第4章网络操作系统Windows Server 2003-电子教案.ppt

网络操作系统（Windows Server 2003） 第4章 Active Directory和域 本章学习目标 Active Directory和域是Windows Server 2003的重要组成部分，二者是紧密相关的两个概念。本章主要讲解Active Directory和域的相关基础知识以及如何创建域、管理域。通过本章学习，读者应该掌握以下内容： Active Directory基础 域的相关概念 域的建立 域的管理 4.1 Active Directory基础 Active Directory是Windows Server 2003提供的目录服务。Active Directory可以存储各种对象的有关信息，并使该信息易于管理员和用户查找及使用，它使用结构化的数据存储作为目录信息的逻辑层次结构的基础，同时将安全性集成到了Active Directory中，通过网络登陆，系统管理员能够管理整个网络中的目录数据和单位，而且获得授权的网络用户也可以访问网络上的任何地方的资源。 4.1.1Active Directory概念 Active Directory（活动目录，可简称为AD）是存储网络上对象的相关信息并使该信息可供用户和网络管理员使用的目录服务。 Active Directory包括两个方面：目录和与目录相关的服务。目录是存储各种对象的一个物理上的容器，从静态的角度来理解这活动目录与我们以前所结识的“目录”和“文件夹”没有本质区别，仅仅是一个对象，是一实体；而目录服务是使目录中所有信息和资源发挥作用的服务，活动目录是一个分布式的目录服务，信息可以分散在多台不同的计算机上，保证用户能够快速访问，因为多台机器上有相同的信息，所以在信息容器方面具有很强的控制能力，正因如此，不管用户从何处访问或信息处在何处，都对用户提供统一的视图。 1．名字空间： 从本质上讲，活动目录就是一个名字空间，我们可以把名字空间理解为任何给定名字的解析边界，这个边界就是指这个名字所能提供或关联、映射的所有信息范围。 名字解析是把一个名字翻译成该名字所代表的对象或者信息的处理过程。 2．对象 对象是活动目录中的信息实体，也即我们通常所见的“属性”，但它是一组属性的集合，往往代表了有形的实体，比如用户帐户、 文件名等。对象通过属性描述它的基本特征，比如，一个用户账号的属性中可能包括用户姓名、 电话号码、 电子邮件地址和家庭住址等。 3．容器 容器是活动目录名字空间的一部分，与目录对象一样，它也有属性，但与目录对象不同的是，它不代表有形的实体，而是代表存放对象的空间，因为它仅代表存放一个对象的空间，所以它比名字空间小。比如一个用户，它是一个对象，但这个对象的容器就仅限于从这个对象本身所能提供的信息空间，如它仅能提供用户名、用户密码。其它的如：工作单位、联系电话、家庭住址等就不属于这个对象的容器范围了。 4．目录树 在任何一个名字空间中，目录树是指由容器和对象构成的层次结构。树的叶子、节点往往是对象，树的非叶子节点是容器。目录树表达了对象的连接方式，也显示了从一个对象到另一个对象的路径。在活动目录中，目录树是基本的结构，从每一个容器作为起点，层层深入， 都可以构成一棵子树。一个简单的目录可以构成一棵树，一个计算机网络或者一个域也可以构成一棵树。 “目录树”其实描述的是一种“路径关系”。 5．域 域是Windows 2003网络系统的安全性边界。一个计算机网络最基本的单元就是“域”，但活动目录可以贯穿一个或多个域。在独立的计算机上，域即指计算机本身，一个域可以分布在多个物理位置上，同时一个物理位置又可以划分不同网段为不同的域，每个域都有自己的安全策略以及它与其他域的信任关系。当多个域通过信任关系连接起来之后，活动目录可以被多个信任域共享。 6．组织单元 包含在域中特别有用的目录对象类型就是组织单元。组织单元是可将用户、组、计算机和其他单元放入活动目录的容器中，组织单元不能包括来自其他域的对象。组织单元是可以指派组策略设置或委派管理权限的最小作用单位。使用组织单元，可在组织单元中代表逻辑层次结构的域中创建容器，这样就可以根据组织模型管理帐户、资源的配置和使用，可使用组织单元创建可缩放到任意规模的管理模型。可授予用户对域中所有组织单元或对单个组织单元的管理权限，组织单元的管理员不需要具有域中任何其他组织单元的管理权，组织单元有点像在NT时代的工作组，从管理权限上来讲可以这么理解。 4.1.2Active Directory功能 １．简化管理 ２．增强信息的安全性 3．智能的信息复制能力 4．与DNS集成紧密 5．灵活的查询功能 4.1.3Active Directory结构 Active Directory是一个分布式的目录服务，