活動目錄核心術語全解析：從名稱空間到站台

活動目錄雖整合了既有技術，但作為完整網路方案首度登場，引入許多新術語。理解這些概念是掌握活動目錄的基石。

1. 名稱空間

本質上，活動目錄即一個名稱空間——任一名稱解析邊界的總和。通俗說，輸入一個使用者名稱，即可關聯查詢到密碼、單位、電話、地址等所有屬性資訊。名稱解析即將名稱轉換為其代表物件或資訊的過程，如電話簿中姓名解析為號碼，檔案系統中檔名解析為檔案實體。

2. 物件

資訊實體，屬性集合，代表有形實體（使用者帳號、檔案等）。屬性描述基本特徵，如使用者帳號含姓名、電話、電子郵件、地址等。

3. 容器

名稱空間的一部分，同樣擁有屬性，但不代表有形實體，而是儲存物件的邏輯空間。容器範圍小於名稱空間，如使用者物件的容器僅涵蓋其直接屬性（帳號、密碼），不含工作單位等延伸資訊。

4. 目錄樹

名稱空間中由容器與物件構成的階層結構。葉節點為物件，非葉節點為容器。表達物件連接方式與路徑關係，類似 DOS 路徑概念。每個容器皆可作為子樹起點，簡單目錄、電腦網路或域均可構成一棵樹。

5. 域

Windows 2000 網路安全邊界。可跨多個物理位置，單一物理位置可劃分多個域。每個域擁有獨立安全策略與信任關係。活動目錄可貫穿一或多個域，多域透過信任關係共享目錄資料。

6. 組織單位（OU）

域內特殊容器物件類型，可容納使用者、群組、電腦及巢狀 OU，不含跨域物件。是群組原則套用與委派管理的最小單位，支援建立可擴充的管理模型，授權粒度可至單一 OU，管理員權限不自動延伸至其他 OU，類似 NT 時代的工作組概念。

7. 域樹

多個域共享結構描述、設定，形成連續命名空間。域間透過雙向可傳遞信任連接，新域自動與樹系內所有域建立信任，支援單一登入跨域驗證，但權限仍受各域安全邊界限制，需逐域指派。域名層級以「.」區分，如 child.microsoft.com 為 microsoft.com 子域，層級更低。

8. 樹系

一或多棵不共享連續命名空間的域樹組成。樹系間共享結構描述、設定、全域目錄，透過 Kerberos 信任互通，支援跨樹系物件引用。樹系根域為首個建立的域，所有樹系根域與樹系根域建立可傳遞信任。

9. 站台

包含網域控制站的網路位置，通常為一或多個透過 TCP/IP 連接的子網。站台內連接高速可靠。站台劃分讓管理員依物理網路特性優化複寫拓撲，使用者登入時自動尋找同站台網域控制站，實現快速驗證。

10. 網域控制站

經活動目錄安裝精靈設定的 Windows 2000 Server。儲存目錄資料，管理使用者登入、驗證、目錄搜尋等域互動。一域可有一或多個網域控制站；小型單位至少需兩個確保高可用性，大型企業各據點需部署多個。