Win Srv 2008 域

一，域和活动目录的概念:

1） ，活动目录ACTIVE  DIRCETORY-------严格来说，它有2层含义：一是“目录熟路库”，存储着整个域的用户账户、组、打印机、共享文件夹等ac对象的相关数据。二是“服务”，

因为它能够对AD数据库中有结构有组织的信息执行添加、删除、修改、查询等操作。

域是逻辑上一组计算机的集合，也可以说是一个网络。

域树是具有连续的域名空间的多个域的一种树形结构；所有域共享同一个AD，即整个域树只有一个AD。

域林是多个域树的集合，林中最先安装的域成为整个林的根域。

AD具有的特点：集中管理；  便捷的网络资源访问；  可扩展性。

注：全局编录：存放其所在域的所有对象的资料副本和受信任域的部分副本。

2） ，安装AD的条件：a，必须有本地administrator权限；

                     B，OS条件（windows server2008除web版除外）；

                     C，至少有一个NTFS文件系统，以便使域之间同步的数据都以“sysvol”传送；

                     D，有TCP/IP设置；

                     E，有相应的DNS支持；

               

二 ,，组策略概念

1，组策略的作用-------方便地管理AD中的用户和计算机的工作环境。

2，组策略结构

     1)，默认GPO.-----存放组策略的具体设置数据，包括默认的域策略和DC策略；

     2），SDOU（site 、domain 、organization 、unit）-----即AD的容器；LSDOU---组策略的应用规则,当两两之间产生冲突时，后面的优先级高。

      创建site的2个原因：优化域间的复制；在用户和DC之间建立可靠、高速的链接；

3，GPC(组策略容器) 与GPT（组策略模板）

GPC--------包含GPO属性和版本信息的AD对象；

GPT---------其名称是GPO的全局唯一标识；也就是说一个GPC对应一个GPT。

4，实施的注意点

     1），对计算机执行的组策略，重启后生效；

     2），对用户执行的责策略，注销后生效。

注：分发软件----对象是计算机时，勾选“分配”选项；对象是用户时，勾选“发布和分配”即可。

三，域间的信任关系

      1，林中的信任关系特点-----自动建立、双向信任、可传递；

     林间的信任关系（外部信任）特点------手动建立、单向（分为内传和外传）、不可传递。

四，操作主机的角色（每种~~只有一台host）

     1），林中有2个操作主机角色：

     A，架构主机------控制全林架构的全部更新。默认没安装，需手动安装（执行'regsvr32 schmmgmt.dll' ）；

     B，域命名主机-----控制林中域的添加和删除，可以防止林中的域名重复。

        注：如果运行windows server2000 的DC担当域命名主机角色时，必须启用为全局编录服务器。

2),域中有3个操作主机角色（域中的the first DC会拥有这三个角色）：

A，PDC仿真主机（PDC Emulator MASTER）----作为windows2000以前的客户机模拟windows nt pdc（主域控制器）功能。

作用如下----管理来自客户机（" windows 95/98/NT ）的密码更改；

           最小化密码变化的复制等待时间；

           默认情况下，还负责同步整个域内所有域控上的时间。

    B，RID主机（RID MASTER）-----将相对ID（RID）序列分配给域中每个域控。

       SIDD=域"SID" （公）+ 私RID（域中唯一）

C，基础结构主机（infrastruture master）------负责更新从它所在的域中的对象到其他域中对象的引用；使用的注意事项如下------除非域中只有一个DC，否则不应将其角色和全局编录GC放在同一台主机DC，那样会使基础结构主机不会运行，不会将任何更改复制到域中的其他DC；     如果域中的所有DC都存有全局编录，即拥有最新数据，则基础结构主机角色显得就不重要了；

注：五个操作主机角色可以在多个DC间转移和占用，当主DC宕机时，应使辅Dc占用主DC的角色（其实只占用林中2个角色即可成为主DC）。

四，AD备份与还原：

    注：2008不支持“ntbackup”，要安装windows server backup功能。

1） ，备份Ad数据库：内容有注册表、COM+类注册数据库、引导文件和系统文件、Ad域服务、SYSVOL目录。

2） ，还原：

     A，非授权还原----适用于只有一个Dc的环境，对DC进行完整备份；

     B，授权还原-----必须先执行非授权还原，需使用“ntdsutil authoritative restore”命令将需还原后依然保留的对象标记为授权对象。