给域控用户分配指定共享并定义共享目录大小
给域控用户分配指定共享并定义共享目录大小2012年1月17日| 分类: 计算机与Internet| 标签: 域控用户, 指定文件夹, 控制共享目录大小
文件服务器存储空间报警，检查后发现很多用户随意存放非工作文档，造成空间浪费，于是做了限制给用户重新分配文件夹并限制大小。
步骤如下：
1：文件服务器必须升级到R2（只介绍2K8的操作，2K3步骤相同）
点击开始=》运行，输入MMC，打开控制台。
点击文件，选择添加删除管理单元，选择文件服务器资源管理器，点击添加。
在配额模板里添加控制文件目录大小的规则，我这里添加的为5GB，配额类型为硬性，存储空间不能超过5GB。
设置完毕进入文件夹设置向导，按照需求一步步添加共享文件夹。为安全起见，在权限设置中将Everyone用户删除，添加域用户Domain Users，并赋予读写权限。
配额选项中选择前面创建的5GB配额，如要限制文件类型，另外进行设置。
设置完毕后在域用户属性的配置文件中添加主文件夹，选择连接，盘符自定义如U，目录为服务器共享路径：\\server\users\%username%（server为服务器名，users为共享目录）
点应用时%username%会自动转换成域用户名称，同时在共享目录下创建一个域用户名的目录。
使用域用户登录后可以看到一个网络驱动器U盘，并且看到大小为指定的5GB。这样就可以控制用户服务器存放空间的大小了。
?域和工作组 域和工作组是针对网络环境中的两种不同的网络资源管理模式。 在一个网络内，可能有成百上千台电脑，如果这些电脑不进行分组，都列在“网上邻居”内，可想而知会有多么乱。为了解决这一问题，Windows 9x/NT/2000就引用了“工作组”这个概念，将不同的电脑一般按功能分别列入不同的组中，如财务部的电脑都列入“财务部”工作组中，人事部的电脑都列入“人事部”工作组中。你要访问某个部门的资源，就在“网上邻居”里找到那个部门的工作组名，双击就可以看到那个部门的电脑了。 在对等网模式（PEER-TO-PEER）下，任何一台电脑只要接入网络，就可以访问共享资源，如共享打印机、文件、ISDN上网等。尽管对等网络上的共享文件可以加访问密码，但是非常容易被破解。在由Windows 9x构成的对等网中，数据是非常不安全的。一般来说，同一个工作组内部成员相互交换信息的频率最高，所以你一进入“网上邻居”，首先看到的是你所在工作组的成员。如果要访问其他工作组的成员，需要双击“整个网络”，就会看到网络上所有的工作组，双击工作组名称，就会看到里面的成员。 你也可以退出某个工作组，只要将工作组名称改动即可。不过这样在网上别人照样可以访问你的共享资源，只不过换了一个工作组而已。你可以随便加入同一网络上的任何工作组，也可以离开一个工作组。“工作组”就像一个自由加入和退出的俱乐部一样，它本身的作用仅仅是提供一个“房间”，以方便网络上计算机共享资源的浏览。 与工作组的“松散会员制”有所不同，“域”是一个相对严格的组织。“域”指的是服务器控制网络上的计算机能否加入的计算机组合。实行严格的管理对网络安全是非常必要的。 在“域”模式下，至少有一台服务器负责每一台联入网络的电脑和用户的验证工作，相当于一个单位的门卫一样，称为“域控制器(Domain Controller，简写为DC)”。“域控制器”中包含了由这个域的账户、密码、属于这个域的计算机等信息构成的数据库。当电脑联入网络时，域控制器首先要鉴别这台电脑是否是属于这个域的，用户使用的登录账号是否存在、密码是否正确。如果以上信息不正确，域控制器就拒绝这个用户从这台电脑登录。不能登录，用户就不能访问服务器上有权限保护的资源，只能以对等网用户的方式访问Windows共享出来
服务器文件共享权限设置方法说明 随着企业的发展，利用计算机进行信息化管理变得越来越重要。员工进行计算机协同工作时，很多文件、资料需要共享。然而普通的共享方式对于很多信息是不安全的，因此我们需要对共享的权限进行控制，让不同身份的用户对文件夹、文件具有不同的访问权限。 下面就是设置权限访问的具体实施方法： 一、需求分析 1、为每个部门建立一个文件夹，文件夹允许对应部门的人员进行完全权限的访问，领导可进行只读访问，其他人员不能访问。 2、建立“常用软件”文件夹，计算机管理人员可以进行完全权限访问，其他人员进行只读访问。 3、建立“公司发文”文件夹，发文人员进行读写访问，其他人员进行只读访问。 4、建立“中转站”文件夹，用于人员之间的资料互换，所有人员具有读写权限。 5、建立“常用报表”文件夹，其中设立各类报表的子文件夹，并对子文件夹设立权限。 需要修改其中内容的人员具有读写权限，只需查看的人员具有只读权限，其他人员无权访问。（具体人员和相关访问权限另附） 二、设备配置 1、购买一台服务器计算机，并建好局域网。 2、服务器上安装Windows服务器操作系统，如Windows Server 2003。 3、安装文件服务器，文件服务器是Windows Server的一个组件。 4、服务器上至少有一个NTFS格式的磁盘分区，用于存放共享的资源。 三、文件夹建立 1、在NTFS格式的分区上建立一个文件夹作为共享根目录。 2、在根目录下建立各个分目录文件夹。如常用软件、常用报表、中转站、人力部、技术部、进出口部等。 3、在分目录下建立子目录文件夹。如常用报表下的生产日报表、船期表、纸样图等。 四、建立用户和组
一、实验目的 1．添加域用户 2．用户的漫游 3．组织单元委派控制 4．AGDLP实现组的嵌套 二、实验步骤及结果分析 1．添加域用户 添加域用户常见的几种方法： 1.1.直接在根DC里新建用户 1.1.1.新建组织单位。启动要DC服务器，运行dsa.msc 打开Active Directory用户和计算机，在“域名”（如https://www.doczj.com/doc/1214665795.html,）处右击，“新建组织单位”，如名称为“DQA”。 1.1. 2.新建用户。在新建的“组织单位”（DQA）项上右击选择“新建用户”，输入新建用户的“用户登录名”，（如hero）。下一步，输入7位以上的安全密码，一直下一步，完成新建用户。
注：如果想要将密码设为简单密码或密码为空，首先要在“开始”“程序”“管理工具”“默认域安全设置”，打开“默认域安全设置”，再依次展开“安全设置”“帐户策略”“密码策略”，将“密码必须符合复杂性要求”禁用，并将“密码长度最小值”设为“0字符”。这样在新建用户时就不用再设置复杂的密码了。
1.1.3.删除用户。只需直接在相应的“组织单位”（如DQA ）中的用户（如hero）上右击，选择删除即可。 1.2.使用目录服务工具添加 所谓的目录服务工具是指利用CMD命令新建账户，常用的命令有：dsadd 添加账户或组；dsmod 修改用户或组的信息；dsrm 删除用户或组。 1.2.1.添加账户。在CMD命令提示符里输入如：dsadd user cn=feng,ou=DQA,dc=fenger,dc=com 回车后即可成功创建一个新用户。若需在用户里面将其相应的信息加入，只须在上命令后加入一些其它信息的命令，如：-email xx@https://www.doczj.com/doc/1214665795.html, –tel 12315 –office F999 等等。其它详细信息命令可用“dsadd user /?”查看。 1.2.2.修改用户信息。在CMD命令提示符里输入如：dsmod user cn=sun,ou-DQA,dc=fenger,dc=com –email yy@https://www.doczj.com/doc/1214665795.html, –tel 12111 –office G-101 。即在命令参数后输入要修改信息项的信息。若修改成功后，在根DC查看用户属性的信息会与原属性有明显不同。
公司为了安全加入域后，发现有一些问题，就是有的用户需要重新启动一些服务但是提示没有权限，如何才能把指定的服务器的管理权限给普通域用户。还有像google输入法之类的升级的时候提示“不是管理员，无法升级”。不知道怎么解决？ 回答：根据您的描述，我对这个问题的理解是：普通的域用户的权限问题。 分析: ===== 您说到的这些情况,windows域就是设计为这样的. 默认的域用户在登录一台客户机的时候,域用户自动加入了客户机本地的“user”组,这个组只有一些基本的使用功能. 而您提到的重启服务,安装程序这样的操作,是需要本机管理员权限来进行. 而域管理员是自动加入到了本机的“administrator”组的. 建议: ==== 如果您的确需要让这些用户有这些控制权限,您可以给他们本机的“administrator”权限. 这里您可以有两种选择. 1. 告诉他们一个本机的管理员帐号,让他们在需要的时候切换用户来实现需要的功能. 2. 把域用户加入到本机的“administrator”组使得用户始终有本机的完全控制权限. a. 右键“我的电脑”, 选择“管理” b. 选择“本地用户和组” c. 选择“组”, d. 选择其中的“administrators”并双击 c. 然后把需要的域用户添加到这个组就可以实现普通的域访问权限和本机的管理员权限并存了. 另外,如果您需要某些用户对服务器的某些服务有管理权限,但是又不想赋予他们管理员权 限的话.可以通过修改组策略来实现. 我们假定这些server在一个名叫“server ou” 的OU中.您需要赋予权限的服务是“DNS sever” 1. 在“server ou”上添加一个组策略.给它定义一个名字. 2. 编辑这个组策略,展开“计算机配置\windows设置\安全设置\系统服务” 3. 从右面栏中找到“dns server” 服务,双击. 4. 选择“定义这个策略设置” 启动模式按照您本来的需求设置,然后点击“编辑安全设置” 5. 在弹出窗口中,选择添加. 6. 输入您需要的用户(组),然后在下面的权限栏中,赋予那个用户(组) “启动,停止和暂停”权限. 关于安装程序,您可以还可以把用户加入到本地的“power user”组,这个组的成员有权限装一部分的软件,但是涉及以下方面的程序无法安装: 1. 需要修改服务,驱动,系统文件的.(例如Google输入法) 2. 一些老程序会要求系统的控制权限. 3. 安装前先检查用户的组身份,不属于管理员直接拒绝.
域用户无法登录域故障处理(AD 问题)
系统故障记录 1. 故障记录日期：2010-01-14 2. 主机名及IP：FS03(192.168.2.246) 3. 主机系统及应用：DC、FileServer 4. 系统状态及错误信息：Win2003系统启动到登陆界面时出现以下错误提示：“由于下列错误，安全帐户管理器初始化失败，目录服 务无法启动。错误状态：0xc00002e1." 5. 检查过程及解决步骤： 原因：经微软KB及网上资料信息显示该提示为病毒（用户上传的文件）可能破坏了系统文件，导致2.246无法正常启动目录服务，所以客户端的域用户无法正常登陆。 解决方案1：准备进入目录还原模式，修复Active Directory数据库。 备注：由于系统安装时间比较已久，还原密码未知， 解决方案2：升级其他BDC为PDC，解决用户登陆问题。 备注：现已将FSBDC升级为PDC，用户已可正常登陆。 步骤1： 用Domain Admin用户登陆FSBDC，打开运行，输入“CMD”进入命令行状态。 使用Ntdsutil工具，将FSMO中PDC角色抢夺过来。
分区 DC=xm,DC=xingfa,DC=cn 的一个部分复制集被主持在站点 CN=Foshan,CN =Sites,CN=Configuration,DC=xingfa,DC=cn 上，但是找不到此站点的可写的源。 2、 Active Directory 无法建立与全局编录的连接。 额外数据 错误值: 1355 指定的域不存在，或无法联系。 内部 ID: 3200c89 用户操作: 请确定在林中有可用的全局编录，并且可以从此域控制器访问。您可以使用 n ltest 实用工具来诊断此问题。 3、尝试用下列参数建立与只读目录分区的复制链接时失败。 目录分区: DC=xm,DC=xingfa,DC=cn 源域控制器: CN=NTDS Settings,CN=FS03,CN=Servers,CN=Foshan,CN=Sites,CN=Configurat ion,DC=xingfa,DC=cn 源域控制器地址: bfd75c1f-13e3-4a63-aeda-9cda328158de._https://www.doczj.com/doc/1214665795.html, 站点间传输(如果有): 其他数据 错误值: 1753 终结点映射器中没有更多的终结点可用。 ［此帖子已被 ekin.liu 在 2010-01-14 20:29:55 编辑过］当前状态为[] ekin.liu
域控制器建立完整教程 Company number：【0089WT-8898YT-W8CCB-BUUT-202108】
[上海360宽带网] [制作人：360宽带网] [] [360宽带网口号：为人民服务] 把一台成员服务器提升为域控制器(一) 目前很多公司的网络中的PC数量均超过10台:按照微软的说法，一般网络中的PC 数目低于10台，则建议采对等网的工作模式，而如果超过10台，则建议采用域的管理模式，因为域可以提供一种集中式的管理，这相比于对等网的分散管理有非常多的好处，那么如何把一台成员服务器提升为域控我们现在就动手实践一下: 本篇文章中所有的成员服务器均采用微软的Windows Server 2003，客户端则采用Windows XP。 首先，当然是在成员服务器上安装上Windows Server 2003，安装成功后进入系统，我们要做的第一件事就是给这台成员服务器指定一个固定的IP，在这里指定情况如下: 机器名:Server 由于Windows Server 2003在默认的安装过程中DNS是不被安装的，所以我们需要手动去添加，添加方法如下:“开始—设置—控制面板—添加删除程序”，然后再点击“添 加/删除Windows组件”，则可以看到如下画面: 向下搬运右边的滚动条，找到“网络服务”，选中: 默认情况下所有的网络服务都会被添加，可以点击下面的“详细信息”进行自定义安装，由于在 这里只需要DNS，所以把其它的全都去掉了，以后需要的时候再安装: 然后就是点“确定”，一直点“下一步”就可以完成整个DNS的安装。在整个安装过程中请保证Windows Server 2003安装光盘位于光驱中，否则会出现找不到文件的提示，那就需要手动定位 了。 安装完DNS以后，就可以进行提升操作了，先点击“开始—运行”，输入“Dcpromo”，然后回车 就可以看到“Active Directory安装向导”
IBM X3400-MT7674安装redhat AS5布署samba3域控和文件服务器 来源: ChinaUnix博客日期：2008.09.11 11:06(共有0条评论) 我要评论 IBM X3400-MT7674安装redhat AS5布署samba3域控和文件服务器 Date:2008.4.9 Author:Wang Xiantong,xiantong@https://www.doczj.com/doc/1214665795.html, 1、需求 50个用户，提供域控及文件服务器功能 总经理室/行政组/财务组/工程组/关务组/品保组/制造组 文档中心组 网管组 2、硬件环境 服务器型号:IBM X3400-MT7674 CPU:Intel Xeon E5310 1.6GHz 四核CPU 内存：2G 硬盘:SATA 150G 两块 Raid：hostraid,支持raid0 raid1 raid5 网卡：1000M网卡两块 3、系统安装 3.1、hostraid的raid1(mirror)配置 启动服务器，当出现Press F1 for Configuration/Setup按F1进入setup 选择Devices and I/O Ports =>Advanced Chipset Control 把Serial ATA的参数改为Enabled SATA Controller Mode Option的参数改为Enhanced SATA RAID Enable的参数改为Enabled 按Esc，保存退出
这样就启用了SATA HostRAID功能 接着配置SATA Host RAID,这里建建立一个raid1 按ctrl+alt+del重启服务器 当出现Press for Adaptect RAID Configuration Utility按CTRL+A进入raid配置菜单 选择Array Configuration Utility 选择Ctreate Array 新建raid1，按insert键把两个盘加入,创建方式选Quick Int 按Done完成退出 3.2、安装rehdat AS5 安装linux，最重要的就是到IBM官方下载相对应的LINUXhostraid驱动，否则raid1不能成功应用，安装的的时候还是会看到两块物理硬盘,目前IBM官网只提供redhat AS4U1-AS4U5,AS5,AS4U6和AS5U1没有提供驱动,我刚开始使用centos4.6(对应于redhat as4u6)，使用as4u5的驱动不能成功。 下载地址： https://www.doczj.com/doc/1214665795.html,/systems/support/supportsite.wss/docdisplay?brandind=5000008&lndocid=MIGR-63041下载ibm_dd_adpahci_1.2.5574_rhel5_x86_64.img对应于我的AS5 因为没有软驱，所以选择用U盘加载刚下载的hostraid驱动,找一台LINUX，利用dd把驱动复制进U盘 #dd if=ibm_dd_adpahci_1.2.5574_rhel5_x86_64.img of=/dev/sdc，这里sdc是我的U盘,你可以通过fdisk -l /dev/sdc 查看是否是U盘，数据写入U盘之后，在linux和windows下都不能看到里面有东西，不要担心，这是因为我们此时把U盘当软盘用，U盘上没有分区，现在只是一个软盘功能了 如果你有外接软驱，你还可以下载Rawrite.exe，利用这个工具在DOS下生成软盘hostraid驱动盘，把 bm_dd_adpahci_1.2.5574_rhel5_x86_64.img和Rawrite.exe全部复制至某盘如C盘的根目录 c:\rawrite回车 Enter disk image Source file name:输入img文件名称，回车 Enter target diskette drive:输入a回车 Please insert a formatted diskette into drive A: and press –Enter-:回车 如果出现不能识别目标文件，请把下载的文件名改个名，rawrite所解压的文件名必须满足8个字符以下，扩展名不能超过3个字符
Runas的使用方法 域用户没有管理员权限，但是很多的软件却必须有管理员权限才能运行，不论你如何将C:D:E的安全策略调整至域用户“完全控制”的安全策略，不运行就是不运行。 XP虽然停止更新，但仍然是公司的主力。最近装了几台win7的系统，这个域用户没有权限的问题更加突出。于是穷尽各种搜索终于有了收获。使用runas命令可以解决域用户没有权限的问题。 本文只对新手，像我这样半路出家来当IT的人，将自己的经验分享也是无上的光荣啊。 Runas命令简介： Runas允许用户使用其他权限运行指定的工具和程序，而不是当前用户登录提供的权限。 是不是很拗口，不错。说白了就是允许你在当前登入的用户名下使用管理员的权限。 不多说走起。 Win7就是好，控制面板—用户—选项下面多了个—凭据管理功能，让你不再每次运行的时候输入密码，一次输入永久使用。 以域用户要运行QQ软件为例： 1、首先确认你的win7系统的本地或者域管理员用户名和密码有效。或者是具 有和管理员同等权限的其他用户也可。假设我们现在举例的管理员名称和密码均是：admin，本机名称为：dell-PC,系统域名为：dellserver 2、在电脑桌面的空白处，右击鼠标---新建---快捷方式----输入一下命令： Runas /user:dell-pc\admin /savecred “D:/program files(x86)/Tencent/QQ.exe”或者 Runas /user:dellserver\admin /savecred “D:/program files(x86)/tencent/QQ.exe”
3、在新建的快捷方式图标上右键—属性—更换图标为QQ的图标 4、在安全选项卡中，设置当前用户的权限为“读取”，运行，不允许修改。 5、将快捷方式，复制到没有权限的域用户桌面双击运行弹出命令窗口： 输入管理员密码一次。以后便不用再输入了，系统已经记住凭据了。 注意事项:1. runas 后面的空格。 2．/user:dell-pc\admin 管理员用户名的反斜杠。 3. /savecred 保存凭证 以上是自己的一点收获分享了。
共享文件夹权限设置问题 WINDOWS-2003-SERVER共享设置很罗唆，罗索的代价是换来点点安全，个人认为WINDOWS、NETWARE、UNIX、LINUX这些服务器操作系统里还是UNIX、LINUX最好，安全简单易于操作。WIN2003SERVER用在普通服务器和简单管理上还是不错的，毕竟是窗口界面，易于操作。写这些很麻烦，光截图就够我受的，希望能给与你一些帮助，共同交流学习！以下灌水贴多，不要怪罪！ （图片截取、软件环境来自Windows 2003 Server企业正版用户，XP来自正版专业版） W2003设置共享文件有4种方式，你可以看系统帮助文件有介绍的，在索引里键入“共享”查看相关主题，里面介绍了3种方法，文件夹直接设置，计算机管理共享设置，命令行设置。我贴些图是介绍文件夹共享设置和计算机管理设置。 首先你要开启部分网络共享服务，在管理工具的服务项目里找。安全设置服务里可以设置网络登陆用户帐号保留的时间长短， 先开始设置文件共享。 假设你的公司有老板，部门经理，普通人员访问共享，老板可以查看所有共享并修改，部门经理查看所有共享但不能修改，普通人员只能查看部门制定的文件，怎样让他们有不同权限和级别，关键看你对他们用户权限的定义。 假设老板取用户名为ADMIN，部门经理取名为：EASY，普通人员取名为：TEMP， 那么首先打开【开始】【管理工具】【计算机管理】中的【本地用户和组】，一一将这些用户添加进去，记住这三个用户均要设置密码，并且密码均不一样。 当ADMIN EASY TEMP 帐号都添加进去后，记住把用户列表里的Guest Everyone用户停用了，就是右键点击属性，把账户已禁用这个复选框打上勾。 当所有用户都已添加完成时，然后就是给这些用户赋予权限了，赋予权限的不同，所操作共享的级别也不同。 点击计算机管理左边目录树的组文件夹，在右边窗口空白处点击右键，选择添加新组。 设定一个组名成为KAKA，然后再点击界面上的【添加】按钮，弹出对话框，点击【高级】，弹出对话框，点击【立即查找】,这是现面就显示出刚才你添加的哪几个用户了，双击admin，返回了上一个对话框，这是你看到ADMIN用户已添加到白色的添加框里了，再点击【高级】【立即查找】，双击easy,返回上一个对话框，再点击【高级】【立即查找】，双击temp,返回上一个对话框，如图所示，这时候这三个用户就都添加进去了，点击【确定】按钮,点击下个对话框里的【创建】按钮！点击【关闭】OK！ 然后你在点击目录树用户文件夹，接着返回用户对话框里，右键点击TEMP用户属性，点【隶属于】标签，发现temp用户隶属于两个组，删处Users这个隶属组，让TEMP用户直隶属于KAKA这个组，依次改了ADMIN,EASY两个用户的隶属，让这三个用户只属于KAKA组，为什么这样做，是因为如果他们属于两个组，当你设置某些文件夹共享属性时，当他们无法以KAKA组用户成员查看时，却可以换身份以其他组成员身份进入，这样你设置的共享权限密码也就失去作用了。 至此，这三个用户身份的界定以完成。开始设置他们在共享文件夹中担当的角色和级别了 假设我们在C盘有一个wmpub文件夹要设置在网络中共享，让大家都可以看到，该文件夹里面又有三个文件夹，一个caiwu一个tools一个wmiislog，3文件夹让经理和老板看到，并且老板可以修改任何一个文件
3种用组策略将域帐号加入本地管理员组的方法 1、对于WIN2003域控制器(DC)环境，使用计算机策略的“受限制的组”
2、对于WIN2008/2008R2（尽可能用R2的DC）的DC环境，使用用户配置首选项中“本地用户和组”.用在将登录帐号自动加入本地管理员组的场合。 3、对于WIN2008/2008R2（尽可能用R2的DC）的DC环境，使用计算机配置首选项中“本地用户和组”，用在将重要的域组加入客户端本地管理员组的场合。
下面让我细细道来。 第1种方法的步骤很简单： .在域中创建一个test01\g1组帐号，将要加入本地管理员组的域帐号test01\user_1加入g1组.在组策略中在“受限制的组”上右键选添加组，然后把一些元素添入选项，参照本文第1幅图.刷新域客户机的组策略，就可以看到test01\g1组被自动加入到本地管理员组了，如下图 第2种方法：
为了避免干扰，我创建了另一个2008R2的域来验证第2种方法，该域WINXP03客户机的初始本地管理员成员如下： 为了使GPO“首选项”能作用到客户端，需要在域客户端安装客户端扩展集组件(CSE)，URL为： https://www.doczj.com/doc/1214665795.html,/zh-cn/library/cc731892(WS.10).aspx 根据客户端OS类型选相应组件下载，并安装到WINXP03客户机中，如下图（XMLLite XML无需安装）：
在2008R2上开始设置GPO的用户配置项，按下图添加对客户端本地Administrators的操作策略 操作中的“更新”代表更新域客户端Administrators组中的成员，“添加当前用户”是指添加登录时的域帐号到客户端本地Administrators组，只要域帐号一登录，就把它加入本地管理员组
域控制器备份(导出域用户的方法) Csvde 1.开始－>运行”并输入“CMD” 2.csvde -f c:user.csv -r objectclass=user 3.csvde -f c:group.csv -r objectclass=group 使用LDIFDE将组织单元、组以及用户的信息导入到新安装的域控制器中，步骤如下： 1）以域管理员的身份登录，在您的新、旧域控制器中安装Support Tools，并请删除与其他域的信任关系 2）在旧的域控制器上，在命令行模式下依次运行以下命令导出对象(请将当前目录置为:c:\)： 导出组织单元: C:\>ldifde -f OUList.ldf -s server1 -d dc=testad1,dc=com -p subtree -r "(objectclass=organizationalunit)" -l "dn,managedBy,countryCode,c,description,l,objectClass,ou,postalCode,name,st,strreet,co" 导出组: C:\>ldifde -f GroupList.ldf -s server1 -d dc=testad1,dc=com -p subtree -r "(objectclass=group)" -l "dn,member,info,description,mail,grouptype,instancetype,objectclass,name,samaccountname" 导出用户: C:\>ldifde -f UserList.ldf -s server1 -d dc=testad1,dc=com -p subtree -r"(objectclass=user)" -l "dn,manager,streetaddress,company,countryCode,c,department, displayName,mail,givvenName,homeDirectory,homeDrive,instanceType, l,msNPAllowDialin,objectClass,physicalDeliveryOfficeName,postalCode, profilePath,name,sAMAccountName,st,sn,telephoneNumber,co,title, userAccountControl,userPrincipalName" 3）将保存在c:\路径下的OUList.ldf GroupList.ldf UserList.ldf拷贝至另一台域控制器的c: 4）使用记事本打开上述的三个文件，使用该域的域名字符串替换文件中的域名字符串，如该新域的域名为https://www.doczj.com/doc/1214665795.html,,则应该使用testad2来替换testad1，保存退出 5）打开命令行模式，将当前目录置为:c:\，依次运行以下命令导入对象： 导入组织单元: C:\>ldifde -i -f OUList.ldf -k 导入用户: C:\>ldifde -i -f UserList.ldf -k 导入组: C:\>ldifde -i -f GroupList.ldf -k 6）用户导入后，基于安全考虑，密码为空，且已被禁用，设置为“下次登录必须更改密码”，需要您手工开启导入的帐号。注意：在做任何操作前，请备份系统与用户数据！
(AD 域用户无法登录域故障处理 问题）
系统故障记录 1. 故障记录日期：2010-01-14 2. 主机名及IP ：FS03(192.168.2.246) 3. 主机系统及应用：DC、FileServer 4. 系统状态及错误信息：Win2003 系统启动到登陆界面时出现以下错误提示：“由于下列错误，安全帐户管理器初始化失败，目录服务无法启动。错误状态：0xc00002e1." 5. 检查过程及解决步骤： 原因：经微软KB及网上资料信息显示该提示为病毒（用户上传的文件）可能破坏了系统文件，导致 2.246 无法正常启动目录服务，所以客户端的域用户无法正常登陆。 解决方案1：准备进入目录还原模式，修复Active Directory 数据库。 备注：由于系统安装时间比较已久，还原密码未知， 解决方案2：升级其他BDC为PDC，解决用户登陆问题。 备注：现已将FSBDC升级为PDC，用户已可正常登陆。 步骤1： 用Domain Admin 用户登陆FSBDC，打开运行，输入“ CMD”进入命令行状态使用Ntdsutil 工具，将FSMO中PDC角色抢夺过来。
ntdsutil ROIeS COnneCtions COnneCt to SerVer FSBDC q SeiZe domain naming master SeiZe infrastructwre master SeiZe PDC SeiZe RlD master SeiZe SChema master q 步骤2： 升级FSBDC为GC 在管理工具中，打开“Active DireCtOry站点和服务” 点击"Sites-FOShan-SerVerS-FSBDC-NTDS Settings*右键点击选择属性, 选中“全局编目” ［此帖子已被ekin. Iiu在2010-01-14 20:13:56编辑过］当前状态为［已登记］ekin?IiU 2010-01-14 20:18:51其他问题： 在升级GC的时候，碰到一个问题，因原有Xin. Xingfa. Cn的域信息没有完全清除，需要要清除后GC才能升级成功。 错误提示信息为： 1、
使用dsadd批量录入域用户 一.打开业务部员工名单Excel表格： 二.将业务部员工名单Excel表格文件另存为csv格式，名称为ADUSER.csv。选择用“记事本”程序打开csv文件。从“用户名称”到“电子邮件”是用“,”分隔开的10个字段，可以用“变量a”到“变量j”进行表示。 三.新建文本文件，并编辑命令如下： for /f "skip=1 eol=; tokens=1-10 delims=," %a in (d:\ADUSER.csv) do dsadd user cn=%a,ou=业务 部,dc=abc,dc=com -upn %b@https://www.doczj.com/doc/1214665795.html, -samid %b -pwd %c -fn %e -ln %d -dept %f -office %g -tel %h -title %i -email %j -mustchpwd yes -canchpwd yes -disabled yes -profile "\\file\profiles\%b" -hmdir \\file\drive\%b\ -hmdrv Z:
解释： Skip=1 跳过第一行 Eol=；行结束则执行for循环 Tokens=1-10 共有10个变量 Delims=, 变量之间的分隔符为“,” %a in(e:\ADUSER.csv) 变量a的读取路径为： e:\ADUSER.csv Dsadd user 创建一个对象，对象类型为用户 Cn=%a 对象的CN（通用名称，也就是对象的名字）为：变量a Ou=财务部, dc=abc, dc=com 用户的DN（可辨识名称，也就是在AD中的位置） -upn %b@https://www.doczj.com/doc/1214665795.html, 用户登录到域时所使用的登录名称是：变量b@https://www.doczj.com/doc/1214665795.html, -samid %b 用户在win2000之前的操作系统上登录到域是所使用的登录名称是：变量b -pwd %c 用户登录密码是：变量c -fn %e 用户名：变量e -ln %d 用户姓：变量d -dept %f 用户所属部门：变量f –office %g 用户办公室：变量g -tel %h 用户电话号码：变量h -title %i 用户职务：变量i -email %j 用户电子邮件地址：变量j -mustchpwd yes 用户下次登录是否必须更改密码。Yes -canchpwd yes 用户是否可以更改密码？ Yes
★浏览次数：1,111 次★发布日期:2012年11月30日 当前位置: 悟软 > 学习教程 > 文章正文 用批处理批量添加域用户 文章标签: Office, windows域, word, 域控制器, 局域网, 批处理 在局域网中使用windows域的优势有很多，个人感觉域的管理其实不复杂，最麻烦的是新建域是添加用户的过程，几十个用户手工慢慢来添加还好说，如果是上百个的话恐怕就没那么容易了，而且还会出错。这里介绍一种通过批处理文件批量添加域用户的方法。 一、准备工作 1、notepad文本编辑器 2、准备一份员工工号和姓名对照的电子版（本例中以员工工号作为登录名） 二、操作步骤 1、将电子版工号姓名表格整理一下，只留下工号和姓名。选择工号和姓名这两列复制到一个txt文件中命名为adduser.txt。 2、使用notepad的列选功能将文档中的多余空格删除，让姓名和工号直接只留下一个空格。 3、使用notepad的列选功能将员工的姓和名分别复制出来成为单独的两列。下图中从左向右分别是将来用户的登陆名、显示名称、姓、名
4、接下来这条cmd命令是重点 For /F “tokens=1,2,3,4″ %%a in (adduser.txt) do dsadd user CN=%%a,OU=htsc,DC=htsc,DC=zz -upn %%a@htsc.zz -display %%b -ln %%c -fn %%d -pwd %%a -pwdneverexpires yes -acctexpires never -desc %%b 其中红色字体部分需要根据环境自行修改 先来解释一下命令内容： tokens=1,2,3,4这段是声明这里有4个变量。分别是%%a,%%b, %%c, %%d。分别对应txt中登陆名、显示名称、姓、名列。 %%a in (adduser.txt) 这段是表示全部变量的来源。这里就是指变量都是来源于之前保存当前目录下的txt文件。 do dsadd user这个是添加创建用户命令。 CN=%%a,OU=htsc,DC=htsc,DC=zz 表示所创建用户的路径 -upn %%a@htsc.zz”这句是指所要用户的upn后缀。 -display %%b这句是指所创建用户的显示名称 -desc %%b 指定要添加的用户描述 –ln %%c是指用户的姓 –fn %%d是指用户的名 -pwd %%a这个是指用户的密码。我设置的是和登录名一样。其他的密码也是可以设置的
原文地址：如何将本地用户配置文件更改为域用户漫游作者：kevin 1.先讲讲直接新建域用户，在DC中设置用户漫游； 2.再讲，如果原来用户是本地用户，如何将原有的本地用户的配置文件让她成为漫游用户，配置文件也漫游； 3.跟大家讲讲如何让本地用户配置文件迁移为域用户配置文件，即本来有一用户abc为本地用户，现在该电脑加入了域，域中有一用户abc，然后电脑要用abc 用户登陆到域，而用户配置文件使用本地的abc配置文件； 一，在DC中设置用户漫游 实验环境使用VMW虚拟机，客户端为Windows XP SP2，服务器端为Windows Server 2003 SP2企业版。 首先将服务器端安装好活动目录，无需任何设置，默认安装即可，并将客户端加入到域。 下面开始具体操作 1、首先在服务器端用Active Directory用户和计算机管理工具建立一个User，我这里以“小五”为用户名，如下图 2、在服务器端建立保存用户配置文件的共享文件夹，本文在c盘建立了一个user文件夹，用来保存所有用户配置文件，然后再user文件夹下建立一个“小五”文件夹，用来保存“小五”用户的配置文件。这里面一定要注意权限的设置，在共享文件夹中的权限去掉everyone，然后找到我们域中的用户“小五”，给他所有权限。
3、进一步权限设置，如图
这样权限方面问题已经设置完成 4、在Active Directory用户和计算机管理工具中为“小五”用户设置用户配置文件漫游，如图
192.168.1.201为我们的服务器，后面所接的“user/小五”为保存用户配置文件的共享文件夹 主文件夹相当于用户的“我的文档”，这里面映射到服务器上，更能保证用户文件安全性与可靠性。 现在配置基本完成，我们从客户端登录一下试试看 初次登陆之后，我们注销，这样，本地的配置文件，就会自动保存到服务器上对应的文件夹。 回到服务器上我们会看到生成好多文件，刚才这里面还是空的
网络域控管理方案
前言 随着Internet 接入的普及和带宽的增加，一方面员工上网的条件得到改善，另一方面也给公司带来更高的网络使用危险性、复杂性和混乱。网络对办公环境造成的危害主要表现为： 1)为给用户电脑提供正常的标准的办公环境，安装操作系统和应用软件已经耗费了信息管理中心人员一定的精力和时间，同时又难以限制用户安装软件，导致管理人员必须花费其50% 以上的精力用于维护用户的PC 系统，无法集中精力去开发信息系统的深层次功能，提升信息系统价值。 2)由于使用者的防范意识普遍偏低，防毒措施往往不到位，一旦发生病毒感染，往往扩散到全网络，令网络陷于瘫痪状态，部分致命的蠕虫病毒利用TCP/IP 协议的各种漏洞，使得木马、病毒传播迅速，影响规模大，导致网络长时间处于带毒运行，反复发作而维护人员。 3)部分网站网页含有恶意代码，强行在用户电脑上安装各种网络搜索引擎插件、广告插件或中文域名插件等，增加了办公电脑大量的资源消耗，导致计算机反应缓慢； 4)个别员工私自安装从网络下载安装的软件，这些从网络上下载的软件安装包多数附带各种插件、木马和病毒，并在安装过程中用户不知情的情况下强行安装在办公电脑上，增加了办公电脑大量的资源消耗，导致计算机反应缓慢，甚至被远程控制； 5)局域网共享，包括默认共享（无意），文件共享（有意），一些病毒比如ARP 通过广播四处泛滥，影响到整个片区办公电脑的正常工作； 6)部分员工使用公司计算机上网聊天、听歌、看电影、打游戏，部分员工全天24 小时启用P2P 软件下载音乐和影视文件，由于flashget、迅雷和BT 等软件并发线程多，导致大量带宽被部分员工占用，网络速度缓慢，导致应用软件系统无法正常开展业务，即便是严格的计算机使用管理制度也很难保障企业中的计算机只用于企业业务本身，PC 的业务专注性、管控能力不强。 一、解决方案 为了更好地进行网络管理，合理分配和使用网络资源，规范，引导用户安全使用办公电脑，加强对用户帐号，密码策略，用户访问权限以及文件安全管理机制，我司建议采用域控制器与文件服务器相结合的管理模式。 二、域的概述 1．域控制器的定义域”的真正含义指的是服务器控制网络上的计算机能否加入的计算机组合。一提到组合，势必需要严格的控制。所以实行严格的管理对网络安全是非常必要的。在对等网模式下，任何一台电脑只要接入网络，其他机器就都可以访问共享资源，如共享上网等。尽管对等网络上的共享文件可以加访问密码，但是非常容易被破解。不过在“域”模式下，至少有一台服务器负责每一台联入网络的电脑和用户的验证工作，相当于一个单位的门卫一样，称为“域控制器（Domain Controller，简写为DC）”。 2．域控制器的好处
域用户权限设置 公司为了安全加入域后，发现有一些问题，就是有的用户需要重新启动一些服务但是提示没有权限，如何才能把指定的服务器的管理权限给普通域用户。还有像google输入法之类的升级的时候提示“不是管理员，无法升级”。不知道怎么解决？ 回答：根据您的描述，我对这个问题的理解是：普通的域用户的权限问题。 分析: ===== 您说到的这些情况，windows域就是设计为这样的。 默认的域用户在登录一台客户机的时候，域用户自动加入了客户机本地的“user”组，这个组只有一些基本的使用功能。而您提到的重启服务，安装程序这样的操作，是需要本机管理员权限来进行。 而域管理员是自动加入到了本机的“administrator”组的。 建议: ==== 如果您的确需要让这些用户有这些控制权限，您可以给他们本机的“administrator”权限。 这里您可以有两种选择。 1。告诉他们一个本机的管理员帐号，让他们在需要的时候切换用户来实现需要的功能。 2。把域用户加入到本机的“administrator”组使得用户始终有本机的完全控制权限。 a。右键“我的电脑”，选择“管理” b。选择“本地用户和组” c。选择“组”， d。选择其中的“administrators”并双击 c。然后把需要的域用户添加到这个组就可以实现普通的域访问权限和本机的管理员权限并存了。
另外，如果您需要某些用户对服务器的某些服务有管理权限，但是又不想赋予他们管理员权限的话。可以通过修改组策略来实现。 我们假定这些server在一个名叫“server ou”的OU中。您需要赋予权限的服务是“DNS sever” 1。在”server ou”上添加一个组策略。给它定义一个名字。 2。编辑这个组策略，展开“计算机配置\windows设置\安全设置\系统服务”3。从右面栏中找到“dns server”服务，双击。 4。选择“定义这个策略设置”启动模式按照您本来的需求设置，然后点击“编辑安全设置” 5。在弹出窗口中，选择添加。 6。输入您需要的用户(组)，然后在下面的权限栏中，赋予那个用户(组) “启动，停止和暂停”权限。 关于安装程序，您可以还可以把用户加入到本地的“power user”组，这个组的成员有权限装一部分的软件，但是涉及以下方面的程序无法安装: 1。需要修改服务，驱动，系统文件的。(例如Google输入法) 2。一些老程序会要求系统的控制权限。 3。安装前先检查用户的组身份，不属于管理员直接拒绝。 由于各种程序，特别是第三方程序的细节我们很难确定，而且有时候安装的问题不一定会立刻显示出来，我们还是建议您使用管理员权限去安装程序。