下载掌阅APP，畅读海量书库
立即打开
在介绍域之前，先了解一下什么是工作组。工作组的概念是从Window 98系统开始引入的。一般，按照计算机功能划分不同的工作组，如将不同部门的计算机划分为不同工作组。计算机通过工作组分类，使得访问资源具有层次化，但是这样会缺乏统一的管理和控制机制，因此引入“域”这一概念。
域（Domain）是在本地网络上的Windows系统的计算机集合。与工作组的平等模式不同，域是严格的管理模式。在一个域中至少有一台域控制器（Domain Controller，DC，或简称域控），通过域控制器对域成员（即加入域的计算机、用户）进行集中管理，对域成员下发策略、分发不同权限等。域控制器包含了整个域中的账号、密码以及域成员的资料信息。当计算机接入网络时，要鉴别它是否为域中成员，其账户密码是否存在于域中，这样能在一定程度上保护网络资源。
活动目录（Active Directory，AD）是域中提供目录服务的组件，它既是一个目录也是一个服务。活动目录中存储着域成员的信息，其存在的目的就是帮助用户在目录中快速找到需要的信息。
活动目录能对账号/密码、软件、环境进行集中管理，增强了安全性，并且缩短了宕机时间。其优势主要表现在以下几点。
（1）集中管理
活动目录集中管理网络资源，类似于一本书的目录，涵盖了域中组织架构和信息，便于管理各种资源。
（2）便捷访问
用户登录网络后可以访问拥有权限的所有资源，且不需要知道资源位置便可快速、方便地查询。
（3）易扩展
活动目录具有易扩展性，可以随着组织的发展而扩展成为大型网络环境。
域控制器类似于指挥调度中心，所有的验证、互访、策略下发等服务都由域控制器统一管理。安装了活动目录的计算机即为域控制器。
域树是指在多个域之间建立信任关系而组成的一个连续的名字空间。域管理员不能跨域管理其他域的成员，而且它们之间需要相互建立信任关系。此信任关系不是简单的双向关系，还可以传递。例如：A和B之间是信任关系，B和C之间是信任关系，则A和C之间因为信任关系的传递而相互信任。它们之间可以自动建立信任关系而进行数据共享等，如图1-1所示。
图1-1 域树
名字空间是类似于Windows文件名的树状层次结构，例如，在一个域树中父域名称为A，其子域即为AA.A，以此类推，之后的子域为XXX.AA.A。
域林（或称域目录林、林）是由没有形成连续名字空间的域树组成的。虽然域林中各个域树之间的名字空间不是连续的，但是它们仍共享同一个表结构、配置和全局编录。域林之间也有信任关系，域林中的域树通过建立信任关系可以交叉访问其他域中资源，如图1-2所示。
图1-2 域林
域林的根域是第一个创建的域，同时第一个林也因此诞生。
信任关系是指两个域之间的通信链路，一个域控制器因为信任关系的建立可以验证其他域的用户，使得域用户之间可以互相访问，如图1-3所示。
图1-3 信任关系
（1）信任的方向
信息关系有两个域：信任域和受信任域。当两个域建立信任关系后，受信任域的用户可以访问信任域的资源，但是信任域无法访问受信任域的资源。这个信任关系虽然是单向的，但是可以通过建立两次信任关系使得双方能够互访。
（2）信任的传递
信任关系分为可传递和不可传递。
❑当A和B之间、B和C之间都是信任可传递的关系，那么A和C之间是信任关系，可以互访资源。
❑当A和B之间、B和C之间都是信任不可传递的关系，那么A和C之间不是信任关系，无法互访资源。
（3）信任的类型
信任关系有默认信任和其他信任。默认信任包括父子信任、域间信任。其他信任包括快捷信任、外部信任、森林信任、领域信任。
1）默认信任是系统自动建立的信任关系，不需要手动配置建立信任关系。
❑父子信任：在现有的域树中增加子域时，子域会和父域建立信任关系，并继承父域的信任关系。
❑域间信任：在现有的域林中建立第二个域树时，将自动创建与第一个域树的信任关系。
2）其他信任是指非自动建立的信任关系，需要手动创建。
❑快捷信任：在域树或域林中通过默认信任建立的信任关系。因为信任路径有时会很长，访问资源时容易造成网络流量增加或访问速度变慢，访问效率低下。这种情况下可以直接建立访问者与被访问者之间的快捷信任关系，提高访问效率。
❑外部信任：构建在两个不同的森林或者两个不同的域（Windows域和非Windows域）之间的信任关系。这是双向或单向的、不可传递的信任关系。
❑森林信任：如果在Windows Server 2003功能级别，则可以在两个森林之间创建一种森林信任关系。这是单向或双向的、可传递的信任关系。需要注意的是森林信任只能在两个林的根域之间建立。
❑领域信任：使用领域信任可在非Kerberos域与Windows Server 2003域或Windows Server 2008域之间建立信任关系。