AD规划设计方案.pdfVIP

IT 基础架构优化 活动目录设计 版本号 修订日期 修订人 审核人 核准人 变更位置 变更内容 0.1 2011-4-27 tommy 新建 1.0 2011-5-23 tommy 更新并发布 1 目录 一、 域结构设计 3 二、 站点设计 4 三、 活动目录数据同步 5 四、 操作主机角色设计 6 五、 组织单元结构设计 7 六、 组策略设计 8 七、 权限设计 9 八、 用户和群组 11 九、 容灾和备份 12 2 一、 域结构设计 1. 域结构概述 域结构设计是活动目录中最重要,也是最基础的工作,是多种因素权衡的结果,它既要尽可 能贴近用户的管理模式和组织结构,也要考虑网络情况和未来的变化. IT 部门的最终目标是能够实现集中管理.对比单域结构和目录林结构: 1) 集中管理整个公司的安全策略 2) 集中管理整个公司的组策略 3) 完全利用组织单元反映企业的管理结构 4) 当公司机构重组时可以非常灵活的进行调整 5) 当资源和用户需要在组织机构内迁移时可以非常灵活 6) 简单的名字空间设计 7) 查找AD 信息时相对简单 2. 域结构设计 根据公司实际环境,采用单域多站点的模式. 3. 域功能级别 Windows 2008R2 4. Domain Name 3 二、 站点设计 1. 站点的概念: “站点”由一个或数个IP 子网(subnet)所组成,这些子网之间是通过”高速且可靠的链接”串 联起来的,子网之间的链接速度要够快,稳定且符合需要,否则,需将他分别规划为不同的站点. 具体表现为: A. 一个LAN 之内的各个子网之间的链接都符合速度快(高于10MB)且高可靠度的要求, 可以将一个LAN 规划为一个站点: B. WAN(广域网) 内的各个LAN 之间的链接速度一般都不快.因此WAN 之中的各个LAN 应 分别规划为不同的站点 2. 站点的设计 A. 公司总部位于深圳,各分公司分别位于: 沈阳,大连,天津,重庆,成都,云南,后续根据业 务发展还会有新的分公司 B. 总部和分公司之间通过2M 专线连接 根据以上信息, 站点设计参考下图: 4 三、 活动目录数据同步 1. 活动目录数据同步模式 Active Directory 存储在域控制器内, 当一台域控制器的Active Directory 数据发生变动, 这个变动的数据会被自动复制到其他域控制器的Active Directory 内. 活动目录内部存在以下2 种复制模式: A) 多主机复制模式(multi-master replication model) AD 内的大部分数据利用这种模式 进行复制. B) 单主机复制模式(single master operations model) AD 内的少部分数据时采用此种模 式来复制的.单主机模式下, 当提出变更对象数据的要求时,有其中一台域控制器(操作主 机)负载接受和处理,然后再由”操作主机”复制到其他的域控制器. 2. 活动目录中各域控制器同步设计图 5 四、 操作主机角色设计 1. 操作主机角色介绍 活动目录的Flexible Single-Master Operations 机制用于避免对活动目录的更改发生冲突