xxx公司活动目录设计方案

XXX活动目录设计方案广州市黑马软件科技有限公司-3-1目录第1部分. 概述 31.1 方案目的 31.2 现状描述 31.3 问题分析 3第2部分. 总体需求 42.1集中的组织与管理网络内的服务器及客户端 42.2统一的数据组织与资源管理 42.3单一登录的网络环境 52.4集中化的软件布署与运行限制 52.5功效强大并易于扩展的IT基础架构 5第3部分. 设计原则和范畴 53.1 活动目录设计原则 63.2 设计要点总结 6第4部分. 活动目录设计内容 74.1 服务器硬件配备 74.2 3.2森林和域构造设计 74.2.1 3.2.1设计要点 74.2.2 森林设计阐明 84.2.3 域设计阐明 94.3 组织单位（OU）设计 104.3.1 设计要点 104.3.2 OU设计阐明 114.3.3 管理委派阐明 114.4 DC、GC和DNS服务器设计 124.4.1 设计要点 124.4.2 放置DC服务器 124.4.3 放置GC服务器 134.4.4 放置DNS服务器 134.5 DHCP和WINS服务器设计 154.5.1 设计要点 154.5.2 DHCP服务器设计阐明 154.5.3 WINS服务器设计阐明 16第5部分. 其它设计考虑 18第6部分. 部分顾客与案例 19

概述方案目的本解决方案将从XXX的IT环境现状出发，分析现有环境，提出关心的核心问题及将来的挑战，并根据有关问题具体叙述对应解决方案，协助XXX改善现有IT环境，以信息技术提高公司生产力。现状描述现在XXX内部网络环境多数仍为松散的管理状态，在实际环境中无论是工作用桌面计算机还是服务器都是采用工作组模型，各自独立。IT环境中的软硬件资源都无法实现充足运用。在大规模网络和服务器投资建设之前，公司很有必要对现有IT架构进行优化，以适应将来IT信息化的发展，这已经成为信息技术部门与公司管理人员关心的首要问题。从信息技术部门人员来说，如何设计IT架构，将IT环境的管理由松散方式变为集中管理的方式，减轻日常管理维护负担，提高IT生产力。从最后顾客来说，如何能够实现单一的身份验证，快速的访问公司内部的多个资源，较少的宕机时间也是最大的愿望。问题分析由于历史和技术发展方面的因素，现有XXX内部的IT环境是逐步建立起来的，并且在早期建立时由于没有整体架构的科学指导，造成现在的松散型IT环境，客户端、服务器各自独立，形成一种个信息“孤岛”，无法统一管理。在松散型管理的系统网络环境中，一旦某个节点出现问题需要定位出现问题的位置，并需要繁琐费时的恢复过程来实现修复。生产系统应用软件的大规模布署需要有关人员在各个计算机上逐个手工安装，极大耗费人力与时间。公司内部的多个资源存在于员工的客户端桌面计算机，服务器，以及其它多个设备之中，顾客需要获取有关资源需要首先拟定资源在哪一台计算机中，并且要针对不同资源提供不同的登录凭据（如顾客名/密码等）来访问。另外存在数据资源重复现象，造成硬件资源的不合理占用。信息技术部门制订的IT管理规范无法完全被最后顾客执行，IT管理规范的制订是为了避免信息系统出现如安全问题等不稳定状况，但松散型管理模式的IT环境中由于信息技术人员无法监控与统一管理公司内部的桌面计算机与服务器等，该规范变为一纸空文,无法被贯彻实施。现阶段，部分公司对IT环境的发展仍然缺少整体和久远考虑，还是按照老思路，简朴考虑硬件及应用软件的采购与建设，照此建设思路走下去，将会使现在的IT环境更加“臃肿”，更难于管理，最后造成生产力的减少。总体需求随着以上叙述的问题在公司内部IT环境中越来越突出，XXX存在下列需求：2.1集中的组织与管理网络内的服务器及客户端通过对网络内的服务器与客户端计算机进行集中式的管理，有助于消除早期“松散型”管理带来的安全漏洞及其它影响IT系统稳健运行问题，能够确保公司制订的IT管理规范能够通过计算机的逻辑方式派发给各个被管理的节点，并且通过集中管理的模式能够有效减少客户端的维护工作量。2.2统一的数据组织与资源管理需要实现统一的数据组织，如将来文献服务器的公布，共享打印机的公布等等，并且能够提供较为简朴的信息检索方式，快速查询并定为所需的多个资源，实现资源的高效运用。另外统一的数据组织与资源管理能够有效减少数据冗余与资源浪费，减轻IT环境的维护难度，提高公司生产力。2.3单一登录的网络环境公司内的普通员工计算机应用能力有限，如何使员工一次登录计算机后就能够访问其有权限访问的多个资源是提高生产效率，对于普通员工来说更能感受到应用信息技术能够带来更快捷的工作效率，有助于提高信息系统的使用率。2.4集中化的软件布署与运行限制公司但愿在大规模布署某个应用软件时能够避免手工逐个安装的低效率模式，而采用服务器/客户端的网络分发模式，并能对软件的版本更新做到一定控制，并且能够制订哪些软件能够被安装在哪些顾客的计算机上。通过对软件的运行限制，限制客户端计算机上所运行的应用软件，使工作用计算机仅能够运行特定应用程序，与工作无关的应用程序将会被严禁运行，提高系统安全性与最大化公司IT系统效能。2.5功效强大并易于扩展的IT基础架构公司但愿现有的IT基础架构能够提供较强的功效，如安全的身份验证，资源整合，软硬件集中监控、管理等，并且但愿该基础架构支持较多的上层应用，含有较强的可扩展性，在将来的几年中能够在现有底层IT架构上实现更多的价值。实现IT投资的保值。基于上述状况，结合国内外公司信息化的发展趋势和经验，同时参考IT技术的现有能力和发展走向，建议公司统筹安排、统一规划，通过分步实施、集中建设的方式，构建一种集中、统一、互联互通高可管理性的基于活动目录的公司核心IT基础架构。设计原则和范畴公司级活动目录的规划和布署，是公司网络基础构造中的重要部分。在规划中，应建立一套最能反映公司状况的构造。考虑周全的活动目录规划对实际布署至关重要。活动目录设计原则活动目录设计应考虑下列内容：目录的可用性和容错能力；目录客户机和服务器的网络使用特性；管理目录内容的效率；顾客查看目录和与目录互动的方式；考虑公司将来分支机构接入，目录构造随公司发展而发展的能力。设计要点总结基于以上活动目录的规划设计原则，本方案涉及的活动目录设计内容小结以下：域控制器硬件规定使用2GHz的解决器以上，2GB以上内存，40GB以上磁盘空间，100M活动目录森林和域构造设计建立一种活动目录森林中；XXX使用根域名DD.COM；；OU设计各部门将在域DD.COM中建立单独的OU；可为高层领导建立单独的OU。各分支机构建立单独OU，并使用权限委派管理资源。站点设计厂内建立一种单独的物理站点。DC、GC和DNS服务器设计在每个活动目录域中放置两台域控制器，同时将每台域控制器都配备为根域DNS服务器和GC服务器。每个DNS服务器除了配备有本域的区域名外，还含有一种公共的区域名：_msdcs.DD.com。DHCP和WINS服务器设计厂内配备一台DHCP服务器和一台WINS服务器。各站点之间的WINS服务器配备为互为复制伙伴。其它设计考虑涉及采用统一的服务器命名方式；使用组方略管理客户端；将活动目录的五类角色放置在可靠的服务器硬件平台上；建立活动目录备份和恢复系统；建立补丁程序安装系统；安装网络防病毒软件等。活动目录设计内容本节内容涉及服务器硬件配备设计和活动目录的具体内容设计。服务器硬件配备考虑到该活动目录将是南海发电厂的基础架构，森林中的顾客大概200个。为此建议活动目录域控制器选用不低于下列硬件配备的PC服务器：要点具体描述解决器2.0GHz内存2GB网卡100MHz本地磁盘40GB操作系统WindowsStandardServer其它彩色显示卡鼠标备份磁带防病毒软件备份恢复软件等3.2森林和域构造设计3.2.1设计要点根据XXX的实际状况，设计时把厂内的顾客都运行在一种活动目录森林中。全厂使用的根域名为DD.COM，放置根域管理员账户和顾客组。根域中现在没有任何客户端和普通顾客。考虑将来公司的发展，会有分支机构等异地加入到域中，因此将厂区和分支机构的活动目录森林和域构造设计以下。DDDD.COMxxx.DD.COMXX.DD.COM………森林设计阐明活动目录森林是域的集合，它简化顾客与目录的交互过程以及对多域的管理。活动目录森林含有下列特性：单一的活动目录架构（schema）活动目录架构定义了对象类别以及能够在目录中创立的对象类别的属性。活动目录架构作为一种名字空间，可复制到活动目录森林中的各个域控制器。活动目录架构管理员负责对它进行管理。单一的配备容器（configuration）活动目录配备容器是另外一种名字空间，可复制到活动目录森林中的每个域控制器。支持目录的应用程序在配备容器中寄存整个目录森林的信息。例如，活动目录将物理网络的有关信息存储在配备容器中，并用这些信息来指导创立域控制器之间的复制连接。公司管理员组完全控制配备容器。目录森林的全部域共享单一并且一致的配备，不需要对域进行逐个配备。域间完全信任活动目录森林的域之间自动创立可传递的双向信任关系。来自任何域的顾客和组都能被活动目录森林中的任何计算机识别，并涉及在组或访问控制列表(ACL)中。完全信任使得在Windows中管理多个域更加简朴。在将一种域添加到活动目录森林时，此域会自动配备为双向可传递信任。单一的全局编录（GlobalCatalog，GC）全局编录包含来自活动目录森林中每个域的每个对象的一种副本，但只包含每个对象的部分制订的属性。全局编录能使您在整个活动目录森林内进行快速、高效的搜索。全局编录使活动目录森林中的目录构造对最后顾客透明。将全局编录用作搜索范畴使得在目录中查找对象更加简朴。采用全局编录和顾客重要名称使得登录更加简朴。全厂使用同一种活动目录森林。在单一森林的架构中，顾客看到的是统一的全局编录。由于全部的域都通过双向、可传递的信任关系来连接，当新的域添加到森林中时，就不需要建立额外的信任关系。并且不管域的数目有多少，配备信息只需要变化一次就能自动复制到其它的域中。由于活动目录森林含有共享元素（例如架构），因此活动目录森林中的全部参加者必须同意这些共享元素的内容和管理。若各参加单位不能在活动目录森林的管理上进行合作，就必须建立一种以上的活动目录森林，这涉及：不互相信任管理员参加单位的各管理运互相之间缺少信任，使用同一种活动目录森林将造成管理和安全问题。不同意活动目录森林的更改方略架构更改、配备更改和向活动目录森林添加域都会影响到整个活动目录森林。活动目录森林中的每个单位都必须同意实现这些更改的过程，同意架构管理员和公司管理员组的组员身份。如果单位不同意一种公共方略，它们就不能共享相似的活动目录森林。但愿限制信任关系范畴活动目录森林中的每个域都信任该活动目录森林中的全部其它域。能够将活动目录森林中的每个顾客涉及进某个构组员关系中，或使其出现在活动目录森林中任何计算机的访问控制列表上。如果但愿避免将特定资源的访问权限授予特定顾客，则必须让这些顾客驻留在与资源不同的活动目录森林中。域设计阐明在Window活动目录森林中，共享目录数据库的一组计算机构成了活动目录的域。活动目录域含有唯一的名称，并集中管理顾客帐户和组。作为Windows网络的安全范畴，活动目录域含有自己的安全方略，并与其它与建立安全联系。活动由一种或者多个域构成，每个域都可跨越多个物理位置。Windows的域形成的持续名字空间叫做域树。创立第一种域控制器时就创立了域树，即使只有一种域。对DNS而言，域是DNS名字空间中的任何一种分支。即使DNS的域普通都与活动目录的域相对应，但这两个域是不同的概念。Windows的域控制器（DC）对本域负责认证顾客登录、维护安全方略和本域中的安全账户数据库。DC还管理管理顾客对网络的访问，如登录、认证、对共享目录和资源的访问等。根据XXX的实际状况，根域名DD.COM将为厂区所使用；各分支机构将作为子域加入活动目录森林中。组织单位（OU）设计设计要点结合XXX的公司网络环境，可觉得厂内不同的部门建立单独的OU；在各部门OU内，再按照小组划分子OU。还可为公司高层领导建立一种单独的OU。各分支机构使用委派的权限管理自己OU内的顾客账户和计算机资源。OU设计图以下所示。OU设计阐明OU是用来在域中创立构造的容器。在域中创立构造时，需要考虑以下的OU特性。OU能够嵌套。一种OU能够包含子OU，使得能够在域中创立一种分层的目录树构造。OU能够用来委派管理和控制对目录对象的访问。当综合使用OU嵌套和访问控制列表时，能够用一种非常细化的方式委派目录中对象的管理。例如，能够赋予协助中心技术人员权限，为一组指定的顾客重新设立密码，但无权创立顾客或修改顾客对象的任何其它属性。OU不是安全主管。不能使OU成为安全组的组员，也不能由于顾客驻留在特定的OU中而授予他们访问资源的权限。由于OU用于管理的委派，因此顾客对象的父OU指出谁管理顾客对象，但是它并不指出顾客能够访问的资源。组方略能够与一种OU有关联。组方略能够定义顾客和计算机的桌面配备。能够将组方略与站点、域和OU有关联。在OU基础上定义组方略使您能够在同一域中使用不同方略。顾客不会在OU构造中浏览。没有必要设计一种吸引最后顾客的OU构造。尽管顾客有可能浏览一种域的OU构造，但对于顾客查找资源来说，这并不是一种最有效的办法。在目录中查找资源的最有效的办法是查询全局编录。普通应当按照管理规定来设计OU。如按照组织机构将整个域划分为层次构造。但需要注意，若OU的层次过多，将会延长顾客登录时间。管理委派阐明在Windows中，管理委派功效更强并更具灵活性。管理能够任意委派，其办法是通过授予一组顾客创立特定类别的对象、或修改特定类别的对象的特定属性的能力来实现。Windows公司环境中委派管理员任务是实用和必需的。普通权限不仅委派给IT构组员，还要委派给人力资源人员和不同的经理，由于有些任务与其职责有关。例如，能够授权人力资源部门在特定的OU中创立顾客对象，而不在其它地方。能够授权协助中心技术人员重新设立该OU中的顾客的密码，但不能创立顾客。能够授权其它的目录管理员修改顾客对象的通讯簿属性，但不允许创立顾客或重新设立密码。在公司中委派特定的权限能够将必须有高级访问权限的顾客的数量降到最少。权限受到限制的管理员所发生的事故或错误所产生的影响只限于他们负责的范畴。通过管理委派，能够将管理责任分散到各部门中的各个组，以节省将请求发送到高级管理组的开销。委派管理通过授予一种组对OU的特定权限来做到。使用下列环节配备OU的授权管理：为各部门创立一种OU。指派对应组的权限，然该组能够完全控制它的OU。如果允许该分支机构设立它的组员身份，将该分支机构的管理员组放置到OU中。如果不允许该分支机构设立它自己的管理员组员身份，将该组放置在OU之外。DC、GC和DNS服务器设计设计要点在活动目录根域DD.COM中放置两台根域控制器（DC），同时将每台域控制器都配备为根域DNS服务器和GC服务器。如果随着公司信息化发展，将来能够在各分支机构中，放置两台子域控制器，同时将每台子域控制器都配备为子域DNS服务器和GC服务器。DNS服务器域名配备表：DNS服务器位置所包含的域名根域DNS服务器DD.com_msdcs.DD.com其它子域DNS服务器各子域自己的域名_msdcs.DD.com放置DC服务器站点拓扑中服务器的位置对活动目录的可用性有直接的影响。在站点规划过程决定了哪些站点中的每个域都有域控制器，但是并不能决定每个站点中的每个域放置的域控制器的数量。为一种特定域创立的域控制器的数量取决于两个因素：容错规定和负载分布规定。对于每个域，使用下列指导方针决定与否需要更多的域控制器：总是最少创立两个域控制器即使是顾客数量较少的小型域，最少也要创立两个域控制器，这样域就没有单个故障点。对于包含单个域控制器的每个站点，决定与否信任WAN的故障转移如果单个域控制器出现故障，能够由位于其它站点中那个域的域控制器服务站点中的客户。如果网络连接不太可靠或间歇可用，可能不能信任网络解决故障转移。在这种状况下，在站点中为该域放置第二个域控制器。在站点中为域放置更多的域控制器以解决客户工作量一种特定的服务器能够解决的客户的数量取决于工作量和服务器的硬件配备。客户从站点中的可用域控制器中随机选择以均匀地分派客户负载。放置GC服务器全局编录服务器的有效性对于目录的运行是很核心的。例如，当为本机模式（NativeMode）域解决顾客登录请求时或当顾客使用顾客重要名称登录时，必须有一种全局编录服务器可用。当为本机模式域中的顾客解决登录请求时，域控制器给全局编录服务器发送一种查询到以判断顾客的通用构组员身份。由于能够明确回绝组对资源的访问，所觉得对的执行访问控制，必须完全懂得顾客的构组员身份。如果当顾客要登录时，本机模式域的域控制器不能联系到全局编录服务器，则域控制器回绝登录请求。普通，最少在每个站点中指定一种域控制器作为全局编录服务器。使用与单独的域控制器的相似故障转移和负载分派规则决定与否需要在每个站点中增加全局编录服务器。在单域环境中，不规定全局编录服务器解决顾客登录请求。但是，仍然应当使用所建议的环节指定全局编录服务器。客户在搜索操作时仍然寻找全局编录服务器。同时，将全局编录服务器准备就绪使得在后来添加更多的域时，系统更容易适应。放置DNS服务器DNS服务的可用性直接影响活动目录的可用性。客户依赖DNS来查找域控制器，而域控制器依赖DNS来查找其它的域控制器。即使现在已在网络中布署了DNS服务器，可能需要调节服务器的数量和位置以满足活动目录客户和域控制器的规定。普通，最少在每个站点中放置一种DNS服务器。站点中的DNS服务器应当负责站点中域的定位器统计，这样客户不需要离站查询的DNS服务器即可拟定站点中的域控制器的位置。域控制器也将定时验证主服务器上的每个定位器统计项目与否对的。一种满足全部规定的简朴配备是使用集成活动目录的DNS将域的定位器统计保存在域中，并为那些域控制器出现的每个站点在一种或多个域控制器上运行WindowsDNS服务。分发活动目录森林内定位器统计活动目录森林中的每个域控制器注册两组定位器统计：一组特定域统计，以<DNS-domain-name>结束；一组活动目录森林内统计，以_msdcs.<DNS-forest-name>结束。活动目录森林内统计引发来自活动目录森林的全部客户和域控制器的注意。例如，全局编录定位器统计和复制系统用来拟定复制伙伴位置的统计都包含在活动目录森林内统计中。对于要互相复制的任何两个域控制器，涉及相似域的两个域控制器，必须能够查寻活动目录森林内定位器统计。为了使一种新创立的域控制器参加复制，它必须能够在DNS中注册它的活动目录森林内统计，而其它的域控制器必须能够查寻这些统计。由于这个因素，使活动目录森林内定位器统计对于每个站点的每个DNS服务器可用是很重要的。要做到这一点，创立一种称为_msdcs.<DNS-forest-name>的单独区域，并将该区域复制到每个DNS服务器。如果使用简朴的集成活动目录的配备，能够将活动目录森林根域中的这个区域的主副本放置在<DNS-forest-name>区域。然后能够使用原则DNS复制将该区域复制到域以外的DNS服务器。普通，仅将该区域复制到每个站点的一种DNS服务器是不够的。如果一种DNS服务器没有_msdcs.<DNS-forest-name>区域的本地副本，它必须使用DNS递归以查寻该区域中的一种名称。对于执行递归的DNS服务器，它联系负责名称空间的根的DNS服务器（DNS根服务器）并继续DNS中的委派，直到它找到出所需统计。如果站点中没有DNS根服务器，并且该站点和其它站点之间的链接已断开，DNS服务器不能执行递归。因此，找不到负责_msdcs.<DNS-forest-name>的DNS服务器，即使这些DNS服务器在相似的站点。DNS客户配备客户和域控制器应当使用最少两个DNS服务器IP地址配备：一种首选本地服务器和一种备用服务器。备用服务器能够在本地站点，或者如果信任网络解决故障转移，也能够是远程的备用服务器。DHCP和WINS服务器设计设计要点除活动目录森林的根域DD.COM外，在各分支机构对应子域XX.DD.COM的每个站点中，各配备一台DHCP服务器和一台WINS服务器。子域内部，各站点之间的WINS服务器互为复制伙伴。使用DHCP服务器为客户机自动分派IP地址，涉及DNS服务器、WINS服务器和缺省网关等。使用WINS服务器为Windows以前的操作系统提供名称解析，涉及Windows98和WindowsNT4等操作系统。DHCP服务器设计阐明TCP/IP网络上的每一计算机都需要唯一的名称和IP地址。Windows动态主机控制合同(DHCP)提供一种简化和自动完毕此过程的方式，向网络上的客户提供IP地址的动态分派，以减少管理工作量。DHCP实现网络内IP地址的可靠分派，避免IP冲突，并方便移动客户端获取IP地址。与DNS服务器的互操作性给网络资源提供了名称解析，允许DHCP服务器和DHCP客户向DNS注册。在Windows中，DHCP服务器和客户能够向DNS服务器动态更新合同注册。DHCP和DNS的集成启动A类型（名称到地址）和指针（PTR，或地址到名称统计）的注册。这允许DHCP服务器作为一种代理，代表Windows98和WindowsNT4客户端在活动目录内动态更新注册。由于静态DNS服务器无法与DHCP动态交互，当DHCP客户配备发生变化时也无法保持名称与地址映射信息的同时。在这种环境中最佳将全部静态DNS服务器升级到Windows的DNS。Windows的DHCP服务器的管理功效能够防止未经授权的分派和检测现存未经授权的DHCP服务器。过去任何人都能够在网络上创立DHCP服务器，而现在则需要一种授权的环节。通过授权的人员普通是Windows操作平台所属域的管理员或者是那些被委派管理DHCP服务器任务的人员。DHCP服务器响应BOOTP请求和DHCP请求。BOOTP是一种已建立的TCP/IP原则，用于DHCP之前的主机配备。设计BOOTP的最初目的是用来为无盘工作站启用启动配备。有了对动态BOOTP的支持，就可觉得BOOTP客户指派一种地址池，其指派方式与作用域用于DHCP客户的方式相似。这将允许动态管理分派给BOOTP客户的IP地址。还允许DHCP服务收回用于动态BOOTP地址池中的IP地址，但首先应核算特定的租期已到期，且BOOTP客户仍在使用每一种地址。当设计和升级网络时，能够通过使用集中或分布式的办法实现DHCP。在集中式环境中，IP地址被集中分派到DHCP服务器，一种DHCP服务器负责分派有关子网或站点内的地址。在分布式环境中，一种DHCP服务器能够负责所在站点或其它本地或远程的任何涉及在给定的公司构造中的站点。WINS服务器设计阐明在Windows活动目录环境中，如果顾客只使用Windows以上的服务器和客户的话，则在TCP/IP上不必配备WINS和NetBIOS。如果顾客使用如WindowsNT4或Windows98等系统的话，则仍然需要WINS，由于这些操作系统使用NetBIOS名称解析和NetBIOS会话来创立文献和打印共享连接。网络资源在NetBIOS名称空间中由唯一NetBIOS名称标记。WINS服务（WindowsInternetNamingService）是一种把NetBIOS(网络基本输入/输出系统)名称映射到IP地址的服务。在比Windows更早的Windows版本中，WINS用来与DHCP一起注册NetBIOS名称，并和WINS数据库一起注册动态分派的IP地址。当DHCP客户端动态获取IP地址时，DHCP服务器把WINS服务器地址作为DHCP选项分派给DHCP客户端。在DCHP客户租用分派过程结束后来，NetBIOS名称和与它关联的IP地址都由DHCP客户在WINS数据库中注册了。Windows提供DNS和WINS之间的集成。如果某台Windows3的DNS服务器不能解析一种域名全称(FQDN)，则它把这个FQDN变换成NetBIOS名称并查询一台已经配备好的WINS服务器。WINS服务器返回的IP地址被转发给DNS客户。如果需要NetBIOS名称解析，则域中的每个站点都需要拥有最少一种WINS服务器。能够把这个WINS服务器安装在与DNS服务器相似的系统上，或者独立安装。同时还需要在网络中的其它位置安装一种备份WINS服务器。能够把这个备份WINS服务器安装在与Windows域控制器相似的系统上，或者独立安装。Windows以上的WINS客户机本地缓存解析的名称并使用名为CachingResolver的组件在将查询提交到DNS之前搜索缓存。客户机开