前言：雙重結構支撐企業級目錄服務
Active Directory 採用邏輯結構 (管理資源、安全性邊界) 與物理結構 (優化複寫、登入效能) 分離設計，兩者獨立又相輔相成。本文深度解析邏輯單元 (網域、樹系、森林、OU、信任) 與物理單元 (站台、DC、GC、FSMO) 的定義、運作機制、設計原則與實務配置。
一、 邏輯結構 — 管理與安全的骨幹
1. 核心邏輯單元
- 網域： 安全邊界、複寫單位、管理範圍。所有 DC 平等 (多主機複寫/USN)。網域管理員權限不跨網域 (需明確授權)。獨立安全策略 (密碼、鎖定、稽核)。
- 樹系： 連續命名空間的網域集合 (父/子)。共用 Schema、Configuration、GC。雙向可傳遞 Kerberos 信任 (自動)。根網域擁有 Enterprise/Schema Admins。
- 森林： 一或多個不連續命名空間的樹系集合。共用 Schema、Configuration、GC。跨樹系透過 Kerberos 信任 (Win2K3+ 支援森林信任)。森林根網域為首個樹系根網域。
- 組織單元 (OU)： 網域內容器，可巢狀。功能：群組原則連結、管理委派 (顆粒化授權)、邏輯階層建模。OU 不跨網域。設計原則：服務於 GPO/委派需求，深度 ≤5 層。
2. 信任關係機制詳解
| 信任類型 | 方向 | 傳遞性 | 建立方式 | 適用情境 |
|---|
| 父/子網域 (樹系內) | 雙向 | 可傳遞 | 自動 | 單一組織多層級網域 |
| 樹系根網域間 | 雙向 | 可傳遞 | 自動 | 單一森林多樹系 |
| 跨森林 (Win2K3+) | 單向/雙向 | 可傳遞 (森林信任) | 手動 | 併購、合作夥伴 |
| Windows NT 4.0 網域 | 單向 | 不可傳遞 | 手動 (外部信任) | NT 4.0 升級共存 |
| Kerberos 領域 (MIT/Heimdal) | 單向/雙向 | 不可傳遞 | 手動 | 異構環境整合 |
關鍵： 可傳遞信任大幅減少手動維護信任數量；樹系/森林內部預設雙向可傳遞。
3. 從 NT 4.0 遷移的架構轉換
- 多主網域模型 → 單一大型網域 + 多層 OU。
- 原 NT 網域轉為 OU，GC 保持跨 OU 可搜尋。
- 混合模式 (含 NT 4.0 BDC) → 原生模式 (純 Win2K DC) 才啟用通用群組、巢狀群組、SID History。
二、 物理結構 — 複寫與登入效能的優化引擎
1. 站台 — 實體網路拓撲的邏輯投影
- 定義：一或多個高速連結的 IP 子網集合 (通常 1 LAN = 1 站台)。站台間 = 慢速 WAN。
- 子網物件將 IP 範圍映射至站台；用戶端啟動依 IP 判斷站台，尋找同站台 DC 登入 (就近驗證)。
- 站台內複寫： KCC 自動建雙向環狀拓撲，每 DC 兩夥伴；變更通知驅動 (15 秒)；RPC 未壓縮；高頻率、低延遲。
- 站台間複寫： 排程驅動；壓縮 10-15%；RPC/IP 或 SMTP (僅 Schema/Config/GC)；可指定橋頭伺服器集中跨站流量。
- 站台連結/橋接： 連結屬性：成本、排程、間隔、協議。橋接啟用傳遞性拓撲計算。大型網路應手動橋接反映實體 WAN 拓撲。
2. 網域控制器 — 目錄資料的物理載體
- 執行 Win2K Server，持有可寫入網域目錄副本 (NTDS.DIT)。
- 多主機複寫：USN 追蹤夥伴進度，確保最終一致性、無衝突覆蓋。
- 全域類別目錄伺服器 (GC)： 儲存全森林所有物件的部分屬性集 (PAT，高頻查詢屬性)。支援跨網域查詢 (如尋找所有印表機)。無 GC 時跨網域查詢需遍歷每網域。首台 DC 預設為 GC；多 DC 時建議每站台至少一台 GC。
- 作業主機角色 (FSMO) — 五大單一主機：
- Schema Master (森林唯一) — Schema 變更。
- Domain Naming Master (森林唯一) — 網域增減/命名。
- RID Master (網域唯一) — 分配 RID 池。
- PDC Emulator (網域唯一) — 密碼變更立即複寫、時間同步、NT 4.0 相容、群組原則預設編輯者。
- Infrastructure Master (網域唯一) — 幻影物件更新、跨網域引用修正 (不可置於 GC)。
三、 邏輯與物理結構的交互作用
| 場景 | 邏輯決策影響物理 | 物理限制影響邏輯 |
|---|
| 新增網域 |
決定新複寫分區、新增 GC 部分屬性複寫流量 |
跨站台新增子網域需規劃站台連結成本/排程 |
| OU 設計 |
GPO 連結範圍、委派邊界 |
OU 不跨站台，但同一 OU 物件可分佈多站台 |
| GC 放置 |
td>每站台至少一台 GC 保障就近查詢
GC 增加複寫流量 (全森林 PAT)，需評估 WAN 頻寬 |
| FSMO 放置 |
PDC Emulator 應在可靠、高頻寬站台；Infrastructure Master 不可在 GC |
單一主機故障影響對應功能，需規劃佔有/轉移程序 |
四、 實務設計檢查清單
- 邏輯：定義森林/樹系/網域邊界 (安全/法規/管理自主權) → 規劃 OU 階層 (GPO/委派) → 設計信任關係 (內部可傳遞/外部不可傳遞) → 制定命名標準 (DNS/NetBIOS/UPN/替代尾碼)。
- 物理：調查實體網路拓撲 (LAN/WAN/頻寬/延遲) → 劃分站台/子網 → 規劃 DC/GC 放置 (每站台 ≥1 DC, ≥1 GC) → 設定站台連結/橋接 (成本/排程/間隔) → 指定橋頭伺服器/FSMO 持有者 → 部署監控 (dcdiag/repadmin/效能計數器)。
- 驗證：
dcdiag /v, repadmin /replsum, netdiag /v, 登入模擬測試 (跨站台/跨網域)、GPO 生效測試 (RSoP)、GC 查詢測試 (port 3268)。
結語
Active Directory 的邏輯結構定義「誰管理什麼、誰信任誰」，物理結構決定「資料如何流動、用戶如何快速登入」。兩者分離設計賦予 AD 極大彈性：邏輯重組 (如 OU 移動、網域重命名) 不需異動物理拓撲；物理優化 (如新增站台、調整連結成本) 不改變邏輯權限模型。掌握雙重結構的交互作用，是從 AD 管理員進階為 AD 架構師的必經之路。
