Windows Server 2012R2 域与活动目录
一、域与活动目录
什么是域
域（Domain）是Windows网络中独立运行的单位，域之间相互访问则需要建立信任关系（Trust Relation）。信任关系是连接在域与域之间的桥梁。当一个域与其他域建立了信任关系后，两个域之间不但可以按需要相互进行管理，还可以跨网分配文件和打印机等设备资源，使不同的域之间实现网络资源的共享与管理。
为什么需要域
如果资源分布在N台服务器上，那么用户需要资源时就要分别登陆这N台服务器，也就需要N个账号。一个用户如此，那M个呢，管理员也就需要给他们创建N*M个账户，这样不仅负责而且难管理。
有了域，管理员只需要给每个用户创建一个域用户，用户只需在域中登陆一次就可以访问域中的资源，实现了单一登陆。
用户信息是存放在域中的域控制器（DC，Domain Controller）上，上图中，可以在服务器中选定一台或者几台服务器作为域控制器。有多台域控制器时，各个域控制器是平等的，每个域控制器上都有所在域的全部用户的信息，域控制器之间需要同步这些信息。而其它不适域控制器的服务器仅仅是提供资源。
什么是活动目录
活动目录（Active Directory）是Windows 2003Server平台提供的目录服务。在*数据库中存放信息，使用户在网络上只拥有一个用户账号。目录是存储各种对象的一个物理上的容器，目录服务是使目录中所有信息和资源发挥作用的服务。
信息的安全性大大增强，引入基于策略的管理，使系统的管理更加明朗，具有很强的可扩展性、可伸缩性、智能的信息复制能力，与DNS集成紧密、与其他目录服务具有互操作性、具有灵活的查询。
活动目录逻辑结构：域、组织单元、树、林。
域控制器（DC,Domain Controller）上存放着域中所有用户、组、计算机等信息（实际上域控制器存放的信息还不止这些），域控制器把这些信息存放在活动目录中。
活动目录和DNS 的关系
在TCP/IP网络中，DNS（Domain Name System）是用来解决计算机名字和IP地址的映射关系的，活动目录和DNS是紧密不可分的，活动目录使用DNS服务器来登记域控制器的IP、各种资源的定位等，在一个域林中至少要有一个DNS服务器存在，所以安装活动目录时需要同时安装DNS。此外，域的命名也是采用DNS的格式来命名的。二、活动目录与组织单元
Ø 对象：用户、计算机、打印机、组等等。每个对象都有自己的属性以及属性值。
Ø 组织单元（OU,Organization Unit）:组织单元是用来把对象按逻辑进行分组，便于管理、查找、授权和访问。组织单元只表示单个域中的对象集合（可包括组对象）组织单元具有继承性，子单元能够继承父单元的acl。同时域管理员可授予用户对域中所有组织单位或单个组织单位的管理权限。就像一个公司的各个部门的主管，权力平均化能更有效的管理。
三、项目搭建
1.安装并配置域
Ø 活动目录设计
} 域名与控制器的安装位置
n 中小企业，为简单起见，在网络中只安装一个域控制器
n 域的名字应该和DNS域名一样，为：xyz.com.cn
n 其它所有计算机加入到域中
} 组织单元的设计
n 我们这里根据公司的行政架构来设计OU
n 各部门的用户、组、计算机、打印机等均放到对应的组织单元上
实验拓扑图
实验用VBox虚拟机来模拟服务器和客户机，虚拟机之间采用内部网络的网络连接方式，其中Win2012-2充当域成员服务器服务器，Win2012-1为和Win2012-3（系统Windows Server 2012r2）为域控制器。
Win2012-1：
安装DNS
安装域服务
下一步直至安装
配置向导如果不小心关掉了就在上图的小旗子也能找到
不用理会
重新启动计算机，由于活动目录的存在，启动时间会变长，可以发现已经建立域XYZ
在域控制器上登录时，只能以域中的用户登录。虽然用户名仍为Administrator，但是该Administrator是域用户
DNS
2.把服务器（或计算机）加入域中
} 三种角色：域控制器、成员服务器和独立服务器。
} 服务器的这三个角色可以发生改变。
Win2012-2：
重启后发现成功加入域
也可以在Win2012-1域服务器中的用户和计算机查看
在成员服务器上，可以登录到域中，也可以登录到本地，需要在用户名前加域名。如下图，如果输入的用户名是“XYZ\administrator”说明是以域用户（XYZ是xyz.com.cn域的NETBIOS名）进行登录；如果输入的用户名是“WIN2012-2\administrator”说明是以本地用户进行登录。
把服务器（或计算机）从域中脱离
3.安装活动目录后的变化
应该使用“ActiveDirectory用户和计算机”工具来管理用户和组等。
4创建组织单元
5.在组织单元下添加计算机、用户、组
组作用域的区别
本地域 |
成员可来自同一域林中的任何域的用户、组 成员只能访问本地域的资源 |
全局 |
成员只来自本地域的用户 成员可以访问同一域林中的任何域中的资源 |
通用 |
成员可来自同一域林中的任何域 成员可以访问同一域林中的任何域的资源 |
组类型：可以使用安全组来分配共享资源的权限，而使用通讯组来创建电子邮件分发列表。
6.文件和文件夹安全及共享权限的变化
Ø 域控制器上的文件和文件夹安全及共享权限：
域控制器上只有域用户或者组，因此域控制器上的文件和文件夹安全权限、共享权限必须分配给域用户或者组。
Ø 成员服务器上的文件和文件夹安全及共享权限
成员服务器上还存在本地用户和组，因此成员服务器上的文件和文件夹安全权限、共享权限可以分配给域用户或者组，也可以分配给本地计算机上的用户和组。7.创建子域
注意：不能使用克隆的虚拟机
Win2012-3：
加入域
安装域服务（还有DNS）
重启计算机
域和信任关系
创建目录
目录权限可以分配给林中的用户
而不仅仅分配给域中的用户
8.单一登陆
用户在自己的域中登录一次，就能访问整个林中资源（当然需要事先分配）
PS：以上实验为亲自测试成功，实验外的图片部分来自网络，知识点为书中和网络文献整理所得，如有侵权既删。