我们上一期介绍了如何将服务器提升为域控制器的方法，本期将介绍一下域中对象及其创建方法，也就是创建用户账号、组账号和组织单位。
单击“开始”→“程序”→“管理工具”→“Active Directory用户和计算机”命令，打开“Active Directory用户和计算机”对话框（见图1）。

图1

在图1中，我们可以看到Builtin（内置组账户）、Computers（计算机）、Domain Controllers（域控制器）、ForeignSecurityPrincipals和Users（用户）五个容器，他们的类型分别是容器、组织单位。
“Active Directory用户和计算机”中用户账户、计算机账户和组称为安全主体，安全主体是自动分配安全标识符的目录对象。带安全标识符的对象可登录到网络并访问域资源。用户或计算机账户用于：验证用户或计算机的身份；授权或拒绝访问域资源；管理其他安全主体；审计使用用户或计算机账户执行的操作。
“Active Directory用户和计算机”账户中，我们可以进行添加、禁用、重置和删除用户账户、组、组织单位等操作。我们对于用户的管理，则是通过对其所属的组进行赋予权限来实现。
对于网络用户相对较少的网络环境，直接建立用户账户，然后将其加入相应的组进行管理是最轻松的管理方式。单击打开图1中的“Users”将发现里面有很多用户账户，其中类型为“安全组”的表明为组账户（见图2）。

图2

新建账户的操作方法很简单，在“Users”上单击鼠标右键，在弹出的下拉菜单中单击“新建”→“用户”命令，打开“新建对象——用户”对话框。填入用户“姓”和“名”，然后确定一个用户登录名，在弹出的用户密码设置对话框内填入密码。
在创建用户以前，您必须确定一个登录名的命名规则，也就是说对应于用户的中文姓名，我们能很快地知道他的登录名。因为在域中一般都会提供相应的邮件服务，在日常工作中没有人愿意为登录名或者邮箱名费脑筋。一般有下面几种命名方法：
1.使用中文的全拼，这样比较直接，也比较好辨认，但对于那些名称全拼较长的人，输入登录名就有点累了。
2.全部使用中文名拼音的第一个字母，这个输入比较简单，但缺点是重复的登录名会比较多，适合较小的网络。
3.使用上述2个结合的方式，凡是2个名字的用全拼；3个名字的，姓氏采用全拼，名字只取其首字母。
三种方法各有优缺点，大家可以根据自己的网络环境自行选择，但值得注意的是，命名规则一旦确定下来，就不要轻易改变，以免发生混乱。
上面建立账户时，默认是将用户作为“Users”成员的，在人员较少，网络环境不复杂的情况下，这样也能够满足管理的要求。但在管理过程中，根据实际情况创建自定义的新组是完全有必要的。在开始动手前，还是来了解一些组账户的基本知识：

组作用域
是用来标识组在域树或域森林中所应用的范围，有三种不同的作用域。
本地作用域：其本地组常用来分配本地资源的访问权限。
全局作用域：常用于组织那些类似共享网络访问要求的用户。
通用作用域：常用于分配多个域中相关资源的访问权限。
组类型
安全式：Windows 2000只使用安全组，用于分配权限以访问资源。为了指定存取资源的权限，并具有分布式组的全部特征，所以在选择组类型时一般都选用安全式。
分布式：应用程序使用分布组作为与安全无关的功能列表，只具有组功能与安全无关时，才使用分布式。
通常，我们采用组“作用域”为全局，“组类型”为安全式即可。组是用户账号的集合，用于给一组用户账号分配权限以简化对用户账号的管理。创建组的操作步骤与创建用户账户的方法相似，确定一个组名，然后确定其作用域和类型。
学会使用和管理用户账户和组后，就能完成日常的管理工作了，那么为什么还要有一个组织单位（OU）呢？使用OU的意义在于它能够简化域中对象的管理，可将组织单位的管理控制权委派给特定的人。
创建OU时最好能反映组织单位的职能或商务结构的单位。如先创建优异单位，如人事关系、设备管理和营销等部门等的组织单位，然后再创建其他的嵌套组织单位，如福利和招聘单位等。当然也可以继续创建内部招聘和外部招聘单位等更低一级的嵌套单位。
这样的OU管理层次层次结构，不仅可以清楚地了解到各个环节的管理情况，可以在公司的不同层次使用不同的设置和组策略。另外利用组织单元还可以实现委派授权，从而使对域中资源管理访问的控制更加容易。例如：您可以将某一组织单元的管理权授予用户A，同时授予用户B对域中所有组织单元的管理权。默认情况下组织单元会从父域和父组织单元继承安全策略，当然也可以根据需要扩展其安全级别以增加域中网络资源的安全性。
在为企业创建组织单元时应注意遵循以下设计原则：
◆ 创建一个符合逻辑、有意义的组织单元结构，以便于让组织单元的管理员有效地完成任务。
◆ 要考虑应用安全策略。
◆ 要考虑提供或限制某些用户对某些共享资源的可视性。
◆ 创建相对静态的组织结构，为名称空间提供灵活性，以适应企业变化的需要。
◆ 尽量避免为组织单元分配太多的子对象。
总之，在设计组织单元时，应尽量创建层次式的、统一的、静态的以及通用的组织单元和对象名称，以在企业的任意域中使用。不要向组织单元中添加太多的子对象，因为这会在搜索和查询时引起瓶颈。
创建组织单元的方法与创建用户账号和组账号的方法相似，这里不再累述。但需要注意的是在大部分的默认容器（如Builtin、computer等）中是不能创建组织单元的。而要创建组织单元必须拥有创建组织单元的权限，默认情况下，Administrator组的成员拥有创建组织单元的权限。创建完成后，新创建的组织单元将出现在“Active Directory用户和计算机”中。

文章转载地址：http://www.365master.com/kt_article_show.php?article_id=372&categ_code=10041003