Windows 2000 Server组网实例（下）

孙治培 叶伟
2000年 第53期 

#1    二、 Windows 2000 Server的网络管理
#1    1.配置Windows 2000 Server环境
    在MS-DOS和Windows 3.X操作系统中，配置信息保存在一系列不同的文件中，如Config.sys和Win.ini。Windows 2000 将所有的配置信息仅存放在一个地方——注册表中。
    对注册表的修改将改变Windows 2000 的环境配置。可以用以下工具来修改注册表：控制面板和注册表编辑器。
    （1）使用控制面板进行硬件设置
    Windows 2000 的控制面板中包含很多程序，每个程序都能用来配置特定的注册表参数。利用某些控制面板中的程序，用户能够管理自己的工作环境。对于经常变化的硬件配置，可以创建和管理不同的硬件配置文件；可以配置扫描仪和照相机；配置显示器；配置SCSI适配器和磁带备份设备；配置UPS；配置PC卡等等。
    （2）使用控制面板进行软件设置
    在“控制面板”的“系统”特性、“高级”标签下，可以利用“启动和故障恢复”对系统引导及恢复进行设置。在系统引导信息下，可以选择缺省的引导操作系统和启动前系统等待时间，以秒为单位。在恢复信息下有一些选项用于配置在出现死机错误时，Windows 2000 会执行哪些特殊事务。
    Windows 2000是通过请求式页面文件交换过程在内存和一个或多个页面文件之间交换数据。在Windows 2000安装过程中安装程序创建了一个虚拟内存页面文件Pagefile.sys。这个文件存放在剩余磁盘空间最大的分区上。通过“控制面板”中的“系统特性”、“高级”标签下的“性能选项”的“更改”按钮能够进行页面文件的配置。“虚拟内存”对话框出现以后，能够对虚拟内存参数进行修改，如页面文件可以存放的驱动器，页面文件的大小，最大注册表的大小。如果系统中有多个物理硬盘，可以为每个硬盘创建一个页面文件，这样可以提高页面文件的分布式信息处理性能。
    环境变量是包含驱动器路径和文件各种信息的字符串。这些变量提供给Windows 2000来控制不同应用程序所需的信息。在控制面板的“系统特性”、“高级”选项卡下，“环境变量”允许管理员改变适用于系统中所有用户的环境变量，即系统环境变量；以及对于特定的计算机的不同用户各不相同的用户环境变量。
    另外，管理员可以在任何时候了用“控制面板”中的“添加/删除程序”属性来添加或删除任何Windows 2000组件。
    （3）使用注册表编辑器
    使用Windows 2000注册表编辑器程序Regedt32.exe可用来查看和更改注册表配置，它存在于Windows 2000 的System目录下。尽管注册表编辑器是一个非常好的管理工具，但是大多数情况下它并不是更改配置的最佳工具。多数配置应该通过控制面板来更改，但是有些配置却必须通过注册表编辑器来修改。注册表编辑器的主要用途使用与故障排除，因为注册表的某些部分能够保存到磁盘上或者保存到其它计算机上进行分析。
#1    2.管理文件系统
    Windows 2000 Server计算机能够支持不同的文件系统：文件分配表FAT、Windows NT 文件系统及CD-ROM文件系统CDFS。
    （1）FAT文件系统
    FAT文件系统是基于MS-DOS的计算机长期使用的文件系统的增强版本。Windows 95和MS-DOS要求必须使用FAT文件系统。这就意味着要实现Windows 2000 Server和Windows9x或MS-DOS的双重引导，系统分区必须是FAT文件系统。
    Windows 2000 Server环境下，FAT文件系统支持长文件名，但不能被Windows 2000 所提供的本地文件或目录安全性所保护。FAT文件或分区最大限制为4GB；FAT系统开销比NTFS较小，对于小于400MB的分区FAT是最有效的文件系统，但是随着文件数目的增加，其性能将降低；另外，对于RISC计算机FAT是必不可少的文件系统。
    （2）NTFS文件系统
    对于Windows 2000 Server而言，NTFS是最安全、最稳定的文件系统。NTFS提供了公司环境下的文件服务器和个人计算机所需的安全性。NTFS支持公司数据集成所需的数据访问控制和所有者权限。基于Windows 2000 Server的计算机在实现目录共享时，可以对共享目录指定许可权限；而NTFS文件和目录不管是否共享都可以分配许可权限。NTFS是Windows 2000 Server上唯一可以单独给文件分配许可的文件系统。
    需要注意的是虽然NTFS为文件和目录提供了本地安全性，但没有提供文件加密；NTFS为每一个用户维护一个独立的回收站；当用户使用可移动截至时，除非重新引导系统，否则NTFS不支持更改磁盘；因为NTFS的系统开销比较大，因此不能用NTFS来格式化软盘。
    （3）管理NTFS压缩
    NTFS文件压缩能够减少用于文件存储的磁盘空间。NTFS文件系统支持自动的文件和目录的压缩与解压缩。压缩能够在单个文件、目录甚至整个驱动器上实现。
    在NTFS分区上，每个文件和目录有自己的已压缩属性。文件的已压缩属性和目录的已压缩属性有以下不同：如果一个文件被设置为具有以压缩属性，则代表该文件已被压缩；如果一个目录具有已压缩属性，则表明该目录中的任何新文件将自动被压缩。
    Windows 2000 Server提供了两种方法对文件进行压缩和解压缩：
    ①Windows资源管理器
    当使用Windows 资源管理器在定位NTFS分区上的文件和目录时，文件和目录的“属性”对话框的“常规”标签中包含一个压缩复选框。如果某个目录的“压缩”复选框被选中，再选择“是否目录下的子目录也被压缩”。如果子目录不被压缩，则压缩属性仅为该目录下和目录下的文件而定。子目录的文件将不被压缩。但是在该目录下的新文件将自动被压缩。如果“压缩”复选框被取消，系统将以相同的方式来工作，该目录下的顶层的所有文件或包括所有子目录下的所有文件都被解压缩。
    ②Compress.exe
    Compress.exe是一个用于压缩文件和目录的命令行实用程序，其具体的使用方法请用Compress /?查看。
    在NTFS上拷贝或移动文件，其压缩属性可能发生变化。当一个文件从一个目录拷贝到另一个目录，该文件的压缩属性将变成目的目录的压缩属性。在同一个NTFS分区上，一个文件从一个目录移动到另一个目录，文件将会保留其压缩属性。如果文件是在两个NTFS分区之间移动，文件将继承目的目录的压缩属性，因为两个分区之间的移动实质上是先拷贝后删除的操作。
#1    3.管理分区
    分区是硬盘的逻辑组成部分，它是一个能够被格式化和单独使用的较小单位。Windows 2000 Server支持几种类型的分区，包括基本分区、扩展分区、卷集、磁盘条带集和动态卷。
    （1）基本分区和扩展分区
    磁盘自由空间能够被划分为基本分区和扩展分区，同一个硬盘上能同时存在多个基本分区和一个扩展分区。
    基本分区是物理盘中可以被标记为激活，并由系统用来启动计算机的部分，每个物理盘最多可以有4个基本分区。基本分区不能再划分子分区，多个基本分区可以隔离不同的操作系统或存放不同类型的数据。
    扩展分区可以将一个硬盘配置为多于4个逻辑分区。一个硬盘上只能由一个扩展分区，扩展分区允许你将物理盘的一块空间再分为子分区，每一个子分区叫做一个逻辑盘。
    在Windows 2000 Server中系统分区必须是基本分区，而Windows 2000 Server的引导分区可以是基本分区也可以是扩展分区上的逻辑分区。
    （2）卷集
    卷集是由磁盘空间组成的一个区域，该区域能被文件系统作为一个整体来访问，并能给它分配一个盘符。卷集不提供数据容错，因为没有数据冗余，任何组成卷集的驱动器发生损坏，都将使整个卷集不能工作。注意：系统分区和引导分区不能是卷集的一部分。
    （3）磁带条带集
    条带集和卷集类似，都将未格式化的自由空间组合到一个大的逻辑驱动器中。然而与卷集不同的是，卷集可以用单个驱动器实现，而条带集至少需要两个物理驱动器。条带集可以提高系统的I/O速度。和卷集一样，条带集也不提供任何容错，而且系统分区和引导分区不能成为条带集的一部分。
    在Windows 2000 Server中，你可以在Windows 2000 Server提供的管理硬盘的图形化工具“管理控制台”、“存储”、“磁盘管理”下选择相应的磁盘或驱动器创建、格式化和删除分区，激活分区，创建、格式化和扩展卷集，创建、格式化条带集，分配驱动器盘符合光盘命令盘符。
    （4）创建动态卷（Dynamic Volumes）
    ·动态磁盘卷类型：
    Simple Volume：包含单一磁盘上的磁盘空间。
    Spanned Volume：包含2个或多个（最多32个）磁盘上的磁盘空间 类似于Volume Set。
    Mirrored Volume：单一卷的两份相同的拷贝，每一份在一个硬盘上。它提供容错能力。类似于Mirror Set。
    Striped Volume：组合多个（2～32）磁盘上的Free Space到一个卷。类似于Stripe Set 。
    RAID-5 Volume：相当于提供容错功能的Striped Volume，要求至少三个硬盘。类似于 Stripe Set With Parity。
    ·转换存储类型：
    右键点击某个基本磁盘，然后点击升级为动态磁盘。当升级完成后，现存的分区将成为卷（Volume）。转换规律如下：
    系统/引导分区：Simple Volume
    基本分区：Simple Volume
    扩展分区/逻辑盘：Simple Volume
    卷集：Spanned Volume
    条带集：Striped Volume
    磁盘镜像集：Mirrored Volume
    奇偶校验条带集：RAID-5 Volume
    任何想要转换的磁盘必须至少包含1MB自由空间（Unallocated Space） 若想从动态磁盘转换至基本磁盘，应先删除该磁盘上所有的卷， 再用右键点击某个动态磁盘，然后点击转换为基本磁盘。
    （5）在NTFS卷上管理磁盘配额：
    Windows2000的Disk Quotas在per user或per volume的基础上跟踪和控制磁盘的使用。可以在“管理控制台”、“存储”、“磁盘管理”下选择驱动器设置磁盘配额，当接近限制时，发出警告并记录在事件日志中，而且可以设置用户当超过限制时，是允许继续访问还是禁止访问在磁盘属性中设置磁盘配额。如：配置允许使用的空间、发出警报的阀值等。
#1    4.管理容错
    Windows 2000 Server通过廉价磁盘冗余阵列RAID系统提供了容错保护，由容错来确保被保护的数据损坏后能被恢复。Windows 2000 Server提供对RAID1和RAID5的支持。
    磁盘镜像RAID1使用Windows 2000 Server容错驱动程序将相同的数据同时写到两块硬盘上，实际上是将分区上的数据复直到另一个物理盘上。任何分区，包括引导分区和系统分区都能被镜像，这是一种最简单的防止单个磁盘失效的方法。磁盘双工是Windows 2000 Server磁盘镜像的硬件增强，是在计算机上安装另一个磁盘控制器，这样不仅能够防止控制器失效也能防止磁盘介质失效。
    含奇偶校验的条带集RAID5提供了比磁盘镜像更好的读性能，但是由于要计算奇偶校验信息于是降低了写性能。它的磁盘利用率很高，所以相对于磁盘存储容量而言，它的成本较低，是当前最流行的容错设计方法。
    如果一个含奇偶校验的条带集的成员失效，计算机可以继续工作并能访问所有数据。若是想回到正常状态，则需要更换硬盘，然后利用“管理控制台”、“磁盘管理”中的“容错”菜单下的“重建”命令重建失效的数据。
    当镜像集的某一成员失效时，计算机将能够继续工作并能从另一个成员访问数据。管理员应将原有的镜像关系解除，从而替换失效的成员，并且重建镜像集。这将利用磁盘管理工具来实现。
#1    5.设置用户帐户
    用户帐户是一个用户唯一的身份标识，并且给予用户登录到域中访问网络资源的能力，或登录到本地计算机中访问本地资源。域用户帐户是使用“Active Directory用户和计算机”创建的。Windows2000 Server的本地用户帐户是使用“管理工具”、“计算机管理（本地）”、“系统工具”、“本地用户和组”、“用户”创建的，选中“用户”选项。再单击右键，在弹出式菜单中选择“新用户”，在弹出的“新用户”创建窗口中，你可以设置“新用户”的属性，如：用户名、全名、描述、密码等有关信息；并可以在创建一个新用户后，停用该用户名，实现这一功能，只需选中“帐户已停用”复选框。
    （1）命名规范
    用户名必须唯一，域用户帐户在域中必须唯一，本地用户帐户在本地计算机中必须唯一用户名可以包括20个大小写的字符，但不能包括以下字符： " /\ [ ] : ; | ， + * ? < > 。如果用户数目较多，命名规范应该能够解决用户名字相同的问题。
    （2）口令、登录时间和工作站的限制
    为防止非法用户的访问，每个帐户需要有一个口令。应将登录时间设置为用户访问网络的特定时间。当敏感的数据保存在用户的本地计算机上时，用户应该只允许从他们自己的计算机上登录。
    （3）创建用户帐户
    启动“Active Directory用户和计算机”，单击鼠标右键选择“新用户”，在对话框中配置以下选项：
    Username	   基于命名规范的一个唯一的名字
    Full Name	   用户用户的完整名字
    Description    标识用户的描述
    Password       口令
    Confirm	   确认口令
    ·设置口令和帐户选项：
    User Must Change Password at Next Logon  确认用户第一次登录时改变初始设置口令
    User Cannot Change Password              需要多个人使用同一个帐户时
    Password Never Expires                   用户帐户口令从不需要改变
    Account Disabled                         临时防止使用这个帐户
    ·设置登录时间：在登录时间对话框内选择限定用户能够使用网络的时间。
    ·设置工作站和帐户的选项：在登录工作站对话框控制用户使用哪一台计算机登录到域中，并且可以要求用户使用规定的计算机登录。
    ·赋予拨入许可选项：
    No Call Back     RRAS服务器不会回呼用户
    Set By Caller    由用户指定一个RRAS服务器回呼的电话号码
    Preset To        由你指定一个RRAS服务器回呼的电话号码
    当一个帐户不再需要时，可以在相应帐户下右键单击选择“删除”这个帐户或“重命名”一个帐户给另一个用户使用。帐户删除后，这个帐户的所有信息都会丢失，包括属性、权限、许可和组成员关系，Administrator和Guest帐户不能被删除（但Guest帐户可以被停用，一般不停用Administrator帐户）。重命名一个帐户将保留所有的权限、许可和组成员关系。
    （4）创建基于服务器的用户配置文件
    基于服务器的用户配置文件给用户提供了一致的工作环境，不管用户从哪一台Windows 2000的计算机上登录。基于服务器的用户配置文件集中存放在一台网络中的服务器上。
    可使用相应帐户的“属性”、“配置文件”中输入用户配置文件、登录底稿和主目录的路径，以指定用户配置文件、登录底稿和主目录的路径：
    User Profile Path    用户配置文件的目录的路径
    Logon Script Name    登录底稿的名字
    Home Directory       主目录的路径
#1    6.设置组帐户
    组是用户帐户的集合，分配一个用户帐户成为组的成员，给予了这个用户赋予组的所有权限和许可。有两种类型的组：本地组和全局组。
    本地组是用来给用户提供访问网络资源和执行系统任务的权限；在适当的信任关系下，可以包括人和域的用户帐户和全局组，不能包括其他本地组或在本地域中赋予权限；如果在成员服务器或在运行Windows 2000 Professional的计算机上创建，只能在本地计算机上分配资源和赋予权限；如果在PDC上创建，可以在域中任何一台域控制器上分配资源或赋予权限。
    全局组是用来组织用户帐户，典型的方法是通过功能或地理位置来组织；它只能包括自己域的用户帐户，不能包括本地或其他全局组；在适当的信任关系下，可用来加入到任何域的本地组，从而使其成员能够访问资源或赋予其成员权限；全局组不能被分配本地资源，总是在域中的PDC上创建。
    当创建组时，应遵循以下规则：要根据共同需要从逻辑上组织域用户帐户；在每一个用户帐户所在的域中，为每一个逻辑组的用户创建一个全局组，然后将适当的用户帐户放入适当的全局组中；根据访问资源的需要创建本地组（如果资源是放在成员服务器或运行Windows 2000 Professional的计算机上，则在存放资源的计算机上创建本地组；如果资源是放在PDC或BDC上，则在PDC上创建本地组）；给本地组分配适当的许可；将全局组加入本地组。
    在Windows 2000 Server上，在“Active Directory 用户和计算机”或“管理控制台”选择适当的计算机或域右键单击，再选择“新建”、“组”，然后在对话框中输入新组名称，并且选择组领域（本地域/全局/通用）和组类型（安全式/分布式）。
    要对一个组进行操作，只需右键单击该组，选择“删除”、“重命名”可以删除或更改组名称；选择“属性”可以修改组的类型和领域；在“属性”、“成员”中单击“添加”可以向该组添加新成员。
    在Windows 2000 Professional上，使用“管理控制台”创建本地组，全局组不能被创建。
#1    7.实现内置组
    内置组是已经赋予了一些用户权限的预先定义的组，用户权限决定了一个用户或内置组的成员能够执行的系统任务。管理员可以使用管理自定义组的相同方法管理内置组。
    （1）所有基于Windows 2000 计算机上的内置组
    Users  执行已经被授权的任务和访问已经被分配许可的资源。
    Administrators  可以在本地计算机上执行所有的管理任务，如果该计算机是域控制器，其成员可以完全管理域。
    Guests  执行已经被授权的任务和访问已经被分配许可的资源，Guests组的成员不能对他们的本地环境做永久性的修改。
    Backup Operators  使用Windows 2000的备份程序对运行Windows 2000的计算机进行备份和恢复。
    Replicators  被目录复制服务使用，不能用来管理。
    （2）只存在于域控制器上的内置组
    ①本地组
    Account Operators  创建、删除和修改用户、全局组和本地组帐户，不能修改Administrators组和Server Operators组。
    Server Operators  共享磁盘资源、备份和恢复服务器。
    Print Operators  设置和管理网络打印机。
    ②全局组
    Domain Users   自动加入到本地Users组。
    Domain Admins  自动加入到本地Administrators组。
    Domain Guests  自动加入到本地Guests组。
    （3）内置的系统组
    Everyone  包括所有访问计算机的本地和远程用户。
    Creator Owner  包括创建了一个资源或得到一个资源的所有权的用户。
    Network  包括所有从网络上其它计算机连接到你的计算机共享资源的用户。
    Interactive  自动包括从本地登录到计算机的用户。
#1    8.将Windows工作站加入到Windows 2000网络
    要从Windows工作站登录到Windows 2000网络，首先必须在Windows 2000 Server 域控制器上为登录用户创建一个帐户，包括用户名、密码以及权限等等。
    （1）将Windows for Workgroups工作站加入到Windows 2000网络
    运行WIN进入Windows for Workgroups 后，请按以下步骤设置登录Windows 2000域的方法：
    ①单击“主群组”、“控制面板”、“网络”图标。
    ②在“Microsoft Windows Network”对话框中单击“启动”按钮。
    ③在“启动设置”对话框中选择“登录到 Windows NT 域”，并设置登录的域的名称，单击“确定”。
    ④在“Microsoft Windows Network”对话框中单击“登录”按钮。
    ⑤在“欢迎”对话框中输入原来的工作组的用户名和密码，此时会提示无此用户的密码，选择添加。
    ⑥在出现的“域登录”对话框中输入登录域的用户名称及密码，进行登录。
    （2）将Windows 9X工作站加入到Windows 2000网络
    首先，必须确定网络的软硬件环境以设置正确，如网卡、IRQ、I/O地址、协议、TCP/IP及IP地址等。
    ①在“开始”、“设置”、“控制面板”、“网络”对话框中，单击“添加”按钮。
    ②在“选定网络组件类型”对话框中选择“客户”。
    ③在“选定网络客户”对话框中选择“Microsoft”、“Microsoft网络客户”。
    ④在“网络”对话框中选择“Microsoft网络客户”，单击“属性”按钮。
    ⑤在“Microsoft网络客户属性”对话框中，选择“登录到Windows NT域”，并输入所要登录的域的名称。
    ⑥在“网络”对话框中的“基本网络登录方式”处选择“Microsoft网络用户”，单击“确定”。
    如果这些网络环境都已设置完成，启动时Windows 9X会要求你输入用户名称、密码及名称以便登录Windows 2000网络。
    （3）将 Windows NT加入到Windows 2000网络
    ①在安装NT Server/Workstation时加入Windows 2000域
    在“安装向导”中会出现一个要求你将此计算机“加入工作组或域”的对话框时，在“域”处输入所要加入的域的名称；单击“在域中建立一个计算机帐号”；在出现的“在域中建立计算机帐户”对话框中输入域中的Administrator及密码；单击“下一步”，完成加入操作。
    ②将原属于Workgroup的NT Server/Workstation加入Windows 2000域
    在要加入域的计算机上选择“开始”、“设置”、“控制面板”、“网络”、“标识”；单击对话框中“工作组”的“更改”按钮；在“标识更改”对话框中输入域名、选择“在域中创建一个计算机帐号”，并且输入域的Administrator及密码；设置成功后将出现欢迎对话框。
    （4）将 Windows 2000 Professional加入到Windows 2000网络
    在要加入域的计算机上选择“开始”、“设置”、“网络与拨号连接”；选择“高级”菜单项下的“网络标识”；在“网络标识”对话框中单击“属性”按钮；在“隶属于”部分选择“域”，并输入要加入的域名，单击“确定”；系统会提示输入域管理员的帐户及密码；输入完成后单击“确定”完成加入操作。
    （5）将 Windows 2000 Server加入到Windows 2000网络
    在要加入域的计算机上选择“开始”、“程序”、“管理工具”、“配置服务器”；单击“Active Directory”选项，安装“Active Directory”；按照安装向导的提示进行操作，在选择“服务器类型”时，选择“成员服务器”，并输入域名；完成Active Directory安装后即可加入指定的域。
#1    9.通过共享目录许可来保证网络资源安全
    （1）共享目录的许可
    Full Control  改变文件许可，在NTFS分区上得到文件的所有权，执行所有Change允许执行的任务。
    Change  创建目录和添加文件，改变文件中的数据，给文件追加数据，改变文件属性，删除目录和文件。
    Read  显示目录和文件的名字，显示文件的数据和属性，运行程序文件。
    No Access  只与共享目录建立连接，不允许访问目录，不显示目录中的内容。
    一个用户可以给它直接分配访问目录的许可，也可以作为组的成员分配许可。一个用户可以是多个组的成员，这些组有不同的许可，提供了不同级别的访问。当一个用户对共享的目录被分配了许可，并且这个用户还是分配了不同的许可的组成员，那么用户的有效许可是用户许可和组的许可的组合。但是，No Access徐可总是会覆盖掉分配给用户或用户所属的组的其它许可。
    （2）设置共享目录属性
    Share Name  提供远程用户用来连接本地资源的名字，可以通过在共享名后加一个$来创建一个隐藏的共享。
    Comment  给共享名提供一个描述。
    User Limit  设置能够同时连接到共享目录的用户的数目。
    Permission  从网络访问目录时，设置目录的许可。
    New Share    以不同的名字和许可共享此目录。
#1    10.通过NTFS许可保护网络资源
    NTFS许可可以分配给目录和单独的文件，它具有高的安全性，可以保护本地文件和目录，又叫本地许可。
    （1）NTFS许可
    Read（R）  显示目录和文件的名字、属性、所有者和许可。
    Write（W）  增加目录和文件，改变目录的属性，显示所有者和许可。
    Execute（X）  显示目录和文件的属性、所有者和许可，改变目录中的子目录，运行可执行文件。
    Delete（D）  删除目录和文件。
    Change Permission（P）  改变目录和文件的许可。
    Take Ownership（O）  获得一个目录和文件的所有权。
    （2）标准许可
    ①标准目录许可
    No Access = none		List = R+X
    Add = W+X			Add＆Read = R+W+X
    Change = R+W+X+D		Full Control = R+W+X+D+P+O
    ②标准文件许可
    No Access = none		Read = R+X
    Change = R+W+X+D		Full Control = R+W+X+D+P+O
    NTFS文件许可优先于存放该文件的目录所分配的许可，即使用户对目录的许可是NO Access也成立，用户总是可以从相应的应用程序中通过使用UNC路径或本地路径打开这个文件来访问它。
    （3）配置目录和文件的许可
    目录或文件的“属性”对话框中，“安全”、“权限”对话框：
    Replace Permission On Subdirectories  如果选中，改变此目录下所有的子目录的已经存在的许可，不会改变此目录中已经存在的文件的许可。
    Replace Permission On Existing Files  如果选中，只改变存在于所选目录中文件的许可，不会改变此目录中子目录的许可。
    Name  显示对于资源来说分配了目录或文件许可的用户或组。
    Type of Access  显示了在Name框中所选者的组或用户的目录或文件的许可，并允许你改变这些许可。
    （4）在Active Directory 用户和计算机发布目录
    Active Directory可以提供快速的资源访问和提供访问的安全机制。可以在Active Directory 中发布的资源有用户、计算机、打印机、文件、目录和网络服务。方法是右键点击相应域名、“新建”、“共享目录”。
    要注意Shared Folder和Published Folder的区别。Shared Folder是基于服务器的，访问资源相对困难（必须知道服务器的名字）；而Published Folder是发布在 Active Directory中，所以搜索资源很容易。
    （5）使用Dfs管理共享目录：
    Dfs允许从多种物理系统中创建单一的逻辑目录树，这样用户查找资源就很方便，不用去登录多个服务器，而且也为管理员在单一地点管理多个共享目录提供了方便。Dfs在WindowsNT4.0中已有应用，在Win2000中得到了增强。
    可以配置两种类型的Dfs:
    ①Stand-alone Dfs ：在单一的计算机上保存Dfs的拓扑结构。但如果存储共享文件的计算机或Dfs拓扑失效，则不提供容错。
    ②Fault-tolerant Dfs：在Active Directory中保存Dfs的拓扑结构。这种Dfs允许其（Domain Dfs）子节点指向多个相同的的共享目录以便容错。它还支持DNS命名、文件复制等。
    （6）设置Dfs Root
    创建Dfs的第一步是设置Dfs Root。Dfs可以创建在FAT和NTFS分区上，但创建在FAT分区上时，不提供NTFS上的高级安全性。
    设置Child Nodes（Dfs Link）：创建了Dfs Root后，就可以添加Dfs Link来指向其它共享目录。
#1    11．管理打印系统
    Internet打印是Windows 2000中的一个新特性，Windows 2000提供了通过Internet将打印作业提交给打印机的方式。
    Internet打印要从Inernet/Intranet上安装打印机，将打印机的URL作为该打印机的名称使用。要想使Windows 2000 Server处理包含URL字符的打印作业，必须运行Microsoft IIS。可以从浏览器管理任何打印机，但必须使用IE 4.0或更高版本的浏览器。
    （1）添加打印机
    添加打印机需要管理员权限，单击“开始”、“设置”、“添加打印机”。
    ①安装本地打印机
    在“添加打印机向导”中选择“本地打印机”；可选定“自动检测我的打印及”自动安装打印机，也可自行安装，单击“下一步”；选择打印机接口，一般为并口（LPT），单击“下一步”；选择打印机厂商和型号，单击“下一步”；输入打印机名称，单击“下一步”；选择是否让其他用户共享该打印机，并输入共享名称，单击“下一步”；输入描述该打印机的位置和注释，单击“下一步”完成安装向导。
    ②安装网络打印机
    网络打印机分为两类：活动目录内的任何打印机、Internet上的打印机。在“添加打印机向导”中选择“网络打印机”；在显示的对话框中，如果用户不知道打印机的位置或名称，可选择“在目录查找一个打印机”，单击“下一步”查找打印机，也可以直接输入活动目录的打印机的名称；要连接一个Internet/Intranet上的打印机，必须输入该打印机的URL。
    （2）打印机属性设置
    在打印机窗口，单击“文件”菜单的“服务器属性”，可进行打印机的常规、共享、安全、端口、设备等配置。
    （3）打印服务器配置
    在打印机窗口，右键单击一个打印机，单击“属性”，可配置打印服务器的各种属性：格式、端口、驱动程序及一些高级配置。
    （4）打印队列管理
    在打印机窗口，双击一个打印机图标，显示该打印其的打印队列，可对打印队列完成各种操作，如删除、暂停、调整打印顺序等。