用户更改密码之前必须使用密码天数。
²“最短密码长度〞设置确保密码至少包含指定数量字符。
²“密码必须符合复杂性要求策略〞选项检查所有新密码以确保它们符合强密码根本要求。
l账号锁定策略
帐户锁定策略是一项WindowsServer2003平安功能,它在指定时间段内屡次登录尝试失败后锁定用户帐户。
允许尝试次数和时间段是由为平安策略锁定设置配置值决定。
用户不能登录到锁定帐户。
²“帐户锁定时间〞设置确定在未锁定帐户且用户可以尝试再次登录之前所必须经历时间长度
²“帐户锁定阈值〞设置确定用户在帐户锁定之前可以尝试登录帐户次数。
²“复位帐户锁定计数器〞设置决定了“帐户锁定阈值〞复位为0以及帐户被解锁之前所必须经过时间长度。
l禁用本地管理员帐号
默认情况下,每台参加到域中计算机都有Administrator和Guest两个帐号,Administrator帐号在安装时口令为空。
用户使用这个帐号权限过大,因此一般不会给用户使用这个管理员帐号,最好做法就是通过组策略禁用这个帐号,用户使用域帐号。
l将域帐号参加到每台PC机本地PowerUsers组中
创立域帐号时,默认情况下这个帐号只属于DomainUsers组中,该组属于每台PC机本地Users组。
本地Users组中成员权限受到严格限制,比方共享文件夹,安装打印机驱动程序等工作权限都没有。
而经常有用户需要这些权限,可以通过组策略来实现。
l禁用系统效劳
我们为优化系统和平安性考虑,经常要禁用计算机一些无需运行效劳。
我们可以通过组策略把这些效劳禁用掉。
l软件限制策略
对一些规定不得使用软件可以通过组策略来禁用:
²路径规那么:
特殊文件路径下软件不得使用:
如programfiles下某些软件
²证书规那么:
只有系统管理员颁发过证书软件可以使用,其他软件制止使用
²哈希规那么:
对制止使用软件通过哈希运算得到这个软件身份指纹,在组策略里设置只要是符合身份指纹鉴定软件就进展限制
l网络连接控制策略
用户经常会通过改变“网络连接〞中设置,绕过企业防火墙,建立自己上网链路,比方拨号上网。
这样会带来很大平安隐患。
可以通过组策略限制用户不得改变网络连接中配置,不允许用户通过其他方式连接互联网。
2.3.计算机从工作组参加到域可能存在问题和解决方法
把计算机从工作组模式参加到域模式可能会出现以下二个问题
问题:
1.一些软件不能使用。
有一些软件以登录者管理员权限帐号运行,当计算机参加到域并对登录帐号做了权限设置,或禁用了本地管理员帐号,这些需要管理员权限运行软件就有可能不能正常运行。
2.用户桌面环境发生改变。
由于参加域前后用户是用不同帐号登录,因此用户以前桌面环境无法使用。
具体有
²桌面上放置资料
²“我文档〞等放置资料
²配置好“网络打印机〞
²IE里设置好“网站收藏夹〞等。
解决方法:
1.对问题1我们可以按以下两个方法来解决:
(1)把域帐号参加到本地管理员组
(2)卸载软件,用域帐号登录并安装
2.对问题2针对不同问题分别解决如下:
(1)把本地老帐号下桌面内容全部备份下来,复制到新域帐号桌面
(2)把本地老帐号下“我文档〞内容全部备份下来,复制到新域帐号“我文档〞
(3)重新连接和创立“网络打印机〞
(4)用特殊软件把老帐号IE里“网站收藏夹〞备份下来,然后恢复到新域帐号中
3.活动目录方案实施
3.1.AD域命名和DNS规划
Windows2003AD域命名和DNS规划之所以放在首要地位,是因为AD作为整个IT架构根底,不应该轻易被调整。
尽管安装后,Windows2003AD仍然可以重组和改名,这一点比Windows2000AD有了很大进步,但是我们仍然建议做一个长远规划,使得域命名和DNS效劳能够满足企业3-5年需求,尽量防止配置好后改作调整地巨大人力物力浪费。
此外,部署Windows2003AD,还必须确定DNS效劳器,确保它们满足域控制器定位器系统要求。
一个支持ADDNS至少需要满足以下要求:
必须支持效劳定位资源记录〔SRV〕
应该支持DNS动态更新协议〔RFC2136〕
Windows2003Server提供DNS效劳同时满足这些要求,并且还提供以下重要附加功能和改良:
ActiveDirectory集成:
DNS效劳把区域数据存储在目录中,使得DNS复制创立多个主域,也减少了对维护一个单独DNS区域传送复制拓扑要求。
平安动态更新:
使得一个管理员可以准确地控制哪些计算机可以更新哪些名称,并防止XX计算机从DNS获得现有名称。
条件转发:
根据不同对外访问域名后缀,可以将用户DNS名称解析请求转发到不同外部DNS效劳器。
存根区域:
可以定时地刷新和外部DNS效劳器连接,及时发现那些可能有故障、不再响应用户请求效劳器,提高用户DNS名称解析效率。
3.2.确定AD逻辑构造
Windows2003活动目录逻辑构造由三个根本组件组成:
森林、域和OU。
1、确定森林规划
森林是Windows2003AD域集合。
在很多情况下,单一森林就足够了。
单一森林环境易于建立和维护,森林间域自动建立双向可传递内部信任关系,不要求手动建立外部信任配置,在安装Exchange2003Server等应用程序时,只需应用一次架构更改即可影响所有域。
如果各个单位有以下管理要求,就必须建立一个以上森林:
不互相信任管理员。
希望限制信任关系范围。
不同意某种森林架构更改策略。
架构更改、配置更改会影响到森林中所有域。
如果单位不同意一个公共架构策略,它们就不能共存于同一个森林中。
2、制定域规划
规划域构造时,始终遵循“简单是最好投资〞设计原那么,尽管增加某些复杂构造可以增值,但是简单构造更易于说明、维护和调试。
一开场时总是仅考虑每个森林中仅有一个域,然后为每一个增加新域提供详细理由,确保添加到森林中域都是有益,因为它们会带来相应管理开销而导致一定程度本钱上升。
创立更多域三种可能原因是:
希望实现相对分散式得IT管理模式:
多域构造更容易进展相对独立管理、委派和权限控制。
另外,不同用户帐户在一个域内是不能出现重名,多域之间就没有限制。
对于人士管理相对独立集团下属公司,多域构造具有更好灵活性。
希望实现不同管理策略要求:
包括用户口令策略、账户锁定策略和EFS加密策略。
例如,要求某些人必须取8个字符以上口令,而其它人不做限制。
为此,必须将这些需要不同平安策略用户放在单独域中。
希望减小WAN上复制流量:
域控制器域间复制将产生比域内复制少多流量。
如果公司很大,具有跨地区组织构造,且处于同一个森林内,那么在不同地理位置上机构可能使用慢速WAN链路连接。
为减少WAN上DC复制流量,可以在不同地理位置设置不同域。
根据以上考虑,我们建议,企业Windows2003AD域逻辑构造可以采用“单森林、单域〞构造设计。
3.3.确定AD物理构造
Windows2003AD物理构造主要是规划站点拓扑,用于帮助您决定在网络什么地方放置域控制器,以及管理域控制器之间复制流量和用户登录流量。
考虑到企业地理分布情况,应该考虑使用多站点拓扑来规划Windows2003AD物理构造。
从绘制根本网络拓扑布局图着手工作,绘制所有可能站点〔Site〕和站点链接〔SiteLink〕。
速度快〔10Mbps以上〕、连接可靠LAN网络总是放置在单站点中。
站点定义为一组通过快速、可靠线路连接起来IP子网。
一般而言,具有LAN速度或更快速度网络被认为是快速网络。
窄带、或不太可靠连接可以使用站点链接建立多站点网络。
通常,WAN连接一般被认为是窄带连接。
如果建立站点链接,实现多站点网络模式,那么:
客户计算机在登录到域时首先试图与位于同一站点DC通信;
Windows2003AD复制使用站点拓扑产生复制连接。
3.4.规划OU构造和组策略
组织单元〔OU〕是一个用来在域中创立分层管理单位容器。
在域中创立OU构造时,必须注意始终按照“谁管理什么〞原那么,从IT管理需要出发,划分管理模型构造,而不是简单按照公司业务单位和它不同分支、部门和工程来创立OU构造。
考虑OU以下特性是很重要:
OU可以是嵌套。
一个OU可以包含子OU,使得可以在域中创立一个分层目录树构造。
但是嵌套太多将导致管理复杂和低效,所以建议以二级嵌套为最理想,最多不应超过四级嵌套。
OU可以用来委派管理和控制对目录对象访问。
不能使OU成为平安组成员,也不能因为用户被委派管理OU或驻留在OU中而自动获得访问资源权限。
可以在OU上实施组策略。
组策略是基于Windows2003注册表修改,从而集中控制用户和计算机工作环境、桌面配置、软件自动安装和删除管理手段。
一般而言,平安策略必须在域级别实施,其它策略主要在OU级别实施。
不鼓励用户在OU构造中浏览。
没有必要设计一个吸引最终用户OU构造。
尽管用户有可能浏览一个域OU构造,但对于用户查找资源来说,这并不是一个最有效方法。
在目录中查找资源最有效方法是查询全局编录。
有两个理由需要在Windows2003域中创立OU构造:
创立OU以管理对象和委派授权。
为组策略创立OU。
一个完全为管理和委派而设计OU构造与一个完全为组策略而设计OU构造是不同。
OU构造将很快变得相当复杂。
每次添加一个OU到规划中时,要记下创立具体原因。
这有助于确保每个OU有一个目,并将帮助阅读规划人理解构造所基于理由。
3.5.创立OU以管理和委派
在单位中委派管理有一些好处。
以前,在单位中除了IT之外组可能必须将更改请求提交到高级管理员,高级管理员代表他们进展更改。
委派特定权限可以将责任分散到单位中各个组,使您可以将必须有高级访问权限用户数量降到最少。
权限受到限制管理员所发生事故或错误所产生影响只限于他们负责范围。
这一工作包括以下步骤:
确定创立何种OU
创立OU构造将完全取决于管理是如何在单位中委派。
委派管理三种方法是:
按物理位置、按业务单位〔公司部门〕、按角色或任务。
三种方法经常结合使用。
修改访问控制列表:
修改OU访问控制列表(ACL)可以授予一个组对OU特定权限,从而实现对该OU委派管理。
尽量委派权限给组账户而不是单独用户,如果可能,委派到本地组而不是全局组或通用组。
委派步骤。
从域中默认构造开场,按以下主要步骤创立OU构造:
通过委派完全控制创立OU顶层;
创立OU下层来委派每个对象类别控制。
3.6.创立OU支持组策略
使用Windows2003,可以使用组策略定义用户和计算机配置,并将这些策略与站点、域或OU关联。
是否要创立附加OU以支持组策略应用取决于制定策略以及所选择实现方案,包括:
定义客户计算机管理与桌面配置标准
定义软件自动分发
特殊组策略应用配置与管理
在Windows2003中,组策略设置是管理员启用集中更改和配置客户计算机管理主要方法。
可用组策略为某个特定用户组和计算机组创立指定平安限制和桌面环境配置。
Windows2003组策略有100多种与平安有关设置和450多种基于注册表设置,为您管理用户计算机环境提供了众多项选择项。
Windows2003组策略:
可根据活动目录定义或在计算机本地进展定义;
可用Microsoft管理控制台〔MMC〕或*.adm文件保存和管理;
是平安;
不会在实施策略改变时把设置留在用户配置文件中;
应用于指定活动目录容器〔站点、域与OU〕中用户或计算机;
可由平安组用户或计算机成员进一步控制;
可用来配置多种类型平安设;
可用于实施登录、注销、启动及关闭脚本;
可用于安装和维护软件;
可用于重定向文件夹〔如MyDocuments和ApplicationData文件夹〕;
可用于在MicrosoftInternetExplorer中执行维护。
可以按以下三个步骤配置和管理组策略:
管理站点、域或OU组策略链接:
默认情况下,只有域管理员组和企业管理员组可以配置站点、域或部门组策略。
可在站点、域或OU“属性〞页“组策略〞选项卡中指定链接至站点、域或OU组策略对象。
ActiveDirectory支持以每个属性为根底平安设置。
创立组策略对象:
默认情况下,只有域管理员组、企业管理员组和组策略创立者〔所有者〕组成员可以创立新组策略对象。
如果域管理员想使一个非管理员用户或组能够创立组策略对象,那么可将该用户或组添至组策略创立者〔所有者〕平安组中。
这样,他们就可以创立、修改自己组策略对象,并成为该组策略对象创立者和所有者。
编辑组策略对象:
默认情况下,组策略对象承受域管理员、企业管理员及
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- AD 部署 解决方案
![提示](https://static.bingdoc.com/images/bang_tan.gif)