第1课 Active Directory域_树和森林.ppt

第1课活动目录域、树和森林 1.1 Active Directory(活动目录)介绍 目录是存储在有关网络上对象信息的层次结构。 活动目录是Windows 2000网络体系结构中一个基本且不可分割的部分。它在Windows NT 4.0操作系统的域结构基础上改进而成，并提供了一套为分布式网络环境设计的目录服务。 活动目录使得组织机构可以有效地对有关网络资源和用户的信息进行共享和管理。 另外，目录服务在网络安全方面也扮演着中心授权机构的角色，从而使操作系统可以轻松地验证用户身份并控制其对网络资源的访问。 同等重要的是，活动目录还担当着系统集成和巩固管理任务的集合点。 总的来说，活动目录的这些功能使组织机构可以将标准化的商业规则贯彻于分布式应用和网络资源当中，同时，无需管理员来维护各种不同的专用目录。 1.1.1 目录服务 在文件系统中，目录用于存储与文件有关的信息 在分布式计算机环境中，目录用来存储与打印机、传真服务器、应用程序、数据库何其他用户有关的信息 目录服务有以下内容： 1、数据存储（目录存储） 2、架构－－定义 包含在目录中的对象、类和属性及相关约束 3、全局编录－－包含目录中每个对象的信息 4、查询索引 5、数据复制 1.1.2 Active Directory的特性 信息安全性－－访问控制和安全策略 可扩展性－－在架构中添加新的对象或在对象中添加新的属性 可伸缩性－－活动目录可包含多个域，组成域树（森林） 信息的复制 与DNS的集成 与其他目录服务的互操作性 灵活的查询 1.1.3 Active Directory的结构 逻辑结构 用来组织网络资源 物理结构 用来配置和管理网络交通 1.1.3 Active Directory的结构 1、逻辑结构 域 组织单元（Organizing Unit－－OU） 域目录树与目录林 全局编录（Global Coding－－GC） 2、Active Directory的物理结构 域控制器 站点 1.2 Active Directory域域的优点 域：域在Windows 2000和Active Directory中被定义为一个计算机的集合。 每个Active Directory可以包含一个或多个域。 优点： 安全策略和设置 权利委派 组织结构 存储 域在网络管理上的意义 组织对象 发布有关域对象的资源和信息 将组策略对象应用到域中 委派授权可使管理员不再需要大量的具有广泛权利的管理员 域的命名 活动目录中域的命令方式采用DNS（Domain Name Service ）命令标准 DNS功能是将计算机名映射到IP地址 在早期的Windows NT或更早的版本中，DNS是不需要名字的，域和计算机名字使用NetBIOS名字，采用WINS来映射到IP地址的。 Windows 2000为了 与早期版本兼容，也支持NetBIOS名字 1.ＤＮＳ命名约定 在DNS名字结构中，由点号“.”分开一个DNS的各个部分，例如： 每个部分代表DNS层次结构中的一个站点，也代表Windows 2000域层次树结构中一个活动目录名。 DNS层次结构有如下限制条件： 一个子域只可有一个父域 同一父域 的来能够个子域不可以同名 2.NetBIOS域名 为了让不是安装Windows 2000的计算机登录到主域控制器计算机（PDC），必须让PDC拥有NetBIOS名字（不超过15个字符） 在安装活动目录的过程中，系统会提供一个缺省的NetBIOS名字，即域名最左边的标签 完整的计算机名就是NetBIOS名字与域名 1.2.5 DNS和Active Directory的关系 1、DNS层次和活动目录 两者是使用相同的域结构。 两者存放不同的数据，管理不同对象： DNS存储区域和资源记录 AD存储域和域中的对象 两者使用一个数据库来进行名字解析： 查询DNS 数据库时，DNS根据DNS服务器请求，将域名和计算机名解析为资源记录。 当LDAP向活动目录数据库发出查找或修改请求时，活动目录根据域控制器接受到要求，将域对象的名字解析为对象记录。 2.DNS主机名和Windows2000计算机名 为了与那些不运行windows 2000的计算机上使用的NetBIOS名字兼容，Windows 2000将NetBIOS计算机名结合为DNS主机名，将DNS域名结合为主DNS后缀（Primary DNS Suffx）。 这两者作为完整计算机名（与FQDN即完整DNS名等价）的一部分。 在Windows 2000种，完整的计算机名包括： DNS主机名 主DNS后缀名 完整计算