活動(dòng)目錄、域及組策略 - Windows Server - WinOS中文技術(shù)論壇 專(zhuān)注微...
活動(dòng)目錄、域及組策略
活動(dòng)目錄、域和組策略在很多用戶(hù)那里都有所運(yùn)用，如果剛開(kāi)始接觸這些內(nèi)容時(shí)難免會(huì)覺(jué)得很復(fù)雜，這主要是因?yàn)閷?zhuān)業(yè)名詞太多，同時(shí)也許個(gè)人心理因素上存在畏難情緒，因此，在和客戶(hù)交流過(guò)程中，有些發(fā)蒙，覺(jué)得底氣不足，無(wú)法和客戶(hù)繼續(xù)溝通下去，也就無(wú)法了解客戶(hù)企業(yè)完整的網(wǎng)絡(luò)架構(gòu)，那就無(wú)法從客戶(hù)的實(shí)際環(huán)境出發(fā)，幫助客戶(hù)提出一個(gè)完備的解決方案。因此，今天我在這里對(duì)一些專(zhuān)業(yè)術(shù)語(yǔ)、易混淆的地方以及本人認(rèn)為是難點(diǎn)的地方做一簡(jiǎn)單詮釋?zhuān)饕亲鲆粋€(gè)拋磚引玉，希望各位同仁指正。
活動(dòng)目錄
活動(dòng)目錄存儲(chǔ)整個(gè)網(wǎng)絡(luò)上資源的信息，便于用戶(hù)查找、管理和使用這些資源?；顒?dòng)目錄是Windows 2000網(wǎng)絡(luò)中的目錄服務(wù)。它存儲(chǔ)關(guān)于網(wǎng)絡(luò)資源的信息，并使用戶(hù)或應(yīng)用程序可以訪(fǎng)問(wèn)這些資源?；顒?dòng)目錄使物理網(wǎng)絡(luò)拓?fù)浜蛥f(xié)議透明化，這樣網(wǎng)絡(luò)上的用戶(hù)可以訪(fǎng)問(wèn)任何資源，而不需要知道資源在什么地方，或物理上它是如何連接到網(wǎng)絡(luò)上的。
以前我們?cè)L問(wèn)網(wǎng)絡(luò)資源，一是通過(guò)網(wǎng)上鄰居，選擇某個(gè)工作組，進(jìn)入你所要訪(fǎng)問(wèn)的計(jì)算機(jī)，并且還需要目標(biāo)計(jì)算機(jī)的用戶(hù)名和密碼才能訪(fǎng)問(wèn)上面的資源?；蛘咄ㄟ^(guò)IPC$，輸入目標(biāo)計(jì)算機(jī)的IP地址和訪(fǎng)問(wèn)盤(pán)符，但是同樣需要目標(biāo)計(jì)算機(jī)的用戶(hù)名和密碼。而通過(guò)活動(dòng)目錄，管理員可以把分布在網(wǎng)絡(luò)各處各臺(tái)計(jì)算機(jī)上的資源，比如打印機(jī)、共享文件，分門(mén)別類(lèi)的放在一起?；顒?dòng)目錄提供對(duì)網(wǎng)絡(luò)資源集中控制，允許用戶(hù)只登錄一次就可以訪(fǎng)問(wèn)整個(gè)活動(dòng)目錄的資源了。用戶(hù)打開(kāi)網(wǎng)絡(luò)鄰居，所見(jiàn)到的不再是計(jì)算機(jī)，而是一個(gè)個(gè)目錄文件夾形式：放著打印機(jī)資源的目錄文件夾名稱(chēng)叫做打印機(jī)，技術(shù)部門(mén)的所有共享文件放在一個(gè)稱(chēng)做技術(shù)資料的目錄文件夾中。這就是活動(dòng)目錄名字的由來(lái)。
活動(dòng)目錄的對(duì)象代表網(wǎng)絡(luò)資源，如用戶(hù)、組、計(jì)算機(jī)和打印機(jī)。而且，網(wǎng)絡(luò)中所有的服務(wù)器、域和站點(diǎn)都作為對(duì)象。因?yàn)榛顒?dòng)目錄代表了所有網(wǎng)絡(luò)資源，只需要一個(gè)管理員就可以管理這些資源。
名詞解釋?zhuān)?/strong>
輕型目錄訪(fǎng)問(wèn)協(xié)議（Lightweight Directory Access Protocol,LDAP）
LDAP是用于查詢(xún)和更新活動(dòng)目錄的目錄服務(wù)協(xié)議。它表明，一個(gè)活動(dòng)目錄對(duì)象可以由一系列域組件，OU和普通名字來(lái)代表，它們組成了活動(dòng)目錄中的命名路徑。包括標(biāo)識(shí)名和相對(duì)標(biāo)識(shí)名。標(biāo)識(shí)名確定了對(duì)象所在的域和可以找到對(duì)象的完整路徑。比如：yanyi.technology.centerm.com就是一個(gè)標(biāo)識(shí)名，在LDAP中表示為CN=yanyi，OU=technology，DC=centerm，DC=com。
名字 屬性 描述
DC 域組件 DNS名字的域組件，如com
OU 組織單元 用來(lái)包容其他對(duì)象的容器
CN 普通名字 除了DC和OU的所有對(duì)象，如用戶(hù)和計(jì)算機(jī)對(duì)象
域（Domain） 域是活動(dòng)目錄中邏輯結(jié)構(gòu)的核心單元。一個(gè)域包含許多臺(tái)計(jì)算機(jī)，它們由管理者設(shè)定，共用一個(gè)目錄數(shù)據(jù)庫(kù)。一個(gè)域有一個(gè)唯一的名字，給那些由域管理者集中管理的用戶(hù)賬號(hào)和組賬號(hào)提供訪(fǎng)問(wèn)通道。
安全邊界（ Secutory BOUndary）
在Windows 2000網(wǎng)絡(luò)中，域起著安全邊界的作用。安全邊界的作用就是保證域的管理者只能在該域里有必要的管理權(quán)限。每個(gè)域都有自己的安全策略和與其他域的安全聯(lián)系方式。
復(fù)制單元（Unit of Replication）
域同時(shí)也是一個(gè)復(fù)制單元。在域中，作為域控制器的計(jì)算機(jī)包含活動(dòng)目錄的副本。在一個(gè)域中，所有域控制器都能夠得到活動(dòng)目錄中的變化信息，并把這些變化復(fù)制給該域中的其它控制器。（在一個(gè)域中，一般都會(huì)有兩個(gè)域控制器，稱(chēng)做DC）。
組織單元（Organizational Units.OU）
一個(gè)組織單元就是一個(gè)可以把對(duì)象組織到一個(gè)域內(nèi)的容器對(duì)象。一個(gè)OU可以包含的對(duì)象有用戶(hù)賬號(hào)，組，計(jì)算機(jī)，打印機(jī)和其它OU。
OU的引入，可以幫助建立基于管理責(zé)任的網(wǎng)絡(luò)管理模型。例如，一個(gè)組織可以由一個(gè)管理員來(lái)負(fù)責(zé)所有用戶(hù)的帳戶(hù)，由另一個(gè)管理員負(fù)責(zé)所有計(jì)算機(jī)。因此，在這個(gè)事例中，可以分別建立一個(gè)用戶(hù)OU和一個(gè)計(jì)算機(jī)OU。另外，我們可以對(duì)不同的OU設(shè)置不同的組策略進(jìn)行管理。
組策略（Group Policy）
生產(chǎn)上的損失經(jīng)常是由于用戶(hù)錯(cuò)誤產(chǎn)生的。通過(guò)使用組策略來(lái)減少用戶(hù)環(huán)境的復(fù)雜性，并減小用戶(hù)不正確得配置這些環(huán)境的可能性，可以提高生產(chǎn)率并減少網(wǎng)絡(luò)所需的技術(shù)支持，從而，降低了物主的總體擁有成本。這也是我們推行Windows 終端一直強(qiáng)調(diào)的要點(diǎn)，所以，終端和組策略緊密配合，將提高我們工作效率，增強(qiáng)對(duì)客戶(hù)的說(shuō)服力。因此，掌握組策略，對(duì)我們而言是很重要的。
組策略可以應(yīng)用在整個(gè)網(wǎng)絡(luò)中，也可以?xún)H將它應(yīng)用在某個(gè)特定的用戶(hù)或計(jì)算機(jī)小組上。
組策略的設(shè)置類(lèi)型包括：
管理模板。 用戶(hù)可以獲得訪(fǎng)問(wèn)的操作系統(tǒng)的組件和應(yīng)用程序、控制面板的訪(fǎng)問(wèn)權(quán)限以及用戶(hù)離線(xiàn)文件的控制。
安全性。即配置本地計(jì)算機(jī)、域以及網(wǎng)絡(luò)安全性設(shè)置的設(shè)置。例如密碼策略、IP策略等。
軟件安裝。即軟件安裝、升級(jí)、卸載的集中化管理的設(shè)置。
命令。即當(dāng)Windows 2000 運(yùn)行特定命令時(shí)的指定設(shè)置。當(dāng)計(jì)算機(jī)開(kāi)機(jī)、關(guān)機(jī)或者當(dāng)用戶(hù)登錄或退出登錄時(shí)可以指定命令。
遠(yuǎn)程安裝服務(wù)。即當(dāng)運(yùn)行遠(yuǎn)程安裝服務(wù)（RIS）的遠(yuǎn)程安裝向?qū)r(shí)控制用戶(hù)可能的選項(xiàng)設(shè)置。
Internet Explorer維護(hù)。管理和定制基于Windows 2000計(jì)算機(jī)的Internet Explorer設(shè)置。
文件夾重定向。即在網(wǎng)絡(luò)服務(wù)器上存儲(chǔ)用戶(hù)個(gè)性化文件夾的位置。這些設(shè)置在個(gè)性化里創(chuàng)建一個(gè)和網(wǎng)絡(luò)共享文件夾的連接，但文件夾在本地顯示。用戶(hù)可以在網(wǎng)絡(luò)中的任何一臺(tái)計(jì)算機(jī)上對(duì)該文件夾進(jìn)行訪(fǎng)問(wèn)。
組策略包括計(jì)算機(jī)的組策略設(shè)置和用戶(hù)的組策略設(shè)置。計(jì)算機(jī)相關(guān)的組策略應(yīng)用在操作系統(tǒng)初始化和周期性更新循環(huán)過(guò)程中。用戶(hù)相關(guān)的組策略應(yīng)用在用戶(hù)登錄計(jì)算機(jī)和周期性更新循環(huán)過(guò)程中。
GPO稱(chēng)做組策略對(duì)象。
組策略的繼承性
組策略的繼承性包括Windows 2000在活動(dòng)目錄中處理GPO的順序，以及在連接到母容器的GPO中的組策略的繼承性。
組策略的執(zhí)行GPO的順序是建立在GPO所連接的活動(dòng)目錄容器的基礎(chǔ)上的。GPO首先應(yīng)用于離用戶(hù)和計(jì)算機(jī)最遠(yuǎn)的站點(diǎn)上，然后應(yīng)用于域，最后是OU。因此，作為成員的用戶(hù)和計(jì)算機(jī)的OU的組策略設(shè)置是最后執(zhí)行的組策略設(shè)置。
默認(rèn)GPO是被繼承的。繼承流程是沿著活動(dòng)目錄從站點(diǎn)到域然后到OU。
如果一個(gè)域中存在多個(gè)組策略，那么就很有可能出現(xiàn)組策略設(shè)置間存在沖突問(wèn)題。大多數(shù)場(chǎng)合下，計(jì)算機(jī)設(shè)置高于用戶(hù)設(shè)置。
當(dāng)沖突發(fā)生時(shí)，確定執(zhí)行哪個(gè)組策略設(shè)置的原則：
來(lái)自母容器的GPO設(shè)置和來(lái)自子容器的GPO設(shè)置沖突。這種情況下，子容器的設(shè)置后執(zhí)行而發(fā)揮作用。
連接到同一容器上的不同GPO設(shè)置發(fā)生沖突。這種情況下，在容器屬性對(duì)話(huà)框中GPO列表中最高位置的GPO的設(shè)置后執(zhí)行并發(fā)揮作用。當(dāng)然，通過(guò)改變GPO列表的順序，可以改變最終發(fā)揮作用的GPO設(shè)置。
組策略回送處理模式（Loopback Processing Mode）
組策略以某種方式應(yīng)用于用戶(hù)或計(jì)算機(jī)，而這種方式取決于用戶(hù)和計(jì)算機(jī)對(duì)象位于 Active Directory 中的什么位置。 但在某些情況下，用戶(hù)可能需要僅根據(jù)計(jì)算機(jī)對(duì)象的位置來(lái)應(yīng)用策略。 要想僅根據(jù)用戶(hù)登錄到哪個(gè)計(jì)算機(jī)來(lái)應(yīng)用組策略對(duì)象 (GPO)，可以使用組策略回送處理模式。
該策略將指示系統(tǒng)把該計(jì)算機(jī)的 GPO 集合應(yīng)用于登錄到受該策略影響的計(jì)算機(jī)的所有用戶(hù)。 該策略特別適用于特殊用途的計(jì)算機(jī)，在這些地方，必須根據(jù)使用的計(jì)算機(jī)來(lái)修改用戶(hù)策略，例如，位于公共場(chǎng)合、實(shí)驗(yàn)室和教室中的計(jì)算機(jī)。
當(dāng)用戶(hù)在自己的工作站上工作時(shí)，可能希望根據(jù)用戶(hù)對(duì)象的位置來(lái)應(yīng)用組策略設(shè)置。 因此，以用戶(hù)帳戶(hù)所在的組織單元 (OU) 為單位來(lái)配置策略設(shè)置。 但是，有可能出現(xiàn)這樣的情況：計(jì)算機(jī)對(duì)象駐留在指定的 OU 中，而且根據(jù)計(jì)算機(jī)對(duì)象而不是用戶(hù)對(duì)象來(lái)應(yīng)用策略中的用戶(hù)設(shè)置。
根據(jù)正常的組策略處理過(guò)程的指定，OU 中的計(jì)算機(jī)是在計(jì)算機(jī)啟動(dòng)期間按順序來(lái)應(yīng)用 GPO 的。 而 OU 中的用戶(hù)則是在登錄期間按順序來(lái)應(yīng)用 GPO 的，這與他們登錄的是哪個(gè)計(jì)算機(jī)無(wú)關(guān)。
某些情況下，該處理順序可能是不合適的，例如，一些應(yīng)用程序已被指派或發(fā)布給在某些 OU 中的用戶(hù)，但當(dāng)他們登錄到在某個(gè)特定 OU 中的計(jì)算機(jī)時(shí)，您并不想讓這些應(yīng)用程序安裝在該計(jì)算機(jī)上。 使用組策略回送處理支持功能，可以指定采用其它方式來(lái)為這個(gè)特定 OU 中的計(jì)算機(jī)的任何用戶(hù)檢索出針對(duì)他們的 GPO 列表，這些方式包括：
合并模式
在該模式中，當(dāng)用戶(hù)登錄時(shí)，將通過(guò)使用 GetGPOlist 函數(shù)正常收集用戶(hù)的 GPO 列表。 然后，再次調(diào)用 GetGPOlist 函數(shù)，在這次調(diào)用中使用計(jì)算機(jī)在 Active Directory中的位置。 然后，計(jì)算機(jī)的 GPO 列表被添加到用戶(hù) GPO 的末尾。 這將導(dǎo)致計(jì)算機(jī)的 GPO 具有比用戶(hù)的 GPO 更高的優(yōu)先權(quán)。 在該例中，計(jì)算機(jī)的 GPO 列表被添加到了用戶(hù)的列表中。
替代模式
在該模式中，不收集用戶(hù)的 GPO 列表。 只使用基于計(jì)算機(jī)對(duì)象的 GPO 列表。
本站僅提供存儲(chǔ)服務(wù)，所有內(nèi)容均由用戶(hù)發(fā)布，如發(fā)現(xiàn)有害或侵權(quán)內(nèi)容，請(qǐng)
點(diǎn)擊舉報(bào)。
