Windows 2000 Active Directory 安裝與配置實戰：前置規劃、Dcpromo 精靈與授權委派

理解 AD 原理後，進入安裝配置實作。安裝前規劃最關鍵：DNS 支援 SRV 記錄與動態更新、網域結構設計 (根網域命名四大策略)、帳號命名規劃 (UPN 格式、簡化登入)、網域信任關係 (Kerberos V5 雙向可傳遞)。安裝採 Dcpromo 精靈，支援新增網域樹系/樹/備份 DC。安裝後三大 MMC 工具 (用戶與電腦、網域與信任、站台) 配合群組原則與授權委派 (顆粒化權限) 實現精細管理，備份還原機制完善。

一、安裝前四大規劃

1. 基礎環境： Win2000 Server/Advanced Server + NTFS 分區 + TCP/IP + DNS (支援 SRV 記錄與動態更新)
2. 網域結構： 根網域命名四策略：① 已註冊 DNS 網域 ② 其子網域 ③ 完全不同內部網域 ④ 公私網域分離命名
3. 帳號命名： UPN 格式 user@domain.com (自動加 @)；多層網域樹下預設 UPN 過長，Win2000 允許在根網域後加用戶名簡化為 user@root.com；舊版相容需 NetBIOS 名稱
4. 信任關係： Kerberos V5 雙向可傳遞；父子網域自動建立；樹系根網域間自動建立；升級舊網域保留單向信任；新網域與舊網域需手動建立外部信任

二、安裝 Active Directory：Dcpromo 精靈

• 新安裝預設為 Member Server，不勾選 AD 選項，留時間規劃
• 事後執行 Dcpromo 圖形化精靈：新增網域樹系/樹/備份 DC
• DNS/DHCP/憑證服務等可事後整合安裝，利於策略管理

三、安裝後管理工具與授權委派

• 三大 MMC：AD 用戶與電腦 (單網域管理)、AD 網域與信任 (多網域關係)、AD 站台 (站台間複寫排程優化流量)
• 站台/網域/OU 右鍵啟動群組原則 精細管理
• 授權委派精靈：顆粒化權限 — 如技支中心僅能重設密碼，無建立/刪除帳號權限
• 備份工具含 AD 專屬選項；F8 進入「目錄服務還原模式」災難復原