AD域控規(guī)劃設計方案

....word..活動目錄AD規(guī)劃方案活動目錄介紹活動目錄是Windows網(wǎng)絡體系構(gòu)造中一個根本且不可分割的局部，它為網(wǎng)絡的用戶、管理員和應用程序提供了一套分布式網(wǎng)絡環(huán)境設計的目錄效勞?；顒幽夸浭沟媒M織機構(gòu)可以有效地對有關(guān)網(wǎng)絡資源和用戶的信息進展共享和管理。另外，目錄效勞在網(wǎng)絡平安方面也扮演著中心授權(quán)機構(gòu)的角色，從而使操作系統(tǒng)可以輕松地驗證用戶身份并控制其對網(wǎng)絡資源的訪問。同等重要的是，活動目錄還擔當著系統(tǒng)集成和穩(wěn)固管理任務的集合點?；顒幽夸浱峁┝藢赪indows的用戶賬號、客戶、效勞器和應用程序進展管理的唯一點。同時，它也幫助組織機構(gòu)通過使用基于Windows的應用程序和與Windows相兼容的設備對非Windows系統(tǒng)進展集成，從而實現(xiàn)穩(wěn)固目錄效勞并簡化對整個網(wǎng)絡操作系統(tǒng)的管理。公司也可以使用活動目錄效勞平安地將網(wǎng)絡系統(tǒng)擴展到Internet上?；顒幽夸浺虼耸宫F(xiàn)有網(wǎng)絡投資升值，同時，降低為使Windows網(wǎng)絡操作系統(tǒng)更易于管理、更平安、更易于交互所需的全部費用。活動目錄是微軟各種應用軟件運行的必要和根底的條件。以下圖表示出活動目錄成為各種應用軟件的中心。應用Windows2021ServerAD的好處Windows2021AD簡化了管理，加強了平安性，擴展了互操作性。它為用戶、組、平安效勞及網(wǎng)絡資源的管理提供了一種集中化的方法。應用Windows2021AD之后，企業(yè)信息化建立者和網(wǎng)絡管理員可以從中獲得如下好處：1、方便管理,權(quán)限管理比擬集中，管理人員可以較好的管理計算機資源。2、平安性高，有利于企業(yè)的一些XX資料的管理，比方一個文件只能讓某一個人看,或者指定人員可以看,但不可以刪/改/移等。3、方便對用戶操作進展權(quán)限設置，可以分發(fā)，指派軟件等,實現(xiàn)網(wǎng)絡內(nèi)的軟件一起安裝。4、很多效勞必須建立在域環(huán)境中，對管理員來說有好處:統(tǒng)一管理,方便在MS軟件方面集成,如ISAEXCHANGE(效勞器)、ISASERVER(上網(wǎng)的各種設置與管理)等。5、使用漫游賬戶和文件夾重定向技術(shù)，個人賬戶的工作文件及數(shù)據(jù)等可以存儲在效勞器上，統(tǒng)一進展備份、管理，用戶的數(shù)據(jù)更加平安、有保障。6、方便用戶使用各種資源。7、SMS〔SystemManagementServer〕能夠分發(fā)應用程序、系統(tǒng)補丁等，用戶可以選擇安裝，也可以由系統(tǒng)管理員指派自動安裝。并能集中管理系統(tǒng)補丁〔如WindowsUpdates〕，不需每臺客戶端效勞器都下載同樣的補丁，從而節(jié)省大量網(wǎng)絡帶寬。8、資源共享用戶和管理員可以不知道他們所需要的對象確實切名稱，但是他們可能知道這個對象的一個或多個屬性，他們可以通過查找對象的局部屬性在域中得到一個所有屬性相匹配的對象列表，通過域使得基于一個或者多個對象屬性來查找一個對象變得可能。9、管理A、域控制器集中管理用戶對網(wǎng)絡的訪問，如登錄、驗證、訪問目錄和共享資源。為了簡化管理，所有域中的域控制器都是平等的，你可以在任何域控制器上進展修改，這種更新可以復制到域中所有的其他域控制器上。B、域的實施通過提供對網(wǎng)絡上所有對象的單點管理進一步簡化了管理。因為域控制器提供了對網(wǎng)絡上所有資源的單點登錄，管理遠可以登錄到一臺計算機來管理網(wǎng)絡中任何計算機上的管理對象。在NT網(wǎng)絡中，當用戶一次登陸一個域效勞器后，就可以訪問該域中已經(jīng)開放的全部資源，而無需對同一域進展屢次登陸。但在需要共享不同域中的效勞時，對每個域都必須要登陸一次，否那么無法訪問未登陸域效勞器中的資源或無法獲得未登陸域的效勞。10、可擴展性在活動目錄中，目錄通過將目錄組織成幾個局部存儲信息從而允許存儲大量的對象。因此，目錄可以隨著組織的增長而一同擴展，允許用戶從一個具有幾百個對象的小的安裝環(huán)境開展成擁有幾百萬對象的大型安裝環(huán)境。11、平安性域為用戶提供了單一的登錄過程來訪問網(wǎng)絡資源，如所有他們具有權(quán)限的文件、打印機和應用程序資源。也就是說，用戶可以登錄到一臺計算機來使用網(wǎng)絡上另外一臺計算機上的資源，只要用戶具有對資源的適宜權(quán)限。域通過對用戶權(quán)限適宜的劃分，確定了只有對特定資源有合法權(quán)限的用戶才能使用該資源，從而保障了資源使用的合法性和平安性。12、可冗余性每個域控制器保存和維護目錄的一個副本。在域中，你創(chuàng)立的每一個用戶XX都會對應目錄的一個記錄。當用戶登錄到域中的計算機時，域控制器將按照目錄檢查用戶名、口令、登錄限制以驗證用戶。當存在多個域控制器時，他們會定期的相互復制目錄信息，域控制器間的數(shù)據(jù)復制，促使用戶信息發(fā)生改變時〔比方用戶修改了口令〕，可以迅速的復制到其他的域控制器上，這樣當一臺域控制器出現(xiàn)故障時，用戶仍然可以通過其他的域控制進展登錄，保障了網(wǎng)絡的順利運行。明確系統(tǒng)規(guī)劃目標企業(yè)的Windows2021AD系統(tǒng)規(guī)劃構(gòu)建是為企業(yè)信息化建立效勞的，需要到達以下戰(zhàn)略目標：圍繞企業(yè)的戰(zhàn)略開展需要，進展企業(yè)信息化建立系統(tǒng)規(guī)劃，滿足企業(yè)3-5年的業(yè)務開展對IT建立的要求；以業(yè)務為驅(qū)動，通過有效的信息系統(tǒng)，加強信息共享和協(xié)同辦公，提高工作效率，降低本錢；整合企業(yè)現(xiàn)有信息資產(chǎn)，加強企業(yè)管理與監(jiān)控；從信息中挖掘知識，提高經(jīng)營決策與駕馭風險的能力；推進知識管理理念，建立知識型企業(yè)，增強企業(yè)的核心競爭力。Windows2021AD系統(tǒng)規(guī)劃實施的具體目標如下：規(guī)劃和部署基于Windows2021AD的企業(yè)目錄效勞，首先實現(xiàn)用戶的單一登錄，保障網(wǎng)絡系統(tǒng)平安；通過AD實現(xiàn)用戶桌面的集中和自動管理，分發(fā)軟件補?。贿M一步部署微軟的相關(guān)應用平臺軟件，如實現(xiàn)基于Exchange2003的企業(yè)內(nèi)部和協(xié)作效勞，活動目錄設計方案為企業(yè)設計一個域，用戶的所有計算機〔效勞器和客戶機〕全部參加到域，用戶實現(xiàn)單一登錄和管理員通過域組策略實現(xiàn)平安及桌面管理。AD架構(gòu)拓撲如下?；顒幽夸泝?yōu)勢計算機工作組管理和AD管理比擬 對于基于MicrosoftWindows操作系統(tǒng)的計算機運行和管理在兩種模式下：工作組(workgroup)和域(domain)。 在工作組模式下，計算機處于一個孤立狀態(tài)，使用計算機的用戶登錄XX和計算機的管理均須在每臺計算機上創(chuàng)立或進展。見以下圖。當計算機超過20臺以上時，計算機的管理變得越來越困難，并且要為用戶創(chuàng)立越來越多的訪問網(wǎng)絡資源的XX，用戶要記住多個訪問不同資源的XX。而在域的模式下，用戶只需記住一個域XX，即可登錄訪問域中的資源。并且管理員通過組策略，可以輕松配置用戶的桌面工作環(huán)境和加強計算機平安設置。域模式下所有的域XX保存在域控制器的活動目錄數(shù)據(jù)庫中。見以下圖。為什么要提供目錄效勞?對更加強大、透明且高度集成的目錄效勞的不斷需求是由爆炸性增長的網(wǎng)絡計算所導致的。隨著局域網(wǎng)〔LAN〕、廣域網(wǎng)〔WAN〕規(guī)模與復雜性的不斷提高和這些網(wǎng)絡不斷被連入Internet，以及應用程序?qū)W(wǎng)絡的依賴程度不斷增強并不斷被到協(xié)作企業(yè)網(wǎng)中的其它系統(tǒng)上，對目錄效勞的需求也日漸增多。基于以下原因，目錄效勞成為擴展的計算機系統(tǒng)中最重要的部件之一：簡化管理提供對用戶、應用程序和設備的單一、一致性的管理點。加強平安性向用戶提供單一的網(wǎng)絡資源登錄，為管理員提供強大、一致性的工具以使他們能夠管理為內(nèi)部臺式機用戶、遠程撥號用戶以及外部電子商務客戶提供的平安效勞。擴展的互操作性向所有活動目錄特性提供基于標準的存取方式以及對通用目錄的同步支持。目錄效勞兼任管理工具和用戶工具。隨著網(wǎng)絡中對象數(shù)量的增加，目錄效勞變得必不可少。目錄效勞在一個龐大的分布式系統(tǒng)中發(fā)揮著網(wǎng)絡集線器的作用。致力于這些需求，Windows2000效勞器版引入了活動目錄--即一套用于改良Windows網(wǎng)絡操作系統(tǒng)管理、平安性和互操作性的完整的目錄效勞集。以下圖描述了活動目錄帶來的計算機平安和管理上的一些最重要的好處。AD簡化了計算機系統(tǒng)管理分布式系統(tǒng)常常導致時間的消耗和管理的冗余。當公司在他們的根底構(gòu)造上添加應用程序并雇用新的職員時，他們需要適當?shù)叵蚋髯烂嫦到y(tǒng)分發(fā)軟件并管理多個應用程序目錄。通過在單一的位置管理用戶、組和網(wǎng)絡資源以及分發(fā)軟件和管理桌面系統(tǒng)配置，活動目錄可以顯著降低公司的管理費用。例如，活動目錄在同一個位置管理Windows用戶和MicrosoftExchange信息?；谝韵略颍顒幽夸浛梢詮囊韵路矫鎺椭竞喕芾恚合哂喙芾砣蝿仗峁indows用戶賬號、客戶、效勞器和應用程序以及現(xiàn)存目錄同步能力進展單一點管理。降低桌面系統(tǒng)的行程針對用戶在公司中所擔當?shù)慕巧詣酉蚱浞职l(fā)軟件，以減少或消除系統(tǒng)管理員為軟件安裝和配置而安排的屢次行程。更好的實現(xiàn)IT資源的最大化平安地將管理功能分派到組織機構(gòu)的所有層次上。降低總體擁有本錢〔TCO〕通過使網(wǎng)絡資源容易被定位、配置和使用來簡化對文件和打印效勞的管理和使用。加強平安性強大且一致的平安效勞對企業(yè)網(wǎng)絡而言是必不可少的。管理用戶驗證和訪問控制的工作往往單調(diào)乏味且容易出錯。活動目錄集中進展管理并加強了與組織機構(gòu)的商業(yè)過程一致、且基于角色的平安性。例如，對多身份驗證協(xié)議〔如Kerberos，X.509認證以及由靈活的訪問控制模型組成的智能卡〕的支持實現(xiàn)了對于內(nèi)部桌面系統(tǒng)用戶、遠程撥號用戶和外部電子商務客戶強大且一致的平安效勞?；顒幽夸浭褂靡韵路椒ㄔ鰪娖桨残裕焊牧剂嗣艽a的平安性和管理通過向網(wǎng)絡資源提供單一的集成、高性能且對終端用戶透明的平安效勞。保證桌面系統(tǒng)的功能性通過根據(jù)終端用戶角色鎖定桌面系統(tǒng)配置來防止對特定客戶主機操作進展訪問，例如軟件安裝或注冊項編輯。加速電子商務的部署通過提供對平安的Internet標準協(xié)議和身份驗證機制的內(nèi)建支持，如Kerberos,公開密鑰根底設施〔PKI〕和平安套接字協(xié)議層〔SSL〕之上的輕便目錄訪問協(xié)議〔LDAP〕。嚴密的控制平安性通過對目錄對象和構(gòu)成他們的單獨數(shù)據(jù)元素設置訪問控制特權(quán)。重要組策略介紹軟件分發(fā)策略通過組策略可以為域中的計算機或用戶自動分發(fā)帶有msi包的軟件。見以下圖。將用戶的個人數(shù)據(jù)從pc機上重定向到效勞器上重定向有利于數(shù)據(jù)的平安以及集中備份。見以下圖。平安類組策略密碼策略“強制密碼歷史〞設置確定在重用舊密碼之前必須與用戶XX相關(guān)的唯一新密碼的數(shù)量。配置“密碼最長使用期限〞設置，以便密碼在環(huán)境需要時過期?！懊艽a最短使用期限〞設置確定了用戶更改密碼之前必須使用密碼的天數(shù)?！白疃堂艽a長度〞設置確XX碼至少包含指定數(shù)量的字符?！懊艽a必須符合復雜性要求策略〞選項檢查所有新密碼以確保它們符合強密碼的根本要求。賬號鎖定策略XX鎖定策略是一項WindowsServer2021平安功能，它在指定時間段內(nèi)屢次登錄嘗試失敗后鎖定用戶XX。允許的嘗試次數(shù)和時間段是由為平安策略鎖定設置配置的值決定的。用戶不能登錄到鎖定的XX。“XX鎖定時間〞設置確定在未鎖定XX且用戶可以嘗試再次登錄之前所必須經(jīng)歷的時間長度“XX鎖定閾值〞設置確定用戶在XX鎖定之前可以嘗試登錄XX的次數(shù)?！皬臀籜X鎖定計數(shù)器〞設置決定了“XX鎖定閾值〞復位為0以及XX被解鎖之前所必須經(jīng)過的時間長度。禁用本地管理員XX 默認情況下，每臺參加到域中的計算機都有Administrator和Guest兩個XX，AdministratorXX在安裝時口令為空。用戶使用這個XX權(quán)限過大，因此一般不會給用戶使用這個管理員XX，最好的做法就是通過組策略禁用這個XX，用戶使用域的XX。將域XX參加到每臺PC機的本地PowerUsers組中 創(chuàng)立域XX時，默認情況下這個XX只屬于DomainUsers組中，該組屬于每臺PC機的本地Users組。本地Users組中的成員權(quán)限受到嚴格限制，比方共享文件夾，安裝打印機驅(qū)動程序等工作的權(quán)限都沒有。而經(jīng)常有用戶需要這些權(quán)限，可以通過組策略來實現(xiàn)。禁用系統(tǒng)效勞我們?yōu)閮?yōu)化系統(tǒng)和平安性考慮，經(jīng)常要禁用計算機的一些無需運行的效勞。我們可以通過組策略把這些效勞禁用掉。軟件限制策略 對一些規(guī)定不得使用的軟件可以通過組策略來禁用：路徑規(guī)那么：特殊文件路徑下的軟件不得使用：如programfiles下的某些軟件證書規(guī)那么：只有系統(tǒng)管理員頒發(fā)過證書的軟件可以使用，其他軟件制止使用哈希規(guī)那么：對制止使用的軟件通過哈希運算得到這個軟件的身份指紋，在組策略里設置只要是符合身份指紋鑒定的軟件就進展限制網(wǎng)絡連接控制策略 用戶經(jīng)常會通過改變“網(wǎng)絡連接〞中的設置，繞過企業(yè)防火墻，建立自己的上網(wǎng)鏈路，比方撥號上網(wǎng)。這樣會帶來很大的平安隱患?？梢酝ㄟ^組策略限制用戶不得改變網(wǎng)絡連接中的配置，不允許用戶通過其他方式連接互聯(lián)網(wǎng)。計算機從工作組參加到域可能存在的問題和解決方法把計算機從工作組模式參加到域模式可能會出現(xiàn)以下二個問題問題：一些軟件不能使用。有一些軟件以登錄者的管理員權(quán)限XX運行，當計算機參加到域并對登錄XX做了權(quán)限設置，或禁用了本地管理員XX，這些需要管理員權(quán)限運行的軟件就有可能不能正常運行。用戶桌面環(huán)境發(fā)生改變。由于參加域前后用戶是用不同的XX登錄的，因此用戶以前的桌面環(huán)境無法使用。具體有桌面上放置的資料“我的文檔〞等放置的資料配置好的“網(wǎng)絡打印機〞IE里設置好的“收藏夾〞等。解決方法：對問題1我們可以按以下兩個方法來解決：把域XX參加到本地管理員組卸載軟件，用域XX登錄并安裝對問題2針對不同的問題分別解決如下：把本地老XX下的桌面內(nèi)容全部備份下來，復制到新域XX的桌面把本地老XX下的“我的文檔〞內(nèi)容全部備份下來，復制到新域XX的“我的文檔〞重新連接和創(chuàng)立“網(wǎng)絡打印機〞用特殊軟件把老XXIE里的“收藏夾〞備份下來，然后恢復到新域XX中活動目錄方案實施AD域命名和DNS的規(guī)劃Windows2021AD域命名和DNS的規(guī)劃之所以放在首要地位，是因為AD作為整個IT架構(gòu)的根底，不應該輕易被調(diào)整。盡管安裝后，Windows2021AD仍然可以重組和改名，這一點比Windows2000AD有了很大的進步，但是我們?nèi)匀唤ㄗh做一個長遠規(guī)劃，使得域命名和DNS效勞能夠滿足企業(yè)3-5年的需求，盡量防止配置好后改作調(diào)整地巨大人力物力浪費。此外，部署Windows2021AD，還必須確定DNS效勞器，確保它們滿足域控制器定位器系統(tǒng)的要求。一個支持AD的DNS至少需要滿足以下要求：必須支持效勞定位資源記錄〔SRV〕應該支持DNS動態(tài)更新協(xié)議〔RFC2136〕Windows2021Server提供的DNS效勞同時滿足這些要求，并且還提供以下重要的附加功能和改良：ActiveDirectory集成：DNS效勞把區(qū)域數(shù)據(jù)存儲在目錄中，使得DNS復制創(chuàng)立多個主域，也減少了對維護一個單獨的DNS區(qū)域傳送復制拓撲的要求。平安動態(tài)更新：使得一個管理員可以準確地控制哪些計算機可以更新哪些名稱，并防止未經(jīng)授權(quán)的計算機從DNS獲得現(xiàn)有的名稱。條件轉(zhuǎn)發(fā)：根據(jù)不同的對外訪問的域名后綴，可以將用戶的DNS名稱解析請求轉(zhuǎn)發(fā)到不同的外部DNS效勞器。存根區(qū)域：可以定時地刷新和外部DNS效勞器的連接，及時發(fā)現(xiàn)那些可能有故障、不再響應用戶請求的效勞器，提高用戶DNS名稱解析的效率。確定AD邏輯構(gòu)造Windows2021活動目錄的邏輯構(gòu)造由三個根本組件組成：森林、域和OU。確定森林規(guī)劃森林是Windows2021AD域的集合。在很多情況下，單一森林就足夠了。單一森林環(huán)境易于建立和維護，森林間的域自動建立雙向可傳遞內(nèi)部信任關(guān)系，不要求手動建立外部信任配置，在安裝Exchange2021Server等應用程序時，只需應用一次架構(gòu)更改即可影響所有域。如果各個單位有以下管理要求，就必須建立一個以上的森林：不互相信任管理員。希望限制信任關(guān)系X圍。不同意某種森林架構(gòu)更改策略。架構(gòu)更改、配置更改會影響到森林中所有的域。如果單位不同意一個公共架構(gòu)策略，它們就不能共存于同一個森林中。制定域規(guī)劃規(guī)劃域構(gòu)造時，始終遵循“簡單是最好的投資〞的設計原那么，盡管增加某些復雜構(gòu)造可以增值，但是簡單的構(gòu)造更易于說明、維護和調(diào)試。一開場時總是僅考慮每個森林中僅有一個域，然后為每一個增加的新域提供詳細的理由，確保添加到森林中的域都是有益的，因為它們會帶來相應的管理開銷而導致一定程度的本錢上升。創(chuàng)立更多的域的三種可能的原因是：希望實現(xiàn)相對分散式得IT管理模式：多域構(gòu)造更容易進展相對獨立的管理、委派和權(quán)限控制。另外，不同的用戶XX在一個域內(nèi)是不能出現(xiàn)重名的，多域之間就沒有限制。對于人士管理相對獨立的集團下屬公司，多域構(gòu)造具有更好的靈活性。希望實現(xiàn)不同管理策略要求：包括用戶口令策略、賬戶鎖定策略和EFS加密策略。例如，要求某些人必須取8個字符以上的口令，而其它人不做限制。為此，必須將這些需要不同平安策略的用戶放在單獨的域中。希望減小WAN上的復制流量：域控制器域間復制將產(chǎn)生比域內(nèi)復制少的多的流量。如果公司很大，具有跨地區(qū)的組織構(gòu)造，且處于同一個森林內(nèi)，那么在不同地理位置上的機構(gòu)可能使用慢速的WAN鏈路連接。為減少WAN上的DC復制流量，可以在不同的地理位置設置不同的域。根據(jù)以上考慮，我們建議，企業(yè)Windows2021AD域邏輯構(gòu)造可以采用“單森林、單域〞的構(gòu)造設計。確定AD物理構(gòu)造考慮到企業(yè)的地理分布情況，應該考慮使用多站點拓撲來規(guī)劃Windows2021AD物理構(gòu)造。從繪制根本的網(wǎng)絡拓撲布局圖著手工作，繪制所有可能的站點〔Site〕和站點〔SiteLink〕。速度快〔10Mbps以上〕、連接可靠的LAN網(wǎng)絡總是放置在單站點中。站點定義為一組通過快速、可靠的線路連接起來的IP子網(wǎng)。一般而言，具有LAN速度或更快速度的網(wǎng)絡被認為是快速網(wǎng)絡。窄帶的、或不太可靠的連接可以使用站點建立多站點網(wǎng)絡。通常，WAN連接一般被認為是窄帶連接。如果建立站點，實現(xiàn)多站點網(wǎng)絡模式，那么：客戶計算機在登錄到域時首先試圖與位于同一站點的DC通信；Windows2021AD復制使用站點拓撲產(chǎn)生復制連接。規(guī)劃OU構(gòu)造和組策略組織單元〔OU〕是一個用來在域中創(chuàng)立分層管理單位的容器。在域中創(chuàng)立OU構(gòu)造時，必須注意始終按照“誰管理什么〞的原那么，從IT管理的需要出發(fā)，劃分管理模型的構(gòu)造，而不是簡單按照公司業(yè)務單位和它的不同分支、部門和工程來創(chuàng)立OU構(gòu)造?？紤]OU的以下特性是很重要的：OU可以是嵌套的。一個OU可以包含子OU，使得可以在域中創(chuàng)立一個分層的目錄樹構(gòu)造。但是嵌套太多將導致管理復雜和低效，所以建議以二級嵌套為最理想，最多不應超過四級嵌套。OU可以用來委派管理和控制對目錄對象的訪問。不能使OU成為平安組的成員，也不能因為用戶被委派管理OU或駐留在OU中而自動獲得訪問資源的權(quán)限。可以在OU上實施組策略。組策略是基于Windows2021注冊表的修改，從而集中控制用戶和計算機的工作環(huán)境、桌面配置、軟件自動安裝和刪除的管理手段。一般而言，平安策略必須在域級別實施，其它策略主要在OU級別實施。不鼓勵用戶在OU構(gòu)造中瀏覽。沒有必要設計一個吸引最終用戶的OU構(gòu)造。盡管用戶有可能瀏覽一個域的OU構(gòu)造，但對于用戶查找資源來說，這并不是一個最有效的方法。在目錄中查找資源的最有效的方法是查詢?nèi)志庝?。有兩個理由需要在Windows2021域中創(chuàng)立OU構(gòu)造：創(chuàng)立OU以管理對象和委派授權(quán)。為組策略創(chuàng)立OU。一個完全為管理和委派而設計的OU構(gòu)造與一個完全為組策略而設計的OU構(gòu)造是不同的。OU構(gòu)造將很快變得相當復雜。每次添加一個OU到規(guī)劃中時，要記下創(chuàng)立的具體原因。這有助于確保每個OU有一個目的，并將幫助閱讀規(guī)劃的人理解構(gòu)造所基于的理由。創(chuàng)立OU以管理和委派在單位中委派管理有一些好處。以前，在單位中除了IT之外的組可能必須將更改請求提交到高級管理員，高級管理員代表他們進展更改。委派特定的權(quán)限可以將責任分散到單位中的各個組，使您可以將必須有高級訪問權(quán)限的用戶的數(shù)量降到最少。權(quán)限受到限制的管理員所發(fā)生的事故或錯誤所產(chǎn)生的影響只限于他們負責的X圍。這一工作包括以下步驟：確定創(chuàng)立何種OU創(chuàng)立的OU構(gòu)造將完全取決于管理是如何在單位中委派的。委派管理的三種方法是：按物理位置、按業(yè)務單位〔公司部門〕、按角色或任務。三種方法經(jīng)常結(jié)合使用。修改訪問控制列表：修改OU的訪問控制列表(ACL)可以授予一個組對OU的特定權(quán)限，從而實現(xiàn)對該OU的委派管理。盡量委派權(quán)限給組賬戶而不是單獨的用戶，如果可能，委派到本地組而不是全局組或通用組。委派步驟。從域中的默認構(gòu)造開場，按以下主要步驟創(chuàng)立OU構(gòu)造：通過委派完全控制創(chuàng)立OU的頂層；創(chuàng)立OU的下層來委派每個對象類別控制。創(chuàng)立OU支持組策略使用Windows2021，可以使用組策略定義用戶和計算機配置，并將這些策略與站點、域或OU關(guān)聯(lián)。是否要創(chuàng)立附加的OU以支持組策略的應用取決于制定的策略以及所選擇的實現(xiàn)方案，包括：定義客戶計算機的管理與桌面配置標準定義軟件的自動分發(fā)特殊組策略應用配置與管理在Windows2021中，組策略設置是管理員啟用集中更改和配置客戶計算機管理的主要方法?？捎媒M策略為某個特定的用戶組和計算機組創(chuàng)立指定的平安限制和桌面環(huán)境配置。Windows2021組策略有100多種與平安有關(guān)的設置和450多種基于注冊表的設置，為您管理用戶計算機環(huán)境提供了眾多項選擇項。Windows2003組策略：可根據(jù)活動目錄定義或在計算機本地進展定義；可用Microsoft管理控制臺〔MMC〕或*.adm文件保存和管理；是平安的；不會在實施的策略改變時把設置留在用戶配置文件中；可應用于指定的活動目錄容器〔站點、域與OU〕中的用戶或計算機；可由平安組的用戶或計算機成員進一步控制；可用來配置多種類型的平安設；可用于實施登錄、注銷、啟動及關(guān)閉腳本；可用于安裝和維護軟件；可用于重定向文件夾〔如MyDocuments和ApplicationData文件夾〕；可用于在MicrosoftInternetExplorer中執(zhí)行維護?？梢园匆韵氯齻€