麝香葡萄之夜第一季:域网络构建教程（3 ）创建用户及计算机账户（2003Server）

创建用户及计算机账户
        我们辛辛苦苦建立了域环境的目的就是为了使我们的网络有一个良好的管理性和操控性，为用户及计算机建立账户正是这一工作的起点。
       在进行这一工作之前请注意三点。第一：分析网络中的软件环境和权限分配，分门别类的罗列出来。第二：依据第一点，对整个网络中的人员和设备的结构和关系进行规划整理，为下一步域环境下的组以及组织单元的安排打下良好基础。第三：所有的设置都应经过详细的测试之后再应用于生产环境。第三条非常重要，它通用于域的方方面面。在实际工作中稳定高于一切，请务必牢记这一点。至于教训嘛，你忘记这一点就会得到的。
       首先我们要在域控制器上建立账户。老祖宗说的好——物以类聚、人以群分，现在我们要用到前文所述的规划了。根据权限（主要是针对各种资源的访问权限）的不同把账户分组，再根据使用环境（主要是计算机的软件系统）的不同把组放入组织单位。从未接触过域的人听着已经云山雾罩了。下面我们来逐步实行。
一、建立计算机账户
在域控制器的管理工具中找到Active Directory用户和计算机，它是建立及管理账户的集中化工具，打开后的窗口如图：
               
一般情况下，计算机账户要通过在客户机上的设置其加入域来自动添加到上图的Computers文件夹下。
在客户机上的操作步骤如下：右击我的电脑——选择属性，在弹出的对话框中选择计算机名选项卡，其中有两个按钮——网络ID和更改。如图：
       
在实际使用中，这两个选项卡都可以将计算机加入到域中。个人感觉网络ID提供的步骤更像是一个向导过程（当然就显得啰嗦些了），而且在最后提供了将指定的域用户添加到本机用户组（可根据权限选择不同的组）的选项。
更改的步骤就简单多了，直接输入域名即可。首先点击更改按钮在弹出的对话框中选择域并输入你的域名，如图：

点击确定，输入用户名和密码。这里说明一下，2003系统建立的域环境中，你新建的每一个用户账户，默认都可以添加10台计算机进入域中。我这里用的是域管理员，之前说过这个账户具有无限的权利，所以它不受这种限制。如图：

操作成功后会弹出欢迎加入的对话框。如图：

这是在域控制器的管理界面上就已经可以看到这个计算机账户了。如图：

计算机加入域后，会对本机用户组自动进行如下设置：将域管理员组（DomainAdmins）放入本机管理员组（Administrators），将域普通用户组（DomainUsers）放入本机普通用户组（Users）。这样相应的域账户在客户机上就有了对应的权限了。
一系列的确定并重新启动计算机后，就可以通过选择登录到本机还是域（如果看不到这一项，点击选项按钮就看到了），并输入相应的用户名及密码来进入域环境下使用了。
二、建立用户账户
还是使用AD用户和计算机这一管理工具。在建立用户账户前，我们先来看看当2003系统成为域控制器后，在用户账户方面有了哪些变化。先说明一下，域控制器上已经不存在本地用户和组了，现在我们看看有些什么。打开Users文件夹，如图：
       
        在User文件夹上右击，选择新建用户即可创建一个新的用户账户。如图：
       
       
       
建立用户账户时可能会遇到密码不符合要求的错误，如图：

这时我们可以通过更改域安全策略来改变这个设置。这里要注意的是密码策略只能在域这一级更改并在全域生效，之下的级别更改密码策略是没用的。
在打开的用户和计算机管理界面中，右击域名——选择属性——选择组策略选项卡，对默认的域策略进行编辑。如图：

在组策略编辑器中，找到密码策略并进行设置。如图：

如果设置完成后，新建用户时还报告相同的错误的话，没关系，组策略的应用就是有延迟。我们可以通过在运行中输入并执行命令——gpupdate /force来提醒域控制器，让刚才设置的密码策略立即生效。就像是推推它说：嗨，快点让我刚才的设置起作用。
现在，我可以顺利的建立test这个用户账户了。于是Users下多了个用户。如图：

三、将用户和计算机账户分类
这里的分类涉及两个概念：一个是组，一个是组织单位。组用以将具有相同权限的用户组织在一起，便于统一分配权限。组织单位则是对具有同一类管理特点的账户（用户或计算机）进行分类的场所，分类后使用组策略进行管理操作。
我一般都把组放入Users文件夹下，组织单位自成一个系统。个人认为最好将用户和计算机分为不同的组织单位进行管理，在组织单位中可以建立2-3级的继承关系。这种管理方式形成的组策略读起来感觉比较清楚。这些原则都是为了在系统日渐庞大时用以保证环境的清晰可读，不是硬性的要求。
现在我们只进行组织单位的建立，组的建立在用到其功能时再进行。具体操作如图：



最终建立如下图所示的层次结构。如图：

接下来我们把相应的用户或计算机账户移入其中，这个操作既可以使用菜单也可以直接拖放操作（2003的新功能之一）。如图：
       

将Users下的test用户移动到测试用户组织单元内。
现在万事具备，接下来我们要吹一吹组策略这个东风了（吹一吹，我怎么会用了这么一个词）。