Windows域(上） – 作者:Deutsh

Windows域(Domain)：

WINDOWS中，若局域网中的设备有共享资源等需求，实现的方式有两种，即：工作组、域，所以在介绍域之前，要简单的介绍一下工作组的概念以及不足：

工作组

工作组在逻辑上为一体，例如一个公司中财务部的几台电脑间，想共享资源，那么只需要将这几台电脑加入一个工作组中即可，加入后，要想访问同一工作组中其他主机上共享资源的文件，只需要输入对方设置的用户名与密码即可(如果对方设置的话)，就像一个”俱乐部”，任何”人”想进就进，相出就出，在出口/入口处，完全没有验证， 安全系数很低 ，而且，由于缺少 工作组的管理者，若一个工作组中的主机非常多，相互之间的访问也会变的非常混乱

而域则可以解决这个问题

域

在Windows网络操作系统中，域是一个有安全边界的jihe

Domain是Windows网络中独立运行的单位，域之间建立连接，需要先建立信任关系，建立关系以后，两个domain间不但可以相互进行管理，不同domain间实现网络资源的共享与管理，以及相互通信与数据传输

域与工作组的区别

域中各种策略都运行在域控制器上，用户名与密码也是放在域控制器(DC)———由一台PC或服务器充当，也就是说你的账号密码可以在同一域的任意一台计算机上使用，若一个用户想要登陆到域中，首先会根据其输入的账户密码在DC上进行验证，若验证未通过，则不允许其加入域——这样便解决了上述工作组安全性不高的问题

域中常见的概念

域树

域树由多个域组成，这些域共享同一存储结构和配置，形成一个连续的名字空间（相同的DNS后缀）。

树中的域通过信任关系连接，林包含一个或多个域树。域树中的域层次越深级别越低，一个“.”代表一个层次，如域bj.book.com比book.com这个域级别低，因为它有两个层次关系，而book.com只有一个层次，而域hdq.bj.book.com又比bj.book.com级别低，道理一样，它们都属于同一个域树，bj.book.com就属于book.com的子域。父子域之间的关系是 双向信任关系。

域林

域林是由一个或多个没有形成连续名字空间（非相同的DNS后缀）的域树组成

创建根域时默认建立一个域林，同时也是整个林的根域，同时其域名也是林的名称。

例如book.com是网络中第一个域的根域，也是整个林的根域，林的名称就是book.com。通过Powershell命令“Get-ADForest”查看林的相关参数。

域树必须建立在域林下，一个域林可以有多棵域树。已经存在的域不能加入一棵树中，也不能将一个已经存在的域树加入到一个域林中，如果一定要把一个域加入到一棵域树中，或者要把一个域树加入到一个域林中，唯一可行的方法就是从零开始建立新域。

eg：
域树：   bj.book.com   hdq.bj.book.com   de.hdq.bj.book

域林：   bj.book.com   ll.book.com   po.book.com   op.oo.book.com

根域：   book.com

域控制器(Domain Controller)

域控制器中包含了由这个域的账户、密码、属于这个域的计算机等信息构成的数据库。当电脑联入网络时，域控制器首先要鉴别这台电脑是否是属于这个域的，用户使用的登录账号是否存在、密码是否正确

LDAP：轻量级目录访问 协议

LDAP是用来访问目录数据库的一种协议

目录服务

目录服务由 目录数据库和访问协议组成

目录数据库：

目录数据库也是一种数据库类型，不同于MySQL等关系型数据库，目录数据库有以下特点

1. 目录数据库采用树状存储结构，类似于Linux文件目录
2. 目录数据库专门为查询、浏览、搜索而优化的数据库

而LDAP就是用于访问目录数据库的一种协议(定义了访问目录数据库的方式/方法)

在具体了解LDAP前，需要先理解目录树的概念

目录树

在一个目录服务系统中，整个目录信息集可以表示为一个目录信息树，树中的每个节点就是一个条目

每个条目就是一条记录，每个条目都有一个唯一可区分的名称 DN

DN：不同的记录唯一的标识符，类似于绝对路径

Base DN：LDAP目录数的最顶部就是根，也就是Base DN 也就是”dc=acme,dc=org”

RDN：一般指DN中最左边的部分，类似于相对路径

ou(组织单位)：组织单位（Organization Unit，OU）是Active Directory（AD)中的一个容器，把域中的对象组成一个逻辑组，可以包含：用户、组、计算机和其他OU

dc(域名的部分)：其格式是将完整的域名分成几部分，如域名为example.com变成dc=example,dc=com（一条记录的所属位置）

属性：根据DN所引导条目(记录)后，条目的具体信息

如图所示：假设我要获得bob这条记录，那么就要根据其DN对其进行索引。

uid=bob这一条记录的

• DN为”uid=bob,ou=people,dc=acme,dc=org”

• RND为uid=bob

• bob还可能有多个属性(例如age=11等等)

---

假设你要树上的一个苹果（一条记录），你怎么告诉园丁它的位置呢？
当然首先要说明是哪一棵树（DC-域控制器），然后是从树根到那个苹果所经过的所有“分叉”（ou），最后就是这个苹果的名字（UID）。好了！这时我们可以清晰的指明这个苹果的位置了，就是那棵“歪脖树”的东边那个分叉上的靠西边那个分叉的再靠北边的分叉上的半红半绿的……

---

AD:活动目录：微软对目录服务数据库的实现

AD为微软对目录数据库的实现，所以LDAP就是用来访问AD的协议

AD中存储着域内所有计算机、用户的所有信息

如何访问AD

方法1：域内每一个域控中，都有一份本域完整的AD，可以通过连接域控的389/636(636是LDAPS)来进行连接并查看或修改

方法2：

但是若不知道对象所处的域，我们不得不去域林中的每个域搜索。为了解决这个问题，微软提出全局编录服务器(GC，Global Catalog)， 全局编录服务器中除了保存本域中所有对象的所有属性外，还保存林中其它域所有对象的部分属性，这样就允许用户通过全局编录信息搜索林中所有域中对象的信息。也就是说如果需要在整个林中进行搜索，而不单单是在具体的某个域进行搜索的时候，可以连接域控的3268/3269端口。

Active Directory具有分布式特性，一个林中有若干个域，每个域内有若干台域控，每台域控有一个独立的Active Directory

来源：freebuf.com 2020-11-21 12:22:25 by: Deutsh