域控服务概述

域控核心目标、原理与客户端管控详解

一、域控的核心目标

域控的核心目标是：集中管理身份、策略、资源和访问控制。

1. 它把用户、计算机、组、打印机、共享文件夹等对象放进一个统一的目录数据库，通过域控服务器统一认证和授权。
2. 域控服务（Domain Controller, DC）是 Windows 活动目录（Active Directory）服务的核心，它不仅仅是简单的“管控”，更是集中式管理和安全的基石。

二、核心原理：域控的本质是一个目录服务

1. 目录服务

域控运行的是 Active Directory 域服务（AD DS），本质是一个基于 LDAP 协议的目录数据库。

• 数据库文件：NTDS.dit
• 存储对象：用户、计算机、组、联系人、打印机、共享文件夹等
• 每个对象有属性，例如用户有姓名、登录名、邮箱、电话、密码哈希等

2. 身份认证

域控同时是认证中心，默认使用 Kerberos 协议，兼容 NTLM。

• 用户登录域时，不是登录本机，而是由域控验证身份
• 验证通过后，用户获得票据，可以访问域内其他资源而不需要重复输密码

3. 策略管理

域控通过 组策略（Group Policy） 向域内计算机和用户统一下发配置：

• 密码策略
• 账户锁定策略
• 软件安装
• 桌面背景
• U盘禁用
• 防火墙配置
• 打印机部署
• 脚本下发

4. 复制同步

域内可以有多台域控，它们之间会复制目录数据，实现冗余和高可用。一台挂了，另一台可以继续认证。

三、针对客户端电脑，域控服务器的管控主要体现在以下几个核心方面

1. 身份认证与访问控制

这是最基础也是最重要的功能。

• 集中认证：所有域用户的登录请求都由域控验证，而非本地电脑。员工可以在域内任何一台授权电脑上使用自己的账号登录。
• 单点登录：登录域后，访问公司内部受信任的系统（如文件服务器、ERP、邮箱）时，无需重复输入密码（Kerberos 协议）。
• 访问权限分配：控制谁能登录哪台电脑（本地登录、远程桌面登录权限），以及谁能访问网络中的哪些资源（通过安全组管理）。

2. 组策略（Group Policy, GPO）

这是域控对客户端电脑进行标准化和安全加固的最强工具。管理员可以在域控上配置策略，客户端电脑开机或定期刷新时自动强制执行。

• 安全策略配置：
  • 密码策略：强制密码复杂度、长度、有效期、锁定阈值。
  • 账户锁定：输错几次密码锁定账户，防止暴力破解。
  • 用户权限分配：禁止普通用户关闭电脑、修改系统时间、安装驱动等。
• 桌面与系统环境管控：
  • 禁用功能：禁用 USB 存储设备、光驱、蓝牙，禁用控制面板或注册表编辑器。
  • 系统设置：强制开启 Windows 防火墙、强制开启 Windows Update（或指定内部 WSUS 更新服务器）。
  • 界面统一：统一桌面壁纸、IE 浏览器主页、代理服务器设置、网络驱动器映射。
• 软件分发：
  • 自动为客户端电脑安装指定的软件（如 Office、杀毒软件、公司内部软件）。
  • 禁止运行特定软件（如某些流氓软件或游戏），可通过 AppLocker 或软件限制策略实现。

3. 资产管理

• 硬件与软件清单：所有加入域的电脑信息都会登记在 AD 数据库中。管理员可以查看到每台电脑的计算机名、操作系统版本、最后登录用户、IP 地址等。
• 集中命名与分组：通过组织单位（OU）对电脑进行逻辑分组（如“销售部电脑”、“研发部电脑”），方便批量管理。

4. 集中更新与补丁管理

• 结合 WSUS（Windows Server Update Services）服务器：域控通过组策略强制客户端电脑只能从内部的 WSUS 服务器下载补丁，而不是各自去外网更新。
• 好处：节省带宽、统一测试补丁、确保所有电脑都打上了关键安全补丁。

5. 安全审计与日志

• 集中日志收集：客户端的登录/注销、访问资源失败等安全事件，可以被转发收集到域控或日志服务器。
• 追踪定位：当发生安全事件时，可以根据域控日志追踪到是哪台电脑、哪个用户在什么时间做了操作。

6. 远程协助与管理

• 域环境配合 SCCM 或其他管理软件，管理员可以通过域管理员权限远程对客户端电脑进行排障、重启、运行脚本或修改配置。

四、域控提供的核心服务与组件

域控不是单一服务，它由多个服务和角色共同组成。