第一章 活动目录(Active Directory)综述
- 格式：pdf
- 大小：255.20 KB
- 文档页数：9
第一章 活动目录(Active Directory)综述 1
第一章 活动目录(Active Directory)综述
内容摘要
Windows 2000 操作系统的功能非常强大，用户要了解如何实现这些功能，以及它对完
成企业目标能够提供哪些帮助,首先必须了解其核心：活动目录目录服务。活动目录在实施
组织的网络，进而实现组织的商业目标中占有重要地位。通过本章学习,您将了解到以下一
些主要内容：
目录服务和活动目录的概念
活动目录的优点
活动目录的逻辑结构组织
信息在逻辑结构中的流通
活动目录的安全机制
活动目录的目录服务模块
考点提示
本章主要概括了活动目录中的主要概念性知识，读者应重点熟悉以下内容：
逻辑结构/物理结构的作用和区别
信任关系
1.1 目录和目录服务
一般来说，目录是用来存储信息的信息源,如电话簿用来存储电话号码、文件系统用来
存放文件信息。
而在计算机网络上下文环境中，目录（又称数据存储区）是存储网络对象信息的分层结
构。对象包括共享资源，如服务器、共享卷和打印机；网络用户和计算机帐户；域、应用程
序、服务、安全策略，以及网络上的其他所有内容。以下是网络目录可能存储的、与特殊对
象类型有关的、特定种类信息的一个示例：一般情况下，目录会存储用户帐户的用户名、密
码、电子邮件地址、电话号码等信息。
用户通过目录服务来使用目录中的信息，如用户可能需要使用网络中的某样资源，如打
印机，但不知道它在网络上确切位置，有了目录服务，用户只要了解该打印机的一项属性，
就可以通过查询活动目录来使用它。
我们可以把目录服务看作既是一个管理工具，同时也是一个面向最终用户的工具。系统
管理员用它可以定义、安排和管理对象（如打印机、用户）及其特征，以使它们能被用户和
应用程序使用；而用户可以用它来获得感兴趣的信息。
换一个角度，理解目录服务就是要理解它和目录的不同之处：它既是目录信息源，又是
使信息对管理员、用户、网络服务和应用程序有效并可用的服务。理想情况下，目录服务会
使物理拓扑和协议（两个服务间传输数据所用的格式）透明化；这样，即使用户不知道资源
的物理连接位置和连接方法，也能够访问资源。我们可以以用户帐户为例：正是目录服务使
同一网络中的其他授权用户能够访问针对用户帐户对象所保存的目录信息（如电子邮件地
址）。
在具体实现目录服务时，目录服务可支持多种不同的功能。有些目录服务与操作系统集
成，有些则是一些应用程序，如电子邮件目录。Active Directory 等操作系统目录服务可
交大南洋远程教育系列教材 2 MCSE2000系列―Designing a Microsoft Windows 2000 Directory Services Infrastructure
提供对用户、计算机和共享资源的管理。Microsoft Exchange 等处理电子邮件的目录服务
使用户能够查找其他用户并发送电子邮件。
1.2 活动目录目录服务
活动目录（Active Directory）是一种新型的目录服务，是Windows 2000 操作系统的
核心，它只在域控制器中运行。活动目录不但为数据提供了存储区以及使该数据有效的服务，
而且还保护了网络对象，使其免受未经授权的访问，即使一个域控制器出现故障，也不会导
致数据丢失。
活动目录是一个分步式的目录，它既具有一般目录服务的特征：
一个目录：包含不同种类的对象及其属性的物理存储容器
服务：使目录中的所有的信息和资源可用
更通过以下特征大大扩展了基本目录服务的能力：
与 DNS 集成。活动目录使用域名系统 (DNS)。DNS 是一种 Internet 标准服务，它将
用户能够读取的计算机名称（例如 mycomputer.microsoft.com）翻译成计算机能够读
取的数字 Internet 协议 (IP) 地址（由英文句号分隔的四组数字）。这样，在 TCP/IP
网络计算机上运行的进程即可相互识别并进行连接。
灵活的查询。 用户和管理员如果要通过对象属性快速查找网络中的对象，可使用“开
始”菜单中的“查找”命令、桌面上的“网上邻居”图标或者是 活动目录用户和计算
机 管理单元。例如，您可以按照一个用户帐户的姓名、电子邮件名、办公地点或其他
属性查找该用户。而且，可以使用全局编录优化查找信息的操作。
可扩展性。活动目录是可扩展的，管理员既可以在架构中添加新的对象类别，也可在原
有的对象类别中添加新属性。架构包含每个对象类别的定义，以及能够存储于目录中的
每个对象类别的属性。例如，您可能会为 User 对象添加 Purchase Authority 属性，
然后将每个用户的购买权限额保存为用户帐户的一部分。
基于策略的管理。 组策略是在初始化时应用于计算机或用户的配置设置。所有组策略
设置都包含在应用于活动目录站点、域或组织单元的组策略对象 (GPO) 中。GPO 设置
决定了对目录对象和域资源的访问权限、用户可使用的域资源（如应用程序），桌面设
置以及这些域资源针对其用途的配置方式。
可伸缩性。活动目录包括一个或多个域，每个域均有一个或多个域控制器，由此，您能
够对目录进行自由扩展，从而满足所有网络的需求。多个域可合并成一个域目录树，多
个域目录树可合并成一个目录林。在只有一个域的最简单的网络结构中，该域既是一个
目录树，又是一个目录林。
信息复制。活动目录使用多主机复制，使您可以更新任何域控制器中的目录。在一个域
中部署多个域控制器还提供了容错能力和负载平衡功能。因为这些域控制器包含同样的
目录数据，所以，如果域内的一个域控制器速度变慢、停止或出现故障，同一域内的其
他域控制器即可提供必要的目录访问功能。
信息安全。在 Windows 2000 操作系统中，用户身份验证和访问控制的管理都与活动目
录完全结合在一起，这是该系统的一项关键性安全功能。活动目录将身份验证集中进行。
不仅可以定义对目录中每个对象的访问控制，还可定义对每个对象的每个属性的访问控
制。此外，活动目录还为安全策略提供了存储区和应用范围。
上海南洋微电子公司版权所有 第一章 活动目录(Active Directory)综述 3
互操作性。由于活动目录以标准目录访问协议（例如轻型目录访问协议 (LDAP)）为基
础，因此它能够与其他采用这些协议的目录服务进行交互操作。有些应用程序编程接口
(API)，例如 Active Directory 服务接口 (ADSI)，允许开发者访问这些协议。
支持Internet标准命名、名字解析和查询协议。使活动目录能与INTERNET快速集成
单点访问 （single sign-on）。管理员在一个位置上登录一次后，就可以管理位于网络
上任何地方的对象，用户可以在网络上人任何地方登录并访问资源，而不管这些资源在
网络中的实际物理位置。
简单的说，用户可以从两个区别很大的角度理解活动目录的概念。从活动目录的最抽象
意义上介绍，活动目录是一个与 Internet 域名系统 (DNS) 集成的名称空间。 从活动目录
的最普通意义上介绍，它是将服务器转换成域控制器的软件（dcpromo.exe）。
1.3 活动目录的体系结构
1.3.1 体系结构
理解活动目录，首先应该了解它的体系结构。活动目录的体系结构可以分为逻辑结构和
物理结构。
逻辑结构用来组织网络上的资源，活动目录可以用一个逻辑结构来描述而不考虑实际的
硬件和连接，管理员可以设计一个活动目录逻辑结构以对应所在组织的商务和管理结构。活
动目录结构的逻辑组件包括域、组织单元、树和森林。
1-1：活动目录逻辑结构
活动目录还可以用一个物理结构来描述，用来反映组织的物理分布，以优化网络性能。
理解活动目录的逻辑结构和物理结构，用户必须了解：这两者都有各自的设计目的，两
者是互为独立的，用户可以同时为组织设计逻辑结构和物理结构；但同时两者又相互作用，
交大南洋远程教育系列教材 4 MCSE2000系列―Designing a Microsoft Windows 2000 Directory Services Infrastructure
1-2：活动目录物理结构
在活动目录中逻辑结构和物理结构是分开的，用户用逻辑结构来组织网络资源，而用物
理结构来配置和管理网络流量。站点代表网络的物理结构，定义站点允许用户配置活动目录
访问和复制布局，以使Windows 2000 能为复制和登录流量使用最有效的链接和规划。
一个站点（Site）可以跨越几个域（Domain），而一个域也可以同时存在于几个不同的
站点中。
站点映射了用户的网络的物理结构而域映射了用户组织的逻辑结构。活动目录的逻辑结
构和物理结构相互独立，不必对应。
注意：域和站点分别是活动目录逻辑结构和物理结构的实现方法。关于域和站点的详细
内容将在后续章节中详细阐述。
1.3.2 逻辑结构：
逻辑结构定义活动目录如何被组织。信息和资源由对象所代表，对象按它们的含义和如
何被使用进行组织。
对象和对象类
在活动目录中，所有信息或资源被定义为对象或对象属性。活动目录能够包含的对象类
型由对象类（object class）定义，对象类定义包含在架构（schema）中。架构可以被用户
或者应用程序修改或扩展。
逻辑结构组件
活动目录包含的逻辑组件由对象（object）和属性（attribute）两部分构成，对象
（object）是用户创建的对象类的真实实例。属性 （attribute） 是对象的特征。给定类
型的所有对象具有相同的属性，但有不同的值。每个对象具有的属性及它们可以包含的值在
对象类中定义。
逻辑结构组织
在活动目录中，对象在逻辑上按层次结构进行组织。域和组织单元形成活动目录的结构
化层次。活动目录中的逻辑组件主要由域和组织单元构成，进而可扩展到域树和域森林。
域（domain）是活动目录的核心单元。是由管理员定义的共享公共目录数据库的计算机
集合。一个活动目录由一个或多个域组成。一个域是多个对象的容器。这些对象共享同一个
安全策略和管理单元。
一个组织单元是一个容器对象，用来把域中的对象组织成逻辑管理组。OU包含的对象
有用户帐户、组账户，计算机，打印机和其它OU等。用户可以用OU来把对象组成逻辑层次
结构来代表组织的基于组织单元或地理界限的组织结构。
域树（tree）是对共享连续名字空间的域的分层布置。一个域目录树是一个或多个域的
层次性安排，它具有一个单独的树根名字。在一个域目录树中的域共享一个公共的根域名，
上海南洋微电子公司版权所有
