域环境中管理员的管理位置及工具
在搭建好 Windows Server 域（Active Directory）后，管理员主要通过以下核心组件和界面进行日常管理工作：
Active Directory 用户和计算机 (ADUC)
✅ 路径: 开始菜单 → 管理工具 → Active Directory 用户和计算机
🔧 功能:
- 创建/删除用户、组、组织单位（OU）；
- 修改账户属性（如密码策略、隶属关系）；
- 分配权限（例如允许登录时间、工作站限制）；
- 批量导入导出对象（LDIFDE工具配合使用）。
📌 示例操作: 右键点击某个用户 → “属性” → “拨入”标签卡可设置远程访问权限。
Server Manager（服务器管理器）
🖥️ 入口: 任务栏搜索或开始屏幕直接启动
⚙️ 作用:
| 模块 | 典型任务 | 备注 |
|---------------------|-----------------------------------|--------------------------|
| 本地用户与组 | 基础本地账户管理 | 仅影响本机非域环境 |
| 文件服务角色 | 配置共享文件夹、DFS命名空间 | 需结合NTFS权限联动生效 |
| DNS管理器 | 解析记录维护 | 确保域名系统正常运行 |
| Group Policy Management | GPO策略部署 | 统一管控终端设备行为 |
💡提示：若启用了多个域控制器，此处会显示所有DC的健康状态。
PowerShell命令行工具
🐍 适用场景: 自动化批量操作（尤其适合超50人规模的企业）
📜 常用Cmdlet示例:
# 新建用户并设置密码永不过期
New-ADUser -Name "张三" -SamAccountName zhangsan -Path "DC=example,DC=com" -CannotChangePassword $true -PasswordNeverExpires $true
# 将用户添加到内置管理员组
Add-ADGroupMember -Identity "Domain Admins" -Members zhangsan
# 查看最近登录失败事件（安全审计）
Get-EventLog Security | Where-Object {$_.EventID -eq 4625} | Select TimeGenerated,Message
⚠️注意：执行前建议用WhatIf参数预览效果，避免误操作导致服务中断。
MMC自定义控制台
🛠️ 进阶用法: 根据需求组合多个管理单元：
- 打开空白MMC(
mmc.exe)； - 依次添加“Active Directory站点和服务”“证书服务”“路由和远程访问”；
- 保存为
.msc文件供后续快速调用。
👉优势：跨功能集中管理，减少窗口切换成本。
Web浏览器访问ESAC（可选组件）
🌐 前提条件: 已部署Remote Server Administration Tools (RSAT)中的Web管理网关角色
🔗默认地址: https://域名/remote
🔐支持的功能包括：
- 实时监控域控制器性能指标；
- 远程启动/停止AD服务；
- 查看当前锁存的账户列表。
常见问题与解答
Q1: 如果忘记域管理员密码怎么办？
A: 可通过以下步骤重置：
1️⃣ 使用安装介质启动到Windows RE环境；
2️⃣ 选择“疑难解答”→“高级选项”→“命令提示符”；
3️⃣ 输入命令：ntdsutil.exe "activate instance ntds" → reset password on server null；
4️⃣ 按照向导指定新密码，此过程需要物理访问主机，建议事后立即更新备份密钥。
Q2: 如何限制普通用户安装软件的权利？
A: 通过组策略实现：
① 打开GPMC创建新GPO并链接到OU；
② 导航至计算机配置→策略→软件限制策略；
③ 勾选“强制”，默认设为“不允许”；
④ 添加例外哈希值或数字签名规则，该策略仅对未签名程序生效，已
