Active Directory

 

Active Directory

 

l         Active Directory
Windows Active Directory Active Directory

l        
DNS

l        
Active Directory Active Directory

l        

Active Directory

l        

l        
Active Directory (GPO)

l        
Active Directory
DNS DNS DNS Active Directory DNS Active Directory

l        
Active Directory (ISO) X.500

l        
Active Directory Active Directory Active Directory

l        

Active Directory

l        
Active Directory (LDAP)

l        
LDAP TCP/IP LDAP LDAP Internet (IETF) 的工作组制定。Active Directory 实现了 LDAP 属性草案规范以及 LDAP 第二版和第三版的 IETF 标准。

 

l         域树
在 DNS 中，是指用来索引域名的反向分层树结构。域树在目的和概念方面与磁盘存储的计算机文件归档系统所使用的目录树类似。例如，当磁盘上存储了很多文件时，就可以用目录将文件组织成逻辑集合。当域树有一个或多个分支时，每一个分支都可以将名称空间中使用的域名组织成逻辑集合。
在 Active Directory 中，是指一个或多个域的分层结构，通过可传递的、双向信任实现连接，从而形成了一个连续的名称空间。多个域树可以属于同一个林。

 

l         林
共享相同类和属性定义（架构）、站点和复制信息（配置）以及林范围搜索能力（全局编录）的一个或多个 Active Directory 域。同一个林内的域是按双向可传输的信任关系进行链接的。

 

l         信任关系
在域之间建立的逻辑关系，以便允许通过身份验证，其中信任域负责受信域的登录验证。受信域中定义的用户帐户和全局组可以获得信任域的权利和权限，即使该用户帐户或组不在信任域的目录中。
在 Active Directory 中创建域时，相邻域（父域和子域）之间自动创建信任关系。在林中，在林根域和从属于此林根域的任何树根域或子域之间自动创建信任关系。因为这些信任关系是可传递的，所以可以在林中的任何域之间进行用户和计算机的身份验证。

 

l         站点
Active Directory® 中的站点代表网络的物理结构，或称拓扑。Active Directory 使用拓扑信息（在目录中存储为站点和站点链接对象）来建立最有效的复制拓扑。可使用“Active Directory 站点和服务”以定义站点和站点链接。站点是一组有效连接的子网。站点和域不同；站点代表网络的物理结构，而域代表组织的逻辑结构。这种物理和逻辑结构的区分提供了下列好处：

n         可以单独设计和维护网络的逻辑和物理结构。

n         不必使域名称空间建立在物理网络基础之上。

n         可以为相同站点中的多个域部署域控制器。也可以为多个站点中的相同域部署域控制器。

单个域可跨越多个物理位置或站点，并可包含众多对象。站点结构和域结构互相独立而且非常灵活。单个域可跨越多个地理站点，并且单个站点可包含属于多个域的用户和计算机。

 

l         全局编录
全局编录是存储林中所有 Active Directory 对象的副本的域控制器。全局编录存储林中主持域的目录中所有对象的完整副本，以及林中所有其他域中所有对象的部分副本，如下图所示。

全局编录中包含的所有域对象的部分副本是用户搜索操作中最常用的部分。作为其架构定义的一部分，这些属性被标记为包含在全局编录中。在全局编录中存储所有域对象的最常搜索的属性，可以为用户提供高效的搜索，而不会以不必要的域控制器参考影响网络性能。
可以使用“Active Directory 架构”管理单元在全局编录中手动添加或删除其他对象属性。
在林中的初始域控制器上，会自动创建全局编录。可以向其他域控制器添加全局编录功能，或者将全局编录的默认位置更改到另一个域控制器上。详细信息，请参阅 启用或禁用全局编录。
全局编录执行如下目录角色：

n         查找对象
全局编录允许用户在林中的所有域中搜索目录信息，而不用考虑数据存储的位置。执行林内的搜索时可获得最大的速度并产生最少的网络通信。
当您从“开始”菜单搜索用户或打印机时，或者在查询中选择了“整个目录”选项时，您就在搜索全局编录。当您输入搜索请求之后，该请求就被路由到默认的全局编录端口 3268，并被发送到某个全局编录进行解析。详细信息，请参阅查找目录信息和 Microsoft Windows 资源工具包网站上的“Finding information in Active Directory”（在 Active Directory 中查找信息）。

n         提供用户主体名称身份验证
当执行身份验证的域控制器没有帐户信息时，全局编录将解析用户主体名称 (UPN)。例如，如果用户的帐户位于 example1.microsoft.com 中，而用户决定通过用户主体名称 [email protected] 从位于 example2.microsoft.com 的计算机登录，则位于 example2.microsoft.com 的域控制器将找不到用户的帐户，因此它将联系全局编录以完成登录过程。详细信息，请参阅 Active Directory 命名。

n         在多域环境中提供通用组成员身份信息
与全局组成员身份不同（存储在每个域中），通用组成员身份只存储在全局编录中。例如，当属于某个通用组的用户登录设置为 Windows 2000 本机域功能级别或更高级别的域时，全局编录在此用户登录到该域的时候会提供此用户帐户的通用组成员身份信息。
如果在用户登录到设置为 Windows 2000 本机功能级别或更高级别的域时全局编录不可用，则如果用户先前曾登录该域，计算机将使用缓存的凭据使该用户登录。如果用户先前未曾登录到该域，则用户只能登录本地计算机。但是，如果用户以 Administrator 身份（Builtin Administrator 帐户）登录到该域，用户将始终能登录到该域，即使全局编录不可用，也是如此。