Active Directory 域命名的最佳实践

创建新的 Active Directory 域时，无论您是新管理员还是经验丰富的管理员，域名的选择都很重要。本文讨论域名的三种选项：使用为您的公司注册的有效顶级域名 (TLD)、使用为您的公司注册的有效 TLD 的子域或使用非 TLD 名称。提供了每个选项的示例。

Active Directory 基本域命名约定

Active Directory 的第一个域控制器创建组织的第一个域和安全边界（称为林）。可以添加多个域以改进林内的复制。森林可以是单个域，也可以具有多个带子域的树。设置第一个域/林时，管理员可以选择其名称，这可能对组织的未来产生重大影响。 NetBIOS 名称不必与域名相同，也可以在 Active Directory 部署过程中定义。例如，如果需要，域 ad.patricio.ca 可以具有 NetBIOS 名称“Corporate”。

域名注册

无论管理员选择什么选项，以公司名义注册公共域名都至关重要。这是为公司环境奠定坚实基础的第一步，也是最关键的一步。考虑到公司的规模和潜在增长，规划 Active Directory 基础设施设置并考虑到未来的扩展非常重要。例如，如果像 Patricio Enterprises 这样的公司仅在加拿大运营，但计划在全球设立办事处，那么为所有国家/地区购买公共域名可能会有利。此外，建议指定一个域（例如 .com）作为默认域。

公共证书

公共证书颁发机构仅接受顶级域名 (TLD)，不支持其证书上的非 TLD 或 NetBIOS 名称。这意味着网络管理员在使用 Exchange Server 时必须使用裂脑 DNS。这涉及在内部网络中创建一个与公共 DNS 区域同名的 DNS 区域。然后，内部客户端将解析其内部 DNS 服务器上列出的条目，该服务器指向本地服务器。此方法通过为内部和外部用户使用相同的服务名称来简化设计。关于公共证书，可用的选项有限。管理员必须使用注册域来请求证书并配置服务以使用该域（例如 Patricio.com）。

域名服务 (DNS) 和名称解析设计

DNS 是 Active Directory 和其他 Microsoft 产品的重要服务。有必要管理公共域，可以通过互联网注册商或 Microsoft Azure/Office 365 等专业 DNS 提供商来完成。互联网上的用户可以访问公共 DNS 配置，并允许进行电子邮件接收和客户端访问服务等设置。其目的是通过使用单一服务名称来提供无缝的用户体验，无论他们是在 Intranet 还是 Internet 上。为了实现这一点，建议使用裂脑 DNS。一些 Microsoft 技术，例如 Skype for Business 和 Exchange，几乎需要使用裂脑 DNS。

Microsoft Exchange：接受的域和电子邮件地址策略

在为 Exchange 组织设置第一个 Exchange Server 的过程中，现有的 Active Directory 域将成为该组织的主 SMTP 地址。如果使用有效的顶级域 (TLD)，则无需创建接受域或配置电子邮件地址策略。一切都会自动配置，新邮箱将收到正确的 SMTP 地址，无需任何更改。但是，如果选择选项 2 或选项 3，则必须添加新的接受域，必须更新电子邮件地址策略，并且必须删除之前创建的默认域以保持组织和整洁。

Microsoft Azure 和用户主体名称 (UPN)

要同步本地和 Microsoft Azure Active Directory (AAD) 之间的目录，管理员必须确保 Microsoft Azure 中的公共域经过验证。这意味着在其用户主体名称 (UPN) 中设置相同域的所有帐户都将与 Azure Active Directory 同步。以前，身份验证是使用 DOMAIN\username 格式完成的，该格式仍然适用于内部应用程序。但是，对于 SaaS 和 Active Directory 联合，需要 UPN 格式，例如 [email protected]。还建议使用此格式登录 Windows 客户端、Skype for Business 和 Exchange（使用 Outlook Anywhere）。与 Azure Active Directory 同步时，用户 UPN 必须与 Azure 中的域匹配。

可使用三个选项来配置此同步：

选项 1 不需要进行额外的配置更改，因为默认 UPN 将是当前域名或根域名。

选项 2 和选项 3 要求在 Active Directory 域和信任中添加有效域，并确保所有用户在其用户属性中设置有效的 UPN。

构建新的 Active Directory 时，管理员应考虑选项 1 和选项 2。就个人而言，首选选项 1，因为从长远来看它更容易。选项 2 是可行的，但需要更多的环境更改，并且在待办事项列表方面与选项 3 类似。