本文缩略词语
MS： Microsoft 微软公司
95： Windows 95
98： Windows 98
XP： Windows XP
NT： Windows NT Server
2000： Windows 2000 Server
03： Windows 2003 Server
S：Server
AS：Advanced Server AD：Active Directory 即活动 目录
DC：Domain Controller 即域控制器
GC：Global Catalog 全局编录
TS：Terminal Service 终端服务
PDC： Windows NT Server域中的主域控制器
BDC： Windows NT Server域中的备份控制器
SAM库：安全帐号管理器 数据 库
FQDN：完全有效 域名 ，如：mcse.com
NetBIOS 名称：形如mcse
本文的目的，是作为域和AD的一篇入门文章，使没有安装过域，或刚刚接触域的年轻网管能对域和AD有一个全面的了解，并利用此文入门，将所管理的网络实现一个基于域的管理模式。
一、认识 Windows 的域
本小节重点从理论上阐述域的概念、作用和 Windows 中域的产生。
一台 Windows 计算机，它要么隶属于工作组，要么隶属于域。所以说到域，我们就不得不提一下工作组，工作组是MS的概念，一般的普遍称谓是对等网。工作组通常是一个由不多于10台计算机组成的逻辑集合，如果要管理更多的计算机，MS推荐你使用域的模式进行集中管理，这样的管理更有效。你可以使用域、活动目录、组策略等等各种功能，使你 网络管理 的工作量达到最小。当然这里的10台只是一个参考值，11台甚至20台，如果你不想进行集中的管理，那么你仍然可以使用工作组模式。
工作组的特点就是实现简单，不需要域控制器DC，每台计算机自己管理自己，适用于距离很近的有限数目的计算机。另外工作组名并没有太多的实际意义，只是在网上邻居的列表中实现一个分组而已；再就是对于“计算机浏览服务”，每一个工作组中，会自动推选出一个主 浏览器 ，负责维护本工作组所有计算机的 NetBIOS 名称列表。用户可以使用默认的workgroup，也可以任意起个名字，同一工作组或不同工作组在访问时也没有什么分别。
域（Domain）是一个共用“ 目录 服务 数据 库”的计算机和用户的集合，实现起来要复杂一些，至少需要一台计算机安装NT/2000/03 Server版本使其充当DC，来实现集中式的管理。
若考虑到容错的话，至少需要两台。对于NT4域就是一台PDC（具有唯一性），一至多台BDC，对于2000/03域，已经没有PDC和BDC的概念，要容错就需要两至多台DC。
域是逻辑分组，与网络的物理拓扑无关，可以很小，比如只有一台DC；也可以很大，包括遍布世界各地的计算机，比如大型跨国公司网络上的域（当然实际中他们多采用多域结构，还可以利用AD站点来优化AD复制）。
这个“ 目录 服务 数据 库”，在NT4时，保存用户帐号名称和密码等安全安全信息，以及安全规则设置，又被称作安全帐号管理（SAM）数据库，简称SAM库。在非DC上的本地的SAM库与DC上域所用的SAM库类似，只不过对于NT4域的SAM库文件，保存有整个域的用户和计算机，用“域用户管理器”和“ 服务器 管理器”来管理，本地的SAM库文件，保存有本地机的用户，由“用户管理器”来管理。
从2000开始，MS引入了活动 目录 AD，DC通过AD来提供目录的服务，例如它负责维护AD 数据 库、审核用户的账户和密码是否正确、将AD数据库复制到其它的DC等。AD库的核心文件就是winnt
tds
tds.dit文件。注意组策略的具体设置值，并不存在这个文件中，而是保存在winntsysvolsysvol这个 共享 夹下，用于向其它DC复制，传播给域成员，来生效。但需要说明的是：2000/XP/03的非DC域成员计算机上仍使用和NT4一样的SAM库文件来保存本地帐号。
正是由于所有域成员计算机和域用户都共用这个域的“ 目录 服务 数据 库”，域管理员就可以基于域的“目录服务数据库”来进行集中管理、 共享 资源，如用户、组、计算机帐号、权限设置、组策略设置等等。目录服务为管理员提供从网络上任何一个计算机上查看和管理用户和网络资源的能力。目录服务也为用户提供唯一的用户名和密码，用户只需一次登录，即可访问本域或有信任关系的其它域上的所有资源（当然用户得有权限才行），而不需要多次提供用户名和密码登录。
二、构建 Windows 2000的域
这个 过程 简单说就是：选一台2000S/AS计算机，运行AD安装向导，在其上安装活动 目录 ，使其成为DC。然后将其它的计算机加入到这个域。
说明：至于是用2000S，还是用2000AS，对于一般的用户差别不大。2000S支持最多4个 CPU ，最大4G 内存 ；2000AS支持最多8个CPU，最大内存8G，还支持群集 功能 。但这些我们一般用户都用不到，所以对于普通用户来说，选择S或AS都是一样的。
1、 系统要求
*一台2000S或2000AS独立或成员 服务器 ，2000DS只有 OEM 版，随厂商硬件发售，平常我们是见不到的。
* 其上必须有一个NTFS 5.0分区，用来保存AD的sysvol文件夹。注意：2000的NTFS分区是NTFS 5.0，NT4的是NTFS 4.0，NT4必须安装SP4后，才可访问2000的NTFS分区。
* 网络上必须有可用的 DNS服务器 ，并且必须支持SRV记录（Service Locaion Resource Record）和动态更新 功能 。如：MS Win2000S DNS，UNIX的DNS BIND 8.12及以上版本，使用已有的NT4 DNS是不行的。
说明：
构建NT4域并不需要DNS的支持，但2000域必须有DNS，且满足上述要求。
SRV记录的作用是指明域和站点（site）的DC、PDC仿真、GC是谁。动态更新也是2000DNS的新特色，管理员不必再象NT4 DNS那样手动为计算机创建或修改相应记录，在域成员计算机重启，或改名、改 IP 时依赖周期性更新，自动动态实现。
如果没有 DNS服务器 的话，也不一定非得预装DNS，可以在安装AD 过程 中，选择在本机上安装2000 DNS。而且推荐初学者使用这种方法，因为系统会根据你提供的FQDN 域名 ，自动创建好DNS区域（zone），并配置成AD集成区域，仅安全动态更新。如果需要向外连或反向解析，用户只需配置上转发器和反向区域即可，不需要的话，直接就可以用了。
如果决定在安装AD 过程 中在本机安装DNS，应在安装前，将本机 TCP /IP配置/ DNS服务器 指向自己，这样在安装AD完成后重启时，SRV记录将被自动注册到DNS服务器的区域当中去的，生成四个以下划线开头的文件夹，如_msdcs，03DNS在这里夹的层次结构有所变化，但本质没变。当然如果忘了指，也可以后补上，只不过需要多重启一次。
2、安装步骤、注意事项、常见问题、经验技巧
（1）启动AD安装向导
方法一：开始/ 程序 /管理工具/配置 服务器 / Active Directory /启动AD安装向导。
方法二：熟练后一般常用，开始/运行：dcpromo。
（2）安装选项：指定 服务器 角色
三个界面，实现四种组合：
新域
附加DC
新树
子域
新林
加入林
即：
* 新域―新树―新林
* 附加DC
* 新域―子域
* 新域―新树―加入林
全新安装：新域―新树―新林，这样来建立第一个域中的第一台DC。
2000的多域模型采用层次结构，不同于NT4域的平面结构，NT4的多个域之间只是通过信任关系关联起来。接下来以下图为例，对2000的域、树、林进行简要说明：
ms.com
/ trainning.mcse.com lotus.com
这整个是一个林，ms.com为林根域，有两个树，一个由ms.com和它的子域trainning.ms.com组成，另一个由lotus.com单独组成，林中有ms.com，trainning.ms.com，lotus.com三个域。相关概念如下：
林根域：在林中第一个建立的域，如：ms.com
树：共用连续的命名空间的多层域，如ms.com和trainning.ms.com
树根域：树最高层的域，名最短。如：ms.com
说明：
2000可采用多层域结构，但最有效、最简便的管理方法仍是单域，所以大家在实际工作中要记住一个原则“能用单域解决，就不用多域”。
再者2000AD是针对大中型网络设计的，而我们一般管理的网络也就几百个节点，属于小型网络，一般来讲用一个单域结构就够用了，不要人为将管理环境复杂化。在实验中，我们甚至可以一个林中只有一个树，一个树中只有一个域，一个域里只有一台DC。
另外前面已经说过了，域是逻辑分组，与网络的物理拓扑无关，不要总试图规划一个子网一个域。当然实际中多个子网一个域，子网中若有95/98/NT老计算机，无法利用DNS直接登录到域，可以安装一台WINS 服务器 解决问题。将所有计算机，包括WINS服务器本身的 TCP / IP 配置中的WINS服务器指向此WINS服务器即可。
（3）安装选项：新域的DNS全名
说明：
在这里应该输入新域的完全有效 域名 FQDN，形如：mcse.com。系统会打算以mcse作为此域的 NetBIOS 名称，并在网络中检查是否存在重名，需要等一会儿。不重名则设为mcse，建议用户不要修改此名；重名则设为mcse0，建议用户最好换个名字。这也就是说，网络中如果已有一个域，名字叫做mcse.org，也会出现NetBIOS名称冲突的问题。
（4）安装选项：为新域指定一个 NetBIOS 名称
说明：
NetBIOS 名称，只是为95/98/NT等老版本用户通过“浏览服务”或WINS来识别这个域用的，如果确信域用户都是2000及以上系统（它们通过DNS定位域），其实NetBIOS名称冲不冲突，都无所谓。
（5）安装选项：指定AD库和日志文件位置
说明：
如果仅是实验，用默认值即可。若是在真正的 服务器 上，都会有多块物理 硬盘 ，最好分开存放，以提高性能。另外需要强调的是：AD库和日志文件并不要求非得NTFS 5.0分区，很多2000/03书在此语焉不详。
MS： Microsoft 微软公司
95： Windows 95
98： Windows 98
XP： Windows XP
NT： Windows NT Server
2000： Windows 2000 Server
03： Windows 2003 Server
S：Server
AS：Advanced Server AD：Active Directory 即活动 目录
DC：Domain Controller 即域控制器
GC：Global Catalog 全局编录
TS：Terminal Service 终端服务
PDC： Windows NT Server域中的主域控制器
BDC： Windows NT Server域中的备份控制器
SAM库：安全帐号管理器 数据 库
FQDN：完全有效 域名 ，如：mcse.com
NetBIOS 名称：形如mcse
本文的目的，是作为域和AD的一篇入门文章，使没有安装过域，或刚刚接触域的年轻网管能对域和AD有一个全面的了解，并利用此文入门，将所管理的网络实现一个基于域的管理模式。
一、认识 Windows 的域
本小节重点从理论上阐述域的概念、作用和 Windows 中域的产生。
一台 Windows 计算机，它要么隶属于工作组，要么隶属于域。所以说到域，我们就不得不提一下工作组，工作组是MS的概念，一般的普遍称谓是对等网。工作组通常是一个由不多于10台计算机组成的逻辑集合，如果要管理更多的计算机，MS推荐你使用域的模式进行集中管理，这样的管理更有效。你可以使用域、活动目录、组策略等等各种功能，使你 网络管理 的工作量达到最小。当然这里的10台只是一个参考值，11台甚至20台，如果你不想进行集中的管理，那么你仍然可以使用工作组模式。
工作组的特点就是实现简单，不需要域控制器DC，每台计算机自己管理自己，适用于距离很近的有限数目的计算机。另外工作组名并没有太多的实际意义，只是在网上邻居的列表中实现一个分组而已；再就是对于“计算机浏览服务”，每一个工作组中，会自动推选出一个主 浏览器 ，负责维护本工作组所有计算机的 NetBIOS 名称列表。用户可以使用默认的workgroup，也可以任意起个名字，同一工作组或不同工作组在访问时也没有什么分别。
域（Domain）是一个共用“ 目录 服务 数据 库”的计算机和用户的集合，实现起来要复杂一些，至少需要一台计算机安装NT/2000/03 Server版本使其充当DC，来实现集中式的管理。
若考虑到容错的话，至少需要两台。对于NT4域就是一台PDC（具有唯一性），一至多台BDC，对于2000/03域，已经没有PDC和BDC的概念，要容错就需要两至多台DC。
域是逻辑分组，与网络的物理拓扑无关，可以很小，比如只有一台DC；也可以很大，包括遍布世界各地的计算机，比如大型跨国公司网络上的域（当然实际中他们多采用多域结构，还可以利用AD站点来优化AD复制）。
这个“ 目录 服务 数据 库”，在NT4时，保存用户帐号名称和密码等安全安全信息，以及安全规则设置，又被称作安全帐号管理（SAM）数据库，简称SAM库。在非DC上的本地的SAM库与DC上域所用的SAM库类似，只不过对于NT4域的SAM库文件，保存有整个域的用户和计算机，用“域用户管理器”和“ 服务器 管理器”来管理，本地的SAM库文件，保存有本地机的用户，由“用户管理器”来管理。
从2000开始，MS引入了活动 目录 AD，DC通过AD来提供目录的服务，例如它负责维护AD 数据 库、审核用户的账户和密码是否正确、将AD数据库复制到其它的DC等。AD库的核心文件就是winnt
tds
tds.dit文件。注意组策略的具体设置值，并不存在这个文件中，而是保存在winntsysvolsysvol这个 共享 夹下，用于向其它DC复制，传播给域成员，来生效。但需要说明的是：2000/XP/03的非DC域成员计算机上仍使用和NT4一样的SAM库文件来保存本地帐号。
正是由于所有域成员计算机和域用户都共用这个域的“ 目录 服务 数据 库”，域管理员就可以基于域的“目录服务数据库”来进行集中管理、 共享 资源，如用户、组、计算机帐号、权限设置、组策略设置等等。目录服务为管理员提供从网络上任何一个计算机上查看和管理用户和网络资源的能力。目录服务也为用户提供唯一的用户名和密码，用户只需一次登录，即可访问本域或有信任关系的其它域上的所有资源（当然用户得有权限才行），而不需要多次提供用户名和密码登录。
二、构建 Windows 2000的域
这个 过程 简单说就是：选一台2000S/AS计算机，运行AD安装向导，在其上安装活动 目录 ，使其成为DC。然后将其它的计算机加入到这个域。
说明：至于是用2000S，还是用2000AS，对于一般的用户差别不大。2000S支持最多4个 CPU ，最大4G 内存 ；2000AS支持最多8个CPU，最大内存8G，还支持群集 功能 。但这些我们一般用户都用不到，所以对于普通用户来说，选择S或AS都是一样的。
1、 系统要求
*一台2000S或2000AS独立或成员 服务器 ，2000DS只有 OEM 版，随厂商硬件发售，平常我们是见不到的。
* 其上必须有一个NTFS 5.0分区，用来保存AD的sysvol文件夹。注意：2000的NTFS分区是NTFS 5.0，NT4的是NTFS 4.0，NT4必须安装SP4后，才可访问2000的NTFS分区。
* 网络上必须有可用的 DNS服务器 ，并且必须支持SRV记录（Service Locaion Resource Record）和动态更新 功能 。如：MS Win2000S DNS，UNIX的DNS BIND 8.12及以上版本，使用已有的NT4 DNS是不行的。
说明：
构建NT4域并不需要DNS的支持，但2000域必须有DNS，且满足上述要求。
SRV记录的作用是指明域和站点（site）的DC、PDC仿真、GC是谁。动态更新也是2000DNS的新特色，管理员不必再象NT4 DNS那样手动为计算机创建或修改相应记录，在域成员计算机重启，或改名、改 IP 时依赖周期性更新，自动动态实现。
如果没有 DNS服务器 的话，也不一定非得预装DNS，可以在安装AD 过程 中，选择在本机上安装2000 DNS。而且推荐初学者使用这种方法，因为系统会根据你提供的FQDN 域名 ，自动创建好DNS区域（zone），并配置成AD集成区域，仅安全动态更新。如果需要向外连或反向解析，用户只需配置上转发器和反向区域即可，不需要的话，直接就可以用了。
如果决定在安装AD 过程 中在本机安装DNS，应在安装前，将本机 TCP /IP配置/ DNS服务器 指向自己，这样在安装AD完成后重启时，SRV记录将被自动注册到DNS服务器的区域当中去的，生成四个以下划线开头的文件夹，如_msdcs，03DNS在这里夹的层次结构有所变化，但本质没变。当然如果忘了指，也可以后补上，只不过需要多重启一次。
2、安装步骤、注意事项、常见问题、经验技巧
（1）启动AD安装向导
方法一：开始/ 程序 /管理工具/配置 服务器 / Active Directory /启动AD安装向导。
方法二：熟练后一般常用，开始/运行：dcpromo。
（2）安装选项：指定 服务器 角色
三个界面，实现四种组合：
新域
附加DC
新树
子域
新林
加入林
即：
* 新域―新树―新林
* 附加DC
* 新域―子域
* 新域―新树―加入林
全新安装：新域―新树―新林，这样来建立第一个域中的第一台DC。
2000的多域模型采用层次结构，不同于NT4域的平面结构，NT4的多个域之间只是通过信任关系关联起来。接下来以下图为例，对2000的域、树、林进行简要说明：
ms.com
/ trainning.mcse.com lotus.com
这整个是一个林，ms.com为林根域，有两个树，一个由ms.com和它的子域trainning.ms.com组成，另一个由lotus.com单独组成，林中有ms.com，trainning.ms.com，lotus.com三个域。相关概念如下：
林根域：在林中第一个建立的域，如：ms.com
树：共用连续的命名空间的多层域，如ms.com和trainning.ms.com
树根域：树最高层的域，名最短。如：ms.com
说明：
2000可采用多层域结构，但最有效、最简便的管理方法仍是单域，所以大家在实际工作中要记住一个原则“能用单域解决，就不用多域”。
再者2000AD是针对大中型网络设计的，而我们一般管理的网络也就几百个节点，属于小型网络，一般来讲用一个单域结构就够用了，不要人为将管理环境复杂化。在实验中，我们甚至可以一个林中只有一个树，一个树中只有一个域，一个域里只有一台DC。
另外前面已经说过了，域是逻辑分组，与网络的物理拓扑无关，不要总试图规划一个子网一个域。当然实际中多个子网一个域，子网中若有95/98/NT老计算机，无法利用DNS直接登录到域，可以安装一台WINS 服务器 解决问题。将所有计算机，包括WINS服务器本身的 TCP / IP 配置中的WINS服务器指向此WINS服务器即可。
（3）安装选项：新域的DNS全名
说明：
在这里应该输入新域的完全有效 域名 FQDN，形如：mcse.com。系统会打算以mcse作为此域的 NetBIOS 名称，并在网络中检查是否存在重名，需要等一会儿。不重名则设为mcse，建议用户不要修改此名；重名则设为mcse0，建议用户最好换个名字。这也就是说，网络中如果已有一个域，名字叫做mcse.org，也会出现NetBIOS名称冲突的问题。
（4）安装选项：为新域指定一个 NetBIOS 名称
说明：
NetBIOS 名称，只是为95/98/NT等老版本用户通过“浏览服务”或WINS来识别这个域用的，如果确信域用户都是2000及以上系统（它们通过DNS定位域），其实NetBIOS名称冲不冲突，都无所谓。
（5）安装选项：指定AD库和日志文件位置
说明：
如果仅是实验，用默认值即可。若是在真正的 服务器 上，都会有多块物理 硬盘 ，最好分开存放，以提高性能。另外需要强调的是：AD库和日志文件并不要求非得NTFS 5.0分区，很多2000/03书在此语焉不详。
扫一扫
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
