目录

一、基础知识

1.Domain

2.内网环境：

3.域的特点：

4.域的组成:

5.域的部署：

6.活动目录

7.组策略GPO

8.部署安装活动目录：

9.PC加入域：

10.常见小问题

二、实验过程

2.1 安装域管理相关东西

2.2 怎么将其他计算机加入域

win7:

win10：

2.3 建立普通域用户

2.4 域普通用户&本地管理员

2.5 组织单元和组策略 （让整个千峰都用我的头像当壁纸）

  1）工作组：默认模式，人人平等，不方面管理   2）域：人人不平等，集中管理，统一管理（老大可以控制你们）

  集中/统一管理

  1）域控制器：DC（Domain Controller）（光放一个域控制器不太稳妥，要有俩，不然一个GG了整个域都GG）   2）成员机（成员机中间是平等的）

  1）安装域控制器--就生成了域环境   2）安装了活动目录--就生成了域控制器   3）活动目录：Active Directory = AD

  1）AD   2）特点：集中管理/统一管理

  1）开启2008虚拟机，并桥接到vmnet2   2）配置静态IP地址10.1.1.1/24   3）开始-运行-输入dcpromo,安装活动目录。      弹出向导：      勾选DNS-新林中新建域-功能级别都设置为2003-域的FQDN（qf.com）--设置目录服务还原密码666.com-勾选安装后重启   4）在DC上登录域qf\administrator      DC的本地管理员升级为域管理员   5）验证AD是否安装成功：      1-计算机右键属性-所属域      2-DNS服务器中是否自动创建qf.com区域文件及      3-自动注册DC的域名解析记录      4-开始-管理工具-A D 用户和计算机        computer：普通域成员机列表        Domain Controller：DC列表        users：域账号

1）加入域不成功     网络是不是不通！     解析是否能成功解析！     是否为DNS缓存问题 2）登入域不成功     如XP，已勾选登录域QF，不用再写qf\xiaofei.wen 3）域用户的权限     建议将域用户加入到普通成员机的本地管理员组中

****本地管理员组：administrators ****域管理员组：Domain Admins

GPO练习： 1.在董事会部门设置GPO，并要求强制桌面背景，并验证 2.在董事会部门上级的ou上设置GPO,也进行强制桌面背景，并验证 3.在董事会部门上级的ou上设置GPO,强制删除运行菜单，并验证 4.练习阻止继承，并验证 5.练习向下强制，并验证 6.实现董事会的计算机无须按ctrl+alt+delete，并验证

首先配置静态IP

这回安装不通过【添加角色】安装，因为这么安装效果不好

本次通过开始-运行-输入【dcpromo】，安装活动目录。

因为我已经有了DNS服务器，所以直接到了这一步。没有的话安装就可以了。

林是由很多有组织的域构成

检查完了不冲突就进行创建。

这么设置林，林里面都要大于等于2003级别

这么设置域，域里面服务器至少是2008.

无视报错，点击是继续

不要改动

现在设置活动目录的还原密码，一般用不到，但是要复杂点。

我们来瞅瞅是不是安装好了。现在我们这个server已经变成DC了。这就不一样啦、现在本地的管理员提升为域管理员，还是用之前的账户密码登录即可。

再看看还有什么变化： 

然后进入【Active Directory 用户与计算机】进行管理。

首先配置静态IP。同时设置DNS

然后计算机-右键-属性-

以域管理员账号登录，登陆成功后会弹出：

切换用户，现在ge这个账户还不是域里面的成员，仅仅是本地账户。 

类似的步骤

唉？我以为很简单，结果家庭版不能加入域、断网输入了个密钥【VK7JG-NPHTM-C97JM-9MPGT-3V66T】，然后升级成专业版。

可以看到新增了俩台计算机

win7登录尝试。 

success！

在qf.com中，温小费在win7上只是个普通用户，很多事儿做不了，可是电脑都分配给他了还给这么多限制，干啥呢！！！

如果将温小费账户提升为域管理员又不合适，温小费要是想干啥坏事怎么办！

于是可以将温小费设置为win7这台电脑的本地管理员！

首先以域管理员账户登录win7.

添加成功，虽然xiaofei.wen不是win7的本地用户，但是选择加入之后，win7计算机会去DC那里验证一下。 

这个时候，温小费再次登录就可以完全控制这台电脑啦！

OU：organizition unit：组织单元

GPO：Group Policy：组策略

看！左边的图标带🔒图标，这才叫OU、多建立几个，模拟一下

将温小费移动到董事会下面

杨涛移动到西北区

同时操作人物对应的计算机设备。

现在组织单元已经设置完毕，之后需要设置组策略对相应单元下属的进行限制。

组策略在哪儿呢！》

新建对于qianfeng的组策略。 

可以对每个部门都新建一个组策略。

接下来就是怎么让整个千峰都用我的头像当壁纸了。对qianfeng组策略进行编辑。

哦！设置之前记得先设置个共享文件夹存放图片pic。

双击设置

这时候组策略编辑器已编辑好了。组策略编辑器的效果顺序为L（local，本地）S（站点，可以忽略）D（domain。域）OU（组织单元）

用户配置已经配置好了，需要用户注销再登录才会生效。如果对计算机配置，需要计算机重启才可以生效。

现在登录win7可以i看到壁纸已经生效，不过虚拟机反应比较慢，可以在个性化里看到pic已经是壁纸了

11）OU：组织单位 作用：用于归类域资源（域用户、域计算机、域组）

12）组策略：Group Policy = GPO 作用：通过组策略可以修改计算机的各种属性，如开始菜单、桌面背景、网络参数等。 ***重点：组策略在域中，是基于OU来下发的！！ ***组策略在域中下发后，用户的应用顺序是：LSDOU ***在应用过程中，如果出现冲突，后应用的生效！

****正常情况下：LSDOU顺序

上级OU：        桌面：aa      运行：删除

下级OU：        桌面：未配置  运行：不删除

下级OU用户结果：桌面：aa      运行：不删除

****下级OU设置了阻止继承：

上级OU：         桌面：aa     运行：删除

下级OU：         桌面：未配置 运行：不删除

下级OU用户结果： 桌面：未配置 运行：不删除

****上级设置了强制：

上级OU：           桌面：aa     运行：删除

下级OU：           桌面：未配置 运行：不删除

下级OU的用户结果： 桌面：aa   运行：删除

注意：当上级强制和下级阻止继承同时设置，强制生效！