活动目录( 五 )

注释
Windows 98 和 Windows 95 计算机不具备 Windows 2000 和 Windows NT 计算机所具有的高级安全特性，无法在 Windows 2000 域中为其指定计算机帐户。然而，可以登录到网络并在活动目录域中使用 Windows 98 和 Windows 95 计算机。
活动目录规划
活动目录规划是确定对象及有关对象信息类型的定义或元数据的列表，可以将其存储在活动目录中。组成规划的元数据有两种类型 ―― 类和属性。
类描述可以创建的可能活动目录对象。当创建一个活动目录对象（诸如新用户）时，便创建了一个类的范例。每个类都是一个属性集合。当创建一个对象时，属性将存储描述对象的信息。例如用户类是由很多属性组成的，包括电话号码、姓名等等。
属性是与类分开定义的，以便每个类只定义一次却可以在多个类中使用。例如，描述属性在很多类中使用，但为确保一致性，只在规划中定义一次。
类和属性定义自身（诸如用户类或电话号码属性）是存储在活动目录中的元数据对象。正是由于这一点，活动目录可以使用与管理目录中其他对象相同的对象管理操作来管理规划。
建议通过 Windows 2000 Software Developers Kit 中描述的活动目录服务接口 (ADSI) 以编程方式修改活动目录规划。也可使用 Windows 2000 Resource Kit 中的活动目录规划插件查看和修改活动目录规划。
活动目录的益处
信息安全性
安全性与活动目录完全集成在一起。不仅可以针对目录中的每个对象定义访问控制，还可对其每种属性进行操作。
权限指定哪些组用户可以查看或使用对象，以及可针对对象进行何种操作。例如，某个人可能具有更改对象属性的权限，另一个人则可以查看属性，而第三个人则可能根本没有查找对象的权限。
可以授予对对象每种单个属性选择性访问的权限。例如，可以授予所有用户查看网络中用户姓名和电话号码的权限，而与此同时却限制对用户对象所有其他属性的访问。
默认情况下，权限是可继承的。指定给某特定对象的权限会自动应用于该对象的所有子对象。也可以封锁权限的继承性。
活动目录为安全策略提供应用程序的存储和范围。安全策略可以包括帐户信息，诸如域宽口令限制或对某特定域资源的权利。安全策略通过组策略执行。
管理员可将某些特殊管理权利分派到其他个人和组。这种权限分派允许明确谁具有管理部分网络的权限。可以将特殊部分的管理分派给单个管理员，而不必拥有对大部分网络具有广泛权限的管理员。
Windows 2000 Server 支持多种网络安全协议，这些协议提供：
更强大、更有效的安全性
对 Internet 安全协议的支持
与早期 Windows 协议的兼容性
Windows 2000 支持的安全协议包括：
Kerberos v5
SSL （ Secure Sockets Layer - 安全套接字层）
DPA （ Distributed PassWord Authentication - 分布式口令验证）
Windows NT NTLM
Kerberos v5 协议是 Windows 2000 中网络验证的默认协议。Kerberos 协议是一个已经成熟的安全标准。其益处包括客户机和服务器的相互验证以及与非 Windows 平台的内部可操作性。
Windows 2000 支持基于公用密钥的协议，提供 Internet 之上的保密性和可靠性。这包括对 SSL 3.0 的支持以及 Internet 浏览器和网络服务器间连接的标准。
Windows 2000 还支持 DPA ，它由诸如 Microsoft Network (MSN) 等最大的 Internet 成员组织使用。
还支持 Windows NT versions 4.0 和早期版本使用的 NTLM 协议，这是为确保 Windows 2000 Server 与运行 Windows NT 和 Windows NT 网络的客户机软件的计算机做到完全内部可操作。