AD 結構分「邏輯結構」 (非實體、抽象關係) 與「物理結構」 (實際硬體分佈)。邏輯結構包含網域、網域樹、網域樹系、組織單元 (OU)；物理結構包含站台、網域控制站。核心在於網域是安全邊界與複寫單位，信任關係採 Kerberos V5 雙向可傳遞，大幅簡化管理。站台劃分依據網路頻寬，站台內自動複寫、站台間排程複寫。OU 支援群組原則委派，實現精細管理。
一、邏輯結構：樹狀層次的抽象關係
1. 網域
- Win2000 網路邏輯組織單元，物件容器 (電腦、用戶、印表機等)
- 共享相同安全需求、複寫流程、管理權限
- 所有 DC 平等 (無 PDC/BDC 之分)
- 安全邊界：網域管理員僅管轄本網域，除非獲明確授權
- 擁有獨立安全策略與信任關係
2. 網域信任關係詳解
- 信任方 / 被信任方： A 信任 B → B 用戶經 A DC 驗證可存取 A 資源
- 單向 / 雙向： 可單向也可雙向
- 可傳遞信任： 不受雙方約束，向上傳遞。A 信任 B → A 自動信任 B 子網域 B1、B2...；關係雙向 (父子互信)
- 預設網域樹/樹系內所有 Win2000 信任皆為可傳遞，大幅減少需管理的信任數量
3. 網域樹與網域樹系
- 網域樹：連續命名空間的網域集合 (父子關係)
- 網域樹系：多棵不連續命名空間的網域樹組成，共享通用目錄 (Global Catalog) 與結構描述
4. 組織單元 (OU)
- 網域內最小委派單位，可巢狀
- 套用群組原則、授權委派的核心容器
二、物理結構：實際網路拓樸映射
- 站台： 高速連結 (通常 LAN) 定義的實體位置群組；站台內 DC 自動複寫 (高頻、無壓縮)；站台間 DC 排程複寫 (壓縮、優化頻寬)
- 網域控制站： 特定站台內的 DC
- 物理結構不改變邏輯結構；同一網域可跨多站台，同一站台可含多網域 DC
理解邏輯與物理結構的正交關係，是設計大型 AD 架構的關鍵。
