企業目錄服務的戰略地位
Active Directory (AD) 作為 Windows 2000 核心基礎設施，提供分散式計算環境下的統一身分識別、授權與資源管理。Gartner 研究顯示：AD 生產部署整體成功，已驗證支援從數百至 175,000 內部使用者，甚至 350 萬外部目錄物件 (LDAP) 的規模。
常見部署陷阱與對策
| 陷阱 | 成因 | 對策 |
|---|
| **政治決策僵局** | OU vs 網域 vs 樹系邊界、DNS 整合權責爭議 | 建立變更控制委員會 (見下文)，明確 RACI 職責矩陣 |
| **複寫需求分析不足** | 未依現有頻寬/拓撲規劃站台、連結成本、排程 | 基線測量 WAN 頻寬/延遲，模擬複寫流量，試點驗證 |
| **OU/群組巢狀過深** | 過度模擬組織架構，超過 5 層 OU 巢狀 | 限制 ≤ 5 層 OU，採用群組原則篩選替代深層 OU 結構 |
版本選擇時機：Windows 2000 AD vs Windows .NET 2003 (Server 2003) AD
Gartner 部署時程建議 (2003 年視角)
| 企業類型 | 小型 (≤5,000) | 中型 (≤25,000) | 大型 (>25,000) |
|---|
| **A 型 (激進採用者)** | 立即部署 | 立即部署 | 立即部署 |
| **B 型 (主流採用者)** | 等待 60 天 | 等待 60 天 | 等待 90 天 |
| **C 型 (保守採用者)** | 等待 6 個月 (2003 下半年) |
關鍵決策因素
- **功能需求匹配** ：Server 2003 AD 新增通用群組成員資格快取、連結值複寫 (LVR)、樹系信任、AD 應用模式 (ADAM) 等，評估是否解決現有痛點
- **混合模式代價** ：Win2k DC + Server 2003 DC 混合部署價值有限，建議規劃純淨版本狀態
- **升級路徑** ：若無立即功能需求，可部署 Win2k AD 並在 2004 年統一升級
AD 變更治理架構：三種有效模式
模式一：目錄團隊/架構師集中裁決
- 適用：全球 IT 集中管理、單一樹系、強標準化文化
- 優勢：決策快、一致性高
- 風險：業務單位感到被邊緣化，需建立諮詢機制
模式二：多網域環境管理委員會
- 組成：各網域管理員 + 企業架構師
- 決策：共識制 (全體同意)
- 適用：網域數量有限 (≤10)，各享有高度自主權
- 風險：否決權導致僵局，需設定升級仲裁機制
模式三：跨職能代表委員會 (推薦)
- 代表：資安、網路、Windows 營運、服務台、應用開發、法遵/稽核
- 決策：多數決 (理想為共識)
- 優勢：全面視角、風險早期識別、推廣採用度
- 會議頻率：月例會 + 變更請求觸發臨時會
第三方管理工具價值評估
原生工具 (MMC、資源套件、支援工具) 足應付基本管理，第三方工具在下列領域提供額外價值：
| 領域 | 痛點 | 代表廠商 (2003 年) |
|---|
| 安全稽核報表 | 原生稽核難查詢、無儀表板 | Aelita, BindView, NetIQ, Quest |
| 多網域/樹系統一管理 | 原生需切換焦點、無整體視圖 | FullArmor, NetPro, Quest |
| GPO 變更追蹤與回滾 | 無版本控制、難比較差異 | Quest, NetIQ, FullArmor |
| 健康監控與預警 | dcdiag/repadmin 為點檢工具 | NetIQ, BindView, Quest |
| 任務導向管理 (非階層式) | OU 結構≠業務流程 | Aelita, Quest |
目錄整合策略：標準化 vs 現實妥協
- **Gartner 強烈建議**：進行目錄整合 (Meta-directory/Identity Management)，而非強迫應用程式適應單一目錄
- 現實限制：NetWare 需 eDirectory、Oracle 需 OID、Notes 需 Notes 目錄、Unix 需 NIS/LDAP
- 策略：AD 作為**企業主目錄 (System of Record)**，透過 MIIS/ILM/FIM 同步至下游目錄，或部署虛擬目錄 (RadiantOne, Optimal) 提供統一 LDAP 介面
AD 作為企業級 LDAP 目錄的可行性
技術相容性
- AD 支援 LDAP v3，但含大量 Microsoft 延伸 (屬性、控制項、SASL 機制)
- 應用程式若使用標準 LDAP 選項功能，可能不相容
- **必要測試**：每個目標應用程式必須在預備環境完整功能驗證
廠商支援承諾
- 「支援任何 LDAP 目錄」通常為行銷宣稱，實際僅測試/支援有限目錄清單
- Gartner 判定：採用無廠商支援承諾的目錄風險過高
- Server 2003 強化 LDAP 相容性，並規劃發布 **AD 應用模式 (ADAM/AD LDS)** 專供應用程式使用
決策者行動清單
- 評估組織屬於 A/B/C 型，對照時程表制定部署/升級計畫
- 建立 AD 變更控制委員會 (採模式三)，明確章程與升級路徑
- 完成複寫容量規劃：站台定義、連結成本、排程、橋頭伺服器
- 限制 OU 巢狀 ≤ 5 層，文件化群組原則繼承/封鎖規則
- 盤點所有目錄相依應用程式，執行 LDAP 相容性測試矩陣
- 與關鍵應用廠商確認 AD 支援聲明書面承諾
- 評估第三方管理工具 ROI，納入預算規劃
- 規劃目錄整合架構：Meta-directory + 同步規則 + 例外處理流程
- 建立 AD 營運基準指標：複寫延遲、登入延遲、GC 查詢回應、備份成功率
- 每季執行災難復原演練，驗證 RTO/RPO
成功的 AD 部署不僅是技術專案，更是**組織治理專案**。技術決策必須對齊業務需求、政治現實與風險承受度，並在演進中持續優化。
