36、深入解析 Active Directory 与 Windows 2000 安全机制

深入解析 Active Directory 与 Windows 2000 安全机制

1. Active Directory 基础特性

Active Directory 具有一个显著的内在优势，即 DNS 命名空间与域模型精确映射，Active Directory 域和 DNS 域之间存在一对一的关系。

2. Active Directory 后端进程

2.1 目录信息库（DIB）

由于 LDAP 标准未能解决物理存储问题，微软决定采用 Jet 数据库引擎。在 Windows 2000 中，Jet 数据库被称为可扩展存储引擎（ESE），它是一个基于事务的存储系统，直接写入 \NTDS\NTDS.DIT 文件。ESE 的前端是数据库层，它与域控制器和其他应用程序进行交互。

2.2 复制机制

Active Directory 采用多主复制模型，与旧的 NT 复制模型有很大不同。旧模型类似 X.500，所有更改都必须在主副本上进行，其他目录服务器持有只读分区并定期从主副本拉取更新。而在 Active Directory 中，任何域控制器都可以发起更改，并将新信息复制到其对等节点。
每个域控制器包含三个分区：
- 域分区：针对该域控制器所属的 Windows 2000 域。
- 架构分区：包含森林的架构，森林中的每个域控制器都持有一份副本。
- 配置分区：描述森林的逻辑拓扑，包含站点、域结构、全局编录和域控制器位置等信息。

复制拓扑方面，至少涉及三种不同的复制拓扑：
- 第一种处理架构和配置分区，复制到森林中的每个域控制