集权设施管理-AD域安全策略（一）

活动目录（AD）凭借其独特管理优势，从众多企业管理服务中脱颖而出，成为内网管理中的佼佼者。采用活动目录来管理的内网，称为AD域。

了解AD域，有助于企业员工更好地与其它部门协作，同时提高安全意识。中安网星由此推出AD域安全科普系列，为大家讲解AD域的安全管理。

AD域将企业内网中的所有资源对象集中到域控上，存储在AD数据库中，采用DNS规则命名，方便管理的同时提高安全性。

这一篇文章中，我们先给大家介绍下AD域服务的应用环境——域，在了解清楚域的形成和结构之后，才能对AD域服务的功能有更深入的理解。

域的形成

在企业办公场景中，经常需要部门间互相共享资源，如果每与其它计算机通信一次，都要经过一次身份验证，会大大影响部门间的协调性，影响办公效率。

如果我们简单地关闭身份验证服务，将会导致计算机面临严重的安全风险，这种方法得不偿失。最好是与企业内部计算机通信时能够免去身份验证，而与外部计算机通信时依然保留身份验证服务。

这就需要在内部员工计算机间构建信任关系，建立了信任关系的计算机连起来就形成域。域外计算机与域内计算机通信需要进行身份验证，不同域的域计算机通信前需建立信任关系。当以域为单位建立信任关系时，可以在两域中的所有计算机间进行免验证通信。

而企业员工只需注册成域用户，在任一台域计算机上登录，就能与其它域用户通信。

这其实与单点登录的功能类似。单点登录中，用户只需进行一次身份验证，就能访问所有服务器。在域中，域用户只需要在登录时进行一次身份验证，就能与其它域用户进行免验证通信。

这个对用户进行身份验证的服务器就是域控制器（DC），简称域控。

域控

域控是集中存储域内所有资源对象及其属性的服务器。如果把域内资源对象看作团队成员，域控就相当于团队的领导者，所有人都要听它安排，所有事情都要给它汇报，包括对象信息变动、权限划分、资源分配等。

比如，企业中有新员工入职时，就要在域控上给他注册一个账号。该账号作为他进行域内活动的唯一凭证，关联他的所有信息，包括工作岗位、电话号码、对域内资源的使用权限