Windows Active Directory是對(duì)象的分層框架。它提供各種Active Directory對(duì)象的信息，例如資源，服務(wù)，用戶帳戶，組等，并設(shè)置這些對(duì)象的訪問權(quán)限和安全性。Active Directory網(wǎng)絡(luò)組件的結(jié)構(gòu)是：

      域：共享公共目錄數(shù)據(jù)庫(kù)的一組計(jì)算機(jī)。

      域樹：共享連續(xù)命名空間的一個(gè)或多個(gè)域。

      域林：共享公共目錄信息的一個(gè)或多個(gè)域樹。

      組織單位：用于將域中的對(duì)象組織到邏輯管理組中的容器或子組。

      對(duì)象：對(duì)象表示具有其屬性的單個(gè)實(shí)體，例如計(jì)算機(jī)，資源，用戶，應(yīng)用程序等。

      Active Directory組

      組是可以包含用戶，計(jì)算機(jī)和其他組(嵌套組)的Active Directory對(duì)象。有兩種類型的組，即安全組和通訊組。雖然安全組用于將用戶，計(jì)算機(jī)和其他組分組以分配對(duì)資源的權(quán)限，但通訊組僅用于創(chuàng)建電子郵件分發(fā)列表。 該組的范圍可以是本地，域本地，全局或通用。

      本地組：其范圍僅限于其所在的機(jī)器。它可用于授予訪問計(jì)算機(jī)資源的權(quán)限。

      域本地組：它具有域范圍，這意味著它可以在該域中的任何Windows機(jī)器上授予資源權(quán)限。

      全局組：它還具有域范圍，但可以在任何域中授予權(quán)限。

      通用組：可以在任何域中授予此組權(quán)限。包括其他森林中的域(基于信任關(guān)系)。

      Active Directory用戶

      用戶為了登錄計(jì)算機(jī)或域，需要Active Directory中的用戶帳戶，該帳戶為他/她建立身份�；�于此標(biāo)識(shí)，操作系統(tǒng)對(duì)用戶進(jìn)行身份驗(yàn)證并授予對(duì)域資源的訪問權(quán)限。有兩個(gè)預(yù)定義的用戶帳戶(管理員和來賓)，用于初始登錄以進(jìn)行必要的配置。

      Active Directory計(jì)算機(jī)

      與用戶帳戶類似，計(jì)算機(jī)帳戶用于為計(jì)算機(jī)提供必要的授權(quán)以使用網(wǎng)絡(luò)和域資源。

      管理安全權(quán)限

      Windows支持的基本安全權(quán)限(如“讀取”，“寫入”和“完全控制”)可用于Active Directory上的每個(gè)對(duì)象。除了這些標(biāo)準(zhǔn)權(quán)限，AD還提供了一些基于對(duì)象類的特殊權(quán)限，例如列表內(nèi)容，刪除樹，列表對(duì)象，自寫，控制訪問，創(chuàng)建子項(xiàng)，刪除子項(xiàng)，讀取屬性，寫入屬性等等。

      必須將這些權(quán)限分配給用戶或組，以限制或授予對(duì)Active Directory對(duì)象的訪問權(quán)限。對(duì)用戶或組的每個(gè)權(quán)限分配稱為訪問控制條目(ACE)。

      繼承權(quán)限

      在容器(或父對(duì)象)上設(shè)置的權(quán)限也可以應(yīng)用于其子對(duì)象。這稱為繼承權(quán)限。Active Directory安全模型允許您定義顯式權(quán)限或?qū)��?quán)限傳播到其子對(duì)象。例如，您可以 為傳播指定以下條件：

      僅此對(duì)象

      此對(duì)象和所有子對(duì)象

      電腦對(duì)象

      組對(duì)象

      組織單位對(duì)象

      用戶對(duì)象

      容器可以是任何Active Directory組件，如域，組織單位，并且只有這些容器中的對(duì)象才能從父級(jí)繼承權(quán)限。