windows 2000活动目录之结构篇

核心提示： 1、域、域树、域林域既是WIN2K网络系统的逻辑组织单元，是对象（如计算机、用户等）的容器，windows 2000活动目录之结构篇(2)，这些对象有相同的安全需求、复制过程和管理，这一点对于网管人员应是相当容易理解的，域目录树或目录林（目录林可以看做是同一域中的多个目录树组成）中的所有W

1、域、域树、域林

域既是WIN2K网络系统的逻辑组织单元，是对象（如计算机、用户等）的容器，这些对象有相同的安全需求、复制过程和管理，这一点对于网管人员应是相当容易理解的。在WIN2K中域中所有的域控制器都是平等的（这一点与WINNT4.0不一样，没有主、副之分），域是安全边界，域管理员只能管理域的内部，除非其他的域显式地赋予他管理权限，他才能够访问或管理其他的域。每个域都有自己的安全策略，以及它与其他域的安全信任关系。在这里就涉及到了不同域之间的信任关系及传递关系，下面就具体讲一下WIN2K中的域信任关系。

域与域之间具有一定的信任关系，域信任关系使得一个域中的用户可由另一域中的域控制器进行验证，才能使一个域中的用户访问另一个域中的资源。所有域信任关系中只有两种域：信任关系域和被信任关系域。信任关系就是域A信任域B，则域B中的用户可以通过域A中的域控制器进行身份验证后访问域A中的资源，则域A与域B之间的关系就是信任关系。被信任关系就是被一个域信任的关系，在上面的例子中域B就是被域A信任，域B与域A的关系就是被信任关系。信任与被信任关系可以是单向的，也可以是双向的，即域A与域B之间可以单方面的信任关系，也可以是双方面的信任关系。

而在域中传递信任关系不受关系中两个域的约束，是经父域向上传递给域目录树中的下一个域，也就是说如果域A信任域B，则域A也就信任域B下面的子域域B1、域B2……，传递信任关系总是双向的：关系中的两个域互相信任（是指父域与子域之间）。默认情况下，域目录树或目录林（目录林可以看做是同一域中的多个目录树组成）中的所有WiIN2K 信任关系都是传递的。通过大大减少需管理的委托关系数量，这将在很大程度上简化域的管理。