16-附录Windows 2000 的一些基本概念.docVIP

《局域网组成实践》教案 附录：Windows 2000 的一些基本概念 　　本章主要内容：1、　网络目录2、　X.500 推荐标准3、　Kerberos4、　ADS 的引入及其相关概念5、　DNS、DHCP、WINS 服务在 Windows 2000 Server 中的新变化6、　账号与安全　　1. 什么是网络目录　　在目录服务出现之前，大多数的网络操作系统都是基于服务器的操作系统，即多数的帐户管理工作都是由网络中的各个服务器独立完成的，每台服务器都维护着一个用户列表，它记录了用户是否可以访问它的资源（帐户数据库）及相应用户访问资源的权限（访问控制列表），即资源的分散管理。　　网络目录的引入解决了上面的问题，网络目录是一个存储着用于访问、管理或配置网络的信息的数据库。 它们可以存储多种不同类型的信息，包括：§　用户帐户信息（登录名、口令、权限）§　用户个人信息（电话号码、地址、雇员ID、部门、职位、工资等）§　外围设备配置信息（打印机、扫描仪、传真、调制解调器）§　应用程序配置信息（桌面系统参数、缺省目录）§　安全信息§　网络设备配置信息　　只要用户能够想到的信息，都可以存储在目录中；当把这些信息都存储在一个统一的标准数据库中，用户可以利用它们完成许多工作。最为普遍地就是网络管理员利用这些信息完成网络访问控制和网络资源访问控制，从而使目录成为对大多数网络活动的集中控制中心。许多在早期网络中最难于解决的配置问题，在网络目录服务应用后都变得非常简单。目前一些成熟的网络目录有：　　域名系统（Domain Name System）　　Windows 因特网名称服务（Windows Internet Name Service）　　NOVELL 目录服务（NOVELL Directory Service）　　这些目录服务虽然工作方式和应用环境不同，但是它们都存储着用于访问或管理网络的信息，从实现集中化的网络管理。它们为在 Windows 2000 中新推出的 Active Directory Services 提供了有益的经验。 　　2. 什么是 X.500　　由于网络目录需要存储信息的多样性，数据库中的相关数据文件的增长的快速性，可能导致现有计算机的处理能力无法满足它的需求，在 Active Directory Services 中就采用了 X.500这个推荐标准。X.500 技术规范提供了一个供开发商建立自己产品的模型，使不同的开发商开发的产品能够彼此访问共享信息，它规定了信息组织、命名和访问的一般性方法，即规定了目录技术为了实现互操作性而遵守的格式。如微软开发的 ADS 与 NOVELL 公司开发的 NDS 在实现形式上截然不同，但由于两者的名字空间一致，所以两种产品均可以访问目录中存储的信息。从某种意义上讲，它类似于 OSI 的七层网络结构模型，OSI 网络模型简单定义了网络软件在各层必须完成的功能，而没有直接规定具体的实现方法。对于符合 X.500 的网络目录（如：ADS），其数据库在设计时均遵循以下两个原则：　　使用目的---存储网络资源信息　　整体结构---采用层次结构 3. 什么是简化目录访问协议（LDAP）　　在向目录中填入对象后，用户需要考虑的问题是如何提供一整套完善的数据访问功能用于向用户显示信息，以便用户查找和使用。利用 X.500 技术规范提供的目录访问协议 DAP 可以完成这一功能。DAP 定义了用于读取目录数据库信息和修改目录数据库的方法，DAP 在安全性上的可扩展性满足了 X.500 允许采用多种安全保护方法的需求，并且 DAP 利用将工作转移到客户机上的方法有效的降低了目录服务器的工作负荷。但是由于现有的客户机的无法提供足够资源以满足 DAP 软件得需要及 DAP 的兼容性差的原因，它并未得到广泛的应用，人们针对 DAP 的以上缺陷开发了一个新协议：简化目录访问协议 LDAP。LDAP 是 DAP 的一个子集，它能够实现 DAP 的大部分功能，它不是基于客户的服务，客户的许多处理工作还转移到了支持 LDAP 服务的服务器上，所以它对客户设备的要求很低，掌上型笔记本能够对目录进行远程服务就是得益于此；LDAP 客户软件包能够访问多家厂商提供的目录信息，由于以上优点大多数目录技术都将 LDAP 服务作为基本功能的一部分，ADS 也采用它作为其基本功能。LDAP 实际上是一个机制，用来与 Active Directory 通信，完成基本的读写和修改操作。 4. 什么是 kerberos V5 验证?　　Windows 2000 支持两个内核确认协议：Windows NT LAN 管理器（NTLM）和 Kerberos，Kerberos 是首选的确认协