一、認識Windows 的域 本小節(jié)重點從理論上闡述域的概念、作用和Windows 中域的產生。 一臺Windows 計算機，它要么隸屬于工作組，要么隸屬于域。所以說到域，我們就不得不提一下工作組，工

一、認識Windows 的域
本小節(jié)重點從理論上闡述域的概念、作用和Windows 中域的產生。
一臺Windows 計算機，它要么隸屬于工作組，要么隸屬于域。所以說到域，我們就不得不提一下工作組，工作組是MS 的概念，一般的普遍稱謂是對等網。工作組通常是一個由不多于10 臺計算機組成的邏輯集合，如果要管理更多的計算機，MS 推薦你使用域的模式進行集中管理，這樣的管理更有效。你可以使用域、活動目錄、組策略等等各種功能，使你網絡管理的工作量達到最小。當然這里的10 臺只是一個參考值，11 臺甚至20 臺，如果你不想進行集中的管理，那么你仍然可以使用工作組模式。工作組的特點就是實現(xiàn)簡單，不需要域控制器DC，每臺計算機自己管理自己，適用于距離很近的有限數(shù)目的計算機。另外工作組名并沒有太多的實際意義，只是在網上鄰居的列表中實現(xiàn)一個分組而已；再就是對于“計算機瀏覽服務”，每一個工作組中，會自動推選出一個主瀏覽器，負責維護本工作組所有計算機的NetBIOS 名稱列表。用戶可以使用默認的workgroup，也可以任意起個名字，同一工作組或不同工作組在訪問時也沒有什么分別。域（Domain）是一個共用“目錄服務數(shù)據(jù)庫”的計算機和用戶的集合，實現(xiàn)起來要復雜一些，至少需要一臺計算機安裝NT/2000/03 Server 版本使其充當DC，來實現(xiàn)集中式的管理。若考慮到容錯的話，至少需要兩臺。對于NT4 域就是一臺PDC（具有唯一性），一至多臺BDC，對于2000/03 域，已經沒有PDC 和BDC 的概念，要容錯就需要兩至多臺DC。域是邏輯分組，與網絡的物理拓撲無關，可以很小，比如只有一臺DC；也可以很大，包括遍布世界各地的計算機，比如大型跨國公司網絡上的域（當然實際中他們多采用多域結構，還可以利用AD 站點來優(yōu)化AD 復制）。這個“目錄服務數(shù)據(jù)庫”，在NT4 時，保存用戶帳號名稱和密碼等安全安全信息，以及安全規(guī)則設置，又被稱作安全帳號管理（SAM）數(shù)據(jù)庫，簡稱SAM 庫。在非DC 上的本地的SAM庫與DC 上域所用的SAM 庫類似，只不過對于NT4 域的SAM 庫文件，保存有整個域的用戶和計算機，用“域用戶管理器”和“服務器管理器”來管理，本地的SAM 庫文件，保存有本地機的用戶，由“用戶管理器”來管理。
從2000 開始，MS 引入了活動目錄AD，DC 通過AD 來提供目錄的服務，例如它負責維護AD 數(shù)據(jù)庫、審核用戶的賬戶和密碼是否正確、將AD 數(shù)據(jù)庫復制到其它的DC 等。AD 庫的核心文件就是winntntdsntds.dit 文件。注意組策略的具體設置值，并不存在這個文件中，而是保存在winntsysvolsysvol 這個共享夾下，用于向其它DC 復制，傳播給域成員，來