9、活动目录管理与域控制器部署全解析

活动目录管理与域控制器部署全解析

1. 活动目录简介

活动目录（Active Directory）是绑定本地 Microsoft 网络的身份粘合剂，处于几乎所有本地网络的核心位置。虽然每台计算机可以有自己独特的用户和服务账户，但活动目录提供了一个集中的用户、计算机和服务账户存储库。此外，它还能为支持活动目录的应用程序存储数据，例如 Microsoft Exchange Server 会将服务器配置信息存储在活动目录中，System Center Configuration Manager 等应用程序也高度依赖活动目录。

2. 活动目录管理

• 域控制器安全
  • 域控制器是网络攻击者的高价值目标，攻击者控制域控制器就意味着控制了组织内所有加入该域的计算机，掌握了域内的所有身份验证和授权过程。
  • 为提高服务器安全性，可减少攻击面。建议在安装了 Server Core 配置的计算机上部署角色，因为该配置的攻击面比包含桌面组件的服务器小，适合部署域控制器。
• 远程管理
  • 应使用 Windows Admin Center、管理控制台或 PowerShell 远程执行活动目录管理任务，而不是使用 RDP 直接登录域控制器。这样不仅不受域控制器是否为 Server Core 配置的影响，还能降低将恶意软件引入域控制器的风险。
  • 一般规则是：若只需执行几次任务，可使用 Windows Admin Center 或控制台；若对任务不熟悉，使用 GUI