微軟活動目錄基礎(chǔ)漫談
原創(chuàng)理解“目錄”，可以從我們常見的Windows下“文件夾”入手。那個時候的 “文件夾”僅代表一個文件存在磁盤上的位置和層次關(guān)系，一個文件生成之后相對來說這個文件的所在目錄也就固定了，也就是說它的屬性也就相對固定了，是靜態(tài)的。這個目錄所能代表的僅是這個目錄下所有文件的存放位置和所有文件總的大小，并不能得出其它有關(guān)信息，這樣就影響到了整體使用目錄的效率，也就是影響了系統(tǒng)的整體效率，使系統(tǒng)的整個管理變得復(fù)雜。因為沒有相互關(guān)聯(lián)，所以在不同應(yīng)用程序中同一對象要進(jìn)行多次配置，管理起來相當(dāng)繁鎖，影響了系統(tǒng)資源的使用效率。
為了改變這種效率低下的關(guān)系和加強(qiáng)與Internet上有關(guān)協(xié)議的關(guān)聯(lián)，Microsoft公司決定引入活動目錄的概念?；顒幽夸浀年P(guān)鍵就在于“活動”兩個字，這個目錄是活動的，所以它是動態(tài)的，它是一種包含服務(wù)功能的目錄，它可以做到“由此及彼”的聯(lián)想、映射，如找到了一個用戶名，就可聯(lián)想到它的賬號、出生信息、E-mail、電話等所有基本信息，雖然組成這些信息的文件可能不在一塊。同時不同應(yīng)用程序之間還可以對這些信息進(jìn)行共享，減少了系統(tǒng)開發(fā)資源的浪費(fèi)，提高了系統(tǒng)資源的利用效率。
活動目錄包括兩個方面：目錄和與目錄相關(guān)的服務(wù)。目錄是存儲各種對象的一個物理上的容器，從靜態(tài)的角度來理解這活動目錄與我們以前所結(jié)識的“目錄”和“文件夾”沒有本質(zhì)區(qū)別，僅僅是一個對象，是一實體；而目錄服務(wù)是使目錄中所有信息和資源發(fā)揮作用的服務(wù)，活動目錄是一個分布式的目錄服務(wù)，信息可以分散在多臺不同的計算機(jī)上，保證用戶能夠快速訪問，因為多臺機(jī)上有相同的信息，所以在信息容氏方面具有很強(qiáng)的控制能力，正因如此，不管用戶從何處訪問或信息處在何處，都對用戶提供統(tǒng)一的視圖。
理解活動目錄，還必須把握如下基礎(chǔ)概念：
1、名字空間
從本質(zhì)上講，活動目錄就是一個名字空間，我們可以把名字空間理解為任何給定名字的解析邊界，這個邊界就是指這個名字所能提供或關(guān)聯(lián)、映射的所有信息范圍。通俗地說就是我們在服務(wù)器上通過查找一個對象可以查到的所有關(guān)聯(lián)信息總和，如一個用戶，如果我們在服務(wù)器已給這個用戶定義了如：用戶名、用戶密碼、工作單位、聯(lián)系電話、家庭住址等，那上面所說的總和廣義上理解就是“用戶”這個名字的名字空間，因為我們只輸入一個用戶名即可找到上面我所列的一切信息。名字解析是把一個名字翻譯成該名字所代表的對象或者信息的處理過程。舉例來說，在一個電話目錄形成一個名字空間中，我們可以從每一個電話戶頭的名字可以被解析到相應(yīng)的電話號碼，而不是象現(xiàn)在一樣名字是名字，號碼歸號碼，根本不能橫向聯(lián)系。Windows 操作系統(tǒng)的文件系統(tǒng)也形成了一個名字空間，每一個文件名都可以被解析到文件本身（包含它應(yīng)有的所有信息）。
2、對象
對象是活動目錄中的信息實體，也即我們通常所見的“屬性”，但它是一組屬性的集合，往往代表了有形的實體，比如用戶賬戶、 文件名等。對象通過屬性描述它的基本特征，比如，一個用戶賬號的屬性中可能包括用戶姓名、 電話號碼、 電子郵件地址和家庭住址等。
3、容器
容器是活動目錄名字空間的一部分，與目錄對象一樣，它也有屬性，但與目錄對象不同的是，它不代表有形的實體，而是代表存放對象的空間，因為它僅代表存放一個對象的空間，所以它比名字空間小。比如一個用戶，它是一個對象，但這個對象的容器就僅限于從這個對象本身所能提供的信息空間，如它僅能提供用戶名、用戶密碼。其它的如：工作單位、聯(lián)系電話、家庭住址等就不屬于這個對象的容器范圍了。
4、目錄樹
在任何一個名字空間中，目錄樹是指由容器和對象構(gòu)成的層次結(jié)構(gòu)。樹的葉子、節(jié)點往往是對象，樹的非葉子節(jié)點是容器。目錄樹表達(dá)了對象的連接方式，也顯示了從一個對象到另一個對象的路徑。在活動目錄中，目錄樹是基本的結(jié)構(gòu)，從每一個容器作為起點，層層深入， 都可以構(gòu)成一棵子樹。一個簡單的目錄可以構(gòu)成一棵樹，一個計算機(jī)網(wǎng)絡(luò)或者一個域也可以構(gòu)成一棵樹。
5、域
域是WIN2K網(wǎng)絡(luò)系統(tǒng)的安全性邊界。我們知道一個計算機(jī)網(wǎng)最基本的單元就是“域”，這一點不是WIN2K所獨(dú)有的，但活動目錄可以貫穿一個或多個域。在獨(dú)立的計算機(jī)上，域即指計算機(jī)本身，一個域可以分布在多個物理位置上，同時一個物理位置又可以劃分不同網(wǎng)段為不同的域，每個域都有自己的安全策略以及它與其他域的信任關(guān)系。當(dāng)多個域通過信任關(guān)系連接起來之后，活動目錄可以被多個信任域域共享。
6、組織單元
包含在域中特別有用的目錄對象類型就是組織單元。組織單元是可將用戶、組、計算機(jī)和其他單元放入活動目錄的容器中，組織單元不能包括來自其他域的對象。組織單元是可以指派組策略設(shè)置或委派管理權(quán)限的最小作用單位。使用組織單元，您可在組織單元中代表邏輯層次結(jié)構(gòu)的域中創(chuàng)建容器，這樣您就可以根據(jù)您的組織模型管理帳戶、資源的配置和使用，可使用組織單元創(chuàng)建可縮放到任意規(guī)模的管理模型。可授予用戶對域中所有組織單元或?qū)蝹€組織單元的管理權(quán)限，組織單元的管理員不需要具有域中任何其他組織單元的管理權(quán)。
7、域樹
域樹由多個域組成，這些域共享同一表結(jié)構(gòu)和配置，形成一個連續(xù)的名字空間。樹中的域通過信任關(guān)系連接起來，活動目錄包含一個或多個域樹。域樹中的域?qū)哟卧缴罴墑e越低，一個“.”代表一個層次，如域child.Microsoft.com 就比 Microsoft.com這個域級別低，因為它有兩個層次關(guān)系，而Microsoft.com只有一個層次。而域Grandchild.Child.Microsoft.com雙比 Child.Microsoft.com級別低，道理一樣。
域樹中的域是通過雙向可傳遞信任關(guān)系連接在一起。由于這些信任關(guān)系是雙向的而且是可傳遞的，因此在域樹或樹林中新創(chuàng)建的域可以立即與域樹或樹林中每個其他的域建立信任關(guān)系。這些信任關(guān)系允許單一登錄過程，在域樹或樹林中的所有域上對用戶進(jìn)行身份驗證，但這不一定意味著經(jīng)過身份驗證的用戶在域樹的所有域中都擁有相同的權(quán)利和權(quán)限。因為域是安全界限，所以必須在每個域的基礎(chǔ)上為用戶指派相應(yīng)的權(quán)利和權(quán)限。
8、域林
域林是指由一個或多個沒有形成連續(xù)名字空間的域樹組成，它與上面所講的域樹最明顯的區(qū)別就在于這些域樹之間沒有形成連續(xù)的名字空間，而域樹則是由一些具有連續(xù)名字空間的域組成。但域林中的所有域樹仍共享同一個表結(jié)構(gòu)、配置和全局目錄。域林中的所有域樹通過Kerberos信任關(guān)系建立起來，所以每個域樹都知道Kerberos信任關(guān)系，不同域樹可以交叉引用其他域樹中的對象。域林都有根域，域林的根域是域林中創(chuàng)建的***個域，域林中所有域樹的根域與域林的根域建立可傳遞的信任關(guān)系。
【編輯推薦】
