活动目录配置

⑴ 活动目录的配置管理

Windows Server 2003 增强了管理员有效配置和管理Active Directory的能力，即便是拥有多个森林、域和站点的超大型企业也可以得到轻松的管理。
利用新的安装向导配置Active Directory
新的“配置您的服务器”向导简化了设置Active Directory的过程，并且针对特定的服务器角色提供了经过预先定义的设置，它的优点之一便是：能够帮助管理员对服务器的初始化部署方式实施标准化。
在服务器安装期间，管理员可以获得帮助，通过帮助用户安装他们在Windows安装过程中选择需要的可选组件，服务器的安装过程变得更加便利。他们可以使用该向导执行以下工作：
· 通过使用基本的默认设置自动配置DHCP、DNS和Active Directory，建立网络中的第一台服务器。
· 在用户安装文件服务器、打印服务器、Web和媒体服务器、应用服务器、RAS和路由或者IP地址管理服务器的时候，为用户指出完成安装所需的特性，从而帮助用户在网络中配置成员服务器。
管理员可以使用本特性进行灾难恢复，将服务器配置复制到多台计算机上，完成安装，配置服务器角色，或者在网络中建立第一个配置或主服务器。
其它管理特性和改进
特性 描述
自动创建DNS区域 在运行Windows Server 2003操作系统时，DNS区域和服务器可以自动创建并配置。您可以在企业中创建它们以托管新的区域。本特定可以极大减少手动配置每台DNS服务器所需的时间。
得到改进的站点间复制拓扑生成过程 站点间拓扑生成器（ISTG）已经得到更新，不仅可以利用改进过的算法，而且能够支持比在Windows 2000下拥有更多数量站点的森林。因为森林中的所有运行ISTG角色的域控制器都必须在站点间复制拓扑方面取得一致，新的算法在森林被提升到Windows Server 2003森林本机模式之前不会被激活。新的ISTG算法跨越森林提供了得到改善的复制性能。
DNS 配置增强 本特性简化了DNS错误配置的调试和报告过程，有助于正确配置Active Directory部署所需要的DNS基础结构。
这包括了在一个现有森林中提升某个域控制器的情况，“Active Directory安装向导”会与现有的一台域控制器进行联系，以更新目录并从该域控制器复制必需的目录部分。如果向导由于不正确的DNS配置而无法找到域控制器，或者域控制器发生故障无法使用，它将执行调试过程，报告产生故障的原因，并指出解决该故障的方法。
为了能够找到网络中的域控制器，所有的域控制器都必须登记它的域控制器定位DNS记录。“Active Directory安装向导”会验证DNS基础结构是否得到了正确的配置，以便新的域控制器能够进行域控制器定位DNS记录的动态更新。如果此项检查发现了不正确的DNS基础结构配置，它将报告相关问题，并给出解释，告知修复该问题的方法。
通过媒介安装副本 和通过网络复制Active Directory数据库的完整副本不同，本特性允许管理员通过文件创建初始副本，这些文件是在对现有域控制器或者全局编录服务器进行备份的时候所生成的。任何具有Active Directory意识的备份工具所创建的备份文件都可以使用媒介（例如磁带、CD、VCD或者网络文件复制）传输到候选域控制器上。
迁移工具增强 Active Directory迁移工具（ADMT）在Windows Server 2003中得到了增强，它可以提供：
 口令迁移。ADMT version 2 允许用户将口令从Windows NT 4.0 迁移到 Windows 2000 或 Windows Server 2003 域中，也可以将口令从Windows 2000域迁移到Windows Server 2003 域中。
 新的脚本接口。对于大多数常见的迁移工作，例如用户迁移、组迁移和计算机迁移，我们提供了新的脚本接口。ADMT现在可以通过任何语言驱动，并且支持COM接口，例如Visual Basic® Script、Visual Basic以及Visual C++®开发系统。
 命令行支持。脚本接口已经得到了扩展，以支持命令行。所有可以通过编写脚本来完成的工作都可以直接通过命令行或者批处理文件完成。
 安全性转换改进。安全性转换（例如在ACL内重新调配资源）得到了扩展。现在，源域可以在安全性转换运行的时候被脱离。ADMT还可以指定一个映射文件，并用该文件作为安全性转换的输入。
ADMT version 2 让用户向Active Directory的迁移工作变得简单了，而且提供了能够实现自动化迁移的更多选项。
特性 描述
应用程序目录分区Active Directory服务将允许用户创建新类型的命名上下文环境，或者分区（又称作应用程序分区）。该命名上下文环境可以包含除安全主体（用户、组和计算机）之外的各种类型对象的层次结构，而且能够被配置为复制森林中的任何域控制器集合，而不一定是相同域中的所有域控制器。
通过对复制范围和副本位置加以控制，本特性为用户提供了在Active Directory中托管动态数据的能力，而且不会对网络性能造成不利影响。
存储在应用程序分区中的集成化DNS区域 Active Directory 中的DNS区域可以在应用程序分区中存储和复制。通过使用应用程序分区存储DNS数据，减少了存储在全局编录中的对象数量。除此之外，当您在应用程序分区中存储DNS区域的时候，只有在应用程序分区中指定的部分域控制器会被复制。默认情况下，特定于DNS的应用程序分区仅仅包含那些运行DNS服务器的域控制器。此外，在应用程序分区中存储DNS区域使得DNS区域可以被复制到位于Active Directory森林其它域中充当DNS服务器的域控制器上。通过将DNS区域集成到应用程序分区中，我们可以限制需要复制的信息数量，并且降低复制所需的整体带宽。
得到改进的DirSync 控件 本特性改善了Active Directory对一个名为“DirSync”的LDAP控件的支持，该控件被用来从目录中获得发生了变化的信息。DirSync控件可以用来进行一些检查，这些检查类似于在正常的LDAP搜索上进行的检查。
功能级别 和Windows 2000的本机模式类似，本特性提供了一种版本控制机制，Active Directory的核心组件可以利用该机制确定域和森林中的每台域控制器都拥有那些功能特性。此外，本特性还可以用来防止Windows Server 2003以前的域控制器加入到一个全部使用Windows Server 2003的Active Directory特性的森林中。
取消架构属性和分类的激活状态 Active Directory已经得到了增强，以允许用户停用Active Directory架构中的某些属性和分类。如果原始定义中存在错误，属性和分类可以被重新定义。
在将属性或分类添加到架构中时，如果在设置一个永久性属性的时候发生了错误，停用操作将为用户提供了一种取代该定义的手段。本操作是可逆的，管理员可以撤销某个停用操作而不会产生任何不良的副作用。现在，管理员在管理Active Directory的架构方面拥有了更多的灵活性。
域的重命名本特性允许用户修改森林中现有域的DNS和（或）NetBIOS名称，同时保证经过修改的森林依然保持良好的组织结构。经过重新命名的域由它的域全局唯一ID（GUID）所代表，它的域安全ID（SID）并没有发生改变。此外，计算机的域成员关系也不会因为其所在域的名称发生变化而变化。
本特性没有包括对森林根域的修改。虽然森林的根域也可以被重命名，但是您不能指定一个其它的域来代替现有的根域而变成一个新的森林根。
域的重命名会导致服务中断，因为它要求重新启动所有的域控制器。域的重命名还需要被重命名域中的所有成员计算机都必须重新启动两次。虽然本特性为域的重命名提供了一种受支持的手段，但是它既没有被视作一种例行的IT操作，也没有成为例行操作的意图。
升级森林和域 Active Directory已经在安全性和应用程序支持方面添加了很多改进。在现有域或森林中运行Windows Server 2003操作系统的第一台域控制器得到升级之前，森林和域必须为这些新的功能特性做好准备。Adprep便是一个新的工具，用来帮助用户准备森林和域的升级。如果您是从Windows NT 4.0进行升级，或者在运行Windows Server 2003的服务器上执行Active Directory的全新安装，那么您不需要使用Adprep工具。
复制和信任监视 本功能允许管理员对域控制器之间是否成功地复制了信息加以监视。因为很多Windows组件（例如Active Directory复制）都依赖于域间的相互信任，本特性还为信任关系正确发挥作用提供了一种方法。

⑵ 什么是活动目录，它有哪些部分组成，各部分又有怎样的含义

活动目录（Active Directory）是面向Windows Standard Server、Windows Enterprise Server以及 Windows Datacenter Server的目录服务。活动目录服务是Windows 2000操作系统平台的中心组件之一。理解活动目录对于理解Windows 2000的整体价值是非常重要的。这篇关于活动目录服务所涉及概念和技术的介绍文章描述了活动目录的用途，提供了对其工作原理的概述，并概括了该服务为不同组织和机构提供的关键性商务及技术便利。

Active Directory简介

活动目录（Active Directory）是面向Windows Standard Server、Windows Enterprise Server以及 Windows Datacenter Server的目录服务。（Active Directory不能运行在Windows Web Server上，但是可以通过它对运行Windows Web Server的计算机进行管理。）Active Directory存储了有关网络对象的信息，并且让管理员和用户能够轻松地查找和使用这些信息。Active Directory使用了一种结构化的数据存储方式，并以此作为基础对目录信息进行合乎逻辑的分层组织。
Microsoft Active Directory 服务是Windows 平台的核心组件，它为用户管理网络环境各个组成要素的标识和关系提供了一种有力的手段。

目录形式的数据存储

人们经常将数据存储作为目录的代名词。目录包含了有关各种对象 [例如用户、用户组、计算机、域、组织单位（OU）以及安全策略] 的信息。这些信息可以被发布出来，以供用户和管理员的使用。
目录存储在被称为域控制器的服务器上，并且可以被网络应用程序或者服务所访问。一个域可能拥有一台以上的域控制器。每一台域控制器都拥有它所在域的目录的一个可写副本。对目录的任何修改都可以从源域控制器复制到域、域树或者森林中的其它域控制器上。由于目录可以被复制，而且所有的域控制器都拥有目录的一个可写副本，所以用户和管理员便可以在域的任何位置方便地获得所需的目录信息。
目录数据存储在域控制器上的Ntds.dit文件中。我们建议将该文件存储在一个NTFS分区上。有些数据保存在目录数据库文件中，而有些数据则保存在一个被复制的文件系统上，例如登录脚本和组策略。
有三种类型的目录数据会在各台域控制器之间进行复制：
·域数据。域数据包含了与域中的对象有关的信息。一般来说，这些信息可以是诸如电子邮件联系人、用户和计算机帐户属性以及已发布资源这样的目录信息，管理员和用户可能都会对这些信息感兴趣。
例如，在向网络中添加了一个用户帐户的时候，用户帐户对象以及属性数据便被保存在域数据中。如果您修改了组织的目录对象，例如创建、删除对象或者修改了某个对象的属性，相关的数据都会被保存在域数据中。
·配置数据。 配置数据描述了目录的拓扑结构。配置数据包括一个包含了所有域、域树和森林的列表，并且指出了域控制器和全局编录所处的位置。
·架构数据。架构是对目录中存储的所有对象和属性数据的正式定义。Windows Server 2003提供了一个默认架构，该架构定义了众多的对象类型，例如用户和计算机帐户、组、域、组织单位以及安全策略。管理员和程序开发人员可以通过定义新的对象类型和属性，或者为现有对象添加新的属性，从而对该架构进行扩展。架构对象受访问控制列表（ACL）的保护，这确保了只有经过授权的用户才能够改变架构。

活动目录功能

活动目录(Active Directory)主要提供以下功能：
①基础网络服务：包括DNS、WINS、DHCP、证书服务等。
②服务器及客户端计算机管理：管理服务器及客户端计算机账户，所有服务器及客户端计算机加入域管理并实施组策略。
③用户服务：管理用户域账户、用户信息、企业通讯录（与电子邮件系统集成）、用户组管理、用户身份认证、用户授权管理等，按省实施组管理策略。
④资源管理：管理打印机、文件共享服务等网络资源。
⑤桌面配置：系统管理员可以集中的配置各种桌面配置策略，如：界面功能的限制、应用程序执行特征限制、网络连接限制、安全配置限制等。
⑥应用系统支撑：支持财务、人事、电子邮件、企业信息门户、办公自动化、补丁管理、防病毒系统等各种应用系统。

Active Directory升级方法

在windwons server上启用AD的方法：
1、打开运行对话框
2、在运行对话框里输入dcpromo，进入AD安装向导

Active Directory和安全性

安全性通过登录身份验证以及目录对象的访问控制集成在Active Directory之中。通过单点网络登录，管理员可以管理分散在网络各处的目录数据和组织单位，经过授权的网络用户可以访问网络任意位置的资源。基于策略的管理则简化了网络的管理，即便是那些最复杂的网络也是如此。
Active Directory通过对象访问控制列表以及用户凭据保护其存储的用户帐户和组信息。因为Active Directory不但可以保存用户凭据，而且可以保存访问控制信息，所以登录到网络上的用户既能够获得身份验证，也可以获得访问系统资源所需的权限。例如，在用户登录到网络上的时候，安全系统首先利用存储在Active Directory中的信息验证用户的身份。然后，在用户试图访问网络服务的时候，系统会检查在服务的自由访问控制列表（DCAL）中所定义的属性。
因为Active Directory允许管理员创建组帐户，管理员得以更加有效地管理系统的安全性。例如，通过调整文件的属性，管理员能够允许某个组中的所有用户读取该文件。通过这种办法，系统将根据用户的组成员身份控制其对Active Directory中对象的访问操作。

Active Directory 的架构

简述
Active Directory的架构（Schema）是一组定义，它对能够存储在Active Directory中的各种对象——以及有关这些对象的各种信息——进行了定义。因为这些定义本身也作为对象进行存储，Active Directory可以像管理目录中的其它对象一样对架构对象加以管理。架构中包括了两种类型的定义：属性和分类。属性和分类还可以被称作架构对象或元数据。
分类
分类，又称对象分类，描述了管理员所能够创建的目录对象。每一个分类都是一组对象的集合。在您创建某个对象时，属性便存储了用来描述对象的信息。例如，“用户”分类便由多个属性组成，其中包括网络地址、主目录等等。Active Directory中的所有对象都是某个对象分类的一个实例。
架构的扩展
有经验的开发人员和网络管理员可以通过为现有分类定义新的属性或者定义新的分类来动态地扩展架构。
架构的内容由充当架构操作主控角色的域控制器进行控制。架构的副本被复制到森林中的所有域控制器上。这种共用架构的使用方式确保了森林范围内的数据完整性和一致性。
此外，您还可以使用“Active Directory架构”管理单元对架构加以扩展。为了修改架构，您必须满足以下三个要求：
· 成为“Schema Administrators”（架构管理员）组的成员
· 在充当架构操作主控角色的计算机上安装“Active Directory架构”管理单元
· 拥有修改主控架构所需的管理员权限
在考虑对架构进行修改时，必须注意以下三个要点：
· 架构扩展是全局性的。 在您对架构进行扩展的时候，您实际上扩展了整个森林的架构，因为对架构的任何修改都会被复制到森林中所有域的所有域控制器上。
· 与系统有关的架构分类不能被修改。您不能修改Active Directory架构中的默认系统分类；但是，用来修改架构的应用程序可能会添加可选的系统分类，您可以对这些分类进行修改。
· 对架构的扩展不可撤销。某些属性或者分类的属性可以在创建后修改。在新的分类或者属性被添加到架构中之后，您可以将它置于非激活状态，但是不能删除它。但是，您可以废除相关定义并且重新使用对象标识符（OID）或者显示名称，您可以通过这种方式撤销一个架构定义。
有关架构修改的更多信息，请通过参阅 Microsoft Windows 资源工具包 。
Active Directory不支持架构对象的删除；但是，对象可以被标记为“非激活”，以便实现与删除同等的诸多益处。

⑶ 谁知道怎么样设置活动目录

活动目录介绍及安装
一、活动目录介绍
（一）目录服务
目录，是一个数据库，存贮了网络资源相关的信息，包括了资源的位置、管理等信息。
目录服务 是一种网络服务，目录服务标记管理网络中的所有实体资源（比如计算机、用户、打印机、文件、应用等），并且提供了命名、描述、查找、访问以及保护这些实体信息的一致的方法，使网络中的所有用户和应用都能访问到这些资源。
（二）活动目录（Active Directory）
活动目录 是Windows 2000完全实现的目录服务，也是Windows 2000网络体系的基本结构模型，是Windows 2000网络操作系统的核心支柱，也是中心管理机构。
Microsoft在Windows 2000中提供的活动目录是一个全面的目录服务管理方案，也是一个企业级的目录服务，具有很好的可伸缩性。活动目录采用了Internet的标准协议，它与操作系统紧密地集成在一起。活动目录不仅可以管理基本的网络资源，比如计算机对象、用户账户、打印机等，它也充分考虑了现代应用的业务需求，为这些应用提供了基本的管理对象模型，比如用户账户对象具有办公电话、手机、呼机、住址、上司、下属、电子邮件等属性。几乎所有的应用可以直接利用系统提供的目录服务结构，而且活动目录也具有很好的扩充能力，允许应用程序定制目录中对象的属性或者添加新的对象类型。
（三）活动目录的用处
（四）活动目录的逻辑结构
活动目录的逻辑结构非常灵活，它为活动目录提供了完全的树状层次结构视图，逻辑结构与前面我们讨论过的名字空间有直接的关系。逻辑结构为用户和管理员查找、定位对象提供了极大的方便。活动目录中的逻辑单元包括：域、组织单元（Organizational Unit，简称OU）、域树、域森林。

1、 域（Domain）
域 既是Windows网络系统的逻辑组织单元，也是Internet的逻辑组织单元，在Windows 2000系统中，域是安全边界。域管理员只能管理域的内部，除非其他的域显式地赋予他管理权限，他才能够访问或者管理其他的域。每个域都有自己的安全策略，以及它与其他域的安全信任关系。
2、 OU(Organizational Unit)
OU 是一个容器对象，我们可以把域中的对象组织成逻辑组，所以OU纯粹是一个逻辑概念，它可以帮助我们简化管理工作。OU可以包含各种对象，比如用户账户、用户组、计算机、打印机，甚至可以包括其他的OU。所以我们可以利用OU把域中的对象形成一个完全逻辑上的层次结构，对于一个企业来讲，我们可以按部门把所有的用户和设备组成一个OU层次结构，也可以按地理位置形成层次结构，还可以按功能和权限分成多个OU层次结构。由于OU层次结构局限于域的内部，所以一个域中的OU层次结构与另一个域中的OU层次结构完全独立。

3、 树
当多个域通过信任关系连接起来之后，所有的域共享公共的表结构(schema) 、配置和全局目录(global catalog)，从而形成 域树 。域树由多个域组成，这些域共享同一个表结构和配置，形成一个连续的名字空间。树中的域通过信任关系连接起来。活动目录包含一个或多个域树。

4、 森林
域森林 是指一个或多个没有形成连续名字空间的域树。域林中的所有域树共享同一个表结构、配置和全局目录。域林中的所有域树通过Kerberos信任关系建立起来，所以每个域树都知道Kerberos信任关系，不同域树可以交叉引用其他域树中的对象。

（五）其它
1、 域控制器(Domain Controller)
域控制器是指运行Windows 2000 Server版本的服务器，它保存了活动目录信息的副本。域控制器管理目录信息的变化，并把这些变化复制到同一个域中的其他域控制器上。域控制器也负责用户的登录过程，以及其他与域有关的操作，比如身份认证、目录信息查找等。
一个域可以有多个域控制器。规模较小的域可以只需要两个域控制器，一个实际使用，另一个用于容错性检查；规模较大的域可以使用多个域控制器。
Windows 2000的域结构与Windows NT 4的域结构不同的是，活动目录中的域控制器没有主次之分，活动目录采用了多主机复制方案，每一个域控制器都有一个可写入的目录副本。在某一个时刻，不同的域控制器中的目录信息可能有所不同，一旦活动目录中的所有域控制器执行同步操作之后，最新的变化信息就会一致。
2、 活动目录与DNS
活动目录使用域名服务DNS作为它的定位服务，同时也对标准的DNS作了扩充。在活动目录中使用DNS的最大好处在于，我们可以使Windows 2000域与Internet上的域统一起来，即Windows域名也是DNS域名。
3、Active Directory命名规范
（1）辨别名( distinguished name (DN))
活动目录中的每一个对象都会有一个唯一的辨别名DN。DN由域名、对象名组成：
DC=com/DC=contoso/OU=Users/OU=Teacher/CN=James Smith 表示用户对象James Smith在contoso.com域中的Users组织单元中的Teacher单元中．
（2） User Principal Name : 由用户登录名和域名组成，如 [email protected]
4、 域运行模式
（1） 混合模式 。混合模式的域既可以有Windows 2000的域控制器，也可以有Windows NT 4的域控制器。这是一个过渡模式，利用这种模式，我们可以对现有的系统逐步升级。但是，在混合模式下，活动目录中有些功能不能很好地发挥出来。
（2） 准模式 。活动目录的标准模式要求所有的域控制器都必须运行Windows 2000。只有在这个时候，活动目录的所有功能和特性才能充分体现出来。
Active Directory 安装
运行 Active Directory 安装向导将 Windows 2000 Server 计算机升级为域控制器会创建一个新域或者向现有的域添加其他域控制器。创建域控制器可以：
§ 创建网络中的第一个域。
§ 在树林中创建其他的域。
§ 提高网络可用性和可靠性。
§ 提高站点之间的网络性能。
要创建 Windows 2000 域，必须在该域中至少创建一个域控制器。创建域控制器也将创建该域。不可能有没有域控制器的域。如果确定用户的单位需要一个以上的域，则必须为每个附加的域至少创建一个域控制器。树林中的附加域可以是：新的子域、新域树的根。
在安装 Active Directory 前首先确定DNS服务正常工作，下面用户来安装根域为 nt2000.com 的域中第一台域控制器。
步骤1 利用配置服务器启动位于 %Systemroot%\system32 中的 Active Directory 安装向导程序 DCPromo.exe，单击"下一步"
步骤2 由于用户所建立的是域中的第一台域控制器所以选择"新域的域控制器" 单击"下一步"
步骤3 选择"创建一个新域的域目录树" ,单击"下一步"
步骤4 选择"创建一个新域的域目录林", 单击"下一步"
步骤5 在"新域的 DNS 全名"中输入要创建得域名，nt2000.com,单击"下一步
步骤6 安装向导自动将域控制器的 NetBIOS 名设置为 "nt2000" ,单击"下一步"
步骤7 显示数据库、目录文件 及Sysvol 文件的保存位置，一般不必作修改。单击"下一步"
步骤8 配置 DNS 服务,单击"下一步",（如果在安装 Active Directory 之前未配置 DNS 服务器可以在此让安装向导配置 DNS ，推荐使用这种方法。）
步骤9 为用户和组选择默认权限，考虑到现在大多数单位中仍然需要使用 Windows 2000 的以前版本，所以选择"与 Windows 2000 服务器之前版本相兼容的权限",单击"下一步
步骤10 输入以目录恢复模式下的管理员密码,单击"下一步"
步骤11 安装向导显示摘要信息,单击"下一步"开始安装如图6.7
步骤12 安装完成之后，重新启动计算机。
检验安装结果
在安装完成后，可以通过以下方法检验 Active Directory 安装正确，在安装过程中一项最重要的工作是在 DNS 数据库中添加服务记录( SRV 记录)。
1．检查 DNS 文件的SRV记录
用文本编辑器打开 %systemroot%/system32/config/ 中的 Netlogon.dns 文件，察看 LDAP 服务记录，在本例中为
_ldap._tcp.nt2000.com. 600 IN SRV 0 100 389 n2k_server.nt2000.com.
2.验证 SRV 记录在 NSLOOKUP 命令工具中运行正常
步骤1 在命令提示行下，输入 NSLOOKUP
步骤2 输入 set type=srv
步骤3 输入 _ldap._tcp.nt2000.com
如果返回了服务器名和 IP 地址，说明 SRV 记录工作正常
6.2.3 安装第二台域控制器
在安装完第一台域控制器后其域名为 nt2000.com ,在上例中该服务器用于总公司，如果由于公司扩展的需要为其新建的工厂建立自己的域名和域控制器，则用户将工厂的域名定义为 man.nt2000.com ，由于此域名与 nt2000.com 是连续的域名，所以他们组成了一个目录树，今后随着工厂的发展用户还可以在这个目录树下继续逐级添加子域（如：accounting.man.nt2000.com），如果需要添加的域名与该目录树不连续（如：nt3000.com）则用户就需要建立一个新的目录树，这样由多个目录树组成了域目录林。
在安装第二台域控制器之前，首先检验它的IP设置和DNS设置，以保证可以访问域控制器（n2k_server.nt2000.com）。
步骤1 利用配置服务器启动位于 %Systemroot%\system32 中的 Active Directory 安装向导程序 DCPromo.exe 。如图6.4，单击"下一步"
步骤2 由于用户所建立的是域中的一台域控制器所以选择"新域的域控制器" 单击"下一步"
步骤3 选择"在现有域目录树中创建一个新的子域" ,单击"下一步"
步骤4 在"网络凭据"对话框中输入上一级域的域名及具有管理员权限的用户名和密码, 单击"下一步"
步骤5 在"子域安装"对话框中输入父域域名（nt2000.com）和子域域名（man）,在下方的子域完整域名中会自动显示 man.nt2000.com,单击"下一步"
步骤6 安装向导自动将域控制器的 NetBIOS 名设置为"man",用户也可以进行修改 ,单击"下一步"
步骤7 显示数据库、目录文件及 Sysvol 文件的保存位置，一般不必作修改。单击"下一步"步骤8 为用户和组选择默认权限，考虑到现在大多数单位中仍然需要使用 Windows 2000 的以前版本，所以选择"与 Windows 2000 服务器之前版本相兼容的权限",单击"下一步"
步骤9 单击"下一步"开始安装，在重新启动后，在 n2k_server.nt2000.com 的" Active Directory 域和信任关系"中将显示新建的子域 man.nt2000.com

⑷ 配置了活动目录怎么用不了呢

活动目录之用户配置文件分类:电脑技术
关于域用户的开设在前面的文章中(如何把一台成员服务器提升为域控制器(一)、(二))已经涉及过了，所以在这里开设用户的方法就不再重复了，本篇文章主要向大家介绍一下用户配置文件。
首先，什么是用户配置文件?根据微软的官方解释:用户配置文件就是在用户登陆时定义系统加载所需环境的设置和文件和集合，它包括所有用户专用的配置设置。用户配置文件存在于系统的什么位置呢?那么用户配置文件包括哪些内容呢?来给大家看一副截图:

用户配置文件的保存位置在:系统盘(一般是C盘)下的“Documents and Settings”文件夹下，有一个和你的登陆用户名相同的文件夹，该用户配置文件就保存在这里，顺便提示一下，如果本机和域上有一个同名用户，并且都登陆过的话，那么就会出现在同名文件夹后面拖后缀的情况，举个例子:比如在一个域(demo.com)里面有一台计算机(testxp)，本地有一个swg的帐号，域上也有一个swg的帐号，并且都登陆过这台计算机，那么会发生如下情况:

本地帐号先登陆:那么本地的swg的用户配置文件夹为swg，而域用户的用户配置文件夹为swg.demo。

域帐号先登陆:那么域用户的用户配置文件夹为swg，本地用户的配置文件夹为swg.testxp。

通过上面的截图，我们可看出，用户配置文件包括桌面设置、我的文档、收藏夹、IE设置等一些个性化的配置。另外需要说明的是在“Documents and Settings”文件夹下有一个名为“All Users”的文件夹，如果你在这个文件夹下的“桌面”文件夹下新建一个文件的话，你会发现所有用户在登陆时的桌面上都有这个文件，所以这个文件夹里的配置是对这台计算机的每个用户均起作用的。

当网络变成域构架后，所有的域用户可以在任意一台域内的计算机登陆，当你在一台计算机上的用户配置文件修改后，你会发现到另一台计算机上登陆时，所有的设置还是原来的，并没有发生修改，这是因为用户的配置文件是保存在本地的，不管是域用户还是本地用户，都是保存在那台登陆的计算机上。我们可以在“我的电脑”上击“右键”，选“属性”，点“高级”，然后在“用户配置文件”里点“设置”:

请注意“类型”里用红框标出的部分，全部是“本地”，这就说明用户配置文件保存在本地，那么如何才能让用户的配置文件随着帐号走，也就是不管用户在哪台计算机上登陆都能保持用户配置文件一致呢?为了解决这个问题，就要用到漫游用户配置文件，原理就是把用户配置文件保存在一个网络的公共位置，当用户在计算机上登陆里，会从网络公共位置把用户配置文件下载到本地并加以应用，然后当用户注销时，会把本地的用户配置文件同步到网络公共位置，以保证公共位置用户配置文件的有效性，以便下一次使用。那么如何来实现这个功能呢?现在就来实践一下:

首先，要在一个网络的公共位置开设一个共享文件夹，用来存放用户配置文件，在个实验里，就在域控制器上开设一个为share的共享文件夹，并开放权限:

然后，点击“开始-设置-控制面板-管理工具”，双击“AD用户和计算机”，并选中相应的用户，这里以“swg”帐号为例:

在“swg”帐号上双击，然后选“配置文件”，在“用户配置文件-配置文件路径”里输入:\\192.168.5.1\share\%username%，“192.168.5.1”是域控制器的IP地址，如下图所示:

然后点确定，接下去就到客户端去，用“swg”帐号登陆一下，看看会发生什么变化。

如上图所示，DEMO\swg的状态由刚刚的“本地”变成了“漫游”，此时注销一下用户，那么就会自动的将该用户的本地用户配置文件同步到网络公共位置，如果再用“swg”到另外的域内计算机上去登陆的话，会发现所有的用户配置文件和这台计算机上是一样的。那么服务器上发生了些什么变化呢?

如上图所示，服务器的“share”文件夹里会自动创建一个和用户名一样的“swg”文件夹，默认情况下这个文件夹只允许对应的用户打开:

画面很熟悉吧?

目前很多公司的IT Pro都有共同的感叹，就是用户喜欢把自己的桌面什么的搞得乱七八糟，虽然通过组策略可以限制掉一部份，但总觉得不是很完善，在这里，向大家推荐使用强制用户配置文件，用户可以对自己个人配置文件任意修改，但是一旦注销后，这些修改将不会被保存，这样用户下次登陆里，用户的配置文件还是保持和原来一样，那么如何实现这个功能呢?其实只要将用户配置文件夹下的“Ntuser.dat”改成“Ntuser.man”就可以了，来看一下修改过程:

首先，在显示隐藏文件和已知文件的扩展名，可以在“工具-文件夹选项-查看”里进行修改：

~

点“确定”后，就可以在看到那个“Ntuser.dat”文件了，但此时会有一个问题，如果去修改C:\Documents and Settings\swg下的“Ntuser.dat”，会发现根本没有办法修改这个文件，因为文件在使用中，无法修改;如果去修改网络公共位置的“Ntuser.dat”，也就是\\192.168.5.1\share\swg下的“Ntuser.dat”，修改当然可以修改，但是由于在“swg”用户注销的时候，本地的“Ntuser.dat”会把网络公共位置的“Ntuser.man”覆盖掉，也就是等于没有修改。很多人都想直接在服务器上更改 “swg”文件夹的所有者，然后给管理员帐号添加权限，这样就可以直接在服务器上把“Ntuser.dat”改掉，但本人实践过几次，都发现这样的操作会引起一些权限无法继承，而导致出错的情况，所以不建议大家使用，这里推荐一种方法:

先把“swg”帐号注销掉，然后用另外一个帐号登陆，比如管理员，当然，如果在登陆成功后直接去访问\\192.168..5.1\share\swg以试图修改的话，那么你将会感到失望，因为还是拒绝访问的，那么如何访问并修改呢，可以这样操作，“开始-运行-cmd”然后回车，这样就启动了命令行，在命令行下输入:net use \\192.168.5.1 password /user:swg，显示“命令成功完成”，这样就利用“swg”和服务器建立一个连接，此时就可以\\192.168.5.1\share\swg，里进行修改了，

然后再注销管理员帐号，用“swg”登陆，看看有没有成功:

看到了吧，类型由“漫游”变成了“强制”，现在可以在桌面这些地方进行任意的修改，你会发现注销再登陆，又恢复到了原样。这种设置在多人使用同一个帐号的情况下非常有用。

最后再请大家注意两个问题:

1、 在配置强制用户配置文件时，当用其它用户登陆修改时，请保证被修改的用户处于注销状态，为什么?大家不妨自己想一想!

2、 当使用漫游用户配置文件时，请不要在桌面等地方存放一些大型的程序或文件，因为用户在登陆和注销过程中会下载和上传配置文件，如果文件过大，会影响登陆和注销的速度。

⑸ 活动目录的功能

活动目录(Active Directory)主要提供以下功能：
①服务器及客户端计算机管理：管理服专务器及客户端计算机账户，所属有服务器及客户端计算机加入域管理并实施组策略。
②用户服务：管理用户域账户、用户信息、企业通讯录（与电子邮件系统集成）、用户组管理、用户身份认证、用户授权管理等，按省实施组管理策略。
③资源管理：管理打印机、文件共享服务等网络资源。
④桌面配置：系统管理员可以集中的配置各种桌面配置策略，如：用户使用域中资源权限限制、界面功能的限制、应用程序执行特征限制、网络连接限制、安全配置限制等。
⑤应用系统支撑：支持财务、人事、电子邮件、企业信息门户、办公自动化、补丁管理、防病毒系统等各种应用系统。

⑹ 如何安装和配置活动目录

安装活动目录：
在运行中输入 dcpromo
然后一步一步根据提示操作，

⑺ 活动目录中用户配置文件漫游的基本原理是什么

如何才能让用户的配置文件随着帐号走，也就是不管用户在哪台计算机上登陆都能保持用户配置文件一致呢?为了解决这个问题，就要用到漫游用户配置文件，原理就是把用户配置文件保存在一个网络的公共位置，当用户在计算机上登陆里，会从网络公共位置把用户配置文件下载到本地并加以应用，然后当用户注销时，会把本地的用户配置文件同步到网络公共位置，以保证公共位置用户配置文件的有效性，以便下一次使用。

http://hi..com/lits2000/item/f53d08e95c01c0374ddcafdd

⑻ 什么是活动目录活动目录安装前，应该做什么样的准备工作

你好楼主！
你是要创建域吧
活动目录 AD （active directory）既是一种目录，也是一种服务
域与活动目录是密不可分的，要创建域要注意以下几点：
1 创建者是本地管理员权限
2 操作系统是windows server 2008 （除web版）（srever2003 也是可以的，不过你要确保你创建的是新域，或域林中没有2003以上的域控)
3 至少有一个NTFS分区
4 配置你的TCP/IP设置
5 有相应的DNS服务支持
6 又足够空间
在命令提示符下输入 dcpromo 更具提示一步一步操作即可。
希望帮到你！

⑼ 名词解释：目录服务，活动目录，域，ou,安全组，通信组，本地域组，全局组，通用组，用户配置文件

目录服务：
网络上,特别是互联网中有各型各类的主机,有各种各样的资源, 这些东西杂散在网络中, 需要有一定的机制来访问这些资源, 得到相关的服务, 于是就有了目录服务.早期的目录服务主要是提供文件检索, NOVELL就是广为使用的目录服务器系统; 随着互联网的发展, 网站的定位又成了难题, 于是有了DNS服务,它也是典型的目录服务,即帮你做域名与IP地址之间的转换. 楼上说的NETMEETING, 也是目录服务器的服务内容之一, 对NetMetting来说,其目录服务器主要是帮助定位用户状态信息的.

活动目录：活动目录包括两个方面：目录和与目录相关的服务。目录是存储各种对象的一个物理上的容器，从静态的角度来理解这活动目录与我们以前所结识的“目录”和“文件夹”没有本质区别，仅仅是一个对象，是一实体；而目录服务是使目录中所有信息和资源发挥作用的服务，活动目录是一个分布式的目录服务，信息可以分散在多台不同的计算机上，保证用户能够快速访问，因为多台机上有相同的信息，所以在信息容氏方面具有很强的控制能力，正因如此，不管用户从何处访问或信息处在何处，都对用户提供统一的视图。
域：网络中的域是一个应用的范围，在这个范围内的用户有一定的访问权限而不在域中的用户会受到域权限的控制而不能访问一些东西
OU：OU(Organizational Unit，组织单位)是可以将用户、组、计算机和其它组织单位放入其中的AD容器，是可以指派组策略设置或委派管理权限的最小作用域或单元。通俗一点说，如果把AD比作一个公司的话，那么每个OU就是一个相对独立的部门。
用户配置文件：用户配置文件就是在用户登录时定义系统加载所需环境的设置和文件的集合。它包括所有用户专用的配置设置，如程序项目、屏幕颜色、网络连接、打印机连接、鼠标设置及窗口的大小和位置。
本地域组：具有本地域作用的组的使用范围是本域。通常是针对本域的资源创建本地域组。本地域组具有所属域的访问权限，以便访问本域的资源。本地域组的成员可以是同一个域的本地域组，也可以是任何域内的账户、全局组和通用组，他们能访问的资源只是该本地域组所在域的资源。

全局组：全局组主要是用来组织用户的。全局组内可以包含同一个域的用户账户与全局组，可以访问任何一个域内的资源。
通用组：通用组的使用范围是整个林和信任域。通用组可以访问任何一个域内的资源，通用组可以包含所有域内的用户账户、全局组和通用组。