Windows Server 多域间访问实施文档
一、文档概述
本文档基于Windows Server活动目录架构，详细说明多域、多林环境下的域结构搭建、信任关系配置、跨域资源访问的实施步骤与操作规范，适用于集团多分支、多公司场景下的活动目录部署与运维。
二、术语定义
- 域（Domain）：活动目录的基本管理单元，将网络中用户、计算机等资源统一管理的逻辑边界。
- 域树（Domain Tree）：由具有连续名称空间的多个域组成，父域与子域共享公共配置和架构。
- 子域（Subdomain）：在现有域下创建的从属域，名称空间继承父域，例如bj.bcnt.com是bcnt.com的子域。
- 域林（Forest）：由一个或多个不具有连续名称空间的域树组成，所有域树共享全局编录、架构配置和信任关系。
- 信任关系：域之间建立的身份验证约定，使得一个域中的用户可以被另一个域的域控制器验证身份。
- AGDLP规则：跨域权限管理规范，即账户（A）加入全局组（G）、全局组加入本地域组（DL）、为本地域组分配权限（P）。
- 全局编录（GC）：存储林中所有对象核心属性的目录数据库，用于跨域资源查询和身份验证。
三、基础环境准备
设备类型 | 配置要求 | 操作系统 | 网络要求 |
域控制器 | 2核CPU、2G内存、40G硬盘 | Windows Server 2016 | 所有域控制器之间网络互通，DNS解析正常 |
客户端 | 1核CPU、1G内存、20G硬盘 | Windows 10及以上版本 | 可访问所属域的域控制器与DNS服务器 |
|
四、同林域结构搭建实施
- 4.1 创建林根域
- 登录待配置为林根域的服务器，打开服务器管理器，添加「Active Directory域服务」角色。
- 安装完成后启动「Active Directory域服务配置向导」，选择「在新林中新建域」。
- 输入林根域名（如bcnt.com），选择林功能级别和域功能级别为Windows Server 2016。