32、深入解析目录系统：特性、模型与应用

深入解析目录系统：特性、模型与应用

1. 目录系统基础

在互联网的世界里，目录系统扮演着至关重要的角色。以 DNS 目录中的 .com 域为例，其目录信息库（DIB）是全球分布的。.com 命名空间中的所有条目并没有单一的权威来源，而是由世界各地的服务器对 .com 命名空间的子集具有权威性。这些服务器相互连接，构成了一个统一的目录信息库。比如，IBM.com 和 Microsoft.com 虽同属 .com 命名空间，但 IBM 和微软分别控制着保存各自子域信息的物理服务器。

2. 目录特性

2.1 目录安全性

一个有用的目录必须是可靠的。为确保可靠性，目录需要有手段保证其中的信息只能由授权用户或进程修改。随着目录存储的信息类型增多，其中一些是机密信息，控制信息的查看权限和查看者也变得重要。从安全角度看，目录中有两个主要元素：
- 被访问的对象 ：如打印机、文件服务器、共享资源和用户对象等资源对象。
- 进行访问的对象 ：也称为安全主体，包括用户和组。

当安全主体尝试访问资源对象时，目录会检查资源对象的访问权限，以确定授予请求者的访问级别。目录遵循标准的身份验证和访问控制模式，先对安全主体进行身份验证，再检查其访问特定资源的权限，从而实现对资源不同级别的访问控制。

以 Windows 2000 为例，在 Active Directory 中，资源对象包括服务器、打印机、工作站、用户和组等，用户和组也是安全主体。每个对象都有多个属性，如用户对象的属性有用户名、密码、全名、地址和电话号码等。若要将用户管理职责分配给两个组