重灌 (Windows) 時必備 Freeware

說到, 重灌OS, 沒特別指名的話, 必定都是指 Windows 系列 (抱歉我又忍不住要酸它一下...板主別浸我水桶). 從出生到現在, 沒看過那麼需要靠 "重灌" 來解決系統問題的 OS... 中毒只好重灌, 效能變差只能重灌, 不明原因無法正常開關機更是只能重灌, 若是不幸(或是有錢)換張主機板...更是重灌中的重灌, 不愧是七大OS浪費IT人員生命之首.

酸完了, 可以正經點寫主題了.

(先說好這不是懶人網站, 我只是點出有哪些軟體可用, 不是在教人家怎麼用)

重灌之前的準備

0. 合法的 OS 安裝光碟 (廢話) <--- br="" freeware...="">
1. nLite

灌一套所謂 "乾淨" 的 Windows 似乎是常識了, 但是一但開始灌進一堆 update, patch, service pack 後, 就會開始覺得慢了... C槽也肥大了許多... 如果能在重灌時就能預先做好一些肥大的更新 (尤其是 service pack) 絕對是好事. nLite 可以幫你把比較舊的正版 XP (你要自己拷到硬碟上) 嵌入新版 Service Pack 及一堆 patch 或 driver 後, 再給你燒回到光碟上使用. 時間多的話是真的可以把 SP3 以後的所有 patch 都挖出來嵌進去啦, 如果沒什麼空搞這些的話 (因為要自己上微軟網站抓下來...項目真的很多), 我的建議是只把心力放在 SP3 與必備的 driver. 像我的新板子是用 ICH-9M, 連 SP3 都沒有內建, 在灌 XP 時要用到 F6 Floppy 大法也是很麻煩, 不如利用 nLite 把它建進去...這年頭有軟碟機的人應該快絕跡了吧. 最好是連你的合法XP序號也鍵入 nLite 的 "無人值守" 功能, 就不用在灌XP時再輸入序號了...尤其有些人重灌成狂, 或者你是公司的MIS正在灌大量授權版, 我想這功能絕對可以省下一些時間.
Vista 愛好者可改找 vLite 助你.

灌好後

1. 防毒軟體: avast! 家用版

經濟不景氣, 如果你不想在家用電腦上花錢買那些肥大又貴又拖慢系統速度的防毒軟體 (或是隨機只附贈"三個月試用"這類的鳥授權), 可能你會對 avast! 有些興趣, 因為它的家用版是免費的, 差別只在於你有沒有聽過它. 但別誤會, avast! 不是 freeware, 只是它的家用版是 free, 你可別拿來用在公司電腦...那就不合法了

2. 解壓縮軟體: 7zip

別再去找什麼 winzip winrar 破解了, 改用 7zip 一套搞定. 7zip 可能唯一不足之處就是沒有 winrar 的 "容錯" 壓縮功能; 如果你沒聽過這個...那就代表你完全不需要它.

3. 瀏覽器: Chrome or Firefox (如果你特愛 Opera 我也不反對)

Windows 內建的 IE 大概只剩下 "Windows Update" 與 WebATM 有用了... 不過 IE8 我倒是推薦用用無妨, 因為用起來和 Firefox 像極了! (我又在酸了...)

4. ssh 連線軟體: PuTTY/PieTTY

萬一你不得不用 ssh (例如你是 Trinity 要連到大樓系統內把備用電源切掉, 好讓 Neo 可以安全破入 the Source), 先不要急著去找什麼 SecureCRT 或 SecureNetterm 之類的破解... 如果你常用的站台名單列出來不到一兩頁, 用 PuTTY 其實就已經很方便了; 用 PieTTY 更是內含 Unicode 補完計畫, 上 PTT 十分完美. (個人不建議一般使用者直接灌 Unicode 補完計畫於你的系統)
其他 "純" telnet 軟體就很多了...你自己決定吧.

5. 官方系統工具: PowerToys for Windows XP

如果你像我一樣還在用 XP (32bit), 那 PowerToys for XP 有幾項我認為是必備: TweakUI, Alt-Tab Replacement 及 PowerCalc. 另外, 如果你遇到某些字型顯示太醜的問題而需要打開 ClearType 功能, 也可考慮安裝 ClearType Tuner 來做微調.

6. 系統工具類: CPU-Z, HWMonitor, GPU-Z, CoreTemp

CPU-Z 是查看你新買的 CPU/RAM 是否在數字上都是您想要的; CPU 核心數/代號/FSB等各項時脈數字/倍頻數, 記憶體 SPD 內容等等
GPU-Z 是查看你的顯示晶片資訊
HWMonitor 是把各項電壓值/風扇轉速/溫度等數字讀出來
CoreTemp 可用來監看 CPU 每個核心的溫度, 而 0.99.5 beta 版提供了一項很棒的功能: 溫度過高時自動幫你關機(或待命)

7. K-Lite Mega Codec Pack + Quicktime Alternative

現在網路上的影片格式太多了, 你要一個一個去找對應的 player 絕對是場巨災. K-Lite Mega Codec Pack 這一套就囊括了包括 Divx, Mpeg2, x264 甚至 real video 的各類 codec, 常用的只差一個 quicktime alternative 要補裝.

8. 如果你有在收信與使用行事曆, 可考慮 Thunderbird, Sunbird, 並可利用 Lightning 把 Sunbird 變成 Thunderbird 的 plugin. 而 Sunbird 亦可與 Google Calendar 同步. 至此, 你可能不再需要 Outlook / Outlook Express 了.

9. 燒錄軟體也別再用非法序號非法破解的 nero 或隨燒錄機附的 nero express 了, 而且 nero 愈做愈肥大, 光是灌一套從沒用過也會拖慢系統速度. 可選擇例如 ImgBurn 與 InfraRecorder 都是 10MB 以下的燒錄軟體, 小而美且免費. 用了它們你才知道 nero 在真正燒錄功能上是多麼地陽春... 現在我唯一用與 nero 有關的就是它的 DiscSpeed.exe 工具, 而這也可以到 cdspeed2000 網站上下載免費使用.

10. 以前 Pixmantec 還沒被 Adobe 買下前, 其 RawShooter Essential 可說是最最最流暢的免費 RAW image converter (缺點是轉出來的色彩比較淡); 自從它變成 Adobe LightRoom 後, 編輯 RAW 檔的工作效率反而大大下降  而目前我還找不到什麼免費的替代方案, 請各路高手們不吝指點.

11. OpenOffice. (StarOffice是要錢的...) 如果你不是十分依賴 M$ Office, 僅只是偶爾打打 Word, Excel, 看看人家做的 PowerPoint 檔等等, 沒用到什麼 M$ Office 高深莫測的功能, 那我想 OpenOffice 應該就夠用了. 缺點是要灌 JRE...反正你逛網站沒多久就鐵定需要灌到 JRE, 別反抗了. 哪, 順便再介紹你一套也是用到 JRE 的免費軟體叫 FreeMind 可代替 MindManager...詳情請自己 google 吧.

12. 如果你有在用 BT 抓檔的話, µTorrent 可能會比 BitComet 好... 不記得在哪一版的 BitComet 起, 就開始強加一堆廣告在裏面, 後來更加了什麼軟體版本檢查功能 (是掃你系統有哪些軟體一一幫你找有沒有更新版), 我個人十分不喜歡這種連問都不問就幫你亂加功能的安裝... µTorrent 雖然也有 ASK bar 的安裝, 但好歹那是可以選擇要或不要裝的配件.

X. 其他雜七雜八: JRE, Acrobat Reader, Flash Player 都是上網必備的玩意兒.

如此一來, 這台電腦大概已經快要十全十美了... 而且你只花了主機與 OS 的錢.

作者 hanky 
發佈於 阿宅本色 

資料來源

[MIS求生] 網管人員一定要做的十大限制手段

還記得我們之前提到的網管人員最想禁止的10大危險動作嗎？其實辦公室的資源雖然是公司的，卻是大家都在使用，一旦出現任何問題，往往受害的還是自己（工作被耽誤、被客戶老闆譙），所以如果你有前面的十項危險行為，請記得要改正才好。

接下來我們來看看網管人員為了保持辦公室的網路安全，通常都會使用哪些手段來管理和預防，如果你自己本身就是MIS，請看看以下10項是否都有做到，這是身為網管必備的求生技能喔！

1. 善用作業系統中的管理工具
（AD網域是一定要架設的，這樣群組原則設定就可以對大多危險行為做出控管了）

2. 降低使用者的操作權限

（透過不同的帳戶層級來對使用者限制，通常不會給一般員工Administrator的權限）

3. 依使用需求開放程式的使用權
（有些程式必須要有Administrator權限才能使用，這時候就必須依照特殊要求來開放了）

4. 強制要求密碼強度
（根據統計，123456是最多人使用的懶人密碼，網管可以限制使用者使用類似的簡單密碼，加強安全性）

5. 善用安全程式所內建的密碼控管
（幫防毒軟體設定移除密碼可以增加不少安全性）

6. 停用密碼記憶功能
（許多軟體都會有密碼記憶功能，如果可以關掉的話將可減少被駭客濫用資料的危險）

7. 禁用隨身碟或明令要求資料不許攜出
（隨身碟這類產品對於許多公家機關或金融機構都是禁止的，如果你公司的資料也都是屬於機密，最好也能避免使用）

8. 教育使用者
（其實對多數使用者曉以大義，並且告訴他們合適的替代方案，大多可以接受網管的安排使用新方式辦公）

9. 使用獎勵或懲罰
（獎勵與懲罰可以在主管同意後進行，若是沒有主管的背書則往往流於形式）

10.其它

※想知道這更詳細的網管手段嗎？想知道更多的網管自保能力嗎？請看：
《MIS救難手冊：網管問題實戰速解》

SPICEWORKS—IT管理工具簡易操作教學 : 布丁布丁吃什麼？

SPICEWORKS—IT管理工具簡易操作教學 : 布丁布丁吃什麼？

將現有電腦加入 AD 網域的最佳實務 ( 對應 User Profile )

一般來說公司若是首次導入 AD 網域，在 AD 網域建立完成後就要開始將現有的電腦一一加入 AD 網域了，當電腦加入網域後第一次用 AD 帳號登入在電腦內會新增一個獨立的網域使用者(Domain User)帳號，而這個網域帳號與舊有的本機帳號是完全不一樣的，除了所在目錄不一樣之外，每台電腦的 User SID 也不一樣，所以通常都需要大費周章的將原本帳號下的檔案與資料搬移到新帳號中，這過程耗時又費力，今天我將分享另一種更好的方式，讓現有電腦加入 AD 網域更有效率的方法。

由於一般 PC 使用者都享有完整的電腦掌控權，而我今天介紹的方法僅適用於「加入 AD 後也一樣具有完整的本機掌控權」，如果你希望導入後能限制使用者使用電腦的權力，那應該使用我這個方法可能會發生一些權限的問題。

整個加入的流程有兩大步驟說明如下：

第一大步驟：建立帳號與修正檔案、目錄、HIVE 控制檔權限

1. 先在 Domain Controller 中新增使用者帳號 ( 假設帳號名稱為 AD1\UserA )
   備註: AD 中的使用者會有一個自己的 SID
2. 將現有電腦設定加入 AD 網域 ( 假設現有電腦名稱為 PC1 )
3. 在 PC1 用網域使用者(AD1\UserA)的身份登入 ( 假設使用者名稱為 User1 )，此時在 PC1 中會建立一組新的使用者設定檔(User Profile)，接著直接登出。
4. 然後在用具有本機管理者權限的身分登入 PC1 ( 例如：Domain Admins 或 Local Administrator )
5. 將 User1 加入 PC1 的本機系統管理者群組
6. [開始]\[執行]  regedt32 開啟 "登錄編輯器" 視窗
7. 選取 "HKEY_USERS"，並點檔案選單的 "載入HIVE 控制檔"，然後選擇您舊 Profiles 下的ntuser.dat 檔案。例如：C:\Documents and settings\User1\ntuser.dat
   
8. 然後給一個機碼名稱 "User1" (使用者的名稱)，且您也可以在 HKEY_USERS 下看到此 "User1" 的機碼。
   
9. 使用滑鼠右鍵點選 "User1"，再點選 "使用權限"
   
10. 請在權限的地方新增您在 AD 中建立的使用者 ( AD1\UserA ) 並設定為 "完全控制"，再按"確定"
11. 請使用滑鼠點選 "User1"，再點選 檔案選單的 "HIVE 解除載入"。注意：此步驟非常重要!!
    
12. 關閉 "登錄編輯器"。

第二大步驟：修改 USER PROFILE 與 SID 的對應關係

這個步驟主要是將 AD1\UserA 的 SID 對應到的 User Profile 目錄改變到原本的 User Profile目錄下。

1. 以登入本機管理者權限登入
   ( 需具有 Local Administrator 或 Domain Account 具有 Local Administrator 權限 )
2. 登入需查詢這個 Domain User ( AD1\UserA ) 的 SID 是多少，你可以利用 Sysinternal 工具組中的PsGetSid 工具幫你查出該使用者的 SID。
   如下範例可取出 SID 為 S-1-5-21-1734555294-521365412-12323243404-5525：

C:\>psgetsid AD1\UserA

PsGetSid v1.43 - Translates SIDs to names and vice versa
Copyright (C) 1999-2006 Mark Russinovich
Sysinternals - www.sysinternals.com

SID for ad1\UserA:
S-1-5-21-1734555294-521365412-12323243404-5525

3. [開始]\[執行]  regedt32 開啟 "登錄編輯器" 視窗
4. 找到 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList
5. 然後找到跟這個第2步查到的 SID 一樣名稱的機碼
6. 然後找到 ProfileImagePath 這個「可擴充字串值」後，修改路徑到原本使用者的 Profile 路徑。
   例如：%SystemDrive%\Documents and Settings\User1

---

囉唆的步驟終於完成。但畢竟只要麻煩這一次，不用再辛辛苦苦的搬移個人檔案的資料了。

Active Directory 設計

Active Directory 設計

Active Directory 可供應用程式在分散式計算環境中尋找、使用和管理目錄資源。在建立 Active Directory 架構時，您必須小心考量環境的安全性界限。詳細規劃組織的安全性委派和實作時間表可使組織的Active Directory 設計獲得更高的安全保障。

建立 Windows Server 2003 目錄界限

這些界限在安裝 Active Directory 時自動建立，但是您必須確定權限界限符合組織需求和原則。

安全性界限-定義組織內各種群組的自治或區隔。

樹系對網域安全性界限-建立個別的樹系來使您的環境遠離居心不良的管理員。

管理界限-由於區隔服務和資料的潛在需要，定義必要的各種管理層級。

服務管理員-負責設定和提供目錄服務。

1.主要負責目錄服務的網域管理群組。

2.負責網域名稱系統 (DNS) 管理的管理員群組。

3.負責 OU 管理的管理員群組。

4.負責基礎結構伺服器管理的管理員群組。

資料管理員-負責管理儲存在 Active Directory 中或加入 Active Directory 的電腦上的資料。

促進群組原則管理和委派的 OU 結構

了解如何透過群組原則保障您組織的網域、網域控制站，並確保特定的伺服器角色安全。

OU->提供一個簡單的方法來對為使用者、電腦和其他安全性主體進行分組，也是區隔系統管理界限的有效方法。

     ->依據伺服器角色，提供不同的群組原則物件 (GPO)

委派管理和套用群組原則

在每一個容器上個別設定存取權控制清單 (ACL)，將 OU 控制委派給群組或個人。

管理群組

將使用者、安全性群組或伺服器群體以容器區隔，來達到自治管理的目的。

基礎結構伺服器就是一個應用範圍。包含執行基本網路服務 (如執行 WINS 和 DHCP 服務) 的伺服器等所有非網域控制站。

所有 DNS 伺服器都是在位於網域控制站 OU 中的網域控制站上執行。這裡的 DNS 伺服器就不算是基礎結構伺服器。

下列圖表提供這種 OU 的高層次檢視。

圖 1 
管理的 OU 委派

只要將伺服器移到一個 OU (也就是基礎結構 OU)，然後將 OU 控制委派給相關的管理群組即可。

群組原則應用

請使用群組原則和委派管理來套用特定設定、權利和行為到 OU 內的所有伺服器。

圖 2 
GPO 應用程式層級

安全性範本

安全性範本是以文字為主的檔案。範本檔案的有些段落含有以由 Security Descriptor Definition Language (SDDL) 撰寫的特定 ACL。

範本管理

通過驗證的使用者有權讀取「群組原則」物件中所含的所有設定。將用於實際執行環境的安全性範本儲存在負責實作群組原則的管理員可以存取的安全位置。處理未經授權的篡改。

管理群組原則和匯入安全性範本

成功的 GPO 應用事件

時間設定

基礎伺服器角色組織單位-目標是建立涵蓋所有伺服器的完整群組原則，同時確保位於 Active Directory 內的伺服器符合您的環境的安全性標準。

成員伺服器基礎原則

伺服器角色類型和組織單位

圖 3 
設定增量群組原則

表 1：Windows Server 2003 角色

伺服器角色	說明	安全性範本
Windows Server 2003 網域控制站	含有 Active Directory 網域控制站的群組。	Enterprise Client – Domain Controller.inf
Windows Server 2003 成員伺服器	屬於網域的成員並位於成員伺服器 OU 之中或以下的所有伺服器。	Enterprise Client – Member Server Baseline.inf
Windows Server 2003 檔案伺服器	含有已鎖定檔案伺服器的群組。	Enterprise Client – File Server.inf
Windows Server 2003 列印伺服器	含有已鎖定列印伺服器的群組。	Enterprise Client – Print Server.inf
Windows Server 2003 基礎結構伺服器	含有已鎖定 DNS、WINS 和 DHCP 伺服器的群組。	Enterprise Client – Infrastructure Server.inf
Windows Server 2003 IAS 伺服器	含有已鎖定 IAS 伺服器的群組。	Enterprise Client – IAS Server.inf
Windows Server 2003 憑證服務伺服器	含有已鎖定憑證授權 (CA) 伺服器的群組。	Enterprise Client – CA Server.inf
Windows Server 2003 Bastion 主機	含有網際網路專用伺服器的群組。	High Security – Bastion Host.inf
Windows Server 2003 IIS 伺服器	含有已鎖定 IIS 伺服器的群組。	Enterprise Client – IIS Server.inf

圖 4 
OU 設計範例

表 2：OU 及管理群組

OU 名稱	管理群組
網域控制站	網域工程
成員伺服器器	網域工程
基礎結構	作業
檔案	作業
列印	作業
IAS	網域工程
CA	企業管理
Web	Web 服務

http://technet.microsoft.com/zh-tw/library/dd548190.aspx

Windows Server 2008基礎架構與管理的改善

文／圖 羅濟棠．責任編輯／陳啟川 

本系列文章一共有六篇，第一至四篇將會為大家介紹Windows Server 2008新的改變，第五篇則會為大家介紹從Windows 2000 Server昇級到Windows Server 2008的程序以及注意事項，最後一篇則會為大家介紹Windows Server 2008的自動化及遠端管理功能。在這一篇中將為大家介紹Windows Server 2008中的新改變：伺服器管理員以及Active Directory。 

---

自從微軟在西元2000年發佈Windows 2000 Server至今已有九個年頭。根據微軟對產品生命週期的承諾，Windows 2000 Server即將在明年停止支援，並且停止大多數的更新(除了會造成立即性危害的重大安全性更新之外，讀者可造訪http://support.microsoft.com/lifecycle/?p1=7274 )。而隨著微軟在去年發佈最新一版的Windows Server 2008，許多目前還在使用Windows 2000 Server的公司，也開始在討論昇級到Windows Server 2008的相關議題。

在這個系列的文章中，我們將為大家介紹微軟在Windows Server 2008中所做的改變，以及這些改變將如何的改善你目前現有的Windows 2000 Server環境。此外，我們也會針對從Windows 2000 Server昇級到Windows Server 2008的環境時，有哪些是必需注意的事項。正所謂知已知彼，掌握這些新的改變功能將會對日後的昇級提供更順利的途徑。


全新的伺服器管理員 
當部署完裝完Windows Server 2008第一次登入時，便會馬上出現一個全新的管理工具：伺服器管理員。伺服器管理員使用了全新整合式的Microsoft Management Console(MMC)，提供了針對單一台伺服器最佳的管理工具架構。它取代了在Windows 2000及2003時代中的「新增或移除 Windows 元件」功能。也取代了在Windows Server 2003中的「管理你的伺服器」以及「設定你的伺服器」兩個功能，另外它也取代了「電腦管理」的MMC工具。


全新的伺服器管理員。 

從圖1中你可以看到伺服器管理員的整合式管理晝面，伺服器管理員可提供單一介面讓系統管理員看到簡要的伺服器概述、變更伺服器的系統屬性，以及安裝或移除角色或功能。利用伺服器管理員，系統管理員可以輕易地：

．檢視及變更伺服器中所安裝的伺服器角色和功能。
．執行伺服器運作生命週期的相關管理工作，例如啟動或停止服務，以及管理本機使用者帳戶（當Windows Server 2008未安裝Active Directory網域服務時）。
．執行伺服器中之安裝角色的運作生命週期的管理工作。
．瞭解伺服器的狀態、辨別重大事件，以及進行設定問題或故障的分析和疑難排解。
．利用 Windows 命令列安裝或移除角色、角色服務和功能。

由於Windows Server 2008將原先的「新增或移除 Windows 元件」功能中所管理的Windows元件一分為二變成了「角色」與「功能」。伺服器管理員中的精靈是透過縮短安裝、設定或移除角色、角色服務和功能的時間，來簡化在企業內部署伺服器的工作，因此你僅需利用伺服器管理員的安裝精靈，即能夠在單一工作階段中安裝或移除多重角色、角色服務或功能。伺服器管理員的精靈會在執行過程中執行依存性檢查，以確定選用角色所需的角色和角色服務皆已安裝，且不會移除其餘角色或角色服務可能還會使用到的角色和角色服務。


伺服器角色 
伺服器角色說明伺服器的主要功能。系統管理員可以選擇將整部電腦專用於一個伺服器角色，或者在單一電腦上安裝多個伺服器角色。每個角色均可包含一或多個角色服務，稱為角色的子元件。Windows Server 2008 中提供下列伺服器角色，可使用伺服器管理員來安裝及管理。


Windows Server 2008所提供的伺服器角色。 

如果你是安裝Windows Server 2008標準版、企業版或是Data Center的64位元版本，還會多增加一個Hyper-V的伺服器角色（註1）。

一般而言，功能不會說明伺服器的主要功能。功能會為伺服器提供輔助或支援功能。一般而言，系統管理員新增功能的目的不是做為伺服器的主要功能，而是為了加強已安裝之角色的功能。Windows Server 2008中提供下列功能，並可於伺服器管理員中中使用命令來安裝。
Windows Server 2008所提供的功能。 

在絕大多數的情況下，你只需要透過單一的伺服器管理員儀表版就可以管理所有安裝在此伺服器上的所有角色及功能，而毋需另外再開啟相對應的MMC管理工具。例如在圖1中已經新增加了『Active Directory網域服務』及『DNS伺服器』的伺服器角色，直接就可以透過伺服器理員對Active Directory的使用者及電腦進行管理。除了新增和移除『角色』及『功能』之外，伺服器管理員還提供單一窗口來執行診斷工具（例如事件檢視器和 PerfMon）和系統設定公用程式（例如裝置管理員和 Windows防火牆嵌入式管理單元）。

伺服器管理員就像一份報紙的頭版頭一樣，它提供單一位置，讓系統管理員可以查看伺服器的簡要概觀、變更伺服器的系統內容，以及安裝或移除角色或功能。


大變革後的Active Directory網域服務 
微軟在西元2000年所發表的Windows 2000 Server是第一個內含Active Directory的Windows伺服器版本。在第一版中的Active Directory不過是在使用者登入時驗證他的身分、套用群組原則到使用者及其電腦，以及幫助他找出他正在尋找的印表機的一項技術。之後的Windows Server 2003重大版本則大幅度的做了改進，以提升此核心網路服務的安全性和管理性。又過了幾年後微軟推出了Active Directory的獨立變體：Active Directory Application Mode應用程式模式(ADAM)。隨著時間不斷的演進，如今Active Directory已經算是相當穩固且成熟的技術。現在，Active Directory不再是特定的技術，它現在是一項產品，可識別許多Windows內建識別和存取控制服務。


新制與舊制比較說明 
在Windows Server 2008中的Active Directory使用的名稱上做了一些更改並且使用了相對應的縮寫。下列將簡單的介紹了新舊Active Directory服務在名稱對照上的差異。


 Active Directory與Active Directory網域服務(AD DS) 
Active Directory Domain Services (AD?DS) 儲存使用者、電腦與網路上其他裝置的相關資訊。AD?DS協助系統管理員以安全的方式管理這項資訊，並有助於使用者之間的資源共用與協同作業。若要安裝支援目錄功能的應用程式（例如，Microsoft Exchange Server）以及應用其他Windows Server技術 （例如，群組原則），就必需安裝使用ADDS。

#小標=Active Directory應用程式模式(ADAM)與Active Directory輕量型目錄服務(AD LDS) 組織中若有需要使用目錄才能儲存應用程式資料的應用程式，則可以使用Active Directory輕量型目錄服務(AD LDS)做為資料存放區。AD LDS可以用非作業系統服務的形式執行，因此，它不需部署在網域控制站上。由於可以用非作業系統服務的形式執行，你可以在單一伺服器上同時執行多個 AD LDS執行個體，且每個執行個體均可個別設定供多個應用程式使用。


 憑證服務與Active Directory憑證服務(AD CS) 
Active Directory憑證服務(AD CS)提供建立及管理公開金鑰憑證的自訂服務，這些憑證可用於採用公開金鑰技術的軟體安全性系統。組織可利用Active Directory憑證服務，將個人、裝置或服務的識別身分繫結至對應的私密金鑰，以強化安全性。Active Directory憑證服務也包含其他功能，讓你管理各種彈性環境中的憑證註冊與撤銷。

Active Directory憑證服務所支援的應用程式包括安全／多用途網際網路郵件延伸(S/MIME)、安全無線網路、虛擬私人網路(VPN)、網際網路通訊協定安全性(IPsec)、加密檔案系統(EFS)、智慧卡登入、安全通訊端層/傳輸層安全性(SSL/TLS)與數位簽章等。


 版權管理伺服器與Active Directory Rights Management Services (AD RMS) 
AD RMS 是一種資訊保護技術，可與支援AD RMS的應用程式搭配使用，以防止數位資訊遭到未經授權使用。內容擁有者可定義接收者可使用資訊的確切方式，例如哪些人可開啟、修改、列印、轉寄資訊，或是對資訊執行其他動作。組織可建立「機密 - 唯讀」之類的自訂使用方式權限範本，以直接套用到財務報表、產品規格、客戶資料與電子郵件訊息等資訊上。


 Active Directory Federation Services與Active Directory Federation Services(ADFS) 
Active Directory Federation Services (AD FS)提供網頁單一登入(SSO)技術，以使用單一使用者帳戶對多個網頁應用程式驗證使用者。AD FS可在夥伴組織間透過數位宣告的形式安全地建立使用者識別身分與存取權限的聯盟或共用，以完成上述作業。

這些新舊的比較有些是從Windows 2000 Server時代便有的名詞，有些則是在Windows Server 2003時代才開始出現。然後不論其出現的順序，在Window Server 2008都做了名稱對應的縮寫。這些縮寫名稱將會大量的被使用到官方或非官方的正式文件之中，因此記住這些縮些在閱讀相關的文件時會更加容易理解。


可重新啟動的Active Directory服務 
眼尖的你或許已經發現Windows Server 2008中的Active Directory已經以作業系統的服務(Service)方式來提供，不再像舊版的Active Directory是與整個作業系統綁在一起。這意謂著以服務方式提供存取的Active Directory變得更加有彈性。

例如當你要為Active Directory進行手動維護的時候，不用再像舊版的Active Directory必需要將整台DC重新開機並進行目錄還原模式中進行操作，現在只需要執行NET STOP NTDS(圖4) Active Directory Domain Services即可對DIT資料庫執行離線的重組，之後若想要重新啟動ADDS只需要執行NET START NTDS(圖5)即可。


停用ADDS也會一併停用相關的相依服務。 



重新啟用ADDS也會一併將圖五中的相關依存服務啟用。 


DCPROMO的變更 
由於Windows 2000 Server與Windows Server 2008作業系統有著本質上的差異，因此在昇級的時候並不支援你從Windows 2000的網域控制台直接做本機的昇級動作(註2)。因此，你在Windows Server 2008 ADDS中第一個發現的變更就是DCPROMO，它完全不同於Windows 2000，因為重新徹底改寫過以更利於使用。

還記得筆者第一次接觸Windows 2000 DCPROMO時，就被那DNS伺服器的設定搞得團團轉。由於當時筆者是初次接觸到Active Directory，所以壓根就不知道Windows Active Directory必需非常的依賴DNS伺服器的樹狀架構，因此在安裝Windows 2000網域的第一台網域控制站之前必需先手動設定好Windows DNS 網域名稱的正向及反向DNS對應區域。偏偏那時候對DNS伺服器的運作一知半解，結果DCPRMO起來的Windows 2000 DC都會有複寫上的錯誤。所以在Windows 2000時代你必需先搞懂DNS Server的設定及運作原理，才有辦法將Windows 2000 DC順利的Promote起來。

新的DCPROMO提供了檢測本機TCP/IP元件中所指向的DNS伺服器是否存在或者符合DCPROMO的需求。當無法符合需求時，可以讓你選擇使用精靈自動安裝設定的方式(圖6)將DNS伺服器部署完成而毋需再手動事先加以設定。


透過ADDS安裝精靈自動安裝設定DNS。 

新的DCPROMO還會將所有設定選項全都收集到單一頁面上，提供一個位置讓你選擇新的DC是要作為通用類別目錄(GC)、DNS伺服器，還是唯讀DC。你不必在Active Directory [站台及服務] 嵌入式管理單元中，進入難找的地方將DC標示為GC。如果在你是屬於需要大量部署網域控制站的環境，那麼新的DCPROMO還提供將升級程序開始前將所有DCPROMO設定全都儲存到一個回應檔中的功能，之後便可以使用該回應檔在其他伺服器上執行自動DCPROMO作業(圖7)。


使用新的DCPROMO匯出的回應檔。 


唯讀網域控制站 
在早期規劃Active Directory架構時，大家都會在有使用者登入需求的站台放置一台DC或GC。這樣做的目地無法是當分點的WAN斷線時，當地的使用者還可以藉由當地的DC/GC登入網域存取當地的資源。然而這樣的設計規劃若是沒有相對的配套措施(例如：分點沒有人力及適當的保全地點可以管理保全DC機器)，將對Active Directory造成很大的安全風險。

唯讀網域控制站Read Only Domain Controller(RoDC)以及唯讀通用目錄伺服器Read Only Global Catalog Server(RoGC)。要實作它們很簡單，你的網域必須是位於Windows Server 2003樹系功能等級，而且網域裡面必須至少有一個Windows Server 2008 DC。然後執行adprep /rodcprep Active Directory準備之後便可以安裝一台唯讀的網域控制站或唯讀的通用目錄伺服器(註3)。

為此，Active Directory設計小組以『在分點發生的，就留在分點』的觀點，設計了全新的 RODC預設並不會將密碼雜湊儲存在RODC的目錄資訊樹(Directory Information Tree，DIT)中。因此若要向網域驗證使用者，當使用者先向特定RODC進行驗證時，RODC會將要求傳送給網域內的完整網域控制站(FDC)。FDC會處理該要求，若成功，RODC便會發出密碼雜湊的複寫要求。密碼複寫原則是由RODC的電腦物件上的兩個屬性構成。

msDS-RevealOnDemandGroup屬性包含其密碼可快取在RODC上的群組、使用者或電腦帳戶的分辨名稱（這些一般是跟RODC位於相同站台的使用者和電腦)。而msDS-NeverRevealGroup則包含其密碼不可快取在RODC的群組、使用者或電腦帳戶的分辨名稱（例如網域系統管理員帳戶絕對不應該將它的密碼雜湊快取在RODC上）。當RODC要求特定帳戶的密碼雜湊時，FDC會比照密碼複寫原則來評估要求，以判斷是否應該將密碼雜湊複寫到RODC。

當DC遭竊時，這可將受影響的範圍侷限在那些在遭竊的RODC從網路移除當時快取的密碼，並且也消除了重要密碼遭到入侵的可能性。在網域中完整的DC並不會信任RODC為網域控制站。從信任的觀點來看，FDC會將RODC當作網域中的成員伺服器來對待。RODC並不是企業網域控制站或網域控制站群組的成員。RODC帳戶更新目錄內容的能力非常有限，因此即使攻擊者真的入侵RODC 帳戶，所獲得的權限也幾乎無用武之地。

RODC甚至不會顯示在標準DS複寫拓樸中。因為RODC看起來像一般的成員伺服器，而不像網域控制站，所以知識一致性檢查程式（KCC，這是每個DC上負責計算DS應用程式拓樸的處理程序）不會從RODC建立連線物件。完整DC或RODC全都不會嘗試從RODC複寫。但是，RODC會建立一個連線物件來代表完整DC的輸入複寫授權合約，不過這個連線物件只存在於RODC的複本中，其他DC完全沒有該連線物件的複本。

從複寫的觀點來看，RODC就像是目錄物件的蟑螂屋。物件只能往內複寫，不能往外複寫。在Windows Server 2008的系統管理員可以定義「唯讀 DC 已篩選屬性集」(Read-Only DC Filtered Attribute Set，RO-FAS)。你可以在架構中將相對應attributeSchema物件的searchFlags屬性設為位元9 (0x0200)，將屬性指定到RO-FAS。當屬性被定義成RO-FAS時該屬性永遠都不會複寫到RODC。如此可以更大幅度的降低RODC被竊或入侵時的風險。


更具彈性的密碼原則 
如你所知道的一樣，在Windows 2000或Windows Server 2003的Active Directory網域中只能設定一組有效的密碼原則。而且這個密碼原則會套用到相同網域中的所有安全性物件之中，如果有部份的使用者或群組成員需要套用不同的密碼原則，就必需要建立另一個網域來存放這些具有特殊需求的使用者帳號。但在新版的Window Server 2008的Active Directory則應大家熱烈的需求允許可以為指定的帳戶或是以群組為單位的方式來套用不同的密碼原則。

在Windows Server 2008網域服務中使用『密碼設定容器(Password Settings Container,PSC)』以及『密碼設定物件(Password Settings objects,PSO)』兩個物件來儲存新的密碼原則。密碼設定容器 (PSC) 物件類別預設會建立在網域的『SYSTEM』容器下(圖8)。此容器儲存網域的密碼設定物件 (PSO)。你無法重新命名、移動或刪除這個容器。


PSC密碼設定容器。 

要設定新的密碼原則你必需在PSC上建立新的密碼設定物作PSO。底下表1則列出PSO可使用定義的屬性值。



表1=PSO可使用定義的屬性值。 屬性名稱 用途說明 msDS-PasswordHistoryLength 強制密碼歷程記錄 msDS-MaximumPasswordAge 密碼最長使用期限 msDS-MinimumPasswordAge 密碼最短使用期限 msDS-MinimumPasswordLength 最小密碼長度 msDS-Password-ComplexityEnabled 密碼必須符合複雜性需求 msDS-PasswordReversibleEncryptionEnabled 使用可還原的加密來存放密碼 msDS-LockoutDuration 帳戶鎖定期間 msDS-LockoutThreshold 帳戶鎖定閾值 msDS-LockoutObservationWindow 重設帳戶鎖定計數器的時間 msDS-PSOAppliesTo PSO 連結。此為多重值的屬性，它會連結到使用者和群組物件。 msDS-PasswordSettingsPrecedence 優先順序。這是整數值，用於解決當多重 PSO 套用至使用者或群組物件時的衝突。

Windows Server 2008 ADDS雖然提供了更加彈性的密碼原則，但是目前僅能透過ADSI的編輯工具來設定上述的相關屬性值。因此你必需相當小心的管理這些原則，盡量單純不要複雜化你的密碼原則將會有助於控制網域的安全性風險。


瞭解新增功能以利昇級規劃 
在新版Windows Server 2008的網域服務中除了上述新功能改變之外，你還可以找到其它一些不錯的功能。例如：將Active Directory使用者及電腦的檢視改為進行之後，便可以將任一DS物件勾選『保護物件不被意外刪除』的功能以防止被管理者誤刪。此外，也可以在進階檢視中的『屬性編輯器』頁面中直接修改該DS物件的屬性值，就如同使用ADSI編輯工具修改一樣。

當你從Windows 2000 Server要昇級至Windows Server 2008前，瞭解新版的功能新增及改變，可以讓你在事先規劃時便將這些改變納入考量。而在昇級後也能夠讓管理更快速的上手。在下一篇中我們將為大家介紹Windows Server 2008在綠化IT中所提供的新功能。在節能減碳的風潮下當你在規劃昇級時如何充份利用Windows Server 2008的新功能來達成目標。

【原文刊載於RUN!PC雜誌：2009年2月號】

　

網路行銷的第一步 - 認識SEO

SEO就是所謂的 Search engine optimization ，也就是搜尋引擎最佳化，經過SEO的網頁可以在搜尋引擎中自然獲得極佳的名次，被點選的機率必然大增，您的業務量及訪客也將大幅的增加。 相信您一定上過搜尋引擎，也就是Yahoo以及Google搜尋引擎，當您在搜尋引擎打上您要搜尋的關鍵字時，搜尋引擎就會在第一頁當中列出大約十個的搜尋結果，以及在上方及右邊剩餘空間內打上付費的網路行銷廣告。 所有的網站空間（虛擬主機商）都會像您推銷Yahoo或是Google搜尋引擎的關鍵字廣告，他們告訴您要讓您的商品接觸到客戶就一定要用他門的關鍵字廣告服務，他們向您推銷所謂的Google Adsense或是Yahoo關鍵字廣告，他們絕口不提什麼SEO，為什麼？ 因為如果你SEO成功了，排名於您想要的關鍵字第一名，您將永遠不用付一毛錢廣告網路行銷費並且享受巨大的利益！ 所有的網站設計公司（網頁設計商）都會像您推銷SEO服務並且收費昂貴，他們告訴您SEO有多好多厲害但是就是不肯告訴您SEO的秘密到底是什麼。為什麼？ 因為他們知道SEO是一種不可告人的秘密，SEO是網路時代致勝的超級武器，掌握了SEO就等於掌握了巨大的利益！ SEO奧妙的地方就是，人人都有一套理論但個個沒有辦法證明誰的理論正確，為什麼？因為你只是你，你只是一個人，你沒有辦法進Google以及Yahoo當上搜尋引擎研發工程師，所以你當然沒有辦法證明誰的理論正確。那既然沒有辦法證明理論？那本文章還有需要討論下去嗎，又討論的結果又能證明什麼呢？ 答案是可以！因為當您愈來愈理解SEO的原理之後，您就會了解到，他們還能玩什麼！逃不SEO達人的手掌心！

SEO - 從零開始，化身為Google工程師

SEO 搜尋引擎SEO的原點 - 知己知彼　百戰百勝 問問你自己：你到哪裡搜尋？Yahoo還是Google搜尋引擎? 再問問你自己：他們怎麼決定搜尋的排名順序？您可能要說了，我又不在那上班，怎麼會知道？說的好，那我再問你：那如果您在Google上班，你是不是就會知道了呢？您可能又要說了，應該有很多種因素吧，誰會知道？ 說到這裡，其實我已經告訴您答案了。搜尋引擎要搜尋的東西就是網頁（或是網站），搜尋網站就像是選美比賽，評審訂出了比賽的規則，美貌佔幾成，知識佔幾成，靈機應變佔幾成，再把每一位佳麗的分數乘上每個變項的比重數，得到一個總分後，再排出名次來。因此我們可以說：網站就是佳麗，我們把網站所有的變項挑出來，每一個變項都做到最好（最佳化），那不管搜尋引擎每一個變項的比重有所不同，結果必定八九不離十。 列出一個網頁的所有變項，再盡可能的最佳化每一個項目，就能達到搜尋引擎最佳化的目的。 在列出所有SEO所要注意的變項之前，我們先告訴您一個觀念。 搜尋引擎(gugo)變項最佳化就是一場諜對諜的戰爭，他有著以下的大原則： 1. 大家都知道，平凡人愈能想到的變項，他佔權重較低，平凡人愈想不到的，權重愈高。 2. 操之在己的權重低，操之在人的權重高。 這麼簡單的原則，看過了就知道不稀奇，但你自己是否想得到呢？這就是為什麼網路上眾多的SEO高手們都不願意透露這個不能說的秘密了，因為唯有真正動動腦的人，才能獲得最後的成功。

SEO - 所有變項探討

拆穿搜尋引擎優化 - 所有變項一一曝光 本章節進入SEO的真正核心，也就是重點來了，我們要列出目前所有想得到的SEO變項，但我們不會將這些變項列出高低的排名，為什麼？ 因為列了也沒辦法證明哪一項對SEO比較重要，但保證只要您一一的加以最佳化，必定能夠大幅提升您網站針對某個關鍵字的排名 SEO變項 1/13 網頁內容出現關鍵字 說明： 對於初學者的SEO這個是再明顯不過的了，但也是很多人唯一能夠想到的一項。要出現在搜尋某個關鍵字的結果當中，基本上必須網頁內容有出現該關鍵字，為什麼？因為您用的是Google與Yahoo耶。網路時代最巨大的兩個巨人，要是您搜尋某個字結果出來的網頁沒有那個字，他們就不配做搜尋引擎的龍頭了也不會有那麼多的網友愛用這些搜尋引擎了。 於Google搜尋"FTP SERVER"的結果之一，看到了嗎？"FTP SERVER" 關鍵字確實出現於網頁之中 在實際執行最佳化的時候要注意，關鍵字出現的次數確實會影響排名的順序，整個網頁出現的關鍵字次數愈多者的排名有高過低者的趨勢，但要注意關鍵字出現以自然語文的頻率為佳。若過度人造關鍵字的插入，有可能被歸類為作弊。 難度：極低　一般人認知度：極高 SEO變項 2/13 網頁標頭(HEAD)內出現關鍵字 說明： 現代人使用的DreamWeaver或是FrontPage這類所見即所得的網頁設計軟體，大大的降低了網頁設計的難度，因此很多人都會自己設計網頁了，確還不知道什麼是HEAD網頁標頭，網頁的原始碼中最前的一段就是HEAD，其中有多個項目內可以出現您想要SEO攻略的關鍵字。我們直接列出原始碼供您抄襲，是您最佳化成功最快速的好工具。 SEO

資料來源