活动目录管理与实现.pptVIP

活动目录管理与实现 DNS DNS的名字解析机制 DNS解析出IP地址，而活动目录中的DNS解析出的是一个服务器的位置 DNS与AD名字空间的一致性，使两者可以集成（请参阅P4上的图） DNS定位提供相应服务器的域控制器 DNS的名字解析 DNS的名字解析是利用SRV记录进行的 DNS可以根据full computer name，域控制器和它们提供的特定服务来定位一台计算机 机器启动时利用net logon服务公布自己的服务，供DNS进行检索 SRV记录图示 SRV记录 SRV记录的格式：service protocol name ttl class SRV priority weight port target 其中CLASS通常为IN，表示这是internet系统中的一部分 请参阅 P9上的表格，注意其中的TTL，weight和priority是用于负载平衡的 由域控制器注册的SRV记录 在P11上提供了DC能够注册的SRV记录，以及这些SRV记录的格式 其中：DNSDOMAINNAME提的是LDAP服务器；DNSFORESTNAME指的是一个森林的根域；DCTYPE指的是域控制器类型；_MSDCS指的是这台DC运行的是W2K 客户机如何利用DNS定位DC 与AD集成的区 区就是DNS名字空间的一部分 区集成以后，可以减少主DNS的负担，使主DNS不再成为中心结点； 而且可以使动态更新更加安全； DNS中的数据可不通过DNS传输进行更新，可以利用DC间的复制进行更新 DNS的安装 安装与AD一起工作的DNS，它必须要支持SRV记录 推荐支持DNS的动态更新 推荐支持DNS的增量区传输 第三章 创建W2K域 一些基础知识 什么是树 什么是树中的结点 什么是森林 树的遍历 域 它是W2K中基本的管理单元 在森林中创建的第一个域称为森林的根域 域中有域的控制器，这些控制器（DC）的地位是对等的 安装AD前的要求 具体的要求在P4 运行W2K server家族中的一个OS 硬盘要200M供AD，50M供日志 分区为NTFS分区格式 安装TCP/IP，并使用DNS 在安装AD的权限 创建根域及控制器 具体过程请参阅 P5 备份DC是有必要的，它的主要作用就是进行容错，减少第一个DC的负载 W2K中的DC与NT4中的DC不同，它们的地位是平等的 可以通过无人值守过程创建DC，它的命令格式如下：dcpormo /answer : answer file name 实验 创建W2K域 P12 AD安装过程的参数配置 I 用户接口确认：确认用户有无安装权限，机器硬件是否达到要求；现在有无AD安装或写卸载正运行 名字确认：确定SITE容器内是否有与当前机器重名的机器，如果有则覆盖 TCP/IP：安装了TCP/IP，而且不是DHCP客户，使用支持SRV的DNS AD安装过程的参数配置 II 名字确认：DNS名未重名，利用DNS前15个字母产生的NETBIOS名也未重名 用户身份：新添加一个森林，管理员即可；要加入备份DC，需要域管理员或企业管理员权限 文件系统：SYSVOL要求使用NTFS 站点 站点是以子网为基础产生的 如果DC的IP地址未在某子网，或不存在子网，则将服务器加入到default-first-site-name中 各DC需要复制其中包括的信息，因此有必要保存其它DC的位置及其它相关信息，因此有必要创建一个server对象 目录服务及安全设置 通常的AD安装操作请参阅 P21 除此以外，还创建了schema容器，配置目录容器（保存整个森林内的配置信息）和域目录（保存域内的用户及组等信息） 安全设置请参阅 P23，其中DACL表示访问控制列表 其它操作 请参阅 P25 其中应该注意：交双引用（cross-reference）它供LDAP在其它域内定位资源，添加PDC模拟器，以和NT4的域进行兼容 通常的AD结构 由一些容器构成 builtin（保存内置组） Computers和domain controllers foreignSecurityPrincipals（保存信任域的SID）和users LostAndFound保存孤儿对象，即父容器已被删除的对象 System，保存系统设置 验证安装 验证SRV记录（P31），可以通过DNS快照，也可以通过nslookup命令 验证sysvol目录 P31 验证目录DB和日志文件 P32 通过事件日志验证安装结果 P32 与AD集成的区 实现正向查询区和反向查询区 P33 动态更新的安全性加强 P34 改变域模式 Mixed mode是为了和以前的NT4进行兼容而设置的 只有在native mode下组的嵌套和universal group才可以实现 具体改变的方法请参阅 P35 删