〈三〉 dns伺服器的安裝與配置
一、活動目錄的安裝前的準備
在前面我們知道“活動目錄”是整個win2k系統中的一個關鍵服務，它不是孤立的，它與許多協定和服務有著非常緊密和關係，還涉及到整個win2k系統的系統結構和安全。安裝“活動目錄”不是安裝一般windows組件那么簡單，在安裝前要進行一系列的策劃和準備。否則輕則根本無法享受到活動目錄所帶來的優越性，重則不能正確安裝“活動目錄”這項服務。
1、首先在 安裝活動目錄之前，必須保證已經有一台機器安裝了win2k server 或者advanced server，且至少有一個ntfs分區， 而且已經為tcp/ip 配置了dns協定，並且dns服務支持srv記錄和動態更新協定。 o?踲~篆hi
2、其次是要規劃好整個系統的域結構，活動目錄它可包含一個或多個域，如果整個系統的目錄結構規劃得不好，層次不清就不能很好地發揮活動目錄的優越性。在這裡選擇根域(就是一個系統的基本域)是一個關鍵， 根域名字的選擇可以有以下幾種方案：
1)可以使用一個已經註冊的dns 域名作為活動目的根域名，這樣的好處在於企業的公共網路和私有網路使用同樣的dns名字。
2)我們還可使用一個已經註冊的dns域名的子域名作為活動目錄的根域名。
3)為活動目錄選擇一個與已經註冊的dns域名完全不同的與域名。這樣可以使企業網路在內部和網際網路上呈現出兩種完全不同的命名結構。
4)把企業網路的公共部分用一個已經註冊的dns域名進行命名，而私有網路用另一個內部域名，從名字空間上把兩部分分開，這樣做就使得每一部分要訪問另部時必須使用對方的名字空間來標識象。 1 鮇 洵
3、再一個就是要進行域和帳戶命名策劃，因為使用活動目錄的意義之一就在於使內、外部網路使用統一的目錄服務，採用統一的命名方案，以方便網路管理和商務往來。活動目錄域名通常是該域的完整dns名稱，但是為確保向下兼容，每個域最好還有一個win2k以前版本的名稱，以便在運行win2k以前版本的作業系統的計算機上使用。用戶帳戶在活動目錄中，每個用戶帳戶都有一個用戶登錄名、一個win2k以前版本的用戶登錄名(安全帳戶管理器的帳戶名)和一個用戶主要名稱後綴。在創建用戶帳戶時，管理員輸入其登錄名並選擇用戶主要名稱，活動目錄建議 win2k 以前版本的用戶登錄名使用此用戶登錄名的前 20 個位元組。活動目錄命名策略是企業規劃網路系統的第一個步驟，命名策略直接影 響到網路的基本結構，甚至影響網路的性能和可擴展性。活動目錄為現代企業提供了很好的參考模型，既考慮到了企業的多層次結構，也考慮到了企業的分散式特性，甚至為直接接入internet提供完全一致的命名模型。
所謂用戶主要名稱是指由用戶賬戶名稱和表示用戶賬戶所在的域的域名組成。這是登錄到 win2k 域的標準用法。標準格式為：
(象個人的電子郵件地址)。但不要在用戶登錄名或用戶主要名稱中加入 @ 號。活動目錄 在創建用戶主要名稱時自動添加此符號。包含多個 @ 號的用戶主要名稱是無效的。
在活動目錄中，默認的用戶主要名稱後綴是域樹中根域的 dns名。如果用戶的單位使用由部門和區域組成的多層域樹，則對於底層用戶的域名可能很長。對於該域中的用戶，默認的用戶主要名稱可能是 。該域中用戶默認的登錄名可能是 。這要一來用戶登錄時就要輸入的用戶名可能太長，輸入起來就非常不方便，win2k為了解決這一問題，規定在創建主要名稱後用戶只要在根域後加上相應的用戶名， 使同一用戶使用更簡單的登錄名就可以登錄，而不是前面所提到的那一長串
4、最後就是要注意設定規劃好域間的信任關係，對於win2k計算機，通過基於 kerberos v5 安全協定的雙向、可傳遞信任關係啟用域之間的帳戶驗證。在域樹中創建域時，相鄰域(父域和子域)之間自動建立信任關係。在域林中，在樹林根域和添加到樹林的每個域樹的根域之間自動建立信任關係。如果這些信任關係是可傳遞的，則可以在域樹或域林中的任何域之間進行用戶和計算機的身份驗證。
如果將 win2k 以前版本的 windows域升級為win2k域時，win2k域將自動保留域和任何其他域之間現有的單向信任關係。包括win2k以前版本的windows域的所有信任關係。如果用戶要安裝新的win2k域並且希望與任何win2k以前版本的域建立信任關係，則必須創建與那些域的外 餌砟x 瞧kt