Active Directory 部署常見問題權威解答：從規劃到遷移的完整指南

前言：Gartner 實證調查與專家建議彙整

本文整理自 Gartner 對已部署 Active Directory 企業的深度訪談與分析，涵蓋用戶規模從數百到 175,000，甚至作為 Extranet 目錄支撐 350 萬用戶的案例。整體評價：發展前景長遠、架構優異。以下針對規劃、部署、遷移、工具選擇、目錄整合與 LDAP 相容性六大面向，提供權威解答與可執行建議。

一、 普遍部署挑戰與對策

二、 版本選擇與遷移時機：Windows 2000 vs Windows Server 2003 AD

決策矩陣：基於企業類型與部署規模

關鍵建議：

• WS2003 AD 預計 2003 年釋出 (機率 90%)，大多數企業應規劃 2003 年大規模部署。
• 混合模式 (Win2K DC + WS2003 DC) 價值有限，應規劃單一版本穩態；若已部署 Win2K AD 且無 WS2003 新功能 (如森林信任、通用群組快取、屬性篩選複寫) 迫切需求，可維持 Win2K 至 2004 年再原地升級。
• 升級路徑：Win2K AD → adprep /forestprep → adprep /domainprep → 升級 DC 作業系統 → 提升網域/森林功能等級。

三、 組織結構變更控制機制

考量企業行政結構與業務單位頻繁變動，Gartner 推薦三種有效的變更控制模型：

1. 中央目錄架構師/團隊模式： 隸屬全球 IT 部門，統一審批所有 OU/網域/信任/Schema 變更請求。適合強中央管控文化企業。
2. 網域管理員委員會模式： 多網域環境下，成立跨網域管理員委員會，任何變更需共識通過。適合網域數量有限 (≤10) 的聯盟型組織。
3. 跨領域專家委員會模式： 匯集安全、網路、Windows 系統、桌面/應用開發領域專家，共同評估變更影響。理想但難以正式授權，建議作為諮詢機制輔助模式 1。

四、 第三方管理工具的價值判斷

微軟內建工具 (MMC、GPMC、Repadmin、Dcdiag、Ldp、ADSI Edit) 足以應付大多數管理任務。但在下列專業領域，第三方工具提供額外價值：

• 安全稽核與報表： 詳細權限分析、異常活動偵測、合規報表自動化。
• 多網域/多森林統一管理： 單一介面跨森林操作、複寫拓撲視覺化、遷移專案自動化。
• 群組原則進階管理： GPO 版本控制、差異比較、模擬測試、委派工作流。
• AD 健康狀態持續監控： 即時複寫延遲警報、DC 效能基準偏離偵測、自動修復建議。
• 基於任務的管理模型： 針對服務台/外包人員，隱藏 AD 階層複雜度，提供「重設密碼」、「解鎖帳號」、「加入群組」等任務導向介面。

主要廠商： Aelita Software、BindView、FullArmor、NetIQ、NetPro、Quest Software (現屬 Dell/One Identity)。

五、 目錄整合策略：AD 能否成為企業單一目錄？

結論：大多數情況下不可行。 作業系統與應用程式通常綁定特定目錄：

• NetWare → eDirectory
• Oracle Applications → Oracle Internet Directory (OID)
• Lotus Notes/Domino → Domino Directory
• Linux/Unix → OpenLDAP / NIS / Kerberos Realm

Gartner 強烈建議採用「目錄整合」路徑： 以元目錄 或身分管理平台 (如 Microsoft Identity Integration Server / Forefront Identity Manager / Azure AD Connect) 同步關鍵屬性至各目錄，維持各系統原生目錄運作，避免單一失效點與廠商鎖定。

六、 AD 作為企業 LDAP 目錄的可行性評估

七、 總結行動清單

1. 成立目錄架構治理小組，建立變更控制流程 (RFC)。
2. 依企業類型與規模，制定 WS2003 AD 部署時程表 (Type B: 60-90 天；Type C: 6 個月)。
3. 執行複寫容量規劃：頻寬測量、DC 硬體規格、站台/連結成本設計。
4. 限制 OU/群組巢狀深度 (OU ≤5, 群組 ≤3)，定期審查 GPO 效能。
5. 評估第三方工具價值：安全稽核、多森林管理、GPO 進階、健康監控、任務導向介面。
6. 制定目錄整合架構：採用元目錄/IDM 同步關鍵身分屬性，勿強求單一目錄。
7. 驗證關鍵應用程式 LDAP 相容性與廠商支援，規劃 ADAM 試點。

結語

Active Directory 部署動能強勁，但成功關鍵在於「治理先行、規劃周詳、工具善用、整合務實」。企業應將 AD 視為長期演進的身分基礎設施，而非一次性專案。隨著 Windows Server 2003 AD 釋出與 ADAM 面世，企業擁有更豐富的選項滿足多樣化目錄需求。持續關注最佳實務、廠商路線圖與社群經驗，才能確保 AD 架構始終支撐業務增長與安全合規。