win2003活动目录AD域服务器-01基本概念

域、域树和域林
工作组（ 工作组（Work Group）就是将不同的电脑按功能分别列入不同 ） 的组中，以方便管理。工作组名并没有太多的实际意义， 的组中，以方便管理。工作组名并没有太多的实际意义，只是在 “网上邻居”的列表中实现一个分组而已。 “ 工作组”就像一 网上邻居” 的列表中实现一个分组而已。 工作组” 个自由加入和退出的俱乐部一样， 个自由加入和退出的俱乐部一样，它本身的作用仅仅是提供一个 房间” 以方便网上计算机共享资源的浏览。 “房间”，以方便网上计算机共享资源的浏览。 在主从式网络中，资源集中存放在一台或者几台服务器上， 在主从式网络中，资源集中存放在一台或者几台服务器上，如果 仅仅只有一台服务器，问题就很简单，在服务器上为每一位员工 仅仅只有一台服务器，问题就很简单， 建立一个账户即可， 建立一个账户即可，用户只需登录该服务器就可以使用服务器中 的资源。然而如果资源分布在多台服务器上呢？ 的资源。然而如果资源分布在多台服务器上呢？要在每台服务器 分别为每一员工建立一个账户（ 分别为每一员工建立一个账户（共M×N个），用户需要在每台 × 个 服务器上（ 服务器上（共M台）登录，感觉又回到了对等网的模式。 台 登录，感觉又回到了对等网的模式。
Sales Users Computers
Vancouver Sales Repair
Trees and Forests
TwoTwo-Way Transitive Trust
contoso.msft
Forest Tree
nwtraders.msft asia. contoso.msft au. contoso.msft
Users
Printers
轻型目录访问协议 (LDAP)
LDAP 提供了一种连接活动目录的方 法，通过为活动目录中每一个对象指 定唯一的命名路径 LDAP 命名路径包括:
CN=Suzan Fine Suzan Fine,OU=Sales,DC=contoso,DC=msft 标识名
相对标识名
活动目录逻辑结构
活动目录对象
Active Directory Attributes Printer Name Printer Location Users Don Hall Suzan Fine Printers Printer1 Printer2 Printer3 Attributes First Name Last Name Logon Name Attribute Value
Objects
Printers
Users
活动目录对象代表网络资源 对象的属性存储着描述对象的信息
活动目录架构
Objects Class Examples
活动目录数据库存储架构: 活动目录数据库存储架构 可以动态获得 可以动态更新 可以通过DACLs来保护 Attribute Examples
Attributes of Users Might Contain:
Domains（域） Organizational Units（组织单元） Trees and Forests
（域目录树域目录林）
Global Catalog（全局目录）
Domains（域）
一个域是一个安全边界
一个域的管理员只能在该域内有必要的管理权 限, 除非管理者得到其他域的明确授权。
一个域是一个复制单元
TwoTwo-Way Transitive Trusts
accountExpires department distinguishedName middleName
Computers
List of Attributes
accountExpires department distinguishedName directReports dNSHostName operatingSystem repsFrom repsTo middleName …
Organizational Units
利用 OU可以把对象组织到一个逻辑结构中使其最佳适应你的组织需 求 可以把管理控制权委派给OU内的对象，通过把OU及OU包含的对象 的具体权限指派给一个或几个用户和组
Network Administrative Model Organizational Structure
Windows 2008AD管理 管理
2003 第一章 Windows 2003中的活动目录介绍
学习目标
在完成本章的学习后，您将能够： 了解Windows2003域环境在企业中应用
了解域的逻辑结构，物理结构 了解域中管理的对象
课程安排
1. 域和工作组对比 2. 域管理的对象 3. 域的逻辑结构，物理结构
多域的模式
域、域树和域林
为了解决用户跨域访问资源的问题，可以在域之间引入信任， 为了解决用户跨域访问资源的问题，可以在域之间引入信任，有了 信任关系， 的用户想要访问B域中的资源 信任域A就行 信任关系，域A的用户想要访问 域中的资源，让域 信任域 就行 的用户想要访问 域中的资源，让域B信任域 信任关系分为单向和双向，下图中①是单向的信任关系， 了。信任关系分为单向和双向，下图中①是单向的信任关系，箭头 指向被信任的域，即域A信任域 信任域B， 称为信任域， 指向被信任的域，即域 信任域 ，域A称为信任域，域B被称为被 称为信任域 被称为被 信任域，因此域B的用户可以访问域 中的资源。图中② 的用户可以访问域A中的资源 信任域，因此域 的用户可以访问域 中的资源。图中②是双向的 信任关系， 信任域B的同时域 也信任域A，因此域A的用户可 信任关系，域A信任域 的同时域 也信任域 ，因此域 的用户可 信任域 的同时域B也信任域 以访问域B的资源 反之亦然。 的资源， 以访问域 的资源，反之亦然。
信任关系
域、域树和域林
微软的网络操作系统是考虑在大型企业构建网络和扩展网络的需要 而设计的。在一个企业中可能会有分布在全世界的分公司等， 而设计的。在一个企业中可能会有分布在全世界的分公司等，分公 司下又有各个部门存在， 资源的访问常常可能跨过许多域。 司下又有各个部门存在 ， 资源的访问常常可能跨过许多域 。 在 Windows NT 4.0时，域和域之间的信任关系是不可传递的，如果 时 域和域之间的信任关系是不可传递的， 要实现多个域中的用户可以跨域访问资源， 要实现多个域中的用户可以跨域访问资源，必须创建多个双向信任 关系： × 关系：n×(n-1)/2。 。
域因为域中的计算机使用 域的关系非常密切，因为域中的计算机使用DNS来定位域控制器 域和 域的关系非常密切 来定位域控制器 和服务器以及其它计算机、网络服务等，实际上域的名字就是DNS域的名 和服务器以及其它计算机、网络服务等，实际上域的名字就是 域的名 企业向Internet组织申请了一个 组织申请了一个DNS域名 域名，所以根域就采用 字 。 企业向 组织申请了一个 域名 ， 了该名。然而，企业可能同时拥有和两个域名，如果某个 两个域名， 了该名。然而，企业可能同时拥有 和 两个域名 域用作为域名， 将无法挂在 作为域名， 将无法挂在域树中， 这个时候只 域树中， 域用 作为域名 将无法挂在 域树中 能单独创建另一个域树，新的域树根域为，这两个域树共同构成了 能单独创建另一个域树，新的域树根域为 ， 域森林（ 域森林（Domain Forest）。 ）
域、域树和域林
随着网络的不断发展，有的企业的网络大的惊人， 随着网络的不断发展，有的企业的网络大的惊人，当网络有十万个 用户甚至更多时，域控制器存放的用户数据量很大， 用户甚至更多时，域控制器存放的用户数据量很大，更为关键的是 如果用户频繁登录，域控制器可能因此不堪重负。 如果用户频繁登录，域控制器可能因此不堪重负。在实际的应用中 我们在网络中划分多个域，每个域的规模控制在一定的范围内， ，我们在网络中划分多个域，每个域的规模控制在一定的范围内， 同时也是出于管理上的要求，将大的网络划分成小的网络， 同时也是出于管理上的要求，将大的网络划分成小的网络，每个小 的网络管理员管理自己所属的账户。 的网络管理员管理自己所属的账户。
域森林
什么是活动目录? 什么是活动目录
目录服务功能
集中式管理
组织 管理 控制
单点管理
资源
允许用户只登陆一次就可以访问 整个活动目录的资源
活动目录
活动目录（Active Directory）是一种目录服务，它存储有关网 活动目录（ ） 是一种目录服务， 络对象（如用户、 计算机、共享资源、打印机和联系人等） 络对象（如用户、组、计算机、共享资源、打印机和联系人等） 的信息， 的信息，并将结构化数据存储作为目录信息逻辑和分层组织的基 使管理员比较方便地查找并使用这些网络信息。 础，使管理员比较方便地查找并使用这些网络信息。 活动目录是在Windows 2000 Server就推出的新技术，它最大的 活动目录是在 就推出的新技术， 就推出的新技术 突破性和成功之一也就在于它全新引入了活动目录服务 ， 使 Windows 2000 Server与Internet上的各项服务和协议更加联系 与 上的各项服务和协议更加联系 通过在Windows 2000 Server 的基础上进一步扩展 ， 紧密 。 通过在 Windows Server 2003提高了活动目录的多功能性、可管理性及 提高了活动目录的多功能性、 提高了活动目录的多功能性 可靠性。 可靠性。
多个域的资源互访需要多个信任关系
域、域树和域林
从Windows 2000 Server起，域树（Domain Tree）开始出现，如下 起 域树（ ）开始出现， 图所示。域树中的域以树的形式出现，最上层的域名为，是 图所示 。 域树中的域以树的形式出现 ， 最上层的域名为 ， 这 个 域 树 的 根 域 ， 根 域 下 有 两 个 子 域 ： 和 , 子域下又有自己的子域。在域树中，父域和子域的 子域下又有自己的子域。在域树中， 信任关系是双向可传递的， 信任关系是双向可传递的 ， 因此域树中的一个域隐含地信任域树中所 有的域。下图中共有七个域，所有域相互信任， 有的域 。 下图中共有七个域 ， 所有域相互信任， 也只需要六个信任关 系。