Active Directory 高级应用1.新建域控制器首先，先安装一个全新的windows server 2003 企业版，用管理员登陆装域之前我们先看一下机器的配置情况，先查看一下计算机名，鼠标右键我的电脑-属性，打开系统属性选项卡，点击计算机名标签，这里计算机名为dc,环境是工作组WORKGROUP，因为还没有加入域，所以这里显示的是工作组我们再来查看一下计算机的IP设置情况，鼠标右键网上邻居-属性，打开网络连接窗口，鼠标右键本地连接-属性，打开本地连接属性，选择Internet协议(tcp/ip)点属性，打开Internet协议(tcp/ip)属性选项卡，这里我们把IP设置为192.168.2.1,子网掩码255.255.0.0，DNS设置为192.168.2.1好了，准备工作已经做好了，现在我们开始安装AD拉，还有一点要注意，安装AD时会用到系统安装光盘，所以我们现在把系统盘装入光驱，现在开始装DC，点击开始-运行，输入dcpromo,确定这是欢迎向导界面，点击下一步这是操作系统兼容性，点击下一步这里是选择域控制器类型，因为我们这里是域中的第一台域控制器，所以我们选新域的域控制器，点击下一步我们选在新林中的域，点击下一步这里让我们添入新的域名，我们在新域的DNS全名里写入,点击下一步这里让我们添写域的NetBIOS域名，直接默认就好了，点击下一步这里让我们选择数据库文件夹和日志文件夹的安装目录，默认就好了，当然这里我们也能够更改，如果C盘够大直接默认就好拉，这里我就不修改了，点击下一步这里让我们选择共享的系统卷的保存位置，默认好拉，点击下一步这里已经运行了一次DNS注册诊断，因为我们之前没有安装DNS服务器，所以诊断结果是没有在超时间隔以内响应，这里我们选择第2项，在这台计算机上安装并配置DNS服务器，并讲这台DNS服务器设为这台计算机的首先DNS服务器，这也是我们在安装AD之前配置IP时为什么把DNS添写自己的IP，点击下一步这里让我们选择操作系统的兼容权限，如果我们的客户机都是2000版本以上我们选择第2项，只与windows 2000或windows server 2003操作系统兼容的权限，点击下一步这里让我们输入目录服务还原模式的管理员密码，如果AD意外损坏了，我们需要还原AD，还原是需要密码的，这里我们输入一个密码，这里的密码不用与管理员的密码相同，只是作为AD还原使用，密码不要忘了，要不万一需要还原时我们还原不了拉，点击下一步这里显示了之前我们配置的相关信息，点击下一步开始安装了，我们稍等几分钟就会安装完成AD安装完成拉，我们点击完成这里问我们是否立即重新启动，我们选择立即重新启动这是重新启动之后登陆界面，我们点击选项会看到多出来个登陆到，这里我们选择zhen，输入管理员密码，点击确定，登陆计算机登陆后我们鼠标右键我的电脑-属性-计算机名，查看一下，完整的计算机名已经变为,工作组也换成了域。
我们再来看一下其他的变化，点击开始-管理工具这里我们可以看到关于AD的多出来了3项，分别是AD用户和计算机、AD域和信任关系、AD站点和服务，紧接着在下面也会看到多出来个DNS，因为我们在装AD时也把DNS装上了，AD是需要DNS支持的。
我们点击AD用户和计算机展开，点击Users,我们可以在这里创建用户了。
好了，这里我们已经把DC制作完成了，但装完AD并不是目的，我们接下来看看如何把一个客户机加入到的域中。
2.客户机加入到域首先，打开计算机，这里，我的客户机也是一个2003操作系统，我们也可以用2000、XP操作系统做客户机，方法跟以下演示一样。
用管理员登陆客户机鼠标右键网上邻居-属性，打开网络连接窗口，鼠标右键本地连接-属性，打开本地连接属性，选择Internet协议(tcp/ip)点属性，打开Internet协议(tcp/ip)属性选项卡，这里我们把IP设置为192.168.2.2,子网掩码255.255.0.0，DNS设置为192.168.2.1查看一下客户机和DC之间连接情况，点击开始-运行，输入cmd打开命令提示符这里我们输入ping 192.168.2.1,查看一下客户机和DC连通情况好了，客户机前期准备工作已经完成，我们接下来再做一下DC的配置。
在dc这台计算机上，打开AD用户和计算机，展开，鼠标右键USERS-新建-用户这里我们新建一个add用户，点击下一步，输入此用户登陆客户机的密码，然后点下一步-完成，完成add用户创建。
然后鼠标右键域名-委派控制出现欢迎使用控制委派向导界面，点击下一步这里我们点添加，然后把刚才新建的add用户添加进去，然后下一步在要委派的任务选项卡里，我们在委派下列常见任务里选择第一项，将计算机加入到域，然后点下一步-完成。
这里，服务器端配置也已经完成，接下来我们开始将工作组计算机加入到域中吧右击工作组计算机Client的我的电脑-属性，打开系统属性选项卡，选择计算机名标签点击更改按钮，打开计算机名称更改选项卡，在隶属于中选择域，并在域中添入要加入的域名点确定，出现一个请输入有加入该域权限的帐户的名称和密码对话框，在这里我们输入具有加入该域权限的帐户和密码即刚才被委派的用户add和其密码，点确定加入域成功后会出现欢迎画面，点确定要使更改生效，必须重新启动计算机，我们点确定重启计算机重启计算机后会出现上面登陆画面，我们输入add用户，点登陆到的下拉箭头，我们选zhen，此时，客户机已经加入到域中拉，我们就可以登陆到域中来拉，添入相应信息后，我们点确定登陆计算机。
登陆后我们点开始-鼠标右键我的电脑-属性，打开系统属性选项卡我们点计算机名标签这里我们可以看到完整计算机名称变成了 域 ,并且更改按钮已经变成了灰色，我们已经不能更改客户机的计算机名称了。
此时，已经成功完成了工作组计算机加入到域。
3．辅助域控制器前面已经向大家介绍了如何安装AD和将工作组计算机加入到域，接下来我将向大家介绍如何安装辅助域控制器。
在安装辅助域控制器之前我们先做一下准备工作，首先，打开主域控制器，也就是刚才安装AD的计算机，然后我们打开一个全新的工作组计算机，当然这个计算机可以是2000、XP、2003中任意一款操作系统，这里我向大家演示的还是一台装有2003操作系统的工作组计算机。
用管理员登陆这台准备做辅助域控制器的工作组计算机我们先查看一下计算机名，右键我的电脑-属性-计算机名完整的计算机名称为second 工作组 WORKGROUP，接下来我们更改一下计算机的IP 地址和DNS信息。
鼠标右键网上邻居-属性，打开网络连接窗口，鼠标右键本地连接-属性，打开本地连接属性，选择Internet协议(tcp/ip)点属性，打开Internet协议(tcp/ip)属性选项卡，这里我们把IP设置为192.168.2.3,子网掩码255.255.0.0，DNS 设置为192.168.2.1。
注意，这里DNS我们写主域控制器的IP地址，因为DNS服务在主域控制器这台计算机上接下来我们再检查一下与主域控制器的连通性，点开始-运行,输入CMD，打开命令提示符这里我们ping主域控制器的IP地址192.168.2.1，已经连通了。
提醒一下，做辅助域控制器也需要2003的系统安装光盘，现在我们把安装光盘装如光驱中。
现在，我们前期准备工作已经就绪，马上我们就开始安装辅助域控制器拉。
点开始-运行里输入dcpromo，确定这是AD安装向导，我们点下一步这是操作系统兼容性介绍，我们点下一步在域控制器类型里我们选第2项，现有域的额外域控制器，因为我们要做的是第2台域控制器也就是辅助域控制器，所以这里我们选第2项，点下一步这里让我们输入具有权限的用户帐户，我们输入管理员administrator和密码，在域里我们写，因为我们要创建一个作为的辅助域控制器，点下一步这里让我们输入现有域的域名，现在只有这个域，我们在这里就输入,或者点浏览选择这个域，点下一步这里让我们选择一个路径来安装数据库文件夹和日志文件夹，默认是安装到c:\windows\ntds目录下，这个路径我们也可以更改，如果C盘空间足够大，我们默认就好了，这里我们不做修改，点下一步这里让我们输入一个存放sysovol系统卷的路径，我们默认好了，点下一步这里出现了让我们输入一个目录服务还原模式的管理员密码，前面已经介绍，这里不再多说，输入一个密码，点下一步摘要信息，这里列出来之前我们做选择的配置，查看一下有无错误，没有错误我们点下一步现在开始安装了，稍等几分钟就会安装完成这是安装完成向导，我们点完成点立即重新启动，重启计算机这是重启后的登陆界面，现在除了管理员我们还没有任何用户可以登陆此辅助域控制器，所以我们得在主域控制器里创建一个用户来管理这台辅助域控制器，现在让我们回到主域控制器这台计算机，打开AD用户和计算机来创建一个用户新建一个用户assistant现在让我们回到辅助域控制器这台计算机，试着让assistant用户登陆这台服务器添写assistant相应的信息，在登陆到里选zhen,这里注意一下，安装完辅助域控制器后，则这台计算机就不允许其进行本地登陆了，我们点确定看看此计算机能否登陆到里这里出现了一个警告信息，此系统的本地策略不允许您交互登陆，这是为什么呢，因为我们新建的用户默认是Domain Users组的成员，他是没有权限登陆到域控制器中来的，这里我们有两种方法让assistant用户登陆到这台计算机:一种是将其加入到域管理员组Domain Admins;另一种是修改本地策略，让assistant用户能够登陆到这台计算机中来。
这里我给大家演示一下如何修改本地策略，让assistant用户登陆到这台计算机中来。
首先，我们来到主域控制器这台计算机中，点开始-管理工具-域控制器安全策略展开安全设置-本地策略-用户权限分配，在策略里我们找到允许在本地登陆策略双击此策略，点添加用户和组，我们将assistant用户添加进去点确定，退出安全策略选项卡，这里我们还需要刷新组策略，让此策略生效。
点开始-运行，在运行里输入gpupdate，确定接下来我们再回到辅助域控制器这台计算机，用assistant用户登陆我们可以看到assistant用户已经登陆进来拉。
我们点开始-管理工具-AD用户和计算机这里我们可以看到AD用户和计算机里面的信息和主域控制器里面的信息是完全一致的，他们每隔一段时间会同步一次，所以他们里面的信息是完全一致的，但是我们新建的assistant用户是不能够添加删除用户的，因为他现在还是Domain Users组的成员，他还没有相应的权限来执行这个操作，关于权限的问题在这里我就不跟大家讨论，我会在以后的课程里来单独讲解权限的问题。
