54SA.COM|专注于系统运维管理,为中国SA提供动力!

54SA.COM|系统运维网

系统管理员之家Banner
当前位置: 主页 > Windows > 服务器 > 域服务器 >

征服AD的内在限制:理解AD及其基本限制

分享到:
时间:2010-10-28 21:27来源:网络 作者:Liy

  相信大多数的读者都没有机会“不幸”遭遇这些只有在大型企业应用中才可能遇到的限制。但是这并不意味着本文对我们没有意义,相反我们能够从另一个角度观察AD的运行原理。
  
  也许已经有用户发现,随着AD应用越多,就越发现一些AD的限制,这些限制包括来自AD本身的,也有来自AD管理应用程序的。在AD中存在的这些限制主要源于开发者对AD正常运行和性能的保护-因为大部分这些限制表现在供显示和处理的对象数量上。例如,在一个Windows NT 4.0中,最大可以容纳40000个用户账号。与此相比,AD能够支持比这要大得多的数量。虽然我无法提供明确的最大值,但Korean.com(一个为韩国公民提供各种Web服务的Internet门户网站)已经在AD域中创建了超过8百万的用户账号。下面我将为大家列举一些AD的限制,以及当这些限制成为困扰你的问题时如何调整参数来克服它们。
  
  理解AD
  
  AD以及它的相关工具都不同程度的含有一些限制。这些限制都不是为了困扰用户;相反,它们的存在是为了保护AD免受攻击和性能影响。了解这些限制并且知道如何解决这些问题,不仅能够帮助你快速定位问题的症结,同时也赋予你对AD运行机制更深的理解。
  
  MMC文件夹显示限制
  
  在使用Windows 2000的微软管理控制台(MMC)“AD用户和计算机”,浏览组织单元(OU)或者其他容器中的对象时,界面内不会显示数量超过2000的对象,这种情况发生时,AD会显示一条消息,通知用户AD无法显示所有对象,并建议用户更改默认设置。如果使用的是Windows Server 2003,系统能够提供更详细的消息并且帮助你调整设置。
  
  要调整默认显示的对象数量,在“AD用户和计算机”中,点击“查看”*“筛选器选项”,然后更改每一文件夹中显示的最多项目数。要注意,存在该限制并非没有理由,因为如果你尝试打开一个超过30000个对象的组织单元,系统所耗时间要比你预想的要多得多。
  
  组成员关系的限制
  
  如果你供职于一个大型或者中型企业,那么有可能在Windows 2000 AD中遭遇5000个组成员关系的限制。5000个组成员关系的限制与上面讨论过的其他限制不同,它实际上是一个最大值。是AD所采用的Jet数据库引擎在存储和复制大于一定数量的数据时,无法处理写操作的最大值。Windows 2003的AD通过引入Linked Value Replication(LVR)解决了这个问题。在使用了LVR之后,当组成员关系发生改变,AD不会复制所有的属性和值,而只是复制成员关系中个别的属性和值。除了克服5000个组成员关系的限制,新的复制方法与前一版本中的相比要有效率得多,不仅支持更低的带宽而且减少了DC的资源消耗。
  
  实际上,5000个成员关系的限制不仅限于AD的用户组,其他任何包含成员的属性都存在此限制。由于组成员关系是应用最多的,所以也是被发现几率最大的。成员关系换而言之就是AD用户管理中的“隶属于”。例如:假设Sales组有三个组成员Tom,Dick和Harry。如果在AD中查看Tom,Dick和Harry对象,你会在每个用户的“隶属于”选项卡中看见他们都属于Sales组。这就是成员管理的典型例子。
  
  要在Windows 2000的AD中解决这些限制,只能采用用户账号分层次、分组的方法。根据你公司的组织结构尽量将用户归纳入不同的组,再设置组嵌套。当然过多的组会增加管理难度,但这是唯一选择。

[责任编辑:Lavy]

顶一下
(0)
0%
踩一下
(0)
0%
------分隔线----------------------------
发表评论
请自觉遵守互联网相关的政策法规,严禁发布色情、暴力、反动的言论。
评价:
用户名:
最新评论 进入详细评论页>>