20、账户管理与维护及活动目录信任关系配置

账户管理与维护及活动目录信任关系配置

1. 受保护的管理员账户

早期的 Windows Server 版本在使用非管理员账户执行任务时存在限制，导致许多用户无论是否需要，都会使用管理员账户。这种做法使服务器容易受到恶意软件（如病毒、特洛伊木马和间谍软件）的攻击。

从 Windows Vista 开始，并在 Windows Server 2008 中延续，引入了用户账户控制（UAC）功能。该功能要求执行管理任务的用户确认是他们主动发起了该任务，但安装 Windows Server 2008 时创建的默认管理员账户或在新林中创建第一个域控制器时创建的默认账户除外。

微软建议不要使用默认的管理员账户，而是创建一个不同的管理员账户用于日常的域管理活动，这就是所谓的受保护的管理员账户。此账户使用标准用户权限，可防止多种类型的攻击。当需要执行管理任务时，Windows 会显示 UAC 提示框，点击“继续”执行操作，点击“取消”则退出。如果有恶意程序尝试运行，UAC 提示框会显示程序名称，提醒用户。此时应点击“取消”，并使用一个或多个恶意软件检测程序扫描计算机。

如果以非 Domain Admins 组成员的用户身份登录，会收到略有不同的 UAC 提示框，需要指定管理员账户的用户名和密码才能继续执行所需任务。

2. 本地组与域组

Windows Vista 和 Windows Server 2008 允许在非域控制器的计算机上创建本地组，其使用和成员资格功能与域本地组类似。但本地组仅存在于创建它的计算机上，只能访问该计算机上的资源，存储在本地计算机的 SAM 中，而不在 Active Directory 中。若要访问域中多台计算机