AD域认证是指TSM系统终端代理使用第三方库执行主要认证业务，TSM系统的AD域认证过程主要涉及到三个角色，分别是：TSM服务器、AD域控、终端代理。一域的作用：如果企业网络中计算机和用户数量较多时，要实现高效管理，就需要windows域。 创建域 。
二域控安装：要建立域进行管理，首先需安装域控制器（dc），dc上存储着域中的信息资源，如名称、位置和特性描述等信息。通过在一台服务器上安装活动目录（AD），就会将这台计算机安装成dc。
安装条件：
1安装者必须具有本地管理员的权限。
2 *** 作系统版本必须满足条件（Windows server2003除web以外的所有都满足）。 3本地磁盘必须有一个NTFS文件系统
4有TCP/IP设置
5有相应的DNS服务器支持
6有足够的可用空间
三安装活动目录（AD）
1打开ad开始--运行输入dcpromo
2是否创建新域。dc有两种新域的域控和现有域的额外域控制器。一般选择新域的域控。
3新域的DNS全名。如ruiruicomcn
4新域的NetBIOS名。下一步
5数据库和日志文件夹。为了优化性能，可以将数据库和日志放在不同的硬盘上。该文件夹不一定在NTFS分区。如果本计算机是域的第一台域控，则sam数据库就会升级到C:\windows\ntds\ntdsdit，本地用户账户变成域用户账户。
6共享的系统卷。共享系统卷SYSVOL文件夹存放的位置必须是NTFS文件系统。 7DNS注册诊断。AD需要DNFS服务支持。
8域兼容性。如果网络中不存在Windows server 2003 以前版本的域控制器，就选第二项。如果存在选第一项。
9还原模式密码。目录服务还原模式的管理员密码，是在目录服务还原模式下登录系统时使用。由于目录服务还原模式下，所有的域账户用户都不能使用，只有使用这个还原模式管理员账户登录。
10安装完成后需重启计算机。
前面讲解了怎样创建windows域，现在完善一下，讲解怎样将计算机加入域。 在安装完AD后，需要将其它的服务器和客户计算机加入到域中。一般情况下，在从客户计算机加入域时，会在域中自动创建计算机账号。不过，用户必须在本地客户计算机上拥有管理权限才能将其加入到域中。
在加入域之前，首先检查客户机的网络配置：
1确保网络上物理连通
2设置IP地址
3检查客户机到服务器是否连通 4配置客户机的首选DNS服务器（通常为第一台DC的IP） 在客户端计算机系统属性中的“计算机名”选项卡里，单击更改按钮可以打开计算机加入域的对话框，选中域后，输入正确的域名，然后再根据提示输入具有加入域权限的用户名和密码即可。 这样就OK了！将客户机加入域，就可以在客户机上，使用域账户加入到域，也可以使用客户机的本地用户账户登录到域。 前面一直提到DNS，下面讲解DNS在域中的作用。
DNS在域中有两个作用： 域名的命名采用DNS的标准、定位DC。
1、域名的命名采用DNS标准。公司要创建第一个域，域名为ruiruicomcn。上海分公司要成为子域，域名为shruiruicomcn。这些都遵循DNS分布式、等级结构的标准。这体现了办公网络与Internet集成的理念。
2、客户机如何定位DC。当域用户账户登陆时或者查找活动目录时，首先要定位DC，这需要DNS服务器支持，
主要步骤： 1）客户机发送DNS查询请求给DNS服务器。
2）DNS服务器查询匹配的SRV资源记录。
3）DNS服务器返回相关DC的ip地址列表给客户机。
4）客户机联系到DC
5）DC响应客户机的请求 DNS在活动目录中为什么能起到定位DC的作用
。 主要靠域的DNS区域中的SPV资源记录。开始--程序--管理工具--DNS，打开DNS管理器，就是SRV资源记录。
Windows Server 2012已经不太支持使用Dcpromoexe命令，如果你使用dcpromoexe（无任何参数），命令行会引导你到服务器管理器的信息。如使用dcpromoexe /unattend，则仍可以使用Dcpromoexe的无人安装。参考安装域控教程
不会。ad域不会和dns中的域冲突，一般AD域或与DNS域挂钩，AD域需要与DNS服务器进行配合。
AD域控制器是什么AD域是ActiveDirectory的缩写，它是基于windows的一个组合，它可以集中控制加入域的所有计算机的权限。
Active Directory
什么是活动目录？
Active Directory 可帮助 IT 团队监控各种网络对象，授予和撤销不同的用户权限，并将各类策略在网络中顺利实施。例如，管理员可以创建一组用户并为他们分配对服务器上目录的特定访问权限。然而，随着网络的发展，管理员可能很难跟踪用户、登录详细信息、资源分配详细信息和权限。Active Directory 是最重要的 IT 基础架构工具之一，它可以帮助管理员管理用户配置流程、安全性和审计，并提供从单个位置访问每个用户帐户的权限。在 Active Directory 的帮助下，用户可以按逻辑组织成组和子组，以提供访问控制。
AD域管理
在 Active Directory 中，数据存储为对象。对象可以理解为单个元素，例如用户、组、应用程序或设备。对象可以是资源或安全主体，如用户或组。每个对象都有一个名称和属性。例如，用户名可能是名称字符串和与用户相关联的信息的组合。
Active Directory 结构由三个主要组件组成：域、树和林。可以将多个对象（例如使用同一 AD 数据库的用户或设备）分组到一个域中。域具有域名系统 (DNS) 结构。多个域可以组合形成一个称为树的组。树形结构使用连续的名称空间以逻辑层次结构排列域。树中的不同域共享安全连接并在层次结构中相互信任。这意味着第一个域可以隐式信任层次结构中的第三个域。多棵树的集合称为森林。管理员可以在各个级别分配特定的访问权限和通信权限。此外，森林还包括目录架构、共享目录、域配置和应用程序信息。全局编录服务器提供林中所有对象的列表，架构定义林中对象的类和属性。组织单位 (OU) 管理组、用户和设备。每个域都可以包含自己的 OU。
域树结构
Active Directory 提供多种服务，例如域服务、轻量级目录服务、证书服务、联合服务和权限管理服务。这些服务属于 Active Directory 域服务 (AD DS)。AD DS 随 Windows Server 一起提供，旨在管理客户端系统。AD DS 可以被认为是 Active Directory 的主要服务；它存储目录信息并负责用户和域之间的交互。当用户尝试通过网络连接到设备、服务器或资源时，AD DS 会检查授予用户的登录凭据和访问权限。SharePoint Server 和 Exchange Server 等其他产品也依赖 AD DS 进行资源访问。
Active Directory 证书服务 (AD CS) 创建、共享和管理证书。这些证书使用户能够通过 Internet 安全地交换信息。
Active Directory 轻型目录服务 (AD LDS) 具有与 AD DS 相同的功能。AD LDS 可以使用轻量级目录访问协议 (LDAP) 存储目录数据，并在单个服务器上运行多个实例。LDAP 应用程序协议存储与目录服务中的对象相关的数据，例如用户名和密码，并在网络上共享它们。
Active Directory 联合身份验证服务 (AD FS) 使用单点登录 (SSO) 的概念来验证用户，并允许他们在单个会话中访问不同网络上的多个应用程序。使用 SSO，用户只需为每项服务登录一次。
Active Directory 权限管理服务 (AD RMS) 通过加密服务器上的内容来保护机密和离散信息免遭未经授权的访问。
Active Directory 附带 Microsoft Server *** 作系统，并提供多种功能和服务。Active Directory 可帮助 IT 专业人员将访问权限分配给新员工（帐户配置）并撤销离开公司的员工的访问权限（帐户取消配置）。虽然 Active Directory 域服务在组织中发挥着至关重要的作用，但它本身并不提供针对网络犯罪的安全性。如果存在可疑活动，IT 团队需要手动查看日志并花时间查明需要纠正的区域。这是因为 Active Directory 附带的集成工具在企业级别可能不是非常有效或有用。
因此，我们还可以利用第三方工具对域进行有效管理，接下来就给大家介绍几款AD域管理、审计、自助服务工具。
DS
域服务2113是
Windows
Server
2008
的核心服务，主要提供用户身份验证5261、检索、组
织结构规划、部署企业4102策略等基础服务。1653与
Windows
Server
2003
中不同，
Windows
Server
2008
中的
AD
DS
域服务以服务的方式运专行，可以在不停机的状态属下停止
AD
DS
域服务。五种角色架构AD域环境中五大主机角色在Win2003多主机复制环境中，任何域控制器理论上都可以更改ActiveDirectory中的任何对象。但实际上并非如此，某些AD功能不允许在多台DC上完成，否则可能会造成AD数据库一致性错误，这些特殊的功能称为“灵活单一主机 *** 作”，常用FSMO来表示，拥有这些特殊功能执行能力的主机被称为FSMO角色主机。在Win2003 AD域中，FSMO有五种角色,分成两大类:森林级别(在整个林中只能有一台DC拥有访问主机角色) 1：架构主机 (Schema Master)2：域命令主机 (Domain Naming Master)域级别(在域中只有一台DC拥有该角色3：PDC模拟器(PDC Emulator)4：RID主机 (RID Master)5：基础架构主机 (Infrastructure Master)1：架构主机控制活动目录整个林中所有对象和属性的定义，具有架构主机角色的DC是可以更新目录架构的唯一 DC。这些架构更新会从架构主机复制到目录林中的所有其它域控制器中。 架构主机是基于目录林的，整个目录林中只有一个架构主机。2：域命令主机向目录林中添加新域。从目录林中删除现有的域。添加或删除描述外部目录的交叉引用对象3：PDC模拟器向后兼容低级客户端和服务器，担任NT系统中PDC角色时间同步服务源，作为本域权威时间服务器，为本域中其它DC以及客户机提供时间同步服务，林中根域的PDC模拟器又为其它域PDC模拟器提供时间同步!密码最终验证服务器，当一用户在本地DC登录，而本地DC验证本地用户输入密码无效时，本地DC会查询PDC模拟器，询问密码是否正确。首选的组策略存放位置，组策略对象(GPO)由两部分构成：GPT和GPC，其中GPC存放在AD数据库中，GPT默认存放PDC模拟器在\\windows\sysvol\sysvol\<domainname>目录下，然后通过DFS复制到本域其它DC中。name域主机浏览器，提供通过网上邻居查看域环境中所有主机的功能4：主机角色：RID主机Win2003环境中，所有的安全主体都有SID，SID由域SID+序列号组合而成，后者称为“相对ID”(Relative ID,RID),在Win2003环境中，由于任何DC都可以创建安全主体，为保证整个域中每个DC所创建的安全主体对应的SID在整个域范围唯一性，设立该主机角色，负责向其它DC分配RID池(默认一次性分配500个)，所有非RID主机在创建安全实体时，都从分配给的RID池中分配RID，以保证SID不会发生冲突! 当非RID主机中分配的RID池使用到80%时，会继续RID主机，申请分配下一个RID地址池!5：基础架构主机基础结构主机的作用是负责对跨域对象引用进行更新，以确保所有域间 *** 作对象的一致性。基础架构主机工作机制是定期会对没有保存在本机的引用对象信息，而对于GC来说，会保存当前林中所有对象信息。如果基础架构主机与GC在同一台机，基础架构主机就不会更新到任何对象。所以在多域情况下，强烈建议不要将基础架构主机设为GC。二：标准图形界面查看和更改 *** 作主机角色的方法1：查看和更改架构主机角色：步骤：注册：regsvr32 schmmgmt 在MMC中添加AD架构管理单元打开MMC控制台，选中“Active Directory架构”击“右键”，选择“ *** 作主机”打开更改架构页面后,点击"更改"就可以进行架构主机角色的更改2查看和更改PDC模拟器,RID主机以及基础结构主机步骤：开始-设置-控制面板-管理工具-Active Directory用户和计算机 选定当前域名，右键单击，选择“ *** 作主机”在打开的页面中，通过点击“更改”按钮就可以对RID主机，PDC模拟器以及基础结构主机角色进行更改3查看和更改域命名主机角色步骤：点击“开始-设置-控制面板-管理工具-Active Directory域和信任关系”: 选中“Active Directory域和信任关系”，右键单击，选择“ *** 作主机”在打开的窗口中，点击“更改”按钮就可以实现对域命名主机角色进行更改四：使用命令行工具查看和更改 *** 作主机角色有多个工具可以实现在命令行下查看 *** 作主机角色，下面只列出几种常见方法注意，下面对应的工具有些需要安装Win2003 Support Tools工具1：使用Netdom工具查看 *** 作主机角色Netdom Query FSMO3利用自制监视器Replmon查看和检查 *** 作主机角色复制监视器Replication Monitor(ReplMon)是针对Windows Server的故障查找工具,不但是定位活动目录复制故障强有利的工具，同时也可以使用该工具查看和检查 *** 作主机角色状态。步骤：选中当前DC，右键单击，选择“Properties”在d出窗口中，选择“FSMO Roles”分窗口，出现如下界面：在该窗口，列出所有的FSMO *** 作主机，同时通过“Query”按钮，可以检测出当前DC 与FSMO *** 作主机之间通讯是否正常。四：使用命令行工具查看和更改 *** 作主机角色有多个工具可以实现在命令行下查看 *** 作主机角色，下面只列出几种常见方法注意，下面对应的工具有些需要安装Win2003 Support Tools工具1：使用Netdom工具查看 *** 作主机角色 Netdom Query FSMO2：使用Dsquery工具查看 *** 作主机角色Dsquery Server –Hasfsmo Schema //查看架构主机Dsquery Server –Hasfsmo Name //查看域 主机Dsquery Server –Hasfsmo PDC //查看PDC模拟器主机Dsquery Server –Hasfsmo RID //查看RID主机Dsquery Server –Hasfsmo Infr //查看基础结构主机3：使用Ntdsutil工具更改 *** 作主机角色Ntdsutil工具的功能非常强大，可以进行AD数据库维护，查看和更换 *** 作主机角色以及删除无法通过图形界面删除的DC遗留的元数据。通过Ntdsutil工具不但可以清理无效的DC信息，也可以使用Transfer子命令转移 *** 作主机角色，使用Seize子命令夺取 *** 作主机角色。五： *** 作主机角色放置优化配置建议默认情况下，架构主机和域命名主机角色是在根域的第一台DC上，而PDC模拟器，RID主机和基础结构主机默认放置在当前域的第一台DC上。特别是在单域环境中，按默认安装，第一台DC会同时拥有这五种FSMO *** 作主机角色。万一这台DC损坏，会对域环境造成极大风险!常见的 *** 作主机角色放置建议如下：1：架构主机：拥有架构主机角色的DC不需要高性能，因为在实际环境中不会经常对Schema进行 *** 作的，除非是经常会对Schema进行扩展，不过这种情况非常的少。但要保证可用性，否则在安装Exchange等会扩展AD架构的软件时会出错。2：域命名主机：对占有域命名主机的DC也不需要高性能，在实际环境中也不会经常在森林里添加或者删除域的。但要保证高可用性是有必要的，以保证在添加删除当前林中域时可以使用。一般建议由同一台DC承担架构主机与域域命名主机角色，并由GC放置在同一台DC中。3：PDC模拟器：从上述PDC功能中可以看出，PDC模拟器是FSMO五种角色里任务最重的，必须保持拥有PDC的DC有高性能和高可用性。4：RID主机：对于占有RID Master的域控制器，没有必要一定要求高性能，因为给其它DC分配RID池的 *** 作不是经常性发生，但要求高可用性，否则在添加用户时出错。5：基础架构主机：对于单域环境，基础架构主机实际上不起作用，因为基础架构主机主要作用是对跨域对象引用进行更新，对于单域，不存在跨域对象的更新。基础架构主机对性能和可用性方面的要求较低。
欢迎分享，转载请注明来源：内存溢出
微信扫一扫
支付宝扫一扫
评论列表（0条）