AD域配置详解方案.pdf

Active Directory 配置详解 一 为什么需要域？ 对很多刚开始钻研微软技术的朋友来说， 域是一个让他们感到很 头疼的对象。 域的重要性毋庸置疑， 微软的重量级服务产品基本上都 需要域的支持， 很多公司招聘工程师的要求中也都明确要求应聘者熟 悉或精通 Active Directory 。但域对初学者来说显得复杂了一些， 众多的技术术语，例如 Active Directory ，站点，组策略，复制拓 扑，操作主机角色，全局编录…，很多初学者容易陷入这些技术细节 而缺少了对全局的把握。从今天开始，我们将推出 Active Director y 系列博文，希望对广大学习 AD的朋友有所帮助。 今天我们谈论的第一个问题就是为什么需要域这个管理模型？ 众所周知， 微软管理计算机可以使用域和工作组两个模型， 默认情况 下计算机安装完操作系统后是隶属于工作组的。 我们从很多书里可以 看到对工作组特点的描述， 例如工作组属于分散管理， 适合小型网络 等等。我们这时要考虑一个问题， 为什么工作组就不适合中大型网络 呢，难道每台计算机分散管理不好吗？下面我们通过一个例子来讨论 这个问题。 假设现在工作组内有两台计算机，一台是服务器 Florence ，一 台是客户机 Perth 。服务器的职能大家都知道，无非是提供资源和分 配资源。服务器提供的资源有多种形式，可以是共享文件夹，可以是 共享打印机，可以是电子邮箱，也可以是数据库等等。现在服务器 F lorence 提供一个简单的共享文件夹作为服务资源，我们的任务是要 把这个共享文件夹的访问权限授予公司内的员工张建国， 注意，这个 文件夹只有张建国一个人可以访问！ 那我们就要考虑一下如何才能实 现这个任务，一般情况下管理员的思路都是在服务器上为张建国这个 用户创建一个用户账号， 如果访问者能回答出张建国账号的用户名和 密码，我们就认可这个访问者就是张建国。 基于这个朴素的管理思路， 我们来在服务器上进行具体的实施操作。 首先，如下图所示，我们在服务器上为张建国创建了用户账号。 然后在共享文件夹中进行权限分配， 如下图所示， 我们只把共享文件 夹的读权限授予了用户张建国。 好，接下来张建国就在客户机 Perth 上准备访问服务器上的共享文件 夹了，张建国准备访问资源 人事档案，服务器对访问者 提出了身份验证请求， 如下图所示， 张建国输入了自己的用户名和口 令。 如下图所示，张建国成功地通过了身份验证，访问到了目标资源。 看完了这个实例之后， 很多朋友可能会想， 在工作组模式下这个 问题解决得很好啊，我们不是成功地实现了预期目标嘛！没错，在这 个小型网络中， 确实工作组模型没有暴露出什么问题。 但是我们要把 问题扩展一下！ 现在假设公司不是一台服务器，而是 500 台服务器， 这大致是一个中型公司的规模，那么我们的麻烦就来了。如果这 500 台服务器上都有资源要分配给张建国， 那会有什么样的后果呢？由于 工作组的特点是分散管理， 那么意味着每台服务器