建立域服务器的步骤注意事项，急用啊！！谢谢

在新目录林中安装第一个域控制器
注意：您必须在提升前或在提升过程中在某一位置安装一个 DNS 服务器。在将计算机提升为域控制器后，它在 DNS 中注册服务，这些服务使轻型目录访问协议 (LDAP) 查询能够针对此域控制器上的目录执行。
1 单击开始，单击运行，键入 dcpromo，然后单击确定。
2 这将启动“Active Directory 安装向导”。单击下一步。
3 Active Directory 安装向导会询问一系列问题，以确定此服务器将担任的角色。因为您要将此服务器安装为目录林中的第一个域控制器，请单击“新域的域控制器”。
4 单击下一步。
5 由于此域控制器还将充当新域目录树中的第一个域控制器，请单击“创建一个新的域目录树”。
6 单击下一步。
7 由于这将是新目录林中的第一个域控制器，所以它将是您的组织中的第一个域。单击“创建域目录树的新目录林”。
8 单击下一步。
9 在新域名屏幕上，以完全限定域名的形式键入新域的完整 DNS 名称（例如：Microsoftcom）。
10 在 NetBIOS 域名屏幕的 NetBIOS 名称框中，填入您的完全限定域名的第一部分（例如：MICROSOFT）。
11 数据库位置和日志位置框将填入默认位置 (Rootdrive\Winnt\Ntds)。为获得最佳性能和可恢复性，请将数据库和日志分别存储在不同的硬盘上。将日志位置值更改为另一硬盘。
12 单击下一步。
13 在共享的系统卷屏幕中，只要该卷使用 NTFS 文件系统，就可以接受 Rootdrive\Winnt\Sysvol 作为默认位置。这是 Sysvol 文件夹所要求的。
14 单击下一步。
15 如果没有可用的 DNS 服务器，则会出现“向导无法联系到处理名称 Domain Name 的 DNS 服务器以确定它是否支持动态更新。请确认 DNS 配置，或者在此计算机上安装并配置一个 DNS 服务器”这一消息。
16 单击确定。
17 在配置 DNS 屏幕上，单击“是，在这台计算机上安装和配置 DNS(推荐)”。
18 单击下一步。
19 在 Windows NT 40 RAS 服务器屏幕上，选择是否要允许远程访问服务 (RAS) 访问此服务器。单击下一步。
20 在目录服务还原模式管理密码屏幕上，指定在以“目录服务还原”模式启动计算机时使用的管理员密码。在需要恢复 Active Directory 数据库时使用“目录服务还原”模式。
注意：一定要记住此密码，否则在需要时您将无法还原 Active Directory。
21 在概要屏幕上确认选项，然后单击下一步。
22 通过查看屏幕上的消息验证已安装 Active Directory。安装 Active Directory 后，单击完成以关闭向导。
23 重新启动计算机。

在一个域中，包括机器和用户两类对象。在ad中建立的用户就是域账户，与之对应的就是在某个计算机上的本地账户。
一旦在ad中建立了一个账户，这个账户就已经通过了ad的认可。
你可以用这账户在任何一台加入到本域的计算机上登录。在加入到域的计算机上登录的时候，你会发现登录界面有三个选择项，最后一个就是让你选择登录到本机还是域。
输入正确的域的用户名和密码，选择登录到域，进行登录---就是你说的登录，登录成功了，就是通过了域的验证。不成功就是账户或者密码有错误。
简单明了，拒绝海答。

1、首先打开电脑，然后从开始菜单中打开“控制面板”。

2、然后在控制面板中找到“向域用户授予管理员权限”选项。

3、接着在“用户帐户”中找到Administrator单击“添加”。

4、在d出窗口中单击“浏览”，然后单击“高级”选项。

5、在d出窗口中输入域用户管理员用户和密码“确定”。

6、最后单击“立即查找”在搜索结果中找到想要授予管理员权限的域用户名，单击“确定”，就完成了。

进入系统，设置好IP，子网，把安装光盘放进光驱（非GHOST版），运行“配置您的服务器” --> 自定义
或 运行“管理您的服务器” --> 添加角色到您的服务器，进入“配置您的服务器向导”选“域控制器（Active Directory）
或 运行命令dcpromo
现在开始配置，下一步 --> 下一步 --> 下一步 --> 新域的域控制器 --> 在新林中的域 --> 输入DNS全名，下一步 --> 输入域NetBIOS映射名，下一步 --> 下一步 --> 下一步 --> 诊断失败”后，选“在这台计算机上安装并配置DNS服务器，并将这台DNS服务器设为这台计算机的首选DNS服务器”，下一步 --> “只与Windows 200 或 Windows Server 2003 *** 作系统上运行服务器程序，该服务器有是Active Directory域的成员，请选此选项。”，下一步 --> 输入“目录服务还原密码”，记住这个密码，很重要，还原域是用，下一步 --> 下一步就开始配置了。
配置好后，设置服务器DNS为服务器IP（默认是127001），待加入域的计算机的首选DNS要是域控制器IP。
如果要上网，设置服务器DNS服务地址解析转发到省DNS解析服务器。
我是用我的2003企业版服务器一步一步装出来给你写的，写的好辛苦啊，搞的我系统都成域控制器了

0x01 介绍

在实际生产环境中，由于Windows AD域的限制，桌面对客户端电脑进行软件安装或其他系统配置时，均需要管理员权限，而网内客户端众多，不同客户端电脑密码可能都是不同的，也经常忘记本地管理员密码，所以这时候就需要批量变更客户端的本地管理员密码。

0x02 环境介绍

DC：Windows Server 2012R2 域名：yeahlocal

CLIENT:Windows 7 已经将客户端加入域

0x03 *** 作步骤

1 首先在DC上用于与计算机控制台，新建一个计算机OU，便于管理，将刚加入域的计算机移动到这个OU中。

2 在DC上打开组策略管理工具，新建一条策略，命名自己能看懂即可

3 并对此策略进行设置，依次展开 计算机配置— 策略 — Windows设置 —安全设置 — 安全选项 — 账户：重命名系统管理员账户 将administrator用户重命名其他，此处修改为Local_admin。

4 然后再回到Windows设置 — 脚本(启动/关机)，新建一条启动脚本。

#启动脚本内容：意思为新建administrator用户，密码设置为passwd1!,启用此账户

net user administrator passwd1! /active:yes

将脚本内容复制到txt，另存为cmd后缀或者bat后缀文档，然后点开启动属性，点开显示文件，出来路径，将脚本文件粘贴到路径中，再点开编辑浏览到刚才路径，选中写好的开机脚本文件。

另外，有时候还有特殊需求，比如域中客户端用户由于一些特殊原因需要本地管理员权限，有这个需求的时候又不可能每次到跑到客户端 *** 作电脑，因 此可以使用受限制的群组，设定，当域中某些特定用户需要有本机管理员权限的时候就可以直接在AD服务器上 *** 作即可。

5 回到用户和计算机管理工具，在Users中新建一个组，命名为Local-admins并将张三加入到此用户组测试。

6 再回到组策略管理工具中，此处依旧挂载在这条GPO策略上，找到计算机配置 — Windows设置 — 安全设置 — 受限制的组 新建Administrators 组，并将默认需要添加到客户端本地管理员的用户与用户组添加进来。

7 确定后关闭这条GPO编辑页，回到组策略管理工具，找到之前新建的yeah-Computers计算机组的OU，右键链接到现有GPO找到刚新建的GPO，链接确定。

8 此时，到DC服务器中强制刷新组策略。

#强制刷新组策略命令

gpupdate /force

9 找一台客户端验证策略是否生效，以本地管理员用户Local_admin登录，查看策略是否生效，因为应用的是计算机策略，只能在本地管理员账号下看到策略是否应用。

#查看当前用户计算生效gpo

gpresult/r

#如发现策略没应用，可多执行几次强制刷新策略命令

gpupdate /force

10 可以看到策略已经应用，我们再切换用户，以张三登录客户端，右键点击计算机，计算机管理–本地用户和组–组–administrators，可以发现当前已经有我们设定的用户组位于本地管理组中了。

到此已经完成需求的所有 *** 作，即通过GPO统一设置域内计算机本地管理员账户重命名为Local_admin,并在AD上新建一个Local-Admins用户组，将这个组加入到客户端本地管理员组中，后续需要用到本地管理员的域用户只要在AD上将用户加入到这个组即拥有本地管理员权限

对于大部分计算机用户来说，管理计算机基本上是借助某些第三方工具，甚至是自己手工修改注册表来实现。其实WindowsXP组策略已经把这些功能集于一体，通过组策略及相关工具完全可以实现我们所需要的功能。一、组策略基础1什么是组策略注册表是Windows系统中保存系统软件和应用软件配置的数据库，而随着Windows功能越来越丰富，注册表里的配置项目也越来越多，很多配置都可以自定义设置，但这些配置分布在注册表的各个角落，如果是手工配置，可以想像是多么困难和烦杂。而组策略则将系统重要的配置功能汇集成各种配置模块，供用户直接使用，从而达到方便管理计算机的目的。其实简单地说，组策略设置就是在修改注册表中的配置。当然，组策略使用了更完善的管理组织方法，可以对各种对象中的设置进行管理和配置，远比手工修改注册表方便、灵活，功能也更加强大。2组策略的版本对于Windows9X/NT用户来说，都知道“系统策略”的概念，其实组策略就是系统策略的高级扩展，它是自Windows9X/NT的“系统策略”发展而来的，具有的管理模板、更灵活的设置对象及的功能，目前主要应用于Windows2000/XP/2003 *** 作系统中。早期系统策略的运行机制是通过策略管理模板，定义特定的POL(通常是Configpol)文件。当用户登录时，它会重写注册表中的设置值。当然，系统策略编辑器也支持对当前注册表的修改，另外也支持连接网络计算机并对其注册表进行设置。而组策略及其工具，则是对当前注册表进行直接修改。显然，Windows2000/XP/2003系统的网络功能是其最大的特色之处，所以其网络功能自然是不可少的，因此组策略工具还可以打开网络上的计算机进行配置，甚至可以打开某个ActiveDirectory(活动目录)对象(即站点、域或组织单位)并对其进行设置。这是以前“系统策略编辑器”工具无法做到的。当然，无论是“系统策略”还是“组策略”，它们的基本原理都是修改注册表中相应的配置项目，从而达到配置计算机的目的，只是它们的一些运行机制发生了变化和扩展而已。3在WindowsXP中运行组策略在Windows2000/XP/2003系统中，系统默认已经安装了组策略程序，在“开始”菜单中，单击“运行”选项，在打开的对话框中输入“gpeditmsc”并确定，即可运行组策略。如图1所示。使用上面的方法，打开的组策略对象是当前的计算机，而如果需要配置其他的计算机组策略对象，则需要将组策略作为独立的MMC管理单元打开：(1)打开Microsoft管理控制台(可在“开始”菜单的“运行”对话框中直接输入“MMC”并确定)。(2)单击“文件→添加/删除管理单元”菜单命令，在打开的对话框中单击“添加”按钮。(3)在“可用的独立管理单元”对话框中，单击“组策略”选项，然后单击“添加”按钮。(4)在“选择组策略对象”对话框中，单击“本地计算机”选项编辑本地计算机对象，或通过单击“浏览”查找所需的组策略对象。(5)单击“完成”按钮，组策略管理单元即打开要编辑的组策略对象。(6)在左窗格中定位需要更改的选项的位置，在右窗格中右键单击需要更改的具体选项，单击“属性”命令，即可打开其属性对话框，从中选择“已启用”、“未配置”、“已禁用”选项即可对计算机策略进行管理。4组策略中的管理模板在Windows2000/XP/2003中包含几个ADM文件。这些文件是文本文件，被称为“管理模板”，它们为组策略管理单元的控制树中“管理模板”文件夹下的项目提供策略信息。在Windows2000/XP/2003中，默认的Adminadm管理模板位于系统文件夹的INF文件夹中，包含了默认安装下的4个模板文件，分别为：(1)Systemadm：默认安装在“组策略”中，用于系统设置。(2)Inetresadm：默认安装在“组策略”中，用于InternetExplorer(IE)策略设置。(3)Wmplayeradm：用于WindowsMediaPlayer设置。(4)Confadm：用于NetMeeting设置。在策略管理控制台中，可以多次添加“策略模板”，下面让我们来看看具体 *** 作：首先运行“组策略”程序，然后选择“计算机配置”或者“用户配置”下的“管理模板”，单击鼠标右键，选择“添加/删除模板”命令，然后在打开的对话框中单击“添加”按钮，在打开的对话框中选择相应的ADM文件。单击“打开”按钮，则在系统策略编辑器中打开选定的脚本文件，并等待用户执行。返回到“组策略”编辑器主界面后，依次打开目录“本地计算机策略→用户配置→管理模板”选项，再单击相应的目录树，就会看到我们新添加的管理模板所产生的配置项目了。注意：下面的 *** 作均在WindowsXP中进行。二、个性化我的电脑1删除“开始”菜单中的“文档”菜单项在多人使用的计算机中，有的用户不希望其他用户看到自己曾经编辑过的文档或其他信息。因此，为了删除用于记录历史文档的“文档”菜单项，我们可以通过修改组策略来实现。位置：\用户配置\管理模板\任务栏和“开始”菜单\启用此设置，则系统保存“文档”快捷方式，但不在“文档”菜单中显示它们。如果以后禁用此设置或把它设置为未配置，则启用设置之前及其生效之时保存的“文档”快捷方式会出现在“文档”菜单项中。如图2所示。注意：此设置不会阻止Windows程序在最近打开的文档中显示快捷方式。另外，你也可以设置在退出系统时自动清除最近打开的文档的历史记录。位置：\用户配置\管理模板\任务栏和“开始”菜单\如果禁用该策略设置，系统就会在用户退出时删除快捷方式。因此，用户登录时，“开始”菜单上的文档菜单总是空的。如果禁用或不配置此设置，系统将保留文档快捷方式，并且用户登录时的文档菜单看起来与用户退出系统时完全相同。注意：系统在\DocumentsandSettings\\Recent文件夹中的用户配置文件中保存文档快捷方式。2删除“开始”菜单中的“运行”菜单项在“开始”菜单中有“运行”菜单项，可以输入程序名称来启动程序。我们可以将“运行”菜单项从“开始”菜单中删除。位置：\用户配置\管理模板\任务栏和“开始”菜单\如果启用该设置，发生如下更改：(1)“运行”命令从“开始”菜单中删除。(2)新建任务(运行)命令从任务管理器删除。(3)阻止用户在IE地址栏中输入下列项：UNC路径：\\＜server＞\＜share＞。访问本地驱动器：例如，C:。访问本地文件夹：例如，\temp＞。同时，使用WIN+R组合键将无法显示“运行”对话框。如果禁用或不配置此设置，用户可以访问“开始”菜单和任务管理器的“运行”命令，以及使用IE地址栏。注意：这个策略只影响指定的界面。不会防止用户使用其他方法运行程序。3给“开始”菜单减肥如果觉得Windows的“开始”菜单太臃肿，你完全可以通过组策略设置将不需要的菜单项从“开始”菜单中删除。位置：\用户配置\管理模板\任务栏和“开始”菜单\在组策略右侧窗格中，提供“从‘开始’菜单删除用户文件夹”、“删除到‘WindowsUpdate’的访问和链接”、从‘开始’菜单删除公用程序组、从‘开始’菜单中删除“我的文档”图标等配置项目。你只要将不需要的菜单项所对应的策略启用即可。4隐藏和禁用桌面上的所有项目该策略可以从桌面上删除图标、快捷方式和其他默认的和用户定义的项目。位置：\用户配置\管理模板\桌面\该策略删除图标和快捷方式不防止用户用另一种方法启动程序或打开图标和快捷方式所代表的项目。5退出时不保存用户设置该策略用于防止用户保存对桌面的某些更改。位置：\用户配置\管理模板\桌面\如果你启用这个设置，用户可以对桌面做某些更改，但有些更改，比如图标和打开窗口的位置、任务栏的位置及大小在用户注销后都无法保存。6启用/禁用“活动桌面”(ActiveDesktop)活动桌面是Windows98(及以后版本)或安装了IE40的系统中自带的高级功能，它最大的特点是可以设置各种格式的墙纸，甚至可以将网页作为墙纸显示。但出于对安全和性能的考虑，有时候我们需要禁用这一功能(并且防止用户启用它)。位置：\用户配置\管理模板\桌面\ActiveDesktop提示：如果同时启用“启用ActiveDesktop”设置和“禁用ActiveDesktop”设置，“禁用ActiveDesktop”设置会被忽略。如果“禁用ActiveDesktop和Web视图”设置(在“用户配置\管理模板\Windows组件\Windows资源管理器”)被启用，ActiveDesktop就会被禁用，并且这两个策略都会被忽略。7从“我的电脑”中删除共享文档当Windows用户在一个工作组中，一个“共享文档”图标会以Windows资源管理器的Web视图出现在“其他位置”和“在这台计算机上存储的其他文件”中。使用此设置，你可选择不显示这些项目。位置：\用户配置\管理模板\Windows组件\Windows资源管理器\如果启用此设置，“共享文档”文件夹将不会以Web视图方式显示或在“我的电脑”中出现。如果禁用或不配置此设置，当用户是“工作组”的一部分时，“共享文档”文件夹将会以Web视图方式显示或在“我的电脑”中出现。8不要将已删除的文件移到“回收站”当Windows资源管理器中的一个文件或文件夹被删除时，该文件或文件夹的副本会被放在“回收站”里。使用此策略，你能改变此行为。位置：\用户配置\管理模板\Windows组件\Windows资源管理器\如果启用此设置，使用Windows资源管理器删除的文件或文件夹不会被放在“回收站”里，因此被永久删除。如果禁用或不配置此设置，使用Windows资源管理器删除的文件或文件夹会被放在“回收站”里。三、利用组策略进行系统设置1登录时不显示欢迎屏幕为了加快计算机启动的速度，我们完全可以通过组策略设置在每次用户登录时将WindowsXP欢迎屏幕隐藏。位置：\用户配置\管理模板\系统\要显示欢迎屏幕，请依次单击“开始→程序→附件→系统工具”选项，然后单击“开始”选项。要在不指定设置的情况下不显示欢迎屏幕，请在欢迎屏幕上的复选框中清除“在开始显示这个屏幕”选项。注意：这项设置出现在“计算机配置”和“用户配置”文件夹中。如果配置这项设置，“计算机配置”中的设置比“用户配置”中的设置优先。2配置驱动程序查找位置默认情况下，Windows将从本地安装、软盘驱动器、光盘驱动器、WindowsUpdate等位置搜索驱动程序。此设置配置查找到新硬件时Windows将要搜索驱动程序的位置。位置：\用户配置\管理模板\系统\如果启用此设置，你可以通过检查位置名称的相关复选框，删除这三个位置中的任何位置。如果禁用或不配置此设置，Windows将从本地安装、软盘驱动器、光盘驱动器和WindowsUpdate等位置中搜索驱动程序。3关闭自动播放一旦你将媒体插入驱动器，自动运行就开始从驱动器中读取。这会造成程序的设置文件和在音频媒体上的音乐立即开始。该策略将关闭自动运行功能。位置：\用户配置\管理模板\系统\如果你启动这项设置，你还可以在CD-ROM驱动器禁用自动运行或在所有驱动器上禁用自动运行。注意：这个设置出现在“计算机配置”和“用户配置”两个文件夹中。如果两个设置都配置，“计算机配置”中的设置比“用户配置”中的设置优先。另外，此设置不阻止自动播放音乐CD。4只运行许可的Windows应用程序该策略可以限制用户可以运行的Windows程序。位置：\用户配置\管理模板\系统\如果你启用这个设置，用户只能运行你加入“允许运行的应用程序列表”中的程序。这个设置只能防止用户从Windows资源管理器启动程序。无法防止用户用其他方式启动程序，例如任务管理器。如果用户可以访问命令提示符窗口，这个设置无法防止用户从命令窗口启动不允许在Windows资源管理器中运行的程序。注意：要创建允许的文件列表，请单击“显示”按钮，在打开的对话框中单击“添加”按钮，然后输入应用程序的执行文件名称(例如，Winwordexe、Poleditexe、Powerpntexe)。如图3所示。5删除任务管理器当我们同时按下Ctrl+Alt+Del组合键将显示“Windows任务管理器”对话框。任务管理器可以让用户启动或终止程序、监视计算机性能、查看及监视计算机上所有运行中的程序(包含系统服务)、搜索程序的执行文件名、更改程序运行的优先顺序。在这里，我们可以通过组策略删除任务管理器。位置：\用户配置\管理模板\系统\Ctrl+Alt+Del选项\如果该设置被启用，并且用户试图启动任务管理器，系统会显示消息，解释是一个策略禁止了这个 *** 作。6删除改变“密码”选项该策略可以防止用户通过任务管理器更改系统密码。位置：\用户配置\管理模板\系统\Ctrl+Alt+Del选项\这个设置停用Windows安全设置对话框上的“更改密码”按钮。但是，用户在得到系统提示时依旧可以更改密码。管理员要求新密码和密码作废时，系统会提示用户输入新密码。7不允许运行WindowsMessengerWindowsXP自带有聊天工具WindowsMessenger，但是，我们也有可能在系统中安装MSNMessenger。该策略允许你禁用WindowsMessenger。位置：\用户配置\管理模板\Windows组件\WindowsMessenger如果启用该策略，WindowsMessenger将不会运行。如果禁止或不配置该策略，WindowsMessenger可以被使用。注意：如果启用这个策略，远程协助无法使用WindowsMessenger。另外，这个策略也会出现在“计算机配置”中。如果两个设置都配置，“计算机配置”中的设置比“用户配置”中的设置优先。8关闭系统还原功能系统还原是WindowsXP/2003中集成的强大功能，它在系统运行的同时，备份被更改的文件和数据，如果出现问题，系统还原使用户能够在不丢失个人数据文件的情况下，将计算机还原到以前的状态。默认情况下，系统还原处于打开状态。但这一功能付出的代价也是相当大的，系统性能会明显下降，磁盘空间也会被占用很多。对于配置不高的计算机来说，强烈建议关闭此功能。位置：\计算机配置\管理模板\系统\系统还原\关闭系统还原启用此设置后即可关闭系统还原功能，并且不能访问“系统还原向导”和“配置界面”。四、利用组策略调整上网设置1禁用导入和导出收藏夹禁止用户使用“导入/导出向导”菜单项导入或导出收藏夹链接。位置：\用户配置\管理模板\Windows组件\InternetExplorer如果启用该策略，“导入/导出向导”菜单项将无法导入/导出收藏夹链接和Cookie。如果禁用该功能或不对其进行配置，则用户可以通过单击“文件”菜单上的“导入和导出”菜单项，然后运行“导入/导出向导”，导入/导出IE中的收藏夹。注意：如果启用该策略，用户仍然可以查看“导入/导出向导”，但当用户单击“完成”按钮时，将出现说明该功能已被禁用的提示信息。2禁用更改“高级”选项卡的设置禁止用户更改“Internet选项”对话框中“高级”选项卡上的设置。位置：\用户配置\管理模板\Windows组件\InternetExplorer如果启用该策略，则用户无法更改高级Internet设置，如安全、多媒体和打印。用户无法选中“高级”选项卡上的复选框，也不能清除这些复选框的复选标记。如果禁用该策略或不对其进行配置，则用户可以选择或清除“高级”选项卡上的设置。如果设置了位于\用户配置\管理模板\Windows组件\InternetExplorer\Internet控制面板中的“禁用高级页”策略，则无需设置该策略，因为“禁用高级页”策略将删除界面上的“高级”选项卡。3对拨号连接使用“自动检测”属性自动检测在浏览器第一次启动时使用DHCP(动态主机配置协议)或DNS服务器来自定义浏览器。该策略指定自动检测用于用户的拨号设置的配置。位置：\用户配置\管理模板\Windows组件\InternetExplorer如果启用该设置，自动检测将配置用户的拨号设置。如果禁用该配置或不配置，自动检测不会配置用户的拨号设置，除非用户指定。4禁用Internet连接向导禁止用户运行Internet连接向导。位置：\用户配置\管理模板\Windows组件\InternetExplorer如果启用该策略，“Internet选项”对话框中“连接”选项卡上的“建立连接”按钮将变灰。用户也无法通过单击桌面上的“连接到Internet”图标或单击“开始→程序→附件→通讯”，然后单击“Internet连接向导”运行Internet连接向导。如果禁用该策略或不对其进行配置，则用户可以通过运行Internet连接向导，更改连接设置。注意：该策略与位于＼用户配置＼管理模板＼Windows组件＼InternetExplorer＼Internet控制面板中的“禁用连接页”策略有相似之处，后者将删除界面上的“连接”选项卡。从界面上删除“连接”选项卡并不会妨碍用户从桌面或“开始”菜单中运行Internet连接向导。5禁用表单的自动完成功能禁止IE自动完成表单，如填写用户以前在网页中输入过的姓名或密码。位置：\用户配置\管理模板\Windows组件\InternetExplorer如果启用该策略，“表单”复选框将变灰。单击“Internet选项”对话框中“内容”选项卡上的“自动完成”按钮，即可出现“表单”复选框。如果禁用该策略或不对其进行配置，则用户可以启用表单的自动完成功能。位于\用户配置\管理模板\Windows组件\InternetExplorer\Internet控制面板中的“禁用内容页”策略的优先级高于该策略。如果启用了“禁用内容页”策略，该策略将被忽略，因为“禁用内容页”策略将删除“控制面板”中“InternetExplorer属性”对话框中的“内容”选项卡。注意：如果用户已开始使用启用了表单自动完成功能的浏览器后，再启用该策略，则不会清除用户已经使用表单自动完成功能在表单中所填写的内容。6配置媒体浏览栏属性媒体浏览器栏播放来自Internet的音乐和视频内容，该策略允许管理员启用和禁用媒体浏览器栏和设置默认自动播放。位置：\用户配置\管理模板\Windows组件\InternetExplorer如果禁用媒体浏览器栏，用户无法显示媒体浏览器栏。自动播放功能也被禁用。当用户在IE中单击一个链接，系统中的默认媒体客户端将播放内容。如果启用媒体浏览器栏或不配置，用户可以显示和隐藏媒体浏览器栏。管理员也可以打开和关闭自动播放功能。该设置只在媒体浏览器栏启用时应用。如果选择，媒体浏览器栏将在用户单击媒体链接时自动显示和播放媒体内容。如果不选择，系统上的默认媒体客户端将播放内容。7禁用右键快捷菜单禁止在用户使用IE过程中单击鼠标右键时出现快捷菜单。位置：\用户配置\管理模板\Windows组件\InternetExplorer\浏览器菜单如果启用该策略，在用户指向网页，然后单击鼠标右键时将不出现快捷菜单。如果禁用该策略或不对其进行配置，则用户可以使用快捷菜单。8自定义IE标题栏我们可以利用组策略自定义出现在IE和OE标题栏中的文本。无论软件包中是否有OE或者用户计算机上已经安装了OE，都将更新OE标题栏。位置：\用户配置\管理模板\Windows设置\InternetExplorer维护\浏览器用户界面\浏览器标题请在打开的对话框中选中“自定义标题栏”选项，然后在“标题栏文本”框中键入希望的文本。注意：在选择某个位图时，要确保颜色与文本的对比度。这为用户确保了更高程度的可读性。9自定义IE工具按钮我们可以利用该策略个性化出现在IE中的工具栏，给你一定的灵活性和设计机会。可以使用的元素包括用于标准工具栏按钮(例如“搜索”和“历史”)的工具栏背景和图标外观。位置：＼用户配置＼管理模板＼Windows设置＼InternetExplorer维护＼浏览器用户界面＼浏览器工具栏自定义在打开的对话框中单击“添加”按钮，然后在打开的对话框中在“工具栏标题(必需)”框中，键入用户鼠标悬停在工具栏按钮上时出现的文本。必须指定该按钮的标题或标签。建议的最大长度是10个字符。在“工具栏 *** 作(作为脚本文件或可执行文件，必需)”框中，键入脚本文件或可执行文件的名称，或者单击“浏览”按钮查找文件。必须指定用户单击工具栏按钮时运行的脚本文件或可执行文件。在“工具栏颜色图标(必需)”框中，键入表示按钮为活动状态的文件的名称，或者单击“浏览”按钮查找该文件。必须指定出现在工具栏上的按钮的彩色图标。图标由活动和非活动状态的20×20像素的图像组成。在“工具栏灰度图标(必需)”框中，键入出现在黑白监视器上的工具栏的灰度图标文件名和位置，或者单击“浏览”按钮查找文件。必须指定显示在工具栏上按钮的灰度图标。选中“默认情况下，该按钮应显示在工具栏上”复选框来显示默认情况下用户浏览器中的工具栏按钮。五、利用组策略设置优化网络环境1禁止访问网络连接组件的属性“本地连接属性”对话框包括连接时使用的网络组件列表。要查看或更改组件属性，请单击组件名称，然后单击组件列表下面的“属性”按钮，如图4所示。该策略确定用户是否可以更改由网络连接使用的组件属性，它确定是否启用用于网络连接组件的“属性”按钮。位置：\用户配置\管理模板\网络\网络连接\如果启用此设置(并启用“为管理员启用网络连接设置”设置)，就会为管理员禁用“属性”按钮。无论“为管理员启用网络连接设置”设置启用与否，用户都不可以访问连接组件。如果禁用或不配置“为管理员启用网络连接设置”。如果禁用或不配置此设置，将为用户启用“属性”按钮。2禁用TCP/IP高级配置确定用户是否可以配置TCP/IP设置。位置：\用户配置\管理模板\网络\网络连接\如果启用此设置(并启用“为管理员启用网络连接设置”设置)，就对所有用户(包括管理员)禁用“Internet协议(TCP/IP)属性”对话框上的“高级”按钮。因此，用户不能打开“高级TCP/IP设置”对话框并修改IP设置(例如，DNS和WINS服务器信息)。如果禁用此设置，则启用“高级”按钮，并且所有用户均可打开“高级TCP/IP设置”对话框。注意：此设置会由禁止访问连接属性或连接组件属性的设置取代。如果将这些策略设置为拒绝访问连接属性对话框或用于连接组件的“属性”按钮，用户就无法访问用于TCP/IP配置的“高级”按钮。不管此设置如何，非管理员用户均不具有访问用于网络连接的TCP/IP高级配置的权限。在用户退出系统之前，将此设置从“启用”更改为“未配置”不会启用“高级”按钮。3禁止添加或删除用于网络连接……

文件服务器加入域控，使用的是机器名称，而不需要建立用户账号。加入域控后，域控管理员账号对文件服务器有完全控制权限（管理服务器）。其他服务器，不需要使用域管理员账号，只要加入域，域控就可以直接管理。普通域用户通过域控验证权限访问其他服务器。

两种方法都可以
事先创建的话，加域时使用低权限帐号就可以，比较安全，适用于大量加入域的情况，这样不至于泄露高权限帐号
加域时临时创建，这需要高权限的帐号才可以，适用于少量加域的情况，不用别人帮忙，域管理员自己就弄完了

---