Windows Server 配置与管理——第2章：用户和组的管理

目录

2.1 项目背景

2.2 相关知识

1. 用户账户类型

2. 用户账户命名的注意事项

3. 创建具有强保密性的密码

4. 账户策略

5. 身份验证协议

6. 常用系统用户账户

7. 常用系统组账户

8. 特殊内置组

2.3 项目过程

2.3.1 任务 1 新建本地用户账户

2.3.2 任务 2 设置本地用户账户属性

1.“常规” 选项卡

2.“隶属于” 选项卡

3.“配置文件” 选项卡

2.3.3 任务 3 创建与管理本地组

2.3.4 任务 4 设置账户策略

1.设置密码策略

2.设置账户锁定策略

2.3.5 任务 5 用户系统权限设置

---

---

---

2.1 项目背景

        铁道学院的服务器由专人负责维护，由于学校的服务器业务量比较大，需要一个网络管理团队来对服务器进行日常维护，因此，服务器安装网络操作系统后，需要对服务器中的用户和组进行管理。

        Windows Server 2022 是多用户、多任务的操作系统，拥有完备的系统账户和安全。稳定的工作环境，系统提供的账户类型主要包括用户账户和组账户。用户只有登录到系统中，才能使用系统所提供的资源。系统管理员根据不同用户的需求，建立不同的用户账户，指派不同的权限。

---

---

---

2.2 相关知识

在一个网络中，用户和计算机都是网络的主体，两者缺一不可。拥有用户账户是用户登录到网络并使用网络资源的基础。用户账户是用来记录用户的用户名和口令、隶属的组、可以访问的网络资源及用户的个人文件和设置等。用户账户主要用于验证用户或计算机的身份，授权对资源的访问，审核使用计算机账户所执行的操作等。

1. 用户账户类型

用户账户根据登录和使用资源的范围，可分为本地用户账户和域用户账户两类；根据创建方式的不同，可分为内置用户账户和自定义用户账户两类。

• (1) 本地用户账户：驻留在本地计算机上的安全账户管理数据库中。
• (2) 域用户账户：驻留在域控制器上的活动目录数据库中。
• (3) 内置用户账户：由系统自动创建的用户账户，如 Administrator（管理员账户）和 Guest（来宾账户）。
• (4) 自定义用户账户：由管理员手工创建的用户账户。

---

2. 用户账户命名的注意事项

用户账户由 “用户名” 来标识，Windows Server 2022 操作系统用户账户命名遵循如下原则：

• (1) 用户名必须唯一，这意味着在同一系统中不能有两个或多个账户使用相同的用户名。
• (2) 用户名不区分大小写字母。
• (3) 用户名最多包含 20 个字符。
• (4) 在用户名中不能使用、/、[、]、:、;、| =、+、*、?、"、<、>、. 等字符。

严于律己：Windows Server 2022 操作系统的用户账户在命名时须遵守命名规则，以免在使用时出现不必要的错误。同样的，每个人在日常生活中也需要遵守有形的规则和无形的规矩，强化自我约束。

---

3. 创建具有强保密性的密码

为了提高系统的安全性，Windows Server 2022 密码至少应满足如下条件：

• (1) 长度：密码的长度不得小于 8 位。
• (2) 复杂性：密码必须包含数字、小写字母、大写字母和特殊符号中的 3 种。为了确保用户账户的安全性，防止未经授权的用户访问，如通过猜测或使用常见的密码破解手段侵入系统，定期更换密码、避免使用容易被猜中的个人信息（如生日、姓名等）是提高账户安全的重要措施。

---

4. 账户策略

账户策略在计算机上定义，可以影响用户账户与计算机交互作用的方式。账户策略包含密码策略和账户锁定策略两个子集。

• (1) 密码策略：用于确定密码设置，包括强制密码历史、密码最长使用期限、密码最短使用期限、密码长度最小值、密码必须符合复杂性要求和用可还原的加密来存储密码。
• (2) 账户锁定策略：决定系统锁定账户的时间、锁定哪些账户及账户锁定阈值。

---

5. 身份验证协议

身份验证是系统安全的基础，用于确认访问网络资源的用户身份。Windows Server 2022 操作系统身份验证针对所有网络资源启用，用户可以使用密码向网络中的计算机验证身份。下列是多种行业标准类型的身份验证：

• (1) Kerberos V5 身份验证：与密码或智能卡一起使用的交互式登录的协议，它也适用于服务器的默认网络身份验证。
• (2) SSL/TLS 身份验证：用户尝试访问 Web 服务器时使用的协议。
• (3) NTLM 身份验证：客户端或早期的 Windows 时使用的协议。
• (4) 摘要式身份验证：将凭据作为 MD5 哈希或消息摘要在网络上传递。
• (5) Passport 身份验证：提供单一登录服务的用户身份验证服务。

---

6. 常用系统用户账户

• (1) Administrator（管理员账户）：该账户具有辖区内的最高权利和权限。用户用这个账户可以管理 “域” 或者是 “本地计算机” 上的资源，以及域或本机的账户数据库。
• (2) Guest（来宾账户）：默认状态为 “禁用”。Guest 账户是为临时登录网络并使用网络中有限资源的用户提供的，它仅有少量的权利和权限。
• (3) DefaultAccount（默认账户）：默认状态为 “禁用”。它是系统内置账户，用于系统管理的用户账户。

---

7. 常用系统组账户

• (1) Administrators（管理员组）：默认情况下，Administrators 组中的用户对计算机 / 域有受限制的完全访问权。分配给该组的默认权限允许对整个系统进行完全控制。所以，只有受信任的人员才可成为该组的成员。
• (2) Power Users（高级用户组）：Power Users 组可以执行除了为 Administrators 组保留的任务外的其他任何操作系统任务。分配给 Power Users 组的默认权限允许该组的成员修改整个计算机的设置。但 Power Users 不具有将自己添加到 Administrators 组的权限。在权限设置中，该组的权限仅次于 Administrators 组。
• (3) Users（普通用户组）：Users 组是最安全的组，因为分配给该组的默认权限不允许成员修改操作系统的设置或用户账户。Users 组的用户不能修改系统注册表设置、操作系统文件或程序文件。Users 组用户可以关闭工作站，但不能关闭服务器。
• (4) Guests（来宾组）：来宾组与 Users 组有同等访问权，但来宾组的限制更多。
• (5) Backup Operators（备份操作员组）：该组的成员不受权限限制，可以备份和还原计算机上的文件。
• (6) Network Configuration Operators（网络配置操作员组）：该组内的用户可以在客户端执行一般的网络设置任务。
• (7) Remote Desktop Users（远程桌面用户组）：该组的成员可以通过远程计算机登录系统。
• (8) Print Operators（打印操作员组）：该组成员可以创建、删除和共享打印机，对所有打印机具有管理权限。
• (9) Access Control Assistance Operators（访问控制辅助操作员组）：该组成员可以远程查询此计算机上资源的授权属性和权限。
• (10) Hyper-V Administrators（Hyper-V 管理员组）：该组成员拥有对 Hyper-V 所有功能的完全且不受限制的访问权限。

---

8. 特殊内置组

• (1) Everyone：任何一个用户都属于这个组。
• (2) Authenticated Users：任何一个利用有效用户账户登录的用户都属于这个组。
• (3) Anonymous Logon：任何未利用有效用户账户登录的用户都属于这个组。
• (4) Interactive：任何在本地登录的用户都属于这个组。
• (5) Network：任何通过网络连接登录此计算机的用户都属于这个组。

---

---

---

2.3 项目过程

项目过程可分为以下几个任务执行：

1. 新建本地用户账户。
2. 设置本地用户账户属性。
3. 创建与管理本地组。
4. 设置账户策略。
5. 用户系统权限设置。

2.3.1 任务 1 新建本地用户账户

具有管理员权限的用户可以用 “计算机管理” 中的 “本地用户和组” 管理单元来创建本地用户账户，下面以 Administrator（管理员账户）创建本地用户账户 “student1” 为例介绍其具体操作步骤。

步骤 1 启动 Windows Server 2022 操作系统，单击 “开始” 按钮，在打开的 “开始” 菜单中选择 “服务器管理器” 选项，打开 “服务器管理器” 窗口，选择 “工具”→“计算机管理” 选项，如图 2-1 所示。

步骤 2 打开 “计算机管理” 窗口，选择 “本地用户和组”→“用户” 选项，显示所有用户，如图 2-2 所示。

步骤 3 右击 “用户”，在弹出的快捷菜单中选择 “新用户” 选项，如图 2-3 所示。

步骤 4 弹出 “新用户” 对话框，输入用户名、全名、描述和密码，还可以设置密码选项，包括 “用户下次登录时须更改密码”“用户不能更改密码”“密码永不过期”“账户已禁用” 等，设置完成后，单击 “创建” 按钮，创建 “student1” 用户，如图 2-4 所示。

步骤 5 用同样的方法创建 “student2” 用户。

---

---

2.3.2 任务 2 设置本地用户账户属性

        用户账户不只包括用户名和密码等信息，还包括其他一些属性，如用户隶属的用户组、用户配置文件、用户的投入权限、终端用户设置等。

        在 “计算机管理” 窗口的 “用户” 界面中，双击刚建立的 “student1” 用户账户，弹出 “student1 属性” 对话框。

1.“常规” 选项卡

选择 “常规” 选项卡（见图 2-5），可设置与账户有关的一些描述信息，包括全名、描述、账户选项等。管理员可以设置密码选项或禁用账户。如果账户已经被系统锁定，管理员可以解除锁定。

---

2.“隶属于” 选项卡

选择 “隶属于” 选项卡（见图 2-6），可设置将该账户加入其他本地组中。为了管理的方便，通常都需要对用户组进行权限的分配与设置。用户属于哪个组，就具有该用户组的权限。用户账户默认加入 Users 组，Users 组的用户组通常不具备特殊权限，如安装应用程序、修改系统设置等。因此，当要分配给某一 Users 组用户一些权限时，可以将该用户加入其他组。例如，将 “student1” 添加到管理员组的具体操作步骤如下。

步骤 1 单击如图 2-6 所示界面中的 “添加” 按钮，弹出 “选择组” 对话框，在 “输入对象名称来选择” 文本框中输入组的名称 “Administrators”，单击 “检查名称” 按钮，如图 2-7 所示。

步骤 2 “输入对象名称来选择” 文本框中组名称变为 “SERVER1\Administrators”，单击 “确定” 按钮，如图 2-8 所示。如果输入的组名称错误，检查时，系统将提示找不到该名称，并提示更改，再次搜索。

提示：如果不希望手动输入组名称，也可单击 “选择组” 对话框中的 “高级” 按钮，展开 “选择组” 对话框，单击 “立即查找” 按钮，在 “搜索结果” 中选择组 “Administrators”，单击 “确定” 按钮，如图 2-9 所示。

---

3.“配置文件” 选项卡

选择 “配置文件” 选项卡（见图 2-10），可设置用户账户的配置文件路径、登录脚本和主文件夹路径。

提示：用户设置主文件夹后，默认其他用户不能访问，这就提高了用户存放个人文档的安全性。

---

---

2.3.3 任务 3 创建与管理本地组

1.新建组账户

具体操作步骤如下。

步骤 1 在 “计算机管理” 窗口中右击 “本地用户和组”→“组”，在弹出的快捷菜单中选择 “新建组” 选项，如图 2-11 所示。

步骤 2 弹出 “新建组” 对话框，在 “组名” 文本框中输入 “class1”，单击 “创建” 按钮，完成 “class1” 组账户的创建，如图 2-12 所示。

步骤 3 采用同样的方法创建名为 “class2” 的本地组。

---

2.向本地组添加成员

下面以向 “class2” 组中添加 “student2” 用户为例进行介绍。

步骤 1 在 “计算机管理” 窗口的 “组” 界面中，双击组账户 “class2”，弹出 “class2 属性” 对话框，单击 “添加” 按钮，如图 2-13 所示。

步骤 2 弹出 “选择用户” 对话框，单击 “高级” 按钮，显示 “高级” 选项，如图 2-14 所示。

步骤 3 单击 “立即查找” 按钮，在 “搜索结果” 中选择用户 “student2”，单击 “确定” 按钮，如图 2-15 所示。

步骤 4 返回 “选择用户” 对话框，单击 “确定” 按钮，返回 “class2 属性” 对话框，可以看到 “student2” 已经添加到 “成员” 文本框中，单击 “确定” 按钮，如图 2-16 所示。

---

---

2.3.4 任务 4 设置账户策略

1.设置密码策略

具体操作步骤如下。

步骤 1 在 “服务器管理器” 窗口中选择 “工具”→“本地安全策略” 选项，打开 “本地安全策略” 窗口。

步骤 2 选择 “安全设置”→“账户策略”→“密码策略” 选项，在 “策略” 窗格中双击 “密码必须符合复杂性要求”，如图 2-17 所示。

步骤 3 弹出 “密码必须符合复杂性要求属性” 对话框，选择 “已启用” 单选按钮，单击 “确定” 按钮，如图 2-18 所示。

提示：启用该策略，密码必须符合最低要求：不包含全部或部分的用户账户名，包含来自以下 4 个类别中的 3 种字符。

• (1) 英文大写字母（从 A 到 Z）。
• (2) 英文小写字母（从 a 到 z）。
• (3) 10 个基本数字（从 0 到 9）。
• (4) 非字母字符（如！、$、#、% 等）。

步骤 4 在 “本地安全策略” 窗口中双击 “密码长度最小值”，弹出 “密码长度最小值属性” 对话框，可设置密码长度最小值，如图 2-19 所示。

提示:密码长度最小值确定用户账户的密码可以包含的最少字符个数，可以设置为数字 1~14 中的某个值，如果设置为 0，表示不需要密码。

步骤 5 在 “本地安全策略” 窗口中双击 “密码最短使用期限”，弹出 “密码最短使用期限属性” 对话框，可设置密码最短使用期限，如图 2-20 所示。

提示:密码最短使用期限确定用户可以更改密码之前必须使用该密码的时间（单位为天）。可以设置 1 到 998 天之间的某个值，或者通过将天数设置为 0，允许立即更改密码。密码最短使用期限必须小于设置的 “密码最长使用期限”，除非密码最长使用期限设置为 0（表明密码永不过期）。如果密码最长使用期限设置为 0，那么密码最短使用期限可设置为 0 到 998 天之间的任意值。

步骤 6 在 “本地安全策略” 窗口中双击 “密码最长使用期限”，弹出 “密码最长使用期限属性” 对话框，可设置密码最长使用期限，如图 2-21 所示。

提示:密码最长使用期限确定系统要求用户更改密码之前可以使用该密码的时间（单位为天）。可将密码的过期天数设置在 1 到 999 天之间；如果将天数设置为 0，则指定密码永不过期。

步骤 7 在 “本地安全策略” 窗口中双击 “强制密码历史”，弹出 “强制密码历史属性” 对话框，可设置强制密码历史，如图 2-22 所示。

提示:强制密码历史安全设置确定某个用户账户所使用的新密码必须不能与该账户所使用的最近多少个旧密码一致。该值为 0 到 24 之间的一个数值。该策略确保旧密码不能在某段时间内重复使用，使用户账户更安全。

步骤 8 在 “本地安全策略” 窗口中双击 “用可还原的加密来储存密码”，弹出 “用可还原的加密来储存密码属性” 对话框，可设置是否用可还原的加密来储存密码，如图 2-23 所示。

---

2.设置账户锁定策略

具体操作步骤如下。

步骤 1 在 “本地安全策略” 中选择 “安全设置”→“账户策略”→“账户锁定策略” 选项，在 “策略” 窗格中双击 “账户锁定时间”，如图 2-24 所示。

步骤 2 弹出 “账户锁定时间属性” 对话框，可设置账户锁定时间，如图 2-25 所示。

提示:账户锁定时间安全设置确定锁定的账户在自动解锁前保持锁定状态的分钟数。有效范围为 0~99999 分钟。如果将账户锁定时间设置为 0，那么在管理员明确将其解锁前，该账户将一直被锁定。

步骤 3 在 “本地安全策略” 窗口中双击 “账户锁定阈值”，弹出 “账户锁定阈值属性” 对话框，在编辑框中输入 “3”，单击 “确定” 按钮，如图 2-26 所示。

提示:账户锁定阈值触发用户账户被锁定的登录尝试失败的次数，可设置为 0~999 中的某个值。

步骤 4 在 “本地安全策略” 窗口中双击 “重置账户锁定计数器”，弹出 “重置账户锁定计数器属性” 对话框，可设置重置账户锁定计数器，如图 2-28 所示。

提示:重置账户锁定计数器安全设置确定在登录尝试失败计数器被复位为 0（即 0 次失败登录尝试）之前，登录尝试失败之后所需的分钟数。有效范围为 1~99999 分钟。

小技巧:为避免安全策略中的设置值冲突，如果定义了 “账户锁定时间”，则 “重置账户锁定计数器” 设置的值必须小于或等于 “账户锁定时间” 设置的值。

---

---

2.3.5 任务 5 用户系统权限设置

用户的各种权限是用户进行各种具体应用的前提，同时也是网络系统安全保障的基础。因此，恰当的用户权限配置不仅是用户的应用需求，也是网络系统的安全需求。下面以给 “student1” 用户添加 “关闭系统” 权限为例进行介绍。

步骤 1 在 “本地安全策略” 窗口中选择 “安全设置”→“本地策略”→“用户权限分配” 选项，右侧窗格出现系统默认的所有用户权限分配策略，如图 2-29 所示。

步骤 2 弹出 “关闭系统属性” 对话框，默认关闭系统的权限分配给 “Administrators” 组和 “Backup Operators” 组，单击 “添加用户或组” 按钮，如图 2-30 所示。

步骤 3 弹出 “选择用户或组” 对话框，单击 “高级” 按钮，显示高级选项，如图 2-31 所示。

步骤 4 单击 “立即查找” 按钮，在 “搜索结果” 中选择用户 “student1”，单击 “确定” 按钮，如图 2-32 所示。

步骤 5 返回 “选择用户或组” 对话框，单击 “确定” 按钮，返回 “关闭系统属性” 对话框，可以看到用户 “student1” 已经添加到 “关闭系统” 文本框中，单击 “确定” 按钮，如图 2-33 所示。