Active Directory 入门指南（一）：初识AD与核心概念 🔑
大家好！欢迎来到 “Active Directory 入门指南” 系列的第一篇。在本系列中，我们将逐步深入探索 Windows Active Directory (AD)——微软推出的目录服务，是现代企业IT基础架构的基石。无论你是系统管理员新手、网络工程师，还是对IT管理和安全感兴趣的学习者（例如在TryHackMe等平台），理解AD都至关重要。
在本篇中，我们将首先了解什么是Active Directory，为何它如此重要，并开始探讨其核心的逻辑组件。让我们开始吧！🚀
1. 什么是Active Directory (AD)？🎯
Active Directory (AD) 是微软开发的一种目录服务，用于Windows域网络。它允许管理员集中管理和组织网络资源，包括用户、计算机、打印机、共享文件夹以及应用程序等。
想象一下，一个大型公司有成百上千的员工、计算机和各种IT资源。如果没有一个集中的管理系统，IT部门将如何有效地控制谁可以访问什么？如何确保所有计算机都遵循公司的安全策略？如何让员工轻松找到并使用共享打印机？Active Directory 就是为了解决这些挑战而设计的。
核心作用：
- 身份验证 (Authentication)：确认用户或计算机的身份。“你是谁？” AD会验证提供的凭据（如用户名和密码）是否正确。
- 授权 (Authorization)：授予已验证用户或计算机访问特定资源的权限。“你被允许做什么？” 一旦身份被确认，AD会根据预设的策略决定该用户或计算机可以访问哪些资源，以及可以执行哪些操作。
- 集中管理 (Centralized Management)：统一管理网络中的对象和策略。管理员可以在一个中心位置创建、修改和删除用户账户，配置计算机设置，部署软件等。
简单来说，AD就像一个企业内部的数字“身份证系统”和“权限控制中心”，同时也是一个庞大的“资源清单和配置管理器”。
2. 为什么要使用Active Directory？🌟
部署和维护Active Directory需要一定的投入，但它带来的好处对于大多数组织来说是巨大的。以下是使用AD的一些主要优势：
| 优势 | 描述 |
|---|---|
| 集中式用户和计算机管理 | IT管理员可以在一个中心位置创建、修改、删除用户账户和计算机账户，而无需在每台计算机上单独操作。这大大提高了管理效率。 |
| 增强的安全性 | 通过组策略、访问控制列表(ACLs)等功能，可以实现对资源的精细权限控制，确保只有授权用户才能访问敏感数据和系统。还可以强制执行复杂的密码策略和账户锁定策略。 |
| 单点登录 (SSO - Single Sign-On) | 用户只需使用一套凭据（用户名和密码）登录到域，就可以访问其被授权的所有网络资源（如文件服务器、打印机、应用程序），无需为每个资源单独登录。 |
| 可伸缩性 | AD的设计使其能够支持从只有几十个用户的小型企业到拥有数十万用户和全球分支机构的大型跨国公司的各种规模。 |
| 组策略 (Group Policy) | 这是AD最强大的功能之一。管理员可以创建和应用策略，集中配置和强制执行用户和计算机的操作系统设置、安全策略、软件部署、桌面环境等。 |
| 资源共享和发现 | AD使得共享网络资源（如打印机、共享文件夹）变得简单，并且用户可以轻松地在目录中搜索和找到这些资源。 |
| 简化管理 | 管理员可以将特定的管理任务（如重置用户密码、管理特定部门的计算机）委派给其他用户或组，而无需授予他们完全的管理权限。 |
这些优势使得AD成为大多数基于Windows的企业网络的标准配置。
3. AD的核心组件（逻辑结构）🧱
理解AD的逻辑结构是掌握它的第一步。AD使用层次化的结构来组织信息，使其易于管理和查找。
-
对象 (Objects)：
- AD中存储的基本单位，代表网络中的一个具体实体。可以把它们想象成数据库中的记录。
- 常见对象类型包括：
- 用户 (Users)：代表登录到域的个人。
- 计算机 (Computers)：代表加入到域的客户端计算机或服务器。
- 组 (Groups)：用户、计算机或其他组的集合，主要用于简化权限分配。
- 组织单位 (Organizational Units, OUs)：见下文。
- 打印机 (Printers)：代表网络打印机。
- 共享文件夹 (Shared Folders)：代表网络上共享的文件夹。
- 每个对象都有一组属性 (Attributes)，用于描述该对象的特征。例如，用户对象的属性可能包括：用户名 (sAMAccountName)、显示名称 (displayName)、名字 (givenName)、姓氏 (sn)、电子邮件地址 (mail)、密码 (unicodePwd，经过哈希和加密存储)、描述 (description)等。
-
组织单位 (Organizational Unit - OU)：
- OU是域内的一种特殊容器对象，它可以包含其他对象，如用户、计算机、组，甚至其他OU。这使得你可以创建一种层次化的目录结构，以反映公司的组织架构或管理需求。
- 主要用途：
- 逻辑组织对象：你可以根据部门（如销售部、市场部、IT部）、地理位置（如北京分公司、上海分公司）或其他标准来创建OU，并将相关的用户和计算机放入相应的OU中，使目录结构更清晰。
- 应用组策略 (Group Policy)：组策略对象 (GPO) 可以链接到OU。链接到某个OU的GPO将应用于该OU内的所有对象（以及其子OU中的对象，除非被阻止或覆盖）。这是实现精细化配置管理的关键。例如，你可以为“销售部”OU创建一个GPO，专门配置销售人员的桌面快捷方式和应用程序访问权限。
- 委派管理权限：你可以将管理特定OU（及其包含的对象）的权限委派给特定的用户或组。例如，你可以让销售部门的经理有权在他部门的OU内重置用户密码，而无需授予他对整个域的管理权限。
-
域 (Domain)：
- 域是Active Directory的核心管理单元和安全边界。可以将其视为一个由共同目录数据库、安全策略和信任关系连接起来的一组计算机和用户。
- 关键特性：
- 共享目录数据库：域内所有域控制器 (Domain Controllers, DCs) 都存储和复制同一份目录数据库（名为
NTDS.DIT的文件）。 - 安全策略：密码策略、账户锁定策略等安全设置在域级别定义，并应用于域内所有用户和计算机（除非被更具体的GPO覆盖）。
- 唯一的DNS名称：每个域都有一个唯一的DNS名称，例如
company.com或internal.corp.example.org。这个名称构成了域内用户和计算机的身份的一部分（例如，用户john.doe@company.com）。 - 管理边界：域管理员对该域内的所有对象拥有完全控制权。
- 共享目录数据库：域内所有域控制器 (Domain Controllers, DCs) 都存储和复制同一份目录数据库（名为
- 一个组织可以有一个或多个域，这取决于其规模、管理需求和安全要求。
在本篇中，我们介绍了Active Directory的基本概念、使用它的原因，并开始探讨了其核心逻辑组件中的对象、组织单位和域。这些是理解AD如何组织和管理网络资源的基础。
在下一篇 Active Directory 入门指南（二） 中，我们将继续深入探讨AD的逻辑结构，包括树、林、架构和全局编录，并介绍AD的物理组件。敬请期待！
