新增网域使用者帐户Word下载.docx

1、6. 進入密碼遺失精靈的畫面，其中並請您注意：不論您想變更密碼幾次，這張磁片只需要建立一次，按 下一步 鈕。7. 依指示將空白磁片放入磁碟機中，按 下一步 鈕。8. 輸入目前使用者的帳戶密碼，按 下一步 鈕。9. 開始建立密碼重設磁片，出現完成100%畫面，按 下一步 鈕。10. 按 完成 鈕。 找系統管理員求救如果使用者忘了密碼，也沒製作密碼重設磁片，只好向系統管理員發出SOS訊號了！此時系統管理員可以進入 電腦管理 主控台中，在使用者帳戶上按右鍵選擇 設定密碼 指令，來變更使用者的密碼。不過這種方式是非不得已下的方法，因為為了安全性的考量，一旦以這種方式變更密碼後，使用者將無法再存取有些資

2、料，例如經由使用者加密過的檔案。4-2-1 新增網域使用者帳戶在Windows Server 2003的網域系統中，每一個使用者都必須要能被系統所辨認，以便存取網路上的資源，因此建立每一位使用者的帳戶是最基本的步驟。您可以在網域中的任一台 網域控制站 建立帳戶，這個帳戶會被自動的複製到網域內的所有 網域控制站中。在新增使用者帳戶時，必須指定一個 組織單位（OU）或 容器（Container），才能將使用者新增到其中，例如：Users，或是您自行新增的OU。以下我們就利用 Active Directory使用者及電腦 來新增網域使用者的帳戶。1. 先啟動Active Directory使用者及電

3、腦，點選網域名稱按右鍵，選擇 新增/組織單位。2.鍵入組織單位的名稱，例如顧問，按 確定 鈕。2. 接著點選 顧問 OU，再點選 執行/新增/使用者 指令。3. 在圖4-31中鍵入使用者名稱，以及使用者登入名稱，然後點選鈕。此名稱必須是唯一的，此名稱供使用者在Windows 2000之前版本的電腦登入時使用4. 出現圖4-32，輸入適當的密碼及確認密碼，畫面中的核對方塊與建立本機使用者帳戶相同，於此不重述。新增網域使用者帳戶時，密碼的設定比在本機時更為嚴格，必須符合安全性、和複雜性原則，長度至少大於6個字元，而且要包含英數、或大小寫，如果不夠嚴謹是無法完成新增程序的。5. 點選鈕，再點選鈕，即

4、可完成新增的工作。新增的網域使用者帳戶，預設的情況下是無法在 網域控制站 登入的，必須以 群組原則 將其開放為可以在本機登入，詳細的作法請參考第十章。4-2-2 使用者帳戶的相關設定完成新的網域使用者帳戶後，您可以查看其內容，並做進一步的設定。通常這些內容建立的愈完整，將來在AD中尋找使用者時就愈有效率。圖4-36是在 Active Directory使用者及電腦 中按右鍵查看新增的使用者內容之結果，其中有十多個標籤，本節將挑其中較重要的加以說明。 成員隸屬標籤這個標籤中可以設定該使用者要隸屬於哪些群組。點選鈕，即可選擇要加入那些群組。 設定檔標籤鍵入使用者設定檔的預設路徑，並視需要在主資料夾

5、中鍵入使用者可以存取的資料夾。此資料夾是做為所有未定義工作目錄的應用程式的預設資料夾，它可以放在本機中，也可以是一個共用的網路資料夾。使用者設定檔會決定每一個使用者登入之後的工作環境，此部份的詳細說明請參考第九章。 撥入標籤如果要授予此使用者，可以使用撥入的方法來執行遠端存取的動作，可以點選 允許存取 選項鈕。在此對話方塊中，另有一些 回撥 選項，所謂 回撥 是指當您從遠端連接到此電腦後，電腦自動將連接切斷，再自動撥回到您在遠端的機器，重新建立連接關係。這是為了節省在遠端使用者的電話費所做的設計。說明如下： （1） 不要回撥：沒有回撥的功能。（2） 自動回撥到：指定回撥電話要撥到哪個地方，例如

6、撥到您家或是撥到分公司。此種方式較具安全性，使用者僅能在固定的地點撥入來連接主機。但是若是使用者出差在外，臨時有需要與公司的主機連線時，除非預先知道所在地方的電話，否則無法設定。（3） 由撥號者設定：此選項是為了彌補上一選項的缺點而設定。當您在遠端連接到公司的主機後，會出現一個對話方塊，要求您輸入回撥的號碼，然後主機會將連接斷線，再回撥到您鍵入的號碼來連線。這樣即使您是在飯店中，只要有此權限，亦可連接到公司的主機。 帳戶標籤您可以在 帳戶到期日 中設定此帳戶的有效期限，預設為永久有效。假設針對一批須受訓二個月的人員帳戶，就可以設定為2個月的有效帳戶期限，當期限一到，該帳戶自動無效。在圖4-40

7、中另有 登入時數 及 登入到 二個按鈕，分別說明如下。1. 點選鈕時會出現 登入時數 的對話方塊，預設值為當週的每一小時都允許存取。若是要限制此使用者某一段時間不可存取，例如週六至週日，可以用滑鼠選取該範圍，再點選 拒絕登入 鈕，則該範圍就會留白，如圖4-41所示。存取的時段2.點選鈕會出現 登入工作站 的對話方塊，這是用來設定使用者可以從網域中的那些電腦登入到此伺服器，預設值為可從所有電腦登入。您也可以設定某些使用者只能從固定的幾台工作站中登入，此時您必須指定電腦的名稱，再按 新增 鈕即可。另外，您也可以在Active Directory使用者及電腦 視窗中，以右鍵點選使用者帳戶，來重新命名

8、帳戶、刪除帳戶、停用（啟用）帳戶、重設密碼、或解除鎖定帳戶等。4-2-3 大量使用者的新增方法如果您要一次新增四、五十個使用者，可以使用addusers.exe程式。addusers.exe可以讓您一次新增很多使用者，您可以用addusers/?查得其語法。addusers.exe程式可以從Microsoft網站上下載，也可以使用在Windows 2000 Resource Kit中的這支程式。要一次新增多筆使用者的程序如下：步驟：1. 先用 記事本 建立一個文字檔（存檔類型為Unicode），其中包括所有您要新增的使用者的資料，如圖4-44所示。圖4-44 要新增的使用者資料上圖所用的語法如

9、下：【Users】使用者名稱，全名，密碼，描述、主磁碟機，主資料夾，設定檔，登入指令檔其中主磁碟機，主資料夾，設定檔，登入指令檔四項可省略不打。2. 將檔案儲存，例如命名為users1.txt，連同addusers.exe一起存放到相同的路徑中，本例中是將此二檔案放在 d:磁碟的根目錄下。3. 以可以建立使用者的身份登入，在命令提示字元中執行下列指令，如圖4-45所示。Addusers /c d:users1.txt 圖4-45經由上述動作，即可將文字檔users1.txt中所有的使用者加到 網域控制站 中，預設的容器為Users，如果在加入的同時，也要指定群組，請參考4-3-4節的示範。Us

10、ers以這種方式新增的使用者，第一次登入網域時，會強迫使用者變更密碼。4-3 群組在網域中為了簡化管理網域資源的使用權限，可將使用者帳戶以群組來劃分，具有相同使用權限的分為同一群組。這樣以後若必須變更或新增該網域資源的使用權限時，只須修改群組的成員，或將新使用者加入適當的群組中即可。4-3-1 網域功能等級網域功能的等級是以 網域控制站 所運作的伺服器版本做為判斷的依據，其可分為以下三級：Windows 2000混合模式（mixed mode）網域內的網域控制站可以是WindowsNT Server4.0、Windows 2000 Server、Windows Server2003Window

11、s 2000原始模式（native mode）網域內的網域控制站可以是Windows 2000 Server或Windows Server2003Windows Server2003模式網域內的網域控制站只能是Windows Server2003，唯一支援可以變更網域控制站之電腦名稱的等級原始模式 和Windows Server2003模式 可以有較多的群組功能，例如支援群組類型（安全性群組及發佈群組）的相互轉換。預設的網域功能等級為 混合模式，您可以將混合模式提高為 原始模式 或 Windows Server2003模式，或將 原始模式 担提升為 Windows Server2003模式，但

12、一旦完成升級，就無法再回復到原來的模式了。提高等級的方法如下：1. 開啟 Active Directory使用者及電腦 主控台。2. 在網域稱上按右鍵，並點選 提高網域功能等級 指令。3. 目前為預設的 Windows 2000混合模式，您可以提高為另二種等級。4. 按 升級 鈕後出現圖4-50的警告訊息，提醒你一旦升級，就無法再回到原來的等級了。鈕，待出現成功升級的訊息後，更新的資訊會自動被複製到所有的 網域控制站 內。4-3-2 群組的類型和使用領域Windows Server2003的群組依適用領域（scope）的不同，可以分成 通用、網域區域 及 萬用 三種；若依群組類型來分，又可分成

13、 安全性群組 及 發佈群組 二種。 群組領域群組領域決定這個群組可以在網路上的那些網域中活動，同時也決定誰可以加入這個群組。 通用群組（global group）：用來組織同一個網域內的使用者。可將相似權限的使用者帳戶加入同一群組，其可以包含同一網域內的其他通用群組。如果是在混合模式中，通用群組只能包含同一網域中的使用者。如果是在原始模式，則還可包括同一網域中的其他通用群組。這個群組的人可以在樹系中的所有網域獲得授權。 網域區域群組（domain local group）：用來指派所屬網域內的存取權限，該群組只能存取同一網域內的資源。如果是在混合模式中，網域區域群組只能包含使用者及任何網域的通

14、用群組；如果是在原始模式，則另外還可包含樹系中的萬用群組，以及同一網域中的網域區域群組。這個群組的人，只能在其所屬的網域群組中獲得授權。 萬用群組（universal group）：用來指派所有網域內的存取權限，可以存取所有網域內的資源。若類型為安全性群組，則只有在原始模式之下才能使用萬用群組。其成員可以包括使用者、通用群組，以及樹系中任一網域的其他萬用群組。 群組的使用準則為了方便您管理網路上的資源，您可以依據下列準則來建立群組：1. 在單一網域下，以通用群組與網域區域群搭配使用。您可以先將使用者帳戶（Account）加入通用群組（global group），再將通用群組加入網域區域群組（d

15、omain local group），然後再指派給這個群組適當的權限（permissions）；這也就是所謂的A、G、DL、P程序。2. 在多網域的複雜網路環境下，使用者可能要存取多個網域中的資源，此時以通用群組與萬用群組搭配使用。例如您可以先在各網域中建立好通用群組，將相同權限的使用者帳戶加入；然後在某個網域中建立一個萬用群組，接著將各網域中的通用群組加入到該萬用群組中，這個程序就是A、G、U、P。 群組類型群組類型有 安全性（security）及 發佈（distribution）二種。安全性群組 可以被授與或拒絕某種權限，例如對檔案的讀取或拒絕權限。也可以用在與安全無關的工作上，例如發送電

16、子郵件。發佈群組 則不能被授與任何權限，所以可用在與權限的設定無關的工作上。因此若要使用 檔案總管 將資料夾檔案授權給群組時，您會看不到發佈群組。如果某個群組只是要用來發E-mail的（例如客戶名單），則可以使用發佈群組。該群組可以配合Exchange Server來發佈電子郵件。4-3-3 內建的群組及特性在安裝Windows Server 2003時，系統會自動在本機電腦內建立一些群組，有些則在升級為網域控制站時建立在AD資料庫中。如果您的構型不是很複雜，就可以套用這些內建的群組，而不需自己另外建立。您可以在非網域控制站的電腦中看到下列內建的本機群組，這些群組已具備一些權利和權限，您只須將

17、使用者帳戶加入即可具有相同的權利和權限。9圖4-52同樣的，在網域的AD中也內建了許多群組，他們包括通用群組、網域區域群組和一些特殊群組。你可以啟動 Active Directory使用者及電腦，點選網域名稱之下的Builtin容器，即可看到許多內建的網域區域群組，如圖所示。您可以從上圖的 描述 欄中看到各群組的基本描述，例如Print Operators群組的成員可以管理網路中的印表機。再點選左側的Users資料夾，您可以看到更多的群組，其中有很多是通用群組。在使用群組時有一個觀念要先澄清，那就是Administrators群組並不是至高無上的，有時候一個使用者雖然屬於Administrat

18、ors群組，但有些動作仍然無法執行。例如對於加密的檔案，使用者Administrator（這才是真正至高無上的使用者）可以將其解密。但同屬Administrators群組的其他使用者卻不能解密。網域中的使用者Administrator不僅僅是隸屬於Administrators群組；他同時還可以屬於其他的6個群組。所以，您可以將Administrator這個使用者更名，以便保護這個帳戶，但是無法刪除。除了上述所介紹的這些群組外，還有一些特殊群組存在於每部Windows Server 2003中，不過您無法在 電腦管理 或 Active Directory使用者及電腦 中看到（或管理）它們，只有在

19、您設定權限或選擇使用者時才看得到這些群組。 everyone：任何一個使用者都屬於這個群組。 Authenticated Users：任何一個以有效的使用者帳戶來連接的使用者，都屬於這個群組。 Interactive：只要在本機登入的使用者皆屬於。 Network：透過網路來連接此電腦的使用者都屬於。 Creator Owner：檔案、資料夾等資源的建立者就是該資源的建立者（擁有者）。 Anonymous Logon：只要未使用有效的Windows Server2003帳戶來連線的使用者都屬於這個群組。Dialup：以撥接方式來連線的使用者皆屬於。在Windows Server2003中有二個

20、重要的名詞，一個是權利（Right），另一個是權限（Permission）。所謂權利是規定使用者或群組能否對系統執行某些動作，例如登入本機，關閉電腦或查看安全日誌。而權限則是規定使用者或群組能否存取或控制某一資源（例如檔案或印表機等等），權限通常都是透過檔案總管來管理，在下一章會有更進一步的介紹。接下來將最常見的三個群組的特性說明如下： 系統管理者（Administrators）在前面曾提到，Administrators群組並不是至高無上的，但其中的Administrator則是擁有最高權限的帳戶，包括了可以建立、刪除和管理其他使用者的帳戶以及區域群組；可以共享目錄及印表機；可以將資源授權給其

21、他使用者；可以安裝操作系統檔案及程式。不過，在Windows Server 2003中的系統管理者（Administrator），並不是十項全能的。例如在NTFS檔案系統中，檔案的建立者擁有對該檔案的所有權，若他對該檔案做了密碼限制，即使是系統管理者也無法接觸該檔案。他必須先取得擁有權，再去修改安全性設定，才可存取該檔案。當您以系統管理者登入時，您可以同時擁有使用者與管理者雙重角色。為了避免不小心毀損系統構型，建議您自己再建立另一個使用者帳戶。平時可以用一般使用者登入，等要管理系統時才改用系統管理者登入。 使用者（Users）在您以系統管理者的身份所建立的帳戶中，大部份的人都屬於使用者帳戶。使

22、用者群組有下列的特性：1.可以從遠端登入網域並用其連線到網路中。2.無法使用交談式方式登入網控制站，也就是說無本機登入的權利。3.無法關掉Server。4.可以在電腦中保有其設定檔。 來賓（Guests）來賓的權限比一般使用者要小，他無法在電腦上保留其設定檔，無法鎖住電腦，也無法自己建立、刪除或修改群組。4-4 建立群組當內建的群組無法滿足安全需求時，您也可以自已新增群組並設定其權限。由前一節的介紹，我們知道群組和使用者帳戶一樣，可以分別在本機或網域內建立。4-4-1 新增本機群組及成員本機群組會建立在本機安全資料庫中，而非網域控制站，而且本機群組只能存取所在電腦中的資源。因此建議你只在未加入

23、網域的電腦中建立本機群組帳戶。至於本機群組中的成員，可以視該本機電腦是否加入網域而不同：以Windows Server2003為例，要建立本機群組的方法為：1.執行 開始/系統管理工具/電腦管理，或展開 檔案總管，在 我的電腦 上按右鍵選擇 管理，開啟 電腦管理 視窗。2.展開 本機使用者和群組，在 群組 上按右鍵選擇 新群組。3.鍵入群組的名稱及描述，例如專案一，接著按 新增 鈕。4.按下 進階 鈕，再按下 立即尋找 鈕，從 搜尋結果 清單中選擇成員，再按 確定 鈕。6. 按下 建立 鈕，接著可再建立新群組，或按 關閉 鈕離開。本機若已加入網域，則在新增成員時，會出現訊息要求確認身份。看到網

24、域使用者帳戶此時您就可以將網域中的使用者帳戶加入群組中；若要顯示本機使用者帳戶，可點選 位置 鈕重新選擇本機位置。我們可以將權限相同的使用者帳戶歸入相同的群組中，然後只須對該群組授予權限，該群組內的所有使用者都會有相同的權限，如此可以省去您一一為使用者設定權限的麻煩。4-4-2 新增網域群組您可以在網域中的任何一部網域控制站，來執行新增群組的作業。1.執行 開始/系統管理工具/ Active Directory使用者及電腦。2.點選網域名稱將其展開，再點選任一個OU或Container，按右鍵點選 新增/群組 指令。（你可以事先將OU建立好）3.鍵入群組名稱（例如：測試），以及供舊版作業系統存

25、取的名稱（預設與群組名稱同），再設定群組領域及群組類型，一般預設即為8通用、8安全性。按 確定 鈕。與使用者帳戶一樣，系統會為您所新增的群組，建立一個唯一的SID，並透過SID來設定權限。您可以在新增的群組上按右鍵，來執行群組的更名、刪除等動作。4-4-3 新增網域群組成員網域群組建立好之後，可以將成員或其它群組加入。1.在欲加入成員的群組上按右鍵，選擇 內容 指令。2.切換到 成員 標籤，按 新增 鈕。3.按下 進階 鈕，再按下 立即尋找 鈕，從 搜尋結果 中點選要加入的使用者，按 確定 鈕，再按 確定 鈕。4.切換到 成員隸屬 標籤，先按下 新增 鈕，再按 進階 鈕，然後按 立即尋找 鈕，

26、從 搜尋結果 中選擇群組名稱，按 確定 鈕。4-4-4 將大量使用者加入某群組除了addusers可以加入大量的使用者帳戶外，您還可以用usrtogrp.exe這支程式，將多筆新增的使用者加入指定的群組中。Usrtogrp的語法如下：Usrtogrp filename其對應的文字檔格式如下：domain：網域名稱globalgroup：通用群組名稱。localgroup：區域群組名稱。User1 （以下為要加入的使用者名稱）User21. 首先以 記事本 建立要加入群組的使用者。在這個範例中是將使用者加入 教學 通用群組中。2. 將資料存檔，例如命名為teaching.txt。3. 接著在命令提示字元中執行usrtogrp指令，即可完成新增群組並將員加入的工作。該 教學 群組會置於Users 容器中，您可以在 Active Directory使用者及電腦 中查看。