网管员必读——网络组建(第2版)第六章(2)

网管员必读——网络组建

6.4.3 子域控制器的安装与配置子域控制器就是在现有域基础上配置的下级域控制器。 如在一个大的企业网络中，有一个根域，然后各主要部 门可能想要配置一个单独的域，以便管理。这时就可以 为这些部门配置专门的子域。子域控制器就是这些子域 的控制器。但这些子域控制器必须在根域控制器正常运 行的基础上工作。它与额外域控制器不同，额外域控制 器是与现有域属于同一级别的，用来分担现有域控制器 负荷。 子域控制器的安装、配置方法 与根域控制器的安装、配置方法 类似 ，也是通过“配置您的服务 器向导”进行的。只需要在右

图 所示对话框中选择“现有域中的 子域”单选按钮，然后按照向导 提示一步步进行即可。具体步骤 参见书中介绍。

网管员必读——网络组建

6.4.4 新域树的安装与配置新域树的安装与配置方法与新域控制器的安装与配置 方法也大致类似。也是通过“配置您的服务器向导”进 行的，只需在下图左图所示对话框中选择“域控制器 (Active Directory)”选项，在右图所示向导对话框中 选择“在现有的林中的域树”单选按钮，然后按向导提 示进行配置即可。具体步骤参见书中介绍。

网管员必读——网络组建

6.5 域控制器的删除有时需要改变一下服务器角色，这时就需要删除原来安 装的域控制器角色。域控制器角色的删除(也称“降级域 控制器”)也可通过“配置您的服务器向导”进行。在正 式介绍删除域控制器步骤前，先来简单了解与删除域控制 器息息相关有关的应用程序目录分区，以及应用程序目录 分区的创建与删除方法。 6.5.1 应用程序目录分区 应用程序目录分区是仅复制到特定域控制器的目录分区。 参与应用程序目录分区复制的域控制器拥有该分区的副本。 只有运行Windows Server 2003的域控制器可以拥有应用程 序目录分区的副本。应用程序和服务可使用应用程序目录 分区存储应用程序特定的数据。应用程序目录分区可包含 任何类型的对象(除了安全主体)。 创建应用程序目录分区的应用程序通常就是将使用它们 存储和复制数据的应用程序。Enterprise Admins组的成员 可使用Ntdsutil命令行工具手动创建或管理应用程序目

网管员必读——网络组建

录分区。创建应用程序目录分区的好处之一就是其中的数 据可复制到林中不同的域控制器，以提供冗余、可用性和 容错。该数据可复制到林中任何地方的特定域控制器或域 控制器的任意集合。这与域目录分区不同，域目录分区中 的数据可复制到该域中的所有域控制器。 应用程序目录分区的另一个好处是：使用轻型目录访问 协议(LDAP)的应用程序或服务可继续使用该协议在 Active Directory中访问和存储其应用程序数据。 1. 应用程序目录分区命名 应用程序目录分区是整个林名称空间的一部分，就像域 目录分区一样。它与域目录分区遵循相同的域名系统 (DNS)和可分辨名称命名约定。应用程序目录分区可出 现在林名称空间中可出现域目录分区的任何地方。 在林名称空间中，应用程序目录分区可能出现在三处： 域目录分区的子项。 应用程序目录分区的子项。 林中的新树。 具体示例参见书中介绍。 2. 应用程序目录分区复制

网管员必读——网络组建

信息一致性检查器(KCC)自动生成和维护企业中所有 应用程序目录分区的复制拓扑。当应用程序目录分区在多 个站点拥有副本时，那

些副本和域目录分区有着相同的站 点间复制日程安排。 3. 应用程序目录分区安全描述符参考域 网络的每个容器和对象都有一组附加于其中的访问控制 “安全描述符”信息。它可控制用户、组和计算机所允许 的访问类型。如果对象或容器未被创建它的应用程序或服 务指派安全描述符，那么它将被指派架构中定义的该对象 类别的默认描述符。在应用程序目录分区中创建对象时， 默认安全描述符的定义是不同的。默认的安全描述符参考 域定义了当该应用程序目录分区中的对象需要为默认安全 描述符定义域值时应使用什么域名。默认的安全描述符参 考域是在创建时指派的。 如果该应用程序目录分区是某个域目录分区的子项，那 么在默认情况下，父域目录分区将变成安全描述符参考域。 如果该应用程序目录分区是另一个应用程序目录分区的子 对象，则父应用程序目录分区的安全描述符参考域将变成 新的子应用程序目录分区的参考域。如果新的应用程序目 录分区创建为新树的根，那么此林根域将用作默认的安全 描述符参考域。