2008 Active Directory 域服务新增功能

2008 Active Directory 域服务新增功能Microsoft 通过 Windows 2000 向世人展示了 Active Directory。

接下来，在 Windows Server 2003 这一重要版本中，Active Directory 得到了极大的改进，但未做任何重大更改。

如今，Active Directory® 已成为功能强大且极其成熟的目录服务。

尽管如此，Active Directory 团队仍通过不懈的努力在最新版本中继续完善其功能，以提高这一核心网络服务的安全性和可管理性。

在世纪之交，Active Directory 主要是验证登录的用户、对用户和计算机应用组策略并协助其找到所需的打印机。

仅仅几年后，Microsoft 又发布了一个独立的改良版，称为 Active Directory 应用程序模式 (ADAM)。

到了 2006，一切都焕然一新。

Active Directory 不再是一种特定的技术。

现在，它已成为一种品牌名称，代表一系列Windows® 身份和访问控制服务。

图1为您展示了 Active Directory 品牌组成内容的纲要。

Figure 1 Active Directory 组件因此，要是为使用合适的术语，应该将这篇文章称为“域服务”介绍。

但为了不产生混淆，还是应该把它叫做自 2000 年以来深为您称道的 Active Directory。

Windows Server 2008 中的服务器管理器对于 Active Directory，我首先要讨论的两项改进并不是 Active Directory 域服务 (ADDS) 中的更改；而是 Windows 中的更改，它们会改变您管理 Active Directory 的方式。

第一项是新的“服务器管理器”，它在您首次启动 Windows Server® 2008 服务器时就会出现。

（第二项是 Active Directory 安装，稍后我们将对其进行解说。

）安装 Windows Server 2003 后，默认会随后出现“配置服务器向导”，您可能从中对服务器管理器有一定的了解。

但那个版本对于日常管理不是十分有用，我所认识的每个人都选择了“登录时不显示此页”复选框。

Windows Server 2008 中的服务器管理器则非常有用（请参阅 Byron Hynes 在本期《TechNet 杂志》撰写的文章了解服务器管理器的概况）。

首先，如图 2中所示，服务器管理器现在属于Microsoft® 管理控制台 (MMC) 管理单元，而非 Microsoft HTML 应用程序 (HTA)。

这意味着它具备了用户所熟悉的界面，功能完备且易于自定义。

您可随时使用服务器管理器掌控服务器角色（DNS、ADDS 和IIS 这类主要服务）和功能（Microsoft .NET Framework、BitLockerTM 驱动器加密和 Windows PowerShellTM 这类软件组件）的安装。

除了添加和删除软件，服务器管理器还为运行诊断工具（如事件查看器和 PerfMon）及系统配置实用工具（如设备管理器和 Windows 防火墙管理单元）提供了单点联络。

如果您能为Active Directory 加入 MMC 管理单元，例如，用户和计算机、域和信任关系、站点和服务，您将获得一个极为出色的界面，用于执行 Windows Server 2008 域控制器 (DC) 的日常管理。

图 2 Windows Server 2008 中的服务器管理器(单击该图像获得较大视图)Windows Server 2008 Server CoreWindows Server Core 是一个新的 Windows 安装选项，它提供一个精简的Windows，仅包含运行某些关键的服务器角色（包括 Active Directory 域服务）所必需的组件。

（图 3 中列出了 Server Core 支持的角色。

）虽然 Server Core 安装程序有图形化 UI，但它并不运行 Windows 桌面外壳程序，并且几乎略去了所有管理和配置 Windows 的图形工具（请参阅图 4）。

取而代之的是一个命令行窗口，让您对接下来的操作甚感迷茫。

如何更改计算机名称？如何配置静态 IP 地址？图 4在 Server Core UI 中看不到太多的内容(单击该图像获得较大视图)在 Server Core 最初安装的几分钟，可能会有些混乱。

很快您就会重新熟悉WMIC、NETSH 和 NETDOM，然后轻松完成所有常规设置和配置任务。

并且，您仍可用注册表编辑器和记事本满足图形工具的需求。

Server Core 的主要优点是移除了许多典型 Windows 安装需要，而这些核心服务器角色不需要的代码。

这样遭受恶意软件攻击的几率降低了（是件好事），并且 DC 所需的补丁和重新启动次数也大为减少（更好的事）。

占用的磁盘空间少了许多，从而减小的硬盘要求，可能在一般条件下不算什么，但对于虚拟服务器环境的帮助却很大。

缺少图形化实用工具对 ADDS 的管理会造成困难吗？完全不会。

通过在工作站运行实用工具，然后连接网络上的域控制器，您可远程执行绝大部分管理任务。

我期望 Server Core 安装最终可以运行大部分 DC。

DCPROMO 更改ADDS 本身最先引起您注意的更改是新的 DCPROMO。

它的作用与 Windows Server 2003 中的 DCPROMO 一样，但经过重新编写后更容易使用了。

例如，您不必输入您的域管理员凭证，DCPROMO 可以将您的登录凭证提供给服务器。

您也不必通过键入 DCPROMO /ADV 来取得“高级模式DCPROMO”选项，现在第一个 DCPROMO 对话框中提供了这些选项的复选框。

高级模式还允许您选择复制所需的现有域控制器。

这样，您就可以从生产 DC 中转移 DCPROMO 的复制负荷。

将 DC 提升到新域或林中时，DCPROMO 会为您提供选项，供您设置林和域操作级别，而不是在提升后才准许您设置。

您还可指定想要在提升期间放置 DC 的Active Directory 站点，如果存在无人参与的 DCPROMO，这会非常有帮助。

DCPROMO 甚至会根据 DC 的 IP 地址对最好的站点给出建议。

新的 DCPROMO 还在一个页面上汇集了所有配置选项，让你在此选择新 DC 是全局编录、DNS 服务器还是只读 DC。

您不必转到 Active Directory 站点和服务管理单元中的偏僻位置将 DC 标记为 GC。

新 DCPROMO 能恰好在提升开始前在一个响应文件中保存所有 DCPROMO 设置，这可能是它最出色的功能。

比起手工整理响应文件，这要简单得多，还不容易出错。

您随后可使用响应文件在其他服务器上执行无人参与的 DCPROMO。

为了满足脚本痴迷者的愿望，所有 DCPROMO 选项现在均可通过命令行访问。

只读域控制器在 Active Directory 的早期阶段，企业常常在用户可能登录的每个站点均部署域控制器。

例如，银行通常在每个支行都安装 DC。

其中的逻辑是每个支行的用户都能登录并访问本地网络资源，即使 WAN 失效也能如此。

那时，实际的 DC 安全需求没有被很好地理解。

我看到过控制器堆放在桌子下面，路过的人可以轻易接触到它们。

直到几年后，Active Directory 架构师才完全领会到不安全的 DC 所带来的安全风险，IT 组织开始将 DC 重新放回到中央数据中心。

这以使分支用户必须经由 WAN 进行验证，但由于提高了安全性，这也是值得的。

Windows Server 2008 中的 Active Directory 通过引进只读域控制器或 RODC 改变了分支部署的规则。

它们是 Windows Server 2008 域服务中最大的变化。

Active Directory 团队在设计 RODC 时重点考虑了分支机构的需求，他们的目标是“在分支机构就地解决问题”。

这其中的要点是如果您在实际条件不安全的分支部署了 DC，基本上您是无法防止 DC（和信任它的机器）受到攻击的，但是您可防止攻击向其他域扩散。

注意，即使这需要对 ADDS 基础结构做很大的更改，但 RODC 的实现并不复杂。

您的域必须处于 Windows Server 2003 的林功能级，并且域中必须至少有一个Windows Server 2008 DC。

除了是分支解决方案，在面对互联网的环境中和 DC 处于网络外围的情况下，RODC 同样发挥着重要的作用。

DC 离职在分支机构中，需要考虑几类威胁。

第一类是“DC 失窃”，即有人带着 DC 或 DC 的磁盘溜之大吉。

这不但会使本地的服务崩溃，攻击者最终还有可能得到域中所有的用户名和密码，并由得以访问保密资源或造成拒绝服务。

为防范这种威胁，默认情况下，RODC 不将密码哈希存储在其目录信息树 (DIT) 中。

因此，用户首次向特定的 RODC 进行身份验证时，RODC 会将该请求发送给域中的完全域控制器 (FDC)。

FDC 处理该请求，如果验证成功，RODC 会签发密码哈希复制请求。

受到攻击的 RODC 有可能请求敏感帐户的密码哈希。

为防止这种情况发生，域管理员可为每个 RODC 配置密码复制策略。

该策略由 RODC 计算机对象的两个属性组成。

msDS-RevealOnDemandGroup 属性包含密码缓存于 RODC 上的组、用户或计算机帐户的独有名称（它们通常是与 RODC 位于同一站点的用户和计算机）。

msDS-NeverRevealGroup 包含密码未缓存于 RODC 上的组、用户或计算机帐户的独有名称（例如，域管理员帐户绝不应将其密码哈希缓存于 RODC 上）。

如 RODC 请求特殊帐户的密码哈希，FDC 会根据密码复制策略评估请求，以确定是否应将密码哈希复制给 RODC。

如 DC 失窃，则受攻击的对象仅限于在从网络转移时在失窃 RODC 上缓存的密码，重要的密码不会受到攻击。

RODC 计算机对象包含的其他两个属性可以帮您精准确定应缓存其密码的帐户。

msDS-AuthenticatedAtDC 属性列出 RODC 已验证了密码的帐户，msDS-RevealedList 属性命名其密码当前由 RODC 存储的帐户。

用户和计算机密码哈希并不是 DC 存储的唯一秘密信息。

KrbTGT 帐户包含在每个域控制器上运行的 Kerberos 密钥分发中心 (KDC) 服务的密钥。

在通常情况下，域中的每个 KDC 共享相同的 KrbTGT 帐户，所以有可能攻击者从窃得的 DC上获取这些密钥，然后使用它们攻击域的其余部分。