Microsoft Active Directory

http://www.microsoft.com/taiwan/technet/itsolutions/ecommerce/deploy/d5actdir.aspx?mfr=true

Active Directory 的概觀

Active Directory 與提供有關人員和組織等電話資訊的電話目錄服務一樣，是一個目錄服務，可以儲存所有網路資源 (電腦、印表機、使用者、共用資料夾、訊息佇列等) 的相關資訊，而且很容易存取。
Active Directory 在網路環境當中，相當於主要的切換器。它可以幫助使用者和應用程式尋找和存取那些網路資源，並且彼此連接。更重要的是，它只讓經過授權的使用者或應用程式安全的存取這些資源。

如果電腦上有安裝提供這類目錄服務的 Active Directory 元件，這部電腦就稱為網域控制站

Active Directory 是一種目錄服務，負責存放網域物件名稱要求，並將它們解析為物件記錄資料 (例如，回覆電腦網路組態的要求)。Active Directory 用戶端在尋找 Active Directory 伺服器時，會先查詢其指定的 DNS 伺服器，找出 Active Directory 伺服器的 IP 位址。如果沒有 DNS，Active Directory 便無法運作，這是設計的一部份。其實，如果網路上找不到 DNS 伺服器的話，那麼在安裝過程當中設定 Active Directory 網域控制站時，通常也會一起設定 DNS 伺服器

Active Directory學習(維基百科)

維基百科  Active Directory 目錄服務
https://zh.wikipedia.org/wiki/Active_Directory

它處理在組織中的網路物件，物件可以是使用者，群組，電腦，網域控制站，信件，設定檔，組織單元，樹系等等，只要是在Active Directory結構定義檔（schema）中定義的物件，就可以儲存在Active Directory資料檔中，並利用Active Directory Service Interface來存取，實際上，許多Active Directory的管理工具都是利用這個介面來呼叫並使用Active Directory的資料。

Active Directory的最小儲存單元為物件（object），每個物件均有自己的schema屬性，可以儲存不同的資料，像是使用者、群組、電腦、信箱或其他的基本物件等。
一個AD網域底下的基本物件，有：

• Domain Controllers，儲存網域所屬的網域控制站（簡稱裝置內容、域控）。
• Computers，儲存加入網域的電腦物件。
• Builtin，儲存內建的帳戶群組。
• Users，儲存AD中的使用者物件。

若公司需要以不同的組織結構來管理公司的帳戶，則可以在AD中建立一個或多個組織單元（Organization Unit，簡稱OU），組織單元是一個具有收納能力的Active Directory物件（其在ADSI中是IADsContainer介面），可以在OU之中存放AD的物件，包括使用者，群組，電腦等，讓組織結構在AD中可以被真實的反映出來，而且也方便AD中的另一個功能——群組原則（Group Policy）的套用與集中管理。

樹系與多網域

若組織的網路環境相當龐大與複雜時，網域可能會有許多個，在AD之中，網域可以有一個或多個，而一個大型公司可能會利用分公司或是辦公室的方式來組織網域物件，如此一來，在AD中會有數個網域

例如一間公司可能有業務部門，工程部門與管理部門，那麼若要以部門來建立網域時，則可以如此建立（如右圖）：

• acme.com.tw：根網域。
• sales.acme.com.tw：業務部門。
• engineering.acme.com.tw：工程部門。
• admin.acme.com.tw：管理部門。

如此便可在AD中反映出組織的結構，同樣的，網域內還是可以再建立不同的網域，例如在工程部門中若需要分為軟體部門與硬體部門時，還可以在工程部門的網域中建立：

• software.engineering.acme.com.tw：軟體部門的網域。
• hardware.engineering.acme.com.tw：硬體部門的網域。

而在工程部門網域中的群組原則設定，會自動的繼承至軟體部門和硬體部門的設定，而在軟體部門的組態，則不會影響到硬體部門（可經過設定來套用）。

森林Forest

在多個網域的環境下，可能在不同的網域之間會需要交換與共享資料，像是組態設定、使用者帳戶與群組原則設定等，在這個時候需要有一個角色來做為不同網域間的資訊交換角色，同時又必須要符合AD樹狀結構的規範，因此微軟在多網域之間建立了一個中介用的角色，稱為森林（Forest），一個組織中最多只能有一個Forest，在Forest下則是各自的網域樹系，而在Forest下的網域或網域樹系間，可以共享資訊。

實體結構  ( Global Catalog、Operation Masters、Site、DNS 、實體儲存、唯讀網域控制站 )

導讀：在以往的Windows NT網域環境中，網域的實體結構分為三種角色，即主要網域控制站（Primary Domain Controller, P裝置內容）、備份網域控制站（Backup Domain Controller, B裝置內容）以及成員伺服器（Member Server）三種，網域的資料都儲存在P裝置內容和B裝置內容中，並且在P裝置內容和B裝置內容間交換資料，但P裝置內容和B裝置內容的部署方式並不方便（一個網域只能有一個P裝置內容），在不同的地理環境中也不能設置P裝置內容，而且所有網域的查詢都會被導向P裝置內容，如此很容易造成網域登入和存取的塞車情況，這個問題在Active Directory中已獲得改善，即不再有B裝置內容（只有裝置內容和Member Server兩種角色），在網域中的任何一台網域控制站都可以負責處理來自用戶端的網域查詢，如此在分散部署上會具有相當的彈性。

Global Catalog （全域目錄，簡稱GC）

在AD的實體結構中，最重要的角色非Global Catalog^[1]（全域目錄，簡稱GC）莫屬，它儲存了最完整的Active Directory的結構資料，也是以目錄為主（directory-enabled）的應用程式對AD的查詢的主要標的，而通常在不同的地理位置（例如在中國大陸、台灣、美國和英國各有分公司，且各有網域）時，GC扮演了重要的快取結構角色，若台灣的員工出差到英國分公司，並試圖登入網域時，Windows會先搜尋最近的Global Catalog Server（由DNS設定提供），若找不到時，才會連結到其他地區的GC，但若分公司的網路很慢時，這種跨地理位置的AD資料存取會直接影響到登入的時間，因此謹慎的GC的布署對AD的推行是很重要的。

Operation Masters（Operation Masters，又稱為Flexible Single Master Operation，即FSMO）營運主機