共包括2个实验：

实验L9A，管理委派

实验L9B，对AD修改的审核

========== 

实验9A：管理委派

在本实验，共有3个练习：

第1个练习，委派权限以创建用户帐户及重设密码。

第2个练习，查看委派的权限。

第3个练习，删除和重设权限。

 

练习1：委派权限以创建用户帐户及重设密码

任务1：创建基于角色管理的安全组

1. 打开“Active Directory 用户和计算机”，展开Contoso\Group\Role这个OU，创建一个名为“Help Desk”的全局安全组。然后将帐户ZhangS添加为该组的成员。

2. 再创建一个名为“User Account Admins”的全局安全组。然后将帐户LiS添加为该组的成员。

 

任务2：使用控制委派向导

 

任务3：使用ACL编辑界面

1. 启用“高级功能”（“查看”菜单中的“高级功能”）。

2. 编辑OU的属性。

 

3. 回到“User Account的高级安全设置”对话窗口，继续“添加”。

 

任务4：验证

1. 以Contoso\ZhangS帐户登入HQDC2成员服务器。

2. 展开Contoso\User Accounts\Employees这个OU，尝试禁用一个帐户。

 

3. 为其中一个帐户修改密码。

 

4. 展开Contoso\Admin\Admin Identities这个OU，尝试重置密码。

 

5. 注销，然后以Contoso\LiS帐户登入HQDC2成员计算机。

6. 新建一个用户。

 

练习2：查看委派的权限

任务1：通过ACL编辑界面查看权限

 

任务2：通过DSACLs命令运行报表

1. 在命令提示符，运行以下命令：

dsacls "ou=User Accounts,dc=contoso,dc=com"

 

任务3：评估有效的权限

1. 查看“ou=User Accounts,dc=contoso,dc=com”这个OU的属性。在“User Accounts的高级安全设置”对话窗口，选择“有效权限”选项卡。

 

2. 查看用户ZhangS的属性。

 

练习3：删除和重设权限

任务1：删除权限

1. 转到HQDC1域控制器。

2. 修改OU的属性。

 

任务2：重设权限

 

 =====

实验9B：对AD修改的审核

共2个练习：

练习1：使用默认的审核策略

练习2：使用Directory Service Changes Auditing

 

练习1：使用默认的审核策略

任务1：确认Domain Admins组已经配置了审核策略

1. 查看Domain Admins组的属性。 

 

任务2：尝试修改Domain Admins组的成员

1. 编辑Domain Admins组的属性。

2. 选择“成员”选项卡，添加一个成员。然后单击“应用”按钮。

3. 删除上一步骤新添加的成员。单击“确定”关闭属性编辑界面。

 

任务3：检查事件记录

1. 打开“管理工具”中的“事件查看器”。查看“Windows 日志”下的“安全”事件。可以看到事件ID为4662的事件。

2. 详细信息

　　事件详细内容示例如下：

在对象上已执行操作。

主题:

 安全 ID:  CONTOSO\Administrator 帐户名:  Administrator 帐户域:  CONTOSO 登录 ID:  0x46320

对象:

 对象服务器:  DS 对象类型:  group 对象名:  CN=Domain Admins,CN=Users,DC=contoso,DC=com 句柄 ID:  0x0

操作:

 操作类型:  Object Access 访问:  写入属性 访问掩码:  0x20 属性:  写入属性  {bc0ac240-79a9-11d0-9020-00c04fc2d4cf}   {bf9679c0-0de6-11d0-a285-00aa003049e2} {bf967a9c-0de6-11d0-a285-00aa003049e2}

附加信息:

 参数 1:  -

 参数 2:  

 

 

练习2：使用directory service changes审核

任务1：启用directory service changes审核

1. “以管理员身份运行”，在命令提示符下面运行：

auditpol /set /subcategory:"directory service changes" success:enble

 

任务2：尝试为安全组添加、删除成员

 

任务3：查看事件记录

1. 打开“事件查看器”。

2. 查看“安全”事件中的事件ID为4728（添加一个成员）、ID为4729（删除一个成员）的事件记录。

例如：

已从启用了安全性的全局组中删除某个成员。

主题:

 安全 ID:  CONTOSO\Administrator 帐户名:  Administrator 帐户域:  CONTOSO 登录 ID:  0x46320

成员:

 安全 ID:  CONTOSO\ZhangS 帐户名:  CN=张三,OU=Employees,OU=User Accounts,DC=contoso,DC=com

组:

 安全 ID:  CONTOSO\Domain Admins 组名:  Domain Admins 组域:  CONTOSO

附加信息:

 特权:  -