active directory domain services 在windows server2012怎么配置

Question

如题所述

Answer 1

一、Active Directory Domain Services(AD DS)

in the Windows Server 2008 network enviroment ,Active Directory Domain Services(AD DS),provide with organizing、managing、controlling network resources.

1-1 active directory domain services overview

directory :telephone directory;file directory

如果这些directory内的数据能够系统的加以整理的话，用户就能够容易且迅速的查找到所需文件。

Active Directory的组成是directory，域内的directory是用来存储用户帐户、计算机帐户、打印机与共享文件夹等对象，我们把这些对象的存储地点称为目录数据库（directory database）。

Active Directory 域内负责提供目录服务的组件就是active directory域服务，active directory domain services

它负责目录数据库的存储、添加、删除、修改与查询操作。

1-1-1 active directory domain service scope

active directory domain service 可以用在一台计算机、LAN或者数个WAN的联合，它包含此范围所有的对象，例如文件、打印机、应用程序、服务器、域控制器与用户帐户等。

1-1-2nameSpace

bounded area ,一块界定好的区域，在此区域内，我们可以利用某个名称来找到与这个名称有关的信息。

active directory 域服务内，active directory就是一个名称空间，在active directory内我们可以通过对象名来找到与这个对象相关的所有的信息。

active directory domain services 与DNS紧密集成在一起，其域的名称空间也是采用DNS架构，因此域名采用DNS格式来命名

 1-1-3 object and attribute

ad ds内的资源都是以对象的形式存在的，例如用户、计算机、打印机，对象通过属性来描述其特征。对象本身是属性的集合，对象类的概念-object class

1-1-4容器（container）和组织单位（organization units）

与对象不同的是容器内可以包含其他对象，也可以包含其他的容器。而组织单位是一个比较特殊的容器，除了可以包括其他对象与组织单位外，还有组策略的功能。

AD DS是层次化的结构（hierarchical）将对象、容器与组织单位等组合在一起，并将其存储到active directory数据库中。

1-1-5域树目录

根域（root domain）

subdomain子域

域名空间是连续性的（continuous）：子域的域名包含着其父域的域名。

域树目录内的所有域共享一个active directory数据库，也就是在这个域树目录之下只有一个active directory数据库，不过这个active directory数据库内的数据分散地各个域内，每个域只存储属于该域的数据。

1-1-6信任（trust）

两个域（trust relationship），然后才可以访问对方域内的资源。

任何一个新AD DS域被加入到域目录后，这个域会自动信任其前一层的父域，同时父域也会自动信任这个新加入的子域，而且这种信任关系具有双向传递性（Two-way transitive）,kerberos信任。

因为传递性得到的信任关系，可称为隐性的信任关系（impicit trust）。

所以当任何一个AD DS域加入到域树目录后，它会自动双向信任这个域树目录内的所有域，因此只要拥有适当权限，这个新域内的用户便可以访问其他域的资源：同理，其他域内的用户也可以访问这个新域内的资源。

1-1-7 forest

林是由一个或多个域树目录组成，每一个域树目录都有自己唯一的名称空间。

您所创建的第一个域树目录的根域，就是整个林的根域，同时其域名就是林的林名。

例如sayms.com 是整个林的根域，整个林的域名是sayms.com

当创建林时，每一个域树目录内的根域（root domain）之间双向的、传递性的信任关系都会被自动创建。因此每个域树目录中的每个域内的用户，只要拥有权限，都可以访问其他任何一个域树目录内的资源，也可以到其他任何一个域树目录内的计算机登录。

1-1-8架构（schema）

AD DS内的书香类型与属性数据是定义在schema内的。比如schema定义了对象类型内包含了哪些属性、没一个属性的数据类型等信息。

应用程序可以在schema内添加其所需要的对象类型或属性，系统管理员（指schema admins 组内的用户）可以修改架构内的数据。在一个forest内的all domain tree共享相同的schema。

1-1-9域控制器

AD DS的目录数据是存储在域控制器内的。一个域内可以有多台域控制器，每一台域控制器的地位（几乎）是平等的。他们各自存储着一份几乎完全相同的vactive directory数据库。比如当在任何一台域控制器内添加一个用户帐户后，这个帐户默认是被创建在此域控制器的active directory数据库内，之后这份数据会自动被replicate到其他域控制器的active directory数据库内，以便让所有域控制器内的AD DS数据都能够同步（synchronize）。

多台域控制器可以提高系统的可靠性，提供容错功能，同时可以改善登录效率。

域控制器一般是一台服务器级别的计算机，在windows server 2008家族中，除了 windows web server 2008之外，其他都可以扮演域控制器的角色。

1-1-10active directory的复制模式

域控制器之间在复制active directory数据库时，其复制方式可以为以下两种模式：

多主机复制模式（multi-master replication model）

当在任何一台域控制器的active directory数据库内添加一个用户帐户后，这个帐户会自动被复制到域内的其他域控制器。active directory数据库内的大部分的数据是利用这种模式在复制。

单主机复制模式（single-master replication model）

当提出更改对象数据的请求的时候，会由其中一台域控制器（操作主机）负责接收与处理此请求，也就是说该对象是先被更新在操作主机，再由这台操作主机将它复制到其他的域控制器。

1-1-11域中的其他成员计算机

要充分管理计算机，需要将这些计算机加入到域内，如果用户要使用active directory数据库内的域用户帐户来登录，这些计算机也必须加入域。没有加入域的计算机只能够使用本地用户帐户登录。

域中的成员计算机包括：

成员服务器（member server）

服务器级别的计算机加入域后被称为成员服务器（member server），成员服务器的区别不是硬件，而是操作系统。成员服务器可以是：

windows server 2008

windows server 2003

windows 2000 server

windows NT server 4.0

若上述服务器没有加入到域，则他们被称为独立服务器（stand-alone server）或工作组服务器（workgroup server ）,无论是member server还是stand-alone server，他们都有本地的SAM（security accounts manager），系统可以用SAM来审核本地的用户的身份。

其他客户端计算机

windows vista Ultimate 、windows vista enterprise 、windows vista bussiness

windows XP  professional

windows 2000 professional

windows NT workstation

PS:postscript

注意:ista home premium、vista home basic 、vista starter、XP home edition等计算机在登录窗口中无法选择域用户来登录，只能利用本地用户帐户来登录。

在windows网络环境下，可以将独立服务器或成员服务器升级成为域控制器，也可以将域控制器降级为独立服务器或成员服务器。

1-1-12 DNS服务器

  域控制器需要将自己注册到DNS服务器内，以便让其他计算机通过DNS服务器来找到这台域控制器。因此搭建域环境需要有可支持AD DS的DNS服务器。同时这台DNS服务器最好支持动态更新（dynamic update），以便当域控制器的角色有变动或域成员计算机的IP地址等数据更改时，可以自动更新DNS服务器的记录。

1-1-13轻型目录访问协议（LDAP）

LDAP(lightweight directory access protocol)轻型目录访问协议是用来访问active directory数据库的目录服务协议。AD DS是利用LDAP名称路径（LDAP naming  path）来表示对象在active directory数据库中的位置，以便用它来访问active directory数据库内的对象。LDAP名称路径包括：

distinguished Name（DN）

DN是对象在active directory数据库内的完整路径

其中的DC（domain component）表示DNS域名中的组件；OU为组织单位（organization unit）；CN为common  name

relative distinguished name（RDN）

RDN是在DN的完整路径中，用来代表某个对象的部分路径

GUID（global unique identifier）

GUID是个128位的数值，您所创建的任何一个对象，系统都会自动为其指定一个唯一的GUID。虽然可以改变对象的名称，但是其GUID永远不变。

User Principal Name

每一个用户还可以有几个比DN更短、更容易记忆的UPN形式为[email protected]，用户在登录的时候最好是用UPN
详细见 http://www.360doc.com/content/11/0512/22/265705_116313614.shtml