活动目录里几个重要的概念
活动目录里几个重要的概念
目录服务可以集中实现组织、管理、控制各种用户、组、计算机、共享文件夹、打印机各种资源等。
使用LDAP（端口389）轻量级目录访问协议工作，在域环境下所有用户及计算机等帐户信息均保存在一个数据库中，这个数据库位置%systemroot%\ntds\ntds.dit。
AD（活动目录）的逻辑结构包含如下组件：域/子域/树/森林/OU等。
主要侧重于对网络资源的组织。
AD的物理结构包含如下组件：DC（域控制器）/site（站点）/OM（操作主机）。
主要侧重于对网络资源的配置和优化。
下面介绍有关几个重要的概念：
1.DN：(可辨别名称）--用来表示一个对象在AD中具体存储位置，类似于文件的绝对路径。
如：cn=user1,ou=sails, dc=blog,dc=com 该用户存在域的sails OU 下，用户名为user1.
cn=users (默认的容器users也以cn表示)
dsadd user cn=test,ou=sails,dc=blog,dc=com 利用DN来创建用户的例子。
2.UPN（用户主名）用户名@域名，即用户登录时可以采用，如jack@，也可以更改此后缀。
修改：domain.msc后，在根右击--属性--更改UPN后缀，然后在用户属性-帐号中选择其后缀。
用户登录可以使用此UPN.但必须在用户属性里进行相应的更改（即启用此Upn后缀）
3.SID (安全标识符）用户/组都有唯一
whoami /user 当前用户的SID
whoami /all 当前用户的详细信息（包含所属组的SID）
getsid \\dc1 test \\dc1 test (安装suptools)
psgetsid \\dc1 test 下载工具包。
4.AD数据库的目录分区：（AD数据库虽然是一个文件，但却是以目录分区的形式组成的）
schema 架构分区 ---森林的对象类和属性，在森林级别复制。
configuration 配置分区--所有DC的位置、site，在森林级别复制。
domain 域分区--每个域的各种对象等信息，在域级别复制。
application 应用程序分区—DNS，可以自定义。
通过adsiedit.msc来查看前三个目录（事先装支持工具）
5.site:在物理位置上区分，一组高速可靠的一个子网或多个子网。
（管理AD 复制）
优点：
a. 优化登录
b. 优化复制
6.域：安全的边界，复制的单元。
7.操作主机：（OM）--FSMO
森林范围内唯一的有两种：
架构主机：负责森林内架构的统一 regsvr32 schmmgmt.dll
域命名主机：负责森林范围内域的添加和删除。
域范围内唯一的有三种：
RID主机：建用户时用于分发ID号。
PDC主机：时间同步，密码最小化周期、密码锁定、组策略维护等。
基础结构主机：负责跨域对象的引用和更新。
森林范围内唯一两种OM默认由林根域的第一台DC承担。
域范围内唯一的三种OM默认由域内的第一台DC承担。
ch04-活动目录的逻辑结构和物理结构
2019/12/13
第四章 活动目录的逻辑结构和物理结构
5
网络构建与管理
4.1.1 活动目录的基本概念
目录服务的由来 目录服务是基于X.500的规范的。用于存储、 分发和访问用户信息。 采用分布式信息存储。将物理位置分散的网络 资源集中起来进行管理。
2019/12/13
第四章 活动目录的逻辑结构和物理结构
15
网络建与管理
4.1.1 活动目录的基本概念
属性 属性用来描述对象。每一个属性都拥有它自己的
定义，定义则描述了特定于该属性的信息类型。架 构中的每一个属性都可以在“AttributeSchema”分类中指定，该分类决定了每一个属 性定义所必须包含的信息。
注意：每一个属性仅仅定义一次，但是可以在多 个分类中使用。
6
网络构建与管理
4.1.1 活动目录的基本概念
目录服务的特点 目录数据库是以树状的层次结构来描述数据信 息的。 由于与关系数据库相比，目录数据库更擅长查 询，且目录数据库中的数据读取和查询效率非 常高，比关系型数据库还要快得多，因此目录 数据库非常适合于管理网络中的资源。
2019/12/13
2019/12/13
第四章 活动目录的逻辑结构和物理结构
8
网络构建与管理
4.1.1 活动目录的基本概念
“活动”说明这个目录是动态的、可以扩展的， 具体体现如下：
活动目录中对象的数目是没有限制的。 活动目录中对象的属性是可以增加的。 可以方便地添加或删除域。
2019/12/13
第四章 活动目录的逻辑结构和物理结构
2019/12/13
第四章 活动目录的逻辑结构和物理结构
11
网络构建与管理
活动目录详解
活动目录详解(基础篇)Windows 2000活动目录详解我们知道WIN2K系统最大的突破性和成功之一就在于它全新引入的“活动目录（Active Directory）服务”，使得WIN2K系统与Internet上的各项服务和协议更加联系紧密，因为它对目录的命名方式成功地与”域名“的命名方式一致，然后通过DNS进行解析，使得与在Internet上通过WINS解析取得一致的效果。
活动目录也说明了Microsoft在网络结构方面的策略转移，虽然在以前NT时代也有部分产品（如EXCHANGE SERVER、IIS等）提供过类似于活动目录的服务，然而活动目录作为一个全新的综合服务方式是在WIN2K的诞生后随之而来的。
活动目录的身影似乎在整个WIN2K系统中无处不在。
然而要真正了解“活动目录”的方方面面又谈何容易，下面就想通过一些通俗的讲解花几个篇章对活动目录的各主要方面作一详尽的分析，希望对那些对WIN2K的活动目录还存有畏惧心理的新手一个全面认识的机会。
一、活动目录的由来谈到活动目录最使人容易想起的就是DOS下的“目录”、“路径”和Windows9X/ME下“文件夹”，那个时候的“目录”或“文件夹”仅代表一个文件存在磁盘上的位置和层次关系，一个文件生成之后相对来说这个文件的所在目录也就固定了（当然可以删除、转移等，现在不考虑这些），也就是说它的属性也就相对固定了，是静态的。
这个目录所能代表的仅是这个目录下所有文件的存放位置和所有文件总的大小，并不能得出其它有关信息，这样就影响到了整体使用目录的效率，也就是影响了系统的整体效率，使系统的整个管理变得复杂。
因为没有相互关联，所以在不同应用程序中同一对象要进行多次配置，管理起来相当繁锁，影响了系统资源的使用效率。
为了改变这种效率低下的关系和加强与Internet上有关协议的关联，Microsoft公司决定在WIN2K中全面改革，也就是引入活动目录的概念。
理解活动目录的关键就在于“活动”两个字，千万不要将“活动”两个字去掉而仅仅从“目录”两个字去理解，那你我理来理去一定还是不能脱离原来在DOS下目录或Windows9x下的文件夹，正因为这个目录是活动的，所以它是动态的，它是一种包含服务功能的目录，它可以做到“由此及彼”的联想、映射，如找到了一个用户名，就可联想到它的账号、出生信息、E-mail、电话等所有基本信息，虽然组成这些信息的文件可能不在一块。
windows下的活动目录
高等职业技术学院 09级计算机网络技术班姓名：杨定华学号： 20091916152(一)、什么是活动目录活动目录(Active Directory)是用于Windows 2003的目录服务。
它存储着网络上各种对象的有关信息，并使该信息易于管理员和用户查找及使用。
活动目录服务使用结构化的数据存储作为目录信息的逻辑层次结构的基础。
活动目录具有信息安全性、基于策略的管理、可扩展性、可伸缩性、信息的复制、与DNS 集成、与其他目录服务的互操作性、灵活查询等优点。
活动目录包括两个方面：目录和与目录相关的服务。
目录是存储各种对象的一个物理上的容器，从静态的角度来理解这活动目录与我们以前所结识的“目录”和“文件夹”没有本质区别，仅仅是一个对象，是一实体；而目录服务是使目录中所有信息和资源发挥作用的服务，活动目录是一个分布式的目录服务，信息可以分散在多台不同的计算机上，保证用户能够快速访问，因为多台机上有相同的信息，所以在信息容氏方面具有很强的控制能力，正因如此，不管用户从何处访问或信息处在何处，都对用户提供统一的视图。
以下是活动目录的有关名词或术语：1、名字空间：从本质上讲，活动目录就是一个名字空间，我们可以把名字空间理解为任何给定名字的解析边界，这个边界就是指这个名字所能提供或关联、映射的所有信息范围。
通俗地说就是我们在服务器上通过查找一个对象可以查到的所有关联信息总和，如一个用户，如果我们在服务器已给这个用户定义了讲如：用户名、用户密码、工作单位、联系电话、家庭住址等，那上面所说的总和广义上理解就是“用户”这个名字的名字空间，因为我们只输入一个用户名即可找到上面我所列的一切信息。
名字解析是把一个名字翻译成该名字所代表的对象或者信息的处理过程。
2、对象：对象是活动目录中的信息实体，也即我们通常所见的“属性”，但它是一组属性的集合，往往代表了有形的实体，比如用户账户、文件名等。
对象通过属性描述它的基本特征，比如，一个用户账号的属性中可能包括用户姓名、电话号码、电子邮件地址和家庭住址等。
活动目录基础技术篇1
35
10、轻型目录访问协议（LDAP）
•
LDAP(Lightweight Directory Access Protocol),是一种用来查询 与 更 新 AD 的 目 录 服 务 通 信 协 议 。 Windows Server 域 是 利 用 “LDAP命名路径”来表示对象在AD内的位置。
•
所有对活动目录的访问都通过LDAP来进行。LDAP采用对象的区 别名来为目录对象提供唯一的名字。
• 当用户登录域内的某台计算机时，由域控制器根据其AD内的账户数据来审核 用户的账户与密码是否正确。
• 多台域控制器可以提供容错的功能，当一个DC出现故障时，可有由其他的DC 来提供服务。另外，也可以提高用户登录的效率，因为多台域控制器可以分担 审核用户登录身份的工作
34
9、AD复制
• Active Directory数据库的复制分为两种模式： 多主机复制模式（multi-master replication model） AD中的大部分数据都是利 用这种模式进行复制的。这个模式中，可以直接更新任何一台域控制器内的 AD对象，更新后的对象会被自动复制到其他DC。例如：账户 单主机操作模式（single master operations model）AD中的少部分数据采用 此模式。这个模式中，当提出变更对象数据的要求时，由其中一台域控制器“ 操 作 主 机 ” 被 更 新 ， 再 由 这 台 “ 操 作 主 机 ” 将 它 复 制 到 其 它 DC 中 。 例如：当新增或删除一个域时，这个变动数据会被保存到扮演“域命名主机（ domain naming master）” 角色的域控制器内，再由这台DC将它复制到其 他DC内。
Tree
china. japan.
活动目录详解（基础篇）
活动目录详解（基础篇）活动目录详解(基础篇)我们知道WIN2K系统最大的突破性和成功之一就在于它全新引入的“活动目录（Active Directory）服务”，使得WIN2K系统与Internet上的各项服务和协议更加联系紧密，因为它对目录的命名方式成功地与”域名“的命名方式一致，然后通过DNS 进行解析，使得与在Internet上通过WINS解析取得一致的效果。
活动目录也说明了Microsoft在网络结构方面的策略转移，虽然在以前NT时代也有部分产品（如EXCHANGE SERVER、IIS等）提供过类似于活动目录的服务，然而活动目录作为一个全新的综合服务方式是在WIN2K的诞生后随之而来的。
活动目录的身影似乎在整个WIN2K系统中无处不在。
然而要真正了解“活动目录”的方方面面又谈何容易，下面就想通过一些通俗的讲解花几个篇章对活动目录的各主要方面作一详尽的分析，希望对那些对WIN2K的活动目录还存有畏惧心理的新手一个全面认识的机会。
一、活动目录的由来谈到活动目录最使人容易想起的就是DOS下的“目录”、“路径”和Windows9X/ME 下“文件夹”，那个时候的“目录”或“文件夹”仅代表一个文件存在磁盘上的位置和层次关系，一个文件生成之后相对来说这个文件的所在目录也就固定了（当然可以删除、转移等，现在不考虑这些），也就是说它的属性也就相对固定了，是静态的。
这个目录所能代表的仅是这个目录下所有文件的存放位置和所有文件总的大小，并不能得出其它有关信息，这样就影响到了整体使用目录的效率，也就是影响了系统的整体效率，使系统的整个管理变得复杂。
因为没有相互关联，所以在不同应用程序中同一对象要进行多次配置，管理起来相当繁锁，影响了系统资源的使用效率。
为了改变这种效率低下的关系和加强与Internet上有关协议的关联，Microsoft公司决定在WIN2K中全面改革，也就是引入活动目录的概念。
理解活动目录的关键就在于“活动”两个字，千万不要将“活动”两个字去掉而仅仅从“目录”两个字去理解，那你我理来理去一定还是不能脱离原来在DOS下目录或Windows9x下的文件夹，正因为这个目录是活动的，所以它是动态的，它是一种包含服务功能的目录，它可以做到“由此及彼”的联想、映射，如找到了一个用户名，就可联想到它的账号、出生信息、E-mail、电话等所有基本信息，虽然组成这些信息的文件可能不在一块。
活动目录在构建核心过程中的八个关键点
活动目录在构建核心过程中的八个关键点1. 活动目录的由来与活动目录概念最相关的就是DOS下的“目录”、“路径”和Windows9X/ME系列操作系统下的“文件夹”，那个时候的“目录”或“文件夹”仅代表一个文件存在磁盘上的位置和层次关系，一个文件生成之后相对来说这个文件的所在目录也就固定了(当然可以删除、转移等，现在不考虑这些)，也就是说它的属性也就相对固定了，是静态的。
这个目录所能代表的仅是这个目录下所有文件的存放位置和所有文件总的大小，并不能得出其它有关信息，这样就影响到了整体使用目录的效率，也就是影响了系统的整体效率，使系统的整个管理变得复杂。
因为没有相互关联，所以在不同应用程序中同一对象要进行多次配置，管理起来相当繁锁，影响了系统资源的使用效率。
为了改变这种效率低下的关系和加强与Internet上有关协议的关联，Microsoft公司决定从WIN2K开始全面改革（Windows 2003、Windows 2008中也使用了该机制），也就是引入活动目录的概念。
理解活动目录的关键就在于“活动”两个字，正因为这个目录是活动的，所以它是动态的，它是一种包含服务功能的目录，它可以做到“由此及彼”的联想、映射，如找到了一个用户名，就可联想到它的账号、出生信息、E-mail、电话等所有基本信息，虽然组成这些信息的文件可能不在一块。
同时不同应用程序之间还可以对这些信息进行共享，减少了系统开发资源的浪费，提高了系统资源的利用效率。
2. 活动目录的主要概念活动目录包括两个方面：目录和与目录相关的服务。
目录是存储各种对象的一个物理上的容器，从静态的角度来理解这活动目录与以前熟知的“目录”和“文件夹”没有本质区别，仅仅是一个对象，是一实体;而目录服务是使目录中所有信息和资源发挥作用的服务，活动目录是一个分布式的目录服务，信息可以分散在多台不同的计算机上，保证用户能够快速访问，因为多台机上有相同的信息，所以在信息容氏方面具有很强的控制能力，正因如此，不管用户从何处访问或信息处在何处，都对用户提供统一的视图。
第01章_活动目录介绍
工作组
搭建 OS 地位 规模 身份 验证 安全 默认 随意 平等 不宜太大，建议不超过10台
域
Windows Server+AD=DC Windows Serve操作系统做DC DC DC管理成员 不限
NTLM，单向验证，即计算机验证 Kerberos，双向验证，域中访问 用户身份，用户无法验证计算机 共享资源无需输入用户名密码 一台一台操作 通过组策略部署
Domain Domain Domain Domain Domain Domain
Global Catalog
Queries Group membership when user logs on
Global Catalog Server
全局编录的功能
查找目录林中任意位置的信息,不管数据在什么 位置 当用户登录到网络时,确定用户的通用组的成员 资格 当用户使用登录主名登录到网络时,将使用全局 目录服务器确定用户所在的域
Printers
Attributes First Name Last Name Users Logon Name 活动目录的对象代表网络资源 属性存储描述对象的信息 活动目录的对象是组成活动目录基本元素
活动目录架构
活动目录架构： 活动目录架构 对象类 举例 定义了数据类型、 定义了数据类型、语 法规则、命名约定。
域控制器 站点
域控制器
Domain Controllers: 参与活动目录的复制 多主控操作与单主控操作
Replication
Domain Controller Domain Controller
Domain = A Writeable Copy of the Active Directory Database
1WindowsServer活动目录简介精品PPT课件
• 活动目录发展史
Page 4/38
活动目录架构
• 活动目录架构：用来定义数据类型、语法规则、命名约定 和其他更多的内容；它是活动目录的基本结构，是组成活 动目录的规则
• 活动目录架构中主要定义了两方面内容
• LDAP是一种访问活动目录服务的通信协议，管理员或用户 通过它查询与更新AD中的数据
• Windows Server 2003域利用“LDAP命名路径”来表示对象在 AD内的位置，利用它来访问在AD内的对象
• LDAP命名路径包含以下内容：
– 可分辨名称：即AD中的完整路径，DC表示DNS域名中的组件，即 活动目录域的DNS名称，OU为组织单位，其他的都是CN，如 CN=user1,OU=Office1,DC=Shanghai,DC=com
• 活动目录是由至少一个域所构成的集合，即域是活动目录的 分区单位
• 构建一个域环境首先需要在一台服务器上安装活动目录，而 安装了活动目录的服务器就成为域控制器（DC）
• 在Windows Server 2003活动目录中的域用三Cor角e.ed形u 表示
Page 9/38
域树的概念
• 域树：是由一组具有连续命名空间的域组成，命名空间的 命名遵循DNS域名空间结构标准
• 我们知道，域是安全的最小边界，而域树是由多个域组成 的，因此多个域之间相互访问时就需要一种信任关系
• 信任的特点
– 方向性 – 可传递性 – 自动性
域树
Page 10/38
林
• 林是一棵或多棵域树组成，每棵域树独享连续的命名空间， 即不同域树之间没有命名空间的连续性，但它们逻辑上处于 同一个林中
第04章 - 活动目录
第 4 章 活动目录第4章活动目录活动目录（Active Directory）是 Windows 2000 系统引入的新内容。
它是 Windows 2000 以及后续 Windows 系统进行分布式联网的基础，同时也简化了包括组策略和远程安装在内 的集中与分散管理技术的使用。
活动目录在实施一个组织的网络， 规划网络的安全中占有非 常重要的地位。
4.1活动目录基础随着通过网络进行远程办公的人员数目越来越多， 计算一直趋向于朝着更大的网络和更 为分布式的方向发展。
所以，现代的操作系统必须能够提供对分布式资源、实体和关系进行 管理的机制。
对于在地理位置上相互分离的网络，无论是外网（如 Internet） 、企业内部网 （Intranet）的用户还是在家办公的用户，这些系统都应该能够予以支持，并解决随之而来 的安全性问题。
Windows 2000 通过实现一种目录服务解决方案，来达到了这一级别的功能。
这种目录 服务解决方案就是活动目录。
换句话说，活动目录是 Windows 2000 用来满足分布式发展趋 势， 达到特定级别功能所实现的目录服务。
活动目录提供了一个空间来存储关于用户、 文件、 应用程序、打印机等网络实体的信息，这样用户就能够找到他们所需要的信息。
同时，活动 目录还为管理和保护这些信息提供了一致的方法， 这样就能确保只有适当的用户才可以访问 某一网络资源。
活动目录以中心授权机构的形式工作，管理实体，沟通这些分布式实体之间 的关系，以使它们能够很好地协同工作。
对于目录服务而言，要提供网络操作系统的这些基本功能并保证网络的完整性和保密 性，就必须紧密结合到操作系统的管理与安全机制中去。
活动目录建立在 Internet 标准技术 之上，是和 Windows 系统完全集成的，这样就为减少计算机所用目录的数量，并为网络资 源的隔离、移植和集中管理提供了一种基础结构。
4.1.1活动目录的作用目录服务是为了满足网络分布式计算和远程办公的爆炸式需求应运而生的。
微软AD活动目录介绍文档
Global Group 嵌套到 Domain Local Group
Move Infrastructure Master
决定操作主机的位置
确认当前操作主机的位置
用“Active Directory 用户和计算机” 查找 RID master PDC emulator Infrastructure master 用“Active Directory 域和信任” 查找 Domain naming master 用 “Active Directory Schema”查找 Schema master
一个域是一个复制单元
域控制器包含域中信息的完整集合，并且参 与域信息的复制
复制
Windows 2000 Domain
域的性能
能力
复制单元 大小 命名
NT 4.0 对象 Windows 2003 属性
40,000 对象
NetBIOS 建立新域
1,000,000+ 对象
DNS 在域内建立管理委派 到OU
Server2
打印机 打印机
名称:Printer1 名称:Printer1 Type:HP4Si Type:HP4Si Color:No Color:No Duplex:Yes Duplex:Yes Location:3rd Floor Location:3rd Floor
为什么需要目录服务
目录服务的 功能性
Directory Partition 复制
NTDS.DIT
Schema Schema
Forest
Configuration Domain
Configuration
Domain X