【正文】 :Windows2023目錄服務(wù)基礎(chǔ)結(jié)構(gòu)設(shè)計(jì)與管理 高培國際認(rèn)證中心， 版權(quán)所有，不得用于其它培訓(xùn)目的。 GC和登錄過程 ?GC提供 ? 提供通用組成員資格信息給處理登錄的 DC ? 當(dāng)用戶登錄用一個(gè)用戶主要名稱 UPN（ 如：） 時(shí)，提供域信息 ?User登錄 ?域 ?域 ?域 ?域 ?域 GC服務(wù)器 2023/3/29 2154A:Windows2023目錄服務(wù)基礎(chǔ)結(jié)構(gòu)設(shè)計(jì)與管理 高培國際認(rèn)證中心， 版權(quán)所有，不得用于其它培訓(xùn)目的。 ? 全局目錄和驗(yàn)證 – 用戶登錄時(shí)，如果驗(yàn)證域 DC沒有帳號的直接信息，則查詢 DC ? 如： suzanf在 – 在單個(gè)域中，用戶登錄不需要 GC 2023/3/29 2154A:Windows2023目錄服務(wù)基礎(chǔ)結(jié)構(gòu)設(shè)計(jì)與管理 高培國際認(rèn)證中心， 版權(quán)所有，不得用于其它培訓(xùn)目的。 建立一個(gè) GC服務(wù)器 AD 站點(diǎn)和服務(wù) Console Window Help Active View Tree Name Type Description Active Directory Sites and Services Sites DefaultFirstSiteName Servers InterSite Transports Subs ATLANTA LONDON New Active Directory Connection New All Tasks New Window from Here Delete Refresh 屬性 Help NTDS Settings Properties General Object Security NTDS Settings Description: Query Policy: 全局編錄 Domain Controller Default Query Policy 啟用或者禁用 全局編錄 GC 2023/3/29 2154A:Windows2023目錄服務(wù)基礎(chǔ)結(jié)構(gòu)設(shè)計(jì)與管理 高培國際認(rèn)證中心， 版權(quán)所有，不得用于其它培訓(xùn)目的。 107在目錄樹和目錄林中使用組的策略 ? 使用安全 組 的好處 – 安全權(quán)限的一致性 – DACL不會(huì)經(jīng)常改變，便于管理和審查 ? 通用組 – 成員資格存儲于 GC， 變化后增加復(fù)制通信 – 而全局組和域本地組只存儲 列表 到 GC ? 成員資源不在列表中 – 盡量少用，盡量只加入 組 成員 ? 如，應(yīng)將全局組加入通用組 2023/3/29 2154A:Windows2023目錄服務(wù)基礎(chǔ)結(jié)構(gòu)設(shè)計(jì)與管理 高培國際認(rèn)證中心， 版權(quán)所有，不得用于其它培訓(xùn)目的。 通用組和復(fù)制 GC服務(wù)器 通用組 . . . 并且復(fù)制到目錄林中所有的 GC服務(wù)器 通用組中所有成員的變化被更新在 GC中 … ? 盡量減少通用組的使用 ? 盡量使通用組的成員是組而不是用戶帳號 ? 盡量減少組成員資格的變化 將復(fù)制流量減小到最小化 2023/3/29 2154A:Windows2023目錄服務(wù)基礎(chǔ)結(jié)構(gòu)設(shè)計(jì)與管理 高培國際認(rèn)證中心， 版權(quán)所有，不得用于其它培訓(xùn)目的。 使用通用組的嵌套策略 加用戶帳號到全局組 全局組 用戶 把每個(gè)域的全局組 加入到通用組 全局組 通用組 全局組加入全局組 (可選 ) 全局組 全局組 加通用組到 每一個(gè)域的域本地組 通用組 域本地組 DLG 給每個(gè)域的域本地組 指派權(quán)限 權(quán)限 域本地組 DLG 2023/3/29 2154A:Windows2023目錄服務(wù)基礎(chǔ)結(jié)構(gòu)設(shè)計(jì)與管理 高培國際認(rèn)證中心， 版權(quán)所有，不得用于其它培訓(xùn)目的。 108 實(shí)驗(yàn) B： 在目錄林中使用組 2023/3/29 2154A:Windows2023目錄服務(wù)基礎(chǔ)結(jié)構(gòu)設(shè)計(jì)與管理 高培國際認(rèn)證中心， 版權(quán)所有，不得用于其它培訓(xùn)目的。 109 解決創(chuàng)建和管理目錄樹和目錄林過程中出現(xiàn)的問題 ? 快捷方式信任沒有使用 – 訪問，驗(yàn)證 ? 不能登錄到域 – DNS、 GC ? 在有些域上不能創(chuàng)建通用組 – 本機(jī)模式 2023/3/29 2154A:Windows2023目錄服務(wù)基礎(chǔ)結(jié)構(gòu)設(shè)計(jì)與管理 高培國際認(rèn)證中心， 版權(quán)所有，不得用于其它培訓(xùn)目的。 1010最佳方案 ? 使用 AGGUDLP ? 信任路徑過長時(shí)，創(chuàng)建快捷信任方式 ? GC放在許多用戶登錄的站點(diǎn)上 2023/3/29 2154A:Windows2023目錄服務(wù)基礎(chǔ)結(jié)構(gòu)設(shè)計(jì)與管理 高培國際認(rèn)證中心， 版權(quán)所有，不得用于其它培訓(xùn)目的。 管理活動(dòng)目錄復(fù)制 11 2023/3/29 2154A:Windows2023目錄服務(wù)基礎(chǔ)結(jié)構(gòu)設(shè)計(jì)與管理 高培國際認(rèn)證中心， 版權(quán)所有，不得用于其它培訓(xùn)目的。 111概述 ? AD復(fù)制 ? 站點(diǎn)的作用：優(yōu)化和管理 AD復(fù)制 – 如北京、上海、大慶，組成一個(gè)域 ? 2023：多主控復(fù)制 – 高效、容錯(cuò)，但易沖突 – NT： 單主控復(fù)制，一個(gè) PDC對多 BDC ? AD復(fù)制的作用 – 整個(gè)網(wǎng)絡(luò)上 AD數(shù)據(jù)的一致性 2023/3/29 2154A:Windows2023目錄服務(wù)基礎(chǔ)結(jié)構(gòu)設(shè)計(jì)與管理 高培國際認(rèn)證中心， 版權(quán)所有，不得用于其它培訓(xùn)目的。 ? AD復(fù)制保證 – 整個(gè)網(wǎng)絡(luò)上的所有 DC和客戶機(jī) – 都獲得 AD上的所有信息 – 域內(nèi)復(fù)制、域間復(fù)制 – 站點(diǎn)內(nèi)復(fù)制、站點(diǎn)間復(fù)制 ? 多主控復(fù)制 – 操作主控規(guī)則，解決沖突問題 112 活動(dòng)目錄復(fù)制介紹 2023/3/29 2154A:Windows2023目錄服務(wù)基礎(chǔ)結(jié)構(gòu)設(shè)計(jì)與管理 高培國際認(rèn)證中心， 版權(quán)所有，不得用于其它培訓(xùn)目的。 活動(dòng)目錄復(fù)制介紹 復(fù)制 DC B DC C DC A 緩慢收斂？？ 的多主控復(fù)制 2023/3/29 2154A:Windows2023目錄服務(wù)基礎(chǔ)結(jié)構(gòu)設(shè)計(jì)與管理 高培國際認(rèn)證中心， 版權(quán)所有，不得用于其它培訓(xùn)目的。 ? 自動(dòng)構(gòu)建環(huán)型復(fù)制拓?fù)浣Y(jié)構(gòu) ? 添加、修改、移動(dòng)、刪除都能觸發(fā)復(fù)制 ? 分為： – 初始更新（本地更新） – 復(fù)制更新 113 復(fù)制組件和進(jìn)程 2023/3/29 2154A:Windows2023目錄服務(wù)基礎(chǔ)結(jié)構(gòu)設(shè)計(jì)與管理 高培國際認(rèn)證中心， 版權(quán)所有，不得用于其它培訓(xùn)目的。 復(fù)制 初始更新 DC A DC B DC C 復(fù)制更新 復(fù)制更新 復(fù)制如何工作 活動(dòng)目錄更新 ? 移動(dòng) ? 刪除 ? 添加 ? 修改 2023/3/29 2154A:Windows2023目錄服務(wù)基礎(chǔ)結(jié)構(gòu)設(shè)計(jì)與管理 高培國際認(rèn)證中心， 版權(quán)所有，不得用于其它培訓(xùn)目的。 復(fù)制等待時(shí)間 復(fù)制 初始更新 DC A 變化通知 變化通知 DC C DC B 復(fù)制更新 復(fù)制更新 ? 默認(rèn)復(fù)制等待時(shí)間 =5分鐘， 段數(shù)：最大 3，最大傳播延遲為 15分鐘 ? 當(dāng)沒有變化，周期性復(fù)制間隔 =1小時(shí) ? 緊急復(fù)制 （安全性 屬性變化 ） = 立即變化通知 ? 不需要等待默認(rèn)的 5分鐘 2023/3/29 2154A:Windows2023目錄服務(wù)基礎(chǔ)結(jié)構(gòu)設(shè)計(jì)與管理 高培國際認(rèn)證中心， 版權(quán)所有，不得用于其它培訓(xùn)目的。 解決復(fù)制沖突問題 DC A 初始更新 DC B 沖突 初始更新 印記 印記 沖突 版本號 時(shí)間戳 服務(wù)器 GUID 印記 沖突發(fā)生，由于 : ? 屬性值， 如兩個(gè)管理員在兩個(gè) DC上修改同一對象同一屬性 ? 在刪除的容器對象上添加 /移動(dòng)容器對象 ? 同屬名字（重名） 2023/3/29 2154A:Windows2023目錄服務(wù)基礎(chǔ)結(jié)構(gòu)設(shè)計(jì)與管理 高培國際認(rèn)證中心， 版權(quán)所有，不得用于其它培訓(xùn)目的。 ? 盡量減少?zèng)_突（對象 —屬性） – DC存儲變化，在屬性層次上 ? 而不是在對象層次上存儲并復(fù)制對象的變化 ? 這樣，兩個(gè)不同屬性的變化，不會(huì)引起沖突 ? 如：同時(shí)改同一個(gè)用戶的口令、電話 ? 全局唯一印記 (stamp) – 屬性值：高印記 – LostAndFound容器 – 同屬名字：加星號標(biāo)記等 2023/3/29 2154A:Windows2023目錄服務(wù)基礎(chǔ)結(jié)構(gòu)設(shè)計(jì)與管理 高培國際認(rèn)證中心， 版權(quán)所有，不得用于其它培訓(xùn)目的。 優(yōu)化復(fù)制： 初始更新 復(fù)制更新 GUID USN GUID 更新順序號 USN UpToDateness 矢量 DC A DC B 復(fù)制更新 GUID USN DC C AD利用傳播阻尼的最新向量，防止多次沿不同復(fù)制 路徑復(fù)制到相同 DC的更新（復(fù)雜的數(shù)字算法） 2023/3/29 2154A:Windows2023目錄服務(wù)基礎(chǔ)結(jié)構(gòu)設(shè)計(jì)與管理 高培國際認(rèn)證中心， 版權(quán)所有，不得用于其它培訓(xùn)目的。 Propagation Dampening ? Process of Preventing Unnecessary Replication ? Prevents Updates Being Replicated More Than Once ? Update Sequence Numbers (USN) – Resolve conflicting updates – Are distinctly maintained on each domain controller – Cannot be separated from their associated update – Prevent loss and duplication of updates ? Uptodateness Vector represent the highest originating update received from each domain controller ? High Watermark Vector 2023/3/29 2154A:Windows2023目錄服務(wù)基礎(chǔ)結(jié)構(gòu)設(shè)計(jì)與管理 高培國際認(rèn)證中心， 版權(quán)所有，不得用于其它培訓(xùn)目的。 Replication Example From ServerA High watermark 8 Uptodate vector 3 ServerC 14 2 From ServerA High watermark 9 Uptodate vector 9 ServerC 14 2 From ServerA High watermark 9 Uptodate vector 9 ServerC 15 2 2023/3/29 2154A:Windows2023目錄服務(wù)基礎(chǔ)結(jié)構(gòu)設(shè)計(jì)與管理 高培國際認(rèn)證中心， 版權(quán)所有，不得用于其它培訓(xùn)目的。 The metadata information stored in object ? Update password ? GUID of the server that performed the originating write (server A) ? Local USN of the update on the attribute (USN 9) ? USN of the server that performed the originating write on the attribute (USN 9) 2023/3/29 2154A:Windows2023目錄服務(wù)基礎(chǔ)結(jié)構(gòu)設(shè)計(jì)與管理 高培國際認(rèn)證中心， 版權(quán)所有，不得用于其它培訓(xùn)目的。 The metadata information stored in object ? Update password ? GUID of the server that performed the originating write (server A) ? Local USN of the update on the attribute (USN 7 or 15) ? USN of the server that performed the originating write on the attribute (USN 9) 2023/3/29 2154A:Windows2023目錄服務(wù)基礎(chǔ)結(jié)構(gòu)設(shè)計(jì)與管理 高培國際認(rèn)證中心， 版權(quán)所有，不得用于其它培訓(xùn)目的。 ? 復(fù)制拓?fù)?—復(fù)制在整個(gè)網(wǎng)絡(luò)上傳播的路徑 – 確定 DC與哪個(gè)具體的 DC進(jìn)行復(fù)制 ? AD數(shù)據(jù)庫按邏輯劃分成目錄分區(qū) ? 每個(gè)目錄分區(qū)都是一個(gè)復(fù)制單元 – 每個(gè)目錄分區(qū)都