什麼是 Active Directory？
Active Directory (AD) 是 Windows 2000 Server 引入的**可擴展、可調整的目錄服務**，採用分層結構儲存網路物件資訊 (使用者、電腦、印表機、檔案共享、群組、原則等)，提供**集中管理、單一登入、策略式治理**的企業級身分基礎設施。
核心架構組件
1. 邏輯結構：網域、樹、樹系
| 層級 | 定義 | 關鍵特性 |
|---|
| **網域** | 安全與管理邊界 | 獨立密碼策略、獨立管理權限、複寫單位、可跨多站台 |
| **樹** | 共享連續命名空間的網域集合 | 父子關係 (sub.parent.com)、雙向可傳遞信任、共享架構/設定/GC |
| **樹系** | AD 最高層容器，含一或多棵樹 | 安全邊界極致、共享架構/設定/GC、樹系根網域不可重命名 |
2. 信任關係類型
| 類型 | 傳遞性 | 方向 | 適用場景 |
|---|
| 樹系內父子/樹根 | 是 | 雙向 | 自動建立，Kerberos v5 |
| 樹系信任 | 可設定 | 單/雙向 | 跨樹系合併/合作，需 DNS 條件轉寄 |
| 外部信任 | 否 | 單/雙向 | NT 4.0 網域、其他樹系、MIT Kerberos 領域 |
| 領域信任 | 否 | 單/雙向 | Unix/Linux MIT Kerberos 領域互操作 |
3. 組織單位 (OU) — 委派管理基本單位
- 容器物件，可包含使用者、群組、電腦、子 OU、印表機等
- **最小委派範圍**：針對 OU 授與「完全控制」或特定權限 (重設密碼、建立群組、套用 GPO)
- **群組原則套用點**：GPO 連結至站台/網域/OU，不直接連結群組
- 巢狀支援，建議 ≤ 5 層，避免 GPO 處理效能惡化
4. 站台與複寫 — 物理拓撲映射
- 站台 = 連接良好的 IP 子網群 (≥100 Mbps 建議)
- 站內複寫：通知驅動、無排程、不壓縮、環狀拓撲 (KCC 自動)、≤3 躍點
- 站間複寫：排程驅動、壓縮、站台連結成本/間隔/排程、橋頭伺服器
- 用戶端站台感知：登入/查詢優先使用本站台 DC，減少 WAN 流量
5. 全域類別目錄 (GC)
- 部分屬性集 (PAS) — 所有網域物件的常用屬性複本
- 功能：跨網域查詢、通用群組成員展開、Exchange 定址清單、登入時通用群組解析
- 每站台至少一台 GC，大型環境多台負載平衡
6. 架構 — 物件定義藍圖
- 定義**類別** (可建立物件類型) 與**屬性** (描述物件資訊)
- 屬性獨立於類別定義，可重複使用 (如 Description 用於 User、Computer、OU)
- 架構主機：樹系單一主機掌控修改，防止衝突
- 動態擴展：可程式化新增類別/屬性 (ADSI、LDIFDE、PowerShell)
核心功能與效益
安全性整合
- **物件級 ACL**：每物件/屬性獨立 DACL/SACL，支援繼承/封鎖繼承
- **細粒度權限**：如「僅允許讀取電話號碼、拒絕讀取薪資屬性」
- **Kerberos v5**：預設驗證協議，雙向驗證、委派、跨平台互操作
- **PKI 整合**：憑證服務、智慧卡登入、EFS、IPSec、SSL/TLS
- **相容協議**：NTLM、DPA (MSN)、SSL 3.0
策略式管理 (Group Policy)
- GPO = 設定集合 (註冊表、腳本、軟體部署、資料夾重導向、安全選項、防火牆規則...)
- 連結層級：站台 → 網域 → OU (疊加套用，後勝出)
- 篩選：安全群組 (套用 GPO 權限)、WMI 篩選器、循環模式
- 效益：管理「少數策略」取代「大量個別設定」
擴展性與可調整性
- 多主機複寫：每 DC 可寫入、完整副本、負載平衡、容錯
- 分割區：網域、設定、架構、應用程式 (DNS 區域) — 獨立複寫範圍
- 支援數百萬物件、多地理站台、跨樹系協作
DNS 整合
- AD 網域名 = DNS 區域名 (如 corp.contoso.com)
- DC 註冊 SRV 記錄 (_ldap、_kerberos、_gc、_kpasswd) 於 `_msdcs`、`_sites`、`_tcp`、`_udp`
- DNS 動態更新 (安全/非安全) 自動維護記錄
- 條件轉寄器 / 根提示支援跨樹系/外部名稱解析
標準協議互操作
- LDAP v3：標準查詢/修改協議，支援 SASL、StartTLS、分頁、排序、VLV
- NSPI：Exchange 4.0/5.x 用戶端相容
- ADSI/ADO：COM/OLE DB 程式化存取介面
靈活查詢與全域搜尋
- 使用者/管理員透過「網路芳鄰」、「AD 使用者與電腦」、「搜尋」功能
- 支援屬性條件：姓名、郵件、辦公室、電話、自訂屬性
- GC 優化跨網域查詢，單一查詢涵蓋全樹系
部署規劃關鍵決策
- 樹系模型：單一樹系 (預設推薦) vs 多樹系 (隔離需求、合併收購)
- 網域劃分：依安全策略差異 (密碼、鎖定、Kerberos) 而非組織架構劃分
- OU 設計：依委派管理需求、GPO 套用需求設計，非單純映射組織圖
- 站台拓撲：依實體網路頻寬/延遲/成本定義子網與站台連結
- DNS 架構：AD 整合區域、動態更新、老化/清除、轉寄器/根提示
- 備份/還原：系統狀態備份、DSRM 密碼、權威性還原演練、60 天限制
版本演進與現代化
| 版本 | 關鍵增強 |
|---|
| Windows 2000 | AD 首發、多主機複寫、GPO、Kerberos、DNS 整合 |
| Server 2003 | LVR 複寫、通用群組快取、樹系信任、ADAM、GPMC、DC 重命名 |
| Server 2008 | AD 回收筒、細粒度密碼策略、RODC、資料庫快照、ADWS (Web Services) |
| Server 2012+ | 虛擬化 DC 安全還原、簡化管理 (ADAC)、動態存取控制、雲端整合 |
Active Directory 從 Windows 2000 核心創新演進為現代混合身分平台基石，掌握其架構原理與演進脈絡，是設計穩健、安全、可擴展企業身分基礎設施的關鍵。
