Windows Server 2008 網域設計四大常見誤區與正確觀念解析

Active Directory 網域是企業網路核心，設計不當將造成管理混亂與安全隱憂。以下為四大典型誤區及正確作法：

誤區一：混淆功能等級，無法發揮新功能效能

功能等級決定網域控制站可用的功能集。2008 支援 2000 原生、2003、2008 三種等級。若為相容舊版 DC 而停留在 2003 等級，將無法使用「細微密碼原則」、「AD 回收桶」等 2008 新功能。正確做法：先評估企業所需新功能，再決定可接受的最低功能等級，而非先定等級再看犧牲何功能。

誤區二：為每個分公司建立獨立網域

網域是邏輯邊界而非物理邊界。分公司規模較小（數十人）時，應在單一網域內利用「唯讀網域控制站」（RODC）解決安全與頻寬問題，避免多網域增加信任關係與管理成本。僅當分公司為獨立法人、規模達百人以上且需獨立管理權限時，才考慮建立子網域或樹系。

誤區三：混淆「信任關係」與「存取權限」

網域樹間預設雙向可轉移信任，但信任 ≠ 權限。A 信任 B、B 信任 C，不代表 B 管理員能管理 C 資源。信任僅提供驗證路徑，跨網域存取仍需明式授權。預設下，子網域管理員無法存取父網域或平行網域資源，必須由資源擁有者下發權限。

誤區四：沿用預設 NTLM 驗證而非更安全的 Kerberos

2008 預設仍啟用 NTLM（相容性考量），但 NTLM 易受字典/暴力破解。高安全性環境應透過群組原則強制使用 Kerberos：電腦設定 → Windows 設定 → 安全性設定 → 區域原則 → 安全性選項 → 網路安全性：限制 NTLM 設為「拒絕全部」或僅允許特定伺服器。

釐清這四大觀念，能建立安全、可擴充且易管理的 AD 架構。