域結構簡介1、域的含義：域是由一群以網(wǎng)絡連接在一起的計算機所組成的，它們將計算機內的資源共享給其他人使用。2、與工作組結構網(wǎng)絡區(qū)別：域內所有的計算機共享一個集中式的目錄數(shù)據(jù)庫，它包括整個域內的用戶與安

域結構簡介

1、域的含義：

域是由一群以網(wǎng)絡連接在一起的計算機所組成的，它們將計算機內的資源共享給其他人使用。

2、與工作組結構網(wǎng)絡區(qū)別：

域內所有的計算機共享一個集中式的目錄數(shù)據(jù)庫，它包括整個域內的用戶與安全數(shù)據(jù)。而工作組結構的網(wǎng)絡，每臺計算機的位置平等?？梢韵嗷サ墓蚕?。

3、域中的計算機類型：

A 、 域控制器：只有WIN2000SERVER 才可以做域控制器，域控制器在一個網(wǎng)絡中可以有多個。一臺的目錄數(shù)據(jù)庫可以自動復制到別一個域服務器的目錄數(shù)據(jù)庫中，域可以審核登錄用戶的用戶名和密碼。多臺域服務器共同審核用戶的登錄可以提高效率

B 、 成員服務器：域內的WIN2000服務器如果不是域控制器，就是成員服務器，如果不加入域就獨立服務器，成員服務器沒有活動目錄，不能審核域用戶的登錄，但它們都自己的本地安全數(shù)據(jù)庫。以審核本地用戶。

C 、 其他計算機：其他計算機可以用來訪問這些計算機的資源。

活動目錄定義

一個電話本：其中有姓名、電話號、地址等，這些就是目錄，我可以很容易從找到所需的數(shù)據(jù)。目錄服務：就讓用戶很容易在目錄中查找所要的數(shù)據(jù)。而在WIN2000中，存儲用戶、組、打印機等對象相關數(shù)據(jù)的位置稱為目錄數(shù)據(jù)庫，負責提供目錄服務的組件稱為活動目錄。

1、 適用范圍

應用范圍很廣，可以在一臺計算機、一個計算機網(wǎng)絡，大至數(shù)據(jù)廣域網(wǎng)的組合。

2、 名稱空間

A 、 名稱空間的含義：就是一塊劃好的區(qū)域。在這個區(qū)域內，可以利用某個名字來找到與這個名字有關的信息。

B 、 WIN2000中的活動目錄就是“名稱空間”，可以利用對象名稱找到相關的數(shù)據(jù)。

C 、 WIN2000的名稱結構采用了DNS 的結構。

3、對象與屬性

WIN2000中的資源都是以對象的形式存在，而一個對象通過屬性來描述其特征。如用戶就是一個對象類別。用戶的姓、名、電話，就是用戶的屬性。

4、容量與組織單位

A 、容量與對象相似，也有自己的名稱，也有自己的屬性，但它不是一個實體，而可以一組對象和其它容量。

B 、組織單位，就是一個容量，可以包括其他對象和組織單位。

5、域目錄樹

A 、 域目錄樹：對一個包含多個域的網(wǎng)絡，則可以將網(wǎng)絡設置成域目錄樹的結構，也就是說這些域以樹狀的形式存在。

B 、域目錄樹中的子域名包含著父域的域名

C 、域目錄樹中的所有的域共享一個活動目錄。但活動目錄中的數(shù)據(jù)分散地存儲在各個域內。將各個域內的數(shù)據(jù)合并為一個活動目錄。

6、信任

兩個域之間，必須建立信任關系，才可以訪問對方域內的資源，一個域加入到一個域目錄樹中后，這個域會自動信任其上一層域，并且這些信任關系具備雙傳遞性。

7、域目錄林

如果一個網(wǎng)絡設置成多個域目錄樹的結構，那么可以讓這些域目錄樹合并為一個域目錄林。如Abc.com 域與zyx.com 域。

8、架構

在活動目錄內的對象類別等數(shù)據(jù)定義在架構內，如定義了用戶這個對象類別內飲食了哪些屬性等。在一個域目錄林中的所有域目錄樹共享一個架構。

9、全局編錄

A 、 全局編錄的原因：活動目錄內的數(shù)據(jù)分散存儲在各個域內，而每一個域只存儲與些域本身相關數(shù)據(jù)。WIN2000將存儲在各個域內的數(shù)據(jù)合并為一個活動目錄。為了讓WIN2000用戶可以快速找到其它域內的資源，WIN2000才設計了“全局編錄”。

B 、 “全局編錄”內包含著目錄服務器中的每一個對象，不過只存儲每個對象的部分屬性，而不是全部屬性。

C 、 “全局編錄”的數(shù)據(jù)存儲在全局編錄服務器，系統(tǒng)默認第一臺域控制器就是全局編錄服務器。在域目錄林共享一個全局編錄服務器。

10、站點

A 、 站點的含義：指的是一個或多個IP 子網(wǎng)，這些子網(wǎng)之間是通過高速（512K ），這些子網(wǎng)就是站點。

B 、 站點與域的區(qū)別：域是實體的分組，而站點是實體的分組，、每個站點可能會包含多個域，而一個域也可以同時屬于多個站點。

11、名稱

活動目錄內，每個對象都有一個名稱，并且利用名稱來識別每個對象。

A 可分辨的名稱（ND ）：它包含對象所在的完整路徑，abc.com

orthsalesobyong.

B 、 相對可分辨的名稱（RDN ）：RDN 是DN 的完整路徑中。

C 、 全局標識符：GUID 是一個128的數(shù)值，所建立的任何一個對象，系統(tǒng)都會自動給這個對象指定一個唯一的GUID 。GUID 永遠不會改變的。

D 、 用戶主體名稱：todayhero@abc.com這是一個用戶的主體名稱。

活動目錄介紹

（一）目錄服務

目錄，是一個數(shù)據(jù)庫，存貯了網(wǎng)絡資源相關的信息，包括了資源的位置、管理等信息。 目錄服務 是一種網(wǎng)絡服務，目錄服務標記管理網(wǎng)絡中的所有實體資源（比如計算機、用戶、打印機、文件、應用等），并且提供了命名、描述、查找、訪問以及保護這些實體信息的一致的方法，使網(wǎng)絡中的所有用戶和應用都能訪問到這些資源。

（二）活動目錄（Active Directory）

活動目錄 是Windows 2000完全實現(xiàn)的目錄服務，也是Windows 2000網(wǎng)絡體系的基本結構模型，是Windows 2000網(wǎng)絡操作系統(tǒng)的核心支柱，也是中心管理機構。

Microsoft 在Windows 2000中提供的活動目錄是一個全面的目錄服務管理方案，也是一個企業(yè)級的目錄服務，具有很好的可伸縮性?；顒幽夸洸捎昧薎nternet 的標準協(xié)議，它與操作系統(tǒng)緊密地集成在一起。活動目錄不僅可以管理基本的網(wǎng)絡資源，比如計算機對象、用戶賬戶、打印機等，它也充分考慮了現(xiàn)代應用的業(yè)務需求，為這些應用提供了基本的管理對象模型，比如用戶賬戶對象具有辦公電話、手機、呼機、住址、上司、下屬、電子郵件等屬性。幾乎所有的應用可以直接利用系統(tǒng)提供的目錄服務結構，而且活動目錄也具有很好的擴充能力，允許應用程序定制目錄中對象的屬性或者添加新的對象類型。

（三）活動目錄的用處

（四）活動目錄的邏輯結構

活動目錄的邏輯結構非常靈活，它為活動目錄提供了完全的樹狀層次結構視圖，邏輯結構與前面我們討論過的名字空間有直接的關系。邏輯結構為用戶和管理員查找、定位對象提供了極大的方便?；顒幽夸浿械倪壿媶卧ǎ河颉⒔M織單元（Organizational Unit ，簡稱OU ）、域樹、域森林。

1、 域（Domain ）

域 既是Windows 網(wǎng)絡系統(tǒng)的邏輯組織單元，也是Internet 的邏輯組織單元，在Windows 2000系統(tǒng)中，域是安全邊界。域管理員只能管理域的內部，除非其他的域顯式地賦予他管理權限，他才能夠訪問或者管理其他的域。每個域都有自己的安全策略，以及它與其他域的安全信任關系。

2、 OU(Organizational Unit)

OU 是一個容器對象，我們可以把域中的對象組織成邏輯組，所以OU 純粹是一個邏輯概念，它可以幫助我們簡化管理工作。OU 可以包含各種對象，比如用戶賬戶、用戶組、計算機、打印機，甚至可以包括其他的OU 。所以我們可以利用OU 把域中的對象形成一個完全邏輯上的層次結構，對于一個企業(yè)來講，我們可以按部門把所有的用戶和設備組成一個OU 層次結構，也可以按地理位置形成層次結構，還可以按功能和權限分成多個OU 層次結構。由于OU 層次結構局限于域的內部，所以一個域中的OU 層次結構與另一個域中的OU 層次結構完全獨立。

3、 樹

當多個域通過信任關系連接起來之后，所有的域共享公共的表結構(schema) 、配置和全局目錄(global catalog) ，從而形成 域樹 。域樹由多個域組成，這些域共享同一個表結構和配置，形成一個連續(xù)的名字空間。樹中的域通過信任關系連接起來?；顒幽夸洶粋€或多個域樹。

4、 森林

域森林 是指一個或多個沒有形成連續(xù)名字空間的域樹。域林中的所有域樹共享同一個表結構、配置和全局目錄。域林中的所有域樹通過Kerberos 信任關系建立起來，所以每個域樹都知道Kerberos 信任關系，不同域樹可以交叉引用其他域樹中的對象。

（五）其它

（1）域控制器(Domain Controller)

域控制器是指運行Windows 2000 Server版本的服務器，它保存了活動目錄信息的副本。域控制器管理目錄信息的變化，并把這些變化復制到同一個域中的其他域控制器上。域控制器也負責用戶的登錄過程，以及其他與域有關的操作，比如身份認證、目錄信息查找等。 一個域可以有多個域控制器。規(guī)模較小的域可以只需要兩個域控制器，一個實際使用，另一個用于容錯性檢查；規(guī)模較大的域可以使用多個域控制器。 Windows 2000的域結構與Windows NT 4的域結構不同的是，活動目錄中的域控制器沒有主次之分，活動目錄采用了多主機復制方案，每一個域控制器都有一個可寫入的目錄副本。在某一個時刻，不同的域控制器中的目錄信息可能有所不同，一旦活動目錄中的所有域控制器執(zhí)行同步操作之后，最新的變化信息就會一致。

（2）活動目錄與DNS

活動目錄使用域名服務DNS 作為它的定位服務，同時也對標準的DNS 作了擴充。在活動目錄中使用DNS 的最大好處在于，我們可以使Windows 2000域與Internet 上的域統(tǒng)一起來，即Windo ws 域名也是DNS 域名。

（3）Active Directory命名規(guī)范

a. 辨別名( distinguished name (DN))

活動目錄中的每一個對象都會有一個唯一的辨別名DN 。DN 由域名、對象名組成： DC=com/DC=contoso/OU=Users/OU=Teacher/CN=James Smith 表示用戶對象James Smith 在contoso.com 域中的Users 組織單元中的Teacher 單元中．

b.User Principal Name : 由用戶登錄名和域名組成，如 JamesS@contoso.com。

域運行模式

（1） 混合模式 ?；旌夏Ｊ降挠蚣瓤梢杂蠾indows 2000的域控制器，也可以有Windows NT 4的域控制器。這是一個過渡模式，利用這種模式，我們可以對現(xiàn)有的系統(tǒng)逐步升級。但是，在混合模式下，活動目錄中有些功能不能很好地發(fā)揮出來。 （2） 準模式 。活動目錄的標準模式要求所有的域控制器都必須運行Windows 2000。只有在這個時候，活動目錄的所有功能和特性才能充分體現(xiàn)出來。