前言：兩套結構、不同關注點
- 邏輯結構：專注資源管理、安全邊界、委派授權（網域、樹、樹系、OU）
- 物理結構：專注複寫拓撲、登入效能、網路優化（站台、DC）
- 兩者獨立正交：一個站台可含多網域，一網域可跨多站台
一、邏輯結構
1. 網域、網域樹、網域樹系
- 網域：安全邊界、複寫單位、管理範圍。所有 DC 平等（多主機複寫），無 PDC/BDC 之分
- 信任關係：
- 樹內：父子域雙向可傳遞（自動）
- 樹系間：根域間 Kerberos 信任（可傳遞）
- 跨樹系/NT4：手動建立非傳遞信任（單向，可建雙向對）
- 傳遞性簡化管理：新增網域自動與樹系內所有網域建立信任，無需兩兩配置
2. 組織單元 (OU)：邏輯分組與委派核心
- 容器物件，可巢狀：使用者、群組、電腦、印表機、子 OU
- 依部門/地理/功能/權限建立階層，映射組織架構
- 三大價值：
- 群組原則套用單位：GPO 連結到 OU，精細管控
- 委派管理最小單位：授權特定管理員管理特定 OU（顆粒化）
- 簡化大網域管理：Win2000 單網域容納百萬物件，配合 OU 可減少網域數量，降低信任維護成本
- 全域目錄 (GC) 讓跨 OU/網域查詢依然高效
二、物理結構
1. 站台：網路拓撲的邏輯投影
- 由一/多個高速連結的 IP 子網組成（通常對應實體地點）
- 子網 = 網路分組單位（類似郵遞區號）
- 站台內複寫：高頻、即時、未壓縮（頻寬充足）
- 站台間複寫：低頻、排程、壓縮（節省 WAN 頻寬）
站台三大效用：
- 加速驗證：登入時優先尋找同站台 DC，本地化流量，提速
- 平衡複寫頻率：站台內高頻、站台間低頻，兼顧新鮮度與頻寬
- 複寫拓撲控制：站台連結成本/排程/可用時間 → 產生連接物件 → 指定橋頭伺服器 (Bridgehead) 專司跨站複寫（穿越防火牆、代理伺服器時必須）
2. 網域控制站 (DC)：多主機複寫核心
- 每 DC 擁有可寫入目錄副本，變更自動複寫到同網域其他 DC
- 同步完成後全域一致，短暫不一致屬正常（最終一致性）
- 全域目錄伺服器 (GC)：儲存全樹系所有物件部份屬性（高頻查詢屬性），支援跨網域/樹系快速搜尋（如「找所有印表機」）
- 單 DC 網域自動為 GC；多 DC 需手動指定至少一台為 GC
- 作業主機 (FSMO)：五大單一作業角色（結構描述/網域命名/PDC 模擬器/RID/基礎結構）防衝突，另文詳述
三、架構設計實戰原則
- 先定邏輯（業務/安全/委派需求）→ 再定物理（網路/地點/頻寬）
- 優先單網域 + 多 OU，除非有明確安全隔離/複寫流量控制需求才分網域
- 站台劃分對應 WAN 拓撲，配置橋頭伺服器控制跨站複寫路徑
- GC 放置於查詢流量大、網路核心位置的 DC
總結
AD 邏輯結構解決「誰管什麼、權限怎麼分」，物理結構解決「資料怎麼同步、登入怎麼快」。兩套結構正交設計，賦予企業極大彈性：組織重組調整 OU/GPO，機房遷移調整站台/子網，互不干擾。
