计算机网络组织单位与委派控制PPT文档格式.ppt
《计算机网络组织单位与委派控制PPT文档格式.ppt》由会员分享，可在线阅读，更多相关《计算机网络组织单位与委派控制PPT文档格式.ppt（70页珍藏版）》请在冰豆网上搜索。
若能善用組織單位,便能儘量避免形成多網域架構,節省企業成本。
q所以有人說：
組織單位就是次網域（Subdomain）！
5組織單位的特性q組織單位是一種容器q組織單位可以組成階層化架構6組織單位是一種容器q能包含其它物件的物件便稱為容器（Container）,既然組織單位是一種容器,自然也能包含其它物件。
q它可以包含以下9種物件：
n使用者n電腦n群組n印表機n共用資料夾7組織單位是一種容器n聯絡人n組織單位nInetOrgPersonnMSMQ路由別名q但是要記得一點組織單位僅能包含同網域內的物件,不能包含其它網域的物件！
8組織單位可以組成階層化架構q若組織單位包含的物件數量眾多,卻又全部放在同一個組織單位內,必定顯得雜亂無章。
q因此最好再建立下層組織單位,將各種物件分門別類存放,以提高管理效率。
q就這一點來看,組織單位的功用和檔案結構裡的資料夾（Folder）很類似,都是為了便於分類管理而建立的。
9使用組織單位的時機q通常是為了授權管理而建立組織單位。
q例如：
業務部門的人事異動較頻繁,因此常常要求系統管理員為他們刪除、變更和建立帳戶。
q於是系統管理員便建立業務部這個組織單位,將業務部的全部使用者與電腦都隸屬於該組織單位,並賦予業務部經理新增、刪除與修改使用者帳戶和電腦帳戶的權力。
10使用組織單位的時機q爾後該部門的帳戶異動工作,就不必麻煩系統管理員了。
q因此,建立組織單位和授權可說是焦不離孟、孟不離焦的關係,這種對於組織單位的授權稱為委派控制（Delegation）,請參見11-5節。
q還有一種情形也有可能建立組織單位套用群組原則（GroupPolicy）,我們在第12、13章會仔細說明。
11組織單位與群組的差異q初次接觸組織單位時,許多使用者會將它與群組（Group）混淆,雖然兩者都是應用在AD網域的邏輯架構中,但是在使用上有以下的差異：
n一個使用者可以隸屬於多個群組,但是只能隸屬於一個組織單位。
n組織單位可以包含群組,但是群組不能包含組織單位。
n網路資源（例如：
資料夾或印表機）的權限可以賦予群組,但是不能賦予組織單位。
1211-2規劃組織單位q如何規劃組織單位的架構,是一個頗有挑戰性的課題。
然而並無一定的準則,主要視企業實際需求而定。
q以下列舉幾種常見的規劃模式：
n依地理位置劃分13規劃組織單位n依管理權責劃分14規劃組織單位n依事業單位劃分15規劃組織單位n依專案內容劃分16規劃組織單位n依部門組織劃分17規劃組織單位q當然,以上只是概略性的原則,未必適用於哪一家企業。
q在龐大的跨國企業中,可能有三、四層組織單位,上層採用地理位置劃分；
中層採用事業單位劃分；
下層則採用專案內容劃分。
q這種混合式的規劃方式不但具有彈性,也兼顧了行政效率,值得做為借鏡。
1811-3管理組織單位q本節將介紹新增、移動、刪除組織單位和變更組織單位名稱的方式。
q假設要在xdom.biz.tw網域建立總管理處、電腦事業處和業務處等3個組織單位,之後因組織異動,將業務處改為隸屬於總管理處,並更名為業務部,最後又刪除電腦事業處。
q這一連串步驟示範如後。
19新增組織單位q請執行開始/系統管理工具/ActiveDirectory使用者和電腦命令：
20新增組織單位21新增組織單位q在第4步驟看到的保護容器不被意外刪除,是為了保護此組織單位不會被誤刪,而在WindowsServer2008新增的項目,預設為選取,等於將此物件設為唯讀（ReadOnly）,不允許刪除或搬移。
q由於我們接著會將業務處搬移到總管理處下層,為方便操作故取消選取,平常讀者在管理時毋須如此。
22新增組織單位q若有需要移動或刪除選取了保護容器不被意外刪除多選鈕的物件,請參考11-10頁的說明取消保護。
q接著請依照同樣方式,自行新增電腦事業處和總管理處兩個組織單位。
23移動組織單位q以下示範將業務處移到總管理處的下層：
24移動組織單位25變更組織單位名稱q以下示範將業務處更名為業務部：
26刪除組織單位q因為當初建立組織單位的時候,預設會勾選保護容器不被意外刪除,禁止該組織單位被刪除,所以現在要刪除之前必須先解除這一道限制,否則會看到如下的示誤交談窗：
27刪除組織單位q以下示範如何刪除電腦事業處：
28刪除組織單位29刪除組織單位30刪除組織單位31刪除組織單位3211-4管理組織單位的成員q既然組織單位可以包含9種物件,當然也可以管理這些物件,包括：
新增、刪除和移動物件等等。
q以下便以使用者和電腦這2種最常見的物件為例說明。
33新增組織單位的成員q新增使用者n假設要在業務部新增林望這名使用者。
請開啟ActiveDirectory使用者和電腦視窗：
34新增組織單位的成員n按下一步鈕35新增組織單位的成員n按下一步鈕36新增組織單位的成員37新增組織單位的成員38新增組織單位的成員q新增電腦n倘若要在業務處新增一部電腦Tony-vista。
n若該電腦已經加入網域,預設會存在於Computers容器,因此請參考前一節移動組織單位的內容,將Tony-vista移到業務處即可（雖然一個是組織單位；
一個是電腦,但移動兩者的方式相同）。
39新增組織單位的成員n若Tony-vista尚未加入網域,我們仍然可以先在業務部建立該電腦帳戶,爾後該電腦加入網域時就會出現在業務部,而不是Computers容器,以下示範其步驟：
40新增組織單位的成員41新增組織單位的成員n不過在實務上,我們建議在前頁的下圖先按變更鈕,然後輸入該電腦的保管人的帳戶名稱。
n將來這部電腦要加入網域時,毋須輸入系統管理員的帳戶名稱和密碼,只要輸入保管人的帳戶名稱與密碼即可。
n承上例,假設Tony-vista的保管人是Tony,那麼請按前頁下圖中的變更鈕：
42新增組織單位的成員43刪除組織單位的成員q要刪除組織單位的成員,無論該成員是使用者、電腦或其它物件,所用的方式都一樣。
q在ActiveDirectory使用者和電腦視窗,選取該物件之後按Del鍵即可；
或者也可以用下列方式：
4411-5委派控制q簡單地說,所謂的委派控制（Delegation）便是授權！
系統管理員可利用它來將例行的管理工作,委派給特定的對象來執行,以減輕自己的負擔。
q執行委派控制時應注意以下3個要點：
n委派的範圍：
將多大的範圍（站台、網域或組織單位）委派出去。
n委派的對象：
委派給誰。
n委派的內容：
委派多大的權限出去。
45委派的範圍q我們可以委派控制的範圍（Scope）是：
站台、網域和組織單位,合稱為SDOU（Site、Domain、OU）。
q從管理層面來看,不同的委派範圍涉及不同性質的工作。
在站台最主要的工作為新增/移除站台、網站連結等等；
在組織單位最常見的工作,則是新增/移除使用者或電腦帳戶、重設密碼與套用群組原則等等。
46委派的範圍q如果在站台委派新增使用者,或是在組織單位委派新增網站連結,這都是牛頭不對馬嘴了。
q所以說,委派的範圍有兩種意義：
一是界定了管轄權的範圍,換句話說,被委派的對象只允許在此一範圍內行使管理權。
q二是提示了不同性質的工作內容,我們應當針對不同的範圍委派不同的工作。
47委派的對象q在眾多AD物件中,只有使用者、電腦及群組可以作為委派的對象。
q而且,委派對象不須和授權範圍有任何隸屬關係。
可以將A組織單位委派給B組織單位的成員管理,甚至可以委派給其它網域的使用者管理。
48委派的對象q在選擇委派的對象時,應該考慮以下兩點：
n委派對象的能力和所受的訓練。
例如：
授權對象是否具備管理使用者帳戶的能力。
n委派對象實際工作的權責範圍。
管理使用者帳戶的人員,最好也是該單位負責人事作業或資訊作業的人員。
49委派的內容q假設要委派賈聰明在總管理處對印表機有完全控制的權限,請開啟ActiveDirectory使用者和電腦視窗：
50委派的內容51委派的內容52委派的內容n按下一步鈕53委派的內容n按下一步鈕54委派的內容n按下一步鈕55委派的內容n按下一步鈕56委派的內容57委派控制的本質q就本質而言,委派控制其實就是修改AD物件的ACL（AccessControlList）,使委派的對象具有相符的權限。
q因此上例實際上是修改總管理處的ACL,讓賈聰明具有對於印表機物件的完全控制權限。
我們以下列步驟來驗證這點：
58委派控制的本質q然後在總管理處按右鈕,執行內容命令：
59委派控制的本質60委派控制的本質61修改委派控制的內容q委派控制精靈有一個缺點只能用來執行委派工作,不能刪除或更改委派工作。
q如果要取消或更換授權的對象或工作內容,則必須直接修改該物件的ACL。
q以前例而言,若要修改原先委派給賈聰明的權限,或是將該委派工作改派給其它人,請先開啟總管理處的權限項目交談窗。
62修改委派控制的內容63在工作站安裝系統管理工具q在我們將部分工作委派出去之後,受委派的對象會遇到一個問題所操作的電腦沒有系統管理工具可用來管理系統！
q雖然在安裝完成WindowsServer2008之後,就有開始/系統管理工具命令可用來執行各種管理工作。
64在工作站安裝系統管理工具q但是工作站不可能使用WindowsServer2000/2003/2008這類伺服器作業系統,因此即使獲得授權,卻會因為沒有ActiveDirectory使用者和電腦這類的命令可執行,而無法執行受委派的工作,此時就應該下載與安裝系統管理工具。
q請先連線到http:
/.tw網站,然後如下操作。
65在工作站安裝系統管理工具66在工作站安裝系統管理工具67在工作站安裝系統管理工具68在工作站安裝系統管理工具q雖然網頁上沒有說明,但是經過實際測試,確定所下載的WindowsServer2003-KB340178-SP2-x86-CHT.msi程式,在32位元的WindowsXP專業版和32位元的WindowsVista企業版都能順利執行。
q執行該程式之後,便會發現多了開始/系統管理工具命令（在XP是開始/所有程式/系統管理工具命令）,可以用這些工具來管理網域了。
69在工作站安裝系統管理工具q但是別忘了用來登入網域的帳戶,必須具有足夠的權限,否則執行某些系統管理工具的命令時仍會出現錯誤訊息。
70
升级会员 