第七章网络服务在互联网上常见的网络应用服务有：域服务、域名服务DNS、文件传输服务（FTP）、服务、网络社区、代理服务、动态地址分配服务、流媒体服务等，这些服务是由建立在网上的应用服务器提供的。为了能使大家了解和掌握这些服务器的工作过程，本章将分别介绍这几种服务的服务器的建立和安装方法。7.1域服务在许多分支机构，域控制器被指派了额外的服务器角色或任务要执行，例如充当一个文件或打印服务器。其他的情况，如出于需要业务应用程序安装在域控制器上。这带来一个问题：要管理这些应用程序和服务器，分支机构的雇员需要有管理凭据。任何能够管理一台WindowsServer域控制器的人能够管理整个域。在WindowsServer中，一个管理员能够被指派权限只能管理某个特定的只读域控制器，不需要让它们管理其他的域控制器，也不需要成为域管理的安全组的成员。7.1.1域活动目录域活动目录是一个全面的目录服务管理方案，也是一个企业级的目录服务，具有很好的可伸缩性。活动目录采用了Internet的标准协议，它与操作系统紧密地集成在一起。活动目录可以管理诸如计算机对象、用户账户、打印机之类的网络资源。几乎所有的应用都可以直接利用系统提供的目录服务结构，而且活动目录也具有很好的扩充能力，允许应用程序定制目录中对象的属性或者添加新的对象类型。域活动目录是活动的，所以它是动态的，它是一种包含服务功能的目录，比如找到了一个用户名，就可联想到它的账号、电子邮件地址等所有基本信息。同时不同应用程序之间还可以对这些信息进行共享，减少了系统开发资源的浪费，提高了系统资源的利用效率。域活动目录的作用安装了活动目录的计算机称为“域控制器”，对于用户而言，只要加入并接受域控制器的管理就可以在一次登录之后全网使用，方便地访问活动目录提供的网络资源。对于管理员，则可以通过对活动目录的集中管理就能够管理全网的资源。如果把网络看作为一本书，活动目录就好像是书的目录，用户查询活动目录就类似查询书的目录，通过目录就可以访问相应的网络资源。这时的目录是活动的、动态的，当网络上的资源变化时，其对应的目录项就会动态更新。活动目录的逻辑结构和基本概念活动目录的逻辑结构非常灵活，它为活动目录提供了完全的树状层次结构视图，如图所示的逻辑结构为用户和管理员查找、定位对象提供了极大的方便。活动目录中的逻辑单元包括：域、组织单元（OrganizationalUnit，简称OU）、域树、域森林。2327-1活动目录的逻辑结构1）.组织单元OU（OrganizationalUnit）:组织单元（OU）是用户、组、计算机和其他对象（也可以包含其他的组织单元）在活动目中的逻辑管理单位，OU可以包含各种对象，比如用户账户、用户组、计算机、打印机，甚至可以包括其他的OU。就好像文件夹下面可以包含子文件夹一样。这里的组织单元就是活动目录的一种文件夹。对于一个企业来讲，可以按部门把所有的用户和设备组成一个OU层次结构，也可以按地理位置形成层次结构，还可以按功能和权限分成多个OU层次结构。由于OU层次结构局限于域的内部，所以一个域中OU层次结构与另一个域中的OU层次结构完全独立。2）.域（Domain）:域是网络中对计算机和用户的一种逻辑分组。在活动目录中，域是一个或多个组织单元管理单位，是一个网络安全边界。域管理员只能管理域的内部，除非其他的域赋予他管理权限，他才能够访问或者管理其他的域。每个域都有自己的安全策略，以及它与其他域的安全信任关系。3）.域树：当多个域通过信任关系连接起来之后，所有的域共享公共的表结构（schema）配置和全局目录（globalcatalog），从而形成域树。域树由多个域组成，这些域共享同一个表结构和配置，形成一个连续的名字空间。树中的域通过双向信任关系连接起来。活动目录包含一个或多个域树。域树中的域层次越深级别越低，一个“．”代表一个层次，如uk.Microsoftmicrosoft这个域级别低，因为它有两个层次关系，而microsoft只有一个层次。层次低的称为子域，层次高的称为父域。如图所示。域树中的域是通过双向可传递的信任关系连接在一起的。由于这些信任关系是双向而且是可传递的，因此在域树或域森林中新创建的域可以立即与域树或域森林中每个其他的域建立信任关系。这些信任关系允许单一登录过程，在域树或域森林中的所有域上对用户进行身份验证，但这不一定意味着经过身份验证的用户在域树的所有域中都拥有相同的权利和权限。因为域是安全边界，所以必须在每个域的基础上为用户指派相应的权利和权限。2337-2域树的结构4）.域之间的双向信任关系:如果两个域之间有双向信任关系，对于这两个域的用户来讲好比是忽略了域的概念。Uk.Microsoft域中的用户可以使用us.Microsoft域中的账号登录us.Microsoft域，访问us.Microsoft域中的网络资源，反之亦然。如果没有信任关系，域是逻辑上的安全边界，两个域之间的用户账号是不能互相登录的。在WindowsServer2008的域树中建立的信任关系是可传递的，例如uk.Microsoft信任Microsoft；us.Microsoft信任Microsoft，所以：uk.Microsoft信任us.Microsoft。5）.域森林:域森林是指一个或多个没有形成连续名字空间的域树。域林中的所有域树共享同一个表结构、配置和全局目录。域林中的所有域树通过Kerberos信任关系建立起来，所以每个域树都知道Kerberos信任关系，不同域树可以交叉引用其他域树中的对象，如图7-3域森林6）.域控制器:安装了活动目录的计算机提供活动目录供客户机使用。域控制器存储着目录数据并管理用户域的交互关系，其中包括用户登录过程、身份验证和目录搜索等。一个域可以有多个域控制器。为了获得高可用性和容错能力，规模较小的域可以只需要两个域控制器，一个实际使用，另一个用于容错性检查；规模较大的域可以使用多个域控制器。一个域中可以有多个域控制器，通过设置，各域控制器之间可以相互复制活动目录。一个域林中的域控制器之间也可以相互复制活动目录。7.1.2安装活动目录WindowsServer2008中安装活动目录可以参照下述步骤进行操作。（1）运行“开始服务器管理器”命令激活服务器管理器。在左侧选择“角色”一项234之后，单击右部区域中的“添加角色”链接，并且在如图所示的窗口中勾选“ActiveDirectory域服务”复选框。勾选“ActiveDirectory域服务”复选框（2）在如图所示的窗口中针对域服务进行相关的介绍，单击“下一步”按键继续操作。域服务简介（3）在如图所示的窗口中显示了安装域服务的相关信息，确认安装可以单击“安装”按键。235域服务安装信息（4）域服务安装完成之后，可以在如图ActiveDirectory域控制器，单击“关闭”按键退出添加角色向导窗口。域服务安装成功（5）返回服务器管理器窗口，在如图 所示的界面中可以查看到Active Directory 服务已经安装，但是还没有将当前服务器作为域控制器运行，因此需要单击右部窗口中蓝色的“运行 Active Directory 域服务安装向导（dcpromo.exe）”链接来继续安装域服务。 236 服务器管理器窗口查看域服务提示：单击“开始”菜单，在搜索栏中输入 dcpomo.exe 命令也可以激活域服务安装向导。 （6）域服务安装向导的欢迎界面中可以勾选“使用高级模式安装”复选框，这样可以 针对域服务器更多的细节部分进行设置，如图 安装欢迎界面（7）在如图 7‐10 所示的界面中简要介绍了 Windows Server 2008 域控制器和以前版本 Windows之间有可能存在兼容性问题，一般了解即可，在此单击“下一步”按键继续。 237 7‐10兼容性介绍 （8）在如图 7‐11 所示的部署配置界面中选择“在新林中新建域”一项，并且单击“下一步” 按键。 8‐11选择“在新林中新建域”一项 （9）在如图 7‐12 所示的命名林跟域界面中输入新目录林跟级域的域名，例如在此输入 “.bjtu”。 7‐12输入域名 （10）在如图 7‐13 所示的 NetBIOS 名称界面中，系统会自动出现默认的 NetBIOS 名称， 此时可以直接单击“下一步”按键。 7‐13设置 NetBIOS 信息 （11）在如图 7‐14 所示的设置林功能级别窗口中可以选择多个不同的 Windows 版本， 考虑到网络中有低版本 Windows 计算机，此时可以选择“Windows 2000”一项。 238 7‐14选择林功能级别 （12）接着在选择域功能级别窗口中选择“Windows 2000 纯模式”一项，如图 7‐15 7‐15选择域功能级别 （13）在如图 7‐16 所示的窗口中可以对域控制器的其他方面进行设置，例如服务器还 没有安装 DNS 服务就可以勾选“DNS 服务器”复选框来一并安装 DNS 服务。 7‐16设置域控制器选项 239 （14）在如图 7‐17 所示的“数据库和日志文件文件夹”界面，可以设置活动目录数据 库、日志文件和 SYSVOL 文件夹存放的位置，这里要求必须是 NTFS 分区，至少要有 250MB 的剩余空间。在 Windows Server 2008 的活动目录中，共享系统卷是一个名为 SYSVOL 的文件 夹，默认情况下位于 Windows\SYSVOL 安装目录下。该文件夹下存放的是域的公用文件，如 果在域下有多个域控制器，就需要在域之间复制 SYSVOL 下的内容。在此通常按照默认设置 即可。 7‐17设置获得数据库、日志文件和 SYSVOL 的位置 （15）在如图 7‐18 所示的窗口中输入两次完全一致的密码，用以创建目录服务还原模 Administrator账户密码。当启动 Windwos Server 2008 时，在键盘上按下“F8”键，在 出现的启动选择菜单中选择“目录还原模式”选项，启动计算机就要输入该密码。目录还原 模式允许还原系统状态数据，包括注册表、系统文件、启动文件、Windows 文件保护下的文 件、数字证书服务数据库、活动目录数据库、共享的系统卷等，完成设置后单击“下一步” 按键。 7‐18创建目录服务还原模式的 Administrator 账户密码 （16）在如图 7‐19 所示的摘要界面中可以查看上述配置的信息，确认之后单击“下一 步”按键继续。 240 7‐19域服务安装摘要信息 （17）接着安装向导将自动进行活动目录的安装和配置。如果勾选“完成后重新启动” 复选框，则计算机会在域服务安装完成之后自动重新启动计算机。 （18）最后在如图 7‐20 所示的“完成活动目录安装向导”界面中单击“完成”按键， 并且重新启动计算机，即可完成活动目录的配置。 7‐20完成域服务安装向导 活动目录安装好以后，Windows Server 2008 的管理工具会出现变化。此时运行“开始 管理工具”命令可以看见如图 7‐21 所示的“管理工具”快捷菜单。 241 7‐21“管理工具”界面 这里增加了有关活动目录的几个管理工具，其中“Active Directory 用户和计算机”用于 管理活动目录的对象、组策略和权限等；“Active Directory 域和信任关系”用于管理活动目米乐m6网站