61、深入理解活动目录：组、组织单位与站点的应用

深入理解活动目录：组、组织单位与站点的应用

1. 活动目录基础与组的限制

在活动目录（Active Directory）中，目前并没有工具能直接浏览或检查全局编录（Global Catalog），不过部分搜索操作会用到它。

组在活动目录中是管理用户和机器访问权限的重要方式，它还可以包含其他组。但如果不在 Windows Server 2003 森林功能级别下，组的成员数量限制为 5000 个。若需要成员数超过 5000 的组，就需创建多个成员数少于 5000 的组，再将这些组放入一个“超级”组，最后对该超级组应用所需权限。若要解决这一限制，需将森林中所有域的域控制器（DC）升级到 Server 2003 及以上版本。

值得注意的是，“Domain Users”组虽自动包含域内所有用户账户，即便域内用户超过 5000 个也不会崩溃，因为它并非真正意义上的组，大小不受限制。
| 组相关要点 | 详情 |
| ---- | ---- |
| 非 Windows Server 2003 森林功能级别组限制 | 成员数不超 5000 |
| 解决组限制方法 | 升级所有域控制器到 Server 2003 及以上 |
| “Domain Users”组特性 | 非真正组，大小无限制 |

2. 组织单位（OUs）：域的细分

有时候，一个域的范围过大，难以进行全面控制。比如，企业需招聘备份操作员，但只想让他们在特定办公室（如圣路易斯办公室）进行备份工作，而非整个网络。又或者，企业需要一些人员来重置密码、管理打印机或调整服务器权限，但不想让他们对整个域拥有这些权限，可能是出于地理或组织原因。此时，可将域细