Active Directory 域服务之AD DS 逻辑组件概述
前言：AD域学习笔记
AD DS 架构：
AD DS 架构：
1、定义可存储在 AD DS 中的每一种对象类型
2、强制实施与对象创建和配置有关的规则
AD DS 架构由Schema Admins组的用户来控制
域：
什么是域？域是逻辑目录组件，用于分组和管理组织中的AD DS对象。
域提供：
1、管理边界，用来将策略应用于对象组
解释：当域树中有父域A，子域B，父域A实施策略只能应用于自己，不能应用于子域B中的策略
2、复制边界，用于在域控制器之间复制数据
解释：当域树中有父域A，子域D，父域中域控制器有B，C，子域中有域控制器E，F 父域A的域控制器B中添加了一个新的用户，域控C则会立刻复制域控B中的用户，达到同步的效果，但是子域中的域控则不会进行同步
3、身份验证和授权边界，提供限制资源访问范围的方法
解释：当域树中有父域A，子域B，父域A的用户只能在A中登陆，不可以用A的用户登陆子域B中
AD DS信任关系：
通过AD DS信任关系机制，使用户能访问另一个域中的资源的机制。
其信任关系分为两种：
1、直接式：信任方向从信任域流向受信任域
解释：那么也就是单向信任的关系，A信任B，但是B不信任A
2、可传递：信任关系延伸到双域信任之外，以纳入其他受信任域。
解释：那么也就是双向信任的关系（且具有可传递性），举个例子，A父域，B是A的子域，C父域，D是C的子域，因为B是A的子域，所以它们是互相信任的，那么C和D也是，如果A和C建立了互相信任的关系，那么B和D也会互相信任，具有传递性
知识点：
1、 同一个域林中所有域都是显式或者隐式的相互信任
2、 信任可延伸到林之外
参考文章：https://www.cnblogs.com/zpchcbd/p/11706813.html
域树：
之前说了关于什么是域的概念，域是逻辑目录组件。
那么继续理解什么是域树？其实就是当前域环境中存在多个域，当且仅当指定的这些多个域，也就是可能当前环境下还有可能存在除了这几个域以外，还存在域，但是这个域树的范围是包括了这几个域。
一个域树是由一个或多个域组成的。
域树中的所有域
1、其名称空间衔接父域的名称空间
解释：比如父域的域名为pentest.God，那么在创建子域的时候命名规则就必须衔接为子域名称.pentest.God
2、可以在其名称空间中添加更多子域
解释：只要基于命名规则，那么可以一直添加基于相对父域的子域 比如当前的父域名称为 ABC.pentest.God，那么还可以创建其子域为 QQQ.ABC.pentest.God
3、与树中的其他域之间有双向可传递信任关系
解释：同一个域林中所有域都是显式或者隐式的相互信任，那么也就是父域和子域默认就是相互信任的关系
域林：
域林是一个或多个域树的集合。
域林的特点：
1、共享同一架构
2、共享同一配置分区，为了更好的资源分配
3、共享同一全局编录以支持搜索，全局编录也称作为GC，包含了各个活动目录中每一个对象的最重要的部分属性，是域林中所有对象的集合，管理员方便搜索查找
4、实现林中所有域之间的信任
5、共用 Enterprise Admins 和 Schema Admins 组，这两个组只有根域才会有
单域，根域，父域，子域，域树，域林如下图所示
OU(组织单元)：
OU 是可包含用户、组、计算机和其他 OU 的 Active Directory 容器。
OU的用途：
1、层次化地、逻辑地表示公司组织结构
2、以统一的方式管理一系列对象
3、将权限委派给对象的管理员组，也可以组中的用户，方便进行层次化管理
解释：举个例子，老板，财务部，如果财务部中的人员每次都把自己的账号密码忘记 总是需要叫老板帮他改下密码，这样就不太符合层次化管理，所以老板可以把修改财务部用户的权限分配给财务部中的部长，让他来处理类似的事情
4、应用策略
AD DS 对象：
用户：使用户能够访问网络资源
InetOrgPerson：
1、类似于用户账户
2、用于兼容其他目录服务
联系人：
1、主要用于将电子邮件地址分配给外部用户
2、不允许网络访问
组：用于简化访问控制的管理
计算机：实现计算机对资源访问的身份验证和审核
打印机：用于简化查找并连接打印机的过程
共享文件夹：使用户能根据属性搜索共享文件夹
