十四章 域 引言：千峰网络安全300课时学习，视频学习过程中的学习笔记。笔记中借鉴了CSDN博主「beglage」文章中的图片记录,感谢千峰网络的视频和beglage博主的博文笔记记录分享。 目录 域 1、Domain
Domain域是Windows网络操作系统的应用模型。域（Domain）是Windows网络中独立运行的单位，域之间相互访问则需要建立信任关系（即Trust Relation）。信任关系是连接在域与域之间的桥梁。当一个域与其他域建立了信任关系后，2个域之间不但可以按需要相互进行管理，还可以跨网分配文件和打印机等设备资源，使不同的域之间实现网络资源的共享与管理。
域既是 Windows 网络操作系统的逻辑组织单元，也是Internet的逻辑组织单元，在 Windows 网络操作系统中，域是安全边界。域管理员只能管理域的内部，除非其他的域显式地赋予他管理权限，他才能够访问或者管理其他的域；每个域都有自己的安全策略，以及它与其他域的安全信任关系。
2、内网环境
1）工作组：默认模式，人人平等，不方便管理
2）域：人人不平等，集中管理，统一管理
3、域的特点
1）相对集中
2）管理统一
4、域的组成
1）域控制器：DC（Domain Controller ）
2）成员机
5、域的部署
1）安装域控制器--就生成里域环境
2）安装了活动目录–就生成了域控制器
3）活动目录：Active Directory = AD
6、活动目录
1）AD
2）特点：集中管理/统一管理
7、组策略 Group Policy = GPO 什么是组策略？
control of users and computers is centralized. 系统管理员集中控制网络上的用户和计算机。
可以配置桌面的设置，打印机和登录脚本。
组策略工作方式
管理员在active directory中创建组策略，他们可以配置超过3.5万个设置. 这些设置可以针对用户或计算机进行定位。包括台式机，笔记本和服务器（desktop & servers） 配置好以后，下载到desktop & servers。
管理员还可以配置组策略设置并将其分配给特定的组用户（users）。
active direcoty针对组用户的任何变化将自动下载到策略设置的组用户中，应用于用户对应的计算机。
组策略历史及其应用
registry vs group policy
最初在windows 2000中引入。要配置windows，则使用注册表来执行此操作。
但是对注册表所做的更改是永久性的。
相反，对组策略的更改不是永久性的，可以随时回退。可以取消更改。
如果您使用注册表更改用户体验的话，无法保证相同的注册表设置在较新的系统上也会起作用。
使用组策略，支持新的操作系统的更改。因为新的操作系统有新的功能，针对性的更改一点即可，不必更改任何现有设置。
在对用户和计算机的集中化配置上面来看，组策略的优势明显胜出。
group policy mechanics（group policy的机械工作原理）
driven by client side extensions（CSE）
1.通过客户端扩展（CSE）来驱动
2.不同的操作系统安装不同的CSE
3.组策略设置存储在域控制器中（domain controller），并复制到所有其他域控制器。网络用户下载适用于该客户端的组策略副本，由CSE来处理。如果没有CSE或不理解该设置，将简单地忽略该设置。
部署安装活动目录
1）开启2008虚拟机，并桥接到
2）配置静态IP地址10.1.1.1/24
3）开始--运行--输入dcpromo，安装活动目录
弹出向导：
勾选DNS-新林中新建域--功能级别都设置为2003域的FQDN（gcd.com）--设置目录服务还原密码-
4）在DC登录域GCD\administrator
DC的本地管理员升级为域管理员
5）验证AD是否安装成功
1-计算机右键属性--所属域
2-DNS服务器中是否自动创建gcd.com区域文件
3-自动注册DC的域名解析记录
4-开始--管理工具--AD 用户和计算机
computer：普通域成员机列表
Domain Controller：DC列表
users：域帐号
9、PC加入域
1、配置IP，并指DNS
2、计算机右键属性–更改–加入gcd.com域
3、重启加入域后，成功使用用户登录成员机
10、常见问题
1）加入域不成功
网络是不是不通
解析是否成功解析
是否为DNS缓存问题
2）登入域不成功
如XP，以勾选登录域QF，不用再写gcd.com\xiaofei.wen
3）域用户的权限
建议将域用户加入到普通成员机的本地管理员组中
×××××××本地管理员组：administrators
11、OU：组织单元
域中OU指的是组织单位(Organizational Unit)，组织单元是可以将用户、组、计算机和其它组织单位放入其中的AD(Active Directory，活动目录)容器，是可以指派组策略设置或委派管理权限的最小作用域或单元 。性质是最小作用域或单元 。
作用：用来归类域资源（域用户、与计算机、域组）
12、组策略：Group Policy = GPO
作用：通过组策略可以修改计算机的各种属性，如开始菜单、桌面背景、网络参数等。
××××重点：组策略在域中，是基于OU来下发的！！
LSDOU（策略优先级）
在应用过程中，如果出现冲突，后应用的生效
组策略的阻止继承及强制！
正常情况下：LSDOU顺序
上级OU： 桌面：aa 运行：删除
下级OU： 桌面：未配置 运行：不删除
下级OU用户结果：桌面：aa 运行：不删除
*********下级OU设置了组织继承：
下级OU用户结果：桌面：未配置 运行：不删除
××××××上级设置了强制：
下级OU用户结果：桌面：aa 运行：删除
注意：当上级强制和下级阻止继承同时设置，强制生效！
GPO组策略练习
1）在董事会部门设置GPO,要求强制桌面背景并验证；
2）在董事会部门上级的OU设置GPO，要求强制桌面背景并验证；
3）在董事会部门上级的OU设置GPO，要求强制删除运行菜单并验证；
4）练习组织继承并验证；
5）练习向下强制并验证；
6）实现董事会计算机无需按Ctrl+Alt+Delete，并验证。
