目录
一、基础知识
1.Domain
2.内网环境：
3.域的特点：
4.域的组成:
5.域的部署：
6.活动目录
7.组策略GPO
8.部署安装活动目录：
9.PC加入域：
10.常见小问题
二、实验过程
2.1 安装域管理相关东西
2.2 怎么将其他计算机加入域
win7:
win10：
2.3 建立普通域用户
2.4 域普通用户&本地管理员
2.5 组织单元和组策略 （让整个千峰都用我的头像当壁纸）
一、基础知识 1.Domain 2.内网环境：1）工作组：默认模式，人人平等，不方面管理 2）域：人人不平等，集中管理，统一管理（老大可以控制你们）
3.域的特点：集中/统一管理
4.域的组成:1）域控制器：DC（Domain Controller）（光放一个域控制器不太稳妥，要有俩，不然一个GG了整个域都GG） 2）成员机（成员机中间是平等的）
5.域的部署：1）安装域控制器--就生成了域环境 2）安装了活动目录--就生成了域控制器 3）活动目录：Active Directory = AD
6.活动目录1）AD 2）特点：集中管理/统一管理
7.组策略GPO 8.部署安装活动目录：1）开启2008虚拟机，并桥接到vmnet2 2）配置静态IP地址10.1.1.1/24 3）开始-运行-输入dcpromo,安装活动目录。 弹出向导： 勾选DNS-新林中新建域-功能级别都设置为2003-域的FQDN（qf.com）--设置目录服务还原密码666.com-勾选安装后重启 4）在DC上登录域qf\administrator DC的本地管理员升级为域管理员 5）验证AD是否安装成功： 1-计算机右键属性-所属域 2-DNS服务器中是否自动创建qf.com区域文件及 3-自动注册DC的域名解析记录 4-开始-管理工具-A D 用户和计算机 computer：普通域成员机列表 Domain Controller：DC列表 users：域账号
9.PC加入域： 配置IP，并指DNS计算机右键属性--更改--加入qf.com域重启加入域后，成功使用域用户登录成员机 10.常见小问题1）加入域不成功 网络是不是不通！ 解析是否能成功解析！ 是否为DNS缓存问题 2）登入域不成功 如XP，已勾选登录域QF，不用再写qf\xiaofei.wen 3）域用户的权限 建议将域用户加入到普通成员机的本地管理员组中
****本地管理员组：administrators ****域管理员组：Domain Admins
GPO练习： 1.在董事会部门设置GPO，并要求强制桌面背景，并验证 2.在董事会部门上级的ou上设置GPO,也进行强制桌面背景，并验证 3.在董事会部门上级的ou上设置GPO,强制删除运行菜单，并验证 4.练习阻止继承，并验证 5.练习向下强制，并验证 6.实现董事会的计算机无须按ctrl+alt+delete，并验证
二、实验过程
首先配置静态IP
这回安装不通过【添加角色】安装，因为这么安装效果不好
本次通过开始-运行-输入【dcpromo】，安装活动目录。
因为我已经有了DNS服务器，所以直接到了这一步。没有的话安装就可以了。
林是由很多有组织的域构成
检查完了不冲突就进行创建。
这么设置林，林里面都要大于等于2003级别
这么设置域，域里面服务器至少是2008.
无视报错，点击是继续
不要改动
现在设置活动目录的还原密码，一般用不到，但是要复杂点。
我们来瞅瞅是不是安装好了。现在我们这个server已经变成DC了。这就不一样啦、现在本地的管理员提升为域管理员，还是用之前的账户密码登录即可。
再看看还有什么变化：
然后进入【Active Directory 用户与计算机】进行管理。
首先配置静态IP。同时设置DNS
然后计算机-右键-属性-
以域管理员账号登录，登陆成功后会弹出：
切换用户，现在ge这个账户还不是域里面的成员，仅仅是本地账户。
类似的步骤
唉？我以为很简单，结果家庭版不能加入域、断网输入了个密钥【VK7JG-NPHTM-C97JM-9MPGT-3V66T】，然后升级成专业版。
可以看到新增了俩台计算机
win7登录尝试。
success！
2.4 域普通用户&本地管理员在qf.com中，温小费在win7上只是个普通用户，很多事儿做不了，可是电脑都分配给他了还给这么多限制，干啥呢！！！
如果将温小费账户提升为域管理员又不合适，温小费要是想干啥坏事怎么办！
于是可以将温小费设置为win7这台电脑的本地管理员！
首先以域管理员账户登录win7.
添加成功，虽然xiaofei.wen不是win7的本地用户，但是选择加入之后，win7计算机会去DC那里验证一下。
这个时候，温小费再次登录就可以完全控制这台电脑啦！
OU：organizition unit：组织单元
GPO：Group Policy：组策略
2.5 组织单元和组策略 （让整个千峰都用我的头像当壁纸）
看！左边的图标带🔒图标，这才叫OU、多建立几个，模拟一下
将温小费移动到董事会下面
杨涛移动到西北区
同时操作人物对应的计算机设备。
现在组织单元已经设置完毕，之后需要设置组策略对相应单元下属的进行限制。
组策略在哪儿呢！》
新建对于qianfeng的组策略。
可以对每个部门都新建一个组策略。
接下来就是怎么让整个千峰都用我的头像当壁纸了。对qianfeng组策略进行编辑。
哦！设置之前记得先设置个共享文件夹存放图片pic。
双击设置
这时候组策略编辑器已编辑好了。组策略编辑器的效果顺序为L（local，本地）S（站点，可以忽略）D（domain。域）OU（组织单元）
用户配置已经配置好了，需要用户注销再登录才会生效。如果对计算机配置，需要计算机重启才可以生效。
现在登录win7可以i看到壁纸已经生效，不过虚拟机反应比较慢，可以在个性化里看到pic已经是壁纸了
11）OU：组织单位 作用：用于归类域资源（域用户、域计算机、域组）
12）组策略：Group Policy = GPO 作用：通过组策略可以修改计算机的各种属性，如开始菜单、桌面背景、网络参数等。 ***重点：组策略在域中，是基于OU来下发的！！ ***组策略在域中下发后，用户的应用顺序是：LSDOU ***在应用过程中，如果出现冲突，后应用的生效！
****正常情况下：LSDOU顺序
上级OU： 桌面：aa 运行：删除
下级OU： 桌面：未配置 运行：不删除
下级OU用户结果：桌面：aa 运行：不删除
****下级OU设置了阻止继承：
上级OU： 桌面：aa 运行：删除
下级OU： 桌面：未配置 运行：不删除
下级OU用户结果： 桌面：未配置 运行：不删除
****上级设置了强制：
上级OU： 桌面：aa 运行：删除
下级OU： 桌面：未配置 运行：不删除
下级OU的用户结果： 桌面：aa 运行：删除
注意：当上级强制和下级阻止继承同时设置，强制生效！