如何在域服务器上建立本地用户

当服务器升级成为域服务器以后，本地用户会被禁用，所有的本地用户都会自动成为域用户（域用户包含了本地用户的所有权限）。
而建立域用户，你需要到管理工具》AD用户和电脑》users里添加。（我用的是繁体版的2000，可能与简体版的不太一样，但是位置是差不多的）

1、再电脑桌面上找到搜索系统，直接搜索“控制面板”。

2、”网络和 Internet“。

3、然后再点击Internet 选项。

4、在Internet属性对话框下，点击连接选项卡。

5、然后点击局域网设置。

6、此时会d出局域网(LAN)设置对话框，选中“为 LAN 使用代理服务器”。

7、再选中高级即可。

8、然后填写好代理设置的内容就可以了。

现在说下DSADD批量创建用户的方法，首先在使用DSADD之前先讲下LDAP协议，目录服务使用LDAP这个公用协议来查找和定位对象，LDAP可以描述对象在那个域,对象在那个OU,对象自己的名字。通常它的语法为“OU=OU对象,CN=非域非OU对象,DC=域对象”。比如：CN=Solo,OU=IT,OU=desktop,DC=china,DC=com
接下来我们来看一看DSADD的语法：
dsadd computer - 将计算机添加到目录
dsadd contact - 将联系人添加到目录
dsadd group - 将组添加到目录。
dsadd ou - 将组织单位添加到目录
dsadd user - 将用户添加到目录。
语法
dsadd user UserDN [-samid SAMName] [-upn UPN] [-fn FirstName] [-mi Initial] [-ln LastName] [-display DisplayName] [-empid EmployeeID] [-pwd {Password | }] [-desc Description] [-memberof Group;] [-office Office] [-tel PhoneNumber] [-email Email] [-hometel HomePhoneNumber] [-pager PagerNumber] [-mobile CellPhoneNumber] [-fax FaxNumber] [-iptel IPPhoneNumber] [-webpg WebPage] [-title Title] [-dept Department] [-company Company] [-mgr Manager] [-hmdir HomeDirectory] [-hmdrv DriveLetter:] [-profile ProfilePath] [-loscr ScriptPath] [-mustchpwd {yes | no}] [-canchpwd {yes | no}] [-reversiblepwd {yes | no}] [-pwdneverexpires {yes | no}] [-acctexpires NumberOfDays] [-disabled {yes | no}] [{-s Server | -d Domain}] [-u UserName] [-p {Password | }] [-q] [{-uc | -uco | -uci}]
参数
UserDN
必需。指定要添加的用户的可分辨名称。如果省略可分辨名称，则将从标准输入 (stdin) 中获取该名称。
-samid SAMName
指定 SAM 名称作为该用户的唯一 SAM 帐户名（例如，Linda）。如果未指定，dsadd 将尝试使用 UserDN 的公用名 (CN) 值的至多前 20 个字符创建 SAM 帐户名。
-upn UPN
指定要添加的用户的用户主体名称（例如 ）。
-fn FirstName
指定要添加的用户的名字。
-mi Initial
指定要添加的用户的中间名首字母。
-ln LastName
指定要添加的用户的姓氏。
-display DisplayName
指定要添加的用户的显示名。
-empid EmployeeID
指定要添加的用户的雇员 ID。
-pwd {Password | }
指定将用户密码设置为 Password 或 。如果设置为 ，将提示您输入用户密码。
-desc Description
指定要添加的用户的描述。
-memberof GroupDN
指定希望用户加入的组的可分辨名称。
-office Office
指定要添加的用户的办公室位置。
-tel PhoneNumber
指定要添加的用户的电话号码。
-email Email
指定要添加的用户的电子邮件地址。
-hometel HomePhoneNumber
指定要添加的用户的家庭电话号码。
-pager PagerNumber
指定要添加的用户的寻呼机号码。
-mobile CellPhoneNumber
指定要添加的用户的移动电话号码。
-fax FaxNumber
指定要添加的用户的传真号码。
-iptel IPPhoneNumber
指定要添加的用户的 IP 电话号码。
-webpg WebPage
指定要添加的用户的 Web 页的 URL。
-title Title
指定要添加的用户的称谓。
-dept Department
指定要添加的用户的部门。
-company Company
指定要添加的用户的公司信息。
-mgr ManagerDN
指定要添加的用户的管理器的可分辨名称。
-hmdir HomeDirectory
指定要添加的用户的主目录位置。如果 HomeDirectory 是作为通用命名约定 (UNC) 路径给出，则必须使用 -hmdrv 参数指定要映射到此路径的驱动器号。
-hmdrv DriveLetter:
指定要添加的用户的主目录驱动器号（例如，E:）。
-profile ProfilePath
指定要添加的用户的配置文件路径。
-loscr ScriptPath
指定要添加的用户的登录脚本路径。
-mustchpwd {yes | no}
指定用户是否必须在下次登录时更改其密码（yes 必须更改，no 不必更改）。默认情况下，用户不必更改密码 (no)。
-canchpwd {yes | no}
指定用户是否可以更改其密码（yes 可以更改，no 根本不能更改）。默认情况下，允许用户更改密码 (yes)。如果 -mustchpwd 参数的值为 yes，则该参数的值必须为 yes。
-reversiblepwd {yes | no}
指定是否应使用可逆加密来存储用户密码（yes 表示应该，no 表示不应该）。默认情况下，用户不能使用可逆加密 (no)。
-pwdneverexpires {yes | no}
指定用户密码是否永不过期（yes 表示是，no 表示不是）。默认情况下，用户密码会过期 (no)。
-acctexpires NumberOfDays
指定从今天算起用户帐户将到期的天数。0 值表示将今天的结束时间设置为到期时间。正值表示将将来的时间设置为到期时间。负值表示将以前的时间设置为到期时间。值 never 将帐户设置为永不过期。例如，0 值表示该帐户在今天结束时过期。值 -5 表示该帐户 5 天前就已经到期，并将以前的时间设置为到期日期。值 5 表示该帐户将在 5 天后到期。
-disabled {yes | no}
指定是否禁用用户帐户登录（yes 禁用登录，no 允许登录）。默认情况下，启用用户帐户登录 (no)。
{-s Server | -d Domain}
连接到指定的远程服务器或域。默认情况下，计算机与登录域中的域控制器相连接。
-u UserName
指定用户要用于登录到远程服务器的用户名。默认情况下，-u 使用用户登录时的用户名。您可以使用下列任一格式指定用户名：
用户名（例如 Linda）
域\用户名（例如 widgets\Linda）
用户主体名称 (UPN)（例如 ）
-p {Password | }
指定使用密码或 登录到远程服务器。如果键入 ，将提示您输入密码。
-q
将所有输出降低为标准输出（安静模式）。
Dsadd user的语法内容比较多大家可以参考自己的实际情况去跟相应的参数。
eg:添加工号test001到printer的OU,显示名及说明都是Solo，并添加ippd-printer群组，密码为China123，强制下次登录修改密码；
dsadd user "cn=test001,ou=printer,ou=desktop,dc=ecmms,dc=foxconn" -upn -desc Solo -display Solo -memberof "cn=ippdprinter,ou=user,ou=ippd,ou=rd,ou=ecmms,dc=ecmms,dc=foxconn" -pwd Foxconn123 -mustchpwd yes

用户加入到域中自动加入域有点困难，可以用脚本编，但有点脱裤子放屁的味道，用户加域的传统方法如下：Windows XP，右击"我的电脑"—属性—d出"系统属性"窗口，点击“计算机名”—更改—在"域"一栏中输入你的域名—点确定—d出对话框后输入用户名和密码（可以用域管理员或域中可以登录该电脑的用户），确定—如果成功加入域后，会d出成功的对话框，点确定—最后点击"属性"窗口的确定键。—提示重启，重启后便加入了域。Windows Vista/7的步骤一样，只不过是要点击一下"系统"中的"高级系统设置"。
还有楼上要抄可以，但不要把我帮助别的童鞋的答案放上来，而且答案又是牛头不对马嘴的。

比较简单有效的方法是对整个域用户设置一个组策略，该组策略实现将Helpdesk用户组添加到本地计算机中，同时对该组策略的安全作出限制，对所有服务器计算机deny其“应用组策略”。具体 *** 作是这样的：
（1）在AD中新建Helpdesk用户组，添加相关的Helpdesk用户，新建ServerComputer组，将所有的服务器添加到该组中。
（2）在DC上打开“AD用户和计算机”，打开域的属性窗口，在组策略选项卡中单击“打开”按钮打开组策略管理，
新建一个组策略Helpdesk，并将该组策略链接到域上，对所有域用户生效，如图：
（3）右击“Helpdesk”，在d出式菜单中选择“编辑”，那么就可以d出我们熟悉的组策略编辑器了。
（4）依次展开“计算机设置”、“Windows设置”、“安全设置”、“受限制的组”，然后新建组“Helpdesk”，这个组隶属于“Administrators”组，如图：
这样设置后所有域中的计算机在应用策略后都会将Helpdesk组添加到本地的Administrators组中。
（5）右击左侧控制栏的“Helpdesk[xxxcom]策略”，在d出式菜单中选择“属性”选项，并切换到安全选项卡，添加服务器计算机组ServerComputer，然后在下面的权限中设置其拒绝应用组策略。
（6）“确定”，完成组策略的设置。这个时候在员工计算机上运行gpupdate /force可以强制马上刷新组策略，看到Helpdesk已经添加到Administrators组中。但是现在如果登录服务器也可以看到，Helpdesk也会被加入到Administrators组中，为什么呢？
因为计算机被加入到组中后计算机如果没有重启，那么他是不知道自己在这个组中的，所以组中的计算机必须重启！重启后就可以看到Helpdesk是不会被添加到Administrators组中的。
服务器需要24小时运行，不允许重启怎么办？可以将服务器一台一台的添加到（5）步中的安全控制中，分别对每一台计算机设置拒绝应用组策略即可。

域用户在本地计算机上默认的权限不是很高，很多时候 *** 作起来很不方便。拥有本地管理员权限的话，可以赋予域用户本地管理员的权限，方法有几种，但是命令行的方式最为简洁方便：\x0d\用net命令：\x0d\net localgroup Administrators /add springscom\dmbi\x0d\将springscom域中的用户dmbi加入本地的Administrators组。 \x0d\该方式，不需要域管理员的权限，只需本地管理员的权限就可以了。图形化界面，必须要有与管理员权限才容易 *** 作。

---