Active Directory在实践中扮演什么角色，可以举个例子吗？ 50

它有两个目的：1目录服务功能。

Active Directory 提供了一系列目录服务功能，可集中组织管理和访问网络资源。 Active Directory 使网络拓扑和协议对用户透明，允许网络上的用户访问任何资源（如打印机），而不必知道该资源的位置以及它如何连接到网络。

Active Directory 在分区中进行管理，这允许它存储大量对象。 基于此结构，Active Directory 可以随着业务的增长而扩展。 从拥有几百个对象的单个服务器的小型企业扩展到拥有数千台服务器、数百万个对象的大型企业。

2.集中管理。

Active Directory 管理员可以设置规则来测试用户身份，或者 Active Directory 可以测试此功能标识可以访问的角色和组。 IT 人员还可以将设备规范状态和标识配对，以确保合适的人员使用符合策略的设备来访问敏感应用程序。

某些 Active Directory 应用程序仅允许访问域成员或已加入工作区的设备，因此 IT 部门可以对存储进行加密。 在其他情况下，某些应用程序可能仅用于读取或共享内容，在这种情况下，IT 部门只需要强制实施标识控制。 Active Directory 可用于建立对本地应用程序以及云服务（如 Office 365 或其他可由 Active Directory 联合和保护的云应用程序）的控制。

企业只需安装 Azure Active Directory Connect，Active Directory 可以替代不稳定的 DirSync 产品。 Azure Active Directory Connect 对于主要使用本地应用以及 Microsoft Azure 应用的企业非常有用。 Active Directory FS 最有益的功能之一是能够对本地和云应用程序强制实施多重身份验证，而无需对 Active Directory 中的应用程序**进行任何修改。

使用用于身份验证的 Active Directory FS 时，Active Directory 应用程序需要能够识别请求（支持最流行的协议，包括 OAuth Connect、SAML 或 WS 联合身份验证），然后 IT 才能处理 Active Directory 的复杂多重身份验证。 这样，您每月只需花费适量的 EMS 许可证消耗和一些工作时间，即可使现有应用程序非常安全。

安全性通过登录身份验证和目录对象的访问控制集成到 Active Directory 中。 通过单次网络登录，管理员可以管理分散在整个网络中的目录数据和组织单位，授权的网络用户可以访问网络上任何位置的资源。 基于策略的管理简化了对最复杂网络的管理。

Active Directory 通过对象访问控制列表和用户凭据保护其存储的用户帐户和组信息。 由于 Active Directory 不仅可以存储用户凭据，还可以存储访问控制信息，因此登录到网络的用户可以进行身份验证并获得访问系统资源所需的权限。 例如，当用户登录到网络时，安全系统首先使用 Active Directory 中存储的信息对用户的身份进行身份验证。

然后，当用户尝试访问 Web 服务时，系统会检查服务的免费访问控制列表 （DCAL） 中定义的属性。 由于 Active Directory 允许管理员创建组帐户，因此管理员可以更有效地管理系统安全性。 例如，通过调整文件的属性，管理员可以允许组中的所有用户读取该文件。

这样，系统就会根据用户的组成员身份来控制用户对 Active Directory 中对象的访问。