Windows的使用活动目录讲义.ppt

活 动 目 录 通过目录服务，用户可以对用户和计算机、域和信任关系以及站点和服务进行管理。 1 活动目录简介 活动目录是Windows 2000 Server提供的一种目录服务。通过活动目录存储有关网络对象的信息，例如用户、组、计算机、共享资源、打印机和联系人等，并使管理员和用户可以方便地查找和使用网络信息。 活 动 目 录 （1）域（Domain） 域是Windows 2000目录服务的基本管理单位。域在活动目录中定义安全边界，域代表一个广义的局域网系统，可以将一个计算机组扩展到一定区域的远方。 域是许多网络服务器与工作站连接而成的群组，该群组内的所有成员均使用相同的软硬件系统设置、账户系统和其他共享资源。用户只要登录一个域，就可以共享该域的各项资源。 活 动 目 录 目录服务把域详细分为组织单元。组织单元是一个逻辑单位，是域中一些用户和组、文件与打印机等资源对象的集合。组织单元还可以再划分下级组织单元，下级组织单元能够继承父组织单元的访问许可权。 每个组织单元可以有自己单独的管理员并指定其管理权限，它们管理着不同的任务，从而实现对资源和用户的分级管理。动态目录服务通过这种域的组织单元树和域之间的可传递信任树来组织其信任对象，实现颗粒式管理，为动态活动目录的管理和扩展带来了极大的方便。 活 动 目 录 一个域可以有子域，父域和子域组成了域树，一棵或者多棵域树又可以组成域林。其中，父域和子域之间，域树和域林之间有双向、可传递的信任关系。目录树中的域通过双向、传递的信任关系连接在一起。 活 动 目 录 这些信任关系是双向和传递的，加入目录树的域会立即与目录树中的每一个域建立信任关系。这些信任关系允许单个用户登录，以验证用户并授权验证用户访问整个网络。目录树所有其他域中具有适当凭证的用户和计算机可以使用目录树中所有域的所有对象。 活 动 目 录 组织一个域有以下好处。 1）将网络组织成域,可使帐号与资源的管理更加方便。 2）便于发布公司或单位形式的资源信息。 3）使用跨多个域的功能，可以争取更多的时间效益与资源。 4）在域中应用“组策略”，可以合并域资源以及建立安全性管理。 5）与现有公司或单位“充分授权，层层负责”的原则相对应，在域里，可以分层授权给性质不同的管理员，以避免管理员权限过大、过多。 活 动 目 录 （2）域树 由多台域控制器所组成的多层次的、树状结构的域，称为域树。第一个域称为根域，其他域称为子域。在同一棵域树中，紧邻的上下两个域形成父子关系，上层的域称为父域，下层的域称为子域。 在一棵域树中，域的命名符合DNS命名规则。在同一棵域树中，域名是逐层继承、连续的。 一棵域树由许多域按层次构成，域之间是双向的、可传递的信任关系。因此，两个同级域可以通过各自的父域传递建立信任关系。 活 动 目 录 （3）域林 域林由一个或多个域树组成，这些域树没有一个共同的根。同一域林不同域树中的域名之间没有任何关系。域林中第一棵域树的根域仍然称为域林的林根。 在一个域林中，域树的根域之间也是可传递的双信任关系。分属两棵域树的域可以通过其各自的根域建立双向、可传递的信任关系。在域树、域林中，域之间的关系仅仅是命名继承或信任关系，域作为一个安全单位仍然是相互独立的。父域与子域之间在安全上没有必然的联系，父域的管理员在其子域中可能没有任何权利和权限。 活 动 目 录 （4）域的信任关系 建立信任关系的两个域中，一个称为信任域，另一个称为被信任域。信任域把自己对用户等对象的验证委托给被信任域，被信任域的用户身份有效性验证结果得到信任域的认可。 被信任域的用户和全局组可以获得使用属于信任域资源的访问权限，该权限通过信任域访问被信任域的用户账号数据库实现。通过设置信任关系，可以不必在多个域中安装同一个用户账号，而且可以使网络中的用户账号管理更加方便。 活 动 目 录 域的信任关系有以下4种类型。 1）双向信任关系 在同一个域林中，默认所有域的信任关系都是双向可传递的。 2）单向信任关系 两个域之间的信任关系是不可传递的，而且所有不可传递信任关系都是单向的。 活 动 目 录 3）可传递的信任关系 默认同域林中所有域的信任关系都可传递。 4）不可传递的信任关系 不可传递的信任关系受信任关系的两个域的约束，不会牵扯到域林中的其他域。 一般来说，同一个域林中混合域之间建立的信任关系都是不可传递的。 活 动 目 录 2 安装活动目录 （1）注意事项 1）在服务器上安装活动目录时