Windows AD域控基本介绍
1.工作组和域
在介绍域之前，我们先了解一下什么是工作组，工作组是在window98系统以后引入的，一般按照电脑功能划分不同工作组，如将不同部门的计算机划分为不同工作组，计算机通过工作组分类，使得访问资源具有层次化，但是缺乏统一的管理和控制机制，因此引入“域”。
域（Domain）是在本地网络上的Windows计算机集合。与工作组的平等模式不同，域是严格的管理模式，在一个域中至少有一台域控制器（Domain Controller，DC），通过域控制器对域成员，即加入域的计算机、用户进行集中管理，对域成员下发策略、分发不同权限等。域控制器包含了整个域中的账号、密码以及域成员的资料信息。当计算机接入网络时，要鉴别是否为域中成员，账户密码是否在域中存在，这样在一定程度上保护了网络资源。
2.活动目录
活动目录（Active Diirectory，AD）是域中提供目录服务的组件，他既是一个目录也是一个服务。活动目录中存储着域成员的信息，其存在的目的就是帮助用户在目录中快速找到需要的信息。
活动目录的功能有账号密码、软件、环境集中管理，增强安全性，更短的宕机时间。其优势主要表现在以下几点。
1）集中管理。活动目录集中管理网络资源，类似于一本书的目录，涵盖了域中组织架构和信息，便于管理各种资源。
2）便捷的访问。用户登录网络后可以访问拥有权限的所有资源，且不需要知道资源位置便可快速、方便的查询。
3）易扩展性。活动目录具有易扩展性，可以随着组织的增长而扩展成为大型网络环境。
3.域控制器
域控制器类似于指挥调度中心，所有的验证、互访、策略下发等服务都由域控制器统一管理。安装了AD活动目录的计算机即域控制器。
4.域树
域树是多个域之间建立信任关系而组成的一个连续的名字空间。域管理员之间不能跨域管理其他域成员，他们相互之间需要建立信任关系。此信任关系不仅是双向信任，同时信任属性也可以传递。例如A和B之间是信任关系，B和C之间是信任关系，则A和C之间因为信任关系的传递而相互信任。他们之间可以自动建立信任关系而进行数据共享等。如图1-1所示。
名字空间是类似于windows文件名的树状层次结构，如一个域树中父域名称为a，他的子域即为aa . a，以此类推之后的子域为xxx.aa.a。
5.域林
域林是指由没有形成连续名字空间的域树组成。域林中各个域树之间名字空间不是连续的，但是他们仍共享同一个表结构、配置和全局目录。和域树类似，域林之间也有信任关系，每个域树通过建立信任关系可以交叉访问其他域中资源。如图1-2所示。
域林的根域是第一个创建的域，与此同时第一个林也就诞生了。
6.信任关系
信任关系是指两个域之间的通信链路，一个域控制器因为信任关系的建立可以验证其他域的用户，使得域用户可以互相访问。如图1-3所示。
（1）信任的方向
信息关系有两个域：信任域和受信任域。
当两个域建立信任关系后，受信任域方用户可以访问信任域方资源，但是信任域方无法访问受信任域方资源。这个信任关系虽然是单向的，但是可以通过建立两次信任关系使得双方都能互访。
（2）信任的传递
信任关系分为可传递和不可传递。
当A和B之间，B和C之间都是信任可传递，那么A和C之间是信任关系，可以互访资源。
当A和B之间，B和C之间都是信任不可传递，那么A和C之间不是信任关系，无法互访资源。
（3）信任的类型
信任关系有默认信任和其他信任，默认信任包括父子信任、域间信任。其他信任包括快捷信任、外部信任、森林信任、领域信任。
- 默认信任是系统自行建立的信任关系，不需要手动配置建立信任关系。
- 父子信任：现有的域树中增加子域时，子域和父域建立信任关系，并继承父域信任关系。
- 域间信任：现有的域林中建立第二个域树时，将自动创建与第一个域树的信任关系。
- 其他信任是指非自动建立信任关系，需要手动创建。
- 快捷信任：在域树或域林中通过默认信任建立的信任关系因信任路径有时会很长，访问资源容易造成网络流量增加或访问速度变慢，访问效率低下。这种情况下可以直接建立访问者与被访问者之间的快捷信任关系，提高访问效率。
- 外部信任：构建在两个不同的森林或者两个不同的域（windows域和非windows域）之间的信任关系。这种信任是双向或单向的，不可传递的信任关系。
- 森林信任：如果在windows server 2003功能级别，可以在两个森林之间创建一个森林信任关系。这个信任是单向或双向的，可传递的信任关系。 注意：森林信任只能在两个林的根域上建立。
- 领域信任：使用领域信任可建立非 Windows Kerberos 领域和 Windows Server 2003或Windows Server 2008域之间的信任关系。
