【网络架构】了解活动目录及其体系结构
使用Active Directory管理生态系统
在任何商业组织中，都有一个复杂的、不断发展的用户、计算机、文件服务器、打印机、应用程序等生态系统。这些系统和资源可能分布在多个物理网络、站点或多个国家。即使是一个小组织也可能希望为其外部伙伴提供对其系统的访问。管理所有这些可能会很快成为一个行政头痛。
Microsoft（R）活动目录（AD）是一套工具，可帮助系统管理员管理这些复杂的网络生态系统。其基本目的是集中系统管理，帮助用户快速找到和使用组织内的资源。
活动目录产品组合
简单地说，AD常常被比作计算机系统的一种公司电话簿形式：提供一个集中的目录，存储有关网络资源的信息，以便用户能够查找并以正确的权限安全地访问这些资源。因此，例如，用户可以很容易地找到他们最近的打印机并获得使用它的权限。
事实上，这只是一个方面，而AD是一个技术组合，提供以下广泛的认证、标识和安全设施：
- 系统目录-活动目录®域服务（AD DS）
- 管理用户访问和使用内容的权限–活动目录®权限管理服务（AD RMS）
- 跨组织和跨组织之间的用户身份联合–活动目录®联合服务（AD FS）
- 处理数字证书–活动目录®证书服务（AD CS）
AD提供了一种集中处理所有这些问题的方法。它使系统和资源管理更加高效和安全，提高用户生产力，保护知识产权，并有助于解决公司政策和法规遵从性问题。
应用程序集成
许多关键的企业应用程序使用AD服务与更广泛的网络生态系统集成，并改进它们为用户提供的支持。主要示例包括Microsoft自己的企业产品，如Exchange、Office和SQL Server，以及第三方产品，如Adobe®Acrobat。
活动目录的体系结构
广告分为两层：物理层和逻辑层。物理层描述并控制AD在Windows®操作系统体系结构中的工作方式（例如，它可以访问哪些低级操作系统服务和组件）。逻辑层更加概念化，允许描述组织及其运作方式。
活动目录物理层
在物理上，AD是一个网络操作系统，建立在Windows Server®的各种迭代之上。它是安全子系统的一部分，使用了一些关键组件，如Kerberos身份验证和NET LOGON。AD使用轻量级目录访问协议（LDAP）作为其主要协议，LDAP是一种行业标准。
物理层还描述了目录信息如何存储在硬盘上，关键目录信息（如核心AD Ntds.dit文件）存储在提供服务的物理服务器上的数据库文件中。
Active Directory®还利用了域名系统（DNS），即互联网上使用的基于标准的命名和定位系统。这意味着AD需要访问DNS服务器，尽管几乎所有的组织都已经在运行一个用于Internet地址解析的服务器。Microsoft®提供了一个DNS服务器，可以在安装AD时进行配置，但也可以使用其他现有解决方案（例如Berkeley Internet Name Domain（BIND））。
活动目录逻辑层
逻辑层确定存储在这些物理组件中的数据的概念结构以及如何访问这些数据。在设计这个层时，目的是描述一个组织及其员工是如何组织和工作的，而不是担心诸如站点之间的网络连接等物理细节。
本质上，被管理的所有内容（用户、打印机、服务器等）都被认为是AD存储中的一个对象，并且具有相关的属性（遵循基本的LDAP协议模型）。因此，例如，用户对象将具有诸如名字和中间名之类的属性。逻辑层的能力来自于将对象组织到层次结构和组中，以及分配类或类型的能力。
因此，例如，AD可以设置组策略、规则和权限，这些策略、规则和权限适用于整个生态系统中的所有用户和计算机，或应用于较小的用户子组。使用组策略，管理员可以控制网络环境的许多方面，例如用户在系统上的行为（例如定义桌面配置，例如节能）、控制谁有权访问哪些资源（例如共享文件夹）和自动化关键任务（例如更新应用程序）。
逻辑层可能会与许多构建块（域、组、目录树和林、命名模式和组织单元）一起变得相当复杂。这些逻辑结构可以按层次结构进行组织，因此，例如，林就是树的集合。对象之间的安全安排和信任在这些不同类型的构建块中有所不同。
设计和规划逻辑层是一项复杂的任务，但如果做得正确，它可以让AD支持组织更有效地运作，并有助于行政管理和安全。
总之，AD是一套工具，有助于对用户和网络资源进AD行有效的管理和管理，支持一些关键业务流程，如数字权限管理。在许多组织中，它已经成为一项关键任务服务，因此需要认真考虑灾难恢复和威胁保护。
本文：http://jiagoushi.pro/node/939
讨论：请加入知识星球【首席架构师圈】或者微信圈子【首席架构师圈】
- 77 次浏览