主域和辅域间无法同步，在Active Directory站点和服务中提示“目标主要名称不正确”

qq_41762799 2018-08-29 11:20:30
windows server 2012 r2环境，有两台域，一台主域DC01，一台辅域DC02，现在无法同步，我新建过一台辅域DC03，也连不上主域，下图为DC03报错，图下为dcdiag诊断结果，请高手帮忙看看，谢谢






C:\Users\Administrator.NBT>dcdiag

目录服务器诊断

正在执行初始化设置:
正在尝试查找主服务器...
主服务器 = dc02
* 已识别的 AD 林。
已完成收集初始化信息。

正在进行所需的初始化测试

正在测试服务器: Default-First-Site-Name\DC02
开始测试: Connectivity
......................... DC02 已通过测试 Connectivity

正在执行主要测试

正在测试服务器: Default-First-Site-Name\DC02
开始测试: Advertising
警告: DC02 没有作为时间服务器进行播发。
......................... DC02 没有通过测试 Advertising
开始测试: FrsEvent
......................... DC02 已通过测试 FrsEvent
开始测试: DFSREvent
SYSVOL 共享后的最近 24 小时内出现了警告或错误事件。 失败的 SYSVOL 复制
问题可能导致组策略问题。
......................... DC02 没有通过测试 DFSREvent
开始测试: SysVolCheck
......................... DC02 已通过测试 SysVolCheck
开始测试: KccEvent
发生了一个警告事件。EventID: 0x80000B46
生成时间: 08/29/2018 10:57:22
事件字符串:
通过将目录服务器配置为拒绝不请求签名(完整性验证)的 SASL (协商式、 Ke
rberos、NTLM 或摘要式) LDAP 绑定和在明 文(非 SSL/TLS 加密)连接上执行的 LDAP 简单
绑定，可以显著增强此服务器的安全性。即使没有任何客户端使用这 样的绑定，将该服务
器配置为拒绝此类绑定也将提高此服务器的安全性。
......................... DC02 已通过测试 KccEvent
开始测试: KnowsOfRoleHolders
[DC01] DsBindWithSpnEx() 失败，错误为 -2146893022，
目标主要名称不正确。.
警告: DC01 为 Schema Owner，但不对 DS RPC 绑定作出响应。
[DC01] LDAP 绑定失败，错误为 8341，
出现了一个目录服务错误。.
警告: DC01 为 Schema Owner，但不对 LDAP 绑定作出响应。
警告: DC01 为 Domain Owner，但不对 DS RPC 绑定作出响应。
警告: DC01 为 Domain Owner，但不对 LDAP 绑定作出响应。
警告: DC01 为 PDC Owner，但不对 DS RPC 绑定作出响应。
警告: DC01 为 PDC Owner，但不对 LDAP 绑定作出响应。
警告: DC01 为 Rid Owner，但不对 DS RPC 绑定作出响应。
警告: DC01 为 Rid Owner，但不对 LDAP 绑定作出响应。
警告: DC01 为 Infrastructure Update Owner，但不对 DS RPC 绑定作出响应。

警告: DC01 为 Infrastructure Update Owner，但不对 LDAP 绑定作出响应。
......................... DC02 没有通过测试 KnowsOfRoleHolders
开始测试: MachineAccount
帐户 DC02 不受信任，无法进行委派。该帐户无法复制。
帐户 DC02 不是 DC 帐户。该帐户无法复制。
警告: DC02 的属性 userAccountControl 为:
0x11000 = ( WORKSTATION_TRUST_ACCOUNT | DONT_EXPIRE_PASSWD )
DC 的典型设置为 0x82000 = ( SERVER_TRUST_ACCOUNT | TRUSTED_FOR_DELEGATI
ON )
这可能会影响复制?
......................... DC02 没有通过测试 MachineAccount
开始测试: NCSecDesc
......................... DC02 已通过测试 NCSecDesc
开始测试: NetLogons
......................... DC02 已通过测试 NetLogons
开始测试: ObjectsReplicated
......................... DC02 已通过测试 ObjectsReplicated
开始测试: Replications
[Replications Check，DC02] 最近的复制尝试失败:
从 DC01 到 DC02
命名上下文: DC=ForestDnsZones,DC=nbt,DC=internal
复制生成一个错误(5):
拒绝访问。
失败发生在 2018-08-29 10:57:53。
上次成功发生在 2018-07-26 21:51:51。
自从上次成功已发生 938 次失败。
[Replications Check，DC02] 最近的复制尝试失败:
从 DC01 到 DC02
命名上下文: DC=DomainDnsZones,DC=nbt,DC=internal
复制生成一个错误(5):
拒绝访问。
失败发生在 2018-08-29 10:57:53。
上次成功发生在 2018-07-26 21:51:51。
自从上次成功已发生 938 次失败。
[Replications Check，DC02] 最近的复制尝试失败:
从 DC01 到 DC02
命名上下文: CN=Schema,CN=Configuration,DC=nbt,DC=internal
复制生成一个错误(5):
拒绝访问。
失败发生在 2018-08-29 10:57:53。
上次成功发生在 2018-07-26 21:51:51。
自从上次成功已发生 938 次失败。
[Replications Check，DC02] 最近的复制尝试失败:
从 DC01 到 DC02
命名上下文: CN=Configuration,DC=nbt,DC=internal
复制生成一个错误(5):
拒绝访问。
失败发生在 2018-08-29 10:57:53。
上次成功发生在 2018-07-26 21:51:51。
自从上次成功已发生 938 次失败。
[Replications Check，DC02] 最近的复制尝试失败:
从 DC01 到 DC02
命名上下文: DC=nbt,DC=internal
复制生成一个错误(5):
拒绝访问。
失败发生在 2018-08-29 10:57:53。
上次成功发生在 2018-07-26 21:51:51。
自从上次成功已发生 973 次失败。
......................... DC02 没有通过测试 Replications
开始测试: RidManager
......................... DC02 没有通过测试 RidManager
开始测试: Services
......................... DC02 已通过测试 Services
开始测试: SystemLog
发生了一个错误事件。EventID: 0x40000004
生成时间: 08/29/2018 10:05:52
事件字符串:
Kerberos 客户端收到了来自服务器 dc01$ 的 KRB_AP_ERR_MODIFIED 错误。
使用的目标名称为 NBT\DC01$。这表明目标服务器无法解密客户端提供的票证。如果不是在
目标服务正在使用的帐户上注册目标服务器主体名称(SPN)，则会出现该问题。请确保仅在
服务器使用的帐户上注册目标 SPN。如果目标服务使用的目标服务帐户密码与 Kerberos 密
钥发行中心上配置的密码不同，也会出现该问题。请确保服务器和 KDC 上的服务均配置为
使用同一密码。如果服务器名称未完全限定，并且目标域(NBT.INTERNAL)与客户端域(NBT.I
NTERNAL)不同，则请检查这两个域中是否有相同名称的服务器帐户，或使用完全限定的名称
标识服务器。
发生了一个错误事件。EventID: 0x40000004
生成时间: 08/29/2018 10:18:15
事件字符串:
Kerberos 客户端收到了来自服务器 dc01$ 的 KRB_AP_ERR_MODIFIED 错误。
使用的目标名称为 ldap/dc01.nbt.internal。这表明目标服务器无法解密客户端提供的票
证。如果不是在目标服务正在使用的帐户上注册目标服务器主体名称(SPN)，则会出现该问
题。请确保仅在服务器使用的帐户上注册目标 SPN。如果目标服务使用的目标服务帐户密码
与 Kerberos 密钥发行中心上配置的密码不同，也会出现该问题。请确保服务器和 KDC 上
的服务均配置为使用同一密码。如果服务器名称未完全限定，并且目标域(NBT.INTERNAL)与
客户端域(NBT.INTERNAL)不同，则请检查这两个域中是否有相同名称的服务器帐户，或使用
完全限定的名称标识服务器。
发生了一个错误事件。EventID: 0x40000004
生成时间: 08/29/2018 10:31:36
事件字符串:
Kerberos 客户端收到了来自服务器 dc01$ 的 KRB_AP_ERR_MODIFIED 错误。
使用的目标名称为 E3514235-4B06-11D1-AB04-00C04FC2DCD2/9f91aaba-2ad2-4862-9151-26
ccc552eac4/nbt.internal@nbt.internal。这表明目标服务器无法解密客户端提供的票证。
如果不是在目标服务正在使用的帐户上注册目标服务器主体名称(SPN)，则会出现该问题。
请确保仅在服务器使用的帐户上注册目标 SPN。如果目标服务使用的目标服务帐户密码与 K
erberos 密钥发行中心上配置的密码不同，也会出现该问题。请确保服务器和 KDC 上的服
务均配置为使用同一密码。如果服务器名称未完全限定，并且目标域(NBT.INTERNAL)与客户
端域(NBT.INTERNAL)不同，则请检查这两个域中是否有相同名称的服务器帐户，或使用完全
限定的名称标识服务器。
发生了一个错误事件。EventID: 0x40000004
生成时间: 08/29/2018 10:34:22
事件字符串:
Kerberos 客户端收到了来自服务器 dc01$ 的 KRB_AP_ERR_MODIFIED 错误。
使用的目标名称为 LDAP/9f91aaba-2ad2-4862-9151-26ccc552eac4._msdcs.nbt.internal。
这表明目标服务器无法解密客户端提供的票证。如果不是在目标服务正在使用的帐户上注册
目标服务器主体名称(SPN)，则会出现该问题。请确保仅在服务器使用的帐户上注册目标 SP
N。如果目标服务使用的目标服务帐户密码与 Kerberos 密钥发行中心上配置的密码不同，
也会出现该问题。请确保服务器和 KDC 上的服务均配置为使用同一密码。如果服务器名称
未完全限定，并且目标域(NBT.INTERNAL)与客户端域(NBT.INTERNAL)不同，则请检查这两个
域中是否有相同名称的服务器帐户，或使用完全限定的名称标识服务器。
发生了一个警告事件。EventID: 0x000727A5
生成时间: 08/29/2018 10:50:51
事件字符串: WinRM 服务未在侦听 WS-Management 请求。
发生了一个错误事件。EventID: 0x00001659
生成时间: 08/29/2018 10:57:29
事件字符串:
为域 NBT 建立 Windows NT 或 Windows 2000 域控制器 \\dc01.nbt.intern
al 会话失败，因为域控制器没有计算机 DC02 需要用来 建立此会话的帐户 DC02$。
发生了一个警告事件。EventID: 0x000727AA
生成时间: 08/29/2018 10:57:32
事件字符串: WinRM 服务无法创建以下 SPN: WSMAN/dc02.nbt.internal; WSM
AN/dc02。
发生了一个错误事件。EventID: 0x0000106A
生成时间: 08/29/2018 10:57:32
事件字符串:
无法更新 Isatap 接口 isatap.{237821E6-0394-4EB8-8523-4D04E8CF8EEE}
上的 IP 地址。更新类型: 1。错误代码: 0x490。
发生了一个错误事件。EventID: 0x40000004
生成时间: 08/29/2018 10:57:54
事件字符串:
Kerberos 客户端收到了来自服务器 dc01$ 的 KRB_AP_ERR_MODIFIED 错误。
使用的目标名称为 ldap/dc01.nbt.internal。这表明目标服务器无法解密客户端提供的票
证。如果不是在目标服务正在使用的帐户上注册目标服务器主体名称(SPN)，则会出现该问
题。请确保仅在服务器使用的帐户上注册目标 SPN。如果目标服务使用的目标服务帐户密码
与 Kerberos 密钥发行中心上配置的密码不同，也会出现该问题。请确保服务器和 KDC 上
的服务均配置为使用同一密码。如果服务器名称未完全限定，并且目标域(NBT.INTERNAL)与
客户端域(NBT.INTERNAL)不同，则请检查这两个域中是否有相同名称的服务器帐户，或使用
完全限定的名称标识服务器。
发生了一个错误事件。EventID: 0x40000004
生成时间: 08/29/2018 10:58:02
事件字符串:
Kerberos 客户端收到了来自服务器 dc01$ 的 KRB_AP_ERR_MODIFIED 错误。
使用的目标名称为 NBT\DC01$。这表明目标服务器无法解密客户端提供的票证。如果不是在
目标服务正在使用的帐户上注册目标服务器主体名称(SPN)，则会出现该问题。请确保仅在
服务器使用的帐户上注册目标 SPN。如果目标服务使用的目标服务帐户密码与 Kerberos 密
钥发行中心上配置的密码不同，也会出现该问题。请确保服务器和 KDC 上的服务均配置为
使用同一密码。如果服务器名称未完全限定，并且目标域(NBT.INTERNAL)与客户端域(NBT.I
NTERNAL)不同，则请检查这两个域中是否有相同名称的服务器帐户，或使用完全限定的名称
标识服务器。
发生了一个警告事件。EventID: 0x00001796
生成时间: 08/29/2018 11:00:16
事件字符串:
Microsoft Windows Server 检测到客户端与此服务器之间当前正在使用 NTLM
身份验证。当客户端与此服务器之间第一次使用 NTLM 时，每次启动服务器都会发生此事
件。
发生了一个错误事件。EventID: 0x40000004
生成时间: 08/29/2018 11:00:26
事件字符串:
Kerberos 客户端收到了来自服务器 dc01$ 的 KRB_AP_ERR_MODIFIED 错误。
使用的目标名称为 LDAP/9f91aaba-2ad2-4862-9151-26ccc552eac4._msdcs.nbt.internal。
这表明目标服务器无法解密客户端提供的票证。如果不是在目标服务正在使用的帐户上注册
目标服务器主体名称(SPN)，则会出现该问题。请确保仅在服务器使用的帐户上注册目标 SP
N。如果目标服务使用的目标服务帐户密码与 Kerberos 密钥发行中心上配置的密码不同，
也会出现该问题。请确保服务器和 KDC 上的服务均配置为使用同一密码。如果服务器名称
未完全限定，并且目标域(NBT.INTERNAL)与客户端域(NBT.INTERNAL)不同，则请检查这两个
域中是否有相同名称的服务器帐户，或使用完全限定的名称标识服务器。
......................... DC02 没有通过测试 SystemLog
开始测试: VerifyReferences
......................... DC02 已通过测试 VerifyReferences


正在 ForestDnsZones
上运行分区测试
开始测试: CheckSDRefDom
......................... ForestDnsZones 已通过测试 CheckSDRefDom
开始测试: CrossRefValidation
......................... ForestDnsZones 已通过测试 CrossRefValidation

正在 DomainDnsZones
上运行分区测试
开始测试: CheckSDRefDom
......................... DomainDnsZones 已通过测试 CheckSDRefDom
开始测试: CrossRefValidation
......................... DomainDnsZones 已通过测试 CrossRefValidation

正在 Schema
上运行分区测试
开始测试: CheckSDRefDom
......................... Schema 已通过测试 CheckSDRefDom
开始测试: CrossRefValidation
......................... Schema 已通过测试 CrossRefValidation

正在 Configuration
上运行分区测试
开始测试: CheckSDRefDom
......................... Configuration 已通过测试 CheckSDRefDom
开始测试: CrossRefValidation
......................... Configuration 已通过测试 CrossRefValidation
正在 nbt
上运行分区测试
开始测试: CheckSDRefDom
......................... nbt 已通过测试 CheckSDRefDom
开始测试: CrossRefValidation
......................... nbt 已通过测试 CrossRefValidation
正在 nbt.internal
上运行企业测试
开始测试: LocatorCheck
......................... nbt.internal 已通过测试 LocatorCheck
开始测试: Intersite
...全文
3317 1 打赏 收藏 转发到动态 举报
写回复
用AI写文章
1 条回复
切换为时间正序
请发表友善的回复…
发表回复
qq_41762799 2018-08-29
  • 打赏
  • 举报
 回复
接楼上：


......................... nbt.internal 已通过测试 Intersite
IIS6.0 IIS，互联网信息服务
Internet Information Services（IIS，互联网信息服务），是由微软公司提供的基于运行Microsoft Windows的互联网基本服务。最初是Windows NT版本的可选包，随后内置在Windows 2000、Windows XP Professional和Windows Server 2003一起发行，但在普遍使用的Windows XP Home版本上并没有IIS。 添加和运行准备 　　一、IIS的添加 请进入“控制面板”，依次选“添加/删除程序→添加/删除Windows组件”，将“Internet信息服务（IIS）”前的小钩去掉（如有），重新勾选中后按提示操作即可完成IIS组件的添加。用这种方法添加的IIS组件中将包括Web、FTP、NNTP和SMTP等全部四项服务。 　　二、IIS的运行 当IIS添加成功之后，再进入“开始→设置→控制面板→管理工具→Internet服务管理器(Internet信息服务)”以打开IIS管理器，对于有“已停止”字样的服务，均在其上单击右键，选“启动”来开启。 　　三、在Windows XP Home版本中添加IIS的方法一般情况下按照“一”的方法只适用于Windows XP的专业版本，而对于家庭版，如今已有了破解方法：步骤1 首先我们需要准备一张Windows 2000的安装光盘，假设你的Windows XP家庭版安装在“C:\Windows”，启动记事本程序，在打开对话框中选择打开“C:\Windows\inf\sysoc.inf”，找到“[Components]”小节，并继续找到类似“iis= iis.dll,OcEntry,iis. inf,hide,7”的行，把这一行替换为“iis=iis2.dll,OcEntry, iis2.inf,,7”，之后保存文件。 　　步骤2 把Windows 2000专业版的光盘插入光驱，用Winrar打开光盘i386目录下的iis.dl_和iis. in_这两个CAB格式的文件，将解压缩得到的“iis.dll”改名为“iis2.dll”，复制到“C:\Windows\system32\setup\”目录下；将 “iis. inf”改名为“iis2.inf”，复制到“C:\Windows\inf\”目录下。 　　步骤3 打开控制面板，单击“添加删除程序”图标，然后在窗口左侧导航栏上单击“添加/删除Windows组件”按钮，在打开的“Windows组件向导” 中，选中“Internet信息服务(IIS)”前的复选框。单击右下角的“详细信息”按钮可以打开对话框，在该对话框中我们可以选择需要安装的IIS组件内容。选择完毕后单击“确定”按钮，退回到界面中再单击“下一步”，系统就会开始复制文件。 提示：如果在安装过程中系统需要插入Windows XP CD，或者需要你提供“exch_adsiisex.dll”文件，那是因为你按照默认的选项安装了IIS。要解决这个问题，只要清空“SMTP Service”选项前的复选框即可。如果进入窗口中，“Internet信息服务(IIS)” 选项无法选择，那么很可能因为你使用的“iis.dl_”和“iis. in_”是从Windows XP专业版中提取的，只要换成 Windows 2000专业版中的这两个文件即可。 步骤4 安装结束后，你可以打开“控制面板→性能和选项→管理工具”查看“Internet信息服务管理”。再打开IE，在地址栏中输入“localhost”后回车，验证一下IIS是否正常运行。 经过验证，WWW、FTP等几个服务经过这样的修改都可以在Windows XP家庭版上正常运行。不过经过这样处理安装的IIS在运行上可能存在某种未知的缺陷。 　　四、在Vista系统中安装IIS7.0相对于早先的版本，IIS 7.0 带来了许多引人注目的新特色新功能，比如基于 Microsoft .NET Framework 的全局配置文件，可简单地通过文本编辑器或 Microsoft Visual Studio 编辑；全新的 IIS 管理器，可同时管理 IIS 和 ASP. NET，操作更加方便；以及引入了命令行工具 Appcmd.exe ，给 Web 服务器的日常管理、监视和配置提供了除图形接口外的另一种方式，更为简单、高效。 同Windows XP一样，在Windows Vista的默认设置下，IIS (Internet 信息服务) 7.0未予安装，要想使用它，必须首先安装IIS。下面简单介绍IIS的安装过程： 依次点击“开始” => “控制面板” => “程序”，选择“打开或关闭Windows功能”。 这是一个触发UAC的操作，如果Windows Vista没有关闭UAC，则会弹出提示信息，确认并继续； 如果仅需要IIS 7.0支持静态内容，可直接选中“Internet信息服务”，如果希望 Web 服务器支持动态内容，则需展开“万维网服务”分支，将所需的选项全部选中； 点击“确定”，Windows Vista即启动IIS的安装过程； 安装完成后，打开浏览器输入 “http://localhost/”，检查IIS是否正常。 [编辑本段]IIS之Web服务器安装步骤 　　1、插入windows xp安装光盘，打开控制面板，然后打开其中的“添加/删除程序” 　　2、在添加或删除程序窗口左边点击“添加/删除Windows组建”[1] 　　3、捎带片刻系统会启动Windows组建向导，在Internet信息服务（IIS）前面选勾，点击下一步： 　　4、系统安装成功，系统会自动在系统盘新建网站目录，默认目录为：C:\Inetpub\wwwroot 　　5、打开控制面板－性能和维护－管理工具－Internet 信息服务： 　　6、在默认网站上点击右键－选择属性： 　　7、点击主目录：在本地路输入框后点击浏览可以更改网站所在文件位置，默认目录为：C:\Inetpub\wwwroot 　　在执行权限后面点击配置－调试－教本错误信息，选中：向客户端发送文本错误信息：处理 URL 时服务器出错。请与系统管理员联系。 　　点击文档：可以设置网站默认首页，推荐删除iisstart.asp，添加index.asp和index.htm 　　点击目录安全性：点击编辑可以对服务器访问权限进行设置 　　8、把凡人网络购物系统V7.0文件复制到你选择的网站目录下，假设你选择的目录为为默认目录：C:\Inetpub\wwwroot 　　9、把frshop.rar解压之后的文件复制到C:\Inetpub\wwwroot\shop下即可 　　10、您可以通过以下方式访问商城： 　　http://localhost/shop/ 或 http://127.0.0.1/shop/ 或 http://计算机名/shop/ 或 http://本机IP地址/shop/ 访问 　　其它人可以通过http://计算机名/shop/ 或 http://本机IP地址/shop/ 访问 　　11、如果您有域名，把域名解析到本地IP地址，即可通过http://域名/shop/ [编辑本段]IIS之Web服务器建立 　　第一篇 IIS之Web服务器 　　一、建立第一个Web站点 　　比如本机的IP地址为192.168.0.1，自己的网页放在D:\Wy目录下，网页的首页文件名为Index.htm，现在想根据这些建立好自己的Web服务器。 　　对于此Web站点，我们可以用现有的“默认Web站点”来做相应的修改后，就可以轻松实现。请先在“默认Web站点”上单击右键，选“属性”，以进入名为“默认Web站点属性”设置界面。 　　1．修改绑定的IP地址：转到“Web站点”窗口，再在“IP地址”后的下拉菜单中选择所需用到的本机IP地址“192.168.0.1”。 　　2．修改主目录：转到“主目录”窗口，再在“本地路径”输入（或用“浏览”按钮选择）好自己网页所在的“D:\Wy”目录。 　　3．添加首页文件名：转到“文档”窗口，再按“添加”按钮，根据提示在“默认文档名”后输入自己网页的首页文件名“Index.htm”。 　　4．添加虚拟目录：比如你的主目录在“D:\Wy”下，而你想输入“192.168.0.1/test”的格式就可调出“E:\All”中的网页文件，这里面的“test”就是虚拟目录。请在“默认Web站点”上单击右键，选“新建→虚拟目录”，依次在“别名”处输入“test”，在“目录”处输入“E:\All”后再按提示操作即可添加成功。 　　5．效果的测试：打开IE浏览器，在地址栏输入“192.168.0.1”之后再按回车键，此时就能够调出你自己网页的首页，则说明设置成功！ 　　注：具体不同的电脑会有不同的选项名称，但大体上还是可以找到了（多试一下）。 　　二、添加更多的Web站点 　　1．多个IP对应多个Web站点 　　如果本机已绑定了多个IP地址，想利用不同的IP地址得出不同的Web页面，则只需在“默认Web站点”处单击右键，选“新建→站点”，然后根据提示在“说明”处输入任意用于说明它的内容（比如为“我的第二个Web站点”）、在“输入Web站点使用的IP地址”的下拉菜单处选中需给它绑定的IP地址即可；当建立好此Web站点之后，再按上步的方法进行相应设置。 　　2．一个IP地址对应多个Web站点 　　当按上步的方法建立好所有的Web站点后，对于做虚拟主机，可以通过给各Web站点设不同的端口号来实现，比如给一个Web站点设为80，一个设为81，一个设为82……，则对于端口号是80的Web站点，访问格式仍然直接是IP地址就可以了，而对于绑定其他端口号的Web站点，访问时必须在IP地址后面加上相应的端口号，也即使用如 “http://192.168.0.1:81” 的格式。 　　很显然，改了端口号之后使用起来就麻烦些。如果你已在DNS服务器中将所有你需要的域名都已经映射到了此惟一的IP地址，则用设不同“主机头名”的方法，可以让你直接用域名来完成对不同Web站点的访问。 　　比如你本机只有一个IP地址为192.168.0.1，你已经建立（或设置）好了两个Web站点，一个是“默认Web站点”，一个是“我的第二个Web站点”，现在你想输入“www.enanshan. com”可直接访问前者，输入“www.popunet. com”可直接访问后者。其操作步骤如下： 　　（1）请确保已先在DNS服务器中将你这两个域名都已映射到了那个IP地址上；并确保所有的Web站点的端口号均保持为80这个默认值。 　　（2）再依次选“默认Web站点→右键→属性→Web站点”，单击“IP地址”右侧的“高级”按钮，在“此站点有多个标识下”双击已有的那个IP地址（或单击选中它后再按“编辑”按钮），然后在“主机头名”下输入“www.enanshan. com”再按“确定” 按钮保存退出。 　　（3）接着按上步同样的方法为“我的第二个Web站点”设好新的主机头名为“www.popunet.c o m”即可。 　　（4）最后，打开你的IE浏览器，在地址栏输入不同的网址，就可以调出不同Web站点的内容了。 　　3．多个域名对应同个Web站点 　　你只需先将某个IP地址绑定到Web站点上，再在DNS服务器中，将所需域名全部映射向你的这个IP地址上，则你在浏览器中输入任何一个域名，都会直接得到所设置好的那个网站的内容。 　　搭建IIS服务器应该注意的安全问题 　　1.iis安全设置之安装系统补丁。对于服务器来说就特别重要，因为安全补丁关乎到系统安全，而微软网站经常发布最新的系统安全补丁，可以用系统自带的windows update程序随时更新。 　　2.iis安全设置之FTP目录的设定。FTP目录没有设置也容易被别人攻击，一般的就是将主目录指定到逻辑盘。为了安全，要对对每个目录按不同的用户设置不同的访问权限，然后关闭一些不需要的服务，这样可以对不良人士利用IIS溢出漏洞访问到系统盘作个第一级防护。 　　3.iis安全设置之端口设置。IIS有默认的端口设置，只要稍有计算机知识的人都会记得这些端口的，要破解的话就十分的方便，所以尽量不要使用21这个默认端口号，并启用日志，以便FTP服务出现异常时检查。 [编辑本段]对IIS服务的远程管理 　　三、对IIS服务的远程管理 　　1．在“管理Web站点”上单击右键，选“属性”，再进入“Web站点”窗口，选择好“IP地址”。 　　2．转到“目录安全性”窗口，单击“IP地址及域名限制”下的“编辑”按钮，点选中“授权访问”以能接受客户端从本机之外的地方对IIS进行管理；最后单击“确定”按钮。 　　3．则在任意计算机的浏览器中输入如“http://192.168.0.1:3598”（3598为其端口号）的格式后，将会出现一个密码询问窗口，输入管理员帐号名（Administrator）和相应密码之后就可登录成功，现在就可以在浏览器中对IIS进行远程管理了！在这里可以管理的范围主要包括对Web站点和FTP站点进行的新建、修改、启动、停止和删除等操作。 [编辑本段]有关IIS的常见问题解答 　　四、本部分常见问题解答 　　Q：在上文中所涉及到的网址中，有的加了“http://”，有的没加，这意味着什么呢？ 　　A：没有加“http://”部分的网址，说明其可加可不加；而加了“http://”部分的，则说明它必不可少！对于带端口号的网址则必须加；否则可省略。 　　Q：对于上文中涉及到IP地址的网址，可否用比较“友好”的名称来代替呢？ 　　A：可以！它除了能够用IIS服务器所在的计算机名来代替之外，还可在DNS服务器中新建域名和相应IP地址的映射表，就也可以用域名来进行访问了！ 　　Q：我设置好了一个Web服务器，但是当我访问网页时，却出现密码提示窗口。这是为什么？ 　　A：访问Web站点时，出现密码提示窗口，一般来说有以下原因，请逐个去进行检查： 　　1．所访问的网页文件本身加了密。比如“默认Web站点”原主目录“E:\Inetpub\wwwroot”下的首页文件“iisstart.asp”访问时就需要密码。 　　2．没有设置允许匿名访问或作了不应该的改动.首先应确保已勾选中了“匿名访问”这一项；并且其下“编辑”中“匿名用户帐号”中“用户名”一项应为“IUSR_NODISK”（其中“NODISK”为计算机名）的格式；另外，还需要已勾选中“允许IIS控制密码”一项。 　　3．你的目标目录被限制了访问权限。此项仅当该目录位于NTFS格式分区中时才可能出现。请在其上单击右键，选“属性”，再进入“安全”窗口，看列表中是不是默认的允许“Everyone”组完全控制的状态，如不是，请改回 。 [编辑本段]IIS之FTP服务器 　　第二篇 IIS之FTP服务器 　　一、建立你的FTP站点 　　第一个FTP站点（即“默认FTP站点”）的设置方法和更多FTP站点的建立方法请参照前文Web服务器中相关操作执行。需要注意的是，如果你要用一个IP地址对应多个不同的FTP服务器，则只能用使用不同的端口号的方法来实现，而不支持“主机头名”的做法。 　　对于已建立好的FTP服务器，在浏览器中访问将使用如“ftp://192.168.0.1”或是“ftp://192.168.0.1:22的格式”；除了匿名访问用户（Anonymous）外，IIS中的FTP将使用Windows 2000自带的用户库（可在“开始→程序→管理工具→计算机管理”中找到“用户”一项来进行用户库的管理）。 最后，关键一步还有就是将你的电脑变为网络中的一台服务器，所以你要在你的电脑中装上一个合适的代理服务器软件并运行。 　　二、本部分常见问题解答 　　Q：如何修改FTP服务器登录成功或退出时的系统提示信息？ 　　A：在相应的FTP站点上单击右键，选“属性”，再转到“消息”窗口，在“欢迎”处输入登录成功之后的欢迎信息，在“退出”处输入用户退出时的欢送信息即可。 　　Q：为什么我的FTP服务器建立成功之后，除了管理员（Administrator）和匿名用户（Anonymous）之外，普通用户都不能在本机上登录；可在其他计算机上却能够正常使用。这是为什么？ 　　A：因为默认的，普通用户不具有在本机登录的权限。如果要修改，请进入“开始→程序→管理工具→本地安全策略”中选择“左边框架→本地策略→用户权利指派”，再在右边框架中双击“在本地登录”项，然后将所需的普通用户添加到它的列表中去就行了。 [编辑本段]IIS之SMTP服务器 　　第三篇 IIS之SMTP服务器 　　如果你嫌互联网上的那些免费邮件发送邮件的速度过慢的话，你或许可以考虑用IIS来建立一个本地的SMTP服务器。不管你是直接连入互联网还是通过局域网接入，不管你是有静态的IP地址还是用动态的IP地址，都可以很轻松地建立成功！ 　　建立IIS下的SMTP服务器的方法非常简单，只需在IIS管理器中让“默认SMTP虚拟服务器”处于已启动状态就行了；此外一般不用再做其他任何设置。 　　如果你想要用自己的SMTP服务器发信，只需将你E-mail客户端软件设置中“发送邮件服务器（SMTP）”项中填入“localhost”，则不管你的IP地址如何变化，它都能正常工作, 。 　　当你使用自己的这个SMTP服务器发送E-mail时，不仅有不受制于人的自由感，更有闪电般的发信速度，是个人SMTP服务器的最佳选择！ 　　IIS版本对应的windows版本信息 　　2000 iis版本是5.0 　　xp 版本是5.1 　　2003版本是6.0 　　2008版本是7.0 [编辑本段]IIS 状态解释 概要 　　当用户试图通过 HTTP 或文件传输协议 (FTP) 访问一台正在运行 Internet 信息服务 (IIS) 的服务器上的内容时，IIS 返回一个表示该请求的状态的数字代码。该状态代码记录在 IIS 日志中，同时也可能在 Web 浏览器或 FTP 客户端显示。状态代码可以指明具体请求是否已成功，还可以揭示请求失败的确切原因。 更多信息 　　日志文件的位置 　　在默认状态下，IIS 把它的日志文件放在 %WINDIR\System32\Logfiles 文件夹中。每个万维网 (WWW) 站点和 FTP 站点在该目录下都有一个单独的目录。在默认状态下，每天都会在这些目录下创建日志文件，并用日期给日志文件命名（例如，exYYMMDD.log）。 　　HTTP 　　1xx - 信息提示 　　这些状态代码表示临时的响应。客户端在收到常规响应之前，应准备接收一个或多个 1xx 响应。 • 100 - 继续。 　　• 101 - 切换协议。 　　2xx - 成功 　　这类状态代码表明服务器成功地接受了客户端请求。 • 200 - 确定。客户端请求已成功。 　　• 201 - 已创建。 　　• 202 - 已接受。 　　• 203 - 非权威性信息。 　　• 204 - 无内容。 　　• 205 - 重置内容。 　　• 206 - 部分内容。 　　3xx - 重定向 　　客户端浏览器必须采取更多操作来实现请求。例如，浏览器可能不得不请求服务器上的不同的页面，或通过代理服务器重复该请求。 • 302 - 对象已移动。 　　• 304 - 未修改。 　　• 307 - 临时重定向。 　　4xx - 客户端错误 　　发生错误，客户端似乎有问题。例如，客户端请求不存在的页面，客户端未提供有效的身份验证信息。 • 400 - 错误的请求。 　　• 401 - 访问被拒绝。IIS 定义了许多不同的 401 错误，它们指明更为具体的错误原因。这些具体的错误代码在浏览器中显示，但不在 IIS 日志中显示： • 401.1 - 登录失败。 　　• 401.2 - 服务器配置导致登录失败。 　　• 401.3 - 由于 ACL 对资源的限制而未获得授权。 　　• 401.4 - 筛选器授权失败。 　　• 401.5 - ISAPI/CGI 应用程序授权失败。 　　• 401.7 – 访问被 Web 服务器上的 URL 授权策略拒绝。这个错误代码为 IIS 6.0 所专用。 　　• 403 - 禁止访问：IIS 定义了许多不同的 403 错误，它们指明更为具体的错误原因： • 403.1 - 执行访问被禁止。 　　• 403.2 - 读访问被禁止。 　　• 403.3 - 写访问被禁止。 　　• 403.4 - 要求 SSL。 　　• 403.5 - 要求 SSL 128。 　　• 403.6 - IP 地址被拒绝。 　　• 403.7 - 要求客户端证书。 　　• 403.8 - 站点访问被拒绝。 　　• 403.9 - 用户数过多。 　　• 403.10 - 配置无效。 　　• 403.11 - 密码更改。 　　• 403.12 - 拒绝访问映射表。 　　• 403.13 - 客户端证书被吊销。 　　• 403.14 - 拒绝目录列表。 　　• 403.15 - 超出客户端访问许可。 　　• 403.16 - 客户端证书不受信任或无效。 　　• 403.17 - 客户端证书已过期或尚未生效。 　　• 403.18 - 在当前的应用程序池中不能执行所请求的 URL。这个错误代码为 IIS 6.0 所专用。 　　• 403.19 - 不能为这个应用程序池中的客户端执行 CGI。这个错误代码为 IIS 6.0 所专用。 　　• 403.20 - Passport 登录失败。这个错误代码为 IIS 6.0 所专用。 　　• 404 - 未找到。 • 404.0 -（无） – 没有找到文件或目录。 　　• 404.1 - 无法在所请求的端口上访问 Web 站点。 　　• 404.2 - Web 服务扩展锁定策略阻止本请求。 　　• 404.3 - MIME 映射策略阻止本请求。 　　• 405 - 用来访问本页面的 HTTP 谓词不被允许（方法不被允许） 　　• 406 - 客户端浏览器不接受所请求页面的 MIME 类型。 　　• 407 - 要求进行代理身份验证。 　　• 412 - 前提条件失败。 　　• 413 – 请求实体太大。 　　• 414 - 请求 URI 太长。 　　• 415 – 不支持的媒体类型。 　　• 416 – 所请求的范围无法满足。 　　• 417 – 执行失败。 　　• 423 – 锁定的错误。 　　5xx - 服务器错误 　　服务器由于遇到错误而不能完成该请求。 • 500 - 内部服务器错误。 • 500.12 - 应用程序正忙于在 Web 服务器上重新启动。 　　• 500.13 - Web 服务器太忙。 　　• 500.15 - 不允许直接请求 Global.asa。 　　• 500.16 – UNC 授权凭据不正确。这个错误代码为 IIS 6.0 所专用。 　　• 500.18 – URL 授权存储不能打开。这个错误代码为 IIS 6.0 所专用。 　　• 500.100 - 内部 ASP 错误。 　　• 501 - 页眉值指定了未实现的配置。 　　• 502 - Web 服务器用作网关或代理服务器时收到了无效响应。 • 502.1 - CGI 应用程序超时。 　　• 502.2 - CGI 应用程序出错。application. 　　• 503 - 服务不可用。这个错误代码为 IIS 6.0 所专用。 　　• 504 - 网关超时。 　　• 505 - HTTP 版本不受支持。 　　常见的 HTTP 状态代码及其原因 　　• 200 - 成功。 此状态代码表示 IIS 已成功处理请求。 　　• 304 - 未修改。 客户端请求的文档已在其缓存中，文档自缓存以来尚未被修改过。客户端使用文档的缓存副本，而不从服务器下载文档。 　　• 401.1 - 登录失败。 登录尝试不成功，可能因为用户名或密码无效。 　　• 401.3 - 由于 ACL 对资源的限制而未获得授权。 这表示存在 NTFS 权限问题。即使您对试图访问的文件具备相应的权限，也可能发生此错误。例如，如果 IUSR 帐户无权访问 C:\Winnt\System32\Inetsrv 目录，您会看到这个错误。 　　• 403.1 - 执行访问被禁止。 下面是导致此错误信息的两个常见原因： • 您没有足够的执行许可。例如，如果试图访问的 ASP 页所在的目录权限设为“无”，或者，试图执行的 CGI 脚本所在的目录权限为“只允许脚本”，将出现此错误信息。若要修改执行权限，请在 Microsoft 管理控制台 (MMC) 中右击目录，然后依次单击属性和目录选项卡，确保为试图访问的内容设置适当的执行权限。 　　• 您没有将试图执行的文件类型的脚本映射设置为识别所使用的谓词（例如，GET 或 POST）。若要验证这一点，请在 MMC 中右击目录，依次单击属性、目录选项卡和配置，然后验证相应文件类型的脚本映射是否设置为允许所使用的谓词。 　　• 403.2 - 读访问被禁止。验证是否已将 IIS 设置为允许对目录进行读访问。另外，如果您正在使用默认文件，请验证该文件是否存在。 　　• 403.3 - 写访问被禁止。 验证 IIS 权限和 NTFS 权限是否已设置以便向该目录授予写访问权。 　　• 403.4 - 要求 SSL。禁用要求安全通道选项，或使用 HTTPS 代替 HTTP 来访问该页面。 　　• 403.5 - 要求 SSL 128。禁用要求 128 位加密选项，或使用支持 128 位加密的浏览器以查看该页面。 　　• 403.6 - IP 地址被拒绝。您已把您的服务器配置为拒绝访问您目前的 IP 地址。 　　• 403.7 - 要求客户端证书。您已把您的服务器配置为要求客户端身份验证证书，但您未安装有效的客户端证书。 　　• 403.8 - 站点访问被拒绝。您已为您用来访问服务器的域设置了域名限制。 　　• 403.9 - 用户数过多。与该服务器连接的用户数量超过了您设置的连接限制。 　　注意：Microsoft Windows 2000 PRofessional 和 Microsoft Windows XP PRofessional 自动设置了在 IIS 上最多 10 个连接的限制。您无法更改此限制。 　　• 403.12 - 拒绝访问映射表。 您要访问的页面要求提供客户端证书，但映射到您的客户端证书的用户 ID 已被拒绝访问该文件。 　　• 404 - 未找到。 发生此错误的原因是您试图访问的文件已被移走或删除。如果在安装 URLScan 工具之后，试图访问带有有限扩展名的文件，也会发生此错误。这种情况下，该请求的日志文件项中将出现“Rejected by URLScan”的字样。 　　• 500 - 内部服务器错误。 很多服务器端的错误都可能导致该错误信息。事件查看器日志包含更详细的错误原因。此外，您可以禁用友好 HTTP 错误信息以便收到详细的错误说明。 　　• 500.12 - 应用程序正在重新启动。 这表示您在 IIS 重新启动应用程序的过程中试图加载 ASP 页。刷新页面后，此信息即会消失。如果刷新页面后，此信息再次出现，可能是防病毒软件正在扫描 Global.asa 文件。 　　• 500-100.ASP - ASP 错误。 如果试图加载的 ASP 页中含有错误代码，将出现此错误信息。若要获得更确切的错误信息，请禁用友好 HTTP 错误信息。默认情况下，只会在默认 Web 站点上启用此错误信息。 　　• 502 - 网关错误。 如果试图运行的 CGI 脚本不返回有效的 HTTP 标头集，将出现此错误信息。 [编辑本段]IIS相关总结 　　IIS是Internet Information Server的缩写，它是微软公司主推的服务器，最新的版本是Windows7里面包含的IIS 7.0，IIS与WindowNT Server完全集成在一起，因而用户能够利用Windows NT Server和NTFS（NT File System，NT的文件系统）内置的安全特性，建立强大，灵活而安全的Internet和Intranet站点。 　　IIS支持HTTP（Hypertext Transfer Protocol，超文本传输协议），FTP（File Transfer Protocol，文件传输协议）以及SMTP协议，通过使用CGI和ISAPI，IIS可以得到高度的扩展。 　　IIS支持与语言无关的脚本编写和组件，通过IIS，开发人员就可以开发新一代动态的，富有魅力的Web站点。IIS不需要开发人员学习新的脚本语言或者编译应用程序，IIS完全支持VBScript，JScript开发软件以及Java，它也支持CGI和WinCGI，以及ISAPI扩展和过滤器。 　　IIS支持服务器应用的Microsoft BackOffice系列，Microsoft BackOffice系列包括以下内容： 　　1，Microsoft Exchange Server 客户/服务器通讯和群组软件； 　　2，Mirrosoft Proxy Server 代理服务器； 　　3，用于连接IBM企业网络的Microsoft SNA Server； 　　4，用于集中管理分布式系统的Microsoft Systems Management Server； 　　5，Microsoft Commercial Internet System（MCIS）。 　　IIS的设计目的是建立一套集成的服务器服务，用以支持HTTP，FTP和SMTP，它能够提供快速且集成了现有产品，同时可扩展的Internet服务器。 　　IIS相应性极高，同时系统资源的消耗也是最少，IIS的安装，管理和配置都相当简单，这是因为IIS与Windows NT Server网络操作系统紧密的集成在一起，另外，IIS还使用与Windows NT Server相同的SAM（Security Accounts Manager，安全性账号管理器），对于管理员来说，IIS使用诸如Performance Monitor和SNMP（Simple Nerwork Management Protocol，简单网络管理协议）之类的NT已有管理工具。 　　IIS支持ISAPI，使用ISAPI可以扩展服务器功能，而使用ISAPI过滤器可以预先处理和事后处理储存在IIS上的数据。用于32位Windows应用程序的Internet扩展可以把FTP，SMTP和HTTP协议置于容易使用且任务集中的界面中，这些界面将Internet应用程序的使用大大简化，IIS也支持MIME（Multipurpose Internet Mail Extensions，多用于Internet邮件扩展），它可以为Internet应用程序的访问提供一个简单的注册项。 　　IIS的一个重要特性是支持ASP。IIS 3.0版本以后引入了ASP，可以很容易的张贴动态内容和开发基于Web的应用程序。对于诸如VBScript，JScript开发软件，或者由Visual Basic，Java，Visual C++开发系统，以及现有的CGI和WinCGI脚本开发的应用程序，IIS都提供强大的本地支持。 　　GHOST系统不能安装IIS处理方法： 　　1、在控制面板→添加/删除程序→添加/删除Windows组件中应该没IIS给你选的。 　　3、下载软件XP-IISpatch，运行修复后在添加/删除Windows组件中就会出现IIS。接着就和一般情况下安装IIS一样了，不过途中需要多次重新指定你所下载的IIS安装包。但如果你不幸安装途中出现无法复制文件之类的错误无法安装，就要在DOS命令提示符下运行“esentutl /p %windir%\security\database\secedit.sdb”修复secedit.sdb文件，点YES就可以了，但保险起见最好在运行XP-IISpatch修复后就输入命令修复secedit.sdb文件，等出错后再修复secedit.sdb文件有可能导致无法继续安装。 　　4、由于是安装包装的，因此还有后续工作要做，不然有可能会出错。 　　5、开始→运行，输入msdtc -resetlog，解决无法进入“控制台根目录”－>"组件服务"->"计算机"->"我的电脑"－>"COM+应用程序"和 进入“控制台根目录”－>"组件服务"->"计算机"->"我的电脑"－>"COM+应用程序", 出错，错误代码8004E00F-COM+无法与Microsoft分布式事务协调程序 。 [编辑本段]IIS 5.1和IIS 6.0一些显著的重要区别 核心功能和服务 　　已对 IIS 6.0 进行了重新设计以便利用基本 Windows 内核 HTTP.sys。这使其具有内置的响应和请求缓存和队列功能，并能够将应用程序进程请求直接路由到工作进程，从而改善可靠性和性能。 IIS 6.0 引入了两种用于配置应用程序环境的操作模式：工作进程隔离模式和 IIS 5.0 隔离模式。在安装 IIS 6.0 时默认的隔离模式取决于您执行的是全新安装还是升级。 在全新安装 IIS 6.0 之后，IIS 以工作进程隔离模式运行。 　　在从较低版本的 IIS 6.0 升级之后，隔离模式与以前安装的 IIS 6.0 版本所配置的相同。 　　在从 IIS 5.0 或 IIS 4.0 升级之后，在默认情况下，IIS 6.0 以 IIS 5.0 隔离模式运行，这样可保持与现有应用程序的兼容性。 　　有关从一种隔离模式切换到另一种隔离模式的信息，请参阅配置隔离模式。 　　 IIS 5.0 IIS 5.1 IIS 6.0 平台 Windows 2000 Windows XP Professional Windows Server 2003 家族 体系结构 32 位 32 位和 64 位 32 位和 64 位 应用程序进程模型 TCP/IP 内核 　　DLLhost.exe（处于中等或高应用程序隔离模式下的多个 DLL 主机） TCP/IP 内核 　　DLLhost.exe（处于中等或高应用程序隔离模式下的多个 DLL 主机） HTTP.sys 内核 　　当 IIS 以 IIS 5.0 隔离模式运行时：Inetinfo.exe（对于进程内应用程序）或 DLLhost.exe（对于进程外应用程序） 当 IIS 以工作进程隔离模式运行时：W3wp.exe（多工作进程） 配置数据库配置 二进制 二进制 XML 安全性 Windows 身份验证 　　SSL Kerberos Windows 身份验证 　　SSL Kerberos 安全向导 Windows 身份验证 　　SSL Kerberos 安全向导 Passport 支持 远程管理 HTMLA 无 HTMLA 　　终端服务 远程管理工具 (HTML) 　　终端服务 群集支持 IIS 群集 Windows 支持 Windows 支持 WWW 服务 Windows 9x 上的个人 Web 管理器 　　Windows 2000 上的 IIS （可选）Windows XP Professional 上的 IIS Windows IIS 5.0 隔离模式 　　IIS 5.0 隔离模式按照与 IIS 5.0 中的进程管理相似的方式管理应用程序进程：所有的进程内应用程序都在 Inetinfo.exe 内运行，进程外应用程序在单独的 DLL 宿主中运行。一些现有应用程序可能无法并发运行或将会话状态与应用程序分开存储。因此，在 IIS 5.0 隔离模式中运行进程可以确保与大多数现有应用程序的兼容性。下图显示如何在 IIS 5.0 隔离模式中处理应用程序进程。 配置数据库配置 　　IIS 6.0 的配置数据库以 XML 文件形式存储，而不是以早期版本中的二进制格式存储。位置仍在原处，但是操作方式（更新、回滚、还原和扩展）已发生了变化。有两个重要文件，并非一个：MetaBase.xml 和 MBSchema.xml。 有关 IIS 配置数据库的详细信息，请参阅关于配置数据库。 管理 　　在 IIS 4.0 中，应用程序既可以在与 Internet 服务相同的进程中运行，也可以在单独的进程中运行。在 IIS 5.0 和 5.1 中，应用程序现在可以分为若干汇集的进程以增强性能并提高可伸缩性。 详细信息，请参阅关于应用程序。在 IIS 6.0 工作进程隔离模式中，可将应用程序组合到任意数量的应用程序池中。 　　“应用程序映射”属性页包含一个超文本传输协议 (HTTP) 动作列表，它们可由映射到特定文件类型的应用程序进行处理。该动作列表与 IIS 4.0 有一处不同。在 IIS 4.0 中，列表中包含“已排除”或未被处理的动作。这个改变是为了适应新的 HTTP 动作，以便将其添加到协议中。 有关应用程序映射的详细信息，请参阅设置应用程序映射。 　　群集不是 IIS 6.0 的功能（不支持 IISsynche.exe）。群集是 Windows Server 2003 家族的功能。有关 Windows 群集 (MSCS) 的信息，请参阅 Windows Server 2003 家族的帮助。 　　与 IIS 4.0 相比，IIS 5.0 中自定义错误文件的位置已经改变。 详细信息，请参阅启用详细的自定义错误消息。 　　已经添加了新的自定义错误文件，以便报告更详细的错误信息以及与新功能有关的错误。 有关可用的自定义错误消息的完整列表，请参阅关于自定义错误消息。 　　基于 Web 的 Internet 服务管理器 (HTML) 已经由 Web 工具应用。要使用 Internet 服务管理器 (HTML) 远程管理 IIS， 请参阅如何远程管理服务器。 以编程方式管理 　　在早期版本的 IIS 中，可以从编译的 C++ 应用程序使用管理基本对象 (ABO) 或者从 C++ 或脚本文件使用 Active Directory 服务界面 (ADSI) 以编程方式管理 IIS。IIS 6.0 包括了 Windows 管理规范 (WMI) 提供程序，WMI 这一技术允许管理员以编程方式控制所有服务和应用程序。详细信息，请参阅使用 IIS WMI 提供程序。有关新的 ADSI 方法的信息，请参阅 IIS 6.0 中的配置数据库更改。 Active Server Pages 　　从 IIS 6.0 开始，Microsoft Active Server Pages (ASP) 可以与 Microsoft ASP.N E T 一起使用。有关配置 IIS 以运行 ASP.N E T 应用程序的信息，请参阅 ASP.N E T。有关 IIS 6.0 中 ASP 功能更改的信息，请参阅 ASP 中的重要更改。 ASP 挂起检测 　　当 IIS 网站繁忙时，可能会出现这种情况：已经产生了最大数量的 ASP 线程，而一些 ASP 线程却挂起，这会导致性能降低。IIS 6.0 能够通过回收作为 ASP ISAPI 扩展 (ASP.dll) 的特定实例宿主的工作进程来解决线程挂起问题。当 ASP 线程在 IIS 6.0 中挂起时，ASP.dll 调用 ISAPI 服务器支持函数 HSE_REQ_REPORT_UNHEALTHY，WWW 服务回收作为 ASP.dll 宿主的工作进程，并在事件日志中创建一个项目。 有关 ISAPI 服务器支持函数的详细信息，请参阅 MSDN® Online 上 ISAPI 扩展参考中的 ServerSupportFunction。 安全性 　　IIS 6.0 中的一个最重要的变动涉及 Web 服务器安全性。为了更好地预防恶意用户和攻击者的攻击，在默认情况下，没有将 IIS 安装在 Microsoft Windows Server 2003 家族的成员上。 要点 为了更好地预防恶意用户和攻击者的攻击，没有将 IIS 默认安装到 Microsoft® Windows® Server 2003 家族的成员上。而且，当您最初安装 IIS 时，该服务在高度安全和“锁定”的模式下安装。在默认情况下，IIS 只为静态内容提供服务 － 即，ASP、ASP.N E T、服务器端包含、WebDAV 发布和 FrontPage® Server Extensions 等功能只有在启用时才工作。如果安装 IIS 之后未启用该功能，则 IIS 返回一个 404 错误。您可以为动态内容提供服务，并通过 IIS 管理器中的 Web 服务扩展节点启用这些功能。同样，如果应用程序扩展未在 IIS 中进行映射，则 IIS 返回一个 404 错误。要映射扩展，请参阅设置应用程序映射。有关如何排解 404 错误（包括 404.2 和 404.3）、与 IIS 6.0 的新安装相关的问题或从低版本的 IIS 进行升级的详细信息，请参阅疑难解答。 通过 Web 服务器证书向导和 CTL 向导，您可以同步 Web 和 NTFS 的安全设置、获得并安装服务器证书以及创建和修改证书信任列表。还可以选择一个加密服务提供程序 (CSP) 以使用证书加密数据。 详细信息，请参阅使用证书向导。 IIS 6.0 中的其他安全性变动包括下列内容： 在升级版本上禁用：除非满足下列条件之一，否则在 Windows Server 2003 家族的升级版本上禁用万维网发布服务（WWW 服务）： 　　在开始升级过程之前，您已在 Windows 2000 Server 上运行了 IIS 锁定向导。IIS 锁定向导通过禁用不必要的功能来减少攻击面，并且它允许您确定为站点启用哪些功能。IIS Lockdown Tool 中提供了 IIS 锁定向导。 要点 　　如果使用 WWW 服务，则强烈建议您在升级到 Windows Server 2003 家族中的产品之前，在 Windows 2000 Server 上运行 IIS 锁定向导。IIS 锁定向导通过禁用或删除 Windows 2000 Server 安装中不需要的功能来保护计算机的安全。否则，升级后计算机上仍保留这些功能，这会使您的服务器易受攻击。 注册表项 RetainW3SVCStatus 已添加到注册表中 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W3SVC 的下面。在 RetainW3SVCStatus 下，您可以添加任何值，然后给它赋予一个 DWORD 值。例如，您可以创建注册表项 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W3SVC\RetainW3SVCStatus\do_not_disable，并且 DWORD 值为 1。 　　对于无人参与的安装，“DisableWebServiceOnUpgrade = false”项存在于无人参与的安装脚本中。 　　通过组策略禁用 IIS：通过使用 Windows Server 2003 家族成员，域管理员可以禁止用户在其计算机上安装 IIS。 　　以具有低级访问权限的帐户运行：IIS 工作进程在访问权限极少的用户上下文中运行。这大大减少了潜在攻击的影响。 　　提高 ASP 的安全性：所有的 ASP 内置功能总是以具有极少访问权限的帐户 IUSR_computername 运行。 　　运行可执行文件的限制：为了运行系统文件夹中的大多数可执行文件（如 cmd.exe），您必须是 Administrators 组、LocalSystem、Interactive 或 Service 帐户的成员。该限制限制了对 Administrators 的远程访问，因此匿名用户无法运行可执行文件。 　　修补程序管理：对于修补程序管理，管理员可在不中断服务的情况下安装最新的安全修补程序。 　　已知的扩展：IIS 只为对具有已知文件扩展名的文件的请求提供服务。如果请求内容的文件扩展名未映射到已知的扩展，则服务器拒绝请求。 　　内容的写保护：在默认情况下，拒绝匿名用户（以 IUSR_computername 帐户运行）对 Web 内容进行写入访问。 　　超时和限制：在 IIS 6.0 中，默认设置是安全而主动的，这样可最大限度地减少因以前太宽松的超时和限制而造成的攻击。 　　上载数据限制：管理员可以限制能上载到服务器的数据。 　　缓冲区溢出保护：工作进程会检测缓冲区溢出,并在检测到时退出程序。 　　文件验证：IIS 在将请求发送到请求处理程序（ISAPI 扩展）之前会验证请求的内容是否存在。 　　索引资源：该权限现在会在默认情况下启用。 　　脚本资源访问：该权限允许访问 ASP 页脚本和其他脚本的“源代码”，它是新增功能，且在默认情况下被禁用。它可在选择了“读取”或“写入”权限时可用。 　　子验证：在新安装的 IIS 6.0 中，在默认情况下不再启用。有关详细信息，请参阅 匿名身份验证中的“使用子验证”部分。 　　UNC 身份验证：在此版本的 IIS 中，UNC 身份验证方法检查是否有用户凭据。详细信息，请参阅 UNC 身份验证。 　　新策略：“禁止安装 IIS”策略已经添加到 Windows Server 2003 产品家族中。该策略允许域管理员控制可以在域中哪些计算机上安装 IIS。详细信息， 请参阅 Windows 帮助中的组策略。 　　Fortezza：已取消了对该功能的支持。 性能 　　为了限制分配给 ASP 页的内存量，IIS 已经将 AspScriptFileCacheSize 的默认值设置为 250 个 ASP 页，并将 AspScriptEngineCacheMax 的默认值设置为 125 个脚本引擎。在具有一组大量经常请求的 ASP 页的站点上，可以将 ASPScriptFileCacheSize 设置得更高一些。因为 ASP 页的编译比从缓存中检索页要慢很多，所以这会改善性能。在只具有少量经常请求的 ASP 页的站点上，可通过将该数字设置得小一些来节省内存。 IIS 工具组件 　　Windows NT Server 的协作数据对象 (CDONTS)：CDONTS 已从 Windows Server 2003 家族中删除。如果 Web 应用程序使用 CDONTS，则可以将它们转换为 Microsoft 协作数据对象 (CDO)。CDONTS 中的大多数方法在 CDO 中都有相匹配的方法，但是名称可能不同。有关平台软件开发工具包 (PSDK) 中 CDO 的参考资料，请参阅 MSDN Online 上的 Overview of CDO。 　　未安装 IIS 工具组件：Ad Rotator、Browser Capabilities、Content Linker、Content Rotator、Counters、Logging Utility、My Info、Page Counter、Status 和工具不随 IIS 6.0 一起安装。但是，如果您的 Web 服务器是从低版本的 IIS 升级的，则这些工具组件不会被删除。您可以从 IIS 6.0 资源工具包中获取工具组件 DLL 文件的副本。 　　64 位 Windows Server 2003 家族上的 IIS 　　在 64 位 Windows Server 2003 家族的操作系统上，IIS 作为 64 位应用程序运行。这意味着不能从 64 位 Windows Server 2003 家族的操作系统上的 IIS 调用 32 位应用程序。例如，Jet 数据库引擎将不能转换为 64 位应用程序，因此，不能使用 ActiveX® 数据对象 (ADO) 从 ASP 页打开 Microsoft Access 数据库。但是，仍可以使用 ADO 访问其他驱动程序，如 SQL 和 Exchange。
微软活动目录管理管理简明手册
在基于Windows 2000网络中，活动目录(Active Directory)是它的核心。活动目录是一个分布式的目录服务。网络信息可以分散在多台不同的计算机上，保证快速访问和容错；同时不管用户从何处访问或信息处在何处，对用户都提供统一的视图。可以这样说：没有活动目录，就没有Windows 2000。7 E9 e* I* K; J 8 F# j3 ^7 j$ j一、活动目录基础 6 z) K" V O6 _, k$ m$ F0 D(一)活动目录概览( X# G1 c6 B+ z* g$ f9 w! ]& I 1.什么是活动目录" D1 N0 ~3 _ J$ B0 p 8 m s, [* {) i) n6 f4 s 活动目录是Windows 2000网络中的目录服务。目录服务是一种网络服务，它存储关于网络资源的信息，并使用户或应用程序可以访问这些资源。活动目录使用同样的方法命名、描述、查找、访问、管理和保护这些资源的信息。/ h( T2 t7 ~5 X0 ^4 p - u- i! w* d# O4 d' Y* E( v(1)活动目录的功能： 6 Y4 }' M# y) {5 K. V3 m! R7 S; v 活动目录提供的服务功能，包括一种集中组织、管理和控制网络资源访问的方法。它使物理网络拓朴和协议透明化，这样网络上的用户可以访问任何资源，而不需要知道资源在什么地方，或物理上它是如何连接到网络上的。% t! G+ S" E# e9 q 2 \% m) N4 I- I* v4 f. t(2)集中式管理： * [. Y& e' Q6 @, z7 u& O$ X4 V0 m1 |4 n) K! a% Y 一个运行Windows 2000的服务器在活动目录中存储系统配置、用户简介和应用程序的信息。与组策略相结合，活动目录可以使管理者使用同样的管理界面管理分布式桌面、网络服务和来自中心位置的应用程序。活动目录同时提供对网络资源集中控制，允许用户只登录一次就可以访问整个活动目录的资源。/ [) F0 b& {- Z' Y : Q8 }* B' c% \$ Z# w0 q- x- @ 2.活动目录对象% i& Q! Q* t' M4 {7 }' n- K$ y * Z2 j) M0 E4 [) U* P, j. {活动目录存储网络对象的信息。活动目录对象代表网络资源。如用户、组、计算机和打印机。而且，网络中所有的服务器、域和站点都作为对象。因为活动目录代表了所有网络资源，只需要一个管理员就可以管理这些资源。+ e7 X" A; h1 H+ ?2 z8 p ) ~( _. I6 _% C( D' ?+ z3.轻型目录访问协议 + Y; _% K9 n+ K/ F i6 G/ _: x4 y# X% d 轻型目录访问协议(Lightweight Directory Access Protocol，LDAP)是用于访问活动目录的协议。2 ?: L1 z$ `1 l1 g$ G r6 S 2 G/ r( M+ |) R) R" j" ^* [. [LDAP是用于查询和更新活动目录的目录服务协议。LDAP协议规范表明，一个活动目录对象可以由一系列域组件、OU和普通名字来代表，它们组成了活动目录中的命名路径。LDAP命名的路径是用来访问活动目录对象的，它包括了下面的两类：% T* B4 E: k( {8 ^ 9 U& n1 d0 J; Q: q, w1 O. t+ k1 z (1)标识名(Distinguished Name)： ; n! e# H# Q; X' J 7 k& D: |( n5 V! b+ v+ T d/ R在活动目录中每个对象都有一个标识名，标识名确定了对象所在的域和可以找到对象的完整路径。比如，典型的标识名包括： ) v( ^# h2 Q% P ) k( @' h3 e4 k* G+ s" i7 `CN=TOM，OU=Manager，DC=Tech，DC=COM$ s" t. g: e" ^6 q) _ . W, `* `$ G+ l& }7 O/ ^$ Z) G" R(^60090102a^) , ]4 n* g, \5 M2 B7 ?% y( N5 T& w7 s8 Y4 C (2)相对标识名(Relative Distinguished Name)：$ Q4 y( i A" B! J2 f, } ) Q' A. Z% l8 F5 K LDAP相对标识名是LDAP标识名的一部分，它用来标识容器中的对象，它的组成随客户建立的现场搜索内容的大小而变化。搜索内容的范围可以是域组件，也可以是普通名字的对象。 1 N6 f7 Q+ p: _0 L: e0 n2 n5 o7 g1 y 下表中给出了标识名，客户建立的搜索内容和相对标识名的具体的例子。 ( `/ b$ c$ Q: f5 G1 h5 j6 t4 x' X! J& K/ L (^60090102b^) - o; a/ R( W" Q( H+ w7 W' e$ n# [' z7 S (二)活动目录结构 / R1 e, {5 F6 l7 `2 g1.活动目录的逻辑结构 ; {! I/ m% N1 x; b! v: i : g: W2 s% o% A6 {4 x0 B(1)域： ' }' }5 v" y7 @9 K! G _5 Q- _+ f( P0 ] 域(Doamin)是活动目录中逻辑结构的核心单元，一个域包含许多台计算机，它们由管理员设定，共用一个目录数据库。一个域有一个唯一的名字，给那些由域管理员集中管理的用户账号和组账号提供访问通道。 " t9 D5 }8 f9 S0 v/ d8 o- M V1 D2 k2 ~+ N6 [2 v7 C. _ 要创建域，用户必须将一个或更多的运行Windows 2000 Server的计算机升级为域控制器。每个域至少必须包含一个域控制器。$ p8 r1 I2 U0 K0 _3 s, @4 ~1 S ( d; ]% ]2 v0 V. k1 P0 ?# C(2)组织单元：" f, N4 i; A9 D1 h+ _ 1 p* g8 H, B, x$ p, h5 p& o 组织单元(Organizational Units，OU)是一个起组织作用的单位。它可将用户、组、计算机和其他单位放入其中的活动目录容器。组织单元不能包括来自其他域的对象。组织单元是可以指派组策略设置或委派管理权限的最小作用域或单位。使用组织单元，用户可在组织单元中代表逻辑层次结构的域中创建容器。这样用户就可以根据用户的组织模型管理账户和资源的配置和使用。 1 e+ }# `! n6 {& h9 ~6 T) \* O0 q 8 V0 D0 S) [( v5 \$ [% R(3)目录树和目录林：4 t+ Q+ o8 q7 X: }% K 0 K+ g; |# ^; h3 S% y1 B 活动目录中的每个域利用DNS(Domain Name Server，域名服务)域名加以标识，并且需要一个或多个域控制器。如果用户的网络需要一个以上的域，则用户可以创建多个域。共享相同的公用架构和全局目录的一个或多个域称为域林。如果树林中的多个域有连续的DNS域名，则该结构称为域树。如^60090102c^所示。 ' C, [0 _7 o0 Q0 w, S" v+ z( D* t7 N 如果相关域树共享相同的活动架构以及目录配置和复制信息，但不共享连续的DNS名称空间，则称之为域林。$ h, Z8 p5 k( h# f0 W - v# E$ N5 i/ @域树和域林的组合为用户提供了灵活的域命名选项。连续和非连续的DNS名称空间都可加入到用户的目录中。 $ b2 D1 h Z5 S& O# P/ A- n; [7 S 2 O" c5 Z' v+ z3 W# r5 `/ X. d(4)全局目录：. C- m/ F* a4 T5 e ' r! o0 C5 N1 @$ j/ Q% H0 V7 w$ r一个域的活动目录类似于一本书的目录，那么全局目录就好像是一系列书的总目录。在全局目录中包含一个已有活动目录对象属性的子集。默认情况下，存储在全局目录中的对象属性是那些经常用到的内容，而非全部属性。 - g' B e* Q1 b' N! @ 4 k9 H# a7 L4 C" C全局目录服务器是一个域控制器，活动目录建立的第一个域控制器自动成为全局目录服务器。全局目录就放在全局目录服务器上。 5 E4 E: a& _- c% ~1 X 4 Z z8 n. F8 D8 @1 `% A/ p% x4 s2.活动目录的物理结构& i* E3 v! U0 s+ ]5 ? , D* g0 V# `" `) g(1)域控制器： _1 {% O: y' ]+ W/ [ 8 c6 p0 N( J1 o域控制器就是存储活动目录的地方，一个域可以有一个或几个域控制器。在域中，各域控制器相互复制活动目录的改变，在目录林中，各域控制器相互之间也把信息自动复制给对方。 $ j D* X9 F, S$ @ X1 Q+ i. m2 x' M % H; [# e9 \& q- B# f. `(2)站点：+ G! K. R5 I* ~: k6 g1 B$ @4 Z- j' B ( y: ] o$ r9 C( \/ x5 b @: a站点(Site)是由一个或多个IP子网中的一组计算机，确保目录信息的有效交换，站点中的计算机需要很好地连接，尤其是子网内的计算机。站点和域名称空间之间没有必要的连接。站点反映网络的物理结构，而域通常反映用户单位的逻辑结构。逻辑结构和物理结构相互独立，所以网络的物理结构及其域结构之间没有必要的相关性，活动目录允许单个站点中有多个域，单个域中有多个站点。 2 p h5 x$ E8 O, \0 s( d" q+ l; n. t6 E0 z4 F/ R1 ?$ F 如果配置方案未组织成站点，则域和客户之间的信息交换可能非常混乱。站点能提高网络使用的效率。 ; K( `+ F8 I2 b4 t 7 q6 g1 \( i9 c1 B( S9 X( G二、安装活动目录* O! ~# |* Y1 x4 ]: E; X$ _4 ?. } (一)安装活动目录的要点 3 t; E1 N, f& V* e4 p3 S首先，也是最重要的一点，就是你必须有安装活动目录的管理员权限，否则无法安装。' E/ P8 R' x% B$ f( q7 h5 i 3 ^7 w8 h% q+ a) v" n$ D0 K; C在安装活动目录之前，要确保计算机满足基本系统要求：* Z& t: _9 N6 A1 c" C - B7 H( D6 e+ q- W9 x(1)计算机运行Windows 2000 Server版本，且系统盘是NTFS分区。0 O0 F/ N" {4 M2 A* V6 X$ g; f/ Z9 g & t' m4 Y7 \: g+ c* T3 A (2)用于活动目录数据库的最小磁盘空间为200MB，另外还要有50MB的空间用于活动目录数据库的日志文件。% N, l3 [) D1 u9 r- R" {: `( U6 K - S P; `* |# m( E* Q$ E& U2 u (3)已做好了DNS服务器的解析。1 C. \( h3 k) `6 q2 A1 @! P " v" N0 w: a& ~: e- I DNS(Domain Name Server, 域名服务器)是活动目录的基础，没有DNS就不会有活动目录。DNS也叫域名服务，它的作用是将某个域名与IP地址对应，从而将人易于理解的域名转达化为易于计算机寻址的IP地址。而如果活动目录中的资源对应的是LDAP标识，那么只需要DNS中有这个标识的定位记录就可以很方便地供用户查找资源，并寻址到相应的位置上。' u* [+ L2 m- \ j: h: L. r7 u 有关DNS服务器的配置，读者可以参考《电脑报2001年合订本》下册附录中《ⅡS 5.0网络建站完全手册》一文。 4 ^; U6 a4 c4 _+ F. @& i* y2 M 9 X, c" R4 J. `7 w: z(二)安装活动目录 3 |" ]' a: f6 V# D$ W运行活动目录安装向导将Windows 2000 Server升级为域控制器以创建一个新域，或者向现有的域添加其他域控制器。2 E5 K. u' s+ W: ?7 g7 L # u) H2 p, | f 1.安装域里的第一台域控制器 4 w9 {' z: n+ Q: ]3 Y 0 `) M, t8 y9 `- K在安装活动目录前首先确定DNS服务正常工作，下面我们来安装根域为lanyi.com的第一台域控制器。! l. {% A- D& a# l : A5 u: R, v0 f5 \' Z9 o m(1)运行位于C:\Winnt\System32目录下的dcpromo.exe文件，以启动活动目录安装向导。点击“下一步”按钮。 4 a/ ~1 x* @2 z7 m5 G6 m3 y; D! M0 t! t. R (2)由于用户所建立的是域中的第一台域控制器，所以在“域控制器类型”对话框中选择“新域的域控制器”选项，然后点击“下一步”按钮。 , ^: j- [0 {3 Z& m2 B1 l9 Z) p5 p! _; \+ c (3)在“创建目录树和子域”对话框中选择“创建一个新域的域目录树”，点击“下一步”按钮。; ]1 h& I- K! @3 h/ J5 g 3 A. q3 r6 `' g+ S(4)在“创建或加入目录林”对话框中选择“创建新的域目录林”，点击“下一步”按钮。 # [2 D" E4 o; N. j, d- g; H! U! k" ~. |+ m (5)在“新的域名”对话框中的“新域的DNS全名”框中输入需要创建的域名，这里是lanyi.com。点击“下一步”按钮。& M: O; I8 X% Z3 k0 K+ m8 G0 g9 { 2 G/ b7 t( E" {9 y8 G2 S" _. l(6)在“NetBIOS域名”对话框中，安装向导自动将域控制器的NetBIOS名设置为“LANYI”，点击“下一步”按钮。9 P* U& U; P' P; [! D* E) ? + S& e$ Y$ N# _' q(7)在“数据库和日志文件位置”对话框中，将显示数据库、日志文件的保存位置，一般不必作修改。点击“下一步”按钮。, @! c5 p) @* R' C" d! h ( V" p$ a2 X4 G t7 k; L6 Z! ?) V (8)在“共享的系统卷”中，指定作为系统卷共享的文件夹。Sysvol文件夹存放域的公用文件的服务器副本。Sysvol广播的内容被复制到域中的所有域控制器。其文件夹位置一般不必作修改。点击“下一步”按钮。* t% T! ?5 X- E- U) b N5 o: I4 c) ^) U0 O(9)在“配置DNS”对话框中，点击“下一步”按钮(如果在安装活动目录之前未配置DNS服务器，可以在此让安装向导配置DNS，推荐使用这种方法)。 7 j6 ^* x& Z4 D* U. p$ g : ^4 V; D- D1 }0 ?5 T(10)在“权限”对话框中为用户和组选择默认权限，考虑到现在大多数单位中仍然需要使用Windows 2000的以前版本，所以选择“与Windows 2000服务器之前版本相兼容的权限”选项，点击“下一步”按钮。 ; u. j1 k. B `+ Z; w+ a, |1 {9 x) U" y1 [5 l/ U+ M% A9 u0 t1 N; V (11)在“目录服务恢复模式的管理员密码”对话框中输入以目录恢复模式下的管理员密码。点击“下一步”按钮。 / i: @, K$ g# u. |# d ' n% K7 [9 X: @3 ^(12)此时，安装向导将显示安装摘要信息。点击“下一步”按钮即可开始安装，安装完成之后，重新启动计算机即可。 9 X2 l( n" a% K, ~/ r. }+ x* z5 n8 u% ?8 e" a 2.检验安装结果* S0 C) w1 I$ \; ^' ?* W+ z- H : Y: s& ?. U3 s# X& P7 N& f 安装完成后，可以通过以下方法检验活动目录安装是否正确，在安装过程中一项最重要的工作是在DNS数据库中添加服务记录(即SRV记录)。; G F! |; z( Z3 n& }- d: ? % e* |8 R( Z% e+ s9 N! X# X (1)检查DNS文件的SRV记录：用文本编辑器打开%systemroot%\system32\config\中的Netlogon.dns文件，查看LDAP服务记录，在本例中为_ldap._tcp.lanyi.com.600 IN SRV 0 100 389 n2k_server.lanyi.com. ! f9 |9 r l& ?6 { & {) K* E8 T$ j0 R/ S, T(2)验证SRV记录在NSLOOKUP命令工具中运行正常：在命令提示行下，输入“nslookup”命令；输入“set type=srv”命令；然后输入_ldap._tcp.lanyi.com。此时如果返回了服务器名和IP地址，说明SRV记录工作正常。! o9 K; o8 q' _( ]" C/ ~% ^ & Q: Q: d0 j8 C 另外，当安装完毕后，在管理工具中提供了三个工具：Active Directory用户和计算机、Active Directory域和信任关系、Active Directory站点和服务。同时系统还提供了Active DirectorySchema和ADSI，主要用于Active Direttory开发的工具。: T5 J9 f/ E# Y! h& @ 6 W* V, Z6 w( E+ l% q0 d0 @Active Directory用户和计算机工具是配置互动目录最常用的工具，在后面我们将详细介绍它的使用方法。1 g1 F, _* x7 u1 r/ g - M* U6 n% G! G. S6 Y6 u 3.删除活动目录- h8 h, m3 j3 R 1 I$ |: u& {4 p2 t9 R( d 与安装活动目录一样，运行dcpromo.exe文件即可。 # z0 Q5 R: y5 G8 v: Z, T- D3 U& R- B/ q3 t 三、设置管理用户和组 0 L6 n8 Y" v2 L: D( e! p在网络中为用户开设账户的工作即是一项基本功能，又是一项非常重要的工作，因为账户与权限有关。% \0 v- A+ ^# k Q' l( `+ n* } S3 Q' X% s: F9 q用户账号保存在活动目录中，为该用户账号启动唯一登录的对象。唯一登录是指从工作站登录获得网络资源的访问过程中，用户只能输入一次名字和密码。域用户账号可以登录到域访问网络资源，或是登录到个人计算机上访问本机上的资源。 ( ?0 I4 }. [. |9 G( m0 P% z! b O/ O- f/ H% S (一)用户登录名 & @2 Z6 [; S2 `+ N1.用户主名2 N. Z0 Y& W. Y: t& l" L : L) ?! [! {& t 在活动目录中，每个用户都有一个用户登录名，和一个pre-Windows 2000用户登录名。用户账户信息用来验证和认可目录林中任何地方的用户，这就导致了唯一登录。( U& g/ t$ ?% z% k; S2 l 3 b/ g1 x" j6 h. I5 P) n 用户主名是只用于登录Windows 2000网络上的登录名。也可将此名看作是用户登录名。一个用户主名有两个部分，它们用@符号隔开。如apple@lanyi.com。一个用户登录名有以下两个组成部分： ' L: V$ y2 ~* p3 a6 K, X 6 T6 D6 P' H& ~# `用户主名前缀：在apple@lanyi.com是apple。 0 u) c2 E/ S( |. Z; o5 y( L9 |: \9 Q" j& D. b% d 用户主名后缀：在apple@lanyi.com是lanyi.com。默认情况下，后缀是网络中根域的名字。用户可以使用网络中的其他域来为用户配置其他的后缀。( t6 A8 k+ D& S0 D3 `8 V( { 0 k( `$ Y; e7 I' d 2.创建用户主名后缀* m& H& Y6 p/ X% f. E 0 ^ y! P+ P# }1 u) |% q0 u (1)点击“开始→程序→管理工具→Active Directory域和信任关系”选项，右击“Active Directory域和信任关系”选项，选择“属性”命令。; E( e# [* m2 j9 U" ~6 v" Q 7 B0 n* e$ H7 e(2)在打开的对话框的“UPN后缀”选项卡中输入一个可供选择的后缀名，如lanyi.com，然后点击“添加”按钮。 3 h% A* [7 t' R, S/ w 4 q7 Q) m; L2 M8 z; J(二)管理用户账号 " h9 V5 h& W5 j1.创建一个用户账号 ! u7 L6 X$ o" Q! v . c; O" M7 `; k8 ? `1 Y(1)点击“开始→程序→管理工具→Active Directory用户和计算机”选项，在打开的窗口的左侧栏中右击“user”容器，选择“新建对象”命令。 3 f, W' g6 i7 c: {' b) e G; Z 1 O( A) J- d2 a* D(2)在打开的“新建对象”对话框中，输入姓名和用户登录名。点击“下一步”按钮，输入用户密码。其中：4 \9 R1 x1 R5 @8 Y$ Z1 ~. V: ?5 s+ k4 j / T! K9 J+ B+ q, ~$ h用户下次登录时需要更改密码：如选中此项，用户下次登录时将提示用户重新输入新密码。 ; Q; M) E$ S4 y0 F: N! C E# Q( U. _1 `用户不能更改密码：这一选项保证用户密码不能被修改。 ' m* c& e' A' c* c( T$ F : p: d2 C$ }% a密码永不过期：如选中此项，密码将永不过期。因为过期的密码将不能使用，过期时间在账户安全策略中设置，或在账户属性对话框中修改。. `" F5 P2 W6 S: Z: S: t + |* h9 m5 G% K+ u6 | q 账户已停用：表明此账户已被停止使用，如想让账户解锁，必须由管理员在用户属性对话框中设置。- A1 D( b% H' Q! [# [9 {6 j. u . Q6 W) |: D+ V: `2.执行公共管理任务 4 K f9 h# w# \3 \: ~, y7 o3 T" C5 M9 M (1)禁用和启用用户账号： 2 m" s' |% M v2 I+ |1 ` : O+ x' s( u2 x% n J当用户一段时间内不需要他们的账号，但一段时间后需要使用它们时，管理员可将此用户账号禁用。 $ U+ ?9 B; o. H- a3 T ! e( R% O7 ?4 e0 F9 U在“Active Directory用户和计算机”窗口中，右击相应的用户账号，然后根据该账号的当前状态点击“停用账户”或“启用账户”命令即可。 ! e" R' K/ b! e4 Q3 U& C0 w. k* h& ` / R" x) y( Y; G(2)重设密码： / Z3 t& P! }3 V; j* m: }; e2 x9 p# b 0 `. ?4 X. p- a: f当在用户改变密码前密码期满或是用户忘记密码的情况下，管理员需要重新设置密码。 8 S& B+ s- b' }( q) i* u+ r. m5 h7 R0 a! m" l9 | 在“Active Directory用户和计算机”窗口中，右击相应的用户账号，然后点击“重设密码”命令即可。 # Q, H) ^& x; w3 I! L' w5 L- [9 w: p! u3 z (3)在一个域内移动用户账号： 7 d/ F3 v- e9 D. p + x5 t: O$ d! U3 g% B1 l必要时，管理员可能需要在同一个域内的OU之间移动用户账号。例如一个职员从一个部门调到另一个部门，这样将由另一个管理员管理该职员的用户账号。8 o( q0 V0 B) ?1 Z/ P$ I9 \ 4 z) [! H9 N* W5 k8 [& [% B* \在“Active Directory用户和计算机”窗口中，右击相应的用户账号，点击“移动”命令。在打开的“移动”对话框中，双击域目录树，点击对象要移入的OU，然后点击“确定”按钮即可。 ' v: [: s8 A( w* c7 t6 D* K- c5 G* K/ k + Q% u; V. T) D- C(4)删除用户账号： ) c( ]( I- \6 R$ E" |5 J3 A9 @7 |( K w, x 在活动目录中存在有无用的账号，如果一个授权用户能够使用一个无用的账号登录可能会引起网络安全的风险，所以对无用的账号应当删除。6 m' e$ F3 p: H / G9 ]) J, d9 S在“Active Directory用户和计算机”窗口中，右击相应的用户账号，然后点击“删除”命令即可。; X" b& R. l* ^" u6 C & L* z8 |8 Z& w0 K. L. ?1 k (5)重命名用户账号：* h& U+ a: o+ u8 W! G5 X7 S0 D' L # `' C* @2 M$ n4 ?$ x: n: n如果管理员想保留以前某个账户所指定的各种属性和权限给一个新的用户时，可以将以前的账户重命名。, _# {' X6 K2 g1 f6 ~ c" \/ b2 x % u( B' @7 S! j 在“Active Directory用户和计算机”窗口中，右击相应的用户账号，然后点击“重命名”命令即可。 - X% f2 j5 D4 E. V: \6 j* i* q* D8 \3 Z% z 3.为域用户账号设置属性 8 }6 @" E& N6 i6 t+ \4 W8 y& O% \+ ~9 g4 X/ x( b. C) y (1)设置个人属性：* K$ G3 ?$ X3 E+ Y $ s8 n) l; @# W 在“Active Directory用户和计算机”窗口中，右击相应的用户账号，点击“属性”命令即可打开相应的属性对话框。在该对话框中，各个选项卡对应于不同的用户设置，你可以根据具体的情况尽可能的详尽填写。这样做的好处是利于以后的账户查找。) B2 M8 V Z e0 H, ^" u % ^" \3 ^2 @ V' P" ~ f (2)设置账户属性： 9 M7 V/ V+ }/ j6 [" y! b + Q, B! A1 M2 C: S6 {4 y* A在“账户”选项卡中管理员可以指定用户的登录名称，设置账户选项，指定账号失效日期。5 [* {* q' z3 q+ W% I 7 r7 T; X7 m$ o你可以在该选项卡下配置当你创建该账户时指定的设置值，如用户登录名和登录选项。可以修改密码需求条件，为此，在“账户选项”选项组下选择相应的复选框即可。2 _$ n% Z$ }# \8 P0 i& U9 g 3 ^. r C3 {& Y$ x除此之外，还可以在该选项卡下设置用户账户的失效日期。到达这一日期后，Windows 2000将自动禁用相应的账户。默认情况下，用户账号永不失效。为此，你只需要在“账户过期”选项组中，点击“在这之后”选项，然后从列表中选择一个失效日期，点击“确定”按钮。 2 j3 |( X! h+ L4 j) f$ s' V 0 M7 _/ M$ w- ?1 Z(3)指定登录选项：7 f4 ^' h9 O, w2 B+ @1 D, H 2 [6 N' L- \- J; D _ 你可以通过设置用户的登录时段，控制用户可以在哪些时段登录到指定的域，你也可以通过设置登录工作站，来控制用户可以从哪个计算机登录到指定的域。 ) L1 S$ F6 B1 x7 K 0 ^! I0 @2 V0 B. G- b在默认情况下，用户可以每周七天，每天24小时连接到服务器。在高安全性网络中，你可能想限制用户可以登录到网络的时段。为了设置登录的时段，你可以按照下面的步骤进行：" j5 V& [0 t% j3 y3 a8 S : [6 b5 Z( ^/ C' j 在“账户”选项卡中点击“登录时间”按钮，打开相应的对话框。其中蓝色指示该用户可以登录到的时段，而白色框指示该用户不能登录到的时段。 ( i/ | Y, e+ q( B5 \4 [- n$ D% ? 在“天”和“时”框中，选择你想拒绝访问的时段框，并点击开始时间，然后向终止时间拖动，再点击“拒绝登录”或“允许登录”选项即可。5 F8 V c7 e; B ' `' y6 K5 z/ E% `$ x, w1 \ M同样的，你也可以指定用户从哪个计算机登录，在默认情况下，具有合法账号的任何用户都可以在运行Windows 2000的任何计算机登录到网络。 / j/ A& v2 x& W! y! K! c 9 u! x4 Z% ^- n+ C在“账户”选项卡中点击“登录到”按钮，然后在打开的对话框中点击“下列计算机”选项，添加用户可以进行登录的计算机。为此，在“计算机名称”框中输入计算机的名称，点击“添加”按钮即可。' k2 l. Q8 l8 c3 L& `; D/ Q 9 l% x& d1 ^* p: T' F+ m2 U2 s 4.用户配置文件/ F, F+ s4 A. r( e( w / r+ e+ r7 _1 C% q% u, f* q% r. O在Windows 2000中，用户的工作环境主要由用户配置文件定义的。为了安全性的目的，Windows 2000要求每一个访问系统的用户账号都有一个用户配置文件。用户配置文件包含所有必要的设置值，这些设置值包括显示器、区域设置、鼠标和声音设置等，除此之外还包括网络和打印机连接。- O# o0 t3 ?. k# j3 F2 S( V " e- ]; ~% b4 P) ]+ X f (1)用户配置文件的类型： ; f r- L: Y& L" w! s4 y8 Q 0 J- C: u' U) ?4 R" o/ U用户配置文件在用户第一次登录到计算机时创建。所有针对具体用户的设置值都自动保存在该用户的文件夹中，即C:\Documents and Settings\用户名。 , f: [ {, X9 p0 g ) ? z+ Z' P, w! E默认的用户配置文件：用作所有用户配置文件的基础。每个用户配置文件都开始于默认的用户配置文件的一个复制件。8 H& Q) X, R5 q7 Y . M+ F Y) @& A1 w$ C本地用户配置文件：在用户第一次登录到计算机时创建，并被存储在本地计算机中。每个计算机上可以有多个这样的配置文件。+ P1 R; O7 i4 q6 B N 9 N5 u7 U; L2 ]9 J$ q漫游用户配置文件：由系统管理员创建，并存储在某个服务器上。在任何时候，用户登录到网络中的任何计算机时，这一配置文件都是可用的。如果某个用户修改了他的桌面设置值，在该用户撤销登录时，这一用户配置文件即在服务器上更新。6 U y* J5 O# x ) ~3 D/ b3 \' {% Q3 [" k7 _9 O强制性用户配置文件：由管理员创建，用于为某个或某些用户指定特定的设置值。强制性用户配置文件可以是本地的或是漫游的用户配置文件。它不保存对用户桌面设置值的任何修改，用户可以修改他所登录的计算机的桌面设置值，但是当他们退出登录时，这些修改不被保存。 0 K* N" Q+ g$ k2 `9 @1 v3 b$ t! K% o1 t3 _; _7 X4 `, z" X (2)创建漫游的和强制性漫游的用户配置文件： 4 P) |" z& g) ^8 R$ o ; Z5 L1 a7 \$ i+ ~) J5 J让我们来创建漫游的用户配置文件：9 u) h) l1 s8 q i$ ^ H 5 j( @; W T) J7 y7 P8 X! c4 [6 n在某个服务器上创建一个共享的文件夹，并为用户提供对于该文件夹的“完全控制”的权限。$ L6 z! R2 B7 t 0 d3 K. M' [( j' q在用户账号属性对话框中，点击“配置文件”选项卡，在“配置文件路径”框中输入相应的路径信息，用以指定共享文件夹。键入的路径信息应该是\\server_name\shared_folder_name\user_name。可以采用变量%user_name%，而不键入具体的用户名称，此时，Windows 2000将自动用漫游用户配置文件的用户账号名称替代%user_name%。/ C, s% K _& |; ~, G3 P 6 z4 G* |1 i b: z 下面再让我们来创建一个强制性的漫游用户配置文件：8 u5 c& K+ W0 M4 @' {( h6 } - j0 S: R9 W F- l首先在某个服务器上创建一个共享文件夹，其中包含一个配置文件夹，创建的用户配置文件将被置于该文件夹中。为用户提供对于这一配置文件夹的“完全控制”权限。例如创建一个名称为“Profiles”文件夹，然后在该文件夹中创建一个名为“User1”的文件夹。 # k2 o" h( \. v3 ?7 c3 s5 K1 R 6 }1 Q. q0 |2 h建立一个已经配置的漫游用户配置文件。在“Active Directory用户和计算机”窗口中创建一个新的用户，指定该用户的配置文件夹作为路径信息，然后配置该配置文件。如创建一个名称为User1的用户，并指定配置文件的路径为\\server_name\Profiles\user1。为了配置该配置文件，以User1作为用户名称登录到域，必要的时候修改桌面设置值，然后退出登录。 0 \* A6 M O3 s5 d! E8 n# @' K) I3 q: `: f. Y+ @% W/ x 将配置文件Ntuser.dat重命名为Ntuser.man。这样做将使配置文件成为只读的，并因此而成为强制性的。& W3 p" Q5 k! z& V- L d/ s* I 5 F9 v3 C7 s/ B+ V (三)活动目录中的组& P* [9 k* Q3 X 组是可包含用户、联系人、计算机和其他组的Active Directory或本机对象。使用组可以简化管理。' Q, F. G2 b" L6 c6 g0 S ) P$ _/ W T8 n) a, c; Q& r1.从组的类型分类# P% ? K# B7 S: P! G0 K- I1 E& i 1 V, O9 H& U" d& Q( m(1)安全组：用于将用户、计算机和其他组收集到可管理的单位中。为资源(文件共享、打印机等)指派权限时，管理员应将那些权限指派给安全组而非个别用户。权限可一次分配给这个组，而不是多次分配给单独的用户。 . e/ c9 f) G* d& E7 L# d ( N" o. l6 D, ~) b1 S8 k+ O(2)分布组：只能用作电子邮件的组。不能用于筛选组策略设置。该组无安全功能。 - N3 ^8 H! |; B0 C+ E* }4 d; m6 A+ R1 G; r 上述两种组都支持域本地、全局或通用组范围中的一种。1 ?3 m* I9 q7 ^: p2 @5 i0 G & F) l" I3 {0 ~3 Z; ?7 t 2.域模式5 _5 S' V5 q" A3 [6 n+ x0 I $ L3 U1 v4 a; n% y2 g& l) T在学习本地、全局或通用组之前，我们需要先讲述一下域的模式。域模式共有两种，混合模式和本机模式。计算机刚升级为Windows 2000域控制器时，默认情况下为混合模式，如果你想更改为本机模式，可以按照下面的步骤进行：( J1 F1 I% X ^ i9 T3 Y& p ( E* d1 C4 q8 {# E# I在“Active Directory用户和计算机”窗口中，右击域名，选择“属性”命令。此时，你可以在打开的对话框的“常规”选项卡“域模式”选项组中，点击“更改模式”按钮，在打开的对话框中点击“是”按钮，即可将域模式改为本机模式。 + l' e9 H. R; k, G0 i 6 X9 @4 `+ E& I$ T7 p3.全局组2 h- g( M9 X' q2 g5 ^4 e+ V ( w- }, ~2 D U 利用这一组作用域，来组织那此具有类似的网络访问需求的用户。你可以利用全局组授予访问任何域上的资源的权限( i6 F2 n3 H/ F% N6 d ' r; e" J, F% ~# q (1)成员资格。混合模式可以包含来自同一域的用户账号。本机模式可以包含来自同一域的用户账号和全局组。4 j/ x0 u8 A( ~+ T " o8 k5 M E6 w) \(2)成员范围。在混合模式中，全局组可以是域本地组的一个成员。在本机模式中，全局组可以是任何一个域中的通用和域局部组，以及同一域中的全局组的成员。 d, r1 {5 \2 N0 l8 @ 3 c' J5 Y; x* s+ V( K0 E# ^+ C. x% D(3)作用范围。全局组在它的域及包括目录林中的所有域的所有信任域中都是可见的。 ) p8 i8 g! o- ^) e9 u# l! U / c X/ r' r2 B4 y; ^* v* P(4)权限范围。目录林中的所有域。 3 w- x+ w8 `% n2 Z, g" E% _$ e0 y1 n) G8 J2 v4 c. ?% r 4.域本地组. l5 l6 ?! s/ [- @' e 8 c& ^( @6 c& {# ~ 利用这一组作用域，可以授予访问域资源的权限。这些权限要位于创建该域本地组的域中，但是不必驻留在某个域控制器上。 " E! Y/ f5 H4 t$ E7 j ) {3 k. D( a; x(1)成员资格。混合模式可以包含任何域的用户和全局组。本机模式可以包含目录林中的任何域的用户账号、全局组和通用组以及同一域的域本地组。, ~8 \" D! [' A* ~; f4 e- q, P 9 {. @" i' j0 q/ c (2)成员范围。在混合模式中，域本地组不能是任何组的成员。在本机模式中，域本地组可以同一域中的域本地组的成员。 * E" ^$ g9 `( k6 a3 R0 R0 } . N; R3 h8 }8 \1 W% q0 O+ b(3)作用范围。域本地组只在它自己的域中可见。' W9 l' o; H; r ( d6 \0 l& j( u9 b5 ~- N" e(4)权限范围。域本地组位于其中的域。1 ]; E5 O) Q3 L! s0 O 4 x4 s j% O0 R 5.通用组 + r# o$ @/ o0 A S& J/ L9 i! s" U! v4 _ 利用通用组可以为多个域中的相关资源授权。利用通用组可以授予访问任何域上资源的权限。 5 o) E1 |1 f9 h: u! b % ^, x& M9 f4 a" F: ~* N! l+ B7 D(1)成员资格。在混合模式中不能创建通用组。本机模式可以包含来自目录林中的任何域的用户账号、全局组和其他通用组。 & W% e" F$ B$ v, T / b2 z6 y4 v7 z1 k$ p(2)成员范围。通用组在混合模式中不适用。在本机模式中，通用组可以是任何域中的域本地和通用组的成员。 * C& S* i! {' n( Z; g4 N9 f9 }5 [7 l$ H2 b; l$ A (3)作用范围。通用组在目录林中的所有域中都是可见的。, _$ ^$ D @7 j$ m5 g; ]" E' [ # U' M3 R b4 d(4)权限范围。目录林中的所有域。* X% z$ y. P Y" H ; B+ J/ I7 T9 K" v4 T1 P& W 6.在域中使用组的管理思想 - a: d h% G6 g& y" G. o6 j a O" s# v4 f7 h1 k6 L2 i 经过上面的介绍，相信大家知道组是可以嵌套的，而且有了组，对于多个相同权限的用户，再也不用分别给每个用户赋权了，只需给一个组赋权就可以了。那么在Windows 2000域中使用组应遵循什么原则呢？+ k; [# {6 r8 _5 }: u7 B g( L+ Q0 P1 Q4 V; U8 e% j+ `; l* {/ F 这个原则其实很简单，那就是：将用户加入全局组；将全局组加入域本地组；给本地组赋权。 : N# u6 b$ [) Z1 \1 u8 I7 U# O* D( a& m; j0 X. v, v+ B 这也就是AGDLP，其中A(User Account，用户账号)G(Globle Group，全局组)DL(Domain Local Group，域本地组)P(Permissions，权限)策略。这个策略是一种管理思想的体现，它提供了最大的灵活性；同时又降低了给网络分配权限的复杂性，尤其在有多个域时，这个策略就更加具有优势，如果只有一个域，那么这个策略就可以更简化了。 ! t6 T6 P% y' E& w1 \; X# [% t" \+ {$ g4 X! L+ ] 四、在活动目录上发布资源 9 o3 S) a5 R; R8 j- R" x! _% d发布的意思可以简单地理解为在活动目录中可见。在活动目录中发布资源要注意发布相对静态的、很少改变的资源。( H6 r( `" M9 e l$ i / p8 n* `- Z; e: P1. 资源的发布! C+ t- `. J1 ]5 b0 C6 F: \ (1)公布共享文件夹： & }& W1 k4 w% P7 v- d$ {, x# h8 n* y 要想将共享文件夹发布在活动目录上，就必须手工加入，而不会自动产生。 3 b( Q" k5 f0 _& d$ h- n1 G2 [$ T; u 首先在“Active Directory用户和计算机”窗口中双击域节点。然后右击想在其中添加共享文件夹的文件夹，选择“新建→共享文件夹”命令，打开共享文件夹对话框，键入文件夹的名称，键入用户想在目录中公布的UNC名称即可。% B6 H9 O/ D4 m% s G ) g5 B/ H6 t- u( P" o& @(2)公布Windows NT打印机： + X/ R0 M0 P* P4 t! ` 9 D( N. V9 h; H; b9 o! a域中的Windows 2000计算机上的打印机都将自动发布在活动目录中，下面我们讲述非Windows 2000计算机上的打印机。 ) y. j) Z( Q1 f# z6 ~9 O9 i. C1 K+ }- G v; N* d 首先在“Active Directory用户和计算机”窗口中双击域节点。然后右击想在其中公布打印机的文件夹，选择“新建→打印机”命令，打开相应的对话框，在其中键入用户想在目录中公布的UNC名称即可。 5 s! F! z# h3 @3 @1 b2 v8 d6 t& U/ N Q& V) p3 R$ u, t2.资源的查找 * T& F$ `; ]0 [3 o0 w9 O E/ K在“Active Directory用户和计算机”窗口中，右击域节点，点击“查找”命令，打开“查找”对话框，点击“自定义搜索”按钮。 % V. y: l D* s) Q, l l0 S0 \- y5 P i, W 点击“字段”，指向要搜索的对象种类，然后点击要为其指定搜索值的对象的属性；在“条件”中，点击搜索的条件；在“值”中，键入要应用搜索条件的属性值。点击“添加”按钮，将该搜索条件添加至自定义搜索。点击“开始查找”按钮即可开始搜索。 " \& `8 B* I% e. y( E; P " `& [: s; I: [重复上面的步骤可以添加所需的全部搜索条件。/ {; D8 Z3 p. J( o" @7 I 1 q& M; j7 [* X5 n7 ?五、实现组策略, ^; Q8 p' W0 Z, @7 c3 P0 P 组策略(GPO)为网络提供了比用户和计算机更多的管理控制能力。通过使用组策略，一旦定义了用户的工作环境，就可以依赖Windows 2000来连续推行定义好的组策略设置。可以将组策略应用到整个网络中，也可以仅将它应用到某个特定的用户或计算机组上。! P: Z. w2 m) A 9 Z# g" p: t/ r(一)组策略基础 % u; R7 y" S& t- B1.组策略的作用 1 W+ p) h6 B- A / d9 ?/ _. ?$ O% W4 e, ?+ n0 K使用组策略可以：- ~) a' e, c" i# `( m' \ ; p4 g7 r7 u' E2 |! X(1)通过站点或域的级别，为整个组织设置组策略的集中化策略，或者在组织单元的级别，为每个部门设置组策略的分散式策略。 % L3 }: \2 z* X+ D# o 9 _3 |, G% ~7 a6 y* _; \9 t(2)确保用户有适合完成他们工作的环境。' H& {& P+ a- Z2 T5 E3 \, Z/ C 2 W" |3 }: i9 f) s% Z! E0 G' B4 J(3)降低控制用户和计算机的总费用。) w7 ^+ f, z) l7 _ z* z. }5 ~* `$ R+ o 2.组策略类型 . A1 f- y, }3 S8 G* r% I5 P1 c, S& O0 F# y$ v7 Y* D& I 管理员模板：即基于注册的设定应用设置和桌面环境的设置。( p6 H' z! B! B) ^& ]& u: B; L 5 k3 I# ~0 Z3 |6 z o* ? 安全性：即配置本地计算机、域及网络安全性设置的设置。1 n8 k! H) z5 I5 I! c& X: w$ X 3 V8 i9 m) @8 D4 q9 f. m) \, C1 z 软件安装：即软件安装、升级、卸载的集中化管理的设置。. @+ N. q4 `. E+ A + @( f! Z n. P- u& ]2 M7 N- N命令：即当Windows 2000运行特定命令时的指定设置。% c2 W7 l3 v0 A5 q% s3 q4 S ( O' u+ f; _8 A. ?- G8 h u5 v远程安装服务：即当运行远程安装服务(RIS)的远程安装向导时控制用户可能的选项设置。 . {6 L+ J3 W! K" h 5 @5 z) D w+ f1 WInternet Explorer维护：即管理和定制基于Windows 2000计算机的Internet Explorer的设置。 5 X/ i3 {( J5 }, C. d% ` ! ~4 v7 ?. H; A3 ]! S文件夹再定向：即在网络服务器上存储用户个性化文件夹的设置。 - [6 y; i0 g; m6 }$ |, Q( L# o( [! M 3.计算机组策略和用户组策略! u+ M9 j7 @! Y' t( c/ |) R- A0 d: I% s6 M : g9 Z; s9 i; y5 m0 p% j: c 组策略中有计算机组策略和用户组策略设置。! R( }- X p/ {" A+ w* P ! {3 d& Z& E$ A. F5 I# J计算机组策略设置有：操作系统行为、桌面行为、安全性设置、计算机的启动和关机命令、计算机赋予的应用程序选项以及应用程序设置。& s8 B+ s( O5 T: I9 h. g 4 H1 `$ X4 p U) N用户组策略设置有：操作系统行为、桌面行为、安全性设置、赋予的和分布的应用程序选项、应用程序设置、文件夹的重定向选项以及用户登录和退出登录命令。# j* R2 o1 b' U ! |+ Z( L6 G+ q2 O" c注意：通常计算机组策略在和用户组策略冲突时，计算机组策略有优先权。 8 A- B" \8 T6 }3 Z7 Y 2 Z4 Z2 s8 T' Z8 S0 O2 ^将组策略和站点、域或组织单位链接后。组策略的设置将应用在站点、域或组织单位的用户和计算机上。管理员不能将组策略和默认的活动目录容器──计算机、用户和Builtin相连，因为它们不是OU(组织单元)。 * I2 g8 I6 J6 f' F! t% I; R6 `& M$ E" H+ {1 T (二)创建组策略和组策略的继承 % s2 X, E9 G/ ^) N1.创建组策略 ' A# v6 Q7 }) @! G. y9 _1 N& w* K % w6 I$ }2 x6 ^ ^8 @: H0 c( ]通过使用活动目录用户和计算机来为域和OU创建组策略，执行下面步骤：- b% H$ @& d3 z9 S) ]. v 3 b" q8 I9 E7 ~(1)在“Active Directory用户和计算机”窗口中右击想创建组策略的域或OU，然后点击“属性”命令。" X2 v% b* x( [, U 3 E/ a: N9 o, Z% e7 C (2)在打开的“组策略”对话框中点击“新建”按钮，然后为新的组策略输入名称，默认为“新建组策略对象”。8 S, Z$ _& d3 H0 b" V + A, [ M" l$ D* o" k: H+ d2.连接组策略0 o! M# \. K$ E( p( } 2 ^% h8 d9 |& Z9 C) z: T5 r连接一个已存在的组策略到域和OU上，执行下面步骤：4 d0 h3 b: l) u: t- ~6 p ] & Y8 ~, c7 c" P9 A! T$ n (1)在“Active Directory用户和计算机”窗口中右击想创建组策略的域或OU，然后点击“属性”命令。　　8 l1 u3 `' X8 {3 Q0 z- T . T1 `+ l L# T6 Z (2)在“组策略”对话框中点击“添加”按钮。) @* j c3 _- x* d3 o% H0 x; U- W ) w0 a- C5 a& B2 T/ J8 e (3)在打开的“添加组策略对象属性”对话框中的“域/OUs”、“站点”或“所有”选项卡中，点击确认要连接的组策略即可。 / J& I+ ?1 k+ p, m' y) Y8 b; y K$ u8 U, z, F 注意：任何一个拥有该组策略的读写权限的人都可以对它做出修改。 $ A$ i9 y1 e/ e+ t4 X3 m% m! t$ F- S# I8 n' r8 [4 G 3.组策略继承 7 T2 c& l. t- }) t( d/ l- W& `: S, n. M2 J8 P. `+ z 组策略的继承性包括Windows 2000在活动目录中处理组策略的顺序，以及在连接到母容器的组策略的继承性。其继承流程是：8 k( [2 t. V; Z; ?" S- @ 8 |, \* n4 K, i% v/ r) E6 { 默认组策略被继承。子容器从父容器那里继承组策略，意味着子容器可能拥有多个用于用户和计算机的组策略设置。不止一个组策略与它连接。如果一个站点包含一个域以上计算机，连接到该站点的组策略中定义的组策略设置将应用到所有登录到该站点的计算机设置用户上，不管计算机和用户账号是否存在该域中。 ) K, V9 F! d7 q7 M# `" e# B! V# Q " Y+ P+ L1 G+ e域控制器每5分钟刷新一次组策略，重要的组策略设置将在危急的服务器中快速发挥作用。Windows 2000首先处理计算机设置，然后处理用户设置。 ; A8 t+ C9 Z. n: x$ ?( ? , v$ }: v" t0 G8 `6 V下表列出了客户端扩展和对应组策略设置类型(位于C:\Winnt\System32目录中)：(^60090102d^) # y& T" a x! s- X' ]+ v& ~$ H g7 w' j! a! j5 t3 {: t7 T 4.解决组策略的冲突 , N! h& a9 D4 y& h) D& j9 O' d! {1 v9 t5 j 如果发生冲突，默认的是执行最新的设置；除非用户设置和计算机设置冲突。而在大多数场合下，计算机设置高于用户设置。组策略是累积的，除非两个或多个设置冲突，否则所有组策略设置都将被执行；当冲突发生时确定执行哪个组。 4 E# i; w* r6 f# |0 V+ ?% _( @ , d3 m- r \+ B5 Q, z% f策略设置的原则是：& S& l, P" L5 B 1 G F' ]4 q" T# _7 o( W(1)来自母容器的组策略设置，和来自子容器的组策略设置冲突，子容器的设置后执行并发挥作用。/ }$ B7 k% C; ?! Y* t 7 @. u% @2 ^, f, k, m) \(2)连接到同一容器上的，不同的组策略的设置发生冲突，在容器属性对话框中，组策略列表中最高位置的组策略设置后执行并发挥作用。组策略累积处理的例外是IP安全性设置和用户权限设置。当执行IP安全性设置和用户权限设置时，最新执行的组策略将改变以前组策略。 ( w D6 x3 h# @3 }: P4 y1 {9 `* C5 ]* O* _ a; X 5.修改组策略的继承性, C" _& h! ?! b ^$ I* g' p l7 P* R 阻止继承，将不允许子容器从母容器那里继承组策略设置。允许在一个子容器阻止继承，将阻止容器所有的组策略设置而不是单个设置。当活动目录的容器需要唯一的组策略设置，和需要确保设置不被继承时，这一功能将是很有用的。+ S& v- X- P$ C% O ! w& ~( ? u. e2 H 阻止子容器的组策略容器继承，执行下列步骤： ; b) F, \5 M; v( G 2 N- `9 F% d% J4 Z! e(1)在“Active Directory用户和计算机”窗口中打开想阻止继承的域或OU的“属性”对话框。/ J9 {( k) F% r ! s3 q/ _; u4 x) t* K. ^ (2)在“组策略”对话框中，点击“阻止组策略继承”项即可。 8 ?* w# K4 u/ X8 ~- a * Y6 m O1 D* T) V" Y注意：阻止组策略继承的两个局限。即你无法选择阻止哪个组策略；不能阻止连接在母容器设置为不重写(禁止代替)的组策略。& z3 C! E7 c% ?1 R o9 t " h! s, Z! D; I0 a" }$ [" M( p' b 6.监控组策略 U* T# Z' D" C/ s5 Q2 n& ?5 \5 C & {' r) A# X4 m F# ^2 C7 C(1)启用诊断记录：" i) N0 B) B/ {0 u8 R2 b $ D! [6 Z& A2 v" G7 y- m) W启用组策略的诊断记录，促成组策略在事件日志中产生具体事件。这些具体事件，能够通过返回事件以及提供附加信息，在诊断组策略执行相关问题时提供帮助。 : I- y8 l/ _6 z1 H5 j, z $ P. B3 l% Y9 p1 {, `9 ~以本地管理员的身份登录，然后点击“开始→运行”，在“打开”对话框中输入Regedit，打开注册表的编辑器。定位至HKEYLOCALMACHINE\Software\Microsoft\WindowsNT\Current\Version，然后点击“编辑→新建→项”命令，输入Diagnostics后按回车。! l0 @- @8 y1 O% S * v- w( M1 t+ s- ^! A 选择上面建立的Diagnostics项，点击“编辑→新建→双字节值”命令，输入RunDiagnosticsLoggingGlobal后按回车。 - W$ D/ k' n7 n. W3 @5 ]9 c( b3 t& ~, l6 S& d 最后双击RunDiagnosticsLoggingGlobal，输入1即可。 2 Q: i2 @' u' M& J% {3 F9 r2 C. s" ?- X& m/ q (2)启用详细记录：. u$ u; I3 b* @1 d9 r% g & o: ^! Z5 p( I详细记录将记录所有的变更和应用到本地计算机和登录计算机的用户的设置。日志文件位于Systemroot\Debug\Usermode文件夹下，命名为Userenv.log。启用详细记录将涉及添加详细记录的注册关键词。; |4 W( C0 i- {! [! I! x 2 ]$ X; X l: o K8 F为了允许详细记录，添加名为UserEnvDebugLevel值为30002双字节记录值到注删表中的HKEYLOCALMACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon下。2 T+ `8 m6 \ s" q2 [ # w b2 k. `: q) y" d注意：30002的值允许详细记录，30001仅允许错误和警告记录，30000不记录任何事件。 ! C- G+ Z7 u4 B- o, Y1 I6 K h$ O' @, L; Y/ \2 b (三)利用组策略$ \$ b) f2 Z- c( W' S 1.组策略管理用户环境/ K. ~" \7 U0 D2 [ 0 ], j: J5 D& [9 D4 J4 Z 管理用户环境意味着用户在登录网络时，控制用户有哪些权力。可以通过控制用户的桌面、网络连接和用户界面来控制用户权力。控制用户环境可以确保用户有执行他们工作所需要的权力，但不能破坏或不恰当地配置他们的环境。( _) X# }( B7 v' l1 m 3 S# C, P9 f% ]用来管理用户环境的四种典型组策略设置类型是，管理模板设置、脚本设置、文件夹重定向和用户界面。% z% ~5 k+ F+ N4 R& S , X/ Z- h7 i3 A ?' d组策略管理模板是用来管理用户环境的，基于注册的设置。该设置将修改存放在两个注册表目录树下的设置。其中：; Q3 @: L: D Q' t6 ] . K$ I/ u6 h$ D1 b" l计算机设置：在HKEYLOCALMACHINE\Software\Microsoft\Windows\CurrentVersion\Policies中。 + Z# T; ?9 R6 X " p1 V; m' L0 G3 }% _4 Z2 ]/ w用户设置：在HKEYCURRENTUSER\Software\Microsoft\Windows\CurrentVersion\Policies中。 3 }8 W7 S# W: d1 ^- V" a. b) {6 f 2.管理模板设置的类型 . X, |1 E) ?, s- f' b/ W 5 i3 d! o6 g4 R5 [# P- J" W管理模板设置的类型分为七种，都是用户和计算机的设置： + ?, p8 e ?9 u0 k( x4 J 8 K i" V* x# E/ `, w' r \2 h(1)Windows组件：用户可以访问的Windows 2000及其工具和组件部分。计算机和用户为该设置类型的使用者。 ) C! M, u' G# d0 `4 a/ O3 Q0 b ! B/ A/ ]! Z8 t P: S3 @% {% \(2)系统：登录、退出过程。利用系统设置，可以管理组策略、更新区间、启用磁盘限额和实现回环处理。计算机和用户为该设置类型的使用者。; U- f+ X- y, k \ : {0 w' ]( n. p(3)网络：网络连接和拨号连接的属性。计算机和用户为该设置类型的使用者。 * M: D8 V B! J! i# e! v! Q+ e- o+ ^! |! y7 [0 p (4)打印机：打印机设置，可以是自动公布在活动目录中的打印机，并使基于网络的打印无效。计算机为该设置类型的使用者。% n; l$ B( w) }$ d+ M% z % z; s1 H" @* |# ^! w. x (5)开始菜单和工具栏：用户可以从开始菜单中访问的功能组件。用户为该设置类型的使用者。 : j7 M1 t/ H7 j4 H4 x$ J( v! I. F6 d& L+ L: a: u (6)桌面：活动桌面。通过隐藏某些桌面图标并控制用户对“我的文档”文件夹使用，可以控制用户对网络的访问。用户为该设置类型的使用者。 # ?9 W* S: T5 ~4 l2 f( k5 R% N1 U& K+ t, K6 s (7)控制面板：控制面板上的一些应用程序。用户为该设置类型的使用者。 2 {0 C7 v: b# x. S! C% F4 E5 i$ E+ X2 U2 X( E 禁用桌面的设置。如下表所示：(^60090102e^)( V5 \, e" q9 Z b0 U4 V $ c! \$ R+ k$ P `, h" g( l9 q3 d4 q 禁用用户访问网络资源的设置。如下表所示：(^60090102f^) 1 w7 {6 N1 h" Y+ s. L0 V# u& P! D- K" K( `2 v 禁用用户访问管理工具和应用程序的设置。如下表所示：(^60090102g^) 4 b& K; u$ \! O# |8 E2 S: Z4 X. i8 t8 B7 g* [# G 3.组策略中的回送处理模式% }5 K4 _3 N/ [: Z% X, u6 t$ Z - I# f( z$ |% p9 b$ L, w组策略回送处理模式，可以把用户管理模板设置实现到计算机上。回送处理模式是实施应用于计算机的组策略中的用户配置设置的组策略。对于指定具体任务的计算机或安装了特殊软件的计算机非常有效，按下列步骤启用回环处理模式： t2 S4 N ?6 J ( F& m6 s. T( L(1)打开组策略，展开“计算机配置→管理模板→系统”节点，点击“组策略”选项。 9 I; I) D) e$ \ 9 l. G* D' G" I(2)双击“用户组策略反向对应处理方式”选项。: z/ M6 [% s1 Q! c- s! b ; a; C! y/ a6 s3 b* P (3)点击“允许”按钮，然后在“模式”中选中“替换模式”或“合并模式”。“替换模式”处理应用于计算机的组策略；“合并模式”首先处理应用于用户对象的组策略，然后处理应用于计算机对象的组策略。如果设置发生冲突，将实施组策略中的计算机对象设置，因为这些组策略设置最后使用。" f; x2 B0 U! _/ N% y0 _ ) k8 A% q3 u' z# ]( [2 j 4.设计组策略模板3 u* `5 ~! Y6 n 6 f' W, w q# ^# o$ G 通过在组策略中配置管理模板扩展名中的设置，实现管理模板的设置。在组策略“属性”对话框中的三个状态说明如下： Y7 g3 ?- p" r# i: n" C* u. K # Q- a1 k% Q& H; j' G6 I6 r" Y未配置：不对计算机产生任何变化。' C" }6 T ]* i! [$ T( W. Q + y q# G% o9 b, V6 o启用：把引起的变化添加到注册表中。 3 D" I! y! \- Q3 o8 N/ i- x5 r; L4 p4 j( a' ]% q2 ?- k) \: h5 J4 | 禁用：防止引起的变化添加到注册表中。0 @; V2 R! ?' H* _3 F! m! Q* b 0 V7 w( z6 D2 q/ | G* Y5 k 右击合适的站点、域或OU，点击“属性”命令，然后点击“组策略”选项卡，建立或选择现存的组策略，点击“编辑”按钮。 5 @7 o' ~, y6 T. ~: s ( ] w5 T: {: A在组策略中，展开“计算机设置”或“用户设置”选项，然后展开“管理模板”直到确定需要修改的位置。最后在组策略属性面板中，双击需要修改的组策略设置。 : Z- t* A# M, E+ I6 J/ f( L4 M3 S8 O; g' O 5.用组策略分配脚本 $ {3 C$ N4 B, {) r/ [3 R8 C) g( N; D 利用组策略脚本设置，可以把脚本设置成在指定的时间里自动运行。管理员可以利用策略中的脚本扩展来运行批处理文件、可执行程序和支持脚本的Windows脚本主机。组策略脚本设置可集中配置脚本，在计算机启动、关闭、用户登录、退出的时候自动运行。 4 k7 f- ?2 _" Q# j8 h + q& H* b: f* B! GWindows 2000按下列的顺序处理并运行指定脚本的组策略：# e* G3 O- [* K( V' i' L) U. ? 4 ~/ M: M! v% h: z( ]' p: ?$ X (1)当用户启动计算机、进行登录时，存在以下几种情况：启动脚本缺省情况下，隐藏、同步运行；登录脚本缺省情况下，隐藏、非同步运行。 4 O& R6 `$ V$ j: j, I/ Y1 g8 V' m" I! _1 C; | (2)当用户退出、关闭计算机时，存在以下几种情况：退出脚本运行；关闭脚本运行。 & n, y1 v& H! R6 v ) i3 Z0 M { z2 n( U/ z注意：处理脚本缺省超时时间是10分种，如要调整时间，可以配置Computer Configuration\Administrative Templates\System\Logon\Maximum wait time中的组策略脚本的等待时间，改变后将影响所有运行脚本。 : l" F, Q- u+ O8 Q0 Q6 S1 P+ a, `* s 我们可以按下列步骤分配一个脚本：6 t1 w0 {( J) _% H0 t $ I. Z" W: A; b! @* |. W(1)打开组策略中合适的组策略，展开“计算机配置”或“用户配置”，展开“Windows Setting”，点击“脚本”按钮。 ' L5 o: Q, h) @/ e9 ?' O5 U0 ^: Q& f7 Q/ v ?# ~ (2)在脚本的“属性”对话框中，点击“添加”按钮，点击“浏览”按钮，选择需要分配的脚本后点击“打开”按钮，添加需要的脚本参数即可。8 {. d% W, j" ]' D% F , F! x2 D- f; I# R7 c. V, j6.利用组策略重定向文件夹 ) o+ ^; W! L. R& @6 V2 ^. L; H3 v0 ]! w: L4 U6 N! F 重定向文件夹，可以确保用户可以获得数据，不管他们在什么计算机上登录。 8 K R0 Y( n) t* W5 X9 T; A# _$ D! b. f% [ 可以重定向文件夹有：我的文档、应用程序数据、桌面和开始菜单，Windows 2000会自动建立这些文件夹。 ; R# ^. }' I: l* \$ F5 c3 @" ~ 5 @) d. I9 f7 I利用重定向文件夹，我们可以：不管用户从什么客户计算机上登录，都可以访问文件夹中的数据；文件夹中的数据集中存储，因此文件夹中的文件将更便于管理和备份；减少网络通信；重定向文件夹的文件，可以当用户登录到客户计算机上的时候，不使用存储空间存储这些文件。9 e0 }9 c; ], c+ Y! k5 V, o {& c & c/ j: x/ d: K 如果管理员在重定向文件夹的时候使用变量%Username%，那么Windows 2000将为每个用户在服务器上建立唯一的个人文件夹。按下列步骤重定向文件夹：8 _" j$ g8 W8 r2 C) E3 x $ d5 _; t+ P1 ~) A (1)在“组策略”对话框中点击“编辑”按钮。: Z; t2 h7 U. d2 K" v, s 3 q ^; C2 D, A (2)展开“用户配置→Windows Settings→文件夹重定向”节点。然后右击要重定向的文件夹名字，点击“属性”命令，然后提供目标路径和位置路径即可。/ G% Z- J$ k% X. G" L; U* I : Q/ c% {" s" q8 \7 y% Z3 B 7.利用组策略确保用户环境安全; K2 \7 ^2 |) I* o# ^ " K L# w+ X. O, M* G& j( w L域用户策略成为域成员的、基于Windows 2000的工作站或服务器的预设用户策略，例外的是组织单元定义另一个用户策略的时候，组织单元的用户策略设置影响到组织单元中任何计算机上的本地策略。而本地策略设置只在利用计算机本地用户登录时候应用。按下列步骤把安全模板引用到组策略中：7 R4 x8 g$ {6 }& a/ m , |+ w: g: [' ]; h5 V/ Y展开组策略中的“计算机配置→Windows Settings→安全设置”节点。右击“安全设置”，然后点击“引入策略”。选择需要引用的安全模板即可。 ' [' D# v, ]7 _, f! e, e+ n + P# F& ]% i ]/ m1 p6 m另一种应用安全策略的方式是为每台计算机配置安全设置，要配置安全设置，需要执行下列任务： 7 ^9 s0 \( `$ i, e# M3 z& w" }8 u& g; g 展开“计算机配置→Windows Settings→安全设置”节点。在策略属性对话框中，双击需要配置的安全设置。在“策略”选项卡上，通过选择三种状态的一种来配置安全设置：启用、禁用、未配置。3 I3 x+ D( |/ W/ d" @9 ?9 Y6 m$ U5 S . D( B- z* p' }; ?! w六、使用组策略管理软件 6 ]1 d& T* h1 ? t2 ~' ^1 \(一).使用组策略管理软件' o, P t) L n 管理软件的过程包括： : P* U7 G6 T) y. x8 g/ k, T4 S E" \ 预备：准备一个文件，以便应用程序能使用组策略布置。7 [, Y' x3 s, k# Y; N2 R9 C) \$ Y & y8 _- ?& i* Z( {' C+ M布置：管理员创建一个在计算机上安装软件，并将组策略链接到相应的活动类别容器的组策略对象。 " z4 _; ~. J3 `* ] 9 A: h4 K4 \% z4 `( M# p9 F维护：用新版本的软件升级软件或用补丁来重新布置软件。2 x/ m/ t. _: n $ |' E% y8 H# \! I) n w 删除：为消除不再使用的软件，从开始布置软件的组策略中删除软件包设置。 " d# _$ u$ R, O- ]# l# l5 H% m7 { b5 g 将软件分配给用户和计算机：9 j7 E& B; X. W) ^ 4 S" H" o, K3 j& t: ]. g% x在用户配置过程中，在用户登录时应用程序被通告，安装不会自动开始。这样可以节省了硬盘空间和时间。, j# M9 a& B, Z$ y - r J/ W' l8 h. w 在计算机配置过程中，当给计算机分配软件时，不会出现通告，软件被自动安装。可以确保相应的应用程序在那台计算机上总是可用的无论谁使用那台计算机。 ( h* {2 s; Y4 k/ w2 j0 @* B! E7 y & g4 x- Q' K1 s% @' f) u2.用户安装发布的软件0 e1 R4 ]* F0 X+ e7 i2 u, s 可以将软件分配给用户和计算机。分配软件包确保软件对于用户和计算机是可用的。分配软件确保用户需要的所有应用程序都安装到了他们的计算机上，用户下一次登录时，新安装的软件会出现在他们的桌面上。当软件出现后，应用程序的开始菜单快捷方式和桌面图标也出现了。0 b: m* y4 Y i " p) I3 o3 Y) a; X7 ` 用户可以采用下面两种方法之一来安装发布的软件：, Y& B% z9 b4 k : r! ?% ^1 j( ~ q& f1 f& Q (1)使用控制面板双击“添加/删除程序”，选择需要的应用程序，点击“安装”按钮。6 U% Z! ~% T# I3 ?0 p$ v ! N, r5 ]+ h" m+ I(2)使用文档激活的方法。当应用程序发布在活动类别中时，它所支持的文档扩展文件名在活动类别中注册了， 如果双击一个未知类型文件，计算机就会安装它。0 @# F' \& g. d, q1 H 7 C; V/ Q/ H2 U3.布置软件8 ~6 \7 f* m) u4 P 按下列步骤使用组策略布置软件：+ j1 m; R* |6 L: P/ [ * r" `- |1 u+ M(1)根据软件是分配给用户还是计算机，在“用户配置”或“计算机配置”中创建或编辑一个组策略。4 k T% T/ [* s) q5 n$ k( ^4 i & C% R* U0 G; d; z* k$ O+ E (2)布置“软件设置”，右击“软件安装”，选择“新建→程序包”命令，当“文件打开”对话框出现时，选定包文件，点击“打开”按钮。; |$ T6 J& z( _- K1 U9 t( U / @* E7 ^5 E/ F (3)在“布置软件”对话框中，选定一种布置方法即可。 / G1 S: C8 e9 S* o: n& |& \% ~; T/ Q. x2 \5 ]* ~* S* y 改变一个软件包的软件布置选项，执行下列步骤：& Z; h* [0 K. [$ P7 ^ 1 ?6 }( i1 n# E) G/ x (1)在软件安装中，右击布置的包，然后点击“属性”命令。 " Y, V* c5 U4 m2 o$ w3 X2 _4 U( G8 r9 [$ N (2)在应用程序的“属性”对话框中，点击“布置”选项卡，设置下表描述的选项的任意组合。(^60090102h^) n* {0 I9 v' h8 D6 t1 [+ Z& X+ [3 l% G9 G# M6 X 设置软件安装默认选项，请执行下列步骤： 0 V- p* r' ]" f' J5 x' s ( d9 `6 U9 \" N5 J$ ~$ J# |1 m(1)根据软件是要分配给用户还是计算机，或是发布，在“用户配置”或“计算机配置”中创建或编辑一个组策略。, f/ u1 S8 v7 p7 W( [# | h ! l4 c2 ? Z, ^8 k(2)布置“软件设置”，右击“软件安装”，点击“属性”按钮。% ], D6 L* ?" ^: b3 m. n 7 W+ p' M) U( s. o+ J, s+ Q(3)在“软件安装属性”对话框中，点击“常规”选项卡，设置下表描述的选项的任何组合。(^60090102i^)(^60090102j^) - Z; k) |* n) W: e' s ; p# Y/ k/ [ z+ x' i& n可以布置一个应用程序的几个不同配置并且控制如何分配或发布应用程序。使用软件修改，执行下面步骤： 2 C6 S+ ]8 c, ^, ?- n x0 m: L% k% z (1)在将一个新包添加到一个组策略中或在此包布置前，打开应用程序包的“属性”对话框，点击“修改”选项卡。点击“增加”按钮。 / x, ?% L' z2 w- u4 B# Q# z h P( V" a( @. [8 F (3)在“打开”对话框中，选择修改(.mst)文件的路径和文件名，点击“打开”按钮即可。: t. G* l2 Y/ r: j5 { 7 N% f* K! w- z& p 4.创建软件类别 # h0 f8 l1 f7 i. g6 O7 `创建软件类别，执行下面步骤： . i8 r8 I5 s/ h3 E- I$ L+ `# k 3 p. S: q# ]+ s# z7 _(1)根据软件是要分配给用户还是计算机，或是发布，在“用户配置”或“计算机配置”内创建或编辑一个组策略。 5 v" C$ Q% u8 U5 ?4 j% }5 g% n8 k2 h. W (2)布置“软件设置”，右击“软件安装”，然后点击“属性”按钮，在打开的对话框中点击“类别”选项卡。 6 ]1 p# P* I9 Z* U7 Q; j: z1 Z7 \2 f (3)点击“增加”、“修改”或“删除”按钮创建并编辑类别名。 / q" c r2 w1 o / N+ ]0 C: Q- X5 M) n" j管理员还可以控制哪个应用程序首先和文件扩展名关联。修改文件扩展名优先权，执行下列步骤： : S, m( c! M& ^; F' x6 ?: C$ N- Z- S [& K (1)打开用于布置应用程序的组策略。布置“用户配置”，然后打开软件安装的“属性”对话框。 6 H+ ^. I7 o: j( A* t$ L% o; D7 |( b* w1 y2 U (3)在软件安装的“软件安装属性”对话框中，点击“文件扩展”选项卡，单击(向上)或(向下)来设置优先次序。 / D* r! w% ~6 M6 r( _$ i6 V, N' U0 J! H* y 5.维护布置的软件3 a: v* p8 Y z3 l. ]! c 维护布置的软件在于：升级布置的软件、重新布置软件。升级布置的软件：可以进行强制升级或可选升级。强制升级用于强迫用户升级到当前最新的版本。可选升级用于允许用户同时使用一个程序的两个版本。为布置一个升级，执行下列步骤：: n1 g! m) U0 F- B; I, S - o% r& j% d6 I* D(1)布置高一级版本软件。. t% L' y1 K5 R+ ?; y# N1 X / ?" w; l: e9 H6 ~' b+ y. V; r# q (2)打开“软件安装”，右击高一级版本，然后点击“属性”按钮。在包文件的“属性”对话框中，点击“升级”选项卡。在“Packages that this package will upgrade”部分，点击“增加”按钮，选定低版本应用程序。 : R. [" @# w0 H( U9 u3 A) N2 A- g4 @& h& r" W" f9 N8 H0 l (3)选择升级类型：为进行强制升级，选定“现存软件必须升级”复选框；为进行可选升级，取消选定“现存软件必须升级”复选框。0 ]$ I* C6 }* }6 a 5 j1 W4 X- ] w! b0 n6 j- ` |6.删除布置的软件 , j( u5 Z+ x+ L) _& F0 S N. R删除布置的软件，执行下列步骤： : A# q0 R: Z6 A6 U' T! ^+ C; _. @$ f6 b; @$ s1 Q) r (1)打开原来用于布置软件的组策略。在“软件安装”中，右击包名，选择“所有任务→删除”命令。 ; r/ \7 o/ b) r# j * ~) s9 S% O! \& L(2)在“删除软件”对话框中，选择下表描术的选项中的一项，然后单击“确定”按钮。
Windows Server 2012 R2 建立Active Directory域
本套课程共34课时，主要讲解Active Directory域对象、对象属性、容器与组织单位概念，域、树、林之间的关系，域控制器，LDAP，全局编录（Global Catalog），站点，目录分区，域控制器及容错域控制器的建立，加入域，退出域，子域、树域的创建，组织单位（OU）与域用户账户，限制域用户登陆，组类型，提升域功能级别和林功能级别，AD回收站还原误被删除的对象，卸除子域域控制器。
tabsync:Tableau-LDAP组同步
Tableau Server-LDAP同步 TabSync是Tableau Server 9.0+和任何LDAP服务器之间的双向复制工具。 它将LDAP组与Tableau组同步。 在多个站点上将多个ldap组与多个tableau组同步 将在ldap中定义但在tableau中不存在的所有用户添加到tableau站点 将每个ldap组与相应的tableau组同步（根据实际ldap成员资格添加，删除用户） 将域设置为用户，以便在同步后能够使用Active Directory身份验证（可选） 可以将其部署为单个独立的JAR文件，而无需任何解释器依赖性（使用lein uberjar ）。 安装 下载Tableau Server的证书（如果使用https，则为可选） 确保系统上已安装Java 1.8（或更高版本），因为这是导入证书的先决条件。 较旧的Java版本可能会为某些SSL证书抛出SS
SharePoint Foundation User Sync Tool:用于同步 SP 与 AD 的 VS (C#) 程序-开源
一个 Visual Studio 2008 (C#) 程序，允许您将联系人和用户信息列表（以及其他）从 Active Directory 同步到 SharePoint Foundation。 使这个项目有点独特的原因如下： 1) 该程序允许您浏览站点库列表和项目以及 Active Directory，以帮助确定哪些字段映射到列表中的哪些字段。 2) 程序可以在/silent 模式下运行，用作windows 任务计划作业。 您还可以在命令行中包含一个 URL，以将其限制为一次运行的特定站点。 3) 该程序可以在每个站点级别手动运行 4) 哪个站点、哪个列表以及该列表中的哪些字段都是通过编辑 XML 设置文件来配置的。
community_281

590

社区成员

254,054

社区内容

发帖
与我相关
我的任务
社区描述
提出问题
其他 技术论坛（原bbs）
社区管理员
  • community_281
加入社区
  • 近7日
  • 近30日
  • 至今

加载中

查看更多榜单
社区公告
暂无公告

试试用AI创作助手写篇文章吧

+ 用AI写文章