Windows Server 网络操作系统项目化教程 课件 单元2 域服务的配置与管理

单元2域服务的配置与管理Computernetworktechnology《WindowsServer管理》课程目录1.域服务概述2.子域控制器3.辅助域控制器4.只读域控制器1.域服务概述Computernetworktechnology域的定义《WindowsServer管理》课程主域（PrimaryDomain）是指在WindowsServer网络环境中，承担主要身份验证和授权任务的域。主域负责存储用户账户、组、计算机账户等安全主体信息，以及相关的安全策略设置。通过主域，管理员可以集中管理网络中的用户和资源，提高管理效率和安全性。域的信任关系《WindowsServer管理》课程域之间需要互相访问的前提是域之间必须拥有信任关系。新的域加入到域树后，这个域都会信任其上一层的父域，同时父域也会信任子域，这些信任关系是双向传递的。例如，域A信任域B，域B又信任域C，那么域A则自动信任域C。当一个域加入到域树后，都会自动建立双向信任关系，只要有用权限，新域就可以访问域树内其他域的资源。域A域B域C信任信任信任自动建立双向信任关系活动目录《WindowsServer管理》课程在Windows系统平台下，通过活动目录（ActiveDirectory，简称AD）组件来实现目录服务。它将网络中的各种资源组合起来，进行集中管理，方便网络资源的检索，使企业可以轻松地管理复杂的网络环境。目录服务《WindowsServer管理》课程用来存储了网络中各种对象(如用户账户、组、计算机、打印机和共享资源等)的有关信息按照层次结构方式进行信息的组织方便用户的查找和使用ActiveDirectory(活动目录)是WindowsServer域环境中提供目录服务的组件工作组和域《WindowsServer管理》课程工作组网络“对等式”网络资源以及管理是分散在每台计算机之上特点就是分散管理每台计算机都有自己的“本机安全账户数据库”，称为SAM数据库SAM数据库默认就存储在%Systemroot%\system32\config文件夹中工作组网络WindowsLinuxMAC工作组和域《WindowsServer管理》课程域所有的计算机共享一个集中式的目录数据库(又称为活动目录数据库)活动目录负责目录数据库的添加、修改、更新和删除域环境，其实就是要安装活动目录域工作网络windowswindowswindowsDC活动目录的特性《WindowsServer管理》课程1.服务的集成性活动目录的集成性包括内容更丰富采用Internet标准协议，用户账户可以使用“用户名@域名”来表示与Internet的域名空间结构一致2.信息的安全性多种网络安全协议在活动目录数据库中存储了域安全策略的相关信息每个对象都有一个独有的安全性描述，主要是定义了浏览或更新对象属性所需要的访问权限活动目录的特性《WindowsServer管理》课程3.管理的简易性以层次结构组织域中的资源提供了对网络资源管理的单点登录活动目录允许在线备份网络系统环境的管理工作变得更加容易、方便4.应用的灵活性活动目录具有较强的、自动的可扩展性。系统管理员可以将新的对象添加到应用框架中，并且将新的属性添加到现有对象上。活动目录中可实现一个域或多个域，每个域中有一个或多个域控制器，多个域可合并为域树，多个域树又可合并成为域林。可以应用到局域网计算机系统环境中，还可以应用于跨地区的广域网系统环境中活动目录的逻辑结构《WindowsServer管理》课程域、域树、域林和组织单位(1)域核心逻辑单元共享同一活动目录的一组计算机集合从安全管理角度讲，域是安全的边界(2)域树一组具有连续命名空间的域组成的域通过自动建立的信任关系连接起来。(3)域林由一棵或多棵域树组成的每棵域树独享连续的命名空间不同域树之间没有命名空间的连续性域林中第一个创建的域称为域林根域(4)组织单位组织、管理一个域内对象的容器包容用户账户、用户组、计算机、打印机和其他的组织单位层次结构活动目录的逻辑结构示例《WindowsServer管理》课程活动目录的物理结构《WindowsServer管理》课程域是逻辑组织形式，部署各种角色计算机来组织，由域控制器和站点组成。1.域控制器安装、运行活动目录的WindowsServer服务器一个域中可以有一个或多个域控制器活动目录数据库自动更新2.

站点站点代表网络的物理结构，而域代表组织的逻辑结构一个或多个IP子网地址的计算机集合用来描述域环境网络的物理结构或拓扑3.成员服务器实现一定功能或提供某项服务的服务器如通常使用的文件服务器、FTP应用服务器、数据库服务器或者Web服务器不执行用户身份验证并且不存储安全策略信息2.子域控制器Computernetworktechnology主域在网络中的地位《WindowsServer管理》课程其他子域或成员服务器需要加入到主域中，才能接受主域的管理和策略应用。主域的安全性和稳定性对整个网络环境的正常运行至关重要。主域是网络环境中的核心组件，承载着关键的身份验证和授权任务。子域的定义《WindowsServer管理》课程在WindowsServer中，子域是主域的一个子集，它继承了主域的部分或全部功能和策略设置，但具有自己的独立管理权限和安全性设置。子域定义子域与主域之间存在一种层次关系，主域通常位于林根级别，而子域则位于主域之下。子域可以继承主域的许多设置，但也可以有自己的独特设置，这使得管理员可以更加灵活地管理网络环境。与主域关系子域的功能和作用《WindowsServer管理》课程在网络拓扑中，子域通常位于主域的下一级，它们与主域以及其他子域通过信任关系相互连接。子域可以有自己的域控制器、用户账户和组策略设置，这使得它们可以在网络环境中独立运行。功能子域的主要功能包括提供独立的身份验证和授权机制、实现细粒度的访问控制以及支持分布式管理等。此外，子域还可以用于隔离不同部门或业务单元的网络资源，提高网络安全性。作用通过使用子域，管理员可以更好地组织和管理网络环境，提高网络的可扩展性和可维护性。同时，子域还可以帮助降低网络管理的复杂性，提高网络的整体性能和稳定性。3.辅助域控制器Computernetworktechnology辅助域控制器《WindowsServer管理》课程辅助域控制器则作为主域控制器的备份存在，它可以提供冗余和故障恢复能力。如果主域控制器出现故障或无法访问，辅助域控制器可以接管其角色，继续提供服务。辅助域控制器也存储活动目录数据库的副本，以确保数据的可用性和一致性。相同的域名：4.只读域控制器Computernetworktechnology只读域控制器《WindowsServer管理》课程RODC：(readonlyDC）是windowsserver2022支持的一种域控制器类型。RODC承载ADDS数据库的只读分区。借助RODC,组织可以在无法保证物理安全性的位置中轻松部署域控制器，RODC将为用户提供本地域控制器，从而确保即使在连接总部的广域网链路不可用的情况下，仍然可登录应用组策略。作用：设计RODC主要是为了在分支机构环境中部署。分支机构通常用户相对较少，物理安全性差，连接站点的网络带宽也相对较低，并且缺乏本地IT知识。RODC单向复制只读域控制器的逻辑架构《WindowsServer管理》课程只读域控制器（RODC）是域控制器的一种特殊类型，它提供了只读访问域中的ActiveDirectory数据库的能力。RODC的逻辑架构包括一个可写入的域控制器（RWDC）和一个或多个只读的域控制器（RODC）。RWDC负责处理所有的写操作，而RODC则提供对ActiveDirectory数据库的只读访问。RODC通过复制操作从RWDC获取数据，并将其缓存在本地，以便快速提供身份验证和授权服务。但是，RODC不能直接将更改写回到ActiveDirectory数据库。只读域控制器的物理架构《WindowsServer管理》课程RODC通常部署在分支机构或远程办公室等位置，这些位置与主站点之间的网络连接可能不太稳定或带宽有限。物理架构上，RODC可以是一台独立的服务器，也可以是一台虚拟机。它必须具有足够的硬件资源来运行WindowsServer操作系统和ActiveDirectory服务。为了提高可用性和容错能力，可以在多个位置部署多个RODC，并将它们配置为相互复制数据。RODC功能《WindowsServer管理》课程RODC提供如下功能：单向复制：减少了恶意用户在分支位置所做的更改影响主域，同时减少分支负载。凭据缓存：默认RODC不存储用户或计算机凭据，如果启用可缩短用户登录。管理角色分离：将RODC本地管理员权限委派给用户，可对RODC进行维护。只读DNS：在确保安全情形下，提高分支机构的域名解析效率。RODC筛选的属性集：可以为特殊应用程序配置一组不会复制到RODC的属性。安装RODC之前的必需步骤《WindowsServer管理》课程安装RODC之前的必需步骤：确保域和林