摘要：
组策略指派Office2003分发 上篇博文中我们介绍了如何利用组策略在客户机上安装软件，我们用分发的部署方式为大家举了一个软件安装的实例，本文中我们将为大家介绍如何用组策略通过指派的方法实现软件安装。指派可以针对用户，也可以针对计算机，相比较分发的部署方式更为灵活。实验拓扑如下图所示，我们这次准备部署的软件是Office2003。 如图1所示，在文件服务器Istanbul的Office共享文件夹中，我们看到了Office2003的安装文件。由于组策略不能支持EXE文件，因此我们需要使用PRO11.MSI文件进行组策略指派。图1和上文类似，我们在域控制器上打开Active Directory用 阅读全文
摘要：
组策略轻松实现软件发布 在IT工程师的运维工作中，有很多没有技术含量的事务性操作是很令人头疼的，例如为客户机安装软件。有些朋友看到这里估计会很不以为然，想我等IT专业人士，纵横江湖多年，无论国内国外，正版盗版，安装个小小软件还不是手到擒来！其实不然，在一台机器上安装软件当然不难，要是让你在一千台机器上安装Office呢？想想看，要是用传统的方式一台一台地安装，操作者是很需要有一番直面惨淡人生的勇气的。 因此，为客户机选择一种快速部署软件的解决方案就成了工程师们面临的一个问题。解决这个问题有多种备选方案，例如微软的SCCM，它在功能上非常令人满意，但是价格嘛….本文将为大家介绍一种性价比较高的软 阅读全文
摘要：
初步理解组策略 组策略是ActiveDirectory中非常重要的一项技术，很多朋友都听说过组策略对于管理的重要意义，也明白有些疑难问题可以用传说中的“策略”来解决。但并不清楚组策略该如何理解，如何部署，如何管理。今天起我们将组织一系列的博文为大家介绍组策略的来龙去脉，力争让大家可以更好地利用组策略来完善管理工作。 我们首先从组策略的概念谈起，什么是组策略呢？组策略是一个允许执行针对用户或计算机进行配置的基础架构。这个概念听起来有些晦涩，不太容易理解。其实通俗地说，组策略和注册表类似，是一项可以修改用户或计算机设置的技术。那组策略和注册表的区别在哪儿呢？注册表只能针对一个用户或一台计算机进行. 阅读全文
摘要：
创建可传递的林信任 在实战详解域信任关系中，我们介绍了如何创在两个域之间创建域信任关系。实战的结果是我们在itet.com和homeway.com之间成功创建了信任关系，达到了预期目的。但我们打开域控制器上的Active Directory域和信任工具，可以从下图中发现，itet.com和homeway.com之间的信任关系是不可传递的！这个要引起我们的关注。 如果域之间的信任关系是可以传递的，那我们就可以推论只要A信任B，B信任C，那么A必然信任C。但是域信任关系如果是不可传递的，那就会导致A和C之间没有任何信任关系，必须手工创建A和C之间的信任关系。显然，在多域的条件下，如果域的数量较多， 阅读全文
摘要：
创建Win2003域和Win2008域之间的信任关系 我们在上一篇文章中创建了域信任关系，这个信任关系发生在两个Win2003域之间，而且两个域使用了同一个DNS服务器。今天我们更换一个实验场景，拓扑如下图所示。一个是Win2003域，另一个是Win2008域。两个域都使用各自的域控制器提供DNS解析，而且Win2008域的功能级别是Win2003，我们将为大家演示如何在这两个域之间创建信任关系。这个实验的关键是DNS！操作系统的差异并不重要，Win2008域可以和Win2003域，甚至可以和Win2000域创建信任关系。我们要注意的是DNS的设置，每个域控制器要确保自己使用的DNS服务器不但 阅读全文
摘要：
实战详解域信任关系 上篇博文中我们对域信任关系作了一下概述，本文中我们将通过一个实例为大家介绍如何创建域信任关系。拓扑如下图所示，当前网络中有两个域，一个域是ITET.COM，另一个域是HOMEWAY.COM。两个域内各有一个域控制器，分别是Florence和Firenze，我们让两个域使用了同一个DNS服务器。 创建域信任关系要注意DNS服务器的设置，因为DNS服务器要负责定位域控制器，关键之处在于域控制器使用的DNS服务器要能够把两个域的域控制器都定位出来。我们在实验中规划让两个域使用同一个DNS服务器，显然是出于这个考虑。如果两个域都使用域控制器作DNS，那么要使用辅助区域，转发器等技术 阅读全文
摘要：
理解域信任关系 在同一个域内，成员服务器根据Active Directory中的用户账号，可以很容易地把资源分配给域内的用户。但一个域的作用范围毕竟有限，有些企业会用到多个域，那么在多域环境下，我们该如何进行资源的跨域分配呢？也就是说，我们该如何把A域的资源分配给B域的用户呢？一般来说，我们有两种选择，一种是使用镜像账户。也就是说，我们可以在A域和B域内各自创建一个用户名和口令都完全相同的用户账户，然后在B域把资源分配给这个账户后，A域内的镜像账户就可以访问B域内的资源了。 镜像账户的方法显然不是一个好的选择，至少账户的重复建设就很让管理员头疼。资源跨域分配的主流方法还是创建域信任关系，在两个 阅读全文
摘要：
域控制器的终极卸载 在上篇博文中，我们介绍了用Dcpromo/Forceremoval对域控制器进行强行卸载。一般情况下，用这种强制卸载方法基本可以解决问题。但如果有些域控制器的Active Directory损坏严重，严重到了无法对Active Directory进行初始化，以致于无法登录操作系统。这种情况下我们就要犯愁了，Dcpromo/forceremoval需要登录系统后才能执行，现在系统无法正常登录，那该如何是好呢？别着急，本文将为大家介绍另外一种卸载Active Directory的方法，这种方法将更加麻烦，更加血腥，更加暴力，更加强大…..这种强制卸载方法的思路是先进入目录服务还 阅读全文
摘要：
域控制器的强制卸载上篇博文中我们介绍了如何对域控制器进行常规卸载，本文中我们将介绍如何对域控制器进行强制卸载。为什么需要对域控制器进行强制卸载呢？如果域控制器不能和复制伙伴正常通讯，而且更正无望，那我们就要考虑进行强制卸载了。例如我曾见过一个单位有10个域控制器，居然有7个不能相互复制，主要是管理员误以为域控制器越多越好….类似这样的情况，我们就可以果断出手，把域控制器强行卸载掉。域控制器强行卸载的原理也很简单，那就是卸载时不再通知复制伙伴，直接把AD删除就好。这样的卸载方式是要相对简单一些，但其实后续的操作很麻烦，例如我们需要在Active Directory中手工清除被强制卸载的域控制器， 阅读全文
摘要：
域控制器的常规卸载 我们现在已经有一些Active Directory的部署及管理经验了，今天我们要考虑一个问题，如果一个域控制器我们不需要了，那应该如何处理呢？直接把它砸了是不对的，这未免太暴力了，和当前的和谐环境有些格格不入哦。关键是，如果我们让这台域控制器直接消失，那么其他的域控制器就无法得知这个消息，每隔一段时间其他的域控制器还会试图和这个域控制器进行AD复制，客户机也有可能会把用户名和口令送到这个不存在的域控制器上进行验证。如果这个被暴力卸载的域控制器还承担着一些操作主机角色，我们就更麻烦了。因此，我们进行域控制器卸载时，一定要把工作做到位，优先使用常规卸载，争取不留后患。 有些朋友 阅读全文
摘要：
实战Active Directory站点部署与管理上篇博文中我们家介绍了站点的设计目的及大致原理，今天我们通过实战为大家介绍如何进行站点的部署以及管理。实验拓扑如下图所所示，adtest.com域中有四个域控制器，分别是Florence，Berlin，Firenze和Perth。其中Florence和Berlin在北京，隶属于192.168.11网段；Firenze和Perth在上海，隶属于192.168.12网段。由于北京和上海之间使用了一条64K的DDN慢速链路，因此我们有必要使用站点对域内的计算机进行合理规划，以便能够让域内的计算机在现有的带宽条件下能以最有效率的方式通讯。 目前四台域控 阅读全文
摘要：
什么是站点 谈到Active Directory中的站点，很多Active Directory的初学者都会深感头疼，为什么呢？搞不清楚这个站点究竟是起什么作用。有很多同学都问过这样的问题，站点和域有什么区别？到底是域大还是站点大？有了域为什么还要有站点？…..本文将尝试为大家介绍站点的概念及设计初衷，让大家能够更好地理解站点，运用站点。 域是共享用户账号，计算机账号及安全策略的一组计算机，这个定义是基于逻辑因素考虑的，只要用户和计算机在同一个Active Directory内，我们就认为他们都在域的安全边界之内。我们从域的定义中可以看到，域没有考虑网络速度等物理因素，无论计算机和域控制器之间是 阅读全文
摘要：
实战操作主机角色转移 上篇博文中我们介绍了操作主机在Active Directory中的用途，今天我们通过一个实例为大家介绍如何实现操作主机角色的转移，这样如果Active Directory中操作主机角色出现了问题，我们就可以用今天介绍的知识来进行故障排除。 我们首先要明确一个重要原则，那就是操作主机角色有且只能有一个！如果操作主机角色工作在林级别，例如架构主机和域命名主机，那在一个域林内只能有一个架构主机和域命名主机。如果操作主机角色工作在域级别，例如PDC主机，结构主机和RID主机，那就意味着一个域内只能有一个这样的操作主机角色。 我们的实验拓扑如下图所示，Adtest.com域内有两个 阅读全文
摘要：
Active Directory操作主机详解在前面的博文中，我们已经了解到每个域控制器都能自主修改Active Directory，而且修改后的结果会被其他的域控制器所承认。从这个角度讲，域控制器之间的地位是平等的，但我们决不能认为域控制器之间是没有区别的！事实上，域中的第一个域控制器往往比其他的域控制器承担了更多的任务。有些企业中部署了多个域控制器之后，就开始忽略第一个域控制器的作用，有时甚至可能会一不经意间把第一个域控制器给处理掉了。但这些企业的用户很快就会发现域中会出现一些异常现象，例如无法创建域用户账号，无法安装Exchange，无法部署子域等等。原因很简单，第一个域控制器承担的任务并 阅读全文