>>附录：Windows 2000 的一些基本概念

附录：Windows 2000 的一些基本概念

本章主要内容： 1、　网络目录 2、　X.500 推荐标准 3、　Kerberos 4、　ADS 的引入及其相关概念 5、　DNS、DHCP、WINS 服务在 Windows 2000 Server 中的新变化 6、　账号与安全 　　1. 什么是网络目录 　　在目录服务出现之前，大多数的网络操作系统都是"基于服务器"的操作系统，即多数的帐户管理工作都是由网络中的各个服务器独立完成的，每台服务器都维护着一个用户列表，它记录了用户是否可以访问它的资源（帐户数据库）及相应用户访问资源的权限（访问控制列表），即资源的分散管理。 　　网络目录的引入解决了上面的问题，网络目录是一个存储着用于访问、管理或配置网络的信息的数据库。

它们可以存储多种不同类型的信息，包括：
§　用户帐户信息（登录名、口令、权限）
§　用户个人信息（电话号码、地址、雇员ID、部门、职位、工资等）
§　外围设备配置信息（打印机、扫描仪、传真、调制解调器）
§　应用程序配置信息（桌面系统参数、缺省目录）
§　安全信息
§　网络设备配置信息
　　只要用户能够想到的信息，都可以存储在目录中；当把这些信息都存储在一个统一的标准数据库中，用户可以利用它们完成许多工作。最为普遍地就是网络管理员利用这些信息完成网络访问控制和网络资源访问控制，从而使目录成为对大多数网络活动的集中控制中心。许多在早期网络中最难于解决的配置问题，在网络目录服务应用后都变得非常简单。目前一些成熟的网络目录有：
　　域名系统（Domain Name System）
　　Windows 因特网名称服务（Windows Internet Name Service）
　　NOVELL 目录服务（NOVELL Directory Service）
　　这些目录服务虽然工作方式和应用环境不同，但是它们都存储着用于访问或管理网络的信息，从实现集中化的网络管理。它们为在 Windows 2000 中新推出的 Active Directory Services 提供了有益的经验。

3. 什么是简化目录访问协议（LDAP）
　　在向目录中填入对象后，用户需要考虑的问题是如何提供一整套完善的数据访问功能用于向用户显示信息，以便用户查找和使用。利用 X.500 技术规范提供的目录访问协议 DAP 可以完成这一功能。DAP 定义了用于读取目录数据库信息和修改目录数据库的方法，DAP 在安全性上的可扩展性满足了 X.500 允许采用多种安全保护方法的需求，并且 DAP 利用将工作转移到客户机上的方法有效的降低了目录服务器的工作负荷。但是由于现有的客户机的无法提供足够资源以满足 DAP 软件得需要及 DAP 的兼容性差的原因，它并未得到广泛的应用，人们针对 DAP 的以上缺陷开发了一个新协议：简化目录访问协议 LDAP。LDAP 是 DAP 的一个子集，它能够实现 DAP 的大部分功能，它不是基于客户的服务，客户的许多处理工作还转移到了支持 LDAP 服务的服务器上，所以它对客户设备的要求很低，掌上型笔记本能够对目录进行远程服务就是得益于此；LDAP 客户软件包能够访问多家厂商提供的目录信息，由于以上优点大多数目录技术都将 LDAP 服务作为基本功能的一部分，ADS 也采用它作为其基本功能。LDAP 实际上是一个机制，用来与 Active Directory 通信，完成基本的读写和修改操作。

4. 什么是 kerberos V5 验证 
　　Windows 2000 支持两个内核确认协议：Windows NT LAN 管理器（NTLM）和 Kerberos，Kerberos 是首选的确认协议。当与 NT3.x－NT4.0 网络共存时，Windows 2000 利用 NTLM 实现安全访问确认，使访问共享资源生效。由于 Windows 2000 对多确认协议的透明支持，使得用户可以实现阶段性的将桌面系统迁移到 Windows 2000 如只将服务器升级到 Windows 2000 Server 而桌面操作系统仍为 Win95/98，对于这些用户 Windows 2000 采用 NTLM 确认模式。
　　在 Windows NT 3.x-4.0 中确认关系是不可传递的，即域 1 信任域 2，域 2 信任域 3，并不说明域 1 信任域 3。当采用 Kerberos 确认协议时，Windows 2000 支持传递信任。Kerberos 确认协议通过以下优点实现了在 Windows 2000 的精密级存取控制，大大提高了 Windows 2000 的安全性和访问控制的灵活性，这些是 NTLM 所无法比拟的：
　　Kerberos 是一个独立的平台，能广泛的实现安全协议
　　Kerberos 能更快的与其它计算机建立会话
　　Kerberos 的信任关系是完全可传递的
　　Kerberos 支持对确认的授权
　　Kerberos 使用对称加密技术

5. 什么是活动目录(Active Directory)
　　5.1 没有 ADS 的 Windows NT 系统
　　在 ADS 出现之前，WindowsNT（4.0及以前的版本）使用基于域的方式管理网络，它解决了"基于服务器"的操作系统中存在地许多问题，推动了网络的发展，基于域结构的网络地优点在于：
§　用户一次性登录，访问域内所有资源
§　集中管理用户、工作组和网络资源
§　对资源的一般性访问
　　而 Windows NT 在大型网络中使用时，由于其平面式的域间结构，域与域之间的资源共享需要通过域间信任来完成，且这种信任是无法传递的，所以增加了结构的复杂性和管理难度，它只能满足工作组级网络的需求，无法满足大型网络的需求。
　　5.2 什么是域
　　域：由用户和计算机组成的一个逻辑组。
　　在一个域中由域控制器统一的管理帐户数据库，管理所有的用户登录、资源访问认证及其它管理任务。用户的登录认证过程是一次性的认证过程，即用户只有在登录时才会访问域控制器，在以后访问网络的过程中即使它访问资源的权限发生变化，也不影响现有对网络资源的访问权限，只有重新登录才能使改变生效。

5.5 四种域模型
　　针对不同的网络应用环境，用户可以采用不同的域模型，域模型定义了用户环境中目录服务的结构。在 NT 环境中有四种基本的域模型，下面说明了它们的优缺点：
　　单域 所有用户和计算机都定义在一个域中，适用于需要进行集中管理的少于 40000 个对象的环境。其优缺点如下：
　　1. 单域模型的实现和管理简单，但随着资源的增加，系统性能会降低
　　2. 用户帐户的集中管理，但所有用户帐户存储在一个数据库中，无法按功能或位置进行分类
　　3. 域内资源的集中控制，与用户管理一样也无法按功能或位置进行分类
　　4. 不需要委托关系，随着服务器数量的增加，浏览器的性能会降低
　　单主域模型 至少包含两个域，在主域中定义了所有的用户帐户，在另一个域中管理所有的资源。在模型中，系统为域中的每项资源都建立了对主域的单向委托关系。它适用于成员对象大于 40000，集中的管理用户帐户，而且需要控制不同部门或位置的物理资源的用户环境。其优缺点如下：
　　1. 方便的集中控制多个工作组的资源，但随着用户数量的增加，系统性能会降低
　　2. 用户帐户的集中管理，但必须在每个资源域中定义本地工作组
　　3. 可以对资源进行逻辑分类（按部门、地理位置），资源域必须委托主域以便正确的设置全局工作组。
　　4. 全局工作组只能生成一次

多主域模型
　　在四种模型中缩放性最好的一种。它在单主域模型的基础上允许有多个域定义用户帐户。在这种模型中主域与主域之间具有双向委托关系，且每个资源域都与所有包含可能访问其资源的用户的主域保持单向委托关系。其优缺点如下：
　　1. 为具有中心信息部门的大型应用环境而设计，但必须在多个域中定义本地工作组和全局工作组
　　2. 可以灵活的缩放以适应不同规模的网络，但必须管理数量众多的委托关系
　　3. 每个域都可以进行独立的管理，但用户帐户分散存储在各个域的数据库中，会造成管理的混乱
　　完全委托模型
　　它充分利用了目录服务，每个域都具有用户帐户和资源帐户，每个域必须委托所有的其它域，这种模型适合于企业的各个部门或地方分支机构都需要控制自己的用户帐户和资源。其优缺点如下：
　　1. 适合于没有中心信息部门的企业应用，但需要管理数量众多的委托关系
　　2. 灵活的缩放以适合任何数量级的用户环境，随着域的增加管理负荷也相应增加
　　3. 每个域都可以进行独立的管理，但必须与其它管理员之间有清楚的职责划分
　　4. 用户和资源帐户被划分成多个便于管理的单位
　　以上用户回顾了不带 ADS 的 NT 操作系统的特点和优缺点，下面用户来讨论一些关于带有 ADS 的 NT 操作系统的基本概念。

5.6 带有 ADS 的 Windows 2000 系统
　　正如 Windows NT 的出现克服了"基于服务器"的网络操作系统在管理用户和资源时的缺点，而 Windows 2000 Server 和 Active Directory Services 的出现是用于解决基于域的网络环境对大型网络的应用过于复杂，无法满足扩展的需要。
　　体系结构。当使用活动目录时，网络和网络中的对象通过域、树、森林、信任关系、组织单元（OU）和站点的结构来进行组织。
　　内部交流。因为活动目录是基于标准的目录访问协议，因此它可以和其他的目录服务相互操作，并且可以被遵守协议的第三方应用程序进行访问。最后的部分描述活动目录如何与其他更广泛的技术相互交流的。
　　Windows 2000 操作系统中活动目录可以提供一下的优点：
　　与 DNS 集成。活动目录使用域名系统（DNS）。DNS 是一种 Internent 标准服务，它可以进行用户可读的计算机名称（例如 mycomputer.microsoft.com）和计算机可读的数值 Internet（IP）地址（由句号分隔的四位数）之间的转换。这使得运行在 TCP/IP 网络上的计算机可以识别和连接另一台计算机。
　　灵活的查询。用户和管理员可以使用"开始"菜单上的"查询"命令、桌面上的"我的网络"图标或者"活动目录用户和计算机连接"插件来根据对象的属性快速的查找网络上的对象。例如，可以使用一个人的姓、名、E-mail 名称、办公室地址或者其他属性来进行查找。查找信息的功能已经用全局目录进行了优化了。
　　可扩展性。活动目录是可扩展的，就是说管理员可以向模式中添加新的对象类，也可以向已经存在的对象类添加新的属性。模式包括每一个对象类和对象类属性的定义，它们可以存储在目录中。例如，可以向用户对象添加购买机构属性，然后可以将用户的购买机构范围做为用户帐号的一部分进行存储。

基于策略的管理。组策略是在初始化时对计算机或者用户进行的配置。所有的小组策略设置都包含在组策略对象（GPO）中，它可以应用与活动目录站点、域或组织单元中。GPO 设置确定对目录对象和域资源的访问、哪些资源域是用户可以访问的以及这些资源域应该如何使用。 
　　可伸缩性。活动目录包括一个或多个域，其中每一个都有一个或多个域控制器，这些控制器使用户可以对目录进行改变来任何满足网络的需求。多个域可以结合成为一个域树，而多个域树又可以结合成为一个森林。最简单的结构就是只有一个域、一个树和一个森林的网络。 
信息复制。用户可以在任何域控制器中更新目录。在一个域中配置多个域控制器可以提供容错功能和平衡网络负荷的功能。如果域中一个域控制器变慢、停止或出现故障，那么此时由于相同域中的其他的域控制器包含与它相同的数据，它们就可以提供必要的目录访问。 
　　信息安全。用户授权和访问控制的管理与活动目录完全的集成，它们是 Windows 2000 操作系统的重要安全特性。活动目录集中管理用户授权。访问控制不仅可以作用于目录中的每一个对象，还可以作用于每一个对象的任何属性上。此外，活动目录提供应用程序的安全存储和安全策略范围。
　　互操作性。因为活动目录是基于标准的目录访问协议，例如轻型目录访问协议（LDAP），因此它可以和其他使用这些协议的目录服务进行互操作。一些应用程序编程接口（API）--例如活动目录服务接口（ADSI）--使得开发者可以访问这些协议。
　　ADS 的目标
　　ADS 的总目标是为了减少用户和管理员在网络相关工作上的工作负荷。为了达到这一目的，ADS 通过提供通用的网络资源接口和直观的网络资源访问界面，使用户能够以一致性的方式管理自己的整个网络。

什么是域
　　Windows 2000 Server 中的域的概念与 NT 中域的概念并没有区别，只是将它的范围扩大到了整个网络。域是 ADS 树状结构的基石，最先建立的域用户称之为根域，它位于整个树状结构的顶级，并决定了 ADS 名字空间的起始点。如用户建立了一个根域为 NT2000.COM,可以在其下建立相应的子域如 ADS.NT2000.COM ,以后在根域下所建立的域均为其的子域。
　　在NT中用户利用建立域间委托实现域间的资源互访，在 Windows 2000 中这种委托关系仍然存在，但它们是缺省设置，与在 NT 中的委托关系的工作方式有所不同。在 Windows 2000 的树状结构中所有的子域都会自动与其父域建立双向委托关系，并且这种委托关系已经变为具有传递性。
　　什么是 OU(Organizational Units)
　　OU 对象是用于组织目录中资源的容器对象，它可以保含下列类型的对象：用户、计算机、工作组、打印机、应用程序、安全策略、文件共享、其它 OU,但只有一种对象不能包含在 OU 中，即其它域中的任何对象。组织机构给域带来了层次化的结构，就象是将多个域连接在一起形成了一个完整的目录，每个 OU 都象是一个子目录一样用于组织目录中的指定的不同资源。微软为了适应企业对目录结构的不同需求，提出了七种不同的基本 OU 结构模型：地理模型、对象模型、以成本为中心的模型、项目模型、业务单位模型、管理模型、及混合模型；用户可以根据企业自身业务的需要选择相应的模型。

什么是域树
　　当在域中用户创建了根域并在其下创建子域，这样由根域及其子域就组成了一个域树，一个域树必须有一个相邻的名字空间，并把根域名作为域名。按树结构主枝目录为用户带来了许多好处，在树结构中所有子域与父域之间都具有双向委托关系，并且这种委托关系具有可传递性，由此说明域树中的用户和组均可被授权访问树中的任何对象。
　　什么是域森林
　　在一个机构中如果包含多个域树并且希望在多个域树间共享资源，用户可以通过在域树间建立双向委托关系将它们联合在一起，即形成了所谓的域森林。这些树没有形成一个相邻的名字空间。在建立域森林后，所有树拥有一个公共的全局目录，包含森林中每个对象的特定信息。
　　什么是站点
　　站点反映网络的物理结构,站点为域树和域森林中的域控制器及其它计算机提供信息以识别连通性好的网络区域，以便域控制器间以最快速度复制变更信息。活动目录中每个站点可以包含多个域，并且一个域可以作为多个站点的成员。
　　什么是全局目录
　　全局目录是有活动目录自动创建，包含域树和域森林中的每个对象的多个属性，可以利用这些属性在目录中搜索整个域森林。而在域树中可以搜索对象的任何属性。在每个域中包含一个全局目录已经足够，过多的全局目录会造成网络带宽的浪费。

6. TCP/IP基础
TCP/IP的背景
　　传输控制协议/网际协议 (TCP/IP) 是业界标准的协议组，为跨越局域网和广域网环境的大规模互联网络设计，TCP/IP 始于 1969 年。
§　1974 年，传输控制协议 (TCP) 作为规范草案引入，描述了如何在网络上建立可靠的、主机对主机的数据传输服务。 
§　1981 年，网际协议 (IP) 以草案形式引入，描述了如何在互连的网络之间实现寻址的标准以及如何进行数据包的路由。 
　　1983 年 1 月 1 日，ARPANET 开始对所有的网络通讯和基本通讯都要求标准使用 TCP 和 IP 协议。
　　TCP/IP 协议组在各种 TCP/IP 软件中实现，可用于多种计算平台。今天，TCP/IP 在 Internet 上广泛使用，并经常用于建立大的路由专用互联网络。

TCP/IP 模型中每一层所执行的服务类型和所使用的协议在下表中详细描述。

IP地址
　　Internet 团体定义了五种类型的地址。A 类、B 类 和 C 类地址用于指派 TCP/IP 节点。
　　地址类定义了每个地址的网络 ID 和主机 ID 使用哪些位。地址类还定义了每个网络能支持多少网络和主机。
　　下表用 w.x.y.z 指定任意给定 IP 地址中的四个八位字节数。这个表用于显示：
§　 任意给定 IP 地址的第一个八位字节数 (w) 如何有效地表示地址类。
§　地址中的八位字节数如何分成网络 ID 和主机 ID。
§　每个网络可用于每个类的可能网络和主机数量。

Windows 2000 TCP/IP的新增功能
　　Windows 2000 TCP/IP 是：
§　基于工业标准网络协议的网络软件。
§　支持 Windows 计算机与局域网和广域网环境连接的可选择路由的企业网络协议。
§　用于 Windows 计算机和不同系统进行连接并共享信息的核心技术和实用程序。
§　访问全局 Internet 服务，如 World Wide Web 和文件传输协议 (FTP) 服务器的基础。
§　强健的、可缩放的、跨平台的客户/服务器框架。
　　Windows 2000 的 TCP/IP 已经更新，包括简化单个子网的配置、在高带宽的网络环境中优化 TCP 性能的许多功能。这些新功能包括支持：
§　自动专用地址配置。
§　大 TCP 窗口。
§　选择性确认。
§　更好的往返时间 (RTT) 估计。
§　ICMP 路由器发现。
§　DNS 缓存。
§　禁用 TCP/IP 上的 NetBIOS。

自动专用地址配置
　　使用"自动专用 IP 寻址 (APIPA)"为不包含 DHCP 服务器的单个子网网络自动执行 TCP/IP 地址配置。
　　默认情况下，运行 Windows 2000 的计算机首先尝试与网络上的 DHCP 服务器联系，以便为每个已安装的网络连接动态获得配置。
§　如果访问了 DHCP 服务器并且租约配置成功，则 TCP/IP 配置完成。 
§　如果不能访问 DHCP 服务器，则计算机改为使用 APIPA 自动配置 TCP/IP。使用 APIPA 时，Windows 2000 在 169.254.0.1 到 169.254.255.254 的保留 IP 地址范围内确定地址。这个地址用作临时的 IP 地址配置，直至找到 DHCP 服务器为止。将设置子网掩码为 255.255.0.0。 
　　IP 地址的 APIPA 范围是指定的网络编号机构 (IANA) 所保留的。这个范围内的任何 IP 地址都不用于 Internet。
　　APIPA 为不连接到 Internet 的单个网络的小型公司或家庭公司网络免去 IP 地址配置。
　　大 TCP 窗口
　　窗口大小反映不需要等候正确认就能发送的数据报的最大数量。当大量数据在发送者和接收者之间传输时，大 TCP 窗口能提高 TCP/IP 的性能。在典型的基于 TCP 的通讯中，窗口的最大尺寸通常在连接开始时固定并且最大限额为 64 KB。
　　通过支持大窗口，用户可以在较长的会话过程中使用 TCP 选项动态地重新计算和调整实际窗口大小。使用该选项，每次可以在网络上传输更多的数据包，以此增加吞吐量。

选择性确认
　　在典型的基于 TCP 的通讯中，确认是累积的。TCP 只确认与以前获得确认的数据段相邻的接收段。非相邻段，即不按顺序接收的段，不能明确确认。TCP 要求在很短的时间内接收并确认段，而丢失的段及所有跟随其后的段都必需重新传输。
　　选择性确认是最新的 TCP 选项，它允许接收者有选择地通知和请求发送者只重新发送实际丢失的数据。这样可以减少需要重新传输的数据量，更好地利用网络带宽。
　　更好的 RTT 估计
　　TCP 用往返时间 (RTT) 估计在发送者和接收者之间往返通讯所需要的时间。Windows 2000 支持"TCP 往返时间测量"选项来改进估计 RTT。通过经常计算更精确的 RTT 信息，TCP 能更好地估计时间来设置重新传输计时器，这有助于提高整个 IP 速度和性能。
　　对估计 RTT 的改进明显有助于长时间的往返网络链路，如跨洲的广域网或使用无线或卫星通讯的链路。
　　ICMP 路由器发现
　　Internet 控制消息协议 (ICMP) 路由器发现是在默认网关不是手动配置或用 DHCP 指派时用 ICMP 消息发现网段上的默认网关。ICMP 路由器发现由两个 ICMP 消息组成：路由器请求和路由器公布。路由器请求由主机发送以发现网络上的路由器。路由器公布由路由器发送响应路由器请求，并且周期性地通知网络上的主机该路由器仍然可用。默认情况下，ICMP 路由器发现在 Windows 2000 主机的 TCP/IP 上是启用的。
　　可以将运行"路由和远程访问"服务的 Windows 2000 Server 计算机配置成支持 ICMP 路由器发现的路由器。

禁用 NetBT 的一个很好的范例就是连接专用网络和外部网络（如 Internet）的服务器。在这种情况下，Internet 连接不要求 NetBT。通过只对 Internet 连接禁用 NetBT，双重宿主的计算机可以继续用作 WINS 服务器或内部网络的客户机，并且 WINS 客户机仍然为计算机上安装的其他物理网卡产生的连接提供服务。
　　可以在 TCP/IP 协议属性中的"WINS"选项卡上禁用 NetBT。
　　Windows 2000 TCP/IP 的安全功能
　　Windows 2000 TCP/IP 合并了在网络上发送 TCP/IP 数据时提供保护以及处理各种本地主机通讯配置的安全功能。
　　网际协议安全
　　网际协议安全 (IPSec) 是一组 Internet 标准，使用加密安全服务提供：
§　机密 
　　IPSec 通信是经过加密的。如果不知道加密密钥，捕获的 IPSec 通信也是无法知道的。
§　身份验证 
　　IPSec 通信是经过数字签名的，带有共享的加密钥匙，因此接收者可以验证它是由 IPSec 端发送的。
§　数据完整性 
　　IPSec 通信包含合并到加密钥匙中的加密求校验和。接收方可以确认数据包在传输中是否没有被修改。

7. 动态主机配置协议（DHCP）
　　动态主机配置协议 (DHCP) 是一种简化主机 IP 配置管理的 TCP/IP 标准。DHCP 标准为 DHCP 服务器的使用提供了一种有效的方法：即管理 IP 地址的动态分配以及网络上启用 DHCP 客户机的其他相关配置信息。TCP/IP 网络上的每台计算机都必须有唯一的计算机名称和 IP 地址。IP 地址（以及与之相关的子网掩码）标识主计算机及其连接的子网。将计算机移动到不同的子网时，必须更改 IP 地址。DHCP 允许用户从本地网络上的 DHCP 服务器 IP 地址数据库中为客户机动态指派 IP 地址。对于基于 TCP/IP 的网络，DHCP 减少了重新配置计算机所涉及的管理员的工作量和复杂性。Windows 2000 Server 中的 DHCP 提供以下新功能：
§　为 DHCP 管理员和用户提供有限的服务器和控制台访问的新本地组。 
§　IP 地址的自动指派
§　增强的性能监视和服务器报告能力
§　多播作用域和超级作用域的扩展作用域支持
§　对用户指定和供应商指定选项类别的支持 
§　DHCP 与 DNS 的集成
§　通过使用 Active Directory 集成来检测未授权的 DHCP 服务器。
§　BOOTP 客户机的动态支持。 
　　在第十一章中用户还要深入的学习DHCP服务器的安装、配置与管理。

8. Windows 网际名称服务（WINS）
　　Windows Internet 命名服务 (WINS) 为注册和查询网络上计算机和用户组 NetBIOS 名称的动态映射提供分布式数据库。WINS 将 NetBIOS 名称映射为 IP 地址，并设计以解决路由环境的 NetBIOS 名称解析中所出现的问题。WINS 对于使用 TCP/IP 上的 NetBIOS 路由网络中的 NetBIOS 名称解析是最佳选择。在Windows 2000 网络中仍然保留了WINS服务并且进行了改进，这主要是为了与非Windows 2000环境的客户机共同使用。Windows 2000 提供了以下 WINS 增强特性：
§　持续连接
§　手动逻辑删除
§　增强的管理实用程序
§　使用和管理高级 WINS 特性更加容易
§　增强的筛选及记录搜索功能

§　动态记录删除和多选
§　记录验证和版本号有效性
§　导出功能
§　对客户增强的容错能力
§　客户端名的动态重新插入
§　只读控制台访问 WINS 控制台。
§　WINS 服务器的命令行管理。
§　增强的数据库引擎。
　　而在纯 Windows 2000 的环境中使用 DNS 作为名字确认方案，每个域都由一个 DNS 域名来代表，所以可以不使用 WINS 服务。用户将在第十二章中深入的学习 WINS 的安装与配置。

9. 动态域名服务器（DDNS）
　　DNS 是域名系统 (Domain Name System) 的缩写，是一种组织成域层次结构的计算机和网络服务命名系统。DNS 命名用于 TCP/IP 网络，如 Internet，用来通过用户友好的名称定位计算机和服务。当用户在应用程序中输入 DNS 名称时，DNS 服务可以将此名称解析为与此名称相关的其他信息，如 IP 地址。动态更新允许 DNS 客户机在发生更改的任何时候使用 DNS 服务器注册和动态地更新其资源记录。它减少了对区域记录进行手动管理的需要，特别对于频繁移动或改变位置并使用 DHCP 获得 IP 地址的客户机更是如此。对于 Windows 2000 Server，DNS 服务器的服务已经集成到 Active Directory 的设计和实现中，它是由 Microsoft 为使用 Windows NT 技术的网络所设计的下一代目录服务。由于它们的结合为用户带来了以下好处：
§　以 Active Directory 的能力为基础的多主机更新和增强的安全性
§　只要将新的区域添加到 Active Directory，区域就会自动复制并同步至新的 DC
§　通过将 DNS 区域数据库的存储集成到 Active Directory 中，可以简化针为网络规划的数据库复制过程。
§　与标准 DNS 复制相比，目录复制更快捷、更有效
　　用户将在第五章中深入的学习 DDNS 的安装与配置。

组作用域
　　每个安全组和通讯组均具有作用域，该作用域标识组在域树或树林中所应用的范围。有三类不同的作用域通用、全局和域本地。
§　有通用作用域的组可将其成员作为来自域树或树林中任何 Windows 2000 域的组和帐户，并且在域树或树林的任何域中都可获得权限。有通用作用域的组称为通用组。
§　有全局作用域的组可将其成员作为仅来自组所定义的域的组和帐户，并且在树林的任何域中都可获得权限。有全局作用域的组称作全局组。
§　具有域本地作用域的组可将其成员作为来自 Windows 2000 或 Windows NT 域的组和帐户，并且可用于仅在域中授予权限。具有域本地作用域的组称作域本地组。

　　如果具有多个树林，仅在一个树林中定义的用户不能放入在另一个树林中定义的组，并且仅在一个树林中定义的组不能指派另一个树林中的权限。

下表显示了这些组拥有的默认权利：

（续表）

（续表）

（续表）

在默认情况下，用户创建的任何用户帐户都将自动添加到域用户组中，并且用户创建的任何计算机帐户都将自动添加到域计算机组。可使用域用户和域计算机组来表示域中创建的全部帐户。例如，如果用户希望本域中所有用户有访问打印机的权限，可将打印机的权限指派给域用户组（或将域用户组放入具有打印机权限的域本地组中）。
　　特殊身份
　　除"内置"和"用户"文件夹中的组以外，Windows 2000 Server 还包括几种特殊身份：为方便起见，这些身份通称为组。这些特殊组没有用户可修改的特别成员身份，但是它们能根据环境在不同时间代表不同用户。这三个特殊组为：
§　每个人 
　　代表所有当前网络的用户，包括来自其他域的来宾和用户。无论用户何时登录到网络上，它们都将被自动添加到 Everyone 组。
§　网络 
　　代表当前通过网络访问给定资源的用户（不是通过从本地登录到资源所在的计算机来访问资源的用户）。无论用户何时通过网络访问给定的资源，它们都将自动添加到网络组。
§　交互 
　　代表当前登录到特定计算机上并且访问该计算机上给定资源的所有用户（不是通过网络访问资源的用户）。无论用户何时访问当前登录的计算机上所给的资源，它们都被自动添加到交互组。

§　有通用作用域的组的复制
　　对存储在全局编录中的数据的更改将复制到树林的每个全局编录中。有通用作用域的组及其成员列在全局编录中。有通用作用域的组的一个成员更改时，整个组成员身份都必须复制到域树或树林中的所有全局编录中。
　　具有全局或域本地作用域的组也列在全局编录中，但未列出其成员。这将会减小全局编录的大小，并且明显减少需要随时更新全局编录的复制通信量。可通过为经常更改的目录对象使用具有全局或域本地作用域的组来提高网络性能。
§　网络带宽
　　每个用户的安全令牌都被发送到用户访问的每台计算机，以使目标计算机能够对照该计算机上所有资源的权限列表比较包含在令牌内的所有安全 ID，从而决定用户在该计算机上是否有相应的权利或权限。目标计算机还检查令牌中的任何安全 ID 是否属于目标计算机上的任何本地组。
　　用户所属的组越多，其安全令牌就越大。如果用户的网络有大量用户，这些大型安全令牌对网络带宽和域控制器处理能力的影响非常明显。

安全模型
　　Windows 2000 安全模型的主要功能是用户身份验证和访问控制。 
　　用户身份验证: Windows 2000 安全模型包括用户身份验证的概念，这种身份验证赋予用户登录系统访问网络资源的能力。在这种身份验证模型中，安全性系统提供了两种类型的身份验证：交互式登录(根据用户的本地计算机或 Active Directory 帐户确认用户的身份)和网络身份验证（根据此用户试图访问的任何网络服务确认用户的身份）。为提供这种类型的身份验证，Windows 2000 安全系统包括了三种不同的身份验证机制：Kerberos V5、公钥证书和 NTLM（与 Windows NT 4.0 系统兼容）。 
　　基于对象的访问控制：通过用户身份验证，Windows 2000 允许管理员控制对网上资源或对象的访问。Windows 2000 通过允许管理员为存储在 Active Directory 中的对象分配安全描述符实现访问控制。安全描述符列出了允许访问对象的用户和组，以及分配给这些用户和组的特殊权限。安全描述符还指定了需要为对象审核的不同访问事件。文件、打印机和服务都是对象的实例。通过管理对象的属性，管理员可以设置权限，分配所有权以及监视用户访问。

域的体系结构
　　域和安全性
　　域是网络对象的分组。例如：用户、组和计算机。域中所有的对象都存储在 Active Directory 下。Active Directory 可以常驻在某个域中的一个或多个域控制器下。每个域都是一个安全界限，这意味着安全策略和设置（例如系统管理权利、安全策略和访问控制表）不能跨越不同的域。特定域的系统管理员有权设置仅属于该域的策略。由于每个域都是一个安全壁垒，因此不同的系统管理员可以在单位中创建和管理不同的域。 理解域的关键是： 
　　安全策略可以贯穿整个域来实现。 
　　为保证数据库的同步，包括安全信息的 Active Directory 会定期复制到域中每个域控制器。 
　　Active Directory 中的对象可以按组织单位的不同级别进行组织和管理。 
　　可转移的信任关系可以建立在域树中的域之间。 
　　单个域和多个域
　　Windows NT 4.0 限制了目录可以存储的用户帐户的个数。因此，为了适应大计算环境的需要，创建和管理多个域而且每个都拥有自己的用户帐户目录对于单位来说就非常必要了。域通常按以下两种类型进行组织：主域（存储用户和组的帐户）和资源域（存储文件、打印机、应用程序服务等等）。
　　这种多域的计算环境被称为多主域模式。多主域模式意味着资源域需要与所有的主域具有多个信任关系。这些信任关系允许主域的用户访问资源域中的资源。

身份验证
　　身份验证是系统安全性的一个基本方面。它负责确认试图登录域或访问网络资源的任何用户的身份。Windows 2000 身份验证允许对整个网络资源进行单独登记。采用单独登记的方法，用户可以使用单个密码或智能卡一次登录到域，然后通过身份验证向域中的所有计算机表明身份。
　　身份验证过程
　　在 Windows 2000 计算环境中成功的用户身份验证包括两个独立的过程：
　　交互式登录向域帐户或本地计算机确定用户的身份
　　网络身份验证对该用户试图访问的任何网络服务确定用户身份
　　身份验证类型
　　Windows 2000 支持几种工业标准的身份验证类型。验证用户身份时，Windows 2000 依据多种要素使用不同种类的身份验证。Windows 2000 支持的身份验证类型有： 
　　Kerberos V5 身份验证
　　Kerberos V5 是在域中进行身份验证的主要安全协议。Kerberos V5 协议校验了用户的身份和网络服务。这种双重验证被称为相互身份验证。这也是为系统服务提供的默认网络身份验证方法。
　　Kerberos V5 的工作原理
　　Kerberos V5 身份验证机制颁发用于访问网络服务的票证。这些票证包含加密的数据，包括加密的密码，用于向请求的服务确定用户的身份。除了输入密码或智能卡凭据，整个身份验证过程对用户都是不可见的。Kerberos V5 中的一项重要服务是密钥分发中心 (KDC)。KDC 作为 Active Directory 的一部分在每个域控制器上运行，它存储了所有客户密码和其他帐户信息。

Kerberos V5 身份验证过程按如下方式工作： 
　　客户端系统上的用户使用密码或智能卡对 KDC 进行身份验证。 
　　KDC 向此客户颁发了一个特别的授权票证。客户系统使用 TGT 访问授票服务 (TGS)，这是域控制器上的Kerberos V5 身份验证机制的一部分。 
　　TGS 接着向客户颁发服务票证。 
　　客户向请求的网络服务出示服务票证。服务票证向此服务证明用户的身份，同时也向该用户证明服务的身份。 
　　Kerberos V5 和域控制器
　　Kerberos V5 服务安装在每个域控制器上，并且 Kerberos 客户端安装在每个 Windows 2000 工作站和服务器上。 每个域控制器作为 KDC 使用。Windows 2000 系统使用域名服务器 (DNS) 查找最近的可用域控制器的位置。域控制器在用户登录会话中作为该用户的首选 KDC 运行。如果首选 KDC 不可用，Windows 2000 系统查找预备的 KDC 来提供身份验证。
　　身份验证的委派
　　身份验证的委派是管理员授予用户或计算机帐户的一种特权。在默认情况下，只有域管理员才被授予这一特权。这一特权必须有选择性地指派给可信任的服务。在 N 层的应用程序中，用户向中层服务验证身份。中层服务代表用户向后端数据服务器验证身份。委派取决于信任委派的中层