活動目錄作為一個全新的綜合服務方式是在Windows 的誕生後隨之而來的活動目錄的身影似乎在整個Windows 系統中無處不在
Windows Server活動目錄是一個完全可擴展可伸縮的目錄服務既能滿足商業ISP的需要又能滿足企業內部網和外聯網的需要充分體現了微軟產品集成性深入性和易用性等優點
集成性
Windows 活動目錄的繼承性主要是指它結合了三個方面的管理內容用戶和資源管理基於目錄的網絡服務和基於網絡的應用管理另外Windows 活動目錄還廣泛地采納了Internet標准把眾多的Internet服務都集成在一起增強自身網絡管理功能
目錄管理的基本對象是用戶和計算機還包括文件打印機等資源用戶對象的屬性非常豐富不但有常見的賬號名口令等還包括郵件信箱和個人主頁地址在公司中的職位關系等可以在活動目錄中給用戶對象發送郵件和訪問其個人主頁等在活動目錄中支持
全局性的查找比如查找在整個網絡中的雙面打印的彩色打印機等
基於活動目錄的應用服務是Windows 平台上的新一代的應用程序它使應用開發員可以擴展活動目錄的Schema 和UI兩個對象通過ADSI/ADO編程在活動目錄中發布服務綁定信息通過組策略配置應用程序比較典型的基於目錄的應用的例子是NetMeeting在活動
目錄的環境中你只要在NetMeeting中敲入同事的Email別名就可以通過活動目錄中的定位服務與其進行對話和桌面協作等非常方便
活動目錄完全采用了Internet標准協議甚至連用戶帳號都可以用用戶名@域名來表征進行網絡登錄單個域目錄樹中的所有域共享一個等級命名結構一個子域的域名就是將該子域的名稱添加到父域的名稱中例如headqu 是 域的子域共享公用根域的域被認為共享鄰近的名稱空間
目錄樹中的域通過雙向傳遞的委托關系聯接在一起由於這些委托關系是雙向和傳遞的因此加入目錄樹的域會立即與目錄樹中的每個域建立委托關系這些委托關系允許單個用戶登錄以驗證用戶並授權驗證用戶訪問整個網絡這使得目錄樹中所有其他域中具有適當憑據的用戶和計算機可以使用目錄樹所有域中的所有對象例如你的公司兼並了一家其他的公司你的域樹可以和它們的域樹建立起整個的域林來整個域林的所有對象只要安全性管理許可都可以用LDAP協議訪問到
域名服務(domain name service DNS)在此充當了名字解析的功能建議用戶使用與活動目錄集成的DNS務器來保證動態更新域名和更好的復制能力在當今的Internet時代Windows 活動目錄這種基於Internet標准的做法給用戶帶來了眾多的益處
另外活動目錄集成了關鍵服務如DNSMSMQ（消息隊列服務）集成了關鍵應用如電子郵件網管ERP等集成了關鍵數據訪問如ADSIOLE DB等還集成了關鍵的安全性如Kerberos第五版本和公開密鑰基礎設施等
深入性
Windows 活動目錄的深入性主要體現在其企業級的可伸縮性安全性互操作性編程能力和升級能力上Windows 活動目錄允許用戶組建單域來管理少量的網絡對象也允許用戶通過域目錄管理成萬上億個對象活動目錄的伸縮性是通過為每個域創建一個目
錄存儲的方法來獲得的在一個域目錄存儲中僅僅包括了這個域中的所有對象但是當域樹建立起來之後每個域都有能力搜索整個域樹中所有的目錄存儲這種劃分整個域樹的方法使用戶查找所需要的信息變得更加方便快速
活動目錄的域樹和域森林的組建方法可幫助用戶使用容器層次來模擬一個企業的組織結構組織中的不同部門可以成為不同的域或者一個域中有層次結構的組織單元從而采用層次化的命名方法來反映組織結構和進行管理授權順著組織結構進行顆粒化的管理授權
可以解決很多管理上的頭疼問題在加強中央管理的同時又不失機動靈活性用戶可以將Windows NT 中的很多域都轉換成活動目錄的組織單元建立起更大的域和更簡化的域關系另外借助全局目錄(Global Catalog)用戶和管理員仍然能夠迅速地找到對象和管理對象由於有一系列的工具可以幫助NT 的用戶遷移到Windows 的目錄環境中Windows 可以在現存的Windows NT 的環境中工作保護現有的投資
Windows 活動目錄和其安全性服務（如KerberosPKI和智能卡等）緊密結合相輔相成共同完成安全任務和協同管理活動目錄存儲了域安全政策的信息例如域用戶口令的限制政策和系統訪問權限等實施了基於對象的安全模型和訪問控制機制在活動目錄中的每個對象都有一個獨有的安全性描述定義了浏覽或更新對象屬性所需要的訪問權限不過當LDAP客戶端訪問域時不是由活動目錄決定訪問控制而是由系統來實施訪問安全控制
易用性
Windows 活動目錄主要體現在其簡易的安裝和管理上先說一下活動目錄的安裝在安裝Windows Server活動目錄時第一個域服務器都配置域控制器而其他所有新安裝的計算機都是安裝成為成員服務器並且目錄服務可以事後用Dcpromo的命令進行特別安裝而不用像在安裝Windows NT 那樣一開始就要定終身是域控制器還是成員服務器兩者之間不可轉換且目錄服務不可以卸載Dcpromo是一個圖形化的向導程序引導用戶一步一步地建立域控制器可以新建一個域森林一棵域樹或者僅僅是域控制器的另一個備份非常方便很多其他的網絡服務比如DNS ServerDHCP Server和Certificate Server等都可以在以後與活動目錄集成安裝便於實施策略管理等
在活動目錄安裝之後主要有三個活動目錄的管理界面（MMC）一個是活動目錄用戶和計算機管理主要用於實施對域的用戶和計算機進行管理一個是活動目錄的域和域信任關系的管理主要用於管理多域的委托和信任關系還有一個是活動目錄的站點管理可以
把域控制器置於不同的站點進行管理一般情況下一個站點內的域控制器之間的復制是自動進行的站點間的域控制器之間的復制需要管理員設定以優化復制流量提高可伸縮性
對於SDOU管理員還可以方便地進行管理授權右擊SDOU就可以啟動管理授權向導一步一步地設定哪些管理員對於哪些對象有什麼樣的管理權限比如說企業內部技術支持中心的管理員只有復位用戶口令的權限沒有創建和刪除用戶賬號的權限
另外活動目錄還充分地考慮到了備份和恢復目錄服務的需要Windows 備份工具中有專門備份活動目錄的選項在出現意外事故的時候可以在機器啟動時按F進入安全模式來進行目錄服務的恢復保證減少災難的惡性影響
通過本文對Win活動目錄的三種特性的介紹能讓讀者對活動目錄的相關信息更加明了希望能對讀者有所幫助
From:http://tw.wingwit.com/Article/Common/201311/4900.html
