網絡管理員＆MCSE2003之7：第3章 管理用戶和計算機帳戶（上）

只要對電腦有點了解的人都知道Administrator，沒錯，他是系統默認的系統管理員帳戶，是系統中權力最大的默認用戶，當這個系統可以安裝Active Directory服務，它就成了域控制器，Administrator帳戶自然水漲船高，成了域管理員帳戶。

Windows是一個多用戶操作系統，我們可以不光只有Administrator帳戶，還可以新建更多的用戶帳戶，根據需要來設定用戶的權力和權限，以滿足各種類型用戶的需求。(正因為管理員帳戶Administrator天上地下，大家都知道，所以也帶來了安全問題，因為大家都知道這個帳戶是管理員賬戶，只要完成了密碼破解就獲得了整個系統的控制權，會被壞人利用，所以在實際工作中要對Administrator帳戶重命名。)

用戶賬戶是一個對象，它包含用戶的所有信息。賬戶可以是本地賬戶，也可以是域賬戶。用戶賬戶包括登錄時用到的用戶名和密碼、用戶賬戶所在的組以及用戶訪問計算機和網絡資源的權限。

本地的用戶和組，在開始→管理工具→計算機管理→本地用戶和組中進行管理。

他們保存在本地 SAM 數據庫中，存放在系統盤符\WINDOWS\system32\config下，注冊表相關文件也保存在此目錄下，因此備份好此目錄，就相當于備份了本地用戶、組及注冊表信息。

域用戶賬戶的管理在“Active Directory用戶和計算機”中。

他們存儲在Active Directory的數據庫中，并不存儲在本地SAM數據庫中，他們集中存儲在域控制器上。

域用戶賬戶的名稱類型共有四種。

1、用戶登錄名

就是在創建用戶賬戶時，管理員輸入的用戶登陸名，比如上一節課中創建的One用戶，上圖中heyijie用戶，用戶登陸名在其所在的容器中必須惟一。

2、Windows 2000 以前版本的用戶登錄名

使用域名的NetBIOS（網絡基本輸入輸出系統，比如域名為：Nwtraders.msft，它的NetBIOS名一般就是.msft前面的Nwtraders）名字加用戶登陸名，如上圖中的Windows 2000 以前版本的用戶登錄名為：NWTRADERS\heyijie，Windows 2000 以前版本的用戶登錄名在域中必須惟一。

3、用戶主體登錄名（UPN，User Principal Name）

由用戶登陸名和用戶主體名后綴組成（即域名），中間由@字符連接，如上圖中的用戶主體登錄名為：heyijie@nwtraders.msft，用戶主體登錄名在林中必須惟一。

4、LDAP 相對可分辨名稱

LDAP 相對可分辨名惟一標識上一級容器中的對象，一般用戶不會使用該名稱，只有管理員在腳本或命令行中才會使用該名將用戶加入網絡。比如本章中的第二幅圖中的One用戶，他的父容器是Users，他的LDAP 相對可分辨名稱為：

CN=one,CN=users,dc=mwtraders,dc=msft

本章的網絡環境如下，域名：nwtraders.msft：

例：在域控制器上使用管理員身份在OU生產部中創建一個域用戶Kaka以便在Glasgow上登陸，第一次登陸時要求重設密碼，并且在Glasgow上擁有管理員的權限。

1、以Administration登陸London，打開Active Directory用戶和計算機，在OU生產部中創建一個新用戶Kaka。

（姓、名是方便在Active Directory用戶和計算機中管理好識別的，可以用中文和英文，但不能用來登陸，“用戶登陸名”和“Windows 2000 以前版本用戶登陸名”可以不一樣，只是以后不方便記憶，他們也可以使用中文。）如下所示，填入內容，單擊下一步。

各項功能如下表，第一項表示用戶第一次登錄時必須更改密碼，以后就不需要更改了，直到密碼到期，默認可用42天，再單擊下一步。

2、在Glasgow上使用剛建立的用戶kaka登陸，第一次登陸時要更改密碼。

3、Kaka登陸后，但開始→關機中沒有關機項，只有注銷。

這是因為域用戶組（Domain Users）及驗證用戶組（Authenticated Users）隸屬于Glasgow的本地的Users組，沒有關機權力，要解決這個問題，要來是給本地的Users組關機的權力，要來把Kaka用戶加入到Glasgow的本地的Administrators組，根據本例要求，這里使用后一種方法。

實現這個要求，用下面兩種任何一種都可：

（1）要完成這一要求，一種方法是注銷后用Glasgow的本地的Administrator身份登陸到本地計算機。

然后對“我的電腦”右擊，選“管理”。 在計算機管理中定位到計算機管理（本地）→系統工具→本地用戶和組→組，對Administrators組雙擊打開他的屬性。

在其屬性中可以看到域中的Domain Admins（域管理員組）已經是其成員，所以所有域管理員組成員都具有域中所有計算機的管理權力，而Administrator正是Domain Admins組默認成員。接下來單擊“添加”按鈕來加入Kaka用戶。

單擊2處高級，在彈出對話框中輸入對活動目錄具有讀取權限的域用戶名（默認情況下所有域用戶都具有對活動目錄的讀取權限），這里輸入Kaka的賬戶名和密碼。

按下面1、2、3的順序把趙卡卡用戶添加進去。

（2）第二種方法，可以以域管理員Administrator在London登陸，在Active Directory用戶和計算機管理中實施遠程管理。

找到計算機Glasgow，右擊選“管理”。

單擊“添加”按鈕來添加Kaka用戶。

當Kaka加入本地管理員組后，Kaka不光是域用戶，同時也是Glasgow計算機的管理員了，自然也就了關機權力。

模板復制用戶

在一個部門里面，要小批量創建用戶，使用用戶帳戶模板是最合適不過了。

例：把生產部的Kaka用戶制作成賬戶模板，再以他為模板創建生產部的Feifei、Lili用戶。

并不是模板帳戶所有的屬性都能復制到新用戶中，下表列出了可復制的屬性。

1、在Kaka用戶屬性中把其制作成賬戶模板，輸入可以復制的屬性項目，且是生產部成員公有的屬性。

2、完成模板的屬性后，對其右擊選“復制”。

3、完成以后，查看她的屬性。

4、模板中的內容已經復制進去了。

以同樣的方法再對Kaka復制為其他用戶。

使用命令大批量創建用戶

要大批量的創建用戶，用模板的方法來復制就比較慢了，最佳方法是使用Dsadd命令來批量創建用戶。

例：使用Dsadd命令為生產部創建用戶Worker1、Worker2、……、Worker10共10位員工，且統一設置為：“用戶下次登陸需更改密碼”，密碼為：p@ssw0rd，單位中的部門為：生產部，公司為：51CTO。

1、把下面【】號之間的內容復制到London上的一個文本文件，并復制10次，把其中的Worker1依次改為Worker1、Worker2、……、Worker10，然后文件另存為一個bat類型的批處理文件。

【Dsadd user "cn=Worker1,ou=生產部,dc=nwtraders,dc=msft" -samid Worker1 -upn Worker1@nwtraders.msft -pwd p@ssw0rd -dept 生產部 -company 51CTO -mustchpwd yes】

Dsadd命令的功能是把用戶添加到目錄。可以在CMD命令行中輸入dsadd user /?來查詢添加用戶的方法。幾個常用參數如下：

“cn=Worker1,ou=生產部,dc=nwtraders,dc=msft”：要添加的用戶可分辨名稱(DN)，ou=生產部表示用戶是生產部OU中的用戶。

-samid <SAMName>設置用戶的 SAM 帳戶名為 <SAMName>。如果沒有指定， dsadd 會使用 <UserDN> 公用名(CN)里的前 20 個字符創建 SAM 帳戶名。

-upn <UPN> 設置upn（用戶登陸名） 值為 <UPN>。

-fn <FirstName> 設置用戶名為 <FirstName>。

-mi <Initial> 設置用戶中間名首字母為 <Initial>。

-ln <LastName> 設置用戶姓為 <LastName>。

-display <DisplayName> 設置用戶顯示名為 <DisplayName>。

-pwd {<Password> | *} 設置用戶密碼為 <Password>。如果是 *，會提示您輸入密碼。

-dept <Department> 設置用戶的部門為 <Department>。

-company <Company> 設置用戶的公司信息為 <Company>。

-mustchpwd {yes | no} 用戶在下次登錄時是否更改密碼。默認值: no。

-canchpwd {yes | no} 用戶是否可以更改密碼。如果 -mustchpwd 是 "yes"，它應該是 "yes"。默認值: yes。

雙擊這個批處理文件執行，來創建這10個用戶。

屬性中的單位也設置了。

域用戶的管理

1、禁用用戶賬戶：當用戶出差，暫時停止出差用戶賬戶的使用。

2、啟用用戶賬戶:用戶出差回來，重新啟用帳戶。

3、重設密碼：用戶出差回來后忘記了密碼或者多次登陸不成功被系統鎖定，管理員可為其重設密碼。

4、移動用戶：用戶從一個部門調入另一個部門。

5、刪除用戶：員工辭職后，刪除用戶。

值得一提的是：刪除一個用戶（比如Worder10），再重新創建一個同名用戶（比如Worder10）后，他并不會繼承原來的權力和權限。因為在Windws系統中用戶的權力和權限是通過用戶的SID來識別的，第一次建立這個用戶時分配了一個SID號，當刪除這個用戶后，再重建同名用戶時，他會獲得一個新的SID號，和原來并不同，所以不能繼承原來的權力和權限。