Active Directory域服务
概念：
工作组：workgroup
适合网络资源少,10台左右计算机。
分散管理(对等网，每个员工维护自己的电脑，身份平等)
适合于小型网络
不便之处：为了达到互相访问的目的，可能需要在每台电脑上为其他同事建立很多用户帐号（不愿意透露管理员密码的情况下）
每台电脑自己维护管理员密码，如果忘记密码，可能由it管理员强行破解密码
每台计算机自由安装各种软件，容易引起系统崩溃Windows域 Domain
将网络中的资源逻辑上组织到一起，将其视为一个整体。资源：计算机、用户、组、打印机、共享文件夹等。
逻辑上组织到一起：物理计算机和网络无需做任何更改，★★搜索集中管理（Client/Server架构）
发起管理的计算机：域控制器 Domain Controller=DC 被管理的计算机：成员机或成员服务器适合于大中型网络
对于工作组的改进：只需在域控上建立一套帐号，可以通行整个活动目录
遗忘密码后，简单的由域管理员在域控制器上重置即可
可以使用组策略进行软件分发：全自动为成员机安装配置所需软件。
利用配置文件位置实现对用户文件的自动备份。概念：
目录服务：可以方便的在网络中搜索用户账号、组、计算机、共享文件夹等对象。
活动目录：微软公司实现的目录服务。Active Directory，是目录服务的一种，开放tcp389端口，ldap轻型目录访问协议。
活动目录又是一个数据库：Database，轻松存储海量对象，可以在极短时间内返回查询结果。
活动目录优点：
集中管理：有力工具=组策略
便捷的网络资源访问(一次登录，到处访问)
可扩展性
域Domain：目录服务的一种通俗实现，把后台复杂的查询语句，包装成图形化的容易管理的形式。
域控制器Domain Controller：安装了活动目录服务的计算机。
容器Container：可以容纳其他对象的对象称为容器。
逻辑结构：
单域Domain：只有一个域。
域树Domain Tree：父域和子域形成域树，★使用连续的域名后缀
域林Domain Forest：多棵域名后缀不同的域树构成一个森林。
组织单位：OU、子OU
★★★整个森林中的多个域存在“信任”关系，可以互访。
物理结构：
站点：用于优化多个域控制器之间的复制流量（知识的同步，主要是通用组的同步）
可以把同一个高速网络中的多个域控制器放到一个站点中，★★站点内部优先复制。域控制器。
域控制器的实现：
1 必须是windows server操作系统（web版除外）
2 有本地管理员权限
3 有ntfs文件系统，有足够空间
4 ★★有静态ip地址
5 ★★有dns服务的支持（工作组中靠计算机名标识一台电脑，域中靠类似于 www.benet.com 的域名标识一台电脑，可以在提升域控制器的过程中自动安装、配置）
配置过程：
1 2008r2原始状态，用管理员登录
2 设置静态ip地址，★★dns指向127.0.0.1（域控制器上将要安装dns服务，可以用自己来解析域名）
3 执行 dcpromo.exe 提升域控制器。
domain controller promotion，域控制器的实现
在新林中创建域（无中生有产生一个林，并成为这个林中第一个域，也称为“林根域”）
★★★新林的域名：至少两段，用英文的句点隔开，例如qq.com，不推荐无意义的字符串或特殊符号。
后续默认，忽略dns警告，选中“安装dns服务器”
定义还原模式密码：仅在还原域控制器备份时使用，可以并且推荐和活动目录管理员密码不同。
★★选择“完成后重新启动”选项。
4 重启后，原来工作组管理员自动升级为域管理员，密码不变。
管理工具实验：Active Directory 用户和计算机，简称ADUC
1 打开活动目录用户和计算机控制台，展开域名后缀
Builtin 目录：无需自建，windows自带的组，称为“内置组”
Computers 目录：加入域的成员机会列在此处
Domain Controllers 目录：列出域中所有的域控制器
Users 目录：域用户和组的默认位置
Domain Admins：域管理员所在的组
Domain Users：普通与用户所在的组
Enterprise Admins：企业管理员所在的组，权限范围比域管理员更大2 组织单位OU的创建：
★★根据地区或部门，把规模较大的域分割成容易管理的几块。
右键单击域名后缀、新建、组织单位：
模拟公司的架构，为每个部门建立组织单位
3 用户的创建：
在每个部门的组织单位中建立员工帐号即可。
新建、用户
姓名可以使用中文
★★★登录名：纯粹中国公司往往使用员工姓名全拼zhangsan，外企中习惯使用：名的全拼.姓的全拼san.zhang
★★★密码：必须符合复杂性要求
————————————————————————————————————————————————————
显示名：在所在OU中唯一
登录名：在所在的域中唯一
当显示名和登录名不同时，登录域必须使用登录名。
4 把计算机加入域：
启动原始状态windows，设置和域控制器同一网段ip
★★★dns必须指向域控制器的ip
在正式加域之前，应该可以ping通活动目录的域名后缀，例如 ping qq.com，如果不能解析，不要急于加域，先排查网络问题
计算机属性、更改计算机名位置、隶属于：填写域名后缀，输入有权限把计算机加入域的帐号、密码
★★★重启计算机
登录域：★★成员计算机有两套帐号可用，一套是原来的本地帐号，一套是域帐号
如果要登录域，必须点击“切换用户”、使用“其他用户”登录域，用户名的写法：
域名简写\登录名，例如qq.com的zhangsan用户，可以写 qq\zhangsan
登录名@域名后缀, 例如qq.com的zhangsan用户，可以写 [email protected]
————————————————————————————————————————————————————
额外域控制器的实现：防止“单点故障”（重要服务只有唯一的一台服务器，出现故障后引起业务混乱），一个域至少两台域控制器
1 启动现有域控制器
2 启动一台工作组状态2008r2，和域控制器在同一vm交换机（如果不在同一交换机需要设置网关）
设置和域控制器同一网段ip，首选dns指向127.0.0.1，辅助dns指向第一台域控制器ip3 运行dcpromo.exe提升域控制器
现有林
向现有域添加域控制器
输入林中任何一个域的域名后缀（一般填写本域的域名后缀）
选择要成为哪一个域控制器的额外域控制器
后续默认
填写还原模式密码，完成重启。4 额外域控制器刚刚提升完毕，需要在第一台域控制器上执行 ipconfig /flushdns （推荐执行，否则可能短时间内第一台域控不能识别第二台）
分别在两台域控制器建立ou、组、用户等对象，查看另一台是否能学习到。