Active Directory

本文目录导读：

1. 目录导读
2. 什么是 Active Directory？—— 核心概念与历史演变
3. Active Directory 的核心组件与逻辑结构
4. 域、树、林：如何构建企业级身份管理体系？
5. 常见问题解答：AD 部署中的那些“坑”
6. Active Directory 与 Azure AD：差异与协同
7. 最佳实践：如何保障 AD 安全与高可用性？

Active Directory 深度解析：从基础架构到最佳实践

目录导读

1. 什么是 Active Directory？—— 核心概念与历史演变
2. Active Directory 的核心组件与逻辑结构
3. 域、树、林：如何构建企业级身份管理体系？
4. 常见问题解答：AD 部署中的那些“坑”
5. Active Directory 与 Azure AD：差异与协同
6. 最佳实践：如何保障 AD 安全与高可用性？

什么是 Active Directory？—— 核心概念与历史演变

问：Active Directory 到底是什么？

答：Active Directory（简称 AD）是微软在 Windows Server 2000 中引入的企业级目录服务，最初设计用于管理网络中的用户、计算机、打印机等资源，它类似于一个“中央登记簿”，所有网络资源都需要在这里“注册”身份，从而实现统一认证、权限管理和策略下发。

历史演变：

• 1999 年：Windows 2000 首次引入 AD，替代了 Windows NT 4.0 的域模型
• 2003 年：Windows Server 2003 增强了群组策略和跨林信任
• 2008 年：引入只读域控制器（RODC）和细粒度密码策略
• 2012 年：虚拟化域控制器支持、特权访问管理（PAM）
• 2016 年起：与 Azure AD 集成，进入混合云时代

核心价值： 对于拥有 100 台以上计算机的企业，AD 能将 IT 管理效率提升 60% 以上，没有 AD，管理员可能需要逐台电脑设置用户权限，而 AD 只需在中央控制台操作一次。

Active Directory 的核心组件与逻辑结构

问：AD 的内部由哪些组件组成？

答：AD 的逻辑架构包含以下关键组件：

1. 域（Domain）：最基础的管理单元，共享同一个 AD 数据库，公司可能设 corp.example.com 主域，以及 lab.example.com 测试域。

2. 域控制器（DC）：运行 AD 服务的服务器，每域至少需要一个 DC，它存储完整的数据副本，并处理用户登录验证，最佳实践建议每域至少部署两个 DC。

3. 组织单位（OU）：域内的容器，用于按部门或策略分组。OU=销售部、OU=技术部。

4. 全局编录（GC）：包含所有对象的部分属性，用于加速跨域搜索，默认安装时，第一个 DC 自动成为 GC。

5. DNS 集成：AD 依赖 DNS 进行域定位，建议使用 AD 集成区域以提高可靠性。

问：域和林有什么区别？

答：林（Forest）是多个域共享的公共架构、配置和全局编录的集合。

• 单个部门公司只需一个单域林
• 跨国公司可能需要：asia.example.com（亚洲域）和 europe.example.com（欧洲域），这两者组成一个林，共享根证书和全局用户查找

域、树、林：如何构建企业级身份管理体系？

问：如何设计一个高可用的 AD 架构？

答：设计遵循以下原则：

场景假设： 一家拥有 5000 名员工、三个办公地点（北京、上海、广州）的制造企业

1. 域设计：选择单域架构（corp.company.com），因为单域管理最简单，且可容纳数千对象
2. 站点配置：在北京、上海、广州各建立一个 AD 站点，每个站点至少部署一个 DC
3. 复制拓扑：使用 KCC（知识一致性检查器）自动优化复制，北京作为 Hub 站点，上海和广州作为 Spoke 站点
4. OU 规划：按部门（研发、销售、制造）划分 OU，每个 OU 应用不同的组策略
5. 安全基线与备份：每天进行系统状态备份，每两周测试一次灾难恢复

常见架构对比：

架构类型	适用规模	优点	缺点
单域单站点	<500 用户	简单、低成本	无冗余，一旦主 DC 故障则服务中断
单域多站点	500-10000 用户	高可用，站点间复制	需要规划复制链路
多林架构	收购合并场景	安全隔离，管理独立	需配置跨林信任，复杂度高

常见问题解答：AD 部署中的那些“坑”

问：DC 时间不同步会导致什么问题？

答：Kerberos 认证要求 DC 之间的时间差不超过 5 分钟，若某 DC 时间偏差超过 5 分钟，用户登录将失败，并报“KDC 错误”，解决方案：配置所有 DC 同步同一 NTP 源（如 pool.ntp.org），并检查防火墙是否放行 NTP 端口（UDP 123）。

问：权限混乱如何清理？

答：使用以下方法：

• ADSI Edit 查看对象的 ACL 权限
• dsacls.exe 命令行工具导出权限报告
• 建立“最小权限原则”：只给管理员组分配必要权限
• 定期运行 Active Directory 清理脚本，移除不再使用的域管理员账户

问：如何解决 AD 数据库膨胀？

答：AD 数据库（ntds.dit）默认放置在 C：\Windows\NTDS 下，如果超过 40GB,建议：

1. 运行 ntdsutil → compact database 压缩数据库
2. 迁移数据库至专用存储卷，避免与操作系统同盘
3. 检查是否有过多的 tombstone 对象（已删除对象保留期默认 180 天）

Active Directory 与 Azure AD：差异与协同

问：能不能用 Azure AD 完全替代本地 AD？

答：不能完全替代,但可以互补。

特性	本地 AD	Azure AD
协议	Kerberos + LDAP	OAuth 2.0 + SAML
对象支持	用户、计算机、打印机	用户、设备、应用
组策略	支持	通过 Intune 实现
云集成	需 Azure AD Connect	原生云服务

最佳实践：

• 混合部署模式：本地 AD 管理用户身份，Azure AD Connect 同步到云端
• 使用 Azure AD Pass-through Authentication 实现无缝单点登录（SSO）
• 对于仅需云应用的企业（如 Office 365），可只部署 Azure AD

最佳实践：如何保障 AD 安全与高可用性？

问：如何降低 AD 被攻击的风险？

答：根据微软安全评估，80% 的 AD 攻击源于凭证泄露,建议实施：

1. 密码策略强化：启用细粒度密码策略，强制 14 位以上密码，每 90 天更换
2. 最小权限管理：将 Domain Admins 组成员数量控制在 5 人以内，启用 Privileged Identity Management
3. 审计与监控：启用 Advanced Audit Policy 记录敏感操作，配置 AD 事件日志转发到 SIEM（如 Azure Sentinel）
4. 补丁与加固：将 DC 的 Windows 更新设置为自动安装，关闭不必要的服务（如 Telnet、FTP）
5. 物理安全：DC 服务器存放在带机柜锁的机房，受控访问

高可用架构建议：

• 每个站点至少两台 DC，采用“主动-主动”模式
• 配置 DHCP 客户端指向两个不同 DC 的 IP
• 使用 Windows Server 故障转移集群部署 AD 感知服务
• 定期测试：断开主 DC 网络接口，观察衍生 DC 是否自动接替服务

Active Directory 作为企业 IT 基础设施的“神经中枢”，其稳定性和安全性直接关系业务连续性，从单域单站点的简单场景到跨区域的多林架构，核心原则始终是：规划先行、安全筑基、运维闭环，建议 IT 管理员定期参加微软官方“AD 迁移与安全评估”培训,以应对不断升级的网络安全威胁。

（全文完）