windows server 2008 活动目录服务部署

活动目录服务在Windows Server 2008中又称为Acitve Directory 域服务，是一个非常重要的目录服务，用来管理网络中的用户和资源，如计算机、打印机或应用程序。windows Server 2008 R2中的Acitve Directory域服务在原有的基础上有了很大的提高。利用活动目录，管理员可以更加方便地管理网络中的用户和计算机，并易于部署和管理网络服务。

安装AD域服务

在Windows 2000/2003系统中，可以直接运行dcpromo命令来启动“Acitve Directory 安装向导”，从而安装活动目录。而将Windows Server 2008升级为域控制器时，必须先安装Acitve Directory 域服务，然后再运行dcpromo命令安装活动目录。

1、安装前的准备

在安装AD域服务之前，要做好准备工作，如网络环境、系统环境等，主要包括：

规划好DNS域名

活动目录必须安装在NTFS分区，因此，在安装Acitve Directory 服务器之前，要求Windows Server 2008系统所在的分区采用NTFS文件系统。

必须正确安装了网卡驱动程序，安装并启用了TCP/IP协议，并记录计算机的相关参数，如IP地址和计算机名等。

2、安装AD域服务和域控制器

第一步，在初始配置任务如图1所示，或者服务器管理器窗口中单击添加角色超级连接，运行添加角色向导

第二步，单击下一步按钮，显示选择服务器角色对话框，如图3所示，列出了操作系统中已集成的所有网络服务。

第三步，在角色列表框中单击Active Directory域服务复选框，显示如图4所示是否添加Active Directory域服务所需的功能对话框。单击添加必需的功能按钮，返回选择服务器角色对话框并选中Active Directory域服务复选框。

第四步，单击下一步按钮，显示如图5所示的Active Directory域服务对话框，简要介绍了域服务的作用及注意事项。

第五步，单击下一步按钮，显示如图6所示确认安装选择对话框，确认要安装的服务。

第六步，单击安装按钮，即可开始安装域服务。安装完成后，显示如图7所示安装结果对话框，提示域服务安装成功。最后，单击关闭按钮。

3、升级域控制器

Active Directory域服务安装完成以后，需要通过运行dcpromo命令来启动Active Directory安装向导，将服务器升级为控制器。

第一步，运行dcpromo命令，如图8所示，启动ctive Directory安装向导，如图9所示。如果选中使用高级模式安装复选框，则可使用更详细的选项，例如，在安装域的同时与其他域建立信任关系，并可更改NetBIOS名等。默认不选中该复选框。

第二步，单击下一步按钮，显示如图10所示操作系统兼容性对话框，介绍了Windsows Server 2008中改进的安全设置对旧版Windows的影响。

第三步，单击下一步按钮，在如图11所示选择某一部署配置对话框。由于该服务器将是网络中的第一台域控制器，因此，选择在新林中新建域单选按钮。

第四步，单击下一步按钮，显示如图12所示命名林根域对话框。在目录林根级域的FQDN(F):文本框中，键入事先规划好的DNS域名，如这里用homechencom。

第五步，单击下一步按钮，开始检查该域名及NetBIOS名是否已在网络中使用，并显示如图13所示设置林功能级别对话框，应根据网络中存在的最低Windows版本的域名控制器来选择。和Windows server 2008不同，Windows server 2008 R2中提供了Windows server 2003、Windows server 2008和Windows server 2008 R2三种模式，不再提供对Windows 2000的支持。

第六步，单击下一步按钮，显示如图14所示设置域功能级别对话框，需要在域功能级别下拉列表中选择相应的域功能级别，最低级别为Windowsserver 2003。

第七步，单击下一步按钮，显示如图15所示其他域控制器选项对话框，默认选中DNS服务器，可以将DNS服务器安装在该域控制器上。由于域中的第一个域控制器必须是全局编录服务器，因此，“全局编录”选择为必选项且为不可更改状态。

第八步，单击下一步按钮，开始检查DNS配置，并显示如图16所示的警告框，提示没有找到父域，无法创建DNS服务器委派。

第九步，单击是按钮，显示如图17所示数据库、日志文件和SYSVOL的位置对话框。

第十步，单击下一步按钮，显示如图18所示目录服务还原模式的administrator密码对话框，设置登录目录还原模式的管理员账户密码。该密码必须设置，否则无法继续安装。

第十一步，单击下一步按钮，显示如图19所示对话框列出了前面所做的配置信息，如果需要更改，可单击上一步按钮返回。

第十二步，单击下一步按钮，开始配置Active Directory域服务，如图20所示。

第十三步，配置完成后，显示如图21所示完成Active Directory域服务安装向导对话框，提示Active Directory域服务安装完成。

第十四步，单击完成按钮，显示如图22所示提示框，提示必须重启系统才能更改生效。

第十五步，单击立即重新启动按钮，重新启动计算机即可登录到域，不过，无论是administrator账户，还是其他用户账户，都必须使用域名帐户名的格式登录

上边的累了,我再来补充一下

DNS，Domain Name System或者Domain Name Service（域名系统或者余名服务）。域名系统为Internet上的主机分配域名地址和IP地址。用户使用域名地址，该系统就会自动把域名地址转为IP地址。域名服务是运行域名系统的Internet工具。执行域名服务的服务器称之为DNS服务器，通过DNS服务器来应答域名服务的查询。

1、DNS就是域名服务器，他的任务就是确定域名的解析，比如A记录MX记录等等。

2、任何域名都至少有一个DNS，一般是2个。但为什么要2个以上呢？因为DNS可以轮回处理，第一个解析失败可以找第二个。这样只要有一个DNS解析正常，就不会影响域名的正常使用。

3、如何确定域名的DNS

很简单到wwwinternicnet/whoishtml输入你要查询的域名就可以看到了。这个是国际域名管理中心。唯一的权威。只要这里能查到某个域名，就表示域名是生效的。它说你什么时候到期，就是什么时候到期。

4、有效的DNS表示当前正在起作用的DNS服务器是谁，比如查询结果是NSXINNETDNSCOM、NSXINNETCN(新网信海)就表示当前域名是由NSXINNETDNSCOM、NSXINNETCN(新网信海)负责解析。其他DNS的设置，都是无效的。

5、DNS是可以修改的。修改以后需要24-72小时以后，全世界才能刷新过来。internic的信息一般在24小时以后可以看到。另外，修改的过程，并不表示域名会停止解析，只要你在2边都做好了解析。如果生效了就是新的DNS在起作用。如果没生效。就是旧的DNS在起作用。要么生效，要么不生效。不存在2个都不起作用的时间。所以域名解析，不会中断。前提是两边都做了解析。

6、DNS是有缓存的。

1)访问者的电脑；2)你的ISP接入商。

简单举例:比如你访问http://wwwaskbaiducom/，你的电脑首先查询本机上有没有缓存http://wwwaskbaiducom/的记录。如果有就直接调用不再去查寻。就是说如果你前面刚访问过http://wwwaskbaiducom/，这个时候就算电信的DNS和NSXINNETDNSCOM、NSXINNETCN(新网信海)都不能解析。也是能够正常解析出域名的。

清除本机DNS缓存方法很简单。关闭IE然后清除历史记录，或者重启电脑。

然后还有一个就是isp接入商的DNS的缓存。

isp就是当地网络接入商。比如我们这里的福建电信;福州网通、南平铁通等等。每个地方都是不一样的。isp的DNS和NSXINNETDNSCOM、NSXINNETCN(新网信海)这样的DNS是不同的。NSXINNETDNSCOM、NSXINNETCN(新网信海)只负责具体的解析，不负责缓存。isp的DNS只负责查询和缓存，不负责解析。

简单描述下刚才访问http://wwwaskbaiducom/的情况。如果本机上不存在http://wwwaskbaiducom/的记录。你的电脑就会去查询当地ISP的DNS。isp的DNS只有缓存。就是说他会检查有没有http://wwwaskbaiducom/的缓存。如果有，他就直接把http://wwwaskbaiducom/ 的记录发送给用户。用户也就能访问了。如果ISP的缓存里面也没有http://wwwaskbaiducom/ 的记录，那么他进一步去查询askbaiducom的DNS是什么然后再到对应的DNS上直接去取得数据，并返回给用户。当第一个用户访问了http://wwwaskbaiducom/以后，isp的dns上也就开始缓存了http://wwwaskbaiducom/ 的记录。以后他就不必再去 NSXINNETDNSCOM、NSXINNETCN(新网信海)去找了。除非有新的域名，他才会去查。比如访问bbsaskbaiducom的时候，他就要重新去查了。

7、isp的DNS缓存是有时间限制的。一般是1个小时。前后2次间隔1个小时的话，他就去域名的DNS上重新取得数据。这里说的是最前面一次和当前的比较。也就是说如果时间差距较大，就重新去域名的DNS服务器上找。所以刷新就变的很有必要，否则缓存了一次以后。域名记录改了以后。ISP就永远不去找新的记录了。知道了这个原理以后，大家就会明白，为什么原来没有的记录注册并生效会很快。修改的话生效会很慢。就是因为缓存的原因。但如果没有缓存，访问的效率会很低，因为任何一次输入http://wwwaskbaiducom/都得跑到NSXINNETDNSCOM、NSXINNETCN(新网信海)去查询记录。

备注：很多域名商的域名解析系统也不是实时刷新的。一般会设置下时间，比如10分钟就是说，你设置了一个新的A记录以后，域名服务器会在10分钟内为你添加。目的就是为了节约服务器资源。怕客户的DNS不断的刷新记录。刷新记录肯定需要消耗一定的资源。而且刷新过程中是不能解析的。另外刷新过程大概5秒。就是说这个5秒内域名商的的DNS是不能用的

我想这个两个不相干的概念，只要你的服务器设置为域，就要用到活动目录，所有的服务都是围绕活动目录展看的。而域控制器是指在这个域里面的起到控制整个域的作用的那个服务器。比如：在一个域里面有若干个服务器，有作为WEB的，有作为打印服务的等等，但是在你登陆域的时候，身份的验证只能在一个域控制器里面完成，在一个域里面同时只能存在一个主域控制器，和若干个备份域控制器。

　我们知道WIN2K系统最大的突破性和成功之一就在于它全新引入的“活动目录（Active Directory）服务”，使得WIN2K系统与Internet上的各项服务和协议更加联系紧密，因为它对目录的命名方式成功地与”域名“的命名方式一致，然后通过DNS进行解析，使得与在Internet上通过WINS解析取得一致的效果。 活动目录也说明了Microsoft在网络结构方面的策略转移，虽然在以前NT时代也有部分产品（如EXCHANGE SERVER、IIS等）提供过类似于活动目录的服务，然而活动目录作为一个全新的综合服务方式是在WIN2K的诞生后随之而来的。活动目录的身影似乎在整个WIN2K系统中无处不在。然而要真正了解“活动目录”的方方面面又谈何容易，下面就想通过一些通俗的讲解花几个篇章对活动目录的各主要方面作一详尽的分析，希望对那些对WIN2K的活动目录还存有畏惧心理的新手一个全面认识的机会。

　一、活动目录的由来

　谈到活动目录最使人容易想起的就是下的“目录”、“路径”和Windows9X/ME下“文件夹”，那个时候的“目录”或“文件夹”仅代表一个文件存在磁盘上的位置和层次关系，一个文件生成之后相对来说这个文件的所在目录也就固定了（当然可以删除、转移等，现在不考虑这些），也就是说它的属性也就相对固定了，是静态的。这个目录所能代表的仅是这个目录下所有文件的存放位置和所有文件总的大小，并不能得出其它有关信息，这样就影响到了整体使用目录的效率，也就是影响了系统的整体效率，使系统的整个管理变得复杂。因为没有相互关联，所以在不同应用程序中同一对象要进行多次配置，管理起来相当繁锁，影响了系统资源的使用效率。为了改变这种效率低下的关系和加强与Internet上有关协议的关联，Microsoft公司决定在WIN2K中全面改革，也就是引入活动目录的概念。理解活动目录的关键就在于“活动”两个字，千万不要将“活动”两个字去掉而仅仅从“目录”两个字去理解，那你我理来理去一定还是不能脱离原来在下目录或Windows9x下的文件夹，正因为这个目录是活动的，所以它是动态的，它是一种包含服务功能的目录，它可以做到“由此及彼”的联想、映射，如找到了一个用户名，就可联想到它的账号、出生信息、E-mail、电话等所有基本信息，虽然组成这些信息的文件可能不在一块。同时不同应用程序之间还可以对这些信息进行共享，减少了系统开发资源的浪费，提高了系统资源的利用效率。

　活动目录包括两个方面：目录和与目录相关的服务。目录是存储各种对象的一个物理上的容器，从静态的角度来理解这活动目录与我们以前所结识的“目录”和“文件夹”没有本质区别，仅仅是一个对象，是一实体；而目录服务是使目录中所有信息和资源发挥作用的服务，活动目录是一个分布式的目录服务，信息可以分散在多台不同的计算机上，保证用户能够快速访问，因为多台机上有相同的信息，所以在信息容氏方面具有很强的控制能力，正因如此，不管用户从何处访问或信息处在何处，都对用户提供统一的视图。

　二、相关名词术语

　虽然活动目录中用到的许多技术在其他软件产品中也已经出现过，但作为全面的整体网络方案还是首次亮相，其中有许多名词或术语或许是闻所未闻的，所以有必要详细了解一下活动目录的有关名词或术语。

　1、名字空间：从本质上讲，活动目录就是一个名字空间，我们可以把名字空间理解为任何给定名字的解析边界，这个边界就是指这个名字所能提供或关联、映射的所有信息范围。通俗地说就是我们在服务器上通过查找一个对象可以查到的所有关联信息总和，如一个用户，如果我们在服务器已给这个用户定义了讲如：用户名、用户密码、工作单位、联系电话、家庭住址等，那上面所说的总和广义上理解就是“用户”这个名字的名字空间，因为我们只输入一个用户名即可找到上面我所列的一切信息。名字解析是把一个名字翻译成该名字所代表的对象或者信息的处理过程。举例来说，在一个电话目录形成一个名字空间中，我们可以从每一个电话户头的名字可以被解析到相应的电话号码，而不是象现在一样名字是名字，号码归号码，根本不能横向联系。Windows 操作系统的文件系统也形成了一个名字空间，每一个文件名都可以被解析到文件本身（包含它应有的所有信息）。

　2、对象： 对象是活动目录中的信息实体，也即我们通常所见的“属性”，但它是一组属性的集合，往往代表了有形的实体，比如用户账户、 文 件名等。对象通过属性描述它的基本特征，比如，一个用户账号的属性中可能包括用户姓名、 电话号码、 电子邮件地址和家庭住址等。

　3、容器：容器是活动目录名字空间的一部分，与目录对象一样，它也有属性，但与目录对象不同的是，它不代表有形的实体，而是代表存放对象的空间，因为它仅代表存放一个对象的空间，所以它比名字空间小。比如一个用户，它是一个对象，但这个对象的容器就仅限于从这个对象本身所能提供的信息空间，如它仅能提供用户名、用户密码。其它的如：工作单位、联系电话、家庭住址等就不属于这个对象的容器范围了。

　4、目录树：在任何一个名字空间中，目录树是指由容器和对象构成的层次结构。树的叶子、节点往往是对象，树的非叶子节点是容器。目录树表达了对象的连接方式，也显示了从一个对象到另一个对象的路径。在活动目录中，目录树是基本的结构，从每一个容器作为起点，层层深入， 都可以构成一棵子树。一个简单的目录可以构成一棵树，一个计算机网络或者一个域也可以构成一棵树。这也很容易理解，我们最初学电脑时不就是在全面理解下的路径概念基础之上开始的吗，其实这“目录树”也就是一种“路径关系”，如果你理解了下的“路径”相信理解这“目录树”是没什么问题的！

　5、域： 域是WIN2K网络系统的安全性边界。我们知道一个计算机网最基本的单元就是“域”，这一点不是WIN2K所独有的'，但活动目录可以贯穿一个或多个域。在独立的计算机上，域即指计算机本身，一个域可以分布在多个物理位置上，同时一个物理位置又可以划分不同网段为不同的域，每个域都有自己的安全策略以及它与其他域的信任关系。当多个域通过信任关系连接起来之后，活动目录可以被多个信任域域共享

　6、组织单元：包含在域中特别有用的目录对象类型就是组织单元。组织单元是可将用户、组、计算机和其他单元放入活动目录的容器中，组织单元不能包括来自其他域的对象。组织单元是可以指派组策略设置或委派管理权限的最小作用单位。使用组织单元，您可在组织单元中代表逻辑层次结构的域中创建容器，这样您就可以根据您的组织模型管理帐户、资源的配置和使用，可使用组织单元创建可缩放到任意规模的管理模型。可授予用户对域中所有组织单元或对单个组织单元的管理权限，组织单元的管理员不需要具有域中任何其他组织单元的管理权，组织单元有点象我们在NT时代的工作组，我们从管理权限上来讲可以这么理解。

　7、域树：域树由多个域组成，这些域共享同一表结构和配置，形成一个连续的名字空间。树中的域通过信任关系连接起来，活动目录包含一个或多个域树。域树中的域层次越深级别越低，一个“”代表一个层次，如域childMicrosoftcom 就比 Microsoftcom这个域级别低，因为它有两个层次关系，而Microsoftcom只有一个层次。而域GrandchildChildMicrosoftcom双比 ChildMicrosoftcom级别低，道理一样。

　域树中的域是通过双向可传递信任关系连接在一起。由于这些信任关系是双向的而且是可传递的，因此在域树或树林中新创建的域可以立即与域树或树林中每个其他的域建立信任关系。这些信任关系允许单一登录过程，在域树或树林中的所有域上对用户进行身份验证，但这不一定意味着经过身份验证的用户在域树的所有域中都拥有相同的权利和权限。因为域是安全界限，所以必须在每个域的基础上为用户指派相应的权利和权限。

　8、域林：域林是指由一个或多个没有形成连续名字空间的域树组成，它与上面所讲的域树最明显的区别就在于这些域树之间没有形成连续的名字空间，而域树则是由一些具有连续名字空间的域组成。但域林中的所有域树仍共享同一个表结构、配置和全局目录。域林中的所有域树通过Kerberos 信任关系建立起来，所以每个域树都知道Kerberos信任关系，不同域树可以jiao叉引用其他域树中的对象。域林都有根域，域林的根域是域林中创建的第一个域，域林中所有域树的根域与域林的根域建立可传递的信任关系。

　9、站点：站点是指包括活动目录域服务器的一个网络位置，通常是一个或多个通过TCP/IP连接起来的子网。站点内部的子网通过可靠、快速的网络连接起来。站点的划分使得管理员可以很方便地配置活动目录的复杂结构，更好地利用物理网络特性，使网络通信处于最优状态。当用户登录到网络时，活动目录客户机在同一个站点内找到活动目录域服务器，由于同一个站点内的网络通信是可靠、快速和高效的，所以对于用户来说，他可以在最快的时间内登录到网络系统中。因为站点是以子网为边界的，所以活动目录在登录时很容易找到用户所在的站点，进而找到活动目录域服务器完成登录工作。

　10、域控制器：域控制器是使用活动目录安装向导配置的WIN2K Server 的计算机。活动目录安装向导安装和配置为网络用户和计算机提供活动目录服务的组件供用户选择使用。域控制器存储着目录数据并管理用户域的jiao互关系，其中包括用户登录过程、身份验证和目录搜索，一个域可有一个或多个域控制器。为了获得高可用性和容错能力，使用单个局域网 (LAN) 的小单位可能只需要一个具有两个域控制器的域。具有多个网络位置的大公司在每个位置都需要一个或多个域控制器以提供高可用性和容错能力。

　WIN2K Server 域控制器扩展了 WINNT Server 40 的域控制器所提供的能力和特性，WIN2K Server 多宿主复制使每个域控制器上的目录数据同步，以确保随着时间的推移这些信息仍能保持一致，也就是说是动态的，这就是活动目录的作用。多宿主复制是 WINNT Server 40 中使用的主域控制器和备份域控制器模型的发展，在 WINNT Server 40 中只有一个服务器，即主域控制器，拥有该目录的可读写副本。

　三、安装活动目录的意义

　我们说WIN2K的成功和创造性之一就是成功的全面引入了活动目录服务，那么到底安装活动目录有什么意义呢？这是我们所有初学WIN2K的人首要要问的一个问题。因为活动目录并不是WIN2K系统必需安装的一种服务，要全面理解它又是非常的不容易，那么安装活动目录的意义在哪里呢？它主要体现在以下几个方面：

　1、信息的安全性大大增强

　安装活动目录后信息的安全性完全与活动目录集成，用户授权管理和目录进入控制已经整合在活动目录当中了（包括用户的访问和登录权限等），而它们都是WIN2K操作系统的关键安全措施。活动目录集中控制用户授权，目录进入控制不只能在每一个目录中的对象上定义，而且还能在每一个对象的每个属性上定义，这一点是以前任何系统所不能达到的，包括WINNT 40。除此之外，活动目录还可以提供存储和应用程序作用域的安全策略，提供安全策略的存储和应用范围。安全策略可包含帐户信息，如域范围内的密码限制或对特定域资源的访问权等。所以从一定程序上可以这么说WIN2K的安全性就是活动目录所体现的安全性，由此可见对于网管来说如何配置好活动目录中对象及属性的安全性是一个网管配置好WIN2K系统的关键。

　2、引入基于策略的管理，使系统的管理更加明朗

　活动目录服务包括目录对象数据存储和逻辑分层结构（指上面所讲的目录、目录树、域、域树、域林等所组成的层次结构），作为目录，它存储着分配给特定环境的策略，称为组策略对象。作为逻辑结构，它为策略应用程序提供分层的环境。组策略对象表示了一套商务规则，它包括与要应用的环境有关的设置，组策略是用户或计算机初始化时用到的配置设置。所有的组策略设置都包含在应用到活动目录，域，或组织单元的组策略对象（GPOs）中。GPOs设置决定目录对象和域资源的进入权限，什么样的域资源可以被用户使用，以及这些域资源怎样使用等。例如，组策略对象可以决定当用户登录时用户在他们的计算机上看到什么应用程序，当它在服务器上启动时有多少用户可连接至 Server，以及当用户转移到不同的部门或组时他们可访问什么文件或服务。组策略对象使您可以管理少量的策略而不是大量的用户和计算机。通过活动目录，您可将组策略设置应用于适当的环境中，不管它是您的整个单位还是您单位中的特定部门。

　3、具有很强的可扩展性

　WIN2K的活动目录具有很强的可扩展性，管理员可以在计划中增加新的对象类，或者给现有的对象类增加新的属性。计划包括可以存储在目录中的每一个对象类的定义和对象类的属性。例如，在电子商务上你可以给每一个用户对象增加一个购物授权属性，然后存储每一个用户购买权限作为用户帐号的一部分。

　4、具有很强的可伸缩性

　活动目录可包含在一个或多个域，每个域具有一个或多个域控制器，以便您可以调整目录的规模以满足任何网络的需要。多个域可组成为域树，多个域树又可组成为树林，活动目录也就随着域的伸缩而伸缩，较好地适应了单位网络的变化。目录将其架构和配置信息分发给目录中所有的域控制器，该信息存储在域的第一个域控制器中，并且复制到域中任何其他域控制器。当该目录配置为单个域时，添加域控制器将改变目录的规模，而不影响其他域的管理开销。将域添加到目录使您可以针对不同策略环境划分目录，并调整目录的规模以容纳大量的资源和对象。

　5、智能的信息复制能力

　信息复制为目录提供了信息可用性、容错、负载平衡和性能优势，活动目录使用多主机复制，允许您在任何域控制器上而不是单个主域控制器上同步更新目录。多主机模式具有更大容错的优点，因为使用多域控制器，即使任何单独的域控制器停止工作，也可继续复制。由于进行了多主机复制，它们将更新目录的单个副本，在域控制器上创建或修改目录信息后，新创建或更改的信息将发送到域中的所有其他域控制器，所以其目录信息是最新的。域控制器需要最新的目录信息，但是要做到高效率，必须把自身的更新限制在只有新建或更改目录信息的时候，以免在网络高峰期进行同步而影响网络速度。在域控制器之间不加选择地jiao换目录信息能够迅速搞垮任何网络。通过活动目录就能达到只复制更改的目录信息，而不至于大量增加域控制器的负荷。

　6、与 DNS 集成紧密

　活动目录使用域名系统 (DNS)来为服务器目录命名，DNS 是将更容易理解的主机名（如 MikeMycompanycom）转换为数字 IP 地址的 Internet 标准服务，利于在TCP/IP网络中计算机之间的相互识别和通讯。DNS 的域名基于 DNS 分层命名结构，这是一种倒置的树状结构，单个根域，在它下面可以是父域和子域（分支和叶子）。关于这一点我会在后面以专门的篇章加以详细讲述，在此就仅作简单介绍。

　7、与其他目录服务具有互操性

　由于活动目录是基于标准的目录访问协议，许多应用程序界面（API）都允许开发者进入这些协议，例如活动目录服务界面（ADSI）、轻型目录访问协议 (LDAP) 第三版和名称服务提供程序接口 (NSPI)，因此它可与使用这些协议的其他目录服务相互操作。LDAP 是用于在活动目录中查询和检索信息的目录访问协议。因为它是一种工业标准服务协议，所以可使用 LDAP 开发程序，与同时支持 LDAP 的其他目录服务共享活动目录信息。活动目录支持 Microsoft Exchange 40 和 5x 客户程序所用的 NSPI 协议，以提供与 Exchange 目录的兼容性。

　8、具有灵活的查询

　任何用户可使用“开始”菜单、“网上邻居”或“活动目录用户和计算机”上的“搜索”命令，通过对象属性快速查找网络上的对象。如您可通过名字、姓氏、电子邮件名、办公室位置或用户帐户的其他属性来查找用户，反之亦然。