2010-03-27 16:51:05 
阿炯
Windows Active Directory域故障排错
大庆油田高级人才培训中心 张东辉
本节介绍Windows 2000/03 AD域故障的排错。首先我们会介绍活动目录(Active Directory)及其相关概念，然后介绍和域故障排错相关的知识、工具软件的使用，最后以实例的形式讲解针对具体的各种域故障如何进行排错，如何有效地利用组策略来管理AD域、管理网络。通过本节的学习，读者可以掌握活动目录(Active Directory)及其相关概念，活动目录的功能、逻辑结构、物理结构；管理Windows 2000/03网络的方法，相关工具的使用；提高域故障排错能力，掌握活动目录上的最大应用：组策略。
2-3-1活动目录(Active Directory)及其相关概念
要掌握Windows 2000/03 AD域故障排错，首先就得知道什么是域，什么是活动目录，活动目录的工作原理如何。以下内容作为后面域排错的基础理论知识至关重要。
2-3-1-1为什么要使用活动目录？
为什么要使用活动目录？首先我们来看两个例子：
如果我们要记住10个、20个电话号码还可以，但更多的就无能为力了。这时我们就会想到把电话号码记录到电话簿上，需要时去查询。
如果我们家中只有10本、20本的书，我们会比较容易找到我们想要的那一本，但如果我们家中的书像图书馆那么多，这时我们就会想到把书分门别类地放好，并根据书的书名、作者、出版社、类别等属性信息做好索引，以利于查找。
有效地管理网络，也象管理电话号码、管理图书一样。我们会把网络中众多的对象：计算机、用户、用户组、打印机、共享夹……，分门别类、井然有序地放在活动目录这个大仓库中。使用活动目录对你公司的网络进行管理，才是积极有效的管理方法，而且网络规模越大，越能体现出活动目录在管理网络上的高效性。
2-3-1-2工作组(Workgroup)
当然如果网络规模很小，也可以使用Windows工作组模式来进行管理，但其管理功能极其有限。对于一台Windows计算机来讲，它要么隶属于工作组，要么隶属于域。工作组是微软的概念，一般的普遍称谓是对等网。
工作组通常是一个由不多于10台计算机组成的逻辑集合，如果要管理更多的计算机，微软推荐你使用域的模式进行集中管理，这样的管理更有效。你可以使用域、活动目录、组策略等等各种功能，使你网络管理的工作量达到最小。当然这里的10台只是一个参考值，11台甚至20台，如果你不想进行集中的管理，那么你仍然可以使用工作组模式。
工作组的特点就是实现简单，不需要域控制器DC，每台计算机自己管理自己，适用于距离很近的有限数目的计算机。顺便说明一下，工作组名并没有太多的实际意义，只是在网上邻居的列表中实现一个分组而已；再就是对于“计算机浏览服务”，每一个工作组中，会自动推选出一个主浏览器，负责维护本工作组所有计算机的NetBIOS名称列表。用户可以使用默认的工作组名workgroup，也可以任意起个名字(不必担心重名)，同一工作组或不同工作组间在访问时也没有什么分别，都需要输入目标计算机上的用户名、口令进行验证。
在工作组模式下，用户要访问10台计算机上的资源，就需要记住至少10个用户名和口令，工作组的这种分散管理性是它和域的集中式管理相比最大的缺点。AD域提供了对网络资源的集中控制，用户只需登录一次就可以访问整个活动目录的资源。
2-3-1-3活动目录(Active Directory)和域控制器(Domain Controller)
如果网络规模较大，这时我们就会考虑把网络中众多的对象(被称之为AD对象)：计算机、用户、用户组、打印机、共享夹……分门别类、井然有序地放在一个大仓库中，并做好检索信息，以利于查找、管理和使用这些对象(资源)。这个有层次结构的数据库，就是活动目录数据库，简称AD库。
接下来，我们应该把这个数据库放在哪台计算机上呢？是这样的，我们把存放有活动目录数据库的计算机就称之为域控制器(Domain Controller)，简称DC。
2-3-1-4活动目录架构(Active Directory Schema)
架构是关于AD对象类型属性的定义。一种类型AD对象应该有哪些属性是由架构来定义的，比如它定义了用户对象有姓、名、登录名、口令等一系列的属性。如果你想增加一个“性别”属性，这就要修改架构，一般称之为扩展AD架构，这要求你必须是林根域上的Schema Admins组成员才行。
整个活动目录的林中只有一个架构，因此在活动目录中创建的所有对象都遵从同样的规则。也就是说你对架构的修改将影响到林中的所有域，你没办法实现同一林中的一个域用户对象有“性别”属性，而另一个域没有。
2-3-1-5目录访问协议(DAP)和轻量级目录访问协议(LDAP)
AD对象存储在活动目录中，客户和应用程序就通过访问活动目录，来查找这些存放于活动目录中的对象。用户访问这些AD对象，当然要遵照一定的规则和约定，这就是协议。客户访问目录所用的协议被称之为目录访问协议(DAP)，DAP是在X.500中定义的一个复杂协议，它的简化版本被称之为轻量级目录访问协议(LDAP)，被微软的活动目录AD所采用。LDAP是用于查询和更新活动目录的目录服务协议。
2-3-1-6目录服务
回过头来，我们再来看一下目录服务的定义。目录服务由X.500标准定义，目录是指一个组织中关于人和资源信息的结构化、层次化的库。在微软的Windows 2000/03网络中，这个目录服务就是指活动目录(Active Directory)服务，又比如在Novell公司的NetWare上使用的目录服务叫NDS(Novell目录服务)，目录服务的实质就是一种网络服务。
活动目录(Active Directory)作为网络目录服务，提供了用于组织、管理和控制网络资源的结构和功能，使我们有了集中管理Windows 2000/03网络的能力，管理员可以在一个地点管理整个网络。当然也可以利用OU进行委派控制，把一部分管理工作分派给OU管理员。
2-3-1-7活动目录的逻辑结构
活动目录的逻辑结构具有伸缩性，小：可以只是一台计算机，大：可以应用到大型跨国公司的网络。活动目录的逻辑组件包括：
活动目录林(Active Directory Forest)
活动目录树(Active Directory Tree)
活动目录域(Active Directory Domain)
组织单元(OU，Organizational Units)
全局目录(GC，Global Catalog)
mcse.com
sub.mcse.com
my.com
接下来，以上图为例，进行相关讨论。这整个是一个林，mcse.com为林根域，有两个树，一个由mcse.com和它的子域sub.mcse.com组成，另一个由my.com单独组成，林中有mcse.com，sub.mcse.com，my.com三个域。相关概念如下：
林根域：在林中建立的第一个域，如：mcse.com
树：共用连续的命名空间的多层域，如mcse.com(父域)和sub.mcse.com(子域)
树根域：树最高层的域，名最短。如：mcse.com和my.com
Windows 2000/03可采用多层域结构，但最有效、最简便的管理方法仍是单域，所以大家在实际工作中要记住一个原则“能用单域解决，就不用多域”。
一、域(Domain)
域是活动目录中逻辑结构的核心单元。一个域包含许多计算机，它们由管理员设定，共用一个目录数据库，一个域有一个唯一的名字。
域是安全边界，保证域的管理员只能在该域内有必要的管理权限，除非得到其它域的明确授权。每个域都有自己的安全策略和与其它域的安全联系方式。注意：1、无法在一个域内实现不同的帐号策略。2、父域对子域并没有任何管理特权，但要注意林根域下有企业管理员组Enterprise Admins，它默认对林中的其它域是有特权的。
父域和子域间默认就有双向可传递的信任关系，也就是说用户可以使用林中任意一个域内的计算机，登录到林内的任何一个域上(操作上就是使用欲要登录的那个域的用户帐号)；还可以，以自己本域的帐号登录，访问林内任何资源而不需要重新输入口令，当然要想能真正访问某一具体资源，在该资源上必须得有相应权限才行。
二、组织单元(OU，Organizational Units)
在域下面，我们可以规划OU，放入计算机、用户、用户组等对象。也就是说通过OU，我们可以把对象组织起来，并形成一个有层次的逻辑结构。OU下面可以再建小OU，微软建议嵌套层次不要超过3层，我们平常一般1到2层就够用了。
在规划OU时，要考虑到将来的管理和组策略的应用，一般应把有相同需求的计算机、用户等放在同一OU下。可以基于部门、基于管理责任，也可以基于地理位置来规划，使其最佳地适应你的公司的需求。
在域下面规划OU，不是仅仅为得到一个层次结构，我们主要目的是要基于OU实现委派控制和将来链接相应的组策略来实现管理控制。委派的权限可以是完全控制，也可以是仅指定有限的权限(如：修改OU内的用户口令)给一个或几个用户和组。
三、活动目录林(Active Directory Forest)
在林中建立的第一个域，被称为林根域，如前面提到的mcse.com。在刚开始时候，我们这个林中只有一个树，树内只有一个域，域内只有一台计算机作为域控制器。也就是说此时我们整个林就只有一台计算机。
接下我们也可以为它添加子域，如sub.mcse.com.，再添加了一个新树下的域my.com。这样我们的这个林下就有了两个树：一个树由mcse.com域、和它的子域sub.mcse.com构成，一个树仅由my.com域构成。
四、活动目录树(Active Directory Tree)
活动目录树是Windows 2000/03网络中的层次组织，同一树下的域共用连续的名字空间。如父域mcse.com(它同时也是树根域、林根域)，树根域的名字一定是最短的。父域mcse.com和子域sub.mcse.com之间默认就有一个双向的、可传递的信任关系。也正由于这种信任关系的可传递性，使得sub.mcse.com和my.com间也有了双向信任关系。
五、全局目录(GC，Global Catalog)
全局目录GC包含了AD对象属性的子集，换句话说就是GC中包含了林中所有对象的摘要信息，也就是相对重要一些的属性，如用户对象的姓、名和登录名。全局目录GC本身必须首先是域控制器DC，GC不具有唯一性，可以有多个。
全局目录GC使用户能够：1、查询整个林中的AD信息，无论数据在林中什么位置。以利于林中的跨域访问。2、使用通用组，即利用通用组成员身份的信息登录网络。
2-3-1-8活动目录的物理结构
在活动目录中，物理结构与逻辑结构是相互独立的。域控制器DC和站点(Site)组成了活动目录的物理结构。
利用站点，我们可规划域控制器DC放置，优化AD复制，使用户就近查找DC登录。同时，知道物理结构将有助于排除复制和登录过程中出现的问题。
一、域控制器(Domain Controllers)
Windows 2000/03域控制器上存储有活动目录的副本，管理目录信息的变化，并把这些变化复制给该域上的其它域控制器。域控制器存储目录数据，管理用户登录、验证和目录搜索。
一个域至少得有一台域控制器，为了容错就应该有两台，甚至多台。这主要要看网络的规模及分布。
二、活动目录复制
同一域内的DC之间要复制域信息，同一林内的DC间要复制林信息。活动目录复制确保AD信息对整个网络上的所有DC和客户机都是可用的。而活动目录的物理结构决定了复制发生的时间和地点。
AD复制采用多主控复制模型，也就是说每个DC都存储有AD的可写副本，彼此间的复制是双向的。这点与NT4域的PDC到BDC(目录服务的只读副本)的单主控复制不同。
在所有的DC把它们的变化都同步到活动目录中以前，DC在短时间内可能有不同的信息。按照默认，这一时间，同一站点内不越过3x5=15分钟。
三、站点(Site)
站点就是一个或几个高速带宽连接的IP子网的集合。管理员规划的站点，必须真实反映网络的物理结构和连接情况，把高速连接的部分规划为一个站点。也就是说，站点内一定是高速连接，站点间是低速连接。
管理员利用规划站点，可以为活动目录配置访问和复制拓扑。使用Windows 2000/03网络可以使用最有效的链接和时间安排来复制和登录。创建站点，我们可以：1、优化AD复制，如：让其半夜进行，一天一次。2、优化用户登录，如：使用户就近查找本站点内高速连接的DC进行登录。
在活动目录中，物理结构与逻辑结构是相互独立的，没有什么必然的联系。一个站点可以有几个域，一个域也可以有几个站点。给站点起名字也是任意的，不必考虑和域名字间的联系。
2-3-1-9操作主机(或叫主控、FSMO)
前面我们介绍了AD复制采用多主控复制模型，但在有些特殊情况下，我们需要目录林进行单主控更新以避免冲突的发生。简单地说就是，这时我们就让一台DC说了算，来执行相关的AD改变，然后由它把变化复制到其它的DC上去，这台DC就是操作主机。共有五种操作主机，它们是：
• 架构主控 Schema master 林内唯一
• 域命名主控 Domain Naming master 林内唯一
• PDC仿真器 PDC Emulator master 域内唯一
• RID主控 RID master 域内唯一
• 基础结构主控 Infrastructure master 域内唯一
默认林根域的第一台DC就是这五种操作主机，同时还是GC。林内其它域的第一台DC是该域内的域唯一的那三种操作主机，即PDC仿真、RID、基础结构。。
操作主机具有唯一性，但我们可以把操作主机移动到其它DC上，只要保证原来的不再是操作主机，也就是说保证这种唯一性即可。任何一台DC都可以是一操作主机(注意也只有DC才可以是操作主机)，一台DC可以同时担当多种操作主机角色。
对于操作主机的管理，我们可以查看、传送、查封。传送(Transfer)和查封(Seizing)的区别在于：传送是在原操作主机联机的情况下进行的，传送后得到了新的操作主机，原来的操作主机就不再是操作主机了，传送保证操作主机的唯一性。查封是在原操作主机有故障或失效，脱机的情况下的强行传输，也就是重新推选一个新的操作主机，会有数据的丢失。查封不保证操作主机唯一性，原操作主机必须格式化后再接入网络。
对操作主机的管理，可以使用图形化界面(管理的位置，将在下面逐个介绍说明)，也可以使用Ntdsutil命令。下面我们简单介绍一下各种操作主机的作用。
一、架构主控(Schema master)
操作：AD架构/AD架构上右键/操作主机
说明：默认情况下，架构的MMC管理工具不被安装。需要：
1、运行adminpak.msi安装AD管理工具。Adminpak.msi可在03光盘I386目录下找到，或在03的windows\system32下找到。或者手动，开始/运行：regsvr32 schmmgmt.dll
2、开始/运行：MMC，文件/添加删除管理单元/添加/AD架构
关于架构，我们前面介绍过：架构是关于AD对象类型属性的定义。架构主控控制对架构的所有原始更新，也就是说对架构的修改、扩展，必须连接到林内唯一的这台架构主机上进行，然后由它复制到到林内所有的DC上。
注意：只有架构管理员组(Schema Admins)可以对架构进行修改，例如安装Exchange Server、ISA阵列，就需要扩展架构，你应该以架构管理员身份进行。
二、域命名(Domain Naming master)
操作：AD域和信任关系/AD域和信任关系上右键/操作主机。
只有域命名主机可以向目录林中添加域或者删除域，保证域的名字在林中唯一。若域命名主机不可用，则无法在目录林中添加或删除域。
为保证域的名字在林中唯一，域命名主机需要查询GC。若林功能级别为Windows 2000林模式，GC必须和域命名主机在同一台计算机上才行。若林功能级别为Windows Server 2003林模式，不要求GC必须和域命名主机非得在同一台计算机上。
三、PDC仿真器(PDC Emulator master)
操作：AD用户和计算机/域上右键/操作主机/PDC标签
PDC仿真主机在五种操作主机中是最重要的，它的利用率很高。如果PDC仿真主机失效，必须尽快解决。它主要负责：
1、如果Windows 2000/03域中还有NT4的BDC，它充当NT BDC的PDC，并为早期版本客户机提供服务。顺便说一下，NT4的域控制器在2000/03域中只能是BDC，不可能是PDC。
2、管理运行NT、95/98计算机的密码变化，写入活动目录AD。
3、最小化密码变化的复制等待时间。若一台DC接受到密码变化的请求，它必须通知PDC仿真主控。用户登录时，如密码错误，进行验证的DC必先送至PDC仿真主控。因为普通DC不能确认到底是密码错误，还是它没有及时与PDC仿真主控同步。
4、同步全域中的域控制器、成员计算机的时间。加入域的计算机，没有自己的时间。这是因为时间参数，在AD复制中是一个极为重要的因素，决定多主控复制时，谁的修改最终生效。所以整个域的时间，都由PDC仿真主机来控制。你可以手动修改域成员计算机上的时间，但当AD复制过后，又会被改回成PDC仿真主机上的时间。如果目录林是多层域结构，最终以林根域上的PDC仿真主机的时间为准。
5、防止重写GPO的可能，修改组策略设置，默认也是要连接到PDC仿真主控上才行。当然这个默认值是可以修改的，或者找不到PDC仿真主控时，系统会提示你连到其它DC。
四、相关标识符RID主控(RID master)
操作：AD用户和计算机/域上右键/操作主机/RID标签
在AD对象中的用户、组或计算机等对象，我们是可以为其分配权利权限的，被称为安全主体。安全主体与其它非安全主体对象的最主要的区别就在于：安全主体对象有安全标识符(SID)，可以为其分配权利权限。大家要明确：在活动目录中，所有对象都有GUID(全局唯一标识符)，只有安全主体对象才有SID。
当我们在域内创建安全主体(例如用户、组或计算机)对象时，域控制器将域的SID与安全主体对象RID标识符相结合，以创建唯一的安全标识符 (SID)。形如：
S-1-5-21-1553226038-2352558368-427082893-500
其中S-1-5表示NT Authority(标识符颁发机构)；上例中的21-1553226038-2352558368- 427082893为这个域的SID(每个域不同)，在这个位置还可能是32(表示本地/域内置的本地组，都只能在DC/本机上使用，重复无妨，所以都是32)，也可能是本机的SID(每台机不同)；后面跟的500表示administrator用户。
为了结合后面的案例，在这里我们把SID多作些介绍：
SID 名称 描述
S-1-5-域-500 Administrator 管理员帐户
S-1-5-域-501 Guest 供来宾访问计算机或访问域的内置帐户
S-1-5-域-502 krbtgt 密钥分发中心(KDC)服务使用的服务帐户
其它还有：Domain Admins(512)，Domain Users(513)，Domain Guests(514)。用户帐户、全局组可在林内或有信任关系的其它域 使用，所以域间不可重复。
S-1-5-域-515 Domain Computers 一个包括加入域的所有客户端和服务器的全局组
S-1-5-域-516 Domain Controllers 一个包括域中所有域控制器的全局组。默认情况下，新的域控制器将添加到该组中。
S-1-5-根域-518 Schema Admins 域为混合模式 时为全局组，纯模式时为通用组。默认成员林根域的 Administrator。被授权更 改AD架构。
S-1-5-根域-519 Enterprise Admins 域为混合模式 时为全局组，纯模式时为通用组。默认成员林根 域的 Administrator。被授权更改AD林结构，例如添加子域，删除域。
S-1-5-32-544 Administratrs 域/本地管理员组，都只 能在DC/本机使用，重复无妨。
其它还有：Users(545)，Guests(546)，Power Users(547)，Account Operators(548)，Server Operators(549)，Print Operators(550)，Backup Operators(551)，Replicators(552)，Remote Desktop Users(555)。都只能在本域内使用，域间重复无妨。
S-1-1-0 Everyone 包括所有用户 (甚至匿名用户和来宾)的组。成员身份由操作系统控制。在03中管理员可决定是否包括Guest。
S-1-5-6 Service 一个包括所有作为服务登录的安全主体的组。成员身份由操作系统控 制。
S-1-5-7 Anonymous 一个包括所有以匿名方式登录的用户的组。成员身份由操作系统控制。
S-1-5-18 Local System 操作系统使用的服务帐户。
S-1-5-19 Local Service 本地服务
S-1-5-20 Network Service 网络服务
RID操作主机就是负责向域内的DC分配 RID 池，每一个 Windows 2000/03 DC 都会收到用于创建对象的 RID 池(默认为 512个)。RID 操作主机通过分配不同的池来确保这些 ID 在每一个 DC 上都是唯一的。若DC分到的RID池被用尽，可以向RID操作主机自动再次申请。
通过 RID 主机，还可以在同一目录林中的不同域之间移动所有对象。当对象从一个域移动到另一个域上时，RID主控将该对象从域中删除。
五、基础结构主控(Infrastructure master)
操作：AD用户和计算机/域上右键/操作主机/结构 标签
基础结构主机确保所有域间操作对象的一致性。当引用另一个域中的对象时(如域本地组中包括另一域的一个全局组)，此引用包含该对象的全局唯一标识符 (GUID)、安全标识符 (SID) 和可分辨的名称 (DN)。
如果被引用的对象移动，则在域中担当结构主机角色的 DC 会负责更新该域中跨域对象引用中的 SID 和 DN。也就是说，基础结构主机负责更新外部对象的索引(组成员资格)，显然，单域不需要基础结构主机。
基础结构主机是基于域的，目录林中的每个域都有自己的基础结构主机。基础结构主机不应该和GC在同一个DC上，应手动移走，否则将不起作用。前面我们提到过，默认林根域的第一台DC就是这五种操作主机，同时还是GC。也就是说，这时基础结构主机实际上是失效的，不起作用。但这时只有一个林根域，基础结构主机不起作用也没关系，若以后构建多层域，需要手动将其与GC分开。
2-3-1-10域功能级别和林功能级别
2-3-1-11标识名(DN)和相对标识名(RDN)
前面我们提到了客户使用LDAP协议来访问活动目录中的对象，那么LDAP是如何来标识一个在活动目录中的对象的呢？换句话说，LDAP是如何在活动目录找到对象A，而不会错找成对象B的呢？这就要用到一个命名路径，即标识名(DN)和相对标识名(RDN)。DN为活动目录中的对象标识出LDAP命名的完整路径；RDN用来标识容器中的一个对象，即它总是DN中的最前面一项。
如：在Active Directory用户和计算机中，在mcse.com域下有个OU：Finance(财务)，在Finance下又有个小OU：Sales(销售)，在其下有个用户，名叫Suzan Fine。则此用户对象的DN为：CN=Suzan Fine, OU=Sales, OU=Finance, DC=mcse DC=com。RDN为：CN=Suzan Fine。
说明：
1、其中DC表示DNS名字的域组件，OU表示组织单元，CN表示普通名字，CN可用于除了前两种以外的所有对象。比如：如果用户帐号不在OU中而是在默认容器Users中，为表示Users容器应使用CN。即：CN=Suzan Fine, CN=Users, DC=mcse, DC=com。
2、如果在命令中引用DN，且DN中有空格，如CN=Suzan Fine。应使用引号将整个DN括起来。如“CN=Suzan Fine, CN=Users, DC=mcse, DC=com”。
2-3-1-12 域名服务系统(DNS)
Windows 2000/03的活动目录服务与域名服务系统(DNS)紧密结合、集成一起，所以DNS故障是导致AD故障非常主要的因素之一，有统计数据显示AD故障的60%来自于DNS。
使用活动目录、构建Windows 2000/03的域，网络上必须有可用的DNS服务器，并且必须支持SRV记录(Service Location Resource Record)和动态更新功能。如：MS Win2000/03 DNS，UNIX的DNS BIND 8.12及以上版本，使用已有的NT4 DNS是不行的。
构建NT4域并不需要DNS的支持，但2000/03域必须有DNS，且满足上述要求。
SRV记录的作用是指明域和站点(site)的DC、PDC仿真、GC是谁。动态更新也是2000/03DNS的新特色，管理员不必再象NT4 DNS那样手动为计算机创建或修改相应记录，在域成员计算机重启，或改名、改IP时依赖周期性更新，自动动态注册或更新相应DNS记录。
如果没有DNS服务器的话，也不一定非得预装DNS，可以在安装AD过程中，选择在本机上安装2000 DNS。而且推荐初学者使用这种方法，因为系统会根据你提供的FQDN域名，自动创建好DNS区域(zone)，并配置成AD集成区域，仅安全动态更新。如果需要向外连或反向解析，用户只需配置上转发器和反向区域即可，不需要的话，直接就可以用了。
如果决定在安装AD过程中在本机安装DNS，应在安装前，将本机TCP/IP配置/DNS服务器指向自己，这样在安装AD完成后重启时，SRV记录将被自动注册到DNS服务器的区域当中去的，生成四个以下划线开头的文件夹，如_msdcs，03DNS在这里夹的层次结构有所变化，但本质没变。当然如果忘了指，也可以后补上，只不过需要多重启一次。
03DNS新特色：
1、条件转发。
转发器的作用是，如果本机无法解析DNS客户所发的查询请求，转发给转发器所指定的DNS服务器。在03DNS中新增了条件转发，即不同的DNS区域，可指定不同的转发器。
利用条件转发，不仅可改善DNS查询，更重要的是有其实际意义。例如两个公司合并时，可将利用条件转发，基于对方域名将转发器配置为指向对方的DNS服务器。这样DNS服务器就能解析对方网络中的DNS名称，并对其他网络信息建立巨大的缓存。又由于不必查询 Internet 上的 DNS 服务器，将大大减少DNS查询所用的时间。
2、存根(stub)区域
上面的场景也可用存根区域来解决，在03DNS中创建对方的存根区域，并指明对方的权威DNS服务器。注意在存根区域下只有对方域的SOA、NS及与NS相关的A记录，不会有对方其它的具体资源的记录。在有些情况下，与条件转发的作用还是有所不同的。
2-3-1-13 组策略(Group Policy)
组策略是活动目录上的最大应用，可以应用于2000/XP/03。组策略使许多重复的管理工作自动化、简单化，所以说组策略的应用程度是衡量2000/03管理员的重要尺度。
组策略对象(GPO)也是一种AD对象，并且可设置权限。在域内创建，可链接到站点(Site)、域(Domain)、组织单元(OU)，使组策略的设置对一定范围的计算机/用户生效。本地(Local)策略可理解为一个特殊的组策略：在工作组下也可使用，只对本地用户和该计算机生效。使用gpedit.msc进行管理，设置后立即生效，不需刷新。
组策略设置的默认优先级是：LSDOU原则，本地策略优先级最低。可通过阻止继承(将阻止所有策略继承)、禁止替代(也就是必须继承，针对某个具体的GPO来设置)、组策略筛选器(实质为GPO权限)改变默认的优先级。
组策略对象(GPO)包括组策略容器(GPC)和组策略模板(GPT)两部分。GPC位于AD用户和计算机/System/Policies(需要选中查看下的高级功能)，仅是GPO的属性和版本信息，计算机通过GPC来查找GPT。具体的策略设置值存储在GPT中，位于DC的windows\sysvol\sysvol下，以GUID为文件夹名。注意安装AD系统自带的两个GPO，使用固定的GUID，分别是：
¨默认域的策略的GUID为31B2F340-016D-11D2-945F-00C04FB984F9
¨默认域控制器的策略的GUID为6AC1786C-016F-11D2-945F-00C04FB984F9。
组策略具体的设置内容2000到达600多条，03又新增200条左右。组策略设置中的安全模板(计算机和用户)部分，通过注册表生效，但并不永久改变注册表。若用户手动修改注册表中的组策略设置值，若策略未变，组策略不负责强制改回。安全策略是组策略的子集(一部分)，只不过其MMC工具被单独提出来，放到管理工具下了。
2-3-2域故障排错相关知识及工具软件的使用
这部分我们要介绍域故障排错相关的知识和工具软件(包括Windows自带的、微软附加的、第三方的)的使用。我们力图把这些内容做个简单的分类，以方便讲解和讨论，总体思路由易到难。但我们大家要明确：实际的故障总是各种各样，千差万别的，常常综合有多方面的因素，我们也需要结合多种工具才能解决。而且简单的工具更常用，更应该掌握好。
2-3-2-1 TCP/IP排错工具
因为我们重点要讨论AD域的故障排错，在这部分我们只把一些常用命令做一下介绍，其它不太常用的大家了解一下就可以了。
一、Ping
对于ping命令大家经常使用，比较了解。现简述思路如下：
操作 正常工作/通 不正常工作/不通
查看：设备管理器/网卡 网卡及其驱动没问题，已经正常工作了。 考虑网卡的物理完好，及驱动是否正确，一般为后者。早期的非PCI网卡还可能是由于中断IRQ设置不当引起的。
Ping 127.0.0.1 说明TCP/IP协议没问题 需要重新安装TCP/IP协议，此故障极少见。
Ping 自己的IP 说明本机所配IP正确，没有问题。 IP地址冲突。解决：事件查看器查找冲突网卡的MAC地址，或ping –a IP获取冲突计算机的名字。
Ping 自己的默认网关 到默认网关的物理线路没问题 解决：首先查看网卡灯是否正常(一般：一灯亮一灯闪)。不正常说明本机到下一设备(HUB/交换机/路由)这段线路有问题或设备未加电、有故障、需重启等。
Ping 另一网段远程主机IP 路由设备、外连线路没问题 检查路由器设置、外连线路。也可能是目标主机的问题，可先ping一下另一台远程主机。
Ping 远程主机的域名 说明本机所配DNS没问题 检查本机DNS配置，检查DNS服务器
说明：
1、若目标或中间环节(如ISP)禁用了ICMP，比如安装了防火墙或筛选器等，会导致ping不通。提示为：Request time out。但其它访问(如：共享资源、HTTP、FTP等)不会因禁用ICMP，ping不通而受影响。
2、防火墙等禁用ICMP，主要是为了防止黑客的DoS(Denial-of-service)、DDoS攻击。因为被ping的计算机要做出响应，响应多了就无法向外提供其它服务甚至死机。安装了防火墙的计算机可以ping通其它计算机，因为防火墙的本质就是筛选器，针对访问的双向性，可配置输入、输出筛选。Ping命令使用到ICMP协议，ICMP类型为：入8，出0。禁止自己被别人ping，可以禁止“入8”，也可以禁止“出0”，但显然前者更好些。
二、Ipconfig
查看TCP/IP配置是否正确时，最好使用ipconfig /all命令，而不是图形界面。因为图形界面下是你给计算机所做的配置，而ipconfig下相当于把计算机当前的配置调出来查看。没问题时，二者是一样的；但有问题时，二者是会不同的。
此命令可用于DHCP租约的刷新和释放，及类标识的设置和查看。用于DNS的有：
¨/flushdns 清除本机DNS缓存。
¨/displaydns 显示本机DNS缓存，包括名字、IP、TTL等。
¨/registerdns 向DNS服务器立即注册本机名称、IP地址。
三、Telnet
使用Telnet命令，用户可利用Telnet协议连接到远程计算机。一旦连上后，用户就可以在远程计算机(被称作Telnet 服务器)上使用基于字符的应用程序，就好象直接登录到远程计算机，在它的命令提示符方式下一样。可以使用Ctrl+]切换到telnet客户端配置，进行一些设置，若再回到目标机，使用ESC键+回车切换。
例如：设目标机(Telnet 服务器)IP为10.1.1.1，在本机上，开始/运行：cmd，键入Telnet 10.1.1.1。将会出现如下信息
欢迎使用 Microsoft Telnet Client
Escape 字符是‘CTRL+]’
您将要把您的密码信息关到Internet区内的一台远程计算机上。这可能不安全。您还要送吗(y/n)：
键入y，回车。将出现如下欢迎界面：
*====================================
欢迎使用 Microsoft Telnet 服务器
*====================================
C:\>
注意C:\>表示的目标机(Telnet 服务器)的C盘根下。按住CTRL键再按]，可切换到Microsoft Telnet>提示符下；按ESC键，再按回车，可切换回去。
四、Nslookup(结合加计算机到域问题，具体讲解)
Nslookup命令用于DNS的检查和排错，也可使用命令式或交互式。现结合加计算机到域问题，主要讲解交互式的使用。加入AD域的计算机必须满足下列三个 DNS 要求：
·计算机必须配置了首选 DNS 服务器的 IP 地址。
·_ldap._tcp.dc._msdcs.DNSDomainName 这条SRV记录必须存在于 DNS 中。
·上面记录所指明的DC在DNS中，必须有相应的主机(A)记录才行。
确定是否为DNS问题，可使用nslookup命令。
1、开始/运行：cmd，打开命令提示符。
2、在命令提示符下键入nslookup，然后按 ENTER。
说明：
(1)此时应出现如下内容及提示符。
Default Server: dc1.mcse03.com
Address: 10.63.243.1
>
(2)此时如果出现如下内容及提示符，说明DNS服务器上未配置反向查找区域，倒也无碍大局。
***Can’t find server name for address 10.63.243.1: Non-existent domain
Default Server: UnKnown
Address: 10.63.243.1
>
3、在“大于号”命令提示符处，键入：set q=srv
4、在“大于号”命令提示符处，键入：_ldap._tcp.dc._msdcs.ActiveDirectoryDomainName
说明：ActiveDirectoryDomainName为要加入域的DNS名称，如mcse03.com
5、正确结果应是如下内容，说明通过DNS解析可以找到域的DC。
Server: dc1.mcse03.com
Address: 10.63.243.1
_ldap._tcp.dc._msdcs.mcse03.com SRV service location:
Priority = 0
weight = 0
port = 389
svr hostname = dc1.mcse03.com
dc1.mcse03.com internet address = 10.63.243.1
2-3-2-2活动AD工具
一、批量用户帐号
Csvde
Ldifde
脚本
详见下小节Q6
二、Active Directory 迁移工具
该工具简化了在 Active Directory 域之间迁移用户、组和计算机或从 NT4 域迁移到 Active Directory 的步骤，并在实际迁移过程之前和之后分析迁移影响，可实现林间迁移。
1、安装：运行03光盘\I386\ADMT\admigration.msi。
2、使用：具体使用参考联机帮助。
2-3-2-3 组策略工具
一、Gpedit.msc
本地策略编辑器，在开始/运行下执行即可。
二、Secedit
secedit.exe，Windows2000/XP/03自带的自动化安全配置任务命令行工具，功能强大。此命令可用来对计算机的安全策略设置进行配置(confingure)与分析(analyze)、导出等，关于配置和分析平常我一般会使用MMC的图形界面。这里我们主要结合后面例子讲一下安全策略设置的导出、修改、配置。其它具体用法请使用"secedit /?"查看联机帮助文件。
¨导出本机当前安全设置，如secedit /export /cfg c:\sectmp.inf
说明：.inf文件被称为安全模板，实质就是一个文本文件。可利用记事本进行编辑，名字、位置可任意，在secedit命令中通过/cfg参数指定.inf文件。
¨将安全模板文件中的设置配置给计算机，如secedit /configure /db c:\sectmp.sdb /CFG c:\sectmp.inf
说明：安全模板文件中的设置不能直接配置给计算机，也不能直接与计算机配置比较(被称作分析analyze)，需要先放到一个.sdb库中才行，如上面的sectmp.sdb，名字、位置可任意。此命令还可用于2000组策略的强制刷新，讨论见后面的gpupdate。
三、Gpupdate
在2000中使用的刷新组策略命令secedit /refreshpolicy machine(或user)_policy /enforce命令在03中已由gpupdate取代。在开始/运行下执行即可，命令格式如下：
¨仅刷新计算机策略：gpupdate /target:computer
¨仅刷新用户策略： gpupdate /target:user
¨二者都刷新： gpupdate
此命令用于：修改了域/OU上的组策略，欲对客户机或用户马上生效，在客户机上运行此命令即可。否则需要：
¨计算机策略：重启
¨用户策略：重登录
或依赖自动刷新间隔：
¨DC到DC：5分钟，多DC可能长达15分钟
¨DC到域成员(非DC)：90+ -30分钟，即60~120分钟。
注意不是所有的组策略设置都可以利用gpupdate去强制刷新生效的，有些策略和启动或登录过程相关联，就必须得重启或注销。
三、Group Policy Management Console(GPMC)
允许在一个或多个林内跨站点、域和组织单位管理组策略。可对GPO进行备份、还原、复制和录入；可以添加、编辑、删除WMI筛选器；可以以建模模式或日志模式分析组策略作用的结果。
1、安装：到此处[url]http://www.microsoft.com/downloads/details.aspx?FamilyID=[/url]0a6d4c24
-8cbd-4b35-9272-dd3cbfc81887&displaylang=zh-cn下载软件gpmc.msi(中文版)，双击安装。
2、使用： 可利用GPMC对组策略对象进行备份和还原。操作：开始/运行，键入gpmc.msc。(或者开始/程序/管理工具/AD用户和计算机/域上/右键/属性/组策略/打开，将打开GPMC，而不是2000/03默认的组策略编辑器了)在其下找到要备份的组策略，右键，选择：备份或还原。
其它使用，到此处[url]http://www.microsoft.com/china/windowsserver2003/gpmc[/url]
/gpmcwp.mspx下载使用说明(英文)，或参考联机帮助(中文)
四、gpresult
在命令提示符下，显示用户或计算机的组策略设置和策略的结果集 (RSoP)。
使用：开始/运行：cmd，键入gpresult。具体参数，参见联机帮助。
五、LDP.exe
可以用这个工具绑定DC，获得对象的信息，还可以“修改”，搜索、添加、删除等。还允许你查找被删除的对象。作用类似AD用户和计算机，功能更强大。可查看AD对象更详细的信息，如GUID、SID等。
1、安装：运行03光盘\SUPPORT\TOOLS\ suptools.msi，将安装在C:\Program Files\Support Tools夹下，还有许多别的工具，如接下来的ADSIedit.msc。
2、使用：
(1)开始/运行：ldp，启动LDP。
(2)连接/绑定：管理员帐号。
(3)查看/树，输入BaseDN，如dc=mcse03,dc=com。
这样就可以对AD对象进行查看、编辑、添加、删除等。:
六、ADSIedit.msc
可进行ADSI低级编辑。
安装：同前
使用：开始/运行：ADSIedit.msc
2-3-2-4 Ntdsutil工具
Ntdsutil.exe是微软提供的管理活动目录(Active Directory)的命令行工具，专供有经验的管理员使用的。它的功能十分强大，采用分层的多级命令结构，使用 Ntdsutil 可以：
¨Authoritative restore授权恢复
对AD对象、子树、甚至整个AD(注意：架构不能进行授权恢复)进行授权恢复。目录恢复模式下进行。
¨Files活动目录库、日志文件
执行活动目录的AD库的管理维护，包括：压缩、移动、检查、恢复、设置路径等。目录恢复模式下进行。
¨Metadata cleanup元数据库清理
删除从网络上非正常卸载域控制器后留下的元数据垃圾。不要进到目录恢复模式下进行。
¨Roles操作主控
管理、传送、查封操作主机。不要进到目录恢复模式下进行。
…………
Ntdsutil工具包括一系列菜单，允许在不同管理任务之间进行切换。默认情况下，Ntdsutil 安装在 systemroot\System32 文件夹内，并可在命令提示符下键入Ntdsutil进行访问。
每级菜单下都可以通过键入：？或HELP，查看本级菜单下可用的命令。用户在Ntdsutil子菜单下键入命令时，可简写，只要每个单词不同于本级命令中的其它命令即可，如：
list roles for connected server
connect to server xxx
为方便起见，您只需指定每个单词，使其与特定菜单中输入的任何其他单词不同。因此，当您越来越熟悉此工具时，就可以键入“li r f c s”而不用键入“list roles for connected server”。关于Ntdsutil工具的具体使用，我们将在活动目录(Active Directory)域故障解决实例详细讲解。
本文源自:'张东辉的博客'