的服务器才可以加入域。原装的第一台服务器称为主域控制器(PDC)，里面装有用户账户数
据库的原始拷贝；以后加入的服务器称为备份域控制器(BDC)，每个BDC保存一份不可编辑
的用户账户数据库拷贝。当某用户登录到网络上时，PDC或某一个BDC将鉴定用户身份，然
后才允许它访问该域中网络资源。1
用户登录到域中时，PDC或BDC都可以鉴定其身份。实际鉴定用户身份的控制器往往是
对登录请求做出响应的第一台服务器，不一定是PDC。
值得注意的是服务器一旦加入一个域中，它将成为域的终身成员。那么服务器要想加入
另一个域的惟一办法就是彻底重新安装，此外没有其它办法改变域成员资格。同样也不可能
把一台单独的服务器升级为PDC或BDC。在计划 Windows NT Server网络安装的时候，这是
需要记住的重要的一点。
当用户账户加到域中时，用户账户数据库的变动只能在PDC中进行。然后PDC上的用
户账户数据的拷贝以一个称为同步的复制过程分发到BDC。这样就能保证一且PDC出问题，
用户账户数据库仍安全无恙。如果PDC确实崩溃，其中一个BDC就被提升到PDC的位置，
而BDC-且已经提升到PDC，用户账户数据库就可以再次被修改(增加或删除用户等)；如果
该域中的PDC无法使用，尽管仍然可以登录，但却不能修改SAM
当网络里面出现了一个以上的域，其中某个域里的用户需要访问另一个域上资源的时候
就使用委托关系。网络经常变得很大，资源分布在几个域中。当用户需要访问域中的资源时
其访问权可以两种方法授予。具体做法如下:引
?用户可以在拥有某项资源的域中拥有用户账户，这种情况下，资源访问权就在同一个域
中授予该用户账户；、的
大?用户在受托域中拥有用户账户，这种情况下，资源访问权就可从受托域中授于，拥有资
源的域称为委托域
第一种授予访问权的方法很简单，用户被授予访问账户所在同一域中的资源访问权
如一个名为John的用户需要访问公司的 Laserjet打印机，该打印机的打印队列是一个服务器
上的共享资源，该服务器是名叫 FIELD域上的一个备份域控制器(BDC)，因此该打印机作为
FIELD域中的资源是可以访问的。John的用户账户也在 FIELD域中，而 FIELD域的管理员
仅仅需要授予John用户该打印机访向权就行了。从此以后John在 FIELD域上登录后，就被
自动授予该打印机的访问权。则
假定该公司新建立一个名叫 RESOURCE的新域，要把所有的资源(如打印机)都转入那
个新域，由另一位管理员管理。如果 Lase Jet打印机转到BDC将会发生什么情况?BDC是域
名叫 RESOURCE的一名成员，打印机在 FIELD域中再也无法获得，因此John再也无权访问
打印机资源。从现在开始起，John可以通过建立域委托关系来访问打印队列，委托关系使得
ohn( FIELD域的一员)能够访问位于 RESOURCE域中的 Laserjet打印队列。
建立委托关系的步骤如下:
x1) FIELD域和 RESOURCE域之间建立 Windows NT单向域委托关系。 FIELD域被指
定为受托域，John的账户只存在于 FIELD域中； RESOURCE域叫做委托域。
某(2) RESOURCE域(委托域)的管理员把 Laserjet打印队列访问权授予受托域账户，作为
52 感何并控 要托域的 FIELD的一员的h就可把打印作业送到打印机队列等待打印。
简单地说、受拓城是拥有用户账户的域，委拓域是拥有资源的域。
共享的资源，例如在其一台服务器上有彩色打印机，那么资源委托域中的用户账户并不能访间 委托只是单向的。如果资源域( RESOURCE)拥有用户账户，而账户域( FIELD)又拥末司
账户城(也即受托域)中的彩色打印机。这就是单向委托关系的来历。如果 RESOURC
的用户想访问 FIELD域中的资源，同样， FIELD域必须建立到 RESOURCE的单向委托关系、
这次 RESOURCE域被指定为受托域，而 FIELD域为委托域。于是在FI SOURCE域之间建立双向委托关系。双向委托关系没有其他别的意义，只不过是相互单向委
托而已。一且双向委托关系建立， FIELD域的管理员就可授予属于 RESOURCE域的账户请
问彩色打印机的权利。建立多个域之间的委托关系如果不计划好，将变得非常复杂。由于用户账户分散在多个
域之中，因此，可以多次实施委托关系。建立委托关系可以避免用户账户在多个域中重新建立
的必要性。) i这些委托关系如果运用得当，可以减少管理的开销，也可用来定制网络管理员的管理责任 ，所出架。全
围。在设计包含若干个域的环境时，大多数时候，可以使用世条简单的原则:9中如
把用户账户置于单个账户域之中，如果需要也可以把资源置于账户域中，但是，绝大多数
的网络资源应该置于资源域中。在资源域中的账户仅限于有限数量的管理账户。单向委托关
系在账户域和资源域之间的创建，使得账户域成为受托域而资源域则成为委托域，而一旦建立
了委托关系，很容易授予对跨越域的任何资源的访问权、这种类型的域模式称为主域模式。顾
名思义，主域模式中拥有人们认为的主域，即包含用户账户的域。这一类型的域模式可以容纳
多达100用户。还有一些其它的域模式；每ー种模式有其优点和缺点:这取决手网络大
小和复杂程度。域的其他形式有
?多主域模式:供拥有10.000多个用户账户的大机构使用；て的で一
当单域模式:供较小的机构使用；ea的后公国的要的ial
完全委托域模式:使用户不受限制使用所有其它域的资源量器受理好，共的 243 Window NT t的全问ー
人们应该知道，在 Windows NT i操作系统以及它提供的同组功能中存在着一些安全向
题。对一个管理员来说，他们应该了解有关NT安全性的知识。さ个一
2:4.3.1访问控制列表 求的。一民由、记
为了使NT服务器有很好的安全性，设置 Administrators用户组和 System用户组对根目
采用上述方法逐级对目录树中的所有目录进行权限设置。要注意的是，创建的新用户应具有 录有全部控制的权限，设置Ues用户组(不是 Everyone J用户组)对根目录有只读权限。可以
该用户所属用户组的权限。
要确保打印队列池(Pim(S)目录的创建者或拥有者对该目录具有全部控制的权限
用Cads， File Manager i或 Explorer r中的查找工具( Search)查找到所有的可执行文件和动态链
接库文件。这些文件的权限设置如下:
网站设计Administrators月户组设置为“全部控制”权限:如果
