Active Directory 站點(diǎn)和服務(wù)分步指南

1、Active Directory站點(diǎn)和服務(wù)分步指本指南說(shuō)明如何使用“ Active Directory站點(diǎn)和服務(wù)”管理單元來(lái)管理局域網(wǎng) (LAN)中單個(gè)站點(diǎn)內(nèi)部和廣域網(wǎng)(WAN)中多個(gè)站點(diǎn)之間的復(fù)制拓?fù)?。本?yè)內(nèi)容簡(jiǎn)介概述使用“站點(diǎn)和服務(wù)”工具附錄：復(fù)制拓?fù)涓拍钇渌Y源簡(jiǎn)介逐步式指南Windows Server 2003部署分步指南提供了很多常見(jiàn)操作系統(tǒng)配置的實(shí)際操作經(jīng) 驗(yàn)。本指南首先介紹通過(guò)以下過(guò)程來(lái)建立通用網(wǎng)絡(luò)結(jié)構(gòu)：安裝Windows Server 2003；配置 Active Directory；安裝 Windows XP Professional 工作站并最 后將此工作站添加到域中。后續(xù)

2、分步指南假定您已建立了此通用網(wǎng)絡(luò)結(jié)構(gòu)。如果 您不想遵循此通用網(wǎng)絡(luò)結(jié)構(gòu)，則需要在使用這些指南時(shí)進(jìn)行適當(dāng)?shù)男薷?。通用網(wǎng)絡(luò)結(jié)構(gòu)要求完成以下指南。第一部分：將Windows Server 2003安裝為域控制器第二部分：安裝Windows XP Professional工作站并將其連接到域在配置通用網(wǎng)絡(luò)結(jié)構(gòu)后，可以使用任何其他的分步指南。注意，某些分步指南除 具備通用網(wǎng)絡(luò)結(jié)構(gòu)要求外，可能還需要滿足額外的先決條件。任何額外的要求都 將列在特定的分步指南中。Microsoft Virtual PC可以在物理實(shí)驗(yàn)室環(huán)境中或通過(guò)虛擬化技術(shù)(如Microsoft Virtual PC 2004 或 Micros

3、oft Virtual Server 2005)來(lái)實(shí)施 Windows Server 2003 部署分步 指南。借助于虛擬機(jī)技術(shù)，客戶可以同時(shí)在一臺(tái)物理服務(wù)器上運(yùn)行多個(gè)操作系統(tǒng)。 Virtual PC 2004和Virtual Server 2005就是為了在軟件測(cè)試和開(kāi)發(fā)、舊版 應(yīng)用程序遷移以及服務(wù)器整合方案中提高操作效率而設(shè)計(jì)的。Windows Server 2003部署分步指南假定所有配置都是在物理實(shí)驗(yàn)室環(huán)境中完成 的，但大多數(shù)配置不經(jīng)修改就可以應(yīng)用于虛擬環(huán)境。這些分步指南中提供的概念在虛擬環(huán)境中的應(yīng)用不在本文的討論范圍之內(nèi)。重要說(shuō)明此處作為例子提到的公司、組織、產(chǎn)品、域名、電子郵件地址

4、、徽標(biāo)、個(gè)人、地 點(diǎn)和事件純屬虛構(gòu)，我們決無(wú)意影射，任何人也不應(yīng)由此臆猜，任何真實(shí)的公司、 組織、產(chǎn)品、域名、電子郵件地址、徽標(biāo)、個(gè)人、地點(diǎn)或事件。此通用基礎(chǔ)結(jié)構(gòu)是為在專用網(wǎng)絡(luò)上使用而設(shè)計(jì)的。此通用基礎(chǔ)結(jié)構(gòu)中使用的虛擬 公司名稱和域名系統(tǒng)(DNS)名稱并沒(méi)有為在Internet上使用而進(jìn)行注冊(cè)。您 不應(yīng)在公共網(wǎng)絡(luò)或Internet上使用此名稱。此通用基礎(chǔ)結(jié)構(gòu)的Active Directory服務(wù)結(jié)構(gòu)用于說(shuō)明“Windows Server 2003更改和配置管理”如何與Active Directory配合使用。不能將其作為任 何組織進(jìn)行Active Directory配置時(shí)都可以使用的模型。返回

5、頁(yè)首“Windows Server 2003 Active Directory站點(diǎn)和服務(wù)”管理單元的主要用途 是對(duì)LAN中單個(gè)站點(diǎn)內(nèi)部以及WAN中多個(gè)站點(diǎn)之間的企業(yè)環(huán)境的復(fù)制拓?fù)溥M(jìn) 行管理。注意：附錄中提供了有關(guān)如何執(zhí)行Active Directory服務(wù)復(fù)制的附加信息。如 果您對(duì)復(fù)制不太熟悉，您可能需要先查閱一下附錄中的內(nèi)容，然后再繼續(xù)。站點(diǎn)站點(diǎn)是指網(wǎng)絡(luò)中具有高帶寬連接的區(qū)域；如果給它下個(gè)定義，它就是一個(gè)基于 Internet協(xié)議(IP)子網(wǎng)且連接狀況良好的計(jì)算機(jī)集合。由于站點(diǎn)控制著進(jìn)行 復(fù)制的方式，因此使用“站點(diǎn)和服務(wù)”管理單元所做的更改將影響域內(nèi)相隔很遠(yuǎn) 的域控制器(DC)之間的通訊效率

6、。站點(diǎn)在概念上不同于基于Windows Server 2003的域，因?yàn)橐粋€(gè)站點(diǎn)可以跨越 多個(gè)域，而一個(gè)域也可以跨越多個(gè)站點(diǎn)。站點(diǎn)并不屬于域名稱空間的一部分。站 點(diǎn)控制域信息的復(fù)制，并可以幫助確定資源位置的遠(yuǎn)近。例如，工作站在其站 點(diǎn)內(nèi)選擇一個(gè)DC來(lái)進(jìn)行驗(yàn)證。為了確保Active Directory服務(wù)能夠正確進(jìn)行復(fù)制，將在所有DC中運(yùn)行一種 稱為“知識(shí)一致性檢查器（KCC）”的服務(wù)，該服務(wù)自動(dòng)在同一站點(diǎn)內(nèi)的各個(gè)計(jì)算 機(jī)之間建立連接。這些計(jì)算機(jī)被稱為“Active Directory連接對(duì)象”。管理員 可以建立其他的連接對(duì)象，也可以刪除連接對(duì)象。但是，在任意時(shí)刻，如果某一 站點(diǎn)內(nèi)的復(fù)制無(wú)法進(jìn)行

7、或出現(xiàn)單點(diǎn)故障，KCC將會(huì)介入并新建所需數(shù)量的連接對(duì) 象以繼續(xù)進(jìn)行Active Directory復(fù)制。假定站點(diǎn)間復(fù)制是在較高成本或較低速度連接上進(jìn)行的。這樣，站點(diǎn)間復(fù)制的機(jī) 制允許選擇其他傳輸方式，并且此機(jī)制是通過(guò)創(chuàng)建站點(diǎn)鏈接和站點(diǎn)鏈接橋來(lái)建立 的。Default-First-Site第一個(gè)站點(diǎn)是您在企業(yè)的第一個(gè)域控制器上安裝Windows Server 2003時(shí)自動(dòng) 建立的。建立的第一個(gè)站點(diǎn)被稱為“Default-First-Site”。您可以在以后重命 名此站點(diǎn)，也可以保留該名稱。網(wǎng)絡(luò)上站點(diǎn)的復(fù)制拓?fù)淇梢钥刂埔韵聝煞矫妫哼M(jìn)行復(fù)制的位置，如哪些DC直接與同一站點(diǎn)內(nèi)的哪些其他DC通訊。此外

8、， 此拓?fù)溥€控制站點(diǎn)間的通訊方式。進(jìn)行復(fù)制的時(shí)間?？梢酝耆晒芾韱T來(lái)安排站點(diǎn)間復(fù)制。同一站點(diǎn)內(nèi)DC間的 復(fù)制以通知為基礎(chǔ)，在對(duì)域內(nèi)某個(gè)對(duì)象進(jìn)行更改后，5分鐘內(nèi)就會(huì)將通知發(fā)送 出去。所有新提升的DC將放置在“站點(diǎn)”容器中，該容器會(huì)在安裝時(shí)應(yīng)用到這些 DC。例如，運(yùn)往加利福尼亞的服務(wù)器可能早在夏威夷毛伊島數(shù)據(jù)中心就已建立并 配置完畢；因此，“配置您的服務(wù)器向?qū)А睂⒃摲?wù)器放在毛伊島站點(diǎn)中。當(dāng)它 到達(dá)加利福尼亞后，可使用“站點(diǎn)和服務(wù)”管理單元將該服務(wù)器對(duì)象移到新站 點(diǎn)中。您可以使用“站點(diǎn)和服務(wù)”管理單元的站點(diǎn)部分完成以下操作：顯示企業(yè)內(nèi)的有效站點(diǎn)。例如，Default-First-Site可能是“H

9、eadquarters” 等站點(diǎn)的名稱。您可以創(chuàng)建、刪除或重命名站點(diǎn)。顯示參與某站點(diǎn)的服務(wù)器。您可以刪除服務(wù)器或在站點(diǎn)間移動(dòng)服務(wù)器。（注意: 盡管也可以手動(dòng)添加服務(wù)器，但是添加服務(wù)器的任務(wù)通常是在域控制器安裝過(guò) 程中自動(dòng)完成的。）顯示使用站點(diǎn)知識(shí)的應(yīng)用程序。Active Directory拓?fù)湮挥赟itesDefault-First-SiteServers。它只包含那些參與特定站點(diǎn)的服務(wù)器， 而與域無(wú)關(guān)。要查看任何給定服務(wù)器的連接，請(qǐng)顯示SitesDefault-First-SiteServersserverNTDS Settings。每臺(tái)服務(wù)器都 有連接和計(jì)劃，它們共同控制對(duì)該站點(diǎn)中其他服務(wù)

10、器進(jìn)行的復(fù)制。連接。對(duì)于要進(jìn)行雙向復(fù)制的兩臺(tái)計(jì)算機(jī)，必須有一個(gè)從第一臺(tái)計(jì)算機(jī)到第二 臺(tái)計(jì)算機(jī)的連接，還必須有一個(gè)從第二臺(tái)計(jì)算機(jī)到第一臺(tái)計(jì)算機(jī)的輔助連接。計(jì)劃。在站點(diǎn)內(nèi)，新目錄增量的拉動(dòng)式復(fù)制大約每5分鐘在服務(wù)器間進(jìn)行一 次。計(jì)劃在站點(diǎn)內(nèi)是非常重要的，在某伙伴的連接對(duì)象損壞后，它強(qiáng)制定期向 入站伙伴發(fā)送通知。此類通知通常每6小時(shí)進(jìn)行一次。此外，計(jì)劃對(duì)于控制 站點(diǎn)間的拉動(dòng)式復(fù)制也是非常重要的。（站點(diǎn)間沒(méi)有5分鐘進(jìn)行一次的自動(dòng) 復(fù)制。）顯示站點(diǎn)間的傳輸和鏈接。傳輸表示在所選站點(diǎn)間進(jìn)行通訊所使用的協(xié)議（例 如IP等）。顯示子網(wǎng)。管理員可以利用子網(wǎng)，將IP地址范圍與站點(diǎn)關(guān)聯(lián)在一起。先決條件第一部分：將W

11、indows Server 2003安裝為域控制器安裝其他域控制器的分步指南建立站點(diǎn)到站點(diǎn)虛擬專用網(wǎng)絡(luò)連接的分步指南返回頁(yè)首使用“站點(diǎn)和服務(wù)”工具啟動(dòng)“Active Directory站點(diǎn)和服務(wù)”工具在“HQ-CON-DC-01”上，單擊“開(kāi)始”按鈕，指向“所有程序”，指向“管理 工具”，然后單擊“Active Directory站點(diǎn)和服務(wù)”。此時(shí)將出現(xiàn)一個(gè)控制 臺(tái)（如圖1所示）。圖1. “Active Directory站點(diǎn)和服務(wù)”管理單元更改站點(diǎn)屬性更改 Default-First-Site-Name單擊“ + ”號(hào)展開(kāi)“Sites”樹(shù)。在控制臺(tái)左窗格中，右鍵單擊“Default-Firs

12、t-Site-Name”，然后單擊“重 命名”。鍵入“Seattle-WA”，然后按 “Enter” 鍵。創(chuàng)建新站點(diǎn)在Active Directory中，站點(diǎn)表示網(wǎng)絡(luò)的物理結(jié)構(gòu)或拓?fù)?。Active Directory 使用拓?fù)湫畔ⅲㄗ鳛檎军c(diǎn)和站點(diǎn)鏈接對(duì)象存儲(chǔ)在目錄中）來(lái)建立最有效的復(fù)制拓 撲?？墒褂谩?Active Directory站點(diǎn)和服務(wù)”來(lái)定義站點(diǎn)和站點(diǎn)鏈接。站點(diǎn)是 一組連接狀況良好的子網(wǎng)。站點(diǎn)與域不同；站點(diǎn)表示網(wǎng)絡(luò)的物理結(jié)構(gòu)；而域表示 組織的邏輯結(jié)構(gòu)。要添加新站點(diǎn)，請(qǐng)按照以下步驟操作：在控制臺(tái)左窗格中，右鍵單擊“Sites”，然后單擊“新站點(diǎn)”。在“新建對(duì)象-站點(diǎn)”對(duì)話框中，鍵入“V

13、ancouver-BC”作為新站點(diǎn)的名 稱。單擊以突出顯示“DEFAULTIPSITELINK”，然后單擊“確定”。（注意：站點(diǎn)鏈接將在下文中進(jìn)行介紹。）查看Active Directory消息框信息，然后單擊“確定”。在站點(diǎn)內(nèi)移動(dòng)計(jì)算機(jī)現(xiàn)在，您可以從各站點(diǎn)的“Servers”容器內(nèi)將計(jì)算機(jī)從其他站點(diǎn)移到此站點(diǎn)中。注意：向站點(diǎn)中分配計(jì)算機(jī)是根據(jù)計(jì)算機(jī)的IP地址和子網(wǎng)掩碼進(jìn)行的?？蛻?端和成員服務(wù)器所采取的站點(diǎn)分配處理方式不同于域控制器的分配方式。對(duì)客戶 端而言，站點(diǎn)分配是在登錄過(guò)程中根據(jù)其IP地址和子網(wǎng)掩碼動(dòng)態(tài)確定的。對(duì)于 域控制器而言，站點(diǎn)成員身份是根據(jù)Active Directory中其關(guān)

14、聯(lián)服務(wù)器對(duì)象的 位置來(lái)確定的。要將計(jì)算機(jī)移到某一站點(diǎn)，請(qǐng)按照以下步驟操作：在“Active Directory站點(diǎn)和服務(wù)”管理單元中，單擊“Seattle-WA”旁邊 的“ + ”號(hào)，然后單擊“Servers”。在結(jié)果窗格中，右鍵單擊HQ-CON-DC-02”，然后單擊“移動(dòng)”。在“移動(dòng)服務(wù)器”對(duì)話框中，單擊“Vancouver-BC”（如圖2所示），然后 單擊“確定”。圖2.在站點(diǎn)之間移動(dòng)計(jì)算機(jī)重復(fù)步驟 2 和 3，將“HQ-CON-DC-03” 移到 “Vancouver-BC” 站點(diǎn)中。在左窗格中，單擊“Vancouver-BC ”旁邊的 + ”號(hào)，然后單擊“Servers”， 檢查兩臺(tái)

15、服務(wù)器現(xiàn)在是否均已分配給該站點(diǎn)。使用子網(wǎng)正如前面所述，站點(diǎn)就是通過(guò)高速網(wǎng)絡(luò)（如LAN）連接好的一組計(jì)算機(jī)。同一 站點(diǎn)內(nèi)的所有計(jì)算機(jī)通常都位于同一建筑物內(nèi)，或位于同一校園網(wǎng)中。單一站點(diǎn) 由一個(gè)或多個(gè)IP子網(wǎng)組成。子網(wǎng)是IP網(wǎng)絡(luò)的分網(wǎng)，每個(gè)子網(wǎng)都擁有其自己的 唯一網(wǎng)絡(luò)地址。子網(wǎng)地址對(duì)相鄰計(jì)算機(jī)進(jìn)行分組的方法與郵政編碼對(duì)相鄰郵寄地 址進(jìn)行分組的方法非常相似。每個(gè)站點(diǎn)都關(guān)聯(lián)著一個(gè)或多個(gè)子網(wǎng)。要為特定站點(diǎn)添加子網(wǎng)，請(qǐng)按照以下步驟操作：在控制臺(tái)左窗格中，單擊“Subnets”，右鍵單擊Subnets”，然后單擊“新 建子網(wǎng)”。在“新建對(duì)象-子網(wǎng)”框中，鍵入“地址”和“掩碼”數(shù)字（如圖3所示）， 單擊以突出

16、顯示“Vancouver-BC”，然后單擊“確定”。圖3.添加子網(wǎng)在正確創(chuàng)建子網(wǎng)后，它將出現(xiàn)在“Subnets”文件夾下。盡管在創(chuàng)建期間子網(wǎng)與 Vancouver-BC站點(diǎn)相關(guān)聯(lián)，但可以將其修改為指向其他站點(diǎn)。要將子網(wǎng)與特定站點(diǎn)相關(guān)聯(lián)，請(qǐng)按照以下步驟操作：在“Subnets”文件夾下，右鍵單擊“/24”子網(wǎng)，然后單擊“屬 性”。在“/24屬性”對(duì)話框中，從列表框中選擇與此子網(wǎng)相關(guān)聯(lián)的站點(diǎn)（如圖4所示），然后單擊“確定”。圖4.將子網(wǎng)與站點(diǎn)相關(guān)聯(lián)單擊“位置”選項(xiàng)卡，然后提供此站點(diǎn)位置的描述。對(duì)于此示例，鍵入 “Vancouver”，然后單擊“確定”。站點(diǎn)鏈接在兩個(gè)或多個(gè)站點(diǎn)之間創(chuàng)建站點(diǎn)鏈接是一種

17、影響復(fù)制拓?fù)涞姆绞健Ｍㄟ^(guò)創(chuàng)建站點(diǎn) 鏈接，您可以為Active Directory提供有關(guān)可用連接、首選連接以及可用帶寬 等信息。Active Directory將使用此信息來(lái)選擇可提供最佳復(fù)制性能的時(shí)間和 連接。對(duì)于計(jì)劃在多個(gè)站點(diǎn)之間進(jìn)行的復(fù)制，每?jī)蓚€(gè)進(jìn)行復(fù)制操作站點(diǎn)之間都必須協(xié)商 一種通訊傳輸協(xié)議。通常，站點(diǎn)鏈接基于IP協(xié)議。要建立站點(diǎn)鏈接，請(qǐng)按照以下步驟操作：?jiǎn)螕簟癐nter-Site Transports”旁邊的 + ”號(hào)，右鍵單擊“IP”，然后單擊“新站點(diǎn)鏈接”。在“新建對(duì)象-站點(diǎn)鏈接”對(duì)話框中，鍵入“PNW-Slow Connection作為“名稱”（如圖5所示），然后單擊“確定”。

18、圖5.創(chuàng)建站點(diǎn)鏈接在“IP”站點(diǎn)鏈接的右側(cè)結(jié)果窗格中，雙擊新創(chuàng)建的“PNW-Slow Connection ”鏈接。在“PNW-SlowConnection屬性”對(duì)話框中，鍵入“每24小時(shí)復(fù)制一次”作 為“描述”，將“復(fù)制頻率”設(shè)置更改為“1440”，然后單擊“確定”。注意：如果刪除DEFAULTIPSITELINK，則Seattle和Vancouver之間的復(fù)制每 24小時(shí)使用IP協(xié)議通過(guò)“PNW-Slow Connection站點(diǎn)鏈接執(zhí)行一次。站點(diǎn)鏈接橋默認(rèn)情況下，所有站點(diǎn)鏈接都是橋接的，或是可傳遞的。這樣，未通過(guò)顯式站點(diǎn) 鏈接相連的任意兩個(gè)站點(diǎn)都可以通過(guò)中間站點(diǎn)鏈接和站點(diǎn)鏈直接進(jìn)行通訊。

19、橋接 所有站點(diǎn)鏈接的一個(gè)優(yōu)點(diǎn)是更易于維護(hù)網(wǎng)絡(luò)，因?yàn)槟恍枰獎(jiǎng)?chuàng)建站點(diǎn)鏈接來(lái)描述 站點(diǎn)對(duì)之間的每種可能路徑。通常，您可以將自動(dòng)站點(diǎn)鏈接橋接保持為啟用狀態(tài)。但是在下列情況下，對(duì)于特 定的站點(diǎn)鏈接，您可能需要禁用自動(dòng)站點(diǎn)鏈接橋接，然后手動(dòng)創(chuàng)建站點(diǎn)鏈接橋。網(wǎng)絡(luò)未完全路由（并非每個(gè)域控制器都可以直接與其他域控制器進(jìn)行通訊）。 制訂的網(wǎng)絡(luò)路由或安全策略禁止各域控制器直接與其他各域控制器進(jìn)行通訊。 Active Directory設(shè)計(jì)中包括大量站點(diǎn)。返回頁(yè)首附錄：復(fù)制拓?fù)涓拍顝?fù)制概述除了規(guī)模很小的網(wǎng)絡(luò)以外，必須將目錄數(shù)據(jù)放在網(wǎng)絡(luò)中的多個(gè)位置，以使所有 用戶都有均等機(jī)會(huì)使用它們。通過(guò)復(fù)制，Active Dire

20、ctory可以將目錄數(shù)據(jù)副 本保存在多個(gè)域控制器中，確保所有用戶都可以使用目錄并獲得較好的性能。Active Directory使用一種多主復(fù)制模型，這使得您可以在任意域控制器中對(duì) 目錄進(jìn)行更改，而不僅僅是在指定的主域控制器中。Active Directory依賴站 點(diǎn)概念來(lái)幫助保持較高的復(fù)制效率，并依賴KCC來(lái)自動(dòng)確定網(wǎng)絡(luò)中的最佳復(fù)制 拓?fù)?。為?fù)制組織數(shù)據(jù)數(shù)據(jù)存儲(chǔ)在目錄存儲(chǔ)中的各個(gè)域控制器內(nèi)；在邏輯上，該目錄存儲(chǔ)又劃分為特 定的目錄分區(qū)。每個(gè)分區(qū)存儲(chǔ)不同類型的目錄數(shù)據(jù)：域數(shù)據(jù)、林架構(gòu)數(shù)據(jù)、林配 置數(shù)據(jù)或應(yīng)用程序數(shù) 據(jù)等。林內(nèi)的所有域控制器都保存該林架構(gòu)和配置分區(qū)的 副本，而特定域內(nèi)的所有域控制器都保存該域的域分區(qū)的副本。應(yīng)用程序目錄分 區(qū)保存針對(duì)特定應(yīng)用程序的目錄數(shù)據(jù)，這些分區(qū)可由屬于不同域的