域与活动目录包括子域

Windows的域和活动目录时间：2005年7月12日14:47来源：Winmag 作者：Winmag 票数：2等级:点击：183本文缩略词语MS：Microsoft 微软公司95：Windows 9598：Windows 98XP：Windows XPNT：Windows NT Server2000：Windows 2000 Server03： Windows 2003 ServerS：ServerAS：Advanced Server AD：Active Directory 即活动目录DC：Domain Controller 即域控制器GC：Global Catalog 全局编录TS：Terminal Service 终端服务PDC：Windows NT Server域中的主域控制器BDC：Windows NT Server域中的备份控制器SAM库：安全帐号管理器数据库FQDN：完全有效域名，如：NetBIOS名称：形如mcse本文的目的，是作为域和AD的一篇入门文章，使没有安装过域，或刚刚接触域的年轻网管能对域和AD有一个全面的了解，并利用此文入门，将所管理的网络实现一个基于域的管理模式。

一、认识Windows的域本小节重点从理论上阐述域的概念、作用和Windows中域的产生。

一台Windows计算机，它要么隶属于工作组，要么隶属于域。

所以说到域，我们就不得不提一下工作组，工作组是MS的概念，一般的普遍称谓是对等网。

工作组通常是一个由不多于10台计算机组成的逻辑集合，如果要管理更多的计算机，MS推荐你使用域的模式进行集中管理，这样的管理更有效。

你可以使用域、活动目录、组策略等等各种功能，使你网络管理的工作量达到最小。

当然这里的10台只是一个参考值，11台甚至20台，如果你不想进行集中的管理，那么你仍然可以使用工作组模式。

工作组的特点就是实现简单，不需要域控制器DC，每台计算机自己管理自己，适用于距离很近的有限数目的计算机。

域结构简介1、域的含义：域是由一群以网络连接在一起的计算机所组成的，它们将计算机内的资源共享给其他人使用。

2、与工作组结构网络区别：域内所有的计算机共享一个集中式的目录数据库，它包括整个域内的用户与安全数据。

而工作组结构的网络，每台计算机的位置平等。

可以相互的共享。

3、域中的计算机类型：A、域控制器：只有WIN2000SERVER才可以做域控制器，域控制器在一个网络中可以有多个。

一台的目录数据库可以自动复制到别一个域服务器的目录数据库中，域可以审核登录用户的用户名和密码。

多台域服务器共同审核用户的登录可以提高效率B、成员服务器：域内的WIN2000服务器如果不是域控制器，就是成员服务器，如果不加入域就独立服务器，成员服务器没有活动目录，不能审核域用户的登录，但它们都自己的本地安全数据库。

以审核本地用户。

C、其他计算机：其他计算机可以用来访问这些计算机的资源。

活动目录定义一个电话本：其中有姓名、电话号、地址等，这些就是目录，我可以很容易从找到所需的数据。

目录服务：就让用户很容易在目录中查找所要的数据。

而在WIN2000中，存储用户、组、打印机等对象相关数据的位置称为目录数据库，负责提供目录服务的组件称为活动目录。

1、适用范围应用范围很广，可以在一台计算机、一个计算机网络，大至数据广域网的组合。

2、名称空间A、名称空间的含义：就是一块划好的区域。

在这个区域内，可以利用某个名字来找到与这个名字有关的信息。

B、WIN2000中的活动目录就是“名称空间”，可以利用对象名称找到相关的数据。

C、WIN2000的名称结构采用了DNS的结构。

3、对象与属性WIN2000中的资源都是以对象的形式存在，而一个对象通过属性来描述其特征。

如用户就是一个对象类别。

用户的姓、名、电话，就是用户的属性。

4、容量与组织单位A、容量与对象相似，也有自己的名称，也有自己的属性，但它不是一个实体，而可以一组对象和其它容量。

B、组织单位，就是一个容量，可以包括其他对象和组织单位。

第4单元域与活动目录的管理一、填空题1.域树中的子域和父域的信任关系是双向、可传递的。

2.活动目录存放在注册表中3.你是一个Windows Server 2008域的管理员，域名为，现在你需要在该域下面创建一个新的子域，那么在创建遇到类型时，该选择在现有的域树中的子域4.独立服务器上安装了活动目录就升级为域控制器。

5.域控制器包含了由这个域的用户、网络中的其他对象以及属于这个域的计算机等信息构成的数据库。

6.活动目录中的逻辑单元包括域、域树、域林和组织单元。

7.SYSVOL是位于操作系统系统分区%windir%目录中的操作系统文件的一部分，必须位于NTFS分区。

8.网络中的第一台安装活动了目录的服务器通常会默认被设置为主域控制器，其他域控制器（可以有多台）称为辅助（备份）域控制器，主要用于主域控制器出现故障时及时接替其工作，继续提供各种网络服务，不致造成网络瘫痪，同时用于备份数据。

9.活动目录的物理结构的两个重要概念是站点和域控制器。

10.域中的计算机分类是哪4种：域控制器、成员服务器、独立服务器、域中的客户端。

11.域中的计算机使用DNS来定位域控制器和服务器以及其他计算机、网络服务等。

12.企业网络采用域的组织结构，可以使得局域网的管理工作变得更集中、更容易、更方便。

二、选择题1.下列（ D ）不是域控制器存储所有的域范围内的信息。

A.安全策略信息B.用户身份验证信息C.账户信息D.工作站分区信息2.活动目录和（ A ）的关系密不可分，使用此服务器；来登记域控制器的IP、各种资源的定位等A.DNSB.DHCPC.FTPD.HTTP3.下列（ C ）不属于活动目录的逻辑结构。

A.域树B.域林C.域控制器D.组织单元4.活动目录安装后，管理工具里没有增加（ D ）菜单。

A.Active Directory用户和计算机B.Active Directory域和信任关系C.Active Directory域站点和服务器D.Active Directory管理5.你是一台Windows Server 2008计算机的系统管理员，你可以使用（ C ）工具来管理该计算机中的组账号。

单元一：Windows Server 2008域与活动目录任务一：安装Windows Server 2008域控制器任务描述：企业网络采用域的组织结构，可以使得局域网的管理工作变得更集中、更容易、更方便。

虽然活动目录具有强大的功能，但是安装Windows Server 2008操作系统时并未自动生成活动目录。

因此，管理员必须通过安装活动目录来建立域控制器，并通过活动目录的管理来实现针对各种对象的动态管理与服务。

同时客户机登录域的操作也是组建域网络必不可少的部分，也是网络管理员应该熟练掌握的基本技能之一。

任务目标：作为网络管理员，只有明确安装域控制器的条件和准备工作，掌握域网络的组建流程和操作技术，才能在服务器上安装好Windows Server 2008操作系统。

为此，可以启用活动目录安装向导，成功安装活动目录后，将使得一个独立服务器升级为域控制器。

同时通过任务，还应能够区分登录窗口，例如是登录域不是登录本机的登录框。

任务实施：一、建立第一台域控制器：活动目录是Windows Server 2008非常关键的服务，它不是孤立的，与许多协议和服务有着非常紧密的关系，并涉及整个操作系统的结构和安全。

因此，活动目录的安装并非一般Windows组件那样简单，必须在安装前完成一系列的准备，注意事项如下：（1）文件系统和网络协议：Windows Server 2008所在的分区必须是NTFS文件系统，同样活动目录必须安装在NTFS分区，同时计算机上要正确安装了网卡驱动程序，并启用了TCP/IP协议。

（2）域结构规划：活动目录可包含多个域，只有合理地规划目录结构，才能充分发挥活动目录的优越性。

在组建一个全新的Windows Server 2008网络时，所安装的第一台域控制器将生成第一个域，这个域也被称为根域，选择根域最为关键。

根域名字的选择可以有以下几种方案：使用一个已经注册的DNS域名作为活动目的根域名，使得企业的公共网络和私有网络使用同样的DNS名字。

域与活动目录单元十二域与活动目录本单元要点：域、域树和域林活动目录安装域控制器活动目录的管理域、域树和域林工作组就是将不同的电脑按功能分别列入不同的组中，以方便管理。

工作组名并没有太多的实际意义，只是在“网上邻居”的列表中实现一个分组而已。

“工作组”就像一个自加入和退出的俱乐部一样，它本身的作用仅仅是提供一个“房间”，以方便网上计算机共享资源的浏览。

在主从式网络中，资源集中存放在一台或者几台服务器上，如果仅仅只有一台服务器，问题就很简单，在服务器上为每一位员工建立一个账户即可，用户只需登录该服务器就可以使用服务器中的资源。

然而如果资源分布在多台服务器上呢？如图所示12-1所示，要在每台服务器分别为每一员工建立一个账户，用户需要在每台服务器上登录，感觉又回到了对等网的模式。

图12-1 域是一个安全的边界，也可以理解为服务器控制网络上的计算机能否加入的计算机组合。

在使用了域之后，如图12-2所示，服务器和用户的计算机都在同一域中，用户在域中只要拥有一个账户，用账户登录后即取得一个身份，有了该身份便可以在域中漫游，访问域中任一台服务器上的资源。

图12-2 在“域”模式下，至少有一台服务器负责每一台联入网络的电脑和用户的验证工作，相当于一个单位的门卫一样，称为“域控制器”，它包含了这个域的账户、密码、属于这个域的计算机等信息构成的数据库。

当电脑联入网络时，域控制器首先要鉴别这台电脑是否是属于这个域的，用户使用的登录账号是否存在、密码是否正确。

随着网络的不断发展，有的企业的网络大的惊人，当网络有十万个用户甚至更多时，域控制器存放的用户数据量很大，更为关键的是如果用户频繁登录，域控制器可能因此不堪重负。

在实际的应用中，我们在网络中划分多个域，每个域的规模控制在一定的范围内，同时也是出于管理上的要求，将大的网络划分成小的网络，每个小的网络管理员管理自己所属的账户，如图12-3所示。

图12-3 为了解决用户跨域访问资源的问题，可以在域之间引入信任，有了信任关系，域A的用户想要访问B域中的资源，让域B信任域A就行了。

项目活动目录和域的建立4.1 项目内容1 项目目的通过安装活动目录，理解活动目录和域的关系，了解域、域树和域林的概念，并掌握控制器的安装和配置，以及成员服务器的设置。

2项目任务:某公司组建了单位内部的办公网络，该局域网是一个基于工作组的对等网，近期公司的发展很快，新增了了许多员工，计算机用户激增，网络的管理和安全都出现了问题，这是考虑将基于工作组的网络升级为基于域的网络，现在需要将一台计算机升级为域控制器，并将其它所有计算机加入到域成为成员服务器。

3 任务目标1)学会规划和安装局域网中的活动目录；2)学会在Windows 2003 Server中创建域；3)学会在Windows 2003 Server中添加和管理各种域服务器。

4)学会将局域网中的计算机加入到在Windows 2003 Server的域服务器中。

4.2项目设计1设计有两个域树：和，其中域树下有子域，在域中有两个域控制器；在域中有一个域控制器和有一个成员服务器；下面先创建 的域树，然后再创建的域树。

2 设备清单为了搭建网络环境，需要如下设备：1)安装Windows 2003 Server的PC计算机5台；2)Windows Windows XP计算机1台；3)Windows Server 2003安装光盘。

4.3 项目实施步骤1：创建第一个域创建域可以把一台已经安装Windows Server 2003的对立服务器升级为域控制器。

步骤如下：（1）首先确认“本地连接”属性TCP/IP中首选DNS指向了自己。

（2）其次，打开“开始”菜单，选择“管理工具”菜单中的“管理您的服务器”命令启动配置向导，在此管理介面中出现该服务器已具备功能，如图所示。

（3）选择“添加或删除角色”命令，出现“配置您的服务器向导”介面。

（4）单击“下一步”，选择要安装的服务器角色，在此要安装的是域控制器（ActiveDirectory），对话框中显示本服务器并未配置该项，选中该项，如图4.1所示。

活动目录里几个重要的概念目录服务可以集中实现组织、管理、控制各种用户、组、计算机、共享文件夹、打印机各种资源等。

使用LDAP（端口389）轻量级目录访问协议工作，在域环境下所有用户及计算机等帐户信息均保存在一个数据库中，这个数据库位置%systemroot%\ntds\ntds.dit。

AD（活动目录）的逻辑结构包含如下组件：域/子域/树/森林/OU等。

主要侧重于对网络资源的组织。

AD的物理结构包含如下组件：DC（域控制器）/site（站点）/OM（操作主机）。

主要侧重于对网络资源的配置和优化。

下面介绍有关几个重要的概念：1.DN：(可辨别名称）--用来表示一个对象在AD中具体存储位置，类似于文件的绝对路径。

如：cn=user1,ou=sails, dc=blog,dc=com 该用户存在域的sails OU 下，用户名为user1.cn=users (默认的容器users也以cn表示)dsadd user cn=test,ou=sails,dc=blog,dc=com 利用DN来创建用户的例子。

2.UPN（用户主名）用户名@域名，即用户登录时可以采用，如jack@，也可以更改此后缀。

修改：domain.msc后，在根右击--属性--更改UPN后缀，然后在用户属性-帐号中选择其后缀。

用户登录可以使用此UPN.但必须在用户属性里进行相应的更改（即启用此Upn后缀）3.SID (安全标识符）用户/组都有唯一whoami /user 当前用户的SIDwhoami /all 当前用户的详细信息（包含所属组的SID）getsid \\dc1 test \\dc1 test (安装suptools)psgetsid \\dc1 test 下载工具包。

4.AD数据库的目录分区：（AD数据库虽然是一个文件，但却是以目录分区的形式组成的）schema 架构分区 ---森林的对象类和属性，在森林级别复制。

configuration 配置分区--所有DC的位置、site，在森林级别复制。

域控子域控域控是指在局域网或者广域网内的一组计算机，它们在同一管理下，运行着相同的安全策略、安全设置和安全服务，可以实现集中管理、统一授权和准确审计。

域控是由域名服务器（DNS）和活动目录（AD）两个组件组成的，其中DNS主要用于解析和管理域名，而AD则是用于管理网站上的所有用户、计算机、服务和应用程序等。

在网络中，一个域控可分为两种：根域控和子域控。

根域控负责管理整个网络中的所有计算机、用户和资源，而子域控则主要负责管理某个特定机构、部门或者地理位置的计算机、用户和资源。

下面我们主要介绍一下子域控的相关内容。

一、域树域树指的是一个主域和它的一个或多个子域所组成的树形结构。

根据实际需求，可以在一个子域下建立多个子域，形成一个嵌套结构。

当管理人员需要对一个子域或者多个子域进行管理时，可以通过域树结构来实现。

在这种情况下，只需要在根域控下建立一个统一的安全策略，即可管理整个树形结构中的计算机、用户和资源。

二、域本地组域本地组指的是域控中专门用于管理计算机、用户和资源等的本地组。

这些本地组主要用于对某一特定群组的计算机、用户和资源进行管理，可以有效提高网络中的管理安全性。

在域本地组中，可以根据需求创建如管理员组、用户组、操作员组等不同的本地组，并指定各个本地组的管理员。

这样，管理员可以通过对本地组进行操作来有效进行管理。

三、域信任关系域信任关系是指在一个域内设立的一个或多个子域之间的信任关系。

在域信任关系中，每个子域可以访问和使用其它子域中的资源，例如计算机、用户和共享的文件夹。

设置域信任关系可以使得不同的子域之间拥有相互访问和共享资源的权限，同时也可以实现单点登录等功能。

域信任关系的建立需要严格的权限控制，以保证网络安全。

总结来说，子域控是在一个大的域控下建立的专门用于管理某一特定部门、机构或者地理位置计算机、用户和资源等的控制中心。

通过域树、域本地组和域信任关系的设置，可以实现对子域的有效管理和控制。