15、Windows Server 2008 Active Directory设计指南

Windows Server 2008 Active Directory设计指南

1. 理解AD DS域设计的重要性

在部署Windows Server 2008 Active Directory Domain Services (AD DS) 技术时，正确设计其结构至关重要。设计阶段的错误可能代价高昂且难以纠正。AD DS专门设计为可扩展的，这意味着不同规模和类型的组织理论上都能实施该技术，因此AD DS森林的结构会因组织而异。

1.1 审视域信任关系

Windows 2008的AD DS域可通过信任概念相互关联，信任是一种允许一个域中的资源被另一个域中经过身份验证的用户访问的机制。AD信任主要分为以下四类：
- 传递信任 ：是AD DS中同一森林内域之间的自动双向信任。若域A信任域B，域B信任域C，则域A信任域C，这种信任简化了Windows域之间的信任关系。
- 显式信任 ：是在域之间手动设置的信任，用于在域之间提供特定的身份验证共享路径。可以是单向或双向的，适用于与外部和低级域建立信任。
- 快捷信任 ：本质上是一种显式信任，在域结构中的任意两个域之间创建快捷方式，减少身份验证请求的跳转次数，降低开销。
- 跨森林传递信任 ：是两个不同AD DS森林之间的双向传递信任，在Windows Server 2003中引入，在Windows 2008中得到增强。

1.2 选择域命名空间

设计AD DS结构的第一步是决定其占用的通用域名系统 (D