活動目錄--建立額外域（1）
在主域wagon.myhat.com工作一段時間后,由于業(yè)務(wù)擴(kuò)大，用戶數(shù)量也相應(yīng)的增大了，原本一臺服務(wù)器有些負(fù)荷，因此公司決定再增加一臺域控制器。主要是用來減少原域控制器的負(fù)載，提高用戶到域控制器的訪問速度，以及提高活動目錄的安全性！
建立額外域后,可以將一部分用戶的首選DNS指向額外域控,以減輕原主域的負(fù)載.
安裝域外域需要備具的條件:
1.window server 2003企業(yè)版或是標(biāo)準(zhǔn)版 (推薦使用,若是使用2000服務(wù)器版也可以,但更日后可能無法做到域功能提昇)
2.擁用域管理員授權(quán)
3.網(wǎng)絡(luò)鏈路正常
4.安裝前的成員服務(wù)器IP設(shè)定.
按照前篇<活動目錄--規(guī)劃與安裝第一個域>中的服務(wù)器規(guī)劃,成員服務(wù)器wgcndc2的IP設(shè)定為:
下面開始來安裝額外域控制器！
因為額外域使用的DNS為原主域的DNS，所以我們在安裝好額外域后我們需要建立DNS服務(wù)！如果你在安裝好額外域后，直接改本機(jī)DNS服務(wù)器地址的話，重新啟動后，DNS將自動建立好！本文是在重啟后手動建立DNS服務(wù)。
選取現(xiàn)存網(wǎng)域中的網(wǎng)域控制器
使用域管理員身份進(jìn)行安裝
輸入網(wǎng)絡(luò)的DNS名稱
選擇數(shù)據(jù)庫的安裝路徑
選擇SYSVOL安裝路徑
開始安裝吧！
安裝完成了！
重新啟動后，開始更改DNS服務(wù)器為本機(jī)的IP地址
開始安裝DNS服務(wù)器
開始配置DNS服務(wù)器
建立DNS主要區(qū)域
輸入相關(guān)的域名
只允許安全更新
DNS服務(wù)器安裝完成！
預(yù)覽一下看！
主域與額外域之間的角色分布！
域架構(gòu)主機(jī)：主域
域重命名主機(jī)：主域
PDC主機(jī)：額外域
RID主機(jī)：額外域
基礎(chǔ)結(jié)構(gòu)主機(jī)：額外域
附五種角色說明：
（1） Schema Master 架構(gòu)主機(jī)
用來修改活動目錄的源數(shù)據(jù)。我們知道在活動目錄里存在著各種各樣的對像，比如用戶、計算機(jī)、打印機(jī)等，這些對像有一系列的屬性，活動目錄本身就是一個數(shù)據(jù)庫，對像和屬性之間就好像表格一樣存在著對應(yīng)關(guān) 系，那么這些對像和屬性之間的關(guān)系是由誰來定義的，就是Schema Master。Sechema是可以擴(kuò)展的，但是必須在 Schema Master上擴(kuò)展。 建議:在占有Schema Master的域控制器上不需要高性能，因為我們不是經(jīng)常對Schema進(jìn)行操作的，除非是經(jīng)常會對Schema進(jìn)行擴(kuò)展，不過這種情況非常的少，但我們必須保證可用性，否則在安裝Exchnage或LCS之類的軟件時會出錯。
建議:從上面的介紹里大家應(yīng)該看出來了，PDC Emulator是FSMO五種角色里任務(wù)最重的，所以對于占用 PDC mulator的域控制器要保證高性能和高可用性。
(2) RID Master RID主控
在Windows 2000以上的安全子系統(tǒng)中，用戶的標(biāo)識不取決于用戶名，雖然我們在一些權(quán)限設(shè)置時用的是用戶名，但實(shí)際上取決于安全主體的SID，所以當(dāng)兩個用戶的 SID一樣的時候，盡管他們的用戶名可能不一樣，但 Windows的安全子系統(tǒng)中會把他們認(rèn)為是同一個用戶，這樣就會產(chǎn)生安全問題。而在域內(nèi)的用戶、組和計算機(jī)的安 全I(xiàn)D=Domain SID+RID，那么如何避免這種情況?這就需要用到RID Master，RID Master的作用是:分配可用RID池 給域內(nèi)的DC和防止安全主體的SID重復(fù)。
在主域wagon.myhat.com工作一段時間后,由于業(yè)務(wù)擴(kuò)大，用戶數(shù)量也相應(yīng)的增大了，原本一臺服務(wù)器有些負(fù)荷，因此公司決定再增加一臺域控制器。主要是用來減少原域控制器的負(fù)載，提高用戶到域控制器的訪問速度，以及提高活動目錄的安全性！
建立額外域后,可以將一部分用戶的首選DNS指向額外域控,以減輕原主域的負(fù)載.
安裝域外域需要備具的條件:
1.window server 2003企業(yè)版或是標(biāo)準(zhǔn)版 (推薦使用,若是使用2000服務(wù)器版也可以,但更日后可能無法做到域功能提昇)
2.擁用域管理員授權(quán)
3.網(wǎng)絡(luò)鏈路正常
4.安裝前的成員服務(wù)器IP設(shè)定.
按照前篇<活動目錄--規(guī)劃與安裝第一個域>中的服務(wù)器規(guī)劃,成員服務(wù)器wgcndc2的IP設(shè)定為:
下面開始來安裝額外域控制器！
因為額外域使用的DNS為原主域的DNS，所以我們在安裝好額外域后我們需要建立DNS服務(wù)！如果你在安裝好額外域后，直接改本機(jī)DNS服務(wù)器地址的話，重新啟動后，DNS將自動建立好！本文是在重啟后手動建立DNS服務(wù)。
選取現(xiàn)存網(wǎng)域中的網(wǎng)域控制器
使用域管理員身份進(jìn)行安裝
輸入網(wǎng)絡(luò)的DNS名稱
選擇數(shù)據(jù)庫的安裝路徑
選擇SYSVOL安裝路徑
開始安裝吧！
安裝完成了！
重新啟動后，開始更改DNS服務(wù)器為本機(jī)的IP地址
開始安裝DNS服務(wù)器
開始配置DNS服務(wù)器
建立DNS主要區(qū)域
輸入相關(guān)的域名
只允許安全更新
DNS服務(wù)器安裝完成！
預(yù)覽一下看！
主域與額外域之間的角色分布！
域架構(gòu)主機(jī)：主域
域重命名主機(jī)：主域
PDC主機(jī)：額外域
RID主機(jī)：額外域
基礎(chǔ)結(jié)構(gòu)主機(jī)：額外域
附五種角色說明：
（1） Schema Master
（2）Domain Naming Master 域命名主控
它的主要作用是管理森林中域的添加或者刪除。如果你要在你現(xiàn)有森林中添加一個域或者刪除一個域的 話，那么就必須要和Domain Naming Master進(jìn)行聯(lián)系，如果Domain Naming Master處于Down機(jī)狀態(tài)的話，你的添 加和刪除操作那上肯定會失敗的。
建議:對占有Domain Naming Master的域控制器同樣不需要高性能，我想沒有一個網(wǎng)絡(luò)管理員會經(jīng)常在森林里添加或者刪除域吧?當(dāng)然高可用性是有必要的，否則就沒有辦法添加刪除森里的域了。
2. 域級別（即一個域里只存在一臺有個角色）
(1) PDC Emulator PDC仿真器
在前面已經(jīng)提過了，Windows 2000域開始，不再區(qū)分PDC還是BDC，但實(shí)際上有些操作則必須要由PDC來完成，那么這些操作在Windows 2003域里面怎么辦呢?那就由PDC Emulator來完成，主要是以下操作:
A. 處理密碼驗證要求;
在默認(rèn)情況下，Windows 2003域里的所有DC會每5分鐘復(fù)制一次，但有一些情況是例外的，比如密碼的修改，一般情況下，一旦密碼被修改，會先被復(fù)制到PDC Emulator，然后由PDC Emulator觸發(fā)一個即時更新，以保證密碼的實(shí)時性，當(dāng)然，實(shí)際上由于網(wǎng)絡(luò)復(fù)制也是需要時間的，所以還是會存在一定的時間差，至于這個時間差是多少，則取決于你的網(wǎng)絡(luò)規(guī)模和線路情況。
B.統(tǒng)一域內(nèi)的時間;
微軟活動目錄是用Kerberos協(xié)議來進(jìn)行身份認(rèn)證的，在默認(rèn)情況下，驗證方與被驗證方之間的時間差不能超過5分鐘，否則會被拒絕通過，微軟這種設(shè)計主要是用來防止回放式攻擊。所以在域內(nèi)的時間必須是統(tǒng)一的，這個統(tǒng)一時間的工作就是由PDC Emulator來完成
A. 處理密碼驗證要求;
在默認(rèn)情況下，Windows 2003域里的所有DC會每5分鐘復(fù)制一次，但有一些情況是例外的，比如密碼的修改，一般情況下，一旦密碼被修改，會先被復(fù)制到PDC Emulator，然后由PDC Emulator觸發(fā)一個即時更新，以保證密碼的實(shí)時性，當(dāng)然，實(shí)際上由于網(wǎng)絡(luò)復(fù)制也是需要時間的，所以還是會存在一定的時間差，至于這個時間差是多少，則取決于你的網(wǎng)絡(luò)規(guī)模和線路情況。
B.統(tǒng)一域內(nèi)的時間;
微軟活動目錄是用Kerberos協(xié)議來進(jìn)行身份認(rèn)證的，在默認(rèn)情況下，驗證方與被驗證方之間的時間差不能超過5分鐘，否則會被拒絕通過，微軟這種設(shè)計主要是用來防止回放式攻擊。所以在域內(nèi)的時間必須是統(tǒng)一的，這個統(tǒng)一時間的工作就是由PDC Emulator來完成
C.向域內(nèi)的NT4 BDC提供復(fù)制數(shù)據(jù)源;
對于一些新建的網(wǎng)絡(luò)，不大會存在Windows 2000域里包含NT4的BDC的現(xiàn)象，但是對于一些從NT4升級而來的Windows 2000域卻很可能存有這種情況，這種情況下要向NT4 BDC復(fù)制，就需要PDC Emulator。
對于一些新建的網(wǎng)絡(luò)，不大會存在Windows 2000域里包含NT4的BDC的現(xiàn)象，但是對于一些從NT4升級而來的Windows 2000域卻很可能存有這種情況，這種情況下要向NT4 BDC復(fù)制，就需要PDC Emulator。
D.統(tǒng)一修改組策略的模板;
E.對Windows2000以前的操作系統(tǒng)，如Win98之類的計算機(jī)提供支持;
對于Windows 2000之前的操作系統(tǒng)，它們會認(rèn)為自己加入的是NT4域，所以當(dāng)這些機(jī)器加入到Windows 2000域時，它們會嘗試聯(lián)系PDC，而實(shí)際上PDC已經(jīng)不存在了，所以PDC Emulator就會成為它們的聯(lián)系對象!
對于Windows 2000之前的操作系統(tǒng)，它們會認(rèn)為自己加入的是NT4域，所以當(dāng)這些機(jī)器加入到Windows 2000域時，它們會嘗試聯(lián)系PDC，而實(shí)際上PDC已經(jīng)不存在了，所以PDC Emulator就會成為它們的聯(lián)系對象!
(2) RID Master RID主控
建議:對于占有RID Master的域控制器，其實(shí)也沒有必要一定要求高性能，因為我們很少會經(jīng)常性的利用批處理或 腳本向活動目錄添加大量的用戶。這個請大家視實(shí)際情況而定了，當(dāng)然高可用性是必不可少的，否則就沒有辦法 添加用戶
(3) Infrastructure Master
FSMO的五種角色中最無關(guān)緊要的可能就是這個角色了，它的主要作用就是用來更新組的成員列表，因為在活動目錄中很有可能有一些用戶從一個OU轉(zhuǎn)移到另外一個OU，那么用戶的DN名就發(fā)生變化，這時其它域?qū)τ谶@個 用戶引用也要發(fā)生變化。這種變化就是由Infrastructure Master來完成的。
建議:其實(shí)在活動目錄森林里僅僅只有一個域或者森林里所有的域控制器都是GC(全局編錄)的情況下， Infrastructure Master根本不起作用，所以一般情況下對于占有Infrastructure Master的域控制器往往忽略性能和可能性。
