1、服務器配置學習單元3 配置大型企業服務器韓立凡、王浩單元概要在大型企業中通過使用Active Directory域，可將網絡中的多臺計算機在邏輯上組織到一起，可方便的對網絡資源進行集中管理，讓用戶可以更便捷安全的去訪問網絡資源，從而大大降低網絡管理成本。除此之外，在大型企業里大部分服務都是基于群集負載平衡建立，負載平衡是一種廉價且有效的擴展服務器帶寬和增加服務性能的技術手段，它可以加強服務的處理能力，提高網絡的靈活性和可用性，以及防止單點故障所造成的損失。本單元從安裝Active Directory開始，學習如何管理域模式計算機、對域模式計算機進行統一部署、升級更新Active Directo

2、ry、遷移Active Directory和配置網絡服務的負載平衡。單元目標1）具備提煉服務器方案有效信息的能力2）初步具備Active Directory域的規劃與設計能力3）具備安裝與配置Active Directory服務器實現資源統一管理的能力4）具備將Active Directory服務升級到更高版本的能力5）具備將Actvice Directory服務遷移到其他服務器且正常運行的能力6）具備調試網絡服務的能力7）具備安裝與配置負載平衡服務器實現服務冗余的能力8）具備獨立思考，依據工作需要學習新知識、新技術的能力9）具備與人團結協作的能力10）具備協調網絡資源，保證服務器高效運行的能

3、力單元情境晨光公司發展至今已經成為行業領先企業，公司規模較大，擁有約200臺計算機、100臺筆記本和10余臺服務器。由于客戶機較多，目前的系統管理員沒有辦法對終端進行統一有效的維護和部署，這給公司的IT部門帶來巨大的工作量。經過部門內部討論，總結出了目前公司幾個需要解決的問題。第一個問題，目前公司電子產品資產比較多，按照行政部的要求，IT部門需要對資產使用人和地點等信息的進行登記，以便控制企業資產和安全性管理。第二個問題，公司為所有員工配備了計算機，而每個員工根據自己的喜好安裝了不同的軟件，其中部分軟件會影響終端的使用，所以現在IT部門想為所有終端同一部署軟件環境，提高員工工作效率。第三個問題

4、，電子產品的更新換代速度非常快，IT部門需要站在不同角度考慮服務器的操作系統和管理手段。第四個問題，隨著公司的壯大，目前Web服務器已經不能滿足日常的業務需求，需要通過一些手段來提高Web服務的高可持續性。項目1 使用Active Directory實現資源統一管理項目2 將原有域遷移至新的服務器項目3 搭建負載平衡群集實現Web服務器冗余項目描述晨光公司為更好的管理員工所使用的終端，要求通過Windows Server系統中Active Directory功能進行Windows客戶端的管理，以提高員工工作效率，實現更多的管理目的。項目分析本項目要進行Active Directory的部署，通

5、過Active Directory自身功能對客戶端進行進一步的應用管理。安裝完Active Directory后要，將所有客戶端加入企業域中，之后統一安裝部門所需的軟件，最后進行安全管理。安裝Active Directory配置服務配置客戶端部署軟件安全管理項目分析知識鏈接什么是Active Directory？ Active Directory是將網絡資源按照有序的方法進行分類和管理，這里提到的網絡資源是指服務器、客戶機、用戶賬戶、打印機或掃描儀等。Active Directory可以幫我們找到一臺在某個辦公室的打印機，找到一個用戶或者驗證用戶是否有對某個共享有訪問權限。同時他還支持單一登錄

6、（SSO），即一次登錄后就可以訪問整個網絡。任務1 安裝Windows Active Directory任務2 管理域用戶任務3 為客戶機分發軟件任務4 使用組策略限制用戶使用行為任務描述晨光公司系統管理員要在現有Windows Server 2008 R2服務器上安裝Windows Active Directory 服務，以滿足公司行政部門登記固定資產需求和IT部門的統一管理需求。任務1 安裝Windows Active Directory任務分析整個Active Directory安裝過程是通過系統向導進行，但在安裝前，管理員需要確定正確的企業域名、DNS系統命名規則和網絡參數，這些參數在

7、完成Active Directory安裝后變更會中斷整個Active Directory服務，中斷服務會造成企業不可估量的損失。任務1 安裝Windows Active Directory添加Active Directory角色使用dcromo進行安裝配置服務完成安裝任務實施步驟1、使用添加角色向導安裝Active Directory服務1）單擊“開始”“服務器管理器”，打開“服務器管理器”窗口。2）在“服務器管理器”窗口中，在“角色”上單擊右鍵，在彈出的快捷菜單中選擇“添加角色”命令。3）打開“添加角色向導”，在“開始之前”對話框中單擊“下一步”按鈕。4）在“選擇服務器角色”對話框中選中“A

8、ctive Directory 域服務”復選框。任務1 安裝Windows Active Directory任務實施步驟1、使用添加角色向導安裝Active Directory服務5）在彈出的“是否添加Active Directory域服務所需的功能？”對話框，單擊“添加必需的功能”按鈕。6）返回“選擇服務器角色”對話框中單擊“下一步”按鈕。7）在“Active Directory服務介紹”對話框中可查看相關介紹，然后單擊“下一步”按鈕。8）在“確認安裝選擇”對話框中，單擊“安裝”按鈕。任務1 安裝Windows Active Directory任務實施步驟1、使用添加角色向導安裝Active

9、 Directory服務9）系統開始安裝Active Directory域服務和其所必須的相關組件。10）出現“安裝結果”對話框，閱讀后單擊“關閉該向導并啟動Active Directory域服務安裝向導（dcpromo.exe）。”鏈接。任務1 安裝Windows Active Directory溫馨提示如何打開域安裝向導？ 如果不慎關閉了該對話框，可以單擊“開始”“運行”，輸入“dcpromo.exe”，通過該命令可以打開“Active Directory域安裝向導”。在早期的Windows Server 版本中系統管理員必須通過命令手動啟動“Active Directory域安裝向導”。

10、任務實施步驟2、使用dcpromo.exe安裝域服務1）彈出“歡迎使用Active Directory域服務安裝向導”對話框，單擊“下一步”按鈕。2）在“操作系統兼容性”對話框中，閱讀內容，單擊“下一步”按鈕。3）在“選擇某一部署配置”對話框中，選擇“在新林中新建域”單選按鈕，并單擊“下一步”按鈕。任務1 安裝Windows Active Directory任務實施步驟2、使用dcpromo.exe安裝域服務任務1 安裝Windows Active Directory知識鏈接什么是域？什么是林？ 域是“網絡”對象（用戶、組、計算機等）的分組，域中所有的對象都存儲在Active Director

11、y中，Active Directory也可以由一個或多個域組成。 一個或多個域樹可以組成林，同一個林中的域也可以相互共享架構、站點和復制以及全局編錄能力。在新林中創建的第一個域是該林的根域。任務實施步驟2、使用dcpromo.exe安裝域服務4）在“命名林根域”對話框中輸入企業域名“”，并單擊“下一步”按鈕。 任務1 安裝Windows Active Directory溫馨提示提前規劃好域名 管理員必須提前規劃好Active Directory 域名，這項參數在完成Active Directory安裝后變更會中斷整個Active Directory服務，中斷服務會造成企業不可估量的損失。 不建

12、議在域建立成功后再更改域的名字。任務實施步驟2、使用dcpromo.exe安裝域服務5）在“域NetBIOS名稱”對話框中單擊“下一步”按鈕。6）系統檢查是否有重名等名稱沖突問題，無需用戶操作，等待即可。7）在“設置林功能級別”對話框中設置林功能級別為“Windows Server 2008 R2”級別，并單擊“下一步”按鈕。 任務1 安裝Windows Active Directory任務實施步驟2、使用dcpromo.exe安裝域服務8）在“其他域控制器選項”中選中“DNS服務器”復選框，并單擊“下一步”按鈕。 任務1 安裝Windows Active Directory知識鏈接什么是全局

13、編錄（GC）？ 全局編錄是 Active Directory 域服務（AD DS）中所有對象的集合。全局編錄服務器是一個控制器，它存儲林中主持域的目錄中所有對象的完全副本，以及所有其他域中所有對象的部分的只讀副本。同時全局編錄服務器負責提供全局編錄查詢服務。任務實施步驟2、使用dcpromo.exe安裝域服務9）單擊“數據庫、日志文件盒SYSVOL的位置”對話框中的“下一步”按鈕。 任務1 安裝Windows Active Directory知識鏈接SYSVOL文件夾 SYSVOL文件夾是用來存儲域公共文件服務器副本的共享文件夾，例如系統將組策略設置、腳本等都是存在這個共享目錄中的。如果組織內

14、有多臺域控制器，那么它們就在域中所有的域控制器之間通過FRS服務進行相互復制，以提高Active Directory管理效率。任務實施步驟2、使用dcpromo.exe安裝域服務10）在“目錄服務還原模式的Administrator密碼”對話框中設置密碼，并單擊“下一步”按鈕。 任務1 安裝Windows Active Directory任務實施步驟2、使用dcpromo.exe安裝域服務11）在“摘要”對話框中查看配置集合結果，并單擊“下一步”按鈕。12）系統開始自動安裝和設置Active Directory，無需操作，等待即可。13）安裝完成，單擊“立即重新啟動”按鈕來完成服務器的重啟。

15、任務1 安裝Windows Active Directory任務測試 依次單擊“開始”“服務器管理器”，彈出“服務器管理器”窗口，單擊展開“角色”“Active Directory域服務”“Active Directory用戶和計算機”“”，如果能看到圖中所示的子文件夾，則證明該Active Directory域服務安裝完成。任務1 安裝Windows Active Directory相關知識目錄樹 目錄樹是指在名稱空間中，由容器和對象組成的邏輯層次結構。而目錄樹的末梢結點是對象。目錄樹除了還表達了各個容器和對象的連接方式還表達了一個對象到另一個對象的邏輯路徑。在Active Director

16、y中，目錄樹是最基本的邏輯結構。任務1 安裝Windows Active Directory相關知識趣圖學知工作組模式和域模式的區別 工作組模式的計算機是對等的關系，有計算機或服務器自主管理，隨時可加入和退出工作組。域模式，是由域控制器的一個計算機分組，加入和退出域都必須由域管理員操作（或者具有登錄域的用戶賬戶），域內成員服務器和計算機的策略遵循域策略優先的原則。管理模式的不同是二者的最大區別。任務1 安裝Windows Active Directory任務拓展實踐偉天公司域名為，偉天公司也想從原來的工作組模式變更到域模式，請為偉天公司構建域環境。思考安裝Active Directory服務的

17、機器稱之為DC，域里其他提供服務的服務器稱之為成員服務器，那么DC只能用域用戶登錄，而成員服務器卻能登錄到本地，這是為什么？任務1 安裝Windows Active Directory任務1 安裝Windows Active Directory任務2 管理域用戶任務3 為客戶機分發軟件任務4 使用組策略限制用戶使用行為任務描述晨光公司Active Directory服務已經部署完畢，此時系統管理員要為員工分配賬戶，除此之外針對不同工作崗位的員工，賬戶登錄的時間也有嚴格控制，例如像一線店面銷售人員，登錄時間必須按照約定的時間登錄。任務2 管理域用戶任務分析根據晨光公司的企業環境和要求，要為每一位

18、員工建立一個獨立的用戶賬號，并修改每個賬戶的個性化信息，以及對用戶登錄時間進行限制。任務2 管理域用戶創建組織單位創建用戶限制用戶登錄時間任務實施任務2 管理域用戶步驟1、創建組織單位1）單擊“開始”“服務器管理器”，打開“服務器管理器”窗口，展開“角色”“Active Directory域服務”“Active Directory用戶和計算機”“”，在域“”上單擊右鍵，在彈出的快捷菜單中選擇“新建”“組織單位”命令。任務實施任務2 管理域用戶步驟1、創建組織單位1）單擊“開始”“服務器管理器”，打開“服務器管理器”窗口，展開“角色”“Active Directory域服務”“Active Di

19、rectory用戶和計算機”“”，在域“”上單擊右鍵，在彈出的快捷菜單中選擇“新建”“組織單位”命令。知識鏈接什么是組織單位？ 組織單位是承載用戶、組、計算機和其它單位的容器，是可以指派組策略或委派管理權限的域或單元。通常在企業中，每個組織單位就是一個相對獨立的部門。任務實施任務2 管理域用戶步驟1、創建組織單位2）在“新建對象 - 組織單位”對話框中填寫相關部門信息，單后單擊“確定”按鈕。任務實施任務2 管理域用戶步驟2、創建用戶1）在“服務器管理器”中，在組織單位“renshi”上單擊右鍵，在彈出的快捷菜單中選擇“新建”“用戶”命令。任務實施任務2 管理域用戶步驟2、創建用戶2）在“新建對

20、象 用戶”對話框中填寫相關信息以及登錄名稱，然后單擊“下一步”按鈕。知識鏈接域用戶和本地用戶的區別 域用戶和本地用戶的區別就在于身份驗證的方式不同，本地用戶是通過本地SAM文件進行身份驗證，賬戶文件存放在本地。域用戶則通過一臺域控制器進行身份驗證，賬戶文件存放在域控制器上。任務實施任務2 管理域用戶步驟2、創建用戶3）填寫初始化密碼，并取消選中“用戶下次登錄時須更改密碼”選項，選中“用戶下次登錄時須更改密碼”、“密碼永不過期”復選框，然后單擊“下一步”按鈕。4）查看信息無誤后，單擊“完成”按鈕。任務實施任務2 管理域用戶步驟3、限制用戶登錄時間1）在“服務器管理器”窗口中，找到對應的組織單位，

21、在需要限制的用戶“yuangong1”上單擊右鍵，在彈出的快捷菜單中選擇“屬性”命令。任務實施任務2 管理域用戶步驟3、限制用戶登錄時間2）在“yuangong1屬性”對話框中，單擊“賬戶”選項卡，再單擊“登錄時間”按鈕。任務實施任務2 管理域用戶步驟3、限制用戶登錄時間3）在“yuangong1的登錄時間”對話框中，選中“拒絕登錄”單選按鈕，選中不允許登錄的時間（白色區域，單擊“確定”按鈕完成登錄時間的設置。溫馨提示“允許登錄”和“拒絕登錄”可靈活使用 在登錄時間限制對話框中，藍色區域表示允許登錄時間，白色區域表示拒絕登錄，可組合靈活使用。本任務中也可使用“允許登錄”來選中登錄時間（即藍色區

22、域）。在一個復雜的時間設置時，例如某用戶出星期二8:00到10:00外，星期一到星期五的早9點到晚17:00均可登錄，二者可結合使用比單獨選定操作速度更快。任務測試步驟1、將計算機加入域1）修改客戶機“本地連接”屬性，將客戶機“首選DNS服務器”地址指向域的域控制器“01” ，修改完畢后單擊“確定”按鈕退出。任務2 管理域用戶任務測試步驟1、將計算機加入域2）單擊開始按鈕，在“計算機”圖標上單擊右鍵，在彈出的快捷菜單中選擇“屬性”命令。任務2 管理域用戶任務測試步驟1、將計算機加入域3）在“系統”窗口單擊右下角的“更改設置”鏈接。任務2 管理域用戶任務測試步驟1、將計算機加入域4）在彈出的“系

23、統屬性”對話框的“計算機名”選項卡中單擊“更改”按鈕。5）在“計算機名/域更改”對話框中的隸屬于框架內選中“域”單選按鈕，在下面的文本框中輸入要加入的域“” ，然后單擊“確定”按鈕。任務2 管理域用戶任務測試步驟1、將計算機加入域6）在“Windows安全”對話框中輸入具有權限加入域的賬戶的名稱和密碼，此處輸入的是域管理員的用戶、密碼，輸入完畢后單擊“確定”按鈕。7）域控制器會進行身份驗證，驗證通過后會彈出加入域成功的提示信息，單擊“確定”按鈕。8）要完成加入域操作，需單擊“確定”按鈕之后重新啟動計算機。任務2 管理域用戶任務測試步驟2、使用員工賬戶登錄1）使用賬戶“yuangong1”登錄到

24、域名，輸入完用戶名、密碼后單擊“”按鈕。2）如果用戶登錄時間受限，則會彈出提示，此用戶在規定時間段無法登錄到域。任務2 管理域用戶相關知識最小權限原則 最小權限原則是IT行業普遍執行的一種原則，該原則要求計算環境中的特定用戶或者計算機程序只能訪問當下所必需的信息或者資源，而其余資源均禁止訪問。賦予每一個合法動作最小的操作權限，就是為了保護數據以及功能避免受到錯誤或者惡意行為的破壞。任務2 管理域用戶任務拓展實踐晨光公司相對于其他大型企業來說人員結構相對簡單，一般大型企業都會擁有上千位員工，針對于上千位企業管理員不可能逐個的用戶創建，通過命令提示符來對用戶完成批量完成。思考企業中的安全規范都是逐

25、項建立，某些規則可能會修改所有用戶的某項屬性，針對于晨光公司企業管理員如何統一修改用戶的某一個屬性呢？任務2 管理域用戶任務1 安裝Windows Active Directory任務2 管理域用戶任務3 為客戶機分發軟件任務4 使用組策略限制用戶使用行為任務描述隨著晨光公司計算機數量的增多，目前企業管理員不能有效便捷的管理客戶端應用程序，除了非法軟件造成的版權問題以外，一些應用程序還會導致客戶端系統出現不能解決的問題，這些問題會給公司造成一系列損失。公司決定統一下發軟件安裝包，供員工使用。任務3 為客戶機分發軟件任務分析根據晨光公司的需求和環境，部署分發軟件前需要規劃分發哪些軟件，規劃完成后

26、須按照先后順序建立部署策略，最終按照策略分發給用戶。轉換部署軟件新建部署策略應用部署策略任務3 為客戶機分發軟件任務實施步驟1、軟件轉換 Windows Active Directory域中的軟件分發只能分發MSI格式的安裝包，微軟公司的軟件產品中大多提供了MSI的安裝程序，但其他公司一般只提供.exe格式的安裝包，在分發這些軟件之前，需要進行格式轉換。1）打開“Exe to MSI Converter”軟件，在軟件對話框中，單擊“”按鈕。任務3 為客戶機分發軟件任務實施步驟1、軟件轉換2）在“打開對話框中”雙擊選擇需要轉換的軟件。3）在軟件窗口中單擊“Build MSI”按鈕開始轉換。4）完

27、成轉換后彈出成功的提示信息，單擊“確定”按鈕。任務3 為客戶機分發軟件任務實施步驟1、軟件轉換5）在轉換軟件的根目錄下查看該軟件的MSI安裝包。任務3 為客戶機分發軟件任務實施步驟2、創建組策略1）共享MSI軟件目錄，允許所有用戶訪問下載，在作為共享的文件夾“soft”上單擊右鍵，在彈出的快捷菜單中選擇“屬性”命令。2）在“soft 屬性”對話框中切換到“共享”選項卡，單擊“共享”按鈕。任務3 為客戶機分發軟件任務實施步驟2、創建組策略3）在文本框中輸入“Everyone”，單擊“添加”按鈕，然后單擊“共享”按鈕。4）系統開始部署共享，無需操作，等待即可。任務3 為客戶機分發軟件任務實施步驟2

28、、創建組策略5）打開“服務器管理器”窗口，在“服務器管理器”中依次展開“功能”“組策略管理”“林：”“域”“” ，在“組策略對象”上單擊右鍵，在彈出的快捷菜單中選擇“新建”命令。任務3 為客戶機分發軟件任務實施步驟2、創建組策略6）在“新建GPO” 對話框輸入策略名稱，如“office”然后單擊“確定”按鈕。任務3 為客戶機分發軟件知識鏈接什么是GPO？ GPO（組策略對象），是多個組策略設置的集合。簡單的理解，就是設置了哪些限制策略，常和組織單位共同使用，組織單位就是被應用組策略的用戶和計算機。任務實施步驟2、創建組策略7）在“服務器管理器”中，在GPO項“office”上單擊右鍵，在彈出的

29、快捷菜單中選擇“編輯”命令。任務3 為客戶機分發軟件任務實施步驟2、創建組策略8）在“組策略管理編輯器”里依次展開“計算機配置”“策略”“軟件設置”，并、在“軟件安裝”上單擊右鍵，在彈出的快捷菜單中選擇“新建”“數據包”命令。任務3 為客戶機分發軟件經驗分享如何選擇軟件分發的作用對象？ 選擇用戶是指用戶在域中任何一臺計算機中登錄后，軟件會在該用戶登錄的計算機進行安裝。而選擇計算機的意思的不管是任何一個用戶登錄域中的這臺計算機都像這臺計算機安裝軟件。任務實施步驟2、創建組策略9）在彈出的打開“對話框”里選擇想要分發的軟件，然后單擊“打開”按鈕。10）在彈出的“部署軟件”對話框，選擇“已分配”，并

30、單擊“確定”按鈕。任務3 為客戶機分發軟件經驗分享如何選擇“已發布”和“已分配”？“已發布”是在控制面板的添加刪除程序中出現相關的選項供用戶選擇安裝，而“已分配”是指在開始菜單中出現快捷方式，當用戶單擊快捷方式或者單擊某一個類型文件的時候開始安裝。在與域中針對計算機策略只有“已分配”選項，因為任何用戶登錄計算機都可以使用“計算機”上安裝的軟件。任務實施步驟2、創建組策略11）完成軟件部署后如圖所示。任務3 為客戶機分發軟件任務實施步驟3、策略部署1）在“服務器管理器”窗口中拖動新創建的“office”策略到名為“renshi”的組織單位中。2）在彈出的“組策略管理”對話框中單擊“確定”按鈕。3

31、）在服務器管理器中可看到組織單位“renshi”中已經鏈接（而不是復制，由于renshi作為組織單位，并不是GPO“office”的容器，只有連接）了GPO“office” 。任務3 為客戶機分發軟件任務測試 使用域用戶登錄組織單位“renshi”內的計算機，單擊“開始”“控制面板”，在“控制面板”窗口中單擊“獲得程序”鏈接。在“獲得程序”窗口可看到指定的軟件已經安裝到計算機上。任務3 為客戶機分發軟件相關知識MSI格式 MSI文件是Windows Installer的數據包，它實際是一個數據庫，包含安裝軟件產品所需要的信息和安裝或卸載程序所需的指令及數據。MSI文件將程序的組成文件與功能關聯

32、起來。此外，它還包含有關安裝過程本身的信息：如安裝序列號、目標文件夾路徑、系統依賴項、安裝選項和個性化屬性。任務3 為客戶機分發軟件任務拓展實踐偉天公司規定，除了IT部門以外，其余所有部門都需要通過IT部門進行統一的軟件部署，那么如何為所有部門部署相同的軟件呢？思考使用軟件分發技術對于服務器來說是一個嚴峻的考驗，但是處于對由于某些問題的衡量企業還是愿意使用軟件分發技術來統一安裝軟件，請說明原因？任務3 為客戶機分發軟件任務1 安裝Windows Active Directory任務2 管理域用戶任務3 為客戶機分發軟件任務4 使用組策略限制用戶使用行為任務描述晨光公司個別部門對于企業信息的保密性非常敏感，除了與員工簽署保密制度以外還要對計算機進行一些限制，除此之外為了提高員工銷量，公司管理層希望禁止員工使用運行Windows中自帶的游戲。任務4 使用組策略限制用戶使用行為任務分析晨光公司計算機均采用Windows系統，而Windows系統自帶一個名為“組策略”的管理模塊，組策略模塊可以根據相關設置對用戶的行為進行限制。而當計算機處于域模式下時，域管理員可以對所有在域中的計算機派發組策略，通過組策略的設置就可以達到公司的要求。創建編輯組策略應用策略任務4