![什么时候需要新的 AD 林,什么时候需要新的树?](https://linux22.com/image/655945/%E4%BB%80%E4%B9%88%E6%97%B6%E5%80%99%E9%9C%80%E8%A6%81%E6%96%B0%E7%9A%84%20AD%20%E6%9E%97%EF%BC%8C%E4%BB%80%E4%B9%88%E6%97%B6%E5%80%99%E9%9C%80%E8%A6%81%E6%96%B0%E7%9A%84%E6%A0%91%EF%BC%9F.png)
我是 AD 和 Windows Server 的新手,这听起来应该很明显,但我似乎无法弄清楚树和森林之间的区别。
根据我正在读的书Active Directory For Dummies
::
简单来说,只有当您需要使用多个命名空间时,才需要创建一个森林。如果您因为需要多个命名结构而需要多个命名空间,则需要为每个命名空间规划一棵额外的树。
书中还提供了这张图表:
我不完全理解这个说法,但根据图表,如果你有Corp.com
和Newcorp.com
,你应该在同一个森林中有 2 棵树,而不是 2 个不同的森林。然而根据这个:
Windows Active Directory 命名最佳实践?
命名“AD”的主要推荐方式(我认为它们的意思是森林)是:
- 您公开使用的域的未使用子域。例如,如果您的公共网络存在是
example.com
您的内网 AD,则可能将其命名为ad.example.com
或internal.example.com
。
使用推荐的方式,如果你将活动目录命名为 ad.Corp.com,稍后需要将 ad.Newcorp.com 作为一棵新树添加到你的林中,这似乎会很奇怪,因为 ad.Newcorp.com 将是名为 ad.Corp.com 的林中的一棵树。
我在这里遗漏了什么?
编辑:
根据https://www.youtube.com/watch?v=Whh3kPS0FdA,如果您符合以下情况,则通常仅需要一片新森林:
- 与另一家公司合并,该公司的 AD 林与你的架构不同
- 正在测试对架构进行更改的应用程序,并且您不希望它影响您的生产架构
我最大的问题是:你会如何命名你的森林,以便即使你以后添加不同的 DNS 命名空间(例如添加 NewCorp.com),你也不会得到一个名为 Corp.com 的森林,而树名为 NewCorp.com,或者更奇怪的名称?如果一个森林可以包含多个 DNS 命名空间,为什么建议将其命名为 ad.example.com 而不是通用名称?
编辑2:
同一本书建议使用 AD.LOCAL 等通用名称作为森林根域的名称,这很有意义,因为这将允许您拥有多个 DNS 命名空间。然而,使用 SOMETHING.LOCAL 不再被视为森林根域的好名称,那么新建议的命名约定如何处理不同的 DNS 命名空间?
答案1
.local 从来都不是一个好主意,也从不被推荐。我对那本书中的其他内容持怀疑态度。
在绝大多数情况下,你的问题并不重要,因为多个域林几乎不再需要了。
当你需要安全边界时,你需要一个新的森林。森林就是安全边界。如果你出于法律或合规原因需要隔离资源,森林将实现这一点。
您需要一个新的子域或树根,嗯……真的永远不会。它曾经用于不同的密码策略或减少复制开销或用于管理目的,但实际上在现代 AD 域中,这一切都可以在单个域场景中实现。
答案2
您的问题过于宽泛,但要回答其中的一部分,corp.com 和 newcorp.com 命名空间可能存在于同一林中。这是一种“树根信任”,在创建新域时发生树在现有林中,而不是更常见的“父子信任”场景,其中新域被添加到现有树中,并且是顶级根的子域。这两种信任类型都是双向和可传递的。
信托类型
https://technet.microsoft.com/en-us/library/cc775736%28v=ws.10%29.aspx
回答这个问题:
我最大的问题是:您将如何命名您的森林,以便即使您稍后添加不同的 DNS 命名空间(例如添加 NewCorp.com),您也不会最终得到一个名为 Corp.com 的森林和一个名为 NewCorp.com 的树,或者甚至更奇怪的东西?
好吧,不要将 TLD 用于林根域。不要将 contoso.com 用于 AD 林根命名空间,而要使用 contosoad.contoso.com 或类似的名称。
拥有多个森林的一般原因如下:
测试环境(正如您之前提到的)非常适合单独的林。生产林永远不应该信任测试林。
如果您公司的某个部门受特定法律或监管要求的约束。您可能不希望整个公司基础架构都受这些要求的约束(或者您的业务可能在多个地理区域运营,这些区域有不同的或相互冲突的要求),因此将公司的该部分放在单独的基础架构中可能更为实际,包括单独的 Active Directory 林。
“影子”林在 SharePoint、Lync、Office 365 等产品中颇受欢迎。可能有多种驱动因素。您不想在主生产林中更新架构。出于安全原因,您不想与主生产林同步帐户。
森林恢复方案。虽然大型分布式 AD 森林拓扑很少见,但如果您有一个,那么完整的森林恢复方案可能会成为问题。如果它分布在全球,网络带宽缓慢或不可靠,并且数据库很大,这种情况会变得尤为严重。
专用管理林。在大型、高安全性环境中,建议创建一个单独的林来保护高权限管理帐户,以减轻传递哈希攻击的风险。有关详细信息,请参阅以下位置的附录“专用管理林”: