AD域与活动目录深入解析

作者： 大飞哥

01 什么是域？

域（Domain）是一种网络环境。 在 Windows 网络操作系统中，所有的计算机都必然属于以下两种网络环境之一：

  • 域环境： 这是一种“不平等”的网络环境，其中的计算机（PC）是有等级之分的。这种环境的核心优势在于极大方便了管理员进行集中管理和统一管理。
  • 工作组环境： 这是 Windows 系统的默认环境。在工作组中“人人平等”，由于缺乏中央核心，因此非常不方便进行大批量计算机的管理。

02 域的特点

  • 实现集中与统一管理： 这是域环境最核心的价值与原理。

03 域的成员组成

  1. 域控制器（Domain Controller，简称 DC）： 域环境的核心服务器，负责管理域内所有安全主体及策略。
  2. 成员机： 加入域环境的普通员工计算机。

04 域的部署前提

  1. 基本基础： 要想部署域环境，首先必须在网络中安装并配置一台域控制器（DC），然后再将其他员工的机器（成员机）逐一加入到该域中。
  2. 核心组件： 安装一台 DC，本质上需要安装两个核心服务：AD 活动目录和 DNS 服务器。
    • 活动目录（Active Directory，简称 AD）： 整个域的灵魂，通常人们所说的“AD 域”或“活动目录域”皆指代于此。
    • DNS 服务器： 在域环境中扮演着定位寻址的关键作用。

05 域环境部署实操

5.1 实验环境准备

  • 域控制器（DC）： Windows Server 2019
  • 成员机： Windows 7

5.2 部署域控制器（DC）

核心概念： 部署和安装 DC 的过程，实质上就是安装活动目录（AD）和配置 DNS 服务器的过程。

  1. 初始化服务器： 开启 Windows Server 2019 虚拟机，还原干净的快照并开机（模拟现实中新购买并上架了一台物理服务器）。
  2. 配置静态网络： * 手动配置静态 IP 地址为 192.168.206.xx，子网掩码为 255.255.255.0。
    • 设置网关为 192.168.206.2，并将首选 DNS 地址指向本地回环地址 127.0.0.1。
    • 注意： 务必取消勾选 IPv6 协议选项。配置完成后，对网卡进行“禁用再启用”操作以确保配置生效。
  3. 规范计算机名： 将计算机名修改为 DC1 并重启系统。规范的计算机名对后续运维至关重要。
  4. 安装活动目录角色： * 鼠标右键点击“计算机”选择“管理”，打开“服务器管理器”。
    • 点击“添加角色和功能”，在角色列表中勾选 Active Directory 域服务，一路点击“下一步”直到安装完成。
    • 关键注意： 此时仅仅是把 AD 软件安装到了系统里，该服务器目前还不是域控制器。
  5. 提升服务器为域控制器：
    • 在安装完成的向导界面中，点击链接 “将此服务器提升为域控制器”。
    • 配置向导： 选择「添加新林」并输入您规划的域名 qq.com -> 设置目录服务还原模式（DSRM）密码（如 321.com） -> 其余选项保持默认，一路点击“下一步”启动安装。
    • 安装完成后，系统会自动重新启动。
  6. 登录与验证： * 重启完成后，域和域控制器（DC）正式诞生。
    • 登录时需要使用域管理员账号进行登录，格式为：qq\administrator。
    • 账号升级变化： 部署完成后，原服务器上的本地账号会自动升级为域账号。例如：本地 administrator 升级为域管理员；本地 guest 升级为域来宾账号。

5.3 验证 DC 是否部署成功

  1. 检查系统属性： 鼠标右键点击“计算机”选择“属性”。此时可以看到“计算机全名”已变为 dc1.qq.com，且“工作组”变为了“域：qq.com”。
  2. 检查 DNS 自动注册： 打开 DNS 管理器，确认正向查找区域内是否已经自动注册了相关的域名解析记录（如 _msdcs 目录及主机 A 记录）。DNS 的自动注册为域内设备提供了精准的定位寻址支持。
  3. 检查活动目录管理单元： 打开“Active Directory 用户和计算机”控制台。若能正常打开且无任何报错提示，即证明 AD 安装完全成功。在 Users 容器中可以看到：
    • Administrator 已成功转变为域管理员。
    • Domain Admins（域管理员组）及 Domain Users（域普通用户组）等内置安全组正常存在。
    • 结论： 此时在 AD 活动目录中创建的所有账号，皆为“域账号”。

5.4 成员机加入域控实操

以 Windows 7 客户端为例，将其加入到 qq.com 域的步骤如下：

  1. 开启 Windows 7 虚拟机，还原干净快照并开机。
  2. 网络配置修改： 强制将客户端的 DNS 服务器地址指向域控（DC）的 IP 地址（这是能否成功寻找到域控的关键）。
  3. 修改计算机名： 建议将计算机名修改为员工姓名的全拼（例如 wenxiaofei），修改后重启使设置生效。
  4. 执行加域操作： 右键点击“我的电脑”选择“属性” -> 点击“更改设置” -> 在计算机名更改窗口中，将隶属关系由工作组改为“域”，并输入域名 qq.com。
  5. 身份凭据认证： 在弹出的加入域认证对话框中，输入具有加域权限的域管理员账号（如 qq.com\administrator）及对应密码，点击确定。
  6. 创建员工账号并测试： 在 DC 端的 AD 用户和计算机控制台中，为该员工创建一个域普通用户账号 xiaofei.wen。随后在 Windows 7 成员机上使用该域账号登录，验证是否登录成功。
  7. 结果复核： 成功加入域后，回到 DC 的 DNS 服务器中查看，会发现已经自动出现了该员工计算机名对应的 IP 解析记录。

0x06 组策略（Group Policy / GPO）深度理解

  • 本质： 组策略（GPO）在本质上就是一系列系统及安全配置的策略集合。
  • 具体表现： 比如强制统一桌面背景、批量分发并安装软件、或者是禁止员工修改网卡属性等具体配置项。
  • 核心价值： 管理员通过下发组策略，能够对全网的员工机器进行高效、统一的管控。
  • 精确控制： 针对企业内部不同的部门，管理员可以定制并下发不同的 GPO 策略，从而实现基于部门架构的集中分权控制。

0x07 组织单位（Organizational Unit / OU）

  • 作用： 组织单位（OU）主要用于在活动目录中映射和创建公司的真实组织架构。通常情况下，一个 OU 就代表着公司里的一个实际部门（如财务部、董事会等）。
  • 与组策略的关系： 值得高度注意的是，组策略的下发与应用，主要是以“组织单位（OU）”或“域”为基本单位进行的！

0x08 组策略下发原理与应用顺序

  • 管理控制台： 依次点击 开始 -> 管理工具 -> 组策略管理 进行组策略的配置。
  • 组策略的标准应用顺序： 域 -> 父组织单位 (OU) -> 子组织单位 (子 OU)。
  • 冲突解决原则： 当同一个配置项在不同的层级被重复设置且内容冲突时，后应用的策略将生效（即子 OU 的策略会覆盖父级/域的策略）；如果各项策略之间不冲突，则所有设置的策略会共同累加生效。

典型策略冲突与继承案例分析：

策略应用层级案例 1：运行权限案例 2：运行权限案例 3：混合策略继承案例 4：多策略综合冲突
域（最先应用）禁止「运行」禁止「运行」禁止「运行」
桌面背景：未配置		禁止「运行」
桌面背景：未配置
禁止「游戏」
集团 OU（次之）未配置允许「运行」允许「运行」
桌面背景：topsec.jpg		允许「运行」
桌面背景：topsec.jpg
未配置「游戏」
董事会 OU（最后）未配置未配置未配置「运行」
桌面背景：feige.jpg		未配置「运行」
桌面背景：feige.jpg
未配置「游戏」
最终生效结果
(董事会用户 xiaofei.wen)		禁止「运行」
(继承域策略)		允许「运行」
(集团覆盖了域)		允许「运行」
桌面背景：feige.jpg (子OU覆盖父级)		允许「运行」
桌面背景：feige.jpg
禁止「游戏」 (域策略透传)

0x09 强制和阻止继承机制

在复杂的企业网络中，为了打破常规的覆盖顺序，微软引入了“强制”与“阻止继承”机制：

  • 强制（Enforced）： 由上级 OU 或域对下级 OU 施加。其原理是强行让上级策略生效，使得下级 OU 即使配置了相冲突的策略也无法将其覆盖。
  • 阻止继承（Block Inheritance）： 由下级 OU 主动设置。设置后，该 OU 将筑起“隔离墙”，默认不再接收和下发来自上级 OU 及域的所有组策略。
  • 规则碰撞： 当上级设置了“强制”，而下级设置了“阻止继承”时，强制的效力大于阻止继承，即“强制”依然生效。

进阶控制实验案例：

实验 1：下级 OU 设置「阻止继承」

  • 策略配置： * 域控下发了：禁止运行、禁止游戏；
    • 集团 OU 下发了：允许运行、桌面背景设为 topsec.jpg；
    • 董事会 OU 自身设置了**「阻止继承」**，并且自己设置桌面背景为 feige.jpg。
  • 结果走向： 董事会下的员工 xiaofei.wen 最终策略为：运行权限（未配置）、游戏权限（未配置）、桌面背景（feige.jpg）。上级所有的限制 and 允许策略均被成功隔离阻断。

实验 2：上级 OU 设置「强制」

  • 策略配置： 集团 OU 将自身的策略设置为**「强制」**，其内容为：桌面背景设为 topsec.jpg；而处于下级的董事会 OU 依然保持常规设置：桌面背景为 feige.jpg。
  • 结果走向： 尽管董事会 OU 在常规顺序中后应用，但由于上级开启了强制，导致董事会用户 xiaofei.wen 的桌面背景最终变为了 topsec.jpg。

实验 3：「强制」与「阻止继承」同时设置的终极对决

策略配置： 最高层级的“域”策略开启了 「强制」（内容包含：禁止运行、禁止游戏）；而底层的“董事会 OU”开启了「阻止继承」，并自身单独设置了桌面背景为 feige.jpg。

  • 结果走向： 董事会用户 xiaofei.wen 最终的策略呈现为：
    • 开始-运行：禁止（域的强制打破了阻止继承）
    • 开始游戏：禁止（域的强制打破了阻止继承）
    • 桌面背景：feige.jpg（由于域未对桌面背景做配置，此项由董事会自身策略保留生效）
  • 实验结论： 强制的优先级绝对高于阻止继承。