活动目录¶

总结前置¶

简单说，活动目录就是企业IT基础设施的“大脑”和“安全总管”，它让杂乱无章的局域网变成了一个可集中管控、安全高效的整体。

特性	描述
本质	集中化的网络资源管理与身份认证系统
核心作用	管人、管机器、管策略、保安全
关键优势	管理效率高、安全性强、策略统一、可扩展性好
适用环境	主要面向本地的Windows网络环境

主要核心组件¶

域控制器：安装了AD DS角色的Windows Server服务器。它是AD服务的实际载体，负责处理所有认证和管理请求。

AD DS：Active Directory 域服务，是提供核心目录服务功能的角色。
LDAP：轻量目录访问协议。AD遵循此协议，使得其他支持LDAP的应用程序（如邮箱系统、VPN）也能使用AD中的账户进行认证。
DNS：域名解析服务。AD极度依赖DNS来定位域控制器和其他服务，通常与AD集成部署。
全局编录：一个包含域森林中所有对象关键信息的特殊数据库，用于快速搜索和跨域登录。

活动目录的核心功能与组成¶

集中式身份认证与管理

域账户：用户和计算机只需一个账户和密码（域账户），即可登录到整个网络（域），访问被授权的资源。单点登录：登录一次，就可以访问网络内所有有权限的应用和服务（如文件共享、业务系统等）。

资源统一管理

管理的不只是用户，还包括网络中的所有对象：计算机、打印机、共享文件夹、应用程序等。

组策略

这是AD最强大的功能之一。管理员可以定义一套统一的规则（策略），并批量应用到用户或计算机上。例如：统一桌面背景、自动安装软件、禁用USB端口、设置密码策略、统一浏览器主页、开机自动运行脚本等。这极大地简化了运维和安全加固工作。

层级结构与域

AD采用类似公司组织架构的树形结构（域森林 -> 域树 -> 域 -> 组织单位OU）。

域：是AD管理和安全的核心边界。一个域就是一组受AD服务器管理的计算机、用户的集合。
组织单位：类似于文件夹，用于对域内的用户、计算机、组进行更细粒度的分类和管理，方便部署组策略和委派管理权限。

高可用性与冗余

可以部署多台域控制器来提供AD服务。它们之间会自动同步数据，即使一台宕机，其他DC也能继续提供服务，保证业务不中断。

灵活单主机操作¶

在AD的正常多主机复制模型中，任何域控制器都可以接受更改（如修改密码），然后复制给其他域控制器。但有一些操作不能以这种“多头管理”的方式进行，必须由一个“总负责人”来处理。这些操作就是FSMO角色。FSMO是确保AD林和域内关键、非多主机操作能够有序、一致进行的机制。管理员必须知道这些角色存放在哪里，并在进行服务器维护或升级计划时，妥善处理这些角色的转移。其中，PDC仿真器角色的正常运行对日常办公环境影响最大。

FSMO角色分为两大类，共五个角色：

第一类：林范围角色¶

这些角色在整个AD林（可能包含多个域）中唯一存在。

1.架构主机¶

职责：负责管理和修改AD的“蓝图”或“数据模型”（即架构）。例如，当你需要为所有用户对象添加一个新的属性字段时，必须联系这台域控制器。

重要性：修改频率极低，但一旦出错会影响整个林。

2.域命名主机¶

职责：负责管理林的“命名空间”。它的主要工作是确保在林中添加新域或删除现有域时，域名不会重复。

重要性：同样修改频率低，但在进行域结构变更时至关重要。

第二类：域范围角色¶

这些角色在每个域中都唯一存在。如果你的林中有多个子域，那么每个子域都会有自己的一套这三个角色。

3. RID 主机¶

职责：负责发放“原材料”给域内的所有域控制器。在AD中，每个用户、组、计算机对象都有一个唯一的安全标识符。RID主机负责向每台域控制器分配一池相对ID号，供其创建对象时使用。

重要性：如果RID池耗尽，域控制器将无法创建新的安全主体对象。这是最常需要关注的FSMO角色之一。

4.PDC 仿真器¶

职责：这是最繁忙、最关键的FSMO角色，承担多项兼容性和管理任务：

时间同步源：整个域的时间以PDC仿真器为准，它再与外部的可靠时间源同步。

密码修改处理：当用户修改密码时，更改会立即复制到PDC仿真器，以防其他DC还未收到更新而导致登录失败。

域主浏览器：处理一些旧的网络浏览列表功能。

管理组策略：某些组策略编辑操作需要它。

重要性：非常高。它的故障会立即影响用户体验（如密码问题、时间不同步）。

5.基础架构主机¶

职责：当你的林中有多个域时，它负责更新跨域对象引用。例如，如果A域的一个组包含了B域的用户，当B域的用户名更改时，基础架构主机负责更新A域中那个组的成员信息显示。

重要性：在单域环境中，它的作用很小。但在多域环境中很重要。注意：它不能运行在同时也是全局编录服务器的域控制器上（除非林中所有DC都是GC）。