Active Directory（AD）是由微软开发的目录服务，用于Windows域网络。它最初在Windows 2000 Server中引入，现在是Windows Server操作系统的核心功能之一。Active Directory用于管理和组织网络中的用户、计算机和其他资源，提供身份验证、授权和目录服务。本文将详细介绍Active Directory的概念、架构、功能、组件、安装和配置过程，以及其在企业中的应用。
Active Directory的概念和架构
Active Directory的基本概念
Active Directory是一个目录服务，它存储有关网络中的对象（如用户、计算机、组、打印机等）的信息，并使这些信息对用户和管理员可用。AD通过集中管理来简化网络资源的管理和访问。
Active Directory的架构
Active Directory的架构基于以下几个关键概念：
1. 域（Domain）
域是Active Directory的基本单位，是一个逻辑组，包含一组共享共同的目录数据库的对象。域提供了一种安全边界，用于管理用户和计算机，并通过域控制器（Domain Controller，DC）存储和复制目录信息。
2. 组织单位（Organizational Unit, OU）
组织单位是域内的一个容器，用于组织和管理对象。OU可以嵌套，以创建层次结构。管理员可以使用OU来代表公司的结构，并通过委派权限来分配管理任务。
3. 树（Tree）和森林（Forest）
树是一组共享一个命名空间的域。树中的第一个域是根域（Root Domain），其余的域是子域（Child Domain）。树中的域通过双向的、可传递的信任关系连接在一起。
森林是一组共享共同架构（schema）、配置（configuration）和全局编录（Global Catalog）的树。森林中的每棵树可以有不同的命名空间，但它们通过信任关系连接在一起。
4. 全局编录（Global Catalog）
全局编录是一个包含整个AD森林中所有对象的部分属性的特殊目录，它使得用户和应用程序可以快速找到对象信息。全局编录服务器存储在每个域中的部分对象属性，并通过复制保持一致性。
Active Directory的功能
Active Directory提供了以下关键功能：
1. 身份验证和授权
AD通过Kerberos协议和NTLM（NT LAN Manager）协议提供安全的身份验证。用户在登录网络时，AD验证其身份，并授予访问网络资源的权限。
2. 目录服务
AD存储和管理网络中的所有对象信息，并使这些信息对用户和应用程序可用。目录服务使得用户可以轻松地查找和访问网络资源。
3. 集中管理
AD通过域和OU实现了对用户、计算机和其他资源的集中管理。管理员可以使用组策略（Group Policy）来配置和管理大量计算机和用户设置。
4. 复制和容错
AD使用多主复制模型，域控制器之间自动复制目录数据，确保一致性和容错性。如果一个域控制器故障，其他域控制器可以继续提供服务。
5. 信任关系
AD支持不同域和森林之间的信任关系，允许用户跨域和跨森林访问资源。信任关系可以是单向的或双向的，并且可以是显式的或可传递的。
Active Directory的组件
1. 域控制器（Domain Controller, DC）
域控制器是运行Active Directory的服务器，负责存储目录数据和处理身份验证请求。每个域必须至少有一个域控制器，但为了提高可靠性和性能，通常会部署多个域控制器。
2. 全局编录服务器（Global Catalog Server, GC）
全局编录服务器存储AD森林中所有域的部分对象属性，并用于跨域查询。每个域控制器可以被配置为全局编录服务器，以提高查询性能和可靠性。
3. 组策略（Group Policy）
组策略是一种集中管理工具，允许管理员配置和管理用户和计算机的设置。组策略对象（GPO）可以链接到域、OU或站点，并通过组策略管理控制台（GPMC）进行管理。
4. Active Directory证书服务（AD CS）
AD CS提供公钥基础设施（PKI）服务，用于颁发和管理数字证书。它可以用于身份验证、加密和数字签名，增强网络安全性。
5. Active Directory联合身份验证服务（AD FS）
AD FS提供单点登录（SSO）功能，允许用户在不同的组织和应用程序之间无缝访问。它使用基于声明的身份验证模型，支持与其他身份提供者的集成。
6. Active Directory轻量目录服务（AD LDS）
AD LDS是Active Directory的一个轻量级版本，不依赖于域和域控制器。它适用于需要目录服务但不需要完整AD功能的应用场景，如应用程序配置存储。
Active Directory的安装和配置
1. 安装Active Directory
在Windows Server上安装Active Directory包括以下几个步骤：
1.1 准备工作
确保服务器满足AD的硬件和软件要求，安装Windows Server操作系统，并进行基本配置（如网络设置和服务器名称）。
1.2 安装AD DS角色
在服务器管理器中，添加角色和功能，选择“Active Directory域服务（AD DS）”角色，并完成安装向导。
1.3 提升为域控制器
安装AD DS角色后，通过“AD DS配置向导”将服务器提升为域控制器。配置向导包括以下步骤：
- 选择部署操作：新建域、加入现有域或新建域树/森林。
- 指定域信息：设置域名和NetBIOS名称。
- 配置DNS：AD DS通常需要DNS服务，配置向导会自动安装和配置DNS。
- 设置目录服务恢复模式（DSRM）密码：DSRM密码用于AD DS的维护和恢复。
完成配置向导后，服务器将自动重启并成为域控制器。
2. 配置Active Directory
2.1 创建用户和组
使用Active Directory用户和计算机（ADUC）工具创建用户和组。用户和组是AD的基本对象，用于管理权限和访问控制。
2.2 创建和管理OU
在ADUC中创建组织单位（OU），用于组织和管理对象。OU可以反映公司的组织结构，并通过委派权限来分配管理任务。
2.3 配置组策略
使用组策略管理控制台（GPMC）创建和配置组策略对象（GPO）。GPO可以链接到域、OU或站点，控制计算机和用户的配置和行为。
2.4 配置全局编录
在AD站点和服务（AD Sites and Services）工具中配置全局编录服务器。将域控制器配置为全局编录服务器，以提高查询性能和可靠性。
Active Directory的应用
1. 用户和身份管理
Active Directory提供集中管理用户身份的能力，支持用户账户的创建、修改和删除。通过组策略和安全组，管理员可以控制用户的访问权限，确保网络安全。
2. 资源和权限管理
AD支持集中管理网络资源，如文件夹、打印机和应用程序。管理员可以使用访问控制列表（ACL）和组策略，控制用户对资源的访问权限。
3. 网络安全
Active Directory通过身份验证、授权和目录服务，提供了强大的网络安全功能。它支持多因素身份验证（MFA）和条件访问策略，增强了网络的安全性。
4. 应用程序集成
许多企业应用程序，如Microsoft Exchange Server和SharePoint，依赖Active Directory进行身份验证和目录服务。AD的集成能力使得这些应用程序能够无缝工作。
5. 单点登录（SSO）
通过Active Directory联合身份验证服务（AD FS），企业可以实现单点登录（SSO），允许用户在不同的应用程序和服务之间无缝访问，提升用户体验。
6. 证书和加密
Active Directory证书服务（AD CS）提供了公钥基础设施（PKI），支持数字证书的颁发和管理。AD CS增强了身份验证和数据传输的安全性。
7. 数据中心和云集成
Active Directory可以与微软Azure Active Directory集成，提供混合身份解决方案。企业可以在本地和云端统一管理用户和资源，简化管理流程。
