域和活动目录（下）
活动目录地相关概念（二）
7.架构
AD内的对象和属性是定义在架构内的，架构定义了对于某种对象，用那些属性来描述它及这些属性对应的数据类型，取值范围等信息。
一个林内的所有域外树使用相同的架构，且Schema Admins组的用户与应用程序可以在架构内新增对象类或属性。
8．DC与AD复制
AD存储在DC内，当一台DC内的AD数据发生变动后，这些变动的数据会被自动复制到其他DC内。
AD数据复制有以下两种模式：
多主机复制：在这种模式中可以直接更新任何一台DC内的AD对象，更新后该对象会被复制到其它DC中。AD的大部分数据都使用多主机复制模式。
单主机复制：在这种模式中，由其中一台DC（称为“操作主机”）负责处理和接收对象的变更，再由它复制到其他所有的主机中。
9、全局编录
“全局编录”由DC来实现，该DC不但存储了自身所有对象的详细信息，而且存储了所在域林中其他所有域的所有对象的部分主要信息。 默认情况下为域林的第一台域控制器，也可以另外指定其他DC作为“全局编录”。
10、轻型目录访问协议（LDAP）
是一种用来查询和更新AD目录服务通信协议。Win2003域利用“LDAP命名路径”来表示对象在AD内的位置，以便访问AD内的对象。LDAP名称路径包含以下内容：
1）可分辨名称（DN）：它是对象在AD内的完整路径。如：CN=bigshi,OU=清网组，OU=南区，DC=xh.com
2) 相对可分辨名称（RDN）：在DN的完整路径中，用来代表某个对象的部分路径。如CN=bigshi
3）全局惟一标识符（GUID）：是一个128bit的数值，对于任何一个对象，系统在建立时都会指定一个惟一的GUID给这个对象。对象名称可以改变，但其GUID永远不会改变；
4）用户规则名（UPN）：它的格式类似于电子邮件账户。如：[email]bigshi@xh.com[/email].
11．站点：
是由一个或多个IP子网组成的。
一般若子网之间是通过高速且可靠的链路串接起来，网络之间速度足够快且足够稳定，则可将这些子网放在同一站点。反之，应将这些子网规划为不同站点。
注：站点和域之间没有必然的联系。域是网络的逻辑分组，而站点是网络的物理分组。一个站点可以包含多个域，一个域也可以包含多个站点。
站点和AD复制关系紧密，它通常用于规划AD复制的拓扑：
1、
站内复制：同一站点内的DC的复制是采用“改变通知”的方式，也即当某台DC的AD内有数据变动时，默认它会在15秒后通知同一站点内的其他DC，后者若需要，则会请求复制。
注： 1）站内复制数据不会被压缩；
2）站内复制会自动产生复制拓扑；
3）默认情况下同一树林内的所有DC均属同一站点，该站点在安装域林中第一台DC时被自动创建。
2、
站间复制：默认情况下不同站点内的DC之间不进行AD复制，但可手工设置。该复制采用“排定计划”的方式，即在排定的时间内才会进行复制的工作。
注：1）站间复制的数据不被压缩；
2）站间复制通过桥头服务器来实现；
3）站间复制要事先建立站点链接。
域功能与林功能
●
域功能级别
域功能只会影响到域，会影响到其他的域。分为以下3种级别：
1、 Windows 2000混合模式 这个级别内的DC可以是win2003、win2000 server与WinNT server. 默认为混合模式；
2、Windows 2000原始模式 这个级别内的DC可以是Win2003与Win2000；
3、Windows server 2003 这个级别内的DC只能是win2003
●
林功能级别
林功能会影响到该林内所有域。分为3个级别：
1、Windows 2000 这个级别内的DC可以是win2003、win2000 serv与WinNT server. 默认为该模式；
2、Windows server2003过渡版 这个级别内的DC可以是win2003和winNT server，但不可是win2000 server.
3、Windows server 2003 这个级别内的DC只能是win2003.
目录分区
AD数据库被逻辑地分为多个目录分区，它们分别是：
1、架构目录分区 它存储着整个林中所有对象与属性的定义数据，也存储着如何建立这些对象与属性的规则。整个林共享一份相同的架构分区，它会被复制到整个林中的所有DC；
2、
配置目录分区 其内存储着整个AD的结构，如有哪些域、站点、DC等数据。整个林共享一份相同的配置分区，它会被复制到整个林中的所有DC中；
3、
域目录分区 每一个域各有一个域目录分区，其中存储着该域内的对象，如用户、组、计算机等对象。每一个域各自拥有一份域目录分区，它只会被复制到同一个域内的所有DC中，并不会被复制到其他域的DC 中；
4、
应用程序目录分区 一般，该目录分区是由应用程序建立的，其内存储着与此应用程序有关的数据。如：DNS服务器会在AD中建立应用程序分区。
操作主机
AD内的大部分数据都是利用“多主机复制模式”，但也有少部分数据是采用“单主机操作模式”来复制。此时，就需借助操作主机。
AD内共定义了五个操作主机角色：
1.
架构主机
2.
域命名主机
3.
RID主机
4.
PDC主机
5.
基础结构主机
注：1） 整个林中只有一台“架构主机”与“域命名主机”，默认由林根域内的第一台DC扮演；
2） 每一个域拥有自己的“RID主机”、“PDC主机”、“基础结构主机”。
●
架构主机
1）
架构主机负责更新与修改架构内的对象与属性数据。只有Schema Admins组内的成员，才有权修改架构内的数据；
2）
同一时间内，整个林中只能有一台“架构主机”；
3）
如果架构主机出现故障或离线，可能会影响某些软件的运行。
●
域命名主机
1）
域命名主机负责管理林内的域的添加与删除工作；
2）
同一时间内，整个林中只能有一个“域命名主机”；
3）
域命名主机出现故障或离线，将无法在林内添加或删除域
注：
若“林功能”级别为“windows 2000”,建议将“域命名主机”与“全局编录”设为同一台DC；若“林功能”级别为windows server 2003，两都可不在同一DC上。
●
RID主机
同一时间内，每一个域内只能有一台DC扮演“RID主机”的角色。它负责：
1）
发放RID DC添加每个对象时都必须指派一个惟一的安全识别码（SID），对象的SID=域的SID+RID，而RID由“RID操作主机”统一发放；
2）
移动对象 当某DC要将某个对象移到另一域时，系统会移动位于“RID”内的对象，然后通知其他DC该对象已被转移。这样避免了该对象被不同DC重复移到不同域中。
●
PDC模拟主机
同一个时间内，每一个域内只能有一台DC扮演“PDC模拟主机”的角色。“PDC模拟主机”负责：
1）
支持旧客户端计算机；
2）
减少因为密码复制延迟所造成的问题；
3）
负责整个域时间的同步。
●
基础结构主机
同一时间内，每一个域内只能有一台DC扮演“基础结构主机”的角色。
如果域内有对象参考到其他的对象时，“基础结构主机”会负责更新这些参考对象的数据，如：本域内有一个组的成员包含另外一个域的用户账户，则当这个用户账户有变动时（例如被删除或移动），“基础结构主机”就负责更新这个组的内容，并将其复制到同一个域内的其他DC。
注：
1）基础结构主机是通过“全局编录”来得到这些参考数据的最新版本，因为“全局编录”会收到由每一个域所复制来的最新变动资料；
2）如果整个林中只有一个域，则“基础结构主机”就没有用了，因没有其他域的对象可供参考；
3）除非域中只有一台DC，不要将“基础结构主机”与“全局编录”由同一DC来扮演，否则“基础结构主机”的功能无法正常动作。
实践：
1、找到和转移各操作主机的扮演者
1）
架构主机：
A、
安装AD架构（开始运行——regsvr32 schmmgmt.dll）
B、
开始——运行——MMC——文件——添加/删除嵌入式管理单元——确定——AD架构——添加——关闭——确定
C、
打开AD架构控制台——右击“AD架构”——操作主机
2）
域命名主机：AD域与信任
3）
RID主机、PDC主机、基础结构主机：AD用户和计算机
本文转自xubenxin 51CTO博客，原文链接：
http://blog.51cto.com/windows/14323
，如需转载请自行联系原作者
