【实验目的】1、理解域的概念，掌握AD的安装方法。

2、掌握加入和退出域的方法。

3、掌握域用户的管理和配置，组的规划和建立。

4、了解Windows Server 2003域用户和本地用户的区别。

5、理解组的概念和作用，认识组的类型。

【实验内容】1、练习AD的安装方法，2、练习加入和退出域的方法。

3、练习域用户的管理和配置，组的规划和建立【实验器材】两台PC，一台作为域控制器DC（PC1），另一台客户机（PC2）需要加入到域中。

【实验步骤】一、安装活动目录1、将要作为控制器DC的PC上运行DCPromo。

单击［下一步］。

2、由于所建立的是域中的第一台域控制器，所以选择［新域的域控制器］单击［下一步］。

3、选择［创建一个新域的域目录树］，单击［下一步］。

4、选择［创建一个新域的域目录林］，单击［下一步］。

5、在［新域DNS全名］中输入要创建的域名tlpt+学号后两位.com（如学号2，DNS全名为tlpt02），单击［下一步］。

6、安装向导自动将域名控制器的NetBIOS名设置为“tlpt+学号后两位”，单击［下一步］。

7、显示数据库、目录文件及 Sysvol文件的保存位置，一般不必做做修改，单击［下一步］。

8、配置DNS服务器，单击［下一步］；如果在安装 Active Directory之前未配置DNS 服务器可以在此让安装向导配置DNS，推荐使用这种方法。

9、为用户和组选择默认权限；单击［下一步］10、输入以目录恢复模式下的管理员密码，单击［下一步］。

11、安装向导显示摘要信息，单击［下一步］。

12、安装完成，重新启动计算机。

13、设置DNS。

（由于在AD配置过程中，默认把本机IP作为DNS的IP，所以我们在DNS服务器中要填写上本机IP）。

14、进入系统后，右键单击“我的电脑”，在“计算机名”栏能看到完整的计算机域名。

二、加入和退出域将PC2加入到刚新建的域中1、打开PC2的“本地连接状态”对话框，打开TCP/IP属性设置对话框，在“首选DNS 服务器”输入DNS的IP (域控制器PC1的IP)，单击“确定”完成。

2、加入域。

右键单击“我的电脑”，然后单击“计算机名”栏，再单击“更改”按钮，出现“计算机名称更改”对话框，在“隶属于”一栏选中“域”，并输入：tlpt+学号后两位.com。

3、单击“其他”按钮，在“此计算机的主DNS后缀”输入：tlpt+学号后两位.com，选中“在域成员身份变化时，更改主DNS后缀”，单击“确定”，4、在出现要求输入有权限加入域的用户名和密码，这里我们可以输入管理员的用户名和密码，单击“确定”，十几秒钟后就会有加入域成功的提示。

把加入域的服务器脱离所在的域1、右键单击“我的电脑”，然后单击“计算机名”栏，再单击“更改”按钮，出现“计算机名称更改”对话框，在“隶属于”一栏选中“工作组”，并输入：WORKGROUP。

2、单击“其他”按钮，在“此计算机的主DNS后缀”删除：tlpt+学号后两位.com，单击“确定”。

3、点击“确定”，会出现要求输入有权限管理域的用户名和密码，这里我们可以输入管理员的用户名和密码，单击“确定”，十几秒钟后就会有退出域成功的提示。

降级域控制器：当把服务器升级为域控制后，密码的复杂度就会自动启用1、进入安全策略管理：打开“开始”-〉“管理工具”-〉“域安全策略”：把密码复杂性要求策略设置选为“已禁用”；把密长度最小值设为0，密码最短使用期限设为0天。

2、准备降域在“运行”中输入gpupdate /force，进行组策略更新（一般要更新两次）。

在运行中输入dcpromo，进行降域，单击“下一步”按钮，单击“下一步”按钮。

输入密码后（注意此处要求输入的密码为以后本机的开机密码），单击“下一步”按钮。

完成后重新启动后，原来的域控制器就变成了独立服务器。

三、域用户帐号和组的新建与管理1、添加用户帐号步骤 1 首选启动 Active Directory 用户和计算机管理器→单击 User 容器会看到在安装 Active Directory 时自动建立的用户帐号。

步骤 2 单击操作→新建→用户→在创建新对象对话框中输入用户的姓名（学生名）、登录名（姓名拼音01），其中的下层登录名是指当用户从运行 WindowsNT/98 等以前版本的操作系统的计算机登录网络所使用的用户名。

步骤 3 在密码对话框中输入密码或不填写密码并选择“用户下次登录时须更改密码”选项，以便让用户在第一次登录时修改密码步骤 4 在完成对话框中会显示以上设置的信息，单击完成这时用户会在管理器中看到新添加的用户同上再创建另一用户，登录名为姓名拼音02。

2. 管理用户账户（1）、输入用户的信息：在用户属性对话框中的常规标签中可以输入有关用户的描述、办公室、电话、电子邮件地址及个人主页地址；在地址标签中输入用户的所在地区及通信地址；在电话/备注标签中输入有关用户的家庭电话、寻呼机、移动电话、传真、IP 电话及相关备注信息。

这样便于用户以后在活动目录中查找用户并获得相关信息。

用户环境的设置：用户可以设置每一个用户的环境，如用户配置文件、登录脚本、宿主目录等，这些设置根据实际情况而定。

（2）、设置用户登录时间：设置姓名拼音01的帐户每周一至周五的8：00-18：00可以登录域。

在帐户标签中单击“登录时间”按钮，出现如图对话框所示，图中横轴每个方块代表一小时，纵轴每个方块代表一天，蓝色方块表示允许用户使用的时间，空白方块表示该时间不允许用户使用，默认为在所有时间均允许用户使用。

在用户（Mark Lee）的登录时段对话框中，选择不允许登录的时间段单击“拒绝登录”，当用户在允许登录的时间段内登录到网络中，并且一直持续到超过允许登录的时间时，用户可以继续连接使用，但不允许作新的连接，如果用户注销后，则无法再次登录。

（3）、限制用户由某台客户机登录：设置姓名拼音02的帐户，不允许登录到DC上。

单击“登录到”按钮出现如图对话框所示，在默认情况下用户可以从所有的客户机登录，也可以设置让用户从某些工作站登录，设置时输入计算机的计算机名称（NetBIOS名），然后单击添加按钮，这些设置对于非 WindowsNT/2003工作站是无效的，如用户可以不受限制的从任何一台DOS、Windows 客户机登录。

（4）、设置帐户的有效期限：设置姓名拼音02的帐户有效期为三个月。

在帐户并且的下方，用户可以选择帐户的使用期限，在默认情况下帐户是永久有效的，但对于临时员工来说，设置帐户的有效期限就非常有用，在有效期限到期后，该帐户被标记为失效，默认为一个月。

（5）、管理用户帐户：在创建用户帐号后，可以根据需要对帐户进行密码重新设置、修改、重命名等操作。

A、重设密码：选择用户帐户→操作→重设密码，在密码设置对话框中输入新的密码，如果要求用户在下次登录时修改密码则选中“用户下次登录时须更改密码”选项。

帐户的移动：选择用户帐号→操作→移动，在移动对话框中选择相应的容器或组织单位。

B、重命名：选择帐户→操作→重命名，更改用户的名称，对内置的帐户也可以更改，（如更改系统管理员的帐户名称，这样有利于提高系统的安全性），在更改名称后，由于该帐户的安全标识 SID 并未被修改，所以，其帐户的属性、权限等设置均未发生改变。

C、删除帐户：选择帐户→操作→删除，用户可以一次删除一个或多个帐户，在删除帐户后如再添加一个相同名称的帐户，由于 SID 的不同，它无法继承已被删除帐户的属性和权限。

3、组的管理创建组1、打开“Active Directory 用户和计算机”，在控制台树中，双击域节点，右键单击“Users”，指向“新建”，然后单击“组”，键入新组的名称（jsj）。

2 单击所需的"组作用域"；单击所需的"组类型"。

注意：如果用户目前创建的组所属的域处于混合模式，则只能选择具有“域本地”或“全局”作用域的安全组。

2、指定用户隶属的组：在用户“属性”对话框中单击“隶属于”标签，可以查看到当前用户隶属于那些组，如要将用户添加到其它的组中则单击添加按钮，出现如下图所示的对话框，单击“高级”，再单击“立即查找”，在下方的窗体中选择需要添加的组（可以按住Shift 或Ctrl 键，利用鼠标选择多个组），然后单击添加按钮则所选的组会出现在下方的窗体中，单击确定，将你所创建的姓名拼音01、姓名拼音02添加到jsj组。

如果需要将用户从他所属的指定组中删除，则在成员属于窗体中选择该组，单击删除按钮。

注意，用户帐号至少隶属于一个组，该组被称为主要组，这个主要组必须是一个全局组且它不可删除。

3、对组的另一项重要操作是，将资源访问权限指派给本地域组。

将jsj组赋予权限。

打开“开始”→“打印机和传真”，打开打印机和传真的属性，安全选项卡，添加希望指派的组并赋予一定的权限即可。

以后若有用户加入该组，系统会自动赋予给新加入的成员打印的权限。

【思考题】1、在命令行用什么命令可以启动AD安装向导？2、如何操作域的降级？【实验感想及遇到的问题】。