Active Directory 核心技術架構：整合性、全面性與易用性 (ICE) 深度解析

Active Directory (AD) 是 Windows 2000 網路作業系統的核心支柱，體現微軟「ICE」設計哲學：整合性、全面性、易用性。本文深度解析 AD 邏輯/物理結構、核心機制與管理優勢。

AD 發展脈絡

Windows NT 4.0 以「網域」為目錄服務基本單元，實現「單一登入」整合 IIS、Exchange、SQL Server。Windows 2000 進化為 AD，採用 Exchange 資料存放區技術 (ESE 引擎)，突破 NT 4.0 SAM 40MB/4萬用戶限制，支援千萬物件、分層命名空間、樹系架構。

六大關鍵特徵

• 分層可延伸命名空間 (OU、樹、樹系)
• 多主複寫 (無 PDC/BDC 之分，所有 DC 可讀寫)
• 線上備份與還原
• 動態可延伸結構描述 (Schema)
• 基於 DNS 命名協定
• LDAP 作為核心互通協定 (v2/v3)

邏輯結構：OU、網域、樹、樹系

• OU (組織單位)：容器物件，依部門/地理/功能組織資源，支援細粒度委派管理 (ACL 控制至屬性層級)，減少網域數量需求。
• 網域：安全性邊界、複寫邊界、管理邊界。網域間透過 Kerberos 雙向可傳遞信任組成樹。
• 樹系：一或多個不連續命名空間的樹，共享 Schema、Configuration、全域目錄。

物理結構：網站與網域控制站

• 網站：依 IP 子網與高速連線定義，優化複寫拓撲 (站內即時複寫、站間排程壓縮複寫) 與用戶端登入效率 (優先尋找同站 DC)。
• DC：儲存 AD 副本、管理複寫、處理驗證/查詢。全域目錄伺服器 (GC) 儲存全林物件部分屬性索引，加速跨網域查詢。

三大遷移優勢

1. 支援混合環境：NT 4.0 BDC 可共存，用戶端透過 NTLM 驗證登入 AD DC，平滑遷移無需整網域離線。
2. 網域模型簡化：主/多主網域模型可遷移為單樹/樹系，配合 OU 委派管理，減少網域數量、降低 WAN 管理負擔。
3. 複寫流量控制：屬性級複寫 (僅複寫變更屬性)、網站排程/壓縮複寫，大幅降低頻寬佔用。

管理易用性亮點

• Dcpromo 圖形化精靈安裝/移除 AD，無需重裝作業系統。
• 三大 MMC 主控台 (用戶與電腦、網域與信任、網站與服務) 整合群組原則管理。
• 「管理委派精靈」實現細粒度權限指派 (如僅授權重設密碼)。
• 備份工具內建「系統狀態」選項，支援目錄服務還原模式 (F8) 災難復原。

AD 與 DNS、Kerberos、PKI、LDAP、ADSI 深度整合，構建企業級目錄服務基礎建設。