如何创建域和子域

主域与子域创建好后，它们就自动有了双向的信任关系。你注销一下应该可以看到，在区域选择时可用看到两个，一个是主域的域名、一个是子域的域名，你在主域上创建一个用户zhangsan，zhangsan可以在子域登录，但区域选择要选主域的域名。同样，在子域创建的用户lisi，也可以在主域上登录，选子域域名。懂我意思吗？如果是DC，注意设置一下安全策略，允许登录，ok？

域和组是局域网建设中常见的建网方式。如果没有特殊的要求，我们建局域网时，一般都是采用组的方式。实际上一个组或者一个域就是一个网段的别称吧。如果要把域和组进行比较的话，可以打个比方，组，就像个大厅，你想歇歇，你可以自由的进去；而域呢？就像是个VIP包厢，没有一定的条件，你不可能进入。那么可以想象一下，使用域的方式建立的局域网，一定要比使用组的方式建立的局域网要严格得多。当然设置也就比组方式麻烦一些。

怎样组建一个域?

例如运行 Windows Server 2003 的计算机配置为子域中的第一个域控制器所需的过程。该子域中另外一个域控制器将被配置为复制伙伴。

Active Directory 服务部署由一个或多个林组成，每个林又包含一个或多个域。在网络中创建初始域控制器 (DC) 时，就会在林中创建第一个域；域必须至少包含一个域控制器。创建的第一个域是第一个林的根域。同一域林中的其他域可以是子域或树根域。同一域树中位于一个域的上方与其紧邻的域被视为该域的父域。

域用来实现各种网络管理目标，如构造网络、划定安全范围、应用组策略以及复制信息等。

Active Directory 允许将域控制器用作对等计算机；因此，客户端可通过域中的任何 Windows Server 2003 域控制器来更新 Active Directory 。这与 Windows NT?? Server 主域控制器 (PDC) 和备份域控制器 (BDC) 所扮演的读写 / 只读角色具有非常大的差异。 Windows NT Server 域系统支持单主机复制，它要求所有更改都必须在 PDC 上进行。

Windows Server 2003 操作系统支持多主机复制；域中的所有域控制器都可以接收对象更改，并且可以将这些更改复制到该域中的所有其他域控制器。默认情况下，在林中创建的第一个域控制器是全局编录服务器，它包含所在域的目录中所有对象的完整副本，还包括林中所有其他域的目录中存储的所有对象的部分副本。

在域控制器之间复制 Active Directory 数据有助于提高信息可用性、容错性、负载平衡和性能。在本分步指南中，您可以通过安装多个域控制器，充分利用多主机模型提供的更好的容错性能。即使某个域控制器停止工作，也不会影响 Active Directory 的可用性。

域是Windows网络操作系统的应用模型。

Domain

域（Domain）是Windows网络中独立运行的单位，域之间相互访问则需要建立信任关系（即Trust Relation）。信任关系是连接在域与域之间的桥梁。当一个域与其他域建立了信任关系后，2个域之间不但可以按需要相互进行管理，还可以跨网分配文件和打印机等设备资源，使不同的域之间实现网络资源的共享与管理。

域既是 Windows 网络操作系统的逻辑组织单元，也是Internet的逻辑组织单元，在 Windows 网络操作系统中，域是安全边界。域管理员只能管理域的内部，除非其他的域显式地赋予他管理权限，他才能够访问或者管理其他的域；每个域都有自己的安全策略，以及它与其他域的安全信任关系。

子域，是相对父域来说的，指域名中的每一个段。各子域之间用小数点分隔开。放在域名最后的子域称为最高级子域，或称为一级域，在它前面的子域称为二级域。

域林是指由一个或多个没有形成连续名字空间的域树组成，它与域树最明显的区别就在于域林之间没有形成连续的名字空间，而域树则是由一些具有连续名字空间的域组成。但域林中的所有域树仍共享同一个表结构、配置和全局目录。域林中的所有域树通过Kerberos 信任关系建立起来，所以每个域树都知道Kerberos信任关系，不同域树可以交叉引用其他域树中的对象。域林都有根域，域林的根域是域林中创建的第一个域，域林中所有域树的根域与域林的根域建立可传递的信任关系.

比如benet.com.cn,则可以创建同属与一个林的accp.com.cn,他们就在同一个域林里.

当创建第一个域控制器的时候，就创建了第一个域（也称林根域），和第一个林。林，是一个或多个共享公共架构和全局编录的域组成，每个域都有单独的安全策略，和与共他域的信任关系。一个单位可以有多个林。

域树由多个域组成，这些域共享同一表结构和配置，形成一个连续的名字空间。树中的域通过信任关系连接起来，活动目录包含一个或多个域树。域树中的域层次越深级别越低，一个“.”代表一个层次，如域child.Microsoft.com 就比 Microsoft.com这个域级别低，因为它有两个层次关系，而Microsoft.com只有一个层次。而域Grandchild.Child.Microsoft.com又比 Child.Microsoft.com级别低，道理一样。他们都属于同一个域树。Child.Microsoft.com就属于Microsoft.com的子域。

---