5 域和工作组
·域和工作组的差别
在前面安装的过程中，系统就询问过要将计算机加入一个"域"还是一个"工作组"。那么"域"和"工作组"到底是什么？又有什么区别呢？
"域"和"工作组"都是由一些计算机组成，比如我们可以把公司的每个部门组织成一个"域"或者一个"工作组"，网络部、软件部、销售部、客户服务部等等。这种组织关系和物理上电脑之间的连接没有关系，是逻辑意义上的。一个网络中可以创建多个"域"和多个"工作组"。
他们之间的区别可以归结为以下几点：
首先创建方式不同，"工作组"可以由任何一个计算机的主人来创建，他在"工作组"输入新名称，重新启动一下就创建了一个新组，每一个电脑都可以创建一个组。而"域"只能由服务器来创建，其他的计算机只能加入这个域。如下图。
其次是安全机制不同，在"域"中有可以登录该域的帐号，这些由域管理员来建立。在"工作组"中不存在组帐号，只有本机上的帐号和密码。看看下图。
再次登录方式不同，在工作组方式下，计算机启动后自动就在工作组中。登录"域"是要提交"域用户名"和"密码"，一旦登录，便被赋予相应的权限。
·怎样用最简单的方法让装有Professional的计算机加入到"域"中
那么怎样让Windows 2000 Professional 工作站加入到一个域中呢？
如果在安装Windows 2000 Professional时将本机加入到一个工作组中的话，现在又怎样加入到一个已有的域中呢？
首先需要以Administrators组成员的身份登录到Professional，因为在默认情况下，只有该组成员可以将本机加入到"域"中。
其次，加入"域"需要"域"管理员来协助，需要"域管理员"先给自己分配一个 "域帐号"，且域管理员还要帮你输入一个可以将计算机加入域权限的帐号。
这里假定我们就是"域管理员"， 并在"域"中建立了名称是"Jack"的帐号，属于"Users"组。下面我们就看看如何把这台Professional工作站"ZW"加入到域"SOFT.COM"。
在"我的电脑"图标上单击右键，选择"属性"。单击"网络标识"选项卡。加入域有两种办法，一种是采用"标识向导"，另一种是直接修改"属性"，也是最常用的办法。如下图。
我们先看看修改"属性"的方法；单击面板上的"属性"按钮，出现"更改标识"的窗口，上面显示的是当前计算机的名称，修改计算机名称就可以在这里进行。（如图一）下面显示当前计算机属于"Soft"组，单击"隶属于"下面的"域"，我们要加入的域名称是"Soft.com"，输入时只输入"Soft"即可，然后单击"确定"。
 图一 |  图二 |
| 提示输入有权限将计算机加入到域的用户名和用户密码，(如右图)这个用户帐号是在域中已经存在了的，且具有将计算机加入到"域"中的权限，一般都是 "管理员"组成员。输入好后，单击"确定"，如果确认成功的话，会出现欢迎加入"域"的提示；如果不成功会出现"拒绝访问"的提示，要再确认一下输入的"域"帐号名、密码是否正确，其权限是否可以将计算机加入到域中。 |  |
 | 成功加入"域"后，按照提示关闭窗口，重新启动计算机，在登录画面中就可以看到登录"域"的选项了。 |
·使用标识向导加入"域"时的问题
那么使用"标识向导"加入"域"又是怎样的呢？我们先看看"网络ID"左边的这段说明文字："加入'域'并创建本地用户，轻请单击网络ID"。(如右图)看来比直接修改"属性"多了一项"创建本地用户",下面我们就来实际的操作一下，单击"网络ID"。出现"网络标识向导"窗口，首先看到的是欢迎使用的窗口，单击"下一步"。 |  |
这一步是确定自己的计算机是连接在公司局域网中，还是家庭使用的单机，这里使用默认的选择，单击"下一步"。弹出一个对话框是选择公司的网络是否有"域"，这里还是使用默认的选项，单击"下一步"。
这是向导提示，将要提交的一些信息。并提示，如果没有这些信息，需要和系统管理员联系。我们还是单击"下一步"。
弹出了如下的对话框，现在要我们输入在"域"中的帐号、密码和"域"，这个帐号是域管理员已经在"域"中给我们创建好了的。比如是：Jack，再输入密码，"域"名输入"Soft"。然后单击，"下一步"。（如左图）
稍等片刻，系统便会在"域Soft"中找到用户帐号"Jack"，并提示是否使用该帐号，具体的含义是什么呢？其实这个提示的意思是指，是否用域内的帐号"Jack"作为加入域的的身份验证,可以做这样的比喻："域"好似大学，这里提示要验证的身份就是你的入学通知书，你只有"提交"了通知书后，才能正式成为该校的学生。（如图一）同样将计算机加入到"域"，也需要提交一个可以把计算机加入"域"的"域"用户帐号作为凭据。
 图一 |  图二 |
这里我们可以根据"域"用户"Jack"的权限来选择，如果不清楚的话可以选择"否"。如果我们知道"域"用户"Jack"具有将计算机加入到"域"中的权限的话，就可以选择"是"。
这里我们选择"否"。(如图二)接下来，输入这台"计算机的名称""ZW"，和将要加入的"域""Soft"，再单击"下一步"(如图三)。
|
|  图四 |
此时要我们输入具有加入"域"权限的"域"用户名、密码和"域"名称，这和刚才通过修改"属性"加入所看到的一样。输好后单击"确定"(如图四)。
身份验证通过后，提示在本机添加用户帐号，已经填好了"用户名"和"用户域"，需要说明，所填的"帐号"的"用户名"一定要在"用户域"中存在。这里的"用户域"不单指我们将要加入的"域Soft.com"，也指我们当前使用的Professional 工作站"ZW"。
 图五 |
如果选择"目前不添加用户"就和前面通过"属性"加入"域"一样了。
我们这里就输入管理员给我们在"域 Soft.com"中创建的帐号名"Jack"，和"域""Soft"，，添加用户的含义是将自己的域帐号添加到本机用户中，并指派权限，也就是定义自己的域帐号在本机上的权限，单击"下一步"。 (如图五)
接下来要设置用户对本机的访问级别，默认的是"标准用户"，已经具有了比较大的权限。我们还可以更改其级别。这里我们就不做更改直接单击"下一步"。
出现建立标识完成的提示，单击"完成"结束(如图六)。向导最后提示：重新启动计算机后设置才能生效，单击"确定"，现在已经可以看到当前计算机的完整名称是"ZW.Soft.com"，所在的"域"是"Soft.com"。(如图七)
 图六 |  图七 |
·"域"用户在本机上有多大的权限？
 图一 |
也许你会感到疑惑，创建了这样一个新用户有什么意义呢？让我们用这个帐号"Jack"登录到"域"中看看，打开下面的"登录到"选单，选择"SOFT"域。第一次用该帐号登录域，花费的时间要长一点，以后就比较快了。（如图一）
我们打开"控制面板"，双击"用户和密码"， （如图二）这时会出现一个"用户和密码"对话框，要求指定本机管理员的用户名和密码，验证身份后就进入"用户和密码"窗口，你会发现在其中多出了一个用户"Jack"，原来我们并没有创建这个用户，这个帐号的图标也与众不同，本机用户的图标都是一个小电脑和一个头像组成，这个用户是一个地球和一个头像组成，表明其来自"域Soft"，（如图三）这就是我们刚才在将计算机加入到"域"中的时候建立的本地帐户。
 图二 |  图三 |
当前"Jack"属于"Power User"组，具有修改计算机设置，包括创建新用户等高级权限。
| 我们将用户Jack设置到Users组，看看会有什么变化。选择用户"Jack"，单击"属性"按钮，（如图四） |  图四 |
| 单击"受限用户"，再单击"确定"。（如图五） |  图五 |
| 此时会出现另外一种"用户名和密码"对话框，问"现在是否注销"，我们选择"是"，注销后重新登录。（如图六） |  图六 |
登录完成后，再打开"控制面板"，双击"用户和密码",仍然不让进入了，还要提交具有查看权限的用户名和密码。（如图七）
 图七 |
我们再双击一下任务栏托盘中的时间，时间也没有权限修改了。原来我们在本机上的权限已经降低到Users组成员的身份了，不能对系统的各种设置进行修改。
现在我们可以知道"域用户"在"域"中的权限和在"本机"上是不同的，我们还可以看看下面的例子。
域系统管理员Administrator登录到域中后，他在资源管理器的地址栏输入：\\ZW\c$，也就是要访问Professional工作站ZW中的C盘，你会发现很快他就看到工作站ZW C盘中的所有内容了，事实上域系统管理员对本机具有完全控制的权力。但在实际工作中系统管理员不应该有这样的权力。
那么作为Professional工作站的管理员，如何才能防止"域"管理员在本机上有过大的权限呢？
·限制"域管理员"在本机权限的技巧
下面我们就来限制一下"域系统管理员"在本机上的权限。先用管理员Administrator的身份登录到本机。
然后打开"控制面板"，再打开"用户和密码"。(如图一)我们把域管理员的帐号添加到本地用户中，单击"添加"按钮，出现添加新用户的窗口，这和在前面添加本机用户时看到的画面已经不一样了，我们可以直接输入"域管理员"帐号"Administrator"和他所在的"域Soft.com",再点"下一步"。(如图二)
 图一 |  图二 |
也可以单击"浏览"，输入一个可以访问域权限的帐号名和密码，输好后点"确定"，(如图三)此时在列表中就可以看到目前域Soft.com中的用户了，从中选择"Administrator",单击"确定"，单击"下一步"。(如图四)将访问级别选择为"受限用户"，单击"完成"。在本机用户列表中已经可以看到该帐号了。
 图三 |  图四 |
现在域管理员Administrator在"本域"中具有超级的权力，但如果他访问本机的话，就只有Users组成员的权限了，这也是Windows 2000 中所应用的"就近原则"，离本机最近的安全设置是有效的。
可是如果我们想给多个域用户设置在本机上的权限，采用这样的办法显然不是最好的办法，有没有更方便的办法呢？这就要用到"组"了。
我们可以创建一个叫做"OtherUsers"的本地组,默认情况下该组和"Users"组是平等的,然后将域用户添加到这个组中，这样的话该组中的成员在本机上只具有Users组成员的权限。下面我们看看具体的操作。
 图五 |
打开"控制面板"中的"用户和密码"，打开"高级"选项卡，单击"高级用户管理"栏中的"高级"按钮。(如图五)出现"本地用户和组"的管理窗口，单击左栏中的"组"，打开"操作"菜单，(如图六)选择"新建组"；"组名"中输入"OtherUsers"，"描述"中输入"域用户组"，(如图七)接下来是添加成员，单击"添加"按钮，此时出现"本机""ZW"上的用户和组列表，打开查找范围选单，选择域"Soft.com" (如图八)
 图六 |  图七 |
 图八 |
现在我们开始选择用户，在需要的用户名上双击鼠标即可添加，因为"域"中管理员"Administrator"、 "Domain Admins"组、"Enterprise Admins"组成员对本机才有过高的控制权限，通常我们选择这些组即可。添加好后，单击"确定"。再单击"创建"，然后单击"关闭"。现在组和域用户都添加好了，现在"域"中的超级警察就管不了我们的电脑了。
