12、深入解析AD DS物理与逻辑组织及FSMO角色

深入解析AD DS物理与逻辑组织及FSMO角色

1. AD DS物理与逻辑组织要点

在AD DS（Active Directory Domain Services）的管理中，合理的规划和设计对于物理和逻辑方面至关重要。以下是一些关键要点：
- 设置相关操作 ：
- 设置继承例外
- 过滤账户
- 使用组策略建模向导
- 使用组策略结果向导
- 备份和恢复GPO（Group Policy Objects）
- 了解适用于特定操作系统的设置
- 使用WMI过滤器
- 处理安全模板
用户若理解这些操作的原理，就能更好地明白为何要以特定方式实施GPO，从而减少后续故障排除的时间。

2. 确定所需权限

GPO的链接位置不同，所需的权限也不同，具体如下表所示：
| 链接级别 | 所需权限 |
| ---- | ---- |
| 站点级别 | 执行链接的管理员需具备企业级权限，或被委派链接到该站点的权限。不建议将账户添加到Domain Admins全局组、根域的Administrators域本地组或Enterprise Admins通用组，除非该管理账户是林所有者。 |
| 域级别 | 负责在域级别链接的人员需是Domain Admins全局组成员，或被委派Manage Group Policy Links权限。Domain Admins全局组成员可使用GPMC并编辑其所在域的任何GPO。若要访问其他域的GPO，需被委派对其他域中对象的权限，或成为Enterprise Admins通用组成员。 |
| O