活动目录之域功能级别详解
一概念
从win NT到win2000、win2003、win2008都提供提供活动目录功能，然而不同操作系统运行的域都提供不同功能的服务，在域内由不同类型的操作系统组合而成的域，支持不同的功能、服务，这就称之为域的功能级别。
同理在林中也存在林的功能这个概念
在Windwos2003的Active Directory中提供了比Windows2000 Active Dir ectory更高的功能级别，称为windows2003临时模式和windows2003模式。
只有把所有的与控制器升级到Windows2003模式，整个森林才能被提升到Windwos20 03模式。
森林功能级别的提升需要手动完成。
二：域功能级别
域功能激活只影响整个域和该域的功能。
Windows Server 20008功能级别支持五功能级别，一下分别介绍五功能级别及其功能级别所支持的域控制器
1：Windows 2000 混合模式（默认）其网络配置使用Windows 2000和Wind ows NT 的任意组合系统。
Windows 2000 域控制器和Windows NT 4.0 备份域控制器可以在同一个域中无缝共存而不会出现任何问题。
当然Windwos 2003域控制器也支持此模式。
激活的功能包括本地与全局组并支持全局编录
2：Windows 2000本机模式。
域中所有域控制器都可以运行Windows2000或Windwos2003.激活的功能包括组嵌套、通用组、Sidhistory、安全组与通讯组之间的转换、
3：Windows Server 2003临时模式。
允许Windows 2003域控和Windows NT 4 域控制器的混合使用。
但不能与Windows2000域控制器混合使用。
显见支持的域控为Windows 2003和Windows NT4.此级别内没有域范围的激活功能。
该模式只在将NT4的域控升级到Windows2003域控时使用
4：Windows Server 2003模式。
域中所有域控制器只能是Windows 2003和Windows2008。
支持的功能包括：
Netdom.exe提供的域控制器重命名功能、
更新登录时间戳。
将使用用户或计算机的上次登录时间来更新 lastLogonTimesta mp 属性。
可以在域内复制该属性。
在inetOrgPerson 和用户对象上将userPassword 属性设置为有效密码的功能。
重定向用户和计算机容器的功能。
默认情况下，已提供了两个已知的容器，用于容纳计算机和用户/组帐户：即 cn=Computers,<域根> 和 cn=Users,<域根>。
该功能可用于定义这些帐户新的已知位置。
授权管理器能够将其授权策略存储在 Active Directory 域服务 (AD DS) 中。
包含受限制的委派，以便使应用程序可通过 Kerberos 身份验证协议充分利用用户凭据的安全委派。
可以将委派配置为仅允许特定的目标服务。
支持选择性的身份验证，通过它可以从受信任林指定允许对信任林中资源服务进行身份验证的用户和组。
5：Windows Server 2008模式。
目前位置所有域功能级别中最高级别，支持所有Windows 2003域功能级别，之外还支持一下功能
SYSVOL 的分布式文件系统复制支持，可提供 SYSVOL 内容的更稳健更详细的复制。
Kerberos 协议的高级加密服务（AES 128 和 256）支持。
上次交互式登录信息，将显示用户上次成功交互式登录的时间、来自什么工作站，以及自上次登录失败的登录尝试次数。
严格的密码策略，这可以为域中的用户和全局安全组指定密码和帐户锁定策略。
注：Windows Server 2008支持目前所有5种域的功能级别
三：域功能级别的评估
1：Windows 2000混合级别
对于没有完全淘汰Windows NT域控制器的企业最为合适，但我想现在NT应该以很难寻觅。
2：Windows 2000本机域级别
如果已经部署了从Windows NT到Windows 2000的AD迁移，那么这个功能级别显然最合适，而且这种模式也仅仅适合从NT域环境升级到Windows2000
3：Windows Server 2003 过度级别
为那些直接从Windows NT域控升级到Windows2003 的用户准备。
但是此种模式不支持Windows 2000。
4：Windows Server 2003域级别
如果打算转换林之前将域级别提升到Windows 2003功能级别，此种模式为最好的选择。
要求域中所有域控为windows 2003 或windows2008
5：Windows Server 2008域级别
目前最高级别，要求所有域控都是Windows Server 2008.
四：林的功能级别
主要分为三种
1：Windows 2000
支持所有默认的 Active Directory 功能。
2：Windows Server 2003
所有默认的 Active Directory 功能及以下功能：
林信任。
域重命名。
链接值复制（组成员身份中的更改为各个成员存储并复制值，而不是作为单个单位复制整个成员身份）。
在不同域控制器中同时添加或删除不同成员时，这种更改可在复制期间占用更少的网络带宽并降低处理器使用率，同时消除丢失更新可能性。
部署运行 Windows Server 2008 的只读域控制器 (RODC) 的功能。
改进的知识一致性检查器 (KCC) 的算法和可伸缩性。
站点间拓扑生成器 (ISTG) 使用改进的算法，可缩放以支持具有远远大于在 Windows 2000 林功能级别上所支持站点的数量的林。
改进的 ISTG 选择算法是一种在 Windows 2000 林功能级别选择 ISTG 的入侵性较小的机制。
改进的 ISTG 算法（更好的缩放 ISTG 用于连接林中所有站点的算法）。
在域目录分区中创建动态辅助类（称为 dynamicObject）的实例的功能。
将inetOrgPerson 对象实例转换为 User 对象实例的功能，反之亦然。
创建新组（称为应用程序基本组和轻型目录访问协议 (LDAP) 查询组）类型的实例以支持基于角色的身份验证的功能。
在架构中停用并重新定义属性和类别。
3：Windows 2008
该功能级别提供 Windows Server 2003 林功能级别上可用的所有功能，但不提供任何其他功能。
但在默认情况下，随后添加到林的所有域，将在 Windows Server 2008 域功能级别进行操作。
五：提升域功能级别
大家比较熟悉的是由Windows 2000混合模式升级到Windows 2003模式，具体操作到网上自行搜索
注意，当域功能级别提升后，运行较老的域控制器将不能被加入到域中。
例如，如果将域的功能级别提升到Windows 2003，则原来的Windwos 2000的域控将不能被添加到域中
注：由Windows 2003 域控升级到Windows2008域控，如果没有选择升级后的模式为Windows Server 2008 则不能叫做域功能级别，只是简单的升级域控制器，模式未变，当然也就不会增加新功能。
微软认证-活动目录之域功能级别详解新
微软认证:活动目录之域功能级别详解一：概念从win NT到win2000、win2022、win2022都供应供应活动名目功能，然而不同操作系统运行的域都供应不同功能的服务，在域内由不同类型的操作系统组合而成的域，支持不同的功能、服务，这就称之为域的功能级别。
同理在林中也存在林的功能这个概念在Windwos2022的Active Directory中供应了比Windows2000 Active Directory更高的功能级别，称为windows2022临时模式和windows2022模式。
只有把全部的与掌握器升级到Windows2022模式，整个森林才能被提升到Windwos2022模式。
森林功能级别的提升需要手动完成。
二：域功能级别域功能激活只影响整个域和该域的功能。
Windows Server 20008功能级别支持五功能级别，一下分别介绍五功能级别及其功能级别所支持的域掌握器1：Windows 2000 混合模式（默认）其网络配置使用Windows 2000和Windows NT 的任意组合系统。
Windows 2000 域掌握器和Windows NT 4.0 备份域掌握器可以在同一个域中无缝共存而不会消失任何问题。
当然Windwos 2022域掌握器也支持此模式。
激活的功能包括本地与全局组并支持全局编录2：Windows 2000本机模式。
域中全部域掌握器都可以运行Windows2000或Windwos2022.激活的功能包括组嵌套、通用组、Sidhistory、平安组与通讯组之间的转换、3：Windows Server 2022临时模式。
允许Windows 2022域控和Windows NT 4 域掌握器的混合使用。
但不能与Windows2000域掌握器混合使用。
显见支持的域控为Windows 2022和Windows NT4.此级别内没有域范围的激活功能。
该模式只在将NT4的域控升级到Windows2022域控时使用4：Windows Server 2022模式。
活动目录域培训(1)
40
SRV记录和AD站点的集成
41
配置与AD集成区域
• • • • • • AD 集成区域 应用程序分区 为 DNS 配置应用程序分区选项 劢态更新的工作方式 安全劢态更新的工作方式 后台区域加载的工作方式
42
AD集成区域
AD DS 集成区域 在 AD 数据库中，存储 DNS 区域数据 利用 AD DS 复制来复制 DNS 区域信息
为什么需要域
如果资源分布在多台服务器上，要在每台服务器分 别为每一员工建立一个账户（共M*N），用户则需要 在每台服务器上（共M台）登录
1
域的好处
服务器和用户的计算机都在同一个域中，用户在域 中只要拥有一个账号。 用户只需要在域中拥有一个域账号，只需要在域中 登陆一次就可以访问域中的资源了。
2
目录
活动目录特点
集中管理 便捷的网络资源访问
用户一次登录就可访问整个 网络资源 网络资源主要包含用户账户、 组、共享文件夹、打印机等
可扩展性
8
什么是组织单位
组织单位（Organization Units）是一种容器， 可以包含用户、组、计算机 或 其他 OU OU 可以被用来：
• • • • 重新定义组织的层次和逻辑结构 使用一种方法来管理一系统相似的对象 向管理组中的对象，指派管理权限 应用策略
域控制器
在域中，至少有一台域 控制器 域控制器中保存着整个 域的用户帐号和安全数 据库
6
域和活动目录的概念
域树
具有连续的域名空间的多个域
林
林由一个或多个域树组成
7
域和活动目录的概念 ) 活动目录
活动目录是Windows网络 中的目录服务 活动目录提供了存储网络 对象信息并使网络用户使 用这些数据的方法
域的应用及功能简介
加强安全性-目录数据自身的控制安全性
所有存储在活动目录中的网络资源对象和构成这些对象的属 性值，都受到访问控制列表ACL（Access Control List）的保护， 只有管理员或者拥有管理员授权的用户可以访问。
扩展的互操作性
利用现有的投资并确保灵活性 加强对多重应用程序目录的管理 允许组织机构开发并部署具备目录功能的应用程序
域的概念及相关作用
打个比方，如果说工作组是“免费的旅店”那么域（Domain） 就是“星级的宾馆”；工作组可以随便出出进进，而域则需 要严格控制。 域是Windows 2000目录服务的基本管理单位，但增加了许多 新的功能。域模式的最大优点是它的单一网络登录功能，任 何用户只要在域内有一个账户，就可以漫游网络。域目录树 中的每一个节点都有自己的安全边界，这种层次结构既保证 了安全性，又可精确设置。 域的真正含义指的是服务器控制网络上的计算机能否加入的 计算机组合。 在“域”模式下，至少有一台服务器负责每一台联入网络的 电脑和用户的验证工作，相当于一个单位的门卫一样，称为 “域控制器（Domain Controller，简写为DC）”
域的概念及相关作用
域控制器的作用相当一个门卫，它包含了由这个域的账户密 码、管理策略等信息构成的数据库。当一台计算机登录域时， 域控制器首先要鉴别这台电脑是否是属于这个域的，用户使 用的登录账号和密码是否正确。如果正确则允许计算机登入 这个域，使用该域内其有权限访问的任何资源，像文件服务 器，打印服务器（也就是说域控制器仅起到一个验证作用， 访问其他资源并不需要再跟域控制器扯上关系）；如果不正 确则不允许计算机登入，这时计算机将无法访问域内任何资 源，这在一定程度上保护了企业网络资源。
《域与活动目录》课件
学习如何优化和调整域和活动目录，提升系统的性能和稳定性。
3 故障排查和解决
掌握域和活动目录故障排查和解决的方法，确保系统的正常运行。
六、总结
重要性
发展趋势
总结域与活动目录的重要性， 以及它们在系统管理中的关 键作用。
展望域与活动目录的发展趋 势，了解未来技术的变革和 影响。
未来展望
展望域与活动目录的未来， 探索新的发展方向和挑战。
安装和配置
学习如何安装和配置域 控制器，确保系统能够 顺利运行。
维护和管理
掌握域控制器的维护和 管理技巧，确保域的稳 定运行。
三、活动目录
概念和作用
了解活动目录的概念和作 用，以及它对域的重要性。
架构和组件
深入了解活动目录的架构 和各个组件的功能，帮助 您更好地管理活动目录。
命名和管理
学习如何命名和管理活动 目录，确保数据的有效组 织和访问。
四、域和活动目录的关系
1
关联
了解域和活动目录之间的关联，以及它们在系统中的协作关系。
2
同步
学习如何同步域和活动目录的数据，确保信息的一致性和准系统免受潜在威胁。
五、域和活动目录的应用
1 应用场景
探索域和活动目录的各种应用场景，了解它们在不同领域的价值和实际用途。
《域与活动目录》PPT课 件
欢迎来到《域与活动目录》课程的PPT课件。在本次课程中，我们将深入探讨 域和活动目录的概念、结构、应用等内容，帮助您更好地理解和掌握这一重 要的主题。
一、域的概念
在本节中，我们将介绍域的定义和作用，域的层次结构以及域名称系统。
二、域控制器
作用和分类
了解域控制器的作用和 不同分类，为后续的安 装和配置提供基础。
活动目录的功能级别
关于活动目录的功能级别编号：Windows003 作者：遗忘冰河 出版日期：2007-08-09E-Mail：xwg9999@为什么要讲功能级别，因为Windows 的活动目录的功能级别不同，Windows 网络就有有不同的兼容性和不同的功能。
如果企业当中又有NT4,有windows 2000,还有windows 2003情况下,，大家知道，如果设置不当，就会引起这几种系统之间的通信，特别是早期的NT4.0，当为了发挥系统的最大功能，设置不同的功能级别，这样可能做的选择就会与其中的部分服务器产生兼容性的问题，也可能解决部分服务器产生兼容性的问题。
一般情况下有两种功能级别：域的功能级别和森林的功能级别。
再早期使用 Windows 2000 域中，有两种域模式可供选择：1、混合模式（缺省设置）：其网络中使用Windows 2000和Windows NT 的任意组合系统。
Windows 2000 域控制器和Windows NT 4.0 备份域控制器可以在同一个域中共存而不会出现任何问题。
2、本机模式：域中的域控制器只能运行Windows 2000系统。
在这种模式下，可享受到一些更高级的功能。
但是windows 2003的出现，网络变的越来越复杂，域模式的种类将会变得更多，WindowsServer2003有四种模式可以选择，多出模式来的主要是体现Windows Server 2003功能的优势。
冰河工作室p://w w w .m c s e .o r g .c n1、Windows2000混合模式:Windows mixed 也是默认模式；这种模式下，Windows Server 2003域可以兼容NT4域控制器, Windows Server 2000域控制器, Windows Server 2003域控制器，也就是说在windows 2003的域中可以安装NT4域控制器和Windows Server 2000域控制器。
网络服务器配置与管理活动目录与域
成员服务器可以提供各种服务，如文件和打印服务、邮件服务器等。
独立服务器
定义
独立服务器是Windows网络中的一种服务器，它不属于任何域，拥有自己的安全 边界和系统管理员。
特点
独立服务器可以提供各种服务，如文件和打印服务、邮件服务器等。
组策略
定义
组策略是Windows网络中的一种配置策略，它允许管理员对 网络中的用户和计算机进行统一的配置和管理。
定期清理用户和用户组
定期检查和清理不再需要的用户和用户组，以减少潜在的安全风险和管理开销。
使用目录服务恢复模式以保障数据安全性
了解目录服务恢复模式
目录服务恢复模式是活动目录中的一种特殊模式，可以在数 据损坏或服务器故障时恢复目录服务的数据。
数据备份与恢复策略
制定合理的备份与恢复策略，以保障数据的安全性。定期备 份数据并测试备份文件的可用性，确保在发Байду номын сангаас故障时可以迅 速恢复数据。
用户与用户组的创建与管理
用户创建
创建新用户，分配用户名和密码，并进行必要的配置。
用户组创建
创建新用户组，将相关用户添加到组中，并进行必要的配置。
用户管理
管理用户账户，包括修改密码、禁用和启用账户、重设密码等。
权限管理与安全设置
权限管理
分配和管理用户和组的权限，以实现网络资源的授权管理和访问控制。
VS
活动目录和域的未来趋势
随着云计算和虚拟化技术的不断发展，活 动目录和域可能会进一步集成到更广泛的 云服务中，提供更加统一和高效的资源管 理和安全控制。同时，也可能会有更多的 厂商和产品支持基于活动目录和域的身份 验证和授权机制。
02
活动目录与域的核心概念
windowsserver活动目录知识点汇总
第一章部署WINDOWS 域什么是域？将网络中的计算机逻辑上组织在一起，将其视为一个整体，进行集中管理，叫做域什么是活动目录？活动目录是一种目录是一种服务什么是域控制器？是安装了活动目录服务的一台计算机什么是单域？网络中只建立了一个域，我们将其称之为单域什么是域树？域树是具有连续的名称空间的多个域什么是域林？域林是由一个或者多个没有形成连续名称孔明关键的域树组成安装域控制器的准备条件？（5 个条件）1、安装者必须具有本地管理员权限2、操作系统版本必须满足条件Windows NT ServerWindows 2000 ServerWindows Server 2003（除WEB 版）Windows Server 2008（除WEB 版）不能是客户端的操作系统3、本地磁盘至少有一个分区是NTFS 文件系统4、配置静态的ip 地址和子网掩码5、有足够的可用磁盘空间安装域控制器的命令？dcprmo 域功能级别有哪几个？（3 个）Windows 2000 ServerWindows Server 2003Windows Server 2008客户机加入域的条件？（2 个条件）确保该计算机和域控制器互相联通配置正确的DNS 地址组的类型有哪两个？有何区别？安全组和通讯组安全组：管理员通过赋予安全组访问资源的权限，而使得安全组所包含的用户也具有相应的权限，使用安全组而不是单独的用户可监护网络维护和管理工作通讯组：没有安全方面的功能，只能用作电子邮件的通信组的作用域有哪三个？有什么区别？什么是OU?本地域、全局、和通用本地域组成员来自于全局用用范围为本域或者是当前域全局组成员来自本地，作用范围为全局或任意域通用组成员来自于任意域，作用范围为任意域OU 是Active Directory 中的容器，可用在其中防止用户、组、计算机和其他OU 第二章域控管理安装额外域控制器的准备条件？（4 个条件）1、操作系统版本必须受当前域功能级别支持2、安装者必须具有域管理员权限3、计算机IP 地址和DNS 服务器地址配置正确（DNS 服务器地址通常为第一台域控制器的IP 地址）4、确保计算机和地一台域控制器的联通额外域控制器的好处？（3 个条件1、提供容错功能2、提供负载均衡3、更易于用户的连接和访问各个域功能级别支持的域控制器有哪些？Windows 2000 纯模式windows 2000 server 、windows server 2003 、windows server 2008 windows server 2003 windows server 2003 、windows server 2008 windows server 2008 windows server 20081 卸载域控制器的注意事项有哪几点？（4 点）1、如果该域内还有其他域控制器，则该域控制器会被降级为成员服务器2、如果该域控制器是域内最后一个域控制器，则该域控制器会被降级为独立服务器3、如果该域控制器担任了“全局编录”角色。
活动目录详解（基础篇）
活动目录详解（基础篇）活动目录详解(基础篇)我们知道WIN2K系统最大的突破性和成功之一就在于它全新引入的“活动目录（Active Directory）服务”，使得WIN2K系统与Internet上的各项服务和协议更加联系紧密，因为它对目录的命名方式成功地与”域名“的命名方式一致，然后通过DNS 进行解析，使得与在Internet上通过WINS解析取得一致的效果。
活动目录也说明了Microsoft在网络结构方面的策略转移，虽然在以前NT时代也有部分产品（如EXCHANGE SERVER、IIS等）提供过类似于活动目录的服务，然而活动目录作为一个全新的综合服务方式是在WIN2K的诞生后随之而来的。
活动目录的身影似乎在整个WIN2K系统中无处不在。
然而要真正了解“活动目录”的方方面面又谈何容易，下面就想通过一些通俗的讲解花几个篇章对活动目录的各主要方面作一详尽的分析，希望对那些对WIN2K的活动目录还存有畏惧心理的新手一个全面认识的机会。
一、活动目录的由来谈到活动目录最使人容易想起的就是DOS下的“目录”、“路径”和Windows9X/ME 下“文件夹”，那个时候的“目录”或“文件夹”仅代表一个文件存在磁盘上的位置和层次关系，一个文件生成之后相对来说这个文件的所在目录也就固定了（当然可以删除、转移等，现在不考虑这些），也就是说它的属性也就相对固定了，是静态的。
这个目录所能代表的仅是这个目录下所有文件的存放位置和所有文件总的大小，并不能得出其它有关信息，这样就影响到了整体使用目录的效率，也就是影响了系统的整体效率，使系统的整个管理变得复杂。
因为没有相互关联，所以在不同应用程序中同一对象要进行多次配置，管理起来相当繁锁，影响了系统资源的使用效率。
为了改变这种效率低下的关系和加强与Internet上有关协议的关联，Microsoft公司决定在WIN2K中全面改革，也就是引入活动目录的概念。
理解活动目录的关键就在于“活动”两个字，千万不要将“活动”两个字去掉而仅仅从“目录”两个字去理解，那你我理来理去一定还是不能脱离原来在DOS下目录或Windows9x下的文件夹，正因为这个目录是活动的，所以它是动态的，它是一种包含服务功能的目录，它可以做到“由此及彼”的联想、映射，如找到了一个用户名，就可联想到它的账号、出生信息、E-mail、电话等所有基本信息，虽然组成这些信息的文件可能不在一块。
域的详细功能介绍
域的详细功能介绍一、域应用基础1.什么是域简单地讲，域就是引导Word在文档中自动插入文字、图形、页码或其他信息的一组代码。
每个域都有一个唯一的名字，它具有的功能与Excel中的函数非常相似。
下面以Seq和Date 域为例，说明有关域的一些基本概念。
形如“{Seq Identifier [Bookm ark ] [Switches ]}”的关系式，在Word中称为“域代码”。
它是由：域特征字符：即包含域代码的大括号“{}”，不过它不能使用键盘直接输入，而是按下Ctrl+F9组合键输入的域特征字符。
域名称：上式中的“Seq”即被称为“Seq域”，Word 2003提供了9大类共74种域。
域指令和开关：设定域工作的指令或开关。
例如上式中的“Identifier”和“Bookmark”，前者是为要编号的一系列项目指定的名称，后者可以加入书签来引用文档中其他位置的项目。
“Switches”称为可选的开关，域通常有一个或多个可选的开关，开关与开关之间使用空格进行分隔。
域结果：即是域的显示结果，类似于Excel函数运算以后得到的值。
例如在文档中输入域代码“{Date \@ "yyyy年m月d日" \* MergeFFormat}”的域结果是当前系统日期。
域可以在无须人工干预的条件下自动完成任务，例如编排文档页码并统计总页数；按不同格式插入日期和时间并更新；通过链接与引用在活动文档中插入其他文档；自动编制目录、关键词索引、图表目录；实现邮件的自动合并与打印；创建标准格式分数、为汉字加注拼音等等。
2.在文档中插入域(1)使用命令插入域在Word中，高级的复杂域功能很难用手工控制，如“自动编号”和“邮件合并”、“题注”、“交叉引用”、“索引和目录”等。
为了方便用户，9大类共74种域大都以命令的方式提供。
在“插入”菜单中提供有“域”命令，它适合一般用户使用，Word提供的域都可以使用这种方法插入。
活动目录的组
1、全局组Global
① 是可以通行所有域的组。组内的成员可以到其他 的域登陆，被其他域的管理员设置访问权限，并 加入其他域的本地组中。 ② 全局组只有在域控制器中才存在，它只能包含所 属域内的用户、组和计算机，不可以包含其他域 内的用户或组。 ③ 全局组可被添加到其他组并在任何域中指派权限。 ④ 只要全局组不是具有全局作用域的组的成员，就 可以转为通用作用域。
二、组功能
安全组有四种类型： 全局组 通用组 本地域组 本地组
域控制器,成员服务器和独立服务器 :
域控制器是使用ACTIVE DIRECTORY安装向导 的配置的WINDOWS SERVER 2003的计算机。 域控制器存储着目录数据，管理域用户的交互， 包括用户登录、身份验证、目录管理等。 成员服务器是运行WINDOWS SERVER 2003是 域的成员但不是域控制器的计算机 独立服务器只是运行WINDOWS SERVER 2003 的计算机，它不是域的成员。以工作组成员安装 的服务器是独立服务器，它没有活动目录的任何 特点。
⑤用具有全局作用域的组管理那些需要每天 维护的目录对象，如用户和计算机帐户。 因为有全局作用域的组不在自身的域之外 复制，所以用具有全局作用域的组中的账 户可以频繁更改，而不需要对GC进行复制 以免增加额外通讯量。 ⑥当域功能级别被设置为2000混合模式时， 全局组的成员可包括来自相同域的帐户。 ⑦域功能级别被设置为2000本机或2003模式 下，全局组的成员可包括来自相同域的帐 户或“全局组”。