头衔 小咪的爸爸
Xinsoft
职务 极速总版主
等级 法师
声望 ＋11
幸运 19
积分 22106
经验 298051
文章 17287
注册 03-08-14 22:53
发表: 2005-08-20 18:47:24 人气:98 楼主
〔转载〕如何在 Windows 2000 中提升和降级域控制器
转自微软客户支持主页
http://support.microsoft.com/kb/q238369/
概要
本文介绍如何在 Windows 2000 中提升域控制器或将其降级为独立服务器。将服务器提升为域控制器就是在此服务器上安装 Active Directory 服务的过程。将域控制器降级就是删除 Active Directory 并切换到使用本地用户帐户系统 (UAS)。在将服务器提升为域控制器之前，必须规划您的结构以便最好地适应组织需要和网络拓扑结构。在将服务器提升为域控制器时，管理员有以下选项：
• 在新目录林中安装第一个域控制器
• 在新域目录树中安装第一个域控制器
• 在新子域中安装第一个域控制器
• 在域目录树中安装额外域控制器
• 从域控制器中删除 Active Directory
进行名称解析时，域名系统 (DNS) 服务是 Active Directory 不可缺少的一部分。DNS 定义了 Windows 2000 命名空间，而且非常灵活。 有关 DNS 要求和安装的其他信息，请单击下面的文章编号，以查看 Microsoft 知识库中相应的文章：
237675 设置 Active Directory 的域名系统
在规划好配置并决定将在提升过程中使用哪一选项后，请按下面相应部分中的步骤 *** 作。这几部分可指导管理员完成提升过程。
来生愿做一只猫，珍爱生命，远离电脑，拥有那简单的快乐就足矣！
Xinsoft：应用之美，在于药到病除
http://xinsoft.blogchina.com
头衔 小咪的爸爸
Xinsoft
职务 极速总版主
等级 法师
声望 ＋11
幸运 19
积分 22106
经验 298051
文章 17287
注册 03-08-14 22:53
发表: 2005-08-20 18:50:46 第2楼
在新目录林中安装第一个域控制器
注意：您必须在提升前或在提升过程中在某一位置安装一个 DNS 服务器。在将计算机提升为域控制器后，它在 DNS 中注册服务，这些服务使轻型目录访问协议 (LDAP) 查询能够针对此域控制器上的目录执行。
1. 单击开始，单击运行，键入 dcpromo，然后单击确定。
2. 这将启动“Active Directory 安装向导”。单击下一步。
3. Active Directory 安装向导会询问一系列问题，以确定此服务器将担任的角色。因为您要将此服务器安装为目录林中的第一个域控制器，请单击“新域的域控制器”。
4. 单击下一步。
5. 由于此域控制器还将充当新域目录树中的第一个域控制器，请单击“创建一个新的域目录树”。
6. 单击下一步。
7. 由于这将是新目录林中的第一个域控制器，所以它将是您的组织中的第一个域。单击“创建域目录树的新目录林”。
8. 单击下一步。
9. 在新域名屏幕上，以完全限定域名的形式键入新域的完整 DNS 名称（例如：Microsoft.com）。
10. 在 NetBIOS 域名屏幕的 NetBIOS 名称框中，填入您的完全限定域名的第一部分（例如：MICROSOFT）。
11. 数据库位置和日志位置框将填入默认位置 (Rootdrive\Winnt\Ntds)。为获得最佳性能和可恢复性，请将数据库和日志分别存储在不同的硬盘上。将日志位置值更改为另一硬盘。
12. 单击下一步。
13. 在共享的系统卷屏幕中，只要该卷使用 NTFS 文件系统，就可以接受 Rootdrive\Winnt\Sysvol 作为默认位置。这是 Sysvol 文件夹所要求的。
14. 单击下一步。
15. 如果没有可用的 DNS 服务器，则会出现“向导无法联系到处理名称 Domain Name 的 DNS 服务器以确定它是否支持动态更新。请确认 DNS 配置，或者在此计算机上安装并配置一个 DNS 服务器”这一消息。
16. 单击确定。
17. 在配置 DNS 屏幕上，单击“是，在这台计算机上安装和配置 DNS(推荐)”。
18. 单击下一步。
19. 在 Windows NT 4.0 RAS 服务器屏幕上，选择是否要允许远程访问服务 (RAS) 访问此服务器。单击下一步。
20. 在目录服务还原模式管理密码屏幕上，指定在以“目录服务还原”模式启动计算机时使用的管理员密码。在需要恢复 Active Directory 数据库时使用“目录服务还原”模式。
注意：一定要记住此密码，否则在需要时您将无法还原 Active Directory。
21. 在概要屏幕上确认选项，然后单击下一步。
22. 通过查看屏幕上的消息验证已安装 Active Directory。安装 Active Directory 后，单击完成以关闭向导。
23. 重新启动计算机。
来生愿做一只猫，珍爱生命，远离电脑，拥有那简单的快乐就足矣！
Xinsoft：应用之美，在于药到病除
http://xinsoft.blogchina.com
头衔 小咪的爸爸
Xinsoft
职务 极速总版主
等级 法师
声望 ＋11
幸运 19
积分 22106
经验 298051
文章 17287
注册 03-08-14 22:53
发表: 2005-08-20 18:53:49 第3楼
在现有目录林中安装第一个域控制器
注意：您的命名空间的设计决定了是否在此计算机上安装和配置 DNS 服务。如果 TCP/IP 设置正确地配置为指向一个现有 DNS 服务器，则您不需要在此计算机上安装 DNS 服务。
1. 单击开始，单击运行，键入 dcpromo，然后单击确定。
2. 这将启动“Active Directory 安装向导”。单击下一步。
3. Active Directory 安装向导会询问一系列问题，以确定此服务器将担任的角色。因为您要将此服务器安装为目录林中的第一个域控制器，请单击“新域的域控制器”。
4. 单击下一步。
5. 由于此域控制器还将充当新域目录树中的第一个域控制器，请单击“创建一个新的域目录树”。
6. 单击下一步。
7. 由于这将不是新目录林中的第一个域控制器，所以它将不是您的组织中的第一个域。单击“将此新域目录树放入现有的目录林中”。
8. 单击下一步。
9. 下一个屏幕提示您提供网络凭据。键入用于执行此 *** 作的帐户的用户名、密码和域名。该帐户必须具有完全管理权限。域名可以是完全限定域名 (FQDN) 的形式。
10. 在新域目录树屏幕上，以完全限定域名的形式键入新域的完整 DNS 名称（例如：MICROSOFT）。
11. 在 NetBIOS 域名屏幕的 NetBIOS 名称框中，填入您的完全限定域名的第一部分（例如：MICROSOFT）。
12. 数据库位置和日志位置框将填入默认位置 (Rootdrive\Winnt\Ntds)。为获得最佳性能和可恢复性，请将数据库和日志分别存储在不同的硬盘上。将日志位置值更改为另一硬盘。
13. 单击下一步。
14. 在共享的系统卷屏幕中，只要该卷使用 NTFS 文件系统，就可以接受 Rootdrive\Winnt\Sysvol 作为默认位置。这是 Sysvol 文件夹所要求的。
15. 单击下一步。
16. 如果没有可用的 DNS 服务器，则会出现“向导无法联系到处理名称 Domain Name 的 DNS 服务器以确定它是否支持动态更新。请确认 DNS 配置，或者在此计算机上安装并配置一个 DNS 服务器”这一消息。
17. 单击确定。
18. 在配置 DNS 屏幕上，单击“是，在这台计算机上安装和配置 DNS(推荐)”。
19. 单击下一步。
20. 在 Windows NT 4.0 RAS 服务器屏幕上，选择是否要允许远程访问服务 (RAS) 访问此服务器。单击下一步。
21. 在目录服务还原模式管理密码屏幕上，指定在以“目录服务还原”模式启动计算机时使用的管理员密码。在需要恢复 Active Directory 数据库时使用“目录服务还原”模式。
注意：一定要记住此密码，否则在需要时您将无法还原 Active Directory。
22. 在概要屏幕上确认选项，然后单击下一步。
23. 通过查看屏幕上的消息验证已安装 Active Directory。安装 Active Directory 后，单击完成以关闭向导。
24. 重新启动计算机。
来生愿做一只猫，珍爱生命，远离电脑，拥有那简单的快乐就足矣！
Xinsoft：应用之美，在于药到病除
http://xinsoft.blogchina.com
头衔 小咪的爸爸
Xinsoft
职务 极速总版主
等级 法师
声望 ＋11
幸运 19
积分 22106
经验 298051
文章 17287
注册 03-08-14 22:53
发表: 2005-08-20 18:55:35 第4楼
在新子域中安装第一个域控制器
注意：在将服务器提升为子域中的域控制器之前，必须在此服务器上正确配置了 DNS 设置。在提升过程中，该服务器需要解析父域的完全限定域名。
有关如何为新子域配置 DNS 的其他信息，请单击下面的文章编号，以查看 Microsoft 知识库中相应的文章：
255248 如何在 Active Directory 中创建子域并将 DNS 命名空间委派到该子域
1. 单击开始，单击运行，键入 dcpromo，然后单击确定。
2. 这将启动“Active Directory 安装向导”。单击下一步。
3. Active Directory 安装向导会询问一系列问题，以确定此服务器将担任的角色。因为您要将此服务器安装为新域中的第一个域控制器，请单击“新域的域控制器”。
4. 单击下一步。
5. 由于此域控制器还将充当新子域中的第一个域控制器，请单击“在现有域目录树中创建新子域”。
6. 单击下一步。
7. 下一个屏幕提示您提供网络凭据。键入用于执行此 *** 作的帐户的用户名、密码和域名。该帐户必须具有完全管理权限。要安装一个子域，请确保 DNS 的配置正确，以便它能够找到父域。如果已正确配置 DNS 并且使该服务器指向包含正确域名的 DNS 服务器，则域框中的项可以是完全限定域名的形式。
8. 在子域安装屏幕上，以完全限定域名的形式键入父域的完整 DNS 名称（例如：Microsoft.com）。
9. 在子域框中，键入子域的名称（例如：Finance）。单击下一步。
10. 在 NetBIOS 域名屏幕的 NetBIOS 名称框中，填入您的完全限定域名的第一部分（例如：Finance）。
11. 数据库位置和日志位置框将填入默认位置 (Rootdrive\Winnt\Ntds)。为获得最佳性能和可恢复性，请将数据库和日志分别存储在不同的硬盘上。将日志位置值更改为另一硬盘。
12. 单击下一步。
13. 在共享的系统卷屏幕中，只要该卷使用 NTFS 文件系统，就可以接受 Rootdrive\Winnt\Sysvol 作为默认位置。这是 Sysvol 文件夹所要求的。
14. 单击下一步。
15. 如果没有可用的 DNS 服务器，则会出现“向导无法联系到处理名称 Domain Name 的 DNS 服务器以确定它是否支持动态更新。请确认 DNS 配置，或者在此计算机上安装并配置一个 DNS 服务器”这一消息。
16. 单击确定。
17. 在配置 DNS 屏幕上，单击“是，在这台计算机上安装和配置 DNS(推荐)”。
18. 单击下一步。
19. 在 Windows NT 4.0 RAS 服务器屏幕上，选择是否要允许远程访问服务 (RAS) 访问此服务器。单击下一步。
20. 在目录服务还原模式管理密码屏幕上，指定在以“目录服务还原”模式启动计算机时使用的管理员密码。在需要恢复 Active Directory 数据库时使用“目录服务还原”模式。
注意：一定要记住此密码，否则在需要时您将无法还原 Active Directory。
21. 在概要屏幕上确认选项，然后单击下一步。
22. 通过查看屏幕上的消息验证已安装 Active Directory。安装 Active Directory 后，单击完成以关闭向导。
23. 重新启动计算机。
来生愿做一只猫，珍爱生命，远离电脑，拥有那简单的快乐就足矣！
Xinsoft：应用之美，在于药到病除
http://xinsoft.blogchina.com
头衔 小咪的爸爸
Xinsoft
职务 极速总版主
等级 法师
声望 ＋11
幸运 19
积分 22106
经验 298051
文章 17287
注册 03-08-14 22:53
发表: 2005-08-20 18:58:09 第5楼
为现有域安装额外域控制器
注意：在将服务器提升为现有域中的域控制器之前，必须在此服务器上正确配置了 DNS 设置。在提升过程中，该服务器需要解析此域的完全限定域名。
1. 单击开始，单击运行，键入 dcpromo，然后单击确定。
2. 这将启动“Active Directory 安装向导”。单击下一步。
3. Active Directory 安装向导会询问一系列问题，以确定此服务器将担任的角色。因为您要将此服务器安装为域中的额外域控制器，请单击“现有域的额外域控制器”。
4. 单击下一步。
5. 下一个屏幕提示您提供网络凭据。键入用于执行此 *** 作的帐户的用户名、密码和域名。该帐户必须具有完全管理权限。域名不应是完全限定域名的形式。
6. 在额外域控制器屏幕上，以完全限定域名的形式键入现有域的完整 DNS 名称（例如：Microsoft.com）。
7. 数据库位置和日志位置框将填入默认位置 (Rootdrive\Winnt\Ntds)。为获得最佳性能和可恢复性，请将数据库和日志分别存储在不同的硬盘上。将日志位置值更改为另一硬盘。
8. 单击下一步。
9. 在共享的系统卷屏幕中，只要该卷使用 NTFS 文件系统，就可以接受 Rootdrive\Winnt\Sysvol 作为默认位置。这是 Sysvol 文件夹所要求的。
10. 单击下一步。
11. 如果没有可用的 DNS 服务器，则会出现“向导无法联系到处理名称 Domain Name 的 DNS 服务器以确定它是否支持动态更新。请确认 DNS 配置，或者在此计算机上安装并配置一个 DNS 服务器”这一消息。
12. 单击确定。
13. 在配置 DNS 屏幕上，单击“是，在这台计算机上安装和配置 DNS(推荐)”。
14. 单击下一步。
15. 在 Windows NT 4.0 RAS 服务器屏幕上，选择是否要允许远程访问服务 (RAS) 访问此服务器。单击下一步。
16. 在目录服务还原模式管理密码屏幕上，指定在以“目录服务还原”模式启动计算机时使用的管理员密码。在需要恢复 Active Directory 数据库时使用“目录服务还原”模式。
注意：一定要记住此密码，否则在需要时您将无法还原 Active Directory。
17. 在提升过程的复制阶段，有一个可让您选择稍后执行复制的选项。选择此选项的理由有许多（例如，在一天的正中间时您使用的网络连接速度慢，您希望等到这天结束时执行复制）。
18. 通过查看屏幕上的消息验证已安装 Active Directory。安装 Active Directory 后，单击完成以关闭向导。
19. 重新启动计算机。
来生愿做一只猫，珍爱生命，远离电脑，拥有那简单的快乐就足矣！
Xinsoft：应用之美，在于药到病除
http://xinsoft.blogchina.com
头衔 小咪的爸爸
Xinsoft
职务 极速总版主
等级 法师
声望 ＋11
幸运 19
积分 22106
经验 298051
文章 17287
注册 03-08-14 22:53
发表: 2005-08-20 18:59:57 第6楼
从域控制器中删除 Active Directory
注意：在将域控制器降级时，如果它不是域中的最后一个域控制器，则它将执行最后一次复制，然后将角色转给另一域控制器。作为降级过程的一部分，Dcpromo 实用工具会从 Active Directory 中删除该域控制器的配置数据。此数据的形式是“NTDS 设置”对象，它在“Active Directory 站点和服务管理器”中作为服务器对象的子对象存在。在域控制器降级后，它不再具有可用的 Active Directory 信息，并将使用“安全帐户管理器”(SAM) 数据库来获取本地数据库信息。如果该域控制器是一个全局编录域控制器，则此角色将不会转移给另一域控制器。在这种情况下，您必须通过手动选中“Active Directory 站点和服务管理器”中的复选框来让另一域控制器接管此角色。
如果降级过程由于某种原因未能成功完成，则您必须手动从目录中删除此元数据。使用 Ntdsutil.exe 实用工具来手动删除“NTDS 设置”对象。 有关如何使用 Ntdsutil.exe 的其他信息，请单击下面的文章编号，以查看 Microsoft 知识库中相应的文章：
216498 如何在域控制器降级失败后删除 Active Directory 中的数据
1. 单击开始，单击运行，键入 dcpromo，然后单击确定。
2. 这将启动“Active Directory 安装向导”。单击下一步。
3. 删除 Active Directory 屏幕上有一个复选框。如果此计算机是域中的最后一个域控制器，请单击以选中该复选框。否则，请单击下一步。
4. 在下一屏幕上，设置在删除 Active Directory 后此服务器上的管理员帐户的密码。在密码和确认密码框中键入合适的密码，然后单击下一步。
5. 在概要屏幕上，检查并确认您选择的选项，然后单击下一步。
6. 向导将开始从该服务器删除 Active Directory 的过程。过程完成后，将出现一条消息，指出 Active Directory 已从该计算机中删除。
7. 单击完成以退出向导。
8. 重新启动计算机。
注意：基于 Windows 2000 的 DNS 服务器在其 TCP/IP 属性中应指向自身以获取 DNS 服务。如果该服务器需要解析来自它的 Internet 服务提供商 (ISP) 的名称，您应该配置一台转发器。
来生愿做一只猫，珍爱生命，远离电脑，拥有那简单的快乐就足矣！
Xinsoft：应用之美，在于药到病除
http://xinsoft.blogchina.com
头衔 雅阁光盘小组
冰雪黑鹰
等级 风云使者
幸运 2
积分 1220
经验 14273
文章 1186
注册 04-12-28 08:48
发表: 2005-08-20 19:03:19 第7楼
本想仔细看的，但是。。。太长了吧。。。5页啊。。。看看别的吧，有时间再来看，先收起来
零位空间
头衔 小咪的爸爸
Xinsoft
职务 极速总版主
等级 法师
声望 ＋11
幸运 19
积分 22106
经验 298051
文章 17287
注册 03-08-14 22:53
发表: 2005-08-20 19:12:29 第8楼
很多人总是在说：谁给我资料啊，我找不到学习资料呀……
其实很多软件的官方站点已经给出了很好的学习教材，比如说微软的知识库、MSDN。另外还有很多软件自身带有很好的教程，比如SQL Server的online books。
Active Directory简介活动目录（Active Directory）是面向Windows Standard Server、Windows Enterprise Server以及 Windows Datacenter Server的目录服务。（Active Directory不能运行在Windows Web Server上，但是可以通过它对运行Windows Web Server的计算机进行管理。）Active Directory存储了有关网络对象的信息，并且让管理员和用户能够轻松地查找和使用这些信息。Active Directory使用了一种结构化的数据存储方式，并以此作为基础对目录信息进行合乎逻辑的分层组织。 Microsoft Active Directory 服务是Windows 平台的核心组件，它为用户管理网络环境各个组成要素的标识和关系提供了一种有力的手段。
编辑本段目录形式的数据存储
人们经常将数据存储作为目录的代名词。目录包含了有关各种对象 [例如用户、用户组、计算机、域、组织单位（OU）以及安全策略] 的信息。这些信息可以被发布出来，以供用户和管理员的使用。 目录存储在被称为域控制器的服务器上，并且可以被网络应用程序或者服务所访问。一个域可能拥有一台以上的域控制器。每一台域控制器都拥有它所在域的目录的一个可写副本。对目录的任何修改都可以从源域控制器复制到域、域树或者森林中的其它域控制器上。由于目录可以被复制，而且所有的域控制器都拥有目录的一个可写副本，所以用户和管理员便可以在域的任何位置方便地获得所需的目录信息。 目录数据存储在域控制器上的Ntds.dit文件中。我们建议将该文件存储在一个NTFS分区上。有些数据保存在目录数据库文件中，而有些数据则保存在一个被复制的文件系统上，例如登录脚本和组策略。 有三种类型的目录数据会在各台域控制器之间进行复制： ·域数据。域数据包含了与域中的对象有关的信息。一般来说，这些信息可以是诸如电子邮件联系人、用户和计算机帐户属性以及已发布资源这样的目录信息，管理员和用户可能都会对这些信息感兴趣。 例如，在向网络中添加了一个用户帐户的时候，用户帐户对象以及属性数据便被保存在域数据中。如果您修改了组织的目录对象，例如创建、删除对象或者修改了某个对象的属性，相关的数据都会被保存在域数据中。 ·配置数据。 配置数据描述了目录的拓扑结构。配置数据包括一个包含了所有域、域树和森林的列表，并且指出了域控制器和全局编录所处的位置。 ·架构数据。架构是对目录中存储的所有对象和属性数据的正式定义。Windows Server 2003提供了一个默认架构，该架构定义了众多的对象类型，例如用户和计算机帐户、组、域、组织单位以及安全策略。管理员和程序开发人员可以通过定义新的对象类型和属性，或者为现有对象添加新的属性，从而对该架构进行扩展。架构对象受访问控制列表（ACL）的保护，这确保了只有经过授权的用户才能够改变架构。
编辑本段活动目录功能
活动目录(Active Directory)主要提供以下功能： ①基础网络服务：包括DNS、WINS、DHCP、证书服务等。 ②服务器及客户端计算机管理：管理服务器及客户端计算机账户，所有服务器及客户端计算机加入域管理并实施组策略。 ③用户服务：管理用户域账户、用户信息、企业通讯录（与电子邮件系统集成）、用户组管理、用户身份认证、用户授权管理等，按省实施组管理策略。 ④资源管理：管理打印机、文件共享服务等网络资源。 ⑤桌面配置：系统管理员可以集中的配置各种桌面配置策略，如：界面功能的限制、应用程序执行特征限制、网络连接限制、安全配置限制等。 ⑥应用系统支撑：支持财务、人事、电子邮件、企业信息门户、办公自动化、补丁管理、防病毒系统等各种应用系统。
编辑本段Active Directory升级方法
在windwons server上启用AD的方法： 1、打开运行对话框 2、在运行对话框里输入dcpromo，进入AD安装向导
编辑本段Active Directory和安全性
安全性通过登录身份验证以及目录对象的访问控制集成在Active Directory之中。通过单点网络登录，管理员可以管理分散在网络各处的目录数据和组织单位，经过授权的网络用户可以访问网络任意位置的资源。基于策略的管理则简化了网络的管理，即便是那些最复杂的网络也是如此。 Active Directory通过对象访问控制列表以及用户凭据保护其存储的用户帐户和组信息。因为Active Directory不但可以保存用户凭据，而且可以保存访问控制信息，所以登录到网络上的用户既能够获得身份验证，也可以获得访问系统资源所需的权限。例如，在用户登录到网络上的时候，安全系统首先利用存储在Active Directory中的信息验证用户的身份。然后，在用户试图访问网络服务的时候，系统会检查在服务的自由访问控制列表（DCAL）中所定义的属性。 因为Active Directory允许管理员创建组帐户，管理员得以更加有效地管理系统的安全性。例如，通过调整文件的属性，管理员能够允许某个组中的所有用户读取该文件。通过这种办法，系统将根据用户的组成员身份控制其对Active Directory中对象的访问 *** 作。
编辑本段Active Directory 的架构
简述
Active Directory的架构（Schema）是一组定义，它对能够存储在Active Directory中的各种对象——以及有关这些对象的各种信息——进行了定义。因为这些定义本身也作为对象进行存储，Active Directory可以像管理目录中的其它对象一样对架构对象加以管理。架构中包括了两种类型的定义：属性和分类。属性和分类还可以被称作架构对象或元数据。
分类
分类，又称对象分类，描述了管理员所能够创建的目录对象。每一个分类都是一组对象的集合。在您创建某个对象时，属性便存储了用来描述对象的信息。例如，“用户”分类便由多个属性组成，其中包括网络地址、主目录等等。Active Directory中的所有对象都是某个对象分类的一个实例。
架构的扩展
有经验的开发人员和网络管理员可以通过为现有分类定义新的属性或者定义新的分类来动态地扩展架构。 架构的内容由充当架构 *** 作主控角色的域控制器进行控制。架构的副本被复制到森林中的所有域控制器上。这种共用架构的使用方式确保了森林范围内的数据完整性和一致性。 此外，您还可以使用“Active Directory架构”管理单元对架构加以扩展。为了修改架构，您必须满足以下三个要求： · 成为“Schema Administrators”（架构管理员）组的成员 · 在充当架构 *** 作主控角色的计算机上安装“Active Directory架构”管理单元 · 拥有修改主控架构所需的管理员权限 在考虑对架构进行修改时，必须注意以下三个要点： · 架构扩展是全局性的。 在您对架构进行扩展的时候，您实际上扩展了整个森林的架构，因为对架构的任何修改都会被复制到森林中所有域的所有域控制器上。 · 与系统有关的架构分类不能被修改。您不能修改Active Directory架构中的默认系统分类；但是，用来修改架构的应用程序可能会添加可选的系统分类，您可以对这些分类进行修改。 · 对架构的扩展不可撤销。某些属性或者分类的属性可以在创建后修改。在新的分类或者属性被添加到架构中之后，您可以将它置于非激活状态，但是不能删除它。但是，您可以废除相关定义并且重新使用对象标识符（OID）或者显示名称，您可以通过这种方式撤销一个架构定义。 有关架构修改的更多信息，请通过参阅 Microsoft Windows 资源工具包 。 Active Directory不支持架构对象的删除；但是，对象可以被标记为“非激活”，以便实现与删除同等的诸多益处。
属性
属性和分类单独进行定义。每一个属性仅仅定义一次，但是可以在多个分类中使用。例如，“Description”（描述）属性可以使用在多个分类中，但是只需在架构中定义一次即可，以保持数据的一致性。 属性用来描述对象。每一个属性都拥有它自己的定义，定义则描述了特定于该属性的信息类型。架构中的每一个属性都可以在“Attribute-Schema”分类中指定，该分类决定了每一个属性定义所必须包含的信息。 能够应用到某个特殊对象上的属性列表由分类（对象是该分类的一个实例）以及对象分类的任何超类所决定。属性仅仅定义一次，但是可以多次使用。这确保了共享同一个属性的所有分类能够保持一致性。
多值属性
属性可以是单值的也可以是多值的。属性的架构定义指定了属性的实例是否必须是多值的。单值属性的实例可以为空，也可以包含一个单值。多值属性的实例可以为空，也可以包含一个单值或多值。多值属性的每一个值都必须是唯一的。
索引属性
索引应用于属性，而不是分类。对属性进行索引有助于更快地查询到拥有该属性的对象。当您将一个属性标记为“已索引”之后，该属性的所有实例都会被添加到该索引，而不是仅仅将作为某个特定分类成员的实例添加到索引。 添加经过索引的属性会影响Active Directory的复制时间、可用内存以及数据库大小。因为数据库变得更大了，所以需要花费更多的时间进行复制。 多值属性也可以被索引。同单值属性的索引相比，多值属性的索引进一步增加了Active Directory的大小，并且需要更多的时间来创建对象。在选择需要进行索引的属性时，请确信所选择的共用属性，而且能够在开销和性能之间取得平衡。 一个经过索引的架构属性还可以被用来存储属性的容器所搜索，从而避免了对整个Active Directory数据库进行搜索。这样不仅缩短了搜索所需花费的时间，而且减少了在搜索期间需要使用的资源数量。
全局编录的角色
全局编录是一台存储了森林中所有Active Directory对象的一个副本的域控制器。此外，全局编录还存储了每个对象最常用的一些可搜索的属性。全局编录存储了它所在域的所有目录对象的完整副本，以及森林中其它域中所有目录对象的部分副本，所以您不必咨询域控制器即可实施有效的搜索 *** 作。 全局编录在森林中最初的一台域控制器上自动创建。您可以为任何一台域控制器添加全局编录功能，或者将全局编录的默认位置修改到另一台域控制器上。
全局编录担当了以下目录角色
· 查找对象 全局编录允许用户搜索森林所有域的目录信息，而不管数据存储在何处。森林内部的搜索可以利用最快的速度和最小的网络流量得以执行。 在您从“开始”菜单搜索人员或打印机，或者在某个查询的内部选择了“整个目录”选项的时候，您就是在对全局编录进行搜索。在您输入搜索请求之后，请求便会被路由到默认的全局编录端口3268，以便发送到一个全局编录进行解析。 · 提供了根据用户主名的身份验证。在进行身份验证的域控制器不知道某个账户是否合法时，全局编录便可以对用户的主名进行解析。例如，如果用户的账户位于example1.域，而用户决定利用这个用户主名从位于example2的一台计算机上进行登录，那么example2.的域控制器将无法找到该用户的账户，然后，域控制器将于全局编录服务器联系，以完成整个登录过程。 · 在多域环境下提供通用组的成员身份信息。和存储在每个域的全局组成员身份不同，通用组成员身份仅仅保存在全局编录之中。例如，在属于一个通用组的用户登录到一个被设置为Windows 2000本机域功能级别或者更高功能级别的域的时候，全局组将为用户账户提供通用组的成员身份信息。 如果在用户登录到运行在Windows 2000本机或者更高级别中的域的时候，某个全局编录不可用并且用户先前曾经登录到该域，计算机将使用缓存下来的凭据让用户登录。如果用户以前没有在该域登录过，用户将仅仅能够登录到本地计算机。 说明：即便全局编录不可用，“Domain Administrators”（域管理员）组的成员也可以登录到网络中。
查找目录信息
正如前面所介绍的，Active Directory的设计目的在于为来自用户或应用程序的查询提供有关目录对象的信息。管理员和用户可以使用“开始”菜单中的“搜索”命令轻松对目录进行搜索和查找。客户端程序也可以使用Active Directory服务接口（ADSI）访问Active Directory中的信息。 Active Directory的主要益处就在于它能够存储有关网络对象的丰富信息。在Active Directory中发布的有关的用户、计算机、文件和打印机的信息可以被网络用户所使用。这种可用性能够通过查看信息所需的安全权限加以控制。 网络上的日常工作涉及用户彼此之间的通信，以及对已发布资源的连接和访问。这些工作需要查找名称和地址，以便发送邮件或者连接到共享资源。在这方面，Active Directory就像是一个在企业中共享的地址簿 。例如，您可以按照姓、名、电子邮件地址、办公室位置或者其它用户账户属性查找用户。如前所述，信息的查找过程由于使用了全局编录而得到了优化。
高效的搜索工具
管理员可以使用“Active Directory用户和计算机”管理单元中的高级“查找”对话框高效率地执行管理工作，并且轻松定制和筛选从目录取得的数据。此外，管理员还可以向组中快速添加对象，并且通过无需浏览的查询帮助查找可能的成员，从而将对网络的影响降低到最小限度。
编辑本段Active Directory的复制
复制为目录信息提供了可用性、容错能力、负载平衡以及性能优势。Active Directory 使用多主控复制，您可以在任何一台域控制器上更新目录，而不是只能在一台特定的主域控制器上进行更新。多主控模式具有更出色的容错能力，因为使用了多台域控制器，即使在某一台域控制器停止工作的情况下，复制依然能够继续。 域控制器可以存储和复制： · 架构信息。架构信息定义了可以在目录中创建的对象，以及每隔对象所能够拥有的属性。这些信息是森林中所有域的共用信息。架构数据被复制到森林中的所有域控制器上。 · 配置信息。配置信息描述了您的部署的逻辑结构，其中包括诸如域结构或者复制拓扑这样的信息。这些信息是森林中所有域的共用信息。配置数据被复制到森林中的所有域控制器上。 · 域信息。域信息描述了域中所有的对象。数据特定于具体的域，而且不会被分发到其它的任何域中。为了在整个域树或者森林中查找信息，所有域中的所有对象的属性的一个子集被保存在全局编录中。域数据将被复制到域中的所有域控制器上。 · 应用程序信息。存储在应用程序目录分区中的信息旨在满足用户对这些信息的复制需要，但是这些信息并不是在任何情况下都需要。应用程序数据可以被明确地重新路由到森林中特定于管理用途的域控制器上，以防止产生不必要的复制流量。或者，您可以进行设置，将这些信息复制到域中的所有域控制器上。 站点在复制过程中的角色 站点提高了目录信息的复制效率。目录架构和配置信息在整个森林范围内进行复制，而域数据则在域的所有域控制器之间进行复制，并且会被部分地复制到全局编录上。通过有策略地减少复制流量，网络的通信压力也会得到相应的减轻。 域控制器使用站点和复制变化控制从以下方面对复制实施优化： · 通过对所使用的连接不时进行重新评估，Active Directory可以始终使用最有效的网络连接。 · Active Directory使用多条路由复制发生变化的目录数据，从而提供了容错能力。 · 由于仅仅需要复制发生了变化的信息，复制开销降到了最小。 如果某个部署没有按照站点加以组织，域控制器以及客户机之间的信息交换将是混乱和无序的。站点可以改善网络的利用效率。 Active Directory在站点内部复制目录信息的频度比在站点间的复制频度要更高。这样，拥有最佳连接条件的域控制器——它们很可能需要特殊的目录信息——可以首先得到复制。其它站点中的域控制器则可以获得所有发生了变化的目录信息，但是它们进行复制的频率要低一些，以便节省网络带宽。另外，由于数据在站点间进行复制时经过了压缩处理，所以复制 *** 作所占用的带宽进一步得到了降低。为了实现高效复制，只有在添加或修改了目录信息之后才进行目录的更新。 如果目录更新始终被分发到域中的所有其它域控制器上，它们将占用大量的网络资源。虽然您可以手动添加或配置连接，或者强迫通过某条特定的连接进行复制，复制仍然可以根据您在“Active Directory Sites and Services”管理工具中提供的信息，通过Active Directory知识一致性检查程序（Knowledge Consistency Checker，KCC）得到自动优化。KCC负责构建和维护Active Directory的复制拓扑。特别地，KCC可以决定何时进行复制，以及每台服务器必须同哪些服务器开展复制。
欢迎分享，转载请注明来源：内存溢出
微信扫一扫
支付宝扫一扫
评论列表（0条）