Active Directory结构白皮书
AD域活动目录解决方案
AD域活动目录解决方案
Active Directory是Windows操作系统中提供的分布式目录服务，可用于组织网络中的用户、计算机、设备和其他资源，它还可以提供安全访问控制。
Active Directory（AD）域是一种用于管理客户端和服务器的扩展架构，其组织机构具备其他域管理的灵活性和可扩展性。
Active Directory域活动目录解决方案是使用Active Directory和其他安全技术，如Kerberos认证，来管理网络中的资源。
它可以提供一个中央位置，用于存储和管理所有网络中的计算机、文件、用户和应用程序等网络资源的信息和特征。
Active Directory域活动目录解决方案可以帮助提高网络的安全性和可用性，并有助于提高网络管理的效率。
该解决方案可以为网络管理员提供许多有用的工具，以便他们可以有效地管理网络中的用户、计算机、文件夹和其他资源。
Active Directory域还可以支持安全访问控制，这可以使网络中的资源保护得更加安全。
AD域活动目录解决方案可以提供企业级的安全性和访问控制，可以有效地实现多租户环境下的分布式目录服务。
它可以支持动态的目录结构和分层的安全管理，这些结构可以帮助企业更好地管理其网络资源。
AD 域活动目录解决方案还可以支持远程访问、打印服务、虚拟网络管理和其他网络功能，使网络管。
简述active directory结构
简述active directory结构
Active Directory（AD）是Windows Server操作系统中的目录服务，用于存储、管理和组织网络对象的信息，例如用户、计算机、打印机和共享文件夹等。
其结构主要包括以下组件：
1. 域：域是AD的基本单位，是一组网络对象的集合，可以将其看作是一个大型的目录数据库。
每个域都有一个域控制器（Domain Controller），负责管理该域的所有活动。
2. 目录树：一个或多个域可以组成一个目录树。
目录树以一个域作为根域，其他域作为子域。
根域控制器管理整个目录树，其他域控制器则管理各自域内的对象。
3. 目录林：一个或多个目录树可以组成一个目录林。
目录林以一个目录树作为根目录树，其他目录树作为子目录树。
根目录树的管理员可以对整个目录林进行管理，而其他目录树的管理员只能管理各自目录树内的对象。
4. 组织单元（OU）：组织单元是一种特殊类型的目录对象，用于将用户和计算机等对象组织成逻辑单元。
OU可以用来表示组织结构、地理位置或安全策略等信息。
5. 信任关系：信任关系是AD中不同域之间的一种关系，允许一个域的用户访问另一个域的对象。
例如，当一个用户从外部网络登录到内部网络时，可以通过信任关系进行身份验证和授权。
以上是Active Directory的基本结构，通过这种结构，管理员可以方便地管理网络中的对象，并确保安全性和可靠性。
active directory基本概念
active directory基本概念Active Directory（AD）是由Microsoft开发的一种目录服务，用于在网络中管理和组织用户、计算机、打印机等资源。
它提供了一个集中式数据库和认证服务，用于在组织内建立和维护网络中的对象的层次结构。
以下是一些关于Active Directory 的基本概念：1. 目录服务（Directory Service）：• Active Directory 是一个目录服务，其主要作用是存储和组织网络中的对象信息，如用户、计算机、打印机等。
这些对象按照层次结构进行组织，形成一个树状的目录。
2. 域（Domain）：•在Active Directory中，域是一个逻辑上的组，用于组织和管理网络中的对象。
每个域都有一个唯一的域名，域内的对象可以相互共享资源和认证信息。
3. 林（Forest）：•一个林（Forest）是一个包含一个或多个域的集合。
域与域之间可以建立信任关系，形成一个林。
每个林都有一个共享的林根（Forest Root），所有域都共享这个林根。
4. 域控制器（Domain Controller）：•域控制器是运行Active Directory服务的服务器。
每个域至少有一个域控制器，它存储了该域的目录信息，并提供认证和授权服务。
5. 组织单位（Organizational Unit，OU）：•组织单位是用于组织和管理域内对象的容器。
OU可以包含用户、组、计算机等，并可以在OU内应用特定的策略。
6. 组（Group）：•组是一种将用户、计算机等对象集合在一起的方式，以便更轻松地管理这些对象的权限和设置。
7. 用户和计算机账户：• Active Directory存储了用户和计算机的信息，包括登录名、密码、权限等。
用户和计算机账户可以被组织在域内的不同容器中。
8. 域名服务（DNS）：• Active Directory使用DNS来命名和定位域控制器。
Active Directory _PPT
3
Ccr.corp.int
amr.corp.int
gar.corp.int
ger.corp.int
如图所示，就是一个域树。最上面的域名为, 它是此域的根域（root domain）；根域下面还有四个子域。域树中的所有域共享一个
7
全局编录
虽然在域树内的所有域共享一个AD, 但是AD数据却分散在各个域中。因 此，为了让用户、程序能快速找到 位 于 其 他 域 内 的 资 源 ， 在 Active directory 域服务设计了全局编录 （global catalog）。
全局编录的数据存储在域控制器
内，这台域控制器被称为全局
域控制器（Domain Controller）
AD 域服务的目录数据存储在域控制器中。一个域内可 以有多台域控制器，在任何一台域控制器内添加了一 个用户后，会自动复制（replicate）到其他域控制器 的Active Directory, 以便让所有域控制器的AD数据 都能够同步（synchronize）。域控制器是由服务器级 别的计算机来扮演的，例如Windows Server 2012 和 2008 R2.
活动目录，也就是在这个域树之下只有一个Active Directory, 不过这个AD内的数据是分散存储在各个域内的，每个域内只存储属于该域的数据。
4
信任关系
两个域之间必须创 建信任关系 （trust relationship）， 才能访问对方域内 的资源。一个新的 AD域被加入域树后， 这个域会自动信任 前一层的父域。
（dynamic update）。
※
10
创建第一台域控制器
我们将通过添加服务器角色的方式，将Server1升级为域控制器。
3-2 Active Directory的结构
AD的逻辑结构
01
AD的逻辑结构
架构；域； 组织单位； 域目录树； 域目录林；
站点； 目录分区。
组织单位
组织单位（Organizational Unit， OU）是包含在活动目录中的窗口 对象。
AD的逻辑结构
01
AD的逻辑结构
架构；域； 组织单位； 域目录树； 域目录林；
站点； 目录分区。
域目录树
02
AD的物理结构
域控制器；只读域控制器； 全局编录服务器。
站点； 目录分区。
AD的逻辑结构
01
AD的逻辑结构
架构；域； 组织单位； 域目录树； 域目录林；
站点； 目录分区。
架构
AD DS对象类型与属性数据是定 义在架构（Schema）内的。
AD的逻辑结构
01
AD的逻辑结构
架构；域； 组织单位络管理员定义的一组计算 机集合，它实际上就是一个网络。
AD的物理结构
02
AD的物理结构
域控制器 只读域控制器 全局编录服务器
全局编录服务器
全局编录（Global Catalog， GC）。全局编录服务器是一台DC， 它保存了全局编录的一份副本。
Active Directory的结构
01
AD的逻辑结构
架构；域；组织单位； 域目录树；域目录林；
站点；目录分区。
Active Directory的结构
主讲人：徐培镟
Active Directory的结构
01
AD的逻辑结构
架构；域；组织单位； 域目录树；域目录林；
站点；目录分区。
02
AD的物理结构
域控制器；只读域控制器； 全局编录服务器。
Active Directory管理之六共11页word资料
Active Directory管理之六:活动目录数据库维护维护活动目录数据库是一个很重要的管理任务，它需要定期帮助覆盖丢失和出错的数据，修正活动目录数据库。
活动目录数据库存储包含有 AD 中所有数据，所以活动目录数据库维护是一项非常重要的工作。
一般情况下，管理员很少会直接管理活动目录数据库，因为有规律维护活动目录数据库是一个很重要的管理任务，它需要定期帮助覆盖丢失和出错的数据，修正活动目录数据库。
活动目录数据库存储包含有 AD 中所有数据，所以活动目录数据库维护是一项非常重要的工作。
一般情况下，管理员很少会直接管理活动目录数据库，因为有规律的自动化数据库管理可以维护数据库健康。
这些自动进程包括活动目录数据库联机碎片整理和清除已删除的垃圾收集。
对于需要直接管理活动目录数据库，可以使用ntdsutil工具进行管理。
一、活动目录数据文件介绍活动目录数据文件默认存储在C:\Windows\NTDS目录下：1.edb.chk：这是检查点文件。
edb.chk文件存储数据库的检查点，这些检查点标识数据库引擎需要重复播放日志的点，通常在恢复或初始化时。
2.edbxxxxx.log：事务日志文件。
edb.log是日志文件，对数据库进行更改后，将该更改写入到edb.log文件中。
当edb.log文件充满事务之后，会被重新命名为 edbxxxxx.log，日志文件从edb00001开始，并使用十六进制数累加。
由于ActiveDirectory使用循环记录，所以在旧日志文件写入数据库之后，这些旧日志文件会及时删除。
在任何时刻都可以找到edb.log文件，而且还可能有一个或多个Edbxxxxx.log文件。
3.edbresxxxx.jrs：这些文件是保留的日志文件仅当含有日志文件的磁盘空间不足时使用。
如果当前的日志文件填满了且由于磁盘剩余空间不足服务器不能创建新的日志文件，服务器会将当前记忆体中的活动目录处理记录到两个保留日志文件中然后关闭活动目录。
vxrail白皮书
vxrail白皮书VxRail是一种基于VMware软件定义技术和Dell EMC硬件的超融合基础设施解决方案。
它的设计旨在提供简单、高效和强大的IT基础设施，以支持企业的现代化工作负载。
本白皮书将介绍VxRail超融合基础设施的架构、功能和优势。
我们将详细解释VxRail超融合基础设施的关键技术和组件，并探讨它如何提供高性能、可靠性和弹性，以满足企业不断增长的需求。
VxRail超融合基础设施是由计算、存储和网络组件组成的一体化解决方案。
它采用了软件定义存储(SDS)和软件定义网络(SDN)技术，以提供高度集成的虚拟化环境。
在VxRail超融合基础设施中，计算节点由多个物理服务器组成，每个服务器配有强大的多核处理器、大内存容量和高速存储驱动器。
这些计算节点共享统一存储池，以提供高吞吐量和低延迟的存储性能。
VxRail超融合基础设施采用了高度自动化的管理平台，用于部署、监视和维护整个基础设施。
管理员可以通过这个平台进行集中管理，并轻松实现资源弹性伸缩和自动化操作。
VxRail超融合基础设施的主要功能包括：1. 高性能：VxRail采用了最新的硬件技术和优化的软件算法，以提供卓越的计算和存储性能。
它支持高密度虚拟机部署和密集的I/O工作负载，可以满足企业的高性能需求。
2. 可靠性：VxRail具有多层次的数据保护功能，包括快照、备份和容灾技术。
它可以提供高可用性和灾难恢复能力，确保企业的数据始终安全可靠。
3. 弹性：VxRail超融合基础设施具有良好的扩展性和灵活性。
企业可以根据需要扩展计算和存储资源，以适应不断增长的工作负载。
4. 简化管理：VxRail提供了一套直观、易用的管理工具，使管理员能够轻松地配置、监视和维护整个基础设施。
它还支持自动化操作，可以大大减少日常管理工作量。
5. 兼容性：VxRail完全兼容VMware软件定义技术，包括vSphere、vSAN和NSX等。
它还与Dell EMC的其他解决方案集成，包括备份和恢复、复制和数据保护等。
AD域维护手册
青蛙學堂AD域维日常维护手册一、Active Directory (域) 介绍Active Directory 的体系结构介绍Active Directory 的体系结构分为逻辑结构和物理结构。
必须对Active Directory 的逻辑结构与物理结构进行规则，才能较好地满足企业的需求。
为了管理Active Directory ，必须首先理解这些结构。
Active Directory 的作用Active Directory可以存储用户、计算机和网络资源的信息，并且使资源可以被用户和应用程序访问。
它提供了一种统一的方法来命名、描述、定位、访问、管理、和保护这些资源。
Active Directory具有如下功能：l对网络资源的集中控制。
通过对诸如服务器、共享文件和打印机等的资源进行集中控制，只有授权用户可以访问Active Directory 中的资源……例如，可以通过给行政部的激光打印机设置权限，设置只有行政部人员可以使用该打印机……从而避免非法使用和资源浪费。
l集中和分散管理。
管理员通过一致的管理界面，能够可以编写一个组策略，使得某个应用程序的升级包能够在网络中每个用户开机的时候就自动安装，从而分散管理任务。
例如，管理员可以把销售部的计算机和打印机纳入到一个组织单元中，将它们的管理权限委派给销售部的技术支持人员，从而减少自己的工作量。
l在逻辑结构中安装地存储对象。
Active Directory 使用层次逻辑结构把所有资源作为对象存储。
例如，可以按照公司的组织结构和业务需求来组织相应的组织单元，将网络资源分布在相应的组织单元中，实现分级管理。
Active Directory 还会对储在其中的对象进行加密，这样可以保证数据的安全。
l优化网络流量，Active Directory 物理结构能够更加高效地使用网络带宽，例如，当用户登录到网络时，能够保证用户是由离他们最近的验证中心进行身份验证，从而减小了网络流量。
简述active directory的功能 -回复
简述active directory的功能-回复Active Directory（AD）是一种由微软开发的目录服务，用于管理网络中的用户、计算机和其他网络资源。
它提供了一种集中式的方式来组织、管理和授权访问网络资源，从而提高网络安全性、效率和管理灵活性。
本文将介绍Active Directory的功能，以及它在企业网络中的重要作用。
一、认识Active DirectoryActive Directory是一种目录服务，它允许网络中的管理员将用户、计算机、组织单元（OU）等组织成一个层次结构，并为之分配适当的权限和访问控制。
用户可以通过单一的登录凭据来访问网络中的各种资源，无需为每个资源单独验证身份。
这种集中管理和认证的方式大大简化了管理员的工作，提高了用户的便利性和使用效率。
二、用户和计算机管理Active Directory允许管理员集中管理网络中的用户和计算机。
管理员可以创建和删除用户账户，配置密码策略，重置密码，以及授权用户的访问和权限等。
此外，管理员还可以将用户组织成组织单元（OU）和组，以便更好地组织和管理用户。
对于计算机，管理员可以将其加入域，为其分配正确的访问权限和配置策略，以确保网络安全性和资源的正确使用。
三、证书服务Active Directory集成了证书服务（Certificate Services），用于颁发和管理数字证书。
数字证书是一种用于认证身份和加密通信的安全工具。
通过集成证书服务，Active Directory可以为企业内部的用户和计算机签发数字证书，通过证书来验证身份和实现安全通信，保护数据的完整性和保密性。
四、资源共享和访问控制Active Directory提供了强大的资源共享和访问控制功能。
通过将资源（如文件夹、打印机等）添加到Active Directory中，管理员可以有效地控制用户对这些资源的访问权限。
管理员可以根据需要为用户、组或计算机分配不同级别的权限，例如只读、读写或完全控制权限。
Active Directory 产品操作指南
Active Directory 产品操作指南第 1 章—介绍本章提供了有关维护Active Directory 所必须执行的过程的详细信息。
这些过程是按照其所属的MOF 象限来排列顺序，在每个象限中则遵照构成该象限的MOF 服务管理功能(SMF) 指南。
本页内容1.文档目的 (2)2.面向对象 (2)3.使用本指南 (2)4.背景 (2)5.参与人员 (4)文档目的本指南描述了用于改进信息技术(IT) 基础结构中Microsoft® Active Directory® 目录服务管理的过程和步骤。
返回页首面向对象本材料将有助于规划部署该产品至现有的IT 基础结构，尤其是基于IT 基础结构库(ITIL)（一整套IT 服务管理的最佳做法）和微软操作框架(MOF) 的部署。
本材料主要针对于两个主要组：IT 经理和IT 支持职员（包括分析和服务台专家）。
返回页首使用本指南本指南分为五个章节。
第一章提供了基本的背景信息。
第二章提供了维护本产品所需要的高级过程表。
第三章对维护章节中所描述的过程进行了详细研究，并使其与构成每个过程的步骤和任务相对应。
第四章依据每个过程的角色对过程进行了组织。
第五章包含了提供步骤详细信息的附录，其中包括需求和步骤。
本指南可作为单独的一卷进行阅读，包括详细的维护和疑难解答部分。
这种阅读方式可提供必要的上下文，如此可更容易理解本文档之后的材料。
不过，某些读者愿意将此文档作为参考材料，仅在需要时用于查找信息。
返回页首背景本指南基于Microsoft Solutions for Management (MSM)。
MSM 提供了最佳做法、最佳实施服务以及最佳自动化操作，所有这些均有助于客户实现操作的卓越表现，高质量服务、行业可靠性、可用性、安全性以及较低的总拥有成本(TCO) 可证明这一切。
这些MSM 最佳做法均基于以ITIL 为中心的结构化、而又灵活的MOF 方法。
ActiveDirectory轻型目录服务入门循序渐进指南
ActiveDirectory轻型⽬录服务⼊门循序渐进指南Active Directory 轻型⽬录服务⼊门循序渐进指南更新时间: 2007年9⽉应⽤到: Windows Server 2008以前称为 Active Directory 应⽤程序模式 (ADAM) 的 Active Directory(R) 轻型⽬录服务 (AD LDS) 是⼀种轻型⽬录访问协议(LDAP) ⽬录服务，对启⽤⽬录的应⽤程序提供数据存储和检索⽀持，⽆需 Active Directory 域服务 (AD DS) 要求的依存关系。
可以在⼀台计算机上同时运⾏多个 AD LDS 实例，每个 AD LDS 实例都有⼀个独⽴管理的架构。
有关 AD LDS 的详细信息，请参阅 Active Directory 轻型⽬录服务概述(/doc/deacf48202d276a200292ea7.html /fwlink/?LinkId=96084)（可能为英⽂⽹页）。
有关配置 ADAM 的详细信息，请参阅“ADAM 部署循序渐进指南”(/doc/deacf48202d276a200292ea7.html /fwlink/?LinkId=96083)（可能为英⽂⽹页）。
关于本指南本指南描述了安装和运⾏ AD LDS 的过程。
您可以使⽤本指南中的过程在⼩测试实验室环境中在正在运⾏ Windows Server? 2008 操作系统的服务器上安装 AD LDS。
当完成本指南的步骤后，您将能够：安装 AD LDS 服务器⾓⾊和练习使⽤ AD LDS 实例。
练习使⽤ AD LDS 管理⼯具。
练习在 AD LDS 中创建和管理组织单位 (OU)、组和⽤户。
练习创建和删除 AD LDS 应⽤程序⽬录分区。
查看、授予和拒绝 AD LDS ⽤户权限。
练习通过多种⽅式绑定到 AD LDS 实例。
练习管理 AD LDS 配置集。
备注要求在开始使⽤本指南中的步骤之前，请执⾏以下有关系统需求的操作：具有⾄少⼀台测试计算机可⽤于安装 AD LDS。
Chapt-9
第9 章- 设计Active Directory 结构Microsoft® Windows® 2000 Server 包括名为Active Directory™.的目录服务。
本章所介绍的Active Directory概念、体系结构元素和功能，能帮助本单位的 IT 体系结构设计人员和策略规划人员创建设计文档，这些文档对于成功部署Microsoft® Windows® 2000 Active Directory 必不可少。
在阅读本章之前，详细了解本单位的 IT 管理组、管理层次结构和网络拓扑是很重要的。
了解这些情况可帮助您将本章的规划指导方针应用到您自己的具体环境中。
本章内容Active Directory 概述Active Directory 规划制定目录林规划制定域规划制定部门规划制定站点拓扑规划设计 Active Directory 结构规划任务列表本章目标本章将帮助您创建下列规划文档：∙目录林规划∙每个目录林的域规划∙每个域的部门(OU) 规划∙每个目录林的站点拓扑规划资源工具包中的相关信息∙有关将域迁移到Windows 2000 的详细信息，参见本书中的“确定域迁移策略”。
∙有关 Windows 2000 安全标准（例如 Kerberos 协议）的详细信息，参见本书中的“规划分布式安全性”。
∙有关高级网络的详细信息，参见本书中的“确定网络连接策略”。
∙有关 Microsoft®IntelliMirror™或组策略的详细信息，参见本书中的“应用更改与配置管理”。
∙有关 Active Directory 的详细技术信息，参见Microsoft® Windows® 2000 Server Resource Kit Distributed Systems Guide.∙有关域名系统(DNS) 的详细信息，参见Microsoft®Windows®2000 Server Resource Kit TCP/IP Core Networking Guide 中的 "Introduction to DNS" 和 "Windows 2000 DNS"。
Active Directory 技术简介及Active Directory部署之完全手册
Active Directory 技术Active DirectoryActive Directory是指Windows 2000网络中的目录服务。
它有两个作用：1.目录服务功能。
Active Directory提供了一系列集中组织管理和访问网络资源的目录服务功能。
Active Directory使网络拓扑和协议对用户变得透明，从而使网络上的用户可以访问任何资源（例如打印机），而无需知道该资源的位置以及它是如何连接到网络的。
Active Directory被划分成区域进行管理，这使其可以存储大量的对象。
基于这种结构，Active Direct ory可以随着企业的成长而进行扩展。
从仅拥有一台存储几百个对象的服务器的小型企业，扩展为拥有上千台存储数百万个对象的服务器的大型企业。
2.集中式管理。
Active Directory还可以集中管理对网络资源的访问，并允许用户只登陆一次就能访问在Active Direct ory上的所有资源。
Active Directory 的优点在Windows 2000 操作系统中引入Active Directory 有以下优点：∙与DNS 集成。
Active Directory 使用域名系统(DNS)。
DNS 是一种Internet 标准服务，它将用户能够读取的计算机名称（例如）翻译成计算机能够读取的数字Internet 协议(IP) 地址（由英文句号分隔的四组数字）。
这样，在TCP/IP 网络计算机上运行的进程即可相互识别并进行连接。
∙灵活的查询。
用户和管理员如果要通过对象属性快速查找网络中的对象，可使用“开始”菜单中的“查找”命令、桌面上的“网上邻居”图标或者是Active Directory 用户和计算机管理单元。
例如，您可以按照一个用户帐户的姓名、电子邮件名、办公地点或其他属性查找该用户。
而且,使用全局编录优化了查找信息的操作。
∙可扩展性。
Active Directory 是可扩展的；也就是说，管理员既可以在架构中添加新的对象类别，也可在原有的对象类别中添加新属性。
Active Directory
Active DirectoryActive Directory就是我们常说的活动目录，在很多的情况下我们会听到这个词，有人说Active Directory就是把一个局域网的所有资源都当成目录的一部分来管理的一种服务。
我整理一些资料希望对要研究Active Directory的人有点帮助。
Microsoft 的Active Directory 是一种目录服务，它提供用户信息、网络资源和服务等中心分层存储器。
还可以扩展这个目录服务中的信息，同时存储企业感兴趣的自定义数据。
例如，MicrosoftExchange Server 和Microsoft Dynamics 广泛使用Active Directory 来存储公共文件夹和其他项。
在Active Directory 发布之前，Exchange Server 使用它自己的私有存储器来存储对象。
系统管理员必须为一个人配置两个用户ID：Windows NT 域中的用户账户(启用登录)，和Exchange Directory中的用户账户。
这是必需的，因为需要用户的其他信息(如电子邮件地址，电话号码等)，NT 域的用户信息不能扩展，以添加需要的信息。
Active Directory 的功能Active Directory 的功能可以总结为：● Active Directory 中的数据以分层的方式组合。
对象可以存储在其他容器对象中。
用户并不是放在一个大型用户列表中，而是组合到组织单元中。
因为组织单元可以包含其他组织单元，所以以这种方式可以构建一个树型视图。
● Active Directory 使用多主机复制方式(multimaster replication)。
在Active Directory 中，每个域控制器(DC)都是主机。
在多主机模型中，更新可以应用于所有DC。
与单主机模型相比，这个模型的伸缩性比较高，因为可以同时在不同的服务器上进行更新。
该模型的缺点是复制起来比较复杂。
Active Directory技术介绍
Active Directory 技术概述Microsoft 公司发布日期： 2002年7月摘要在Microsoft® Windows® 2000操作系统的基础之上， Windows Server 2003家族中的Active Directory® 服务引入了一些关键特性，以确保它能够成为当今市场上最为灵活的目录服务之一。
随着基于目录的应用日益流行，各类组织可以开始使用Active Directory管理各种复杂的企业网络环境。
此外， Windows Server 2003产品家族还提供了众多的新功能，这使得它成为了开发和部署基于目录的应用程序的理想平台。
本文介绍了Active Directory的基本概念，并且概括了Windows Server 2003中的Active Directory所具有的一些新增功能和增强特性。
本白皮书只是预备性文档，并有可能在其所描述的软件产品投入最终商业发布之前接受实质性修订。
本文档所提供的信息资料仅代表Microsoft公司在信息发布当日就研讨活动所围绕的问题持有的临时观点。
鉴于Microsoft公司必须针对瞬息万变的市场状况不断做出相应调整，故而，本文档内容不应被解释为Microsoft方面所做出的任何承诺，与此同时，Microsoft也无法在发布之日后继续保证文件所含信息的准确性。
本白皮书仅供用于信息参考目的。
Microsoft并未在本文档中提供任何形式的保证、明示或暗示。
遵守所有适用版权法律是文档使用者所应承担的义务。
Microsoft公司虽未在版权保护下就与本文档相关的权利做出任何限定，但是，任何人未经Microsoft公司书面授权许可，均不得出于任何目的、以任何形式、利用任何手段（电子、机械、影印、录音等）将本文档的任何组成部分制作成拷贝、存储或引入检索系统、亦或向任何对象进行传送。
Microsoft公司可能就本文档所涉及的主题拥有专利、专利申请、商标、版权或其它形式的知识产权。
Active Directory 结构白皮书
简介
要想了解Windows 2000操作系统如何实现其功能，及其对完成企业目标能够提供哪些帮助，就必须先了解Active Directory™目录服务。本文从以下三个方面介绍Active Directory：
存储。Active Directory，即Windows® 2000 Server目录服务，可分层存储网络对象的信息，并向管理员、用户和应用程序提供这些信息。本文首先解释目录服务的概念、Active Directory服务与Internet域名系统(DNS)的集成，以及当您将服务器指定为域控制器1时，Active Directory是如何实现的。
DNS的域名以DNS分层命名结构为基础，这是一个反向树结构：最上方是一个根域，下面是父域和子域（枝和叶）。例如，有个Windows 2000域名是：；这表明域名child是域名parent的子域，而parent本身也是域的一个子域。
DNS域的每台计算机都可依据其完全合格的域名(FQDN)加以唯一识别。位于域的计算机的FQDN是。
每个Windows 2000域都有一个DNS名称（如），并且每台基于Windows 2000的计算机都有一个DNS名称（如）。因而，域和计算机都用Active Directory对象和DNS节点来表示（DNS分层结构中的一个节点代表一个域或一台计算机）。
灵活的查询。用户和管理员如果要通过对象属性快速查找网络中的对象，可使用“开始”菜单中的“查找”命令、桌面上的“网上邻居”图标或者是Active Directory用户和计算机管理单元。例如，您可以按照一个用户帐户的姓名、电子邮件名、办公地点或其他属性查找该用户。而且,使用全局编录优化了查找信息的操作。
DNS与Internet
ActiveDirectory简介
Active Directory简介活动目录（Active Directory）是面向Windows Standard Server、Windows Enterprise Server和 Win dows Datacenter Server的。
（Active Directory不能运行在Windows Web Server上，可是能够通过它对运行Windows Web Server的运算机进行治理。
）Active Directory存储了有关网络对象的信息，而且让治理员和用户能够轻松地查找和利用这些信息。
Active Directory利用了一种结构化的数据存储方式，并以此作为基础对目录信息进行合乎逻辑的分层组织。
Microsoft Active Directory 效劳是Windows 平台的核心组件，它为用户治理网络环境各个组成要素的标识和关系提供了一种有力的手腕。
目录形式的数据存储人们常常将数据存储作为目录的代名词。
目录包括了有关各类对象 [例如用户、用户组、运算机、域、组织单位（OU）和平安策略] 的信息。
这些信息能够被发布出来，以供用户和治理员的利用。
目录存储在被称为的效劳器上，而且能够被网络应用程序或效劳所访问。
一个域可能拥有一台以上的域操纵器。
每一台域操纵器都拥有它所在域的目录的一个可写副本。
对目录的任何修改都能够从源域操纵器复制到域、或丛林中的其它域操纵器上。
由于目录能够被复制，而且所有的域操纵器都拥有目录的一个可写副本，因此用户和治理员即能够在域的任何位置方便地取得所需的目录信息。
目录数据存储在域操纵器上的文件中。
咱们建议将该文件存储在一个NTFS分区上。
有些数据保留在目录数据库文件中，而有些数据那么保留在一个被复制的文件系统上，例如登录脚本和组策略。
有三种类型的目录数据会在各台域操纵器之间进行复制：•域数据。
域数据包括了与域中的对象有关的信息。
一样来讲，这些信息能够是诸如电子邮件联系人、用户和运算机帐户属性和已发布资源如此的目录信息，治理员和用户可能都会对这些信息感爱好。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
Active Directory 结构操作系统白皮书摘要要发挥Microsoft® Windows® 2000 Server 操作系统的最大作用，必须首先了解 Active Directory™ 目录服务。
Active Directory 是 Windows 2000 操作系统的新内容，它在实施组织的网络、进而实现组织的商业目标中占有重要地位。
本文向网络管理员介绍 Active Directory，解释其结构，阐述其如何与应用程序及其他目录服务进行交互操作。
本文以Windows 2000 Beta 3 发行时有效的信息为基础。
在Windows 2000 Server 的最终版本发行之前，本文提供的信息可能会随时更改。
简介要想了解 Windows 2000 操作系统如何实现其功能，及其对完成企业目标能够提供哪些帮助，就必须先了解 Active Directory™ 目录服务。
本文从以下三个方面介绍 Active Directory：•存储。
Active Directory，即Windows® 2000 Server 目录服务，可分层存储网络对象的信息，并向管理员、用户和应用程序提供这些信息。
本文首先解释目录服务的概念、Active Directory 服务与 Internet 域名系统 (DNS) 的集成，以及当您将服务器指定为域控制器1时，Active Directory 是如何实现的。
•结构。
使用 Active Directory，可以根据结构组织网络及其对象，这些结构包括域、目录树、目录林、信任关系、部门 (OU) 和站点。
本文第二节阐述这些 ActiveDirectory 组件的结构和功能，以及管理员采用该体系结构对网络实施管理的方式，从而有助于用户实现其商业目标。
•相互通信。
Active Directory 以标准目录访问协议为基础，因此能够与其他目录服务进行交互操作，并可接受遵守这些协议的第三方应用程序的访问。
最后一节阐述Active Directory 与其他各种技术进行通信的方式。
Active Directory 的优点在 Windows 2000 操作系统中引入 Active Directory 有以下优点：•与 DNS 集成。
Active Directory 使用域名系统 (DNS)。
DNS 是一种 Internet 标准服务，它将用户能够读取的计算机名称（例如 ）翻译成计算机能够读取的数字 Internet 协议 (IP) 地址（由英文句号分隔的四组数字）。
这样，在 TCP/IP 网络计算机上运行的进程即可相互识别并进行连接。
•灵活的查询。
用户和管理员如果要通过对象属性快速查找网络中的对象，可使用“开始”菜单中的“查找”命令、桌面上的“网上邻居”图标或者是 Active Directory 用户和计算机管理单元。
例如，您可以按照一个用户帐户的姓名、电子邮件名、办公地点或其他属性查找该用户。
而且,使用全局编录优化了查找信息的操作。
•可扩展性。
Active Directory 是可扩展的；也就是说，管理员既可以在架构中添加新的对象类别，也可在原有的对象类别中添加新属性。
架构包含每个对象类别的定义，以及能够存储于目录中的每个对象类别的属性。
例如，您可能会为 User 对象添加 Purchase Authority 属性，然后将每个用户的购买权限额保存为用户帐户的一部分。
•基于策略的管理。
组策略是在初始化时应用于计算机或用户的配置设置。
所有组策略设置都包含在应用于 Active Directory 站点、域或部门的组策略对象 (GPO) 中。
GPO 设置决定了对目录对象和域资源的访问权限、用户可使用的域资源（如应用程序），以及这些域资源针对其用途的配置方式。
•可伸缩性。
Active Directory 包括一个或多个域，每个域均有一个或多个域控制器，由此，您能够对目录进行自由扩展，从而满足所有网络的需求。
多个域可合并成一个域目录树，多个域目录树可合并成一个目录林。
在只有一个域的最简单的网络结构中，该域既是一个目录树，又是一个目录林。
•信息复制。
Active Directory 使用多主机复制，使您可以更新任何域控制器中的目录。
在一个域中部署多个域控制器还提供了容错能力和负载平衡功能。
因为这些域控制器包含同样的目录数据，所以，如果域内的一个域控制器速度变慢、停止或出现故障，同一域内的其他域控制器即可提供必要的目录访问功能。
•信息安全。
在 Windows 2000 操作系统中，用户身份验证和访问控制的管理都与Active Directory 完全结合在一起，这是该系统的一项关键性安全功能。
ActiveDirectory 将身份验证集中进行。
不仅可以定义对目录中每个对象的访问控制，还可定义对每个对象的每个属性的访问控制。
此外，Active Directory 还为安全策略提供了存储区和应用范围。
（关于 Active Directory 登录身份验证和访问控制的详细信息，请参阅本文结尾外的“其它信息”。
）•互操作性。
由于 Active Directory 以标准目录访问协议（例如轻型目录访问协议(LDAP)）为基础，因此它能够与其他采用这些协议的目录服务进行交互操作。
有些应用程序编程接口 (API)--例如 Active Directory 服务接口 (ADSI)--允许开发者访问这些协议。
在本文结尾，“附录A：工具”提供了一些软件工具的简要概述，您可以使用这些工具执行与 Active Directory 有关的任务。
Active Directory 目录服务在进入本文主要部分--Active Directory 结构与互操作性--之前，此节作为预备内容，从两个区别很大的角度简单介绍 Active Directory：•第一个角度是从 Active Directory 的最抽象意义上介绍，即：Active Directory 是一个与 Internet 域名系统 (DNS) 集成的名称空间。
•第二个角度是从 Active Directory 的最普通意义上介绍，即：它是将服务器转换成域控制器的软件。
在计算机网络上下文环境中，目录（又称数据存储区）是存储网络对象信息的分层结构。
对象包括共享资源，如服务器、共享卷和打印机；网络用户和计算机帐户以；域、应用程序、服务、安全策略，以及网络上的其他所有内容。
以下是网络目录可能存储的、与特殊对象类型有关的、特定种类信息的一个示例：一般情况下，目录会存储用户帐户的用户名、密码、电子邮件地址、电话号码等信息。
目录服务与目录的不同之处在于：它既是目录信息源，又是使信息对管理员、用户、网络服务和应用程序有效并可用的服务。
理想情况下，目录服务会使物理拓扑和协议（两个服务间传输数据所用的格式）透明化；这样，即使用户不知道资源的物理连接位置和连接方法，也能够访问资源。
我们可以继续以用户帐户为例：正是目录服务使同一网络中的其他授权用户能够访问针对用户帐户对象所保存的目录信息（如电子邮件地址）。
目录服务可支持多种不同的功能。
有些目录服务与操作系统集成，有些则是一些应用程序，如电子邮件目录。
Active Directory 等操作系统目录服务可提供对用户、计算机和共享资源的管理。
Microsoft Exchange 等处理电子邮件的目录服务使用户能够查找其他用户并发送电子邮件。
Active Directory 是一种新型的目录服务，是Windows 2000 Server 操作系统的核心，它只在域控制器中运行。
Active Directory 不但为数据提供了存储区以及使该数据有效的服务，而且还保护了网络对象，使其免受未经授权的访问，并防止跨网络复制对象，这样，即使一个域控制器出现故障，也不会导致数据丢失。
Active Directory 合并了 DNSActive Directory 和 DNS 都是名称空间。
名称空间是任一有界区域，在其中对给定的名称进行解析。
名称解析是把名称转换成该名称代表的某一对象或信息的过程。
例如，电话号码簿组成了一个名称空间，其中的电话用户名可解析成电话号码。
Windows NTFS 文件系统组成了一个名称空间，其中的文件名可解析为文件本身。
DNS 与 Internet要理解 Windows 2000 处理 Active Directory 和 DNS 名称空间的方式，需要先了解有关DNS 自身及其与 Internet 和 TCP/IP 之间关系的一些基本知识。
Internet 是一种 TCP/IP 网络。
TCP/IP 通讯协议连接计算机，并使计算机可通过网络传输数据。
Internet 或任何其他 TCP/IP 网络（如许多 Windows 网络）上的每台计算机都有一个 IP 地址。
DNS 定位TCP/IP 主机（计算机）的方法是：将最终用户能理解的计算机名称解析成计算机能读懂的 IP 地址。
可用分布到全球的 DNS 数据库来管理 Internet 上的 IP 地址，也可以在本地实施DNS，用于管理专用 TCP/IP 网络中的地址。
DNS 组织成不同层次的域，使整个 Internet 成为一个名称空间。
DNS 有几个顶级域，可进一步划分为第二级域。
Internet 域名空间的根由 Internet 职权部门（目前是 Internet 网络信息中心，简称 InterNIC）管理，该部门负责代理对 DNS 名称空间顶级域名的管理职责，并负责注册第二级域名。
顶级域名是一些大家熟悉的域类别，如商业组织 (.com)、教育组织 (.edu)、政府组织 (.gov) 等等。
对于美国以外的国家和地区，则用两个字母的国家/地区代码来表示，如英国用 .uk 表示。
第二级域名代表了以前在机构（和个体）中注册的名称空间，他们曾以这种方式实现了在 Internet 上的存在。
图 1 显示了公司网络连接到 Internet DNS 名称空间的方式。
图 1. Microsoft 如何适应 Internet DNS 名称空间。
DNS 与 Active Directory 名称空间的集成DNS 与 Active Directory 的集成是Windows 2000 Server 操作系统的核心功能。
DNS 域和Active Directory 域对不同的名称空间使用相同的域名。
因为两个名称空间共享一个相同的域结构，所以必须了解它们不是同一个名称空间。
每个名称空间保存了不同的数据，因而管理不同的对象。
DNS 保存区域2以及资源记录；Active Directory 保存域和域对象。