网管员必读——网络组建(第2版)第六章

网管员必读——网络组建

第六章 域控制器的安装与配置本章将分别介绍适合于小型企业的单域控制器及适合于 中型或以上企业的额外域控制器、现有域树中的子域、现 有域林中的域树的安装与配置方法。同时介绍Windows 2000和Windows NT 4.0域系统升级的方法。 本章重点如下: Windows Server 2003的Active Directory新功能 运行第一台服务器典型设置的条件 第一台服务器的典型设置方法 新域控制器的安装和配置方法 额外域控制器的安装和配置方法 子域控制器的安装和配置方法 从Windows 2000域系统升级到Windows Server 2003域所需 进行的准备工作

网管员必读——网络组建

6.1 域控制器基础6.1.1 域控制器的定义及主要作用 在Windows 2000/Server 2003系统中，域控制器是一台安 装了Active Directory(活动目录)的服务器。所以所有域 控制器必须先安装Active Directory,无论第一个域控制器、 额外域控制器，还是子域控制器。域控制器包含了Active Directory数据库的可写副本，它参与Active Directory复制 并控制对网络资源的访问。 域控制器为网络用户和计算机提供了Active Directory目 录服务，该服务可存储和复制目录数据并管理用户和域的 交互操作，包括用户登录过程、身份验证及目录搜索。每 个域至少必须包含一个域控制器。域控制器管理员能够管 理用户账户、网络访问权限、共享资源、站点拓扑及来自 林内任意域控制器的其他目录对象。

网管员必读——网络组建

6.1.2 域控制器的规划1.确定所需的域控制器数 域控制器数的多少主要受网络规模、网络应用和复杂性 的限制。对于小型企业来讲，多数可能只有一个域控制器， 很明显这样的网络可用性不可能很高，因为单一域控制器 无论如何都不能保证网络的持续、永久运行。当然可能因 为这类小型网络本身就不需要持续、永久运行，而是在每 天的晚上或每周休息日关闭。但对于大多数需要持续、永 久运行的企业网络来说，为了获得高可用性和容错能力， 即使是使用单个局域网(LAN)的小型企业也可能只需要 一个具有两个或以上域控制器的域。具有多个网络位置的 大公司在每个站点和子网中都需要一个或多个域控制器以 提供高可用性和容错能力。

网管员必读——网络组建

2.物理安全 对域控制器的物理访问会为恶意用户提供对加密密码的 未授权访问。因此，建议将单位中的所有域控制器锁在一 个安全的房间里，只允许有限的公开访问。还可以采取其 他安全措施(比如系统密钥实用程序Syskey)以进一步保 护域控制器。 3.备份域控制器 可以使用“备份”工具(包含在Windows Server 2003家 族中)从域中的任何域控制器备份域目录分区数据和其他 目录分区的数据。 4.升级域控制器 运行Windows NT 4.0

的域控制器上，要成功升级该域首 先需要升级主域控制器(PDC)。升级PDC之后，就可以 升级备份域控制器(BDC)了。 如果目前有一个不含任何运行Windows Server 2003域控 制器的Windows 2000林，那么需要在准备该林和目标域之 后才能升级运行Windows 2000的域控制器。 以上具体内容参见书中介绍。

网管员必读——网络组建

6.2 Active Directory基础6.2.1 Active Directory简介 Active Directory目录服务可安装在运行Windows Server 2003 Standard Edition、Windows Server 2003 Enterprise Edition和Windows Server 2003 Datacenter Edition的服务器 上。Active Directory存储有关网络上的对象的信息，并使 管理员和用户更方便地查找和使用这种信息。Active Directory使用结构化的数据存储作为目录信息的逻辑化、 分层结构的基础。这种数据存储，也称为目录，包含与 Active Directory对象有关的信息。这些对象通常包括共享 资源，如服务器、卷、打印机、网络用户和计算机账户， 并通过登录验证及目录中对象的访问控制，将安全性集成 到Active Directory中。 Active Directory的主要功能包括：一套规则；目录中每 个对象信息的全局编录；查询和索引机制；通过网络分发 目录数据的复制服务和支持Active Directory 客户端软件。

网管员必读——网络组建

6.2.2 Windows Server 2003 Active Directory的新功能默认情况下在运行Windows Server 2003的域控制器上可 用的Active Directory功能包括：用户对象的多重选择；拖 放功能；有效的搜索功能；保存的查询；Active Directory 命令行工具；InetOrgPerson类；应用程序目录分区；使用 备份媒体添加其他域控制器的能力；通用组成员身份缓存； 保护LDAP通信；用户和计算机账户的不同位置选项； Active Directory配额。 具体内容请参见书中介绍。 6.2.3 新的域和林范围的Active Directory功能 当域或林的功能级别被提升到Windows Server 2003时可 启用的域和林范围的Active Directory功能包括：域控制器 重命名工具；域的重命名；林信任；林的重新构建；已失 效的架构对象；动态辅助类；全局编录复制改进；复制增 强；在域或林之间对资源的用户访问控制。 具体内容请参见书中介绍。

网管员必读——网络组建

6.2.4 操作主机角色在每个林中，至少有5个指派给一个或多个域控制器的操 作主机角色。在每个林中，林范围的操作主机角色必须只 出现一次。在林中的每个域中，域范围的操作主机角色必 须在每个域中出现一次。 1.林范围内的操作主机角色 每个林必须具有“架构主机”和“域命名主机”两种角 色。在林中这些角色必须是惟一的，这意味着在整个林中， 只能有一个架构主机和一个域命名主机。 2.域范围内的操作主机角色 林中的每个域都必须有“相对ID(RID)主机”、“主 域控制器

(PDC)仿真主机”和“结构主机”三种主机角 色。同样，在每个域中这些角色都必须是惟一的，即林中 的每个域都只能有一个相对ID主机、PDC仿真主机及结构 主机。

网管员必读——网络组建

6.3 第一台服务器的安装通常只是对网络中安装的第一台Windows Server 2003系 统服务器进行第一台服务器典型设置，后续安装的其他服 务器不执行这样的安装和设置过程。 6.3.1 主要术语 林：共享相同类和属性定义(架构)、站点和复制信息 (配置)及林范围搜索能力(全局编录)的一个或多个 Active Directory域。 域树：在DNS中，域树是指用来索引域名的反向分层树结 构。在Active Directory中，域树是指一个或多个域的分层 结构，通过可传递的双向信任实现连接，从而形成了一个 连续的名称空间。多个域树可以属于同一个林。 域：在Active Directory中，域是指由管理员定义的计算机、 用户和组对象的集合。 子域：对于DNS和Active Directory,子域是指直接位于另 一个域(父域)之下的名称空间树中的域。

网管员必读——网络组建

域名：由管理员赋予网络计算机集合的名称，这些计算机 共享一个公用目录。域名是DNS命名结构的一部分，由一 系列用句点分隔的名称标签组成。 域名系统(DNS):一种分层的分布式数据库，它包含从 DNS域名到各种数据类型(例如IP地址)的映射。 成员服务器：加入到域中但不是域控制器的服务器。成员 服务器通常用做文件服务器、应用程序服务器、数据库服 务器、Web服务器、证书服务器、防火墙或远程访问服务 器等。 域控制器：在Active Directory林中，域控制器是一台服务 器，它包含Active Directory数据库的可写副本，参与Active Directory复制并控制对网络资源的访问。它包含林内所有 域目录分区的 …… 此处隐藏：3708字，全部文档内容请下载后查看。喜欢就下载吧 ……