windows 2000中的活动目录

我想如今用过win2000的人已经为数不少，他增加了许多新的特性，这其中当然少不了AD(活动目录)，下面就让我们去了解一下这个看似神秘的东西。

首先让我们先了解一下AD的由来，谈到活动目录最使人容易想起的就是Dos下的'目录'、'路径'和Windows9X/ME下'文件夹'，那个时候的'目录'或'文件夹'仅代表一个文件存在磁盘上的位置和层次关系，一个文件生成之后相对来说这个文件的所在目录也就固定了（当然可以删除、转移等，现在不考虑这些），也就是说它的属性也就相对固定了，是静态的。这个目录所能代表的仅是这个目录下所有文件的存放位置和所有文件总的大小，并不能得出其它有关信息，这样就影响到了整体使用目录的效率，也就是影响了系统的整体效率，使系统的整个管理变得复杂。因为没有相互关联，所以在不同应用程序中同一对象要进行多次配置，管理起来相当繁锁，影响了系统资源的使用效率。为了改变这种效率低下的关系和加强与Internet上有关协议的关联，Microsoft公司决定在WIN2K中全面改革，也就是引入活动目录的概念。理解活动目录的关键就在于'活动'两个字，千万不要将'活动'两个字去掉而仅仅从'目录'两个字去理解，那你我理来理去一定还是不能脱离原来在DOS下目录或Windows9x下的文件夹，正因为这个目录是活动的，所以它是动态的，它是一种包含服务功能的目录，它可以做到'由此及彼'的联想、映射，如找到了一个用户名，就可联想到它的账号、出生信息、E-mail、电话等所有基本信息，虽然组成这些信息的文件可能不在一块。同时不同应用程序之间还可以对这些信息进行共享，减少了系统开发资源的浪费，提高了系统资源的利用效率。

活动目录包括两个方面：目录和与目录相关的服务。目录是存储各种对象的一个物理上的容器，从静态的角度来理解这活动目录与我们以前所结识的'目录'和'文件夹'没有本质区别，仅仅是一个对象，是一实体；而目录服务是使目录中所有信息和资源发挥作用的服务，活动目录是一个分布式的目录服务，信息可以分散在多台不同的计算机上，保证用户能够快速访问，因为多台机上有相同的信息，所以在信息容氏方面具有很强的控制能力，正因如此，不管用户从何处访问或信息处在何处，都对用户提供统一的视图。

下面我们了解一下活动目录的结构：

在上一篇对活动目录有个基本了解之后下面我就来接触一下活动目录实质上的一面--活动目录的结构。上篇我们讲到活动目录是包括两方面：目录和目录相关的服务。目录是存储各种对象的一个物理上的容器，与我们平常所说的目录没什么区别，目录管理的基本对象是用户、计算机、文件以及打印机等资源。而目录服务是使目录中所有信息和资源发挥作用的服务，如用户和资源管理、基于目录的网络服务、基于网络的应用管理，它才是WIN2K活动目录的关键和精髓所在。目录服务是WIN2K网络操作系统的核心支柱，也是中心管理机构，所以目录服务的引入对整个操作系统带来了革命性的变化，不仅系统平台上的各基础模块，比如网络安全机制、用户管理模块等发生了变化，而且上层应用的运作方式以及开发模式也有了相应的变化。这样来理解'活动目录'是不是觉得更加容易？

同时活动目录是一个分布式的目录服务，因为信息可以分散在多台不同的计算机上，保证各计算机用户快速访问和容错；同时不管用户从何处访问或信息处在何处，对用户都提供统一的视图，使用户觉得更加容易理解和掌握WIN2K系统的使用。活动目录集成了WIN2K服务器的关键服务，如域名服务(DNS)，消息队列服务（MSMQ），事务服务（MTS）等。在应用方面活动目录集成了关键应用，如电子邮件、网络管理、ERP等。要理解活动目录，我们必须从它的逻辑结构和物理结构入手。

一、活动目录的逻辑结构

'逻辑'两个字相信大家平时见的比较多，如我们常说的'逻辑思维、逻辑分析'等，也许大家一讲到'逻辑'两个字就觉得十分抽象，难以理解。其实我们在这里所讲的'逻辑结构'，我觉得还是很好理解的，'逻辑'一般与'物理'是对等的，我们知道'物理上的'是指实实在在的，那么'逻辑上的'不就是指非物理上的，非实体的东西，它是一种抽象的东西，比如讲一种'关系'、一个'空间、范围'等。在第一篇我们讲过活动目录的逻辑结构非常灵活，有目录树、域、域树、域林等，这些名字都不是实实在在的一种实体，只是代表了一种关系，一种范围，如目录树就是由同一名字空间上的目录组成，而域又是由不同的目录树组成，同理域树是由不同的域组成，域林是由多个域树组成。它们是一种完全的树状、层次结构视图，这种关系我们可以看成是一种动态关系。逻辑结构还与前面讨论过的名字空间有直接关系，逻辑结构为用户和管理员在一定的名字空间中查找、定位对象提供了极大方便。活动目录中的逻辑单元主要包括：

1、域、域树、域林

　域既是WIN2K网络系统的逻辑组织单元，是对象（如计算机、用户等）的容器，这些对象有相同的安全需求、复制过程和管理，这一点对于网管人员应是相当容易理解的。在WIN2K中域中所有的域控制器都是平等的（这一点与WINNT4.0不一样，没有主、副之分），域是安全边界，域管理员只能管理域的内部，除非其他的域显式地赋予他管理权限，他才能够访问或管理其他的域。每个域都有自己的安全策略，以及它与其他域的安全信任关系。在这里就涉及到了不同域之间的信任关系及传递关系，下面就具体讲一下WIN2K中的域信任关系。

域与域之间具有一定的信任关系，域信任关系使得一个域中的用户可由另一域中的域控制器进行验证，才能使一个域中的用户访问另一个域中的资源。所有域信任关系中只有两种域：信任关系域和被信任关系域。信任关系就是域A信任域B，则域B中的用户可以通过域A中的域控制器进行身份验证后访问域A中的资源，则域A与域B之间的关系就是信任关系。被信任关系就是被一个域信任的关系，在上面的例子中域B就是被域A信任，域B与域A的关系就是被信任关系。信任与被信任关系可以是单向的，也可以是双向的，即域A与域B之间可以单方面的信任关系，也可以是双方面的信任关系。

而在域中传递信任关系不受关系中两个域的约束，是经父域向上传递给域目录树中的下一个域，也就是说如果域A信任域B，则域A也就信任域B下面的子域域B1、域B2……，传递信任关系总是双向的：关系中的两个域互相信任（是指父域与子域之间）。默认情况下，域目录树或目录林（目录林可以看做是同一域中的多个目录树组成）中的所有WiIN2K 信任关系都是传递的。通过大大减少需管理的委托关系数量，这将在很大程度上简化域的管理。 WIN2K中的域传递信任关系一般是系统自动的，但对于相同域目录树或林中的WiIN2K域，也可以显式（手工）地创建传递信任关系。这对于形成交叉链接信任关系是非常重要的。不传递信任关系受关系中两个域的约束，并且不经父域向上传递到域目录树中的下一个域。必须显式地创建不传递信任关系。默认情况下，不传递信任关系是单向的，尽管也可以通过创建两个单向信任关系创建一个双向关系。所有不属于相同域目录树或林中WiIN2K 域间建立的委托关系都是不传递的。所有WiIN2K域和WINNT域之间的委托关系都是不传递的，这一点对于一个企业同时使用WIN2K和WINNT域控制器时应特别注意，当从 WindowsNT升级到WiIN2K时，所有已现有的WindowsNT信任关系都将保持不变。在混合模式的网络中，所有WindowsNT信任关系都是不传递的。WiIN2K 域和WINNT域目录林中的WIN2K域和另一目录林中的WIIN2K域WIN2K域和MITKerberosV5领域单向单向信任关系是单独的委托关系。双向信任关系包括一对单向委托关系，所有传递信任关系都是双向的。为使不传递信任关系成为双向，必须在所涉及的域间创建两个单向信任关系。

2、组织单元（OU）

组织单元（OU）是一个容器对象，它也是活动目录的逻辑结构的一部分，我们可以把域中的对象组织成逻辑组，它可以帮助我们简化管理工作。OU可以包含各种对象，比如用户账户、用户组、计算机、打印机等，甚至可以包括其他的OU，所以我们可以利用OU把域中的对象形成一个完全逻辑上的层次结构。对于企 业来讲，可以按部门把所有的用户和设备组成一个OU层次结构，也可以按地理位置形成层次结构，还可以按功能和权限分成多个OU层次结构。很明显，通过组织单元的包容，组织单元具有很清楚的层次结构，这种包容结构可以使管理者把组织单元切入到域中以反应出企业的组织结构并且可以委派任务与授权。建立包容结构的组织模型能够帮助我们解决许多问题，同时仍然可以使用大型的域、域树中每个对象都可以显示在全局目录，从而用户就可以利用一个服务功能轻易地找到某个对象而不管它在域树结构中的位置。

由于OU层次结构局限于域的内部，所以一个域中的OU层次结构与另一个域中的OU层次结构没有任何关系。因为活动目录中的域可以比NT4的域容纳更多对象，所以一个企业有可能只用一个域来构造企业网络，这时候我们就可以使用OU 来对对象进行分组，形成多种管理层次结构，从而极大地简化网络管理工作。组织中的不同部门可以成为不同的域，或者一个组织单元，从而采用层次化的命名方法来反映组织结构和进行管理授 权。顺着组织结构进行颗粒化的管理授权可以解决很多管理上的头疼问题，在加强中央管理的同时，又不失机动灵活性。

WINNT4.0中的很多域都可以成为OU，建立起更大的域和更简化的域关系，借助全局目录(GlobalCatalog)，用户和管理员仍然能够迅速地找到对象和管理对象。 WIN2K可以在现存的WINNT4.0的环境中工作，保护现有的投资。

　二、活动目录的物理结构

进制-活动目录中，物理结构与逻辑结构有很大的不同，它们是彼此独立的两个概念。逻辑结构侧重于网络资源的管理，而物理结构则侧重于网络的配置和优化。活动目录的物理结构主要着眼于活动目录信息的复制和用户登录网络时的性能优化。物理结构的两个重要概念是站点和 域控制器。

1、站点

站点是由一个或多个IP子网组成，这些子网通过高速网络设备连接在一起。站点往往由企业的物理位置分布情况决定，可以依据站点结构配置活动目录的访问和复制拓扑关系，这样能使得网络更有效地连接，并且可使复制策略更合理，用户登录更快速， 活动目录中的站点与域是两个完全独立的概念，一个站点中可以有多个域，多个站点也可以位于同一域中。

活动目录站点和服务可以通过使用站点提高大多数配置目录服务的效率。可以通过使用活动目录站点和服务向活动目录发布站点的方法提供有关网络物理结构的信息，活动目录使用该信息确定如何复制目录信息和处理服务的请求。计算机站点是根据其在子网或一组已连接好子网中的位置指定的，子网提供一种表示网络分组的简单方法，这与我们常见的邮政编码将地址分组类似。将子网格式化成可方便发送有关网络与目录连接物理信息的形式，将计算机置于一个或多个连接好的子网中充分体现了站点所有计算机必须连接良好这一标准，原因是同一子网中计算机的连接情况通常优于网络中任意选取的计算机。使用站点的意义主要在于：

（1）、提高了验证过程的效率

当客户使用域帐户登录时，登录机制首先搜索与客户处于同一站点内的域控制器，使用客户站点内的域控制器首先可以使网络传输本地化，加快了身份验证的速度，提高了验证过程的效率。

（2）、平衡了复制频率

活动目录信息可在站点内部或站点与站点之间进行信息复制，但由于网络的原因，活动目录在站点内部复制信息的频率高于站点间的复制频率。这样做可以平衡对最新目录信息需求和可用网络带宽带来的限制。您可通过站点链接来定制活动目录如何复制信息以指定站点的连接方法，活动目录使用有关站点如何连接的信息生成连接对象以便提供有效的复制和容错。

（3）、可提供有关站点链接信息

　活动目录可使用站点链接信息费用，链接使用次数，链接何时可用以及链接使用频度等信息确定应使用哪个站点来复制信息，以及何时使用该站点。定制复制计划使复制在特定时间（诸如网络传输空闲时）进行会使复制更为有效。通常，所有域控制器都可用于站点间信息的交换，但也可以通过指定桥头堡服务器优先发送和接收站间复制信息的方法进一步控制复制行为。当拥有希望用于站间复制的特定服务器时，宁愿建立一个桥头堡服务器而不使用其他可用服务器。或在配置使用代理服务器时建立一个桥头堡服务器，用于通过防火墙发送和接收信息。

　2、域控制器

　域控制器是指运行WIN2KServer版本的服务器，它保存了活动目录信息的副本。域控制器管理目录信息的变化，并把这些变化复制到同一个域中的其他域控制器上，使各域控制器上的目录信息处于同步。域控制器也负责用户的登录过程以及其他与域有关的操作，比如身份鉴定、目录信息查找等一个域可以有多个域控制器。规模较小的域可以只需要两个域控制器，一个实际使用，另一个用于 容错性检查。规模较大的域可以使用多个域控制器。

　WIN2K的域结构与WINNT的域结构不同的是，活动目录中的域控制器没有主次之分，活动目录采用了多主机复制方案，每一个域控制器都有一个可写入的目录副本，这为目录信息 容错带来了无尽的好处。尽管在某一个时刻，不同的域控制器中的目录信息可能有所不同，但一旦 活动目录中的所有域控制器执行同步操作之后，最新的变化信息就会一致。 尽管活动目录支持多主机复制方案，然而由于复制引起的通信流量以及网络潜在的冲 突，变化的传播并不一定能够顺利进行。因此有必要在域控制器中指定全局目录服务器以及操 作主机。--全局目录是一个信息仓库，包含活动目录中所有对象的一部分属性，往往是在查询过 程中访问最为频繁的属性。利用这些信息，可以定位到任何一个对象实际所在的位置，而全局目 录服务器是一个域控制器，它保存了全局目录的一份副本，并执行对全局目录的查询操作。全局 目录服务器可以提高活动目录中大范围内对象检索的性能，比如在域林中查询所有的打印机操 作。如果没有一个全局目录服务器，那么这样的查询操作必须要调动域林中每一个域的查询过 程。如果域中只有一个域控制器，那么它就是全局目录服务器如果有多个域控制器，那么管理员 必须把一个域控制器配置为全局目录控制器。

最后我们讨论一下活动目录的配置问题：

　在前面我们知道'活动目录'是整个WIN2K系统中的一个关键服务，它不是孤立的，它与许多协议和服务有着非常紧密和关系，还涉及到整个WIN2K系统的系统结构和安全。安装'活动目录'不是安装一般Windows组件那么简单，在安装前要进行一系列的策划和准备。否则轻则根本无法享受到活动目录所带来的优越性，重则不能正确安装'活动目录'这项服务。

　1、首先在 安装活动目录之前，必须保证已经有一台机器安装了WIN2K Server 或者Advanced Server，且至少有一个NTFS分区， 而且已经为TCP/IP 配置了DNS协议，并且DNS服务支持SRV记录和动态更新协议。

　2、其次是要规划好整个系统的域结构，活动目录它可包含一个或多个域，如果整个系统的目录结构规划得不好，层次不清就不能很好地发挥活动目录的优越性。在这里选择根域（就是一个系统的基本域）是一个关键， 根域名字的选择可以有以下几种方案：

　1）可以使用一个已经注册的DNS 域名作为活动目的根域名，这样的好处在于企业的公共网络和私有网络使用同样的DNS名字。

　2）我们还可使用一个已经注册的DNS域名的子域名作为活动目录的根域名。

　3）为活动目录选择一个与已经注册的DNS域名完全不同 的域名。这样可以使企业网络在内部和互联网上呈现出两种完全不同的命名结构。 4）把企业网络的公共部分用一个已经注册的DNS域名进行命名，而私有网络用另一个内部域名，从名字空间上把两部分分开，这样做就使得每一部分要访问另部时必须使用对方的名字空间来标识对象。

　3、再一个就是要进行域和帐户命名策划，因为使用活动目录的意义之一就在于使内、外部网络使用统一的目录服务，采用统一的命名方案，以方便网络管理和商务往来。活动目录域名通常是该域的完整DNS名称，但是为确保向下兼容，每个域最好还有一个WIN2K以前版本的名称，以便在运行WIN2K以前版本的操作系统的计算机上使用。用户帐户在活动目录中，每个用户帐户都有一个用户登录名、一个WIN2K以前版本的用户登录名（安全帐户管理器的帐户名）和一个用户主要名称后缀。在创建用户帐户时，管理员输入其登录名并选择用户主要名称，活动目录建议 WIN2K 以前版本的用户登录名使用此用户登录名的前 20 个字节。活动目录命名策略是企业规划网络系统的第一个步骤，命名策略直接影 响到网络的基本结构，甚至影响网络的性能和可扩展性。活动目录为现代企业提供了很好的参考模型，既考虑到了企业的多层次结构，也考虑到了企业的分布式特性，甚至为直接接入Internet提供完全一致的命名模型。

　所谓用户主要名称是指由用户账户名称和表示用户账户所在的域的域名组成。这是登录到 WIN2K 域的标准用法。标准格式为：user@domain.com (象个人的电子邮件地址)。但不要在用户登录名或用户主要名称中加入 @ 号。活动目录 在创建用户主要名称时自动添加此符号。包含多个 @ 号的用户主要名称是无效的。

　在活动目录中，默认的用户主要名称后缀是域树中根域的 DNS名。如果用户的单位使用由部门和区域组成的多层域树，则对于底层用户的域名可能很长。对于该域中的用户，默认的用户主要名称可能是 grandchild.child.root.com。该域中用户默认的登录名可能是 user@grandchild.child.root.com 。这要一来用户登录时就要输入的用户名可能太长，输入起来就非常不方便，WIN2K为了解决这一问题，规定在创建主要名称后用户只要在根域后加上相应的用户名， 使同一用户使用更简单的登录名 user@root.com 就可以登录，而不是前面所提到的那一长串。

　4、最后就是要注意设置规划好域间的信任关系，对于WIN2K计算机，通过基于 Kerberos V5 安全协议的双向、可传递信任关系启用域之间的帐户验证。在域树中创建域时，相邻域（父域和子域）之间自动建立信任关系。在域林中，在树林根域和添加到树林的每个域树的根域之间自动建立信任关系。如果这些信任关系是可传递的，则可以在域树或域林中的任何域之间进行用户和计算机的身份验证。

　如果将 WIN2K 以前版本的 Windows域升级为WIN2K域时，WIN2K域将自动保留域和任何其他域之间现有的单向信任关系。包括WIN2K以前版本的Windows域的所有信任关系。如果用户要安装新的WIN2K域并且希望与任何WIN2K以前版本的域建立信任关系，则必须创建与那些域的外部信任关系。

二、活动目录的安装

　所有的新安装都是安装成为Member Server，如果您在新安装WIN2K SERVER时选择安装了'活动目录'选项，则系统就会出现类似于'如果您此时安装活动目录则系统中的所有域名就不能再次改变……'之类的提示。一般情况下我们在新安装系统时不选择安装活动目录，以便我们有时间来具体规划与活动目录有关的协议和系统结构。目录服务都需要事后用 Dcprom o的命令特别安装。目录服务还可以卸载，而不用象在安装Windows NT 4.0那样，一开始就要定终身，系统会区分域控制器还是Member Server，两者之间不可转换。 Dcpromo是一个图形化的向导程序，引导用户一步一步地建立域控制器，可以新建一 个域森林，一棵域树，或者仅仅是域控制器的另一个备份，非常方便。很多其他的网络服 务，比如DNS Server、DHCP Server和 Certificate Server等，都可以在以后与活动目录 集成安装，便于实施策略管理等。 这个图形化界面向导程序也没有什么特别之处，只要我们在前面理解好了活动目录的含义，并进行了安装前的一系列规划，则可以很容易完成所有的安装任务。

　在活动目录安装之后，主要有三个活动目录的微软管理界面（MMC），一个是活动目 录用户和计算机管理，主要用于实施对域的管理；一个是活动目录的域和域信任关系的管 理，主要用于管理多域的关系；还有一个是活动目录的站点管理，可以把域控制器置于不 同的站点。一般局域网的范围内，为一个站点，站点内的域控制器之间的复制是自动进行 的；站点间的域控制器之间的复制，需要管理员设定，以优化复制流量，提高可伸缩性。 从活动目录管理界面，还可以在站点、域和组织单元中用鼠标右键点击，启动组策略 （Group Policy）的管理界面，实施对对象的细致管理。

　对于站点、域和组织单元，管理员还可以方便地进行管理授权。右键点击它们就可以启动'管理授权 向导'，一步一步地设定哪些管理员对于哪些对象有什么样的管理权限。比如说企业内部 技术支持中心的管理员，只有复位用户口令的权限，没有创建和删除用户账号的权限。这 种更细致的管理方法，成为'颗粒化'。

　另外，活动目录还充分地考虑到了备份和恢复目录服务的需要，WIN2K备份工具中有专门备份活动目录的选项，在出现意外事故的时候，可以在机器启动时按F8进入安全恢复模式，保证减少灾难的恶性影响。