4.6 活动目录的安全性考察

Windows 2k server活动目录是一个完全可扩展、可伸缩的目录服务，既能满足商业ISP的需要，又能满足企业内部网和外联网的需要，充分体现了微软产品集成性、深入性和易用性等特点。

集成性

Windows 2000活动目录的集成性主要是指它结合了三个方面的管理内容：用户和资源管理、基于目录的网络服务和基于网络的应用管理。

Windows 2k还广泛地采纳了Internet标准，把众多的Internet服务都集成在一起，增强自身网络管理功能。

目录管理的基本对象是用户和计算机，还包括文件、打印机等资源。
（用户对象的属性：帐号名、密码、邮件地址、个人主页、公司中的职位等） 
在活动目录中，支持全局性的查找（比如查找整个网络中的双面打印的彩色打印机等）。

基于活动目录的应用服务是Windows 2k平台上的新一代应用程序。开发人员可以扩展活动目录中的Schema和UI两个对象，通过ADSI/ADO比阿城在活动目录中发布服务绑定信息，通过组策略配置应用程序。有代表性的是NetMeeting。

活动目录完全采用了Internet标准协议，甚至连用户帐号都可以用“用户名@域名”来表征，进行网络登录。
一个子域的域名就是将该子域的名称添加到父域的名称中，如headquarters.mycompany.com是mycompany.com域的子域。
目录树中的域通过双向、可传递的委托关系联结在一起。加入目录树的域会立即与目录树中的每个域建立委托关系，这些委托关系允许单个用户登录，并授权访问整个网络。

这意味着目录树中所有其他域中具有适当凭据的用户和计算机可以使用目录树所有域中的所有对象。（在安全性管理许可的前提下）

建议用户使用活动目录集成的DNS服务器，保证动态更新域名和获得更好的复制能力。
另外，活动目录集成了关键服务，如DNS、MSMQ（消息队列）；集成了关键应用，如电子邮件、网管、ERP等；集成了关键数据访问，如ADSI、OLE DB等；还集成了关键的安全性，如Kerberos V5和公共密钥基础设施等。

深入性

Windows 2k活动目录的深入性主要体现在其企业级的可伸缩性、安全性、互操作性、编程能力和升级能力上。
Windows 2k活动目录允许用户组建单域来管理少量的网络对象，也允许通过域目录来管理成万上亿个对象。
活动目录的伸缩性是通过为每个域创建一个目录存储的方法来获得的。在一个目录存储中只包含这个域中的所有对象。但是，当域树建立起来之后，每个域都有能力搜索整个域树种的所有目录存储。

活动目录的域树和域森林的组建方法可以帮助用户使用容器层次来模拟一个企业的组织结构。组织中的不同部门可以成为不同域，或者成为一个域中有层次结构的组织单元。

顺着组织结构进行颗粒化的管理授权可以解决很多管理上头疼的问题，在加强中央管理的同时，又不失机动和灵活。有一些列的工具可以将NT4迁移到Windows 2000，Windows 2000可以工作在现有的NT4环境中，保护现有投资。

Windows 2k活动目录和其他安全服务（如Kerberos、PKI和智能卡等）紧密结合，相辅相成，共同完成安全任务和协同管理。

易用性

Windows 2k活动目录主要体现在其间一的安装和管理上。在安装Windows 2k活动目录时，第一个域服务器都配置域控制器，其他所有新安装的计算机都安装成为成员服务器。NT4则无法在域控制器和成员服务器之间进行转换。

在活动目录安装以后，主要有3个管理界面。一个是活动目录用户和计算机管理，主要用于实施对域用户和计算机进行管理；一个是活动目录的域和域信任关系的管理，主要用于管理多域的委托和信任关系；还有一个是活动目录的站点管理，可以把域控制器置于不同的站点进行管理。

另外，活动目录还充分地考虑到了备份和恢复活动目录服务的需要。Windows 2k备份工具中有专门备份活动目录的选项，可以使用F8进入安全模式，进行目录服务的恢复。