AD部署框架方案.doc

《AD部署框架方案.doc》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、光大永明人寿保险公司Windows2000活动目录部署框架方案2003年1月27日一、设计原则1.用最简单的结构满足客户的需求；2.把系统的稳定性和安全性放在首要位置来考虑；3.保证系统有很好的可扩展性。二、部署Windows2000活动目录的好处这个问题是我们为其提供过Windows2000活动目录部署服务的每个客户都要问的问题之一。在我们为其部署Windows2000活动目录之前，用户的Windows2000网络都是基于工作组的。基于工作组的网络简单、稳定、维护成本低，那么客户为什么要把他们的网络升级到域（安装活动目录）呢？因为活动目录会给他们带来如下好处：1.支持更大的网络，得

2、到更高的效益。众所周知，工作组只适用于很小的网络环境（理论上少于10台计算机），当基于工作组的网络中有很多台计算机时，这个网络的工作效率就会很低。要想有一个规模可以做的很大，而且运行效率又很高的网络，只有部署活动目录；2.轻松实现网络的集中管理。在部署活动目录之后，您可以通过活动目录的管理工具对网络中的服务器、客户机、用户帐号、网络资源等进行方便的管理；1.保证用户帐号和网络资源的安全。在部署活动目录之后，您可以通过组策略等安全机制，通过很简单的设置来提高系统的安全级别，以保证用户帐号和网络资源的安全；2.实现用户对网络资源的快速访问。在部署活动目录之后，您可以通过把网络资源出版到活

3、动目录中的方式，使用户可以快速查找和访问网络资源；3.提供很好的收缩和扩展能力。活动目录的逻辑结构和物理结构都有很好的伸缩性，当您公司的网络规模由于种种原因需要调整时，您不需要有大的动作，轻而易举地完成网络的伸缩。二、活动目录逻辑结构的设计1.域结构的设计本方案采用单域结构，建议的域名为SunLife.com.cn，最终域名由甲方确定。这个域不仅是其所属树的根域，也是其所属森林的根域。总部下属的人力资源、财务、IT等部门和各职场用相应的OU来表达。请参考附件中的活动目录逻辑结构图；2.OU结构的设计建议总部下属的人力资源、财务、IT等部门和各职场用相应的OU来表达，OU结构的具体设计

4、待与客户进一步沟通后，在详细方案中体现；3.域控制器的规划a)域控制器的数量在总部架设两台域控制器（假定的名字为DC1和DC2），在每个职场架设一台域控制器;a)操作主机（OperatingMaster）的角色在DC1上保留架构操作主机（SchemaMaster）、域命名操作主机（DomainNamingMaster）、PDC模拟器（PDCEmulator）和RIDMaster，把结构操作主机（InfrestructureMaster）转移到DC2上。2.客户机的规划所有客户端计算机都加入到域中。在一般情况下，所有用户都使用域用户帐号登录，用户以前使用本地帐号时的配置文件要保留（主要

5、是用户的桌面信息）；3.服务器的规划哪些服务器需要加入到域中，成为成员服务器？哪些服务器不需要加入到域中，维持独立服务器的角色？这些问题需要与客户进一步沟通后在详细方案中体现。二、活动目录物理结构的设计1.站点结构的设计本方案采用多站点的结构，总部对应一个站点，每个职场各对应一个站点，站点间的广域网连接采用FrameRelay或DDN专线。请参考附件中的活动目录物理结构图；2.全局编目服务器（GC）的设计为了保证用户登录和查找活动目录的速度，除了总部的DC1作为缺省的GC使用外，每个职场的DC也要指定为GC；1.活动目录数据库复制的规划在一个多站点的活动目录结构中，活动目录数据库的复

6、制是一个很关键的问题。复制的时间间隔和复制发生的时间段要在与客户进一步沟通后在详细方案中说明。二、安全规划1.服务器的安全a)限制在域控制器上登录的用户；b)设置好共享文件夹和应用程序的使用权限；c)在重要的服务器上启用审核策略，对用户的访问情况进行跟踪；d)对连接到服务器上的用户会话进行监视和审计，及时发现潜在的问题和隐患；e)停止或删除不必要的网络服务（如IIS服务）；f)Guest帐号不能启用。2.客户机和用户帐号的安全a)在域中启用帐号策略，并设定帐号的最小长度、口令复杂性、口令的最长使用期限、口令历史等项；b)限定普通的域用户只能在自己使用的计算机上登录；c)建议管理员帐号

7、（Administrator）的密码长度不能少于8位，口令必须满足复杂性要求，口令的有效期最长为30天，最少记住10个口令的历史；a)严格限制管理员组（Administrators）的成员数量，建议不超过两个。2.网络的安全a)对重要的服务器限制帐号枚举；b)限制认证包的级别为NTLM。二、活动目录的扩展问题1.如果目前的几个职场中有的职场业务发展很快，需要成为一个相对独立的管理单元时，在活动目录逻辑结构上可以考虑把它由OU升级为SunLife.com.c