11、活动目录森林的构建与管理

活动目录森林的构建与管理

1. 活动目录森林概述

当安装至少一个域时，森林便得以建立。安装单个域是活动目录实施的第一步，接下来需向森林中添加更多域，并确保每个域树按正确顺序安装。域名系统（DNS）命名空间是活动目录的核心，实施时需格外谨慎。

每次安装新的域控制器（DC）时，它必须安装到一个域中，这个域可以是森林中的新域，也可以是现有域。若安装到新域，新域可以位于现有森林的现有树中、形成现有森林中的新树，或者形成新森林中的新树。在开始安装服务器之前，需确定好所有域配置选项，包括哪些域将置于森林中、它们在域树中的位置以及每个域中将放置多少个 DC 。

森林是架构、配置和全局编录的最大容器，是企业的最终划分单位。若需要两个架构或全局编录，就必须有两个森林。构建森林既可以像安装具有单个 DNS 命名空间的单个域那样简单，也可以像安装具有多个子域和命名空间的多个域树那样复杂。

森林是一组域树的集合，这些域树不必形成连续的 DNS 命名空间。例如，一个树可能具有 root.com 命名空间，另一个树可能具有 corp.com 命名空间。每个树可以由多个域组成，但它们必须共享相同的命名空间。

2. 活动目录森林的特征

2.1 公共架构

每个森林共享一个公共架构。架构是所有可存在于活动目录中的对象类型（称为对象类）的列表，它通过对象类定义对象类型，并进一步定义每个对象类可以具有的属性类型。由于可以通过向现有对象类添加对象类或属性来扩展架构，所以两个不同森林的架构不一定相同。但在森林内部，架构会在整个森林中复制，所有对象类和属性在森林的任何位置都可用。

活动目录服务接口（ADSI）是用于将其