51、活动目录信任、组织单位与站点管理全解析

活动目录信任、组织单位与站点管理全解析

1. SID 过滤潜在问题及解决办法

SID 过滤存在一些潜在问题。若用户的 SID 包含来自不受信任域的信息，可能会被拒绝访问信任域中的资源，使用通用组时此问题尤为突出。因此，需确保通用组仅包含受信任域的用户。
若受影响域的所有管理员之间存在高度信任，有严格要求验证所有通用组成员身份，且迁移用户的 SID 历史记录得以保留，则可禁用 SID 过滤。禁用步骤如下：
使用 netdom 命令禁用 SID 过滤。

2. 组织单位（OU）相关操作

2.1 OU 层级结构

在域内创建 OU 会形成两种不同的层级结构。一种是域和子域的结构，另一种是 OU 及其子 OU 的结构。这两种层级结构为组织管理提供了灵活性。将一个 OU 置于另一个 OU 内的概念称为嵌套，虽嵌套 OU 的数量无限制，但微软建议嵌套层数不超过 10 层。

2.2 OU 角色理解

OU 并非安全主体，安全主体包括用户账户、组账户和计算机账户。OU 是用于组织活动目录的容器，创建 OU 的目的是让管理员创建可用于实施安全策略、运行脚本、部署应用程序以及委派精细管理控制权限的容器。

2.3 创建和管理 OU

OU 可在“管理工具”中的“Active Directory 用户和计算机”工具中创建和管理，具体操作步骤如下：
1. 点击“开始”|“控制面板”|“性能和维护”|“管理工具”，然后双击“Active Directory 用户和组”。
2. 在控制台树中，右键单击域节点，在上下文菜单中选择“新建”