§　不可传递
　　不可传递信任受信任关系中的两个域的约束，并不流向树林中的任何其他域。在大多数情况下，用户必须明确建立不可传递信任。在 Windows 2000 域和 Windows NT 域之间的所有信任关系都是不可传递的。从 Windows NT 升级至 Windows 2000 时，目前所有的 Windows NT 信任都保持不动。在混和模式环境中，所有的 Windows NT 信任都是不可传递的。不可传递信任默认为单向信任关系。
§　外部信任
　　外部信任创建了与树林外部的域的信任关系。创建外部信任的优点在于使用户可以通过树林的信任路径不包含的域进行身份验证。所有的外部验证都是单向非转移的信任
§　快捷信任
　　快捷信任是双向可传递的信任，使用户可以缩短复杂树林中的路径。Windows 2000 同一树林中域之间的快捷信任是明确创建的。快捷信任具有优化的性能，能缩短与 Windows 2000 安全机制有关的信任路径以便进行身份验证。在树林中的两个域树之间使用快捷信任是最有效的。

6.1.5 Active Directory 用户和计算机帐户
　　Active Directory 用户和计算机帐户代表物理实体，诸如计算机或人。用户帐户和计算机帐户（以及组）称为安全主体。安全主体是自动分配安全标识符的目录对象。带安全标识符的对象可登录到网络并访问域资源。用户或计算机帐户用于：
§　验证用户或计算机的身份。 
§　授权或拒绝访问域资源。 
§　管理其他安全主体。 
§　审计使用用户或计算机帐户执行的操作。 
　　Windows 2000 提供了可用于登录到运行 Windows 2000 的计算机的预定义用户帐户。这些预定义帐户为：
§　管理员帐户 
§　来宾帐户 
　　预定义帐户就是允许用户登录到本地计算机并访问本地计算机上资源的默认用户帐户。设计这些帐户的主要目的是本地计算机的初始登录和配置。每个预定义帐户均有不同的权利和权限组合。管理员帐户有最广泛的权利和权限，同时来宾帐户有受限制的权利和权限。

6.1.6组策略
　　组策略设置影响计算机或用户帐户并且可应用于站点、域或组织单位。它可用于配置安全选项、管理应用程序、管理桌面外观、指派脚本并将文件夹从本地计算机重新定向到网络位置。


　　6.1.7集成DNS
　　由于 Active Directory 与 DNS 集成而且共享相同的名称空间结构，因此注意两者之间的差异非常重要：
§　DNS 是一种名称解析服务。
　　DNS 客户机向配置的 DNS 服务器发送 DNS 名称查询。DNS 服务器接收名称查询，然后通过本地存储的文件解析名称查询，或者查询其他 DNS 服务器进行名称解析。DNS 不需要 Active Directory 就能运行。
§　Active Directory 是一种目录服务

Active Directory 提供信息储存库以及让用户和应用程序访问信息的服务。Active Directory 客户使用"轻量级目录访问协议 (LDAP)"向 Active Directory 服务器发送查询。要定位 Active Directory 服务器，Active Directory 客户机将查询 DNS。Active Directory 需要 DNS 才能工作。
　　即 Active Directory 用于组织资源，而 DNS 用于查找资源；只有它们共同工作才能为用户或其他请求类似信息的过程返回信息。DNS 是 Active Directory 的关键组件，如果没有 DNS，Active Directory 就无法将用户的请求解析成资源的IP地址，因此在安装和配置 Active Directory 之前，用户必须对 DNS 有深入的理解。


　　6.1.8组织单位
　　包含在域中的特别有用的目录对象类型就是组织单位。组织单位是可将用户、组、计算机和其他单位放入其中的 Active Directory 容器。组织单位不能包括来自其他域的对象。组织单位是可以指派组策略设置或委派管理权限的最小作用域或单位。使用组织单位，用户可在组织单位中代表逻辑层次结构的域中创建容器。这样用户就可以根据用户的组织模型管理帐户和资源的配置和使用。

6.2 安装活动目录(ADS)
　　6.2.1 Active Directory 的规划
　　在安装 Active Directory 之前，用户首先要对 Active Directory 的结构进行细致的规划设计，让用户和管理员在使用时更为轻松。
§　规划 DNS
　　如果用户准备使用 Active Directory，则需要先规划名称空间。当 DNS 域名称空间可在 Windows 2000 中正确执行之前，需要有可用的 Active Directory 结构。所以，从 Active Directory 设计着手并用适当的 DNS 名称空间支持它。经过审阅，如果检测到任何规划中有不可预见的或不合要求的结果，则根据需要进行修改。
　　在 Windows 2000 中，用 DNS 名称命名 Active Directory 域。选择 DNS 名称用于 Active Directory 域时，以单位保留在 Internet 上使用的已注册 DNS 域名后缀开始（如"root.com"），并将该名称和单位中使用的地理名称或部门名称结合起来，组成 Active Directory 域的全名。
　　例如，root 的 sales 测试组可能称他们的域为"sales.child.root.com"。这种命名方法确保每个 Active Directory 域名是全球唯一的。而且，这种命名方法一旦被采用，使用现有名称作为创建其他子域的父名称以及进一步增大名称空间以供单位中的新部门使用的过程将变得非常简单。对于仅使用单个域或小型多域模式的小型企业，可以直接进行规划并按照与以前范例相似的方法操作。在规划 DNS 和 Active Directory 名称空间时，建议使用不同组而且不重叠的可分辨名称作为内部和外部 DNS 使用的基础。例如，假定单位的父域名是"example.root.com"。对于内部 DNS 名称的使用，用户可以使用诸如"internal.root.microsoft.com"的名称 对于外部 DNS 名称的使用，用户可以使用诸如"external.example.microsoft.com"的名称 保持内部和外部名称空间始终是分离的而且截然不同，这样用户可以简化某些配置的维护工作，如域名筛选器或排除列表。

通常，应该创建能反映组织单位的职能或商务结构的单位。例如，用户可以创建顶级单位，例如人事关系、设备管理和营销等部门单位。在人事关系单位中，用户可以创建其他的嵌套组织单位，例如福利和招聘单位。在招聘单位中，也可以创建另一级的嵌套单位。例如，内部招聘和外部招聘单位。总之，组织单位可使用户以一种更有意义且易于管理的方式来模拟用户实际工作的单位，而且在任何一级指派一个适当的本地权利机构作为管理员。
　　每个域都可实现自己的组织单位层次结构。如果用户的企业包含多个域，则可以独立于其他域中的结构在每个域中创建组织单位的结构。
§　何时创建域控制器
　　将 Windows 2000 Server 计算机升级为域控制器会创建一个新域或者向现有的域添加其他域控制器。创建域控制器可以：
§　创建网络中的第一个域。
§　在树林中创建其他的域。
§　提高网络可用性和可靠性。
§　提高站点之间的网络性能。
　　要创建 Windows 2000 域，必须在该域中至少创建一个域控制器。创建域控制器也将创建该域。不可能有没有域控制器的域。如果确定用户的单位需要一个以上的域，则必须为每个附加的域至少创建一个域控制器。树林中的附加域可以是：新的子域、新域树的根。

6.2.2 安装 Active Directory
　　运行 Active Directory 安装向导将 Windows 2000 Server 计算机升级为域控制器会创建一个新域或者向现有的域添加其他域控制器。创建域控制器可以：
§　创建网络中的第一个域。
§　在树林中创建其他的域。
§　提高网络可用性和可靠性。
§　提高站点之间的网络性能。
　　要创建 Windows 2000 域，必须在该域中至少创建一个域控制器。创建域控制器也将创建该域。不可能有没有域控制器的域。如果确定用户的单位需要一个以上的域，则必须为每个附加的域至少创建一个域控制器。树林中的附加域可以是：新的子域、新域树的根。