windows_learn 004 ADDS基础知识和组策略

windows_learn 004 ADDS基础知识和组策略

内容总览
AD DS (Active Directory Domain Service)
检查AD DS 安装是否正确
创建安装媒体 （离线导入域数据）
组的使用规则(p129)
第四章 使用组策略管理用户工作环境(p132)
组策略的功能
组策略分计算机配置和用户配置两部分
组策略内的设置可再区分为策略设置与首选设置两种
组策略的应用时限(p138)
组策略的处理规则
使用组策略管理用户环境(p167)
安全选项策略(p176)
WMI 筛选器(p192)

AD DS (Active Directory Domain Service)
Container and Organization Units, OU

Domain tree

Trust Relationship

Forest

Schema

Domain Controller DC

Member Server

LDAP (Lightweight Directory Access Protocol)
DN (Distinguish Name)
RDN (Relative Distinguish Name)
GUID (Global Unique IDentifier)
UDN (User Pricipal Name) Principal n.本人，主角
SPN (Service Principal Name)

Global Catalog GC

Site

Directory partition
Schema Directory Partition
Configuration Directory Partition
Domain Directory Partition
Application Directory Partition

RODC (read only domain controller)

AD LDS (Active Directory Lightweight Directory Services)

Active Directory数据库
Active Directory数据库：用来存放Active Directory 对象
日志文件： 用来存储Active Directory数据库的变动日志，
此日志可用于恢复活动目录数据库
SYSVOL文件夹：用来存储共享文件夹（例如与组策略有关的文件）

检查AD DS 安装是否正确
nslookup
set type=srv
_gc._tcp.mysky.com

创建安装媒体 （离线导入域数据）
ntdsutil
activate instance ntds
ifm
create full PATH
create full c:\installationMedia

一次同时添加多个用户账户P119
csvde.exe 可添加但不可修改
ldifde.exe 可添加也可修改
dsadd.exe dsmod.exe dsrm.exe 你懂得

组group (p125)
Domain Local Group
Global Group
Universal Group

windows 内置的本地域组p127
Account Operators
Administrators
Backup Operators
Guests
Network Configuration Operators
Performance Monitor Users
Pre-Windows 2000 Compatible Access
Print Operators
Remote Desktop Users
Server Operators
Users

Windows 内置的全局组
Domain Adminis
Domain Computers
Domain Controllers
Domain Users
Domain Guests

Windows 内置的通用组
Enterprise Admins
Schema Admins

Windows 特殊组账户
Everyone
Authenticated Users
Interactive
Network
Anonymous Logon
Dialup

组的使用规则(p129)
A、G、DL、P
A、G、G、DL、P
A、G、U、DL、P
A、G、G、U、DL、P

A: user Account
G: Global group
DL: Domain Local group
U: Universal group
P: Permission

第四章 使用组策略管理用户工作环境(p132)
组策略的功能
账户策略的设置：如设置用户的密码长度、使用期限、锁定账户等
本地策略的设置：如用户权限的分配、安全性设置等
脚本(Scripts)的设置：如登录与注销、启动与关机脚本的设置
用户工作环境的设置： 如隐藏用户的桌面图标、删除开始菜单的运行关机等
软件的安装与删除： 用户登录或计算机启动时，自动为其安装、删除、修复软件等
限制软件的运行：设置用户只能运行指定的软件、或不可以运行指定的软件
文件夹的重定向：如改变文件、开始菜单等文件夹的存储位置
限制访问可移动存储设备： 用来防止企业内的机密文件轻易地被带离公司
其它众多的系统设置：如让所有的计算机都自动信息指定的CA，限制安装设备驱动等

组策略分计算机配置和用户配置两部分

组策略应用范围
站点 site
域 domain
组织单位 Organization Unite

组策略对象 (Group Policy Object, GPO)
内置的GPO
Default Domain Policy
Default Domain Controller Policy

GPO
GPC (Group Policy Container) 存储在AD的数据库中，记录GPO属性与版本
GPT (Group Policy Template) 存储GPO设置值与相关文件
路径在\SYSVOL\sysvol\域名\Polities

组策略内的设置可再区分为策略设置与首选设置两种
只有域的组策略才有首选设置功能，本地计算机策略无此功能

策略设置是强制性设置 客户端应用这些策略后无法更改
首选设置是默认设置 客户端可以自行更改
如两种设置都配置相同的项目则以策略设置优先

要应用首选设置的客户端需求下载安装
(CSE, client-side extension)KB943729 wind7已包含
(XMLLite) wind7已包含

组策略的应用时限(p138)
计算机配置的应用时限
计算机开机时会自动应用
计算机已经开机则系统每隔一段时间自动应用
域控制器：默认5分钟自动应用一次
非域控制器：默认每隔90-120分钟应用一次
不论策略设置值是否有变动，系统仍然会每隔16个小时自动应用一次

用户配置的应用时限
用户登录时会自动应用
用户已经登录，则默认每隔别90-120分钟自动应用一次，
并不论策略是否变动，每隔别16小时自动应用一次安全性配置策略

手动应用： 到域成员计算机上打开命令提示符窗口运行
gpupdate /target:user /force

组策略的处理规则
一般的继承与处理规则
父容器和子容器规则不冲突时，子容器继承夫容器的规则如冲突就近优先
计算机配置和用户配置冲突时优先应用计算机配置
应用规则次序 站点GPO --> 域GPO --> 组织单位GPO

例外的继承设置
阻止继承策略
强制继承策略(Enforcing Inheritance)

使用组策略管理用户环境(p167)
用户权限分配策略(p174)
计算机配置-->windows设置-->安全设置-->本地策略-->用户权限分配
常用权限策略说明
Allow Log on locally 允许用户 Ctrl+Alt+Delete 登录
Deny Log on Locally 拒绝
Add Workstations To Domain 允许用户将计算机加入域
Shutdown The System 允许用户关机
Access This Computer From the network
Deny this computer From the network
Force Shutdown From A Remote System
Backup Files And Directories
Restore File And Directories 还原
Change The System Time
Load And Unload Device Drivers
Take Ownership Of Files Or Other Objects

安全选项策略(p176)
计算机配置-->windows设置-->安全设置-->本地策略-->安全选项
常用权限策略说明
Interactive logon: Do not require CTRL+ALT+DEL
Interactive logon: Number of previous logons to cache 本地缓存
Interactive logon: Do not display last user name
Shutdown: Allow system to be shut down without having to log on

登录、注销、启动、关机脚本(p177)

文件夹重定向(p181)
即可以实现将某用户的桌面文件或者某些路径放到其它服务器里

WMI 筛选器(p192)