域环境常见基础概念
组织单元 (OU)
组织单元是 Active Directory 中的一个容器对象，用于对网络对象（如用户、计算机、组）进行逻辑分组。OU 可以嵌套，形成层次结构，便于管理和组织网络资源。例如，一个公司可能会根据部门、地理位置或项目组来创建不同的 OU。
安全标识符 (SID)
安全标识符是一个唯一的 48 位数字，用于标识 Windows 系统中的安全主体（如用户、组、计算机）。每个用户、组和计算机在域中都有一个唯一的 SID。SID 在整个 Windows 网络环境中必须是唯一的，用于授权和身份验证过程。
什么是 AD、DC、GC
AD（Active Directory）
Active Directory 是 Microsoft Windows Server 系统中的目录服务。它提供了一个集中式数据库，用于存储和管理网络资源的信息，如用户、计算机、组、共享文件夹等。AD 允许管理员对网络资源进行集中管理和控制，是域环境的核心组件。
DC（Domain Controller）
域控制器是运行 Active Directory 服务的服务器，负责处理网络中的认证请求、策略应用和其他目录服务功能。每个域至少有一个域控制器，用于维护域的目录信息和处理用户的登录请求。
GC（Global Catalog）
全局编录是 Active Directory 中的一种特殊类型的域控制器，它包含了整个林中所有对象的属性副本。全局编录用于支持跨域的查询和操作，特别是在分布式环境中，使得可以从任何域控制器获取整个林的信息。
什么是域、域树、域林、林根
域（Domain）
域是 Active Directory 中的基本管理单位，代表了一个逻辑和行政边界。在一个域中，可以集中管理用户、计算机和资源的访问控制。域内的所有计算机都信任域控制器进行身份验证。
域树（Domain Tree）
域树是由多个域按照父子关系组成的层次结构。每个域都有一个唯一的 DNS 名称，子域继承父域的信任关系，使得域之间的资源访问更加便捷。域树中的所有域共享同一个命名空间和架构。
域林（Domain Forest）
域林是由一个或多个域树组成的一个逻辑集合，共享同一个全局编录和配置命名空间。域林中的域可以通过信任关系进行互联，允许多个组织或部门之间进行资源和服务的共享。
林根（Forest Root）
林根是域林中的顶级域，它是整个域林的起点。林根域包含了整个域林的配置信息和全局编录，是域林中最重要的域之一。
域环境的基石--DNS
工作组
在 Windows 操作系统中，工作组是一种网络资源管理模型，主要用于小型网络环境或不需要复杂管理功能的场景。工作组模式下，每台计算机都是独立的，没有中央管理和控制机制。用户可以直接访问同一工作组内其他计算机上的共享资源，如文件、打印机等。
工作组的主要特点
- 去中心化：工作组模式下，没有中央服务器来管理用户账户、权限和资源。每台计算机都独立管理自己的用户账户和资源。
- 资源共享：工作组内的计算机可以互相共享文件和打印机，便于协作和办公。
- 简单管理：工作组的管理相对简单，适合小型网络环境或家庭用户。不需要复杂的管理工具和策略。
如何加入工作组
- 打开网络和共享中心：在 Windows 控制面板中，找到“网络和共享中心”并打开。
- 更改高级共享设置：在“网络和共享中心”窗口中，点击“更改高级共享设置”。
- 启用文件和打印机共享：在“高级共享设置”窗口中，选择“文件和打印机共享”，并启用此功能。
- 创建或加入工作组：在“网络和共享中心”窗口中，点击“更改工作组”或“创建工作组”，根据提示输入工作组名称，并完成设置。
工作组的局限性
- 缺乏集中管理：工作组模式下，没有中央服务器来管理用户账户和资源，因此不适合大型企业网络环境。
- 安全性较低：由于缺乏集中管理和控制，工作组的安全性相对较低，容易受到外部公鸡和内部威胁。
- 资源管理复杂：在大型网络环境中，管理分散的资源和用户账户变得更加复杂和低效。
适用场景
- 小型办公室或家庭网络：工作组模式适用于小型办公室或家庭网络环境，用户数量较少，管理需求简单。
- 临时网络：在需要快速组建临时网络的情况下，工作组模式可以快速实现资源共享和协作。
总之，工作组是一种简单、灵活的网络资源管理模型，适合小型网络环境或不需要复杂管理功能的场景。尽管其具有一定的局限性，但在适当的场景下，工作组可以有效满足用户的需求。
活动目录
活动目录（Active Directory，简称 AD）是 Microsoft Windows Server 系统中的目录服务。它提供了一个集中式数据库，用于存储和管理网络资源的信息，如用户、计算机、组、共享文件夹等。AD 允许管理员对网络资源进行集中管理和控制，是域环境的核心组件。
主要功能
- 用户和资源管理：AD 提供了一个中央存储库，用于管理用户账户、组、计算机和其他资源。管理员可以通过 AD 对这些对象进行创建、修改和删除操作。
- 身份验证和授权：AD 提供了一个安全的身份验证和授权框架，允许用户在网络中进行单点登录，并根据用户的角色和权限控制对资源的访问。
- 组策略管理：AD 允许管理员通过组策略对象（GPO）来配置和管理网络中的安全设置和用户环境设置。组策略可以应用于整个域、特定的组织单元（OU）或个别用户和计算机。
- 分布式计算环境：AD 支持分布式计算环境，使得资源可以在多个服务器和地理位置之间进行分布和负载均衡。
- 集成服务：AD 与其他 Microsoft 服务紧密集成，如 DNS、DHCP 和文件服务，提供了一个统一的网络管理平台。
组织结构
- 域：域是 AD 中的基本管理单位，代表了一个逻辑和行政边界。在一个域中，可以集中管理用户、计算机和资源的访问控制。
- 组织单元（OU）：OU 是 AD 中的一个容器对象，用于对网络对象进行逻辑分组。OU 可以嵌套，形成层次结构，便于管理和组织网络资源。
- 站点：站点是 AD 中的物理位置，通常对应于一个 LAN 或 WAN。站点用于优化网络通信和数据复制。
关键组件
- 域控制器（DC）：域控制器是运行 AD 服务的服务器，负责处理网络中的认证请求、策略应用和其他目录服务功能。每个域至少有一个域控制器，用于维护域的目录信息和处理用户的登录请求。
- 全局编录（GC）：全局编录是 AD 中的一种特殊类型的域控制器，它包含了整个林中所有对象的属性副本。全局编录用于支持跨域的查询和操作，特别是在分布式环境中，使得可以从任何域控制器获取整个林的信息。
- 林和树：AD 支持多域环境，可以通过域树和域林来进行组织和管理。域树是由多个域按照父子关系组成的层次结构，而域林是由一个或多个域树组成的一个逻辑集合，共享同一个全局编录和配置命名空间。
安全性
AD 提供了强大的安全性功能，包括：
- 用户身份验证：通过用户名和密码、智能卡或其他身份验证方法来验证用户的身份。
- 访问控制：通过权限和访问控制列表（ACL）来控制用户和组对资源的访问。
- 加密通信：使用 LDAP over SSL（LDAPS）来加密 AD 通信，保护数据的机密性和完整性。
应用场景
AD 广泛应用于各种企业环境中，用于管理大规模的网络资源。常见的应用场景包括：
- 企业内部网络管理：管理企业内部的用户、计算机和资源访问。
- 远程和分布式办公：支持远程办公和分布式团队的网络资源管理。
- 多域和多组织管理：管理复杂的多域和多组织网络环境。
总之，活动目录是现代企业网络管理的重要组成部分，提供了强大的用户和资源管理功能，提升了网络的安全性和管理效率。
域功能
域环境常见基础概念
在 Windows 域环境中，有许多基础概念需要理解，以便有效地管理和维护网络资源。以下是一些常见的基础概念：
域
域是一个逻辑网络，其中的所有计算机和用户账户都由一个或多个域控制器进行集中管理和身份验证。域是 Active Directory 的基本单位，提供了强大的安全性和管理功能。
域控制器 (DC)
域控制器是运行 Active Directory 服务的服务器，负责处理网络中的认证请求、策略应用和其他目录服务功能。每个域至少有一个域控制器，用于维护域的目录信息和处理用户的登录请求。
组织单元 (OU)
组织单元是 Active Directory 中的一个容器对象，用于对网络对象进行逻辑分组。OU 可以嵌套，形成层次结构，便于管理和组织网络资源。
用户账户
用户账户是 Active Directory 中的基本身份验证单位，代表了网络中的一个用户。用户账户可以被分配到不同的组，以获得相应的权限和访问控制。
组
组是 Active Directory 中的一个对象，用于将多个用户账户或计算机账户组织在一起。组可以简化权限管理和资源访问控制。
计算机账户
计算机账户是 Active Directory 中的一个对象，代表了网络中的一台计算机。计算机账户可以加入到域中，以便进行集中管理和控制。
组策略 (GPO)
组策略是 Active Directory 中的一种管理工具，用于在域环境中集中配置和管理网络设置和用户环境设置。组策略可以应用于整个域、特定的组织单元或个别用户和计算机。
域名系统 (DNS)
域名系统是用于解析网络中计算机名称和 IP 地址的系统。在域环境中，DNS 用于将计算机名称解析为对应的 IP 地址，以便进行网络通信。
文件复制服务 (FRS)
文件复制服务是用于在域环境中同步和复制文件的服务。FRS 确保了域控制器之间的数据一致性，使得用户可以在任何域控制器上进行身份验证和访问资源。
安全性
域环境提供了强大的安全性功能，包括用户身份验证、访问控制、加密通信等。域控制器通过验证用户账户的凭据来确保只有合法用户可以访问网络资源。
站点
站点是 Active Directory 中的物理位置，通常对应于一个 LAN 或 WAN。站点用于优化网络通信和数据复制。
林和树
林是由一个或多个域树组成的一个逻辑集合，共享同一个全局编录和配置命名空间。域树是由多个域按照父子关系组成的层次结构。
理解这些基础概念对于有效地管理和维护 Windows 域环境至关重要。这些概念不仅帮助你更好地组织和管理网络资源，还能提高网络的安全性和可靠性。
域功能基础概念
在 Windows 域环境中，有一些重要的基础概念需要理解，以便有效地管理和维护网络资源。以下是几个关键的概念：
功能级别
功能级别是指域或林中使用的 Active Directory 版本和技术特性。功能级别决定了域环境中可以使用哪些特性和功能。以下是几种常见的功能级别：
- Windows Server 2000 模式：这是最早的 Active Directory 功能级别，支持基本的域功能和安全性。
- Windows Server 2003 模式：增加了对新的安全性和管理功能的支持，如改进的组策略处理和更细粒度的权限控制。
- Windows Server 2008 模式：引入了新的功能，如只读域控制器（RODC）和改进的复制机制。
- Windows Server 2012 模式：增加了对新的身份验证和访问控制功能的支持，如多值属性和动态访问控制。
- Windows Server 2016 模式：引入了新的安全性和管理功能，如身份验证强化和更好的审计功能。
信任关系
信任关系是指两个域之间建立的一种安全连接，允许用户从一个域访问另一个域的资源。信任关系可以是单向的或双向的，具体取决于域之间的访问需求。以下是几种常见的信任关系：
- 单向信任：一个域信任另一个域，但另一个域不信任第一个域。例如，域 A 信任域 B，但域 B 不信任域 A。
- 双向信任：两个域相互信任。例如，域 A 信任域 B，同时域 B 也信任域 A。
- 传递信任：如果域 A 信任域 B，且域 B 信任域 C，则域 A 也会信任域 C。
全局编录服务器 (GC)
全局编录服务器（Global Catalog Server，简称 GC）是 Active Directory 中的一种特殊类型的域控制器，它包含了整个林中所有对象的属性副本。全局编录用于支持跨域的查询和操作，特别是在分布式环境中，使得可以从任何域控制器获取整个林的信息。全局编录服务器的主要作用包括：
- 存储森林对象的信息副本：全局编录服务器存储了整个林中所有对象的部分属性信息，使得跨域查询和操作更加高效。
- 支持跨域查询：全局编录服务器使得可以从任何一个域控制器获取整个林的信息，提高了查询性能和灵活性。
- 支持分布式计算环境：全局编录服务器支持分布式计算环境，使得资源可以在多个服务器和地理位置之间进行分布和负载均衡。
只读域控制器 (RODC)
只读域控制器（Read-Only Domain Controller，简称 RODC）是一种特殊的域控制器，它只包含 Active Directory 数据库的只读副本。RODC 主要用于分支办事处或需要额外安全性的地方，以防止意外或恶意的修改。RODC 的主要特点包括：
- 只读模式：RODC 只能进行读操作，不能进行写操作。所有的写操作都会被重定向到其他可写的域控制器。
- 增强的安全性：RODC 提高了数据的安全性，因为无法在 RODC 上进行修改操作。
- 支持缓存：RODC 可以缓存最近访问的数据，提高查询性能和响应速度。
理解这些基础概念对于有效地管理和维护 Windows 域环境至关重要。这些概念不仅帮助你更好地组织和管理网络资源，还能提高网络的安全性和可靠性。
