系統的建設情況，隨著(zhù)企業(yè)信息化建設的推進(jìn)，需要對各種信息化管理系統和應用系統的服務(wù)器選型進(jìn)行選型規劃，根據不同的系統對服務(wù)
某集團信息化應用目標是：搭建集成、統一平臺，規避流程、規避風(fēng)險，實(shí)現高效協(xié)作，有效支撐決策、實(shí)現多維度矩陣管控、實(shí)現無(wú)邊界的信息應用。
操作系統選型參考和說(shuō)明：
| 類(lèi)型 | 操作系統選型參考 | 選型說(shuō)明 |
| 域服務(wù)器/郵件服務(wù)器等企業(yè)IT管理系統 | Windows Server系列操作系統 | 建議選用最新版Windows Server 2008 R2，Windows管理和使用方便，管理功能豐富 |
| 中小型業(yè)務(wù)應用系統和數據庫系統 | RedHat Linux 系列操作系統 | 建議選用RedHat Linux企業(yè)高級平臺版，Linux操作系統可靠性和安全性相對較高 |
| 大型業(yè)務(wù)應用系統和數據庫系統 | IBM Unix系列操作系統 | IBM Unix可靠性、安全性和性能是目前企業(yè)級服務(wù)器操作系統最高的。 |
目前虛擬化技術(shù)主要包括服務(wù)器虛擬化、桌面虛擬化和應用虛擬化等技術(shù)。
服務(wù)器虛擬化技術(shù)讓一臺物理服務(wù)器可以同時(shí)支持多個(gè)運行虛擬機的工作負載。管理員可利用虛擬機將工作負載（包括一個(gè)操作系統、應用組和配置）從物理計算平臺中分離出去，這樣就可以實(shí)現一些重要功能，如隔離（在一個(gè)計算平臺上安全地運行多個(gè)工作負載）和工作負載可移植性（在不同的物理計算平臺之間遷移工作負載）。采用更先進(jìn)的服務(wù)器虛擬化平臺，就可跨物理服務(wù)器快速遷移正在運行的工作負載。這樣一來(lái)，就可在整個(gè)物理計算資源池中遷移工作負載，讓IT部門(mén)可以最大限度地使用可用的計算資源，降低成本，并將應用有效、可靠地交付給用戶(hù)。
桌面虛擬化方案提供一種端到端的桌面管理解決方案?？蓜?dòng)態(tài)按需產(chǎn)生虛擬桌面，該桌面所有的運行都發(fā)生在遠程數據中心的機房里,不用再擔心數據駐留在客戶(hù)端導致的安全漏洞。用戶(hù)每次登錄時(shí)都能獲得一個(gè)干凈的、個(gè)性化的全新桌面——從而確保性能不會(huì )下降。虛擬桌面是一個(gè)桌面的操作系統，是運行在服務(wù)器上的虛擬操作系統。在虛擬桌面模式下，每個(gè)人獨享自己的操作系統。將桌面操作系統虛擬化帶來(lái)很多好處，包括：
l 信息保存在數據中心保證了數據的安全性；
l 桌面的性能能夠得到提升，因為它和應用后端的服務(wù)器都運行在數據中心；
l 桌面可以分享最新最強大的服務(wù)器硬件；
l 可以從任何地點(diǎn)遠程訪(fǎng)問(wèn)桌面；
l 維護桌面的費用大大降低。
應用虛擬化技術(shù)是一種可將應用與底層系統隔離的技術(shù)。采用應用虛擬化技術(shù)，應用可直接在用戶(hù)桌面系統上隔離運行或通過(guò)在用戶(hù)桌面上顯示應用界面而在服務(wù)器上遠程運行，而不管用戶(hù)采用的是哪種底層平臺或操作系統。
目前主流的虛擬化解決方案廠(chǎng)商有IBM 、VmWare、微軟、Citrix等，選型時(shí)主要考慮產(chǎn)品的可靠性、性能指標、功能性和兼容性等。IBM和VmWare在服務(wù)器虛擬化方面比較知名，而Citrix在桌面虛擬化和應用虛擬化（遠程接入）方面的解決方案相對其他廠(chǎng)商比較成熟。
數據庫作為企業(yè)IT集成架構的重要組成部分，在數據庫的選擇上通過(guò)開(kāi)放性、可伸縮懷和并行性、安全認證、性能、操作簡(jiǎn)易程度以及使用風(fēng)險來(lái)選擇數據庫。
一、開(kāi)放性
1. SQL Server
只能在windows上運行，沒(méi)有絲毫的開(kāi)放性，操作系統的系統的穩定對數據庫是十分重要的。Windows9X系列產(chǎn)品是偏重于桌面應用，NT server只適合中小型企業(yè)。而且windows平臺的可靠性，安全性和伸縮性是非常有限的。它不像Unix那樣久經(jīng)考驗，尤其是在處理大數據庫。
2. Oracle
能在所有主流平臺上運行（包括 windows）。完全支持所有的工業(yè)標準。采用完全開(kāi)放策略?？梢允箍蛻?hù)選擇最適合的解決方案。對開(kāi)發(fā)商全力支持。
3. Sybase ASE
能在所有主流平臺上運行（包括 windows）。但由于早期Sybase與OS集成度不高，因此VERSION11.9.2以下版本需要較多OS和DB級補丁。在多平臺的混合環(huán)境中，會(huì )有一定問(wèn)題。
4. DB2
能在所有主流平臺上運行（包括windows）。最適于海量數據。DB2在企業(yè)級的應用最為廣泛
二、可伸縮性，并行性
1. SQL server
并行實(shí)施和共存模型并不成熟，很難處理日益增多的用戶(hù)數和數據卷，伸縮性有限。
2. Oracle
并行服務(wù)器通過(guò)使一組結點(diǎn)共享同一簇中的工作來(lái)擴展window的能力，提供高可用性和高伸縮性的簇的解決方案。如果windows不能滿(mǎn)足需要，用戶(hù)可以把數據庫移植到Unix/Linux中。Oracle的并行服務(wù)器對各種Unix/Linux平臺的集群機制都有著(zhù)相當高的集成度。
3. Sybase ASE
雖然有DB SWITCH來(lái)支持其并行服務(wù)器，但DB SWITCH在技術(shù)層面還未成熟，且只支持版本12.5以上的ASE SERVER。DB SWITCH技術(shù)需要一臺服務(wù)器充當SWITCH，從而在硬件上帶來(lái)一些麻煩。
4. DB2
具有很好的并行性。DB2把數據庫管理擴充到了并行的、多節點(diǎn)的環(huán)境。數據庫分區是數據庫的一部分，包含自己的數據、索引、配置文件、和事務(wù)日志。數據庫分區有時(shí)被稱(chēng)為節點(diǎn)安全性。
三、安全認證
1. SQL server
沒(méi)有獲得任何安全證書(shū)。
2. Oracle Server
獲得最高認證級別的ISO標準認證。
3. Sybase ASE
獲得最高認證級別的ISO標準認證。
4. DB2
獲得最高認證級別的ISO標準認證。
四、性能
1. SQL Server
多用戶(hù)時(shí)性能不佳
2. Oracle
性能最高， 保持開(kāi)放平臺下的TPC-D和TPC-C的世界記錄。
3. Sybase ASE
性能接近于SQL Server，但在UNIX平臺下的并發(fā)性要優(yōu)與 SQL Server。
4. DB2
性能較高適用于數據倉庫和在線(xiàn)事物處理。
五、客戶(hù)端支持及應用模式
1. SQL Server
C/S結構，只支持windows客戶(hù)，可以用ADO、DAO、OLEDB、ODBC連接。
2. Oracle
多層次網(wǎng)絡(luò )計算，支持多種工業(yè)標準，可以用ODBC、JDBC、OCI等網(wǎng)絡(luò )客戶(hù)連接。
3. Sybase ASE
C/S結構，可以用ODBC、Jconnect、Ct-library等網(wǎng)絡(luò )客戶(hù)連接。
4. DB2
跨平臺，多層結構，支持ODBC、JDBC等客戶(hù)。
六、操作簡(jiǎn)便
1. SQL Server
操作簡(jiǎn)單，但只有圖形界面。
2. Oracle
較復雜，同時(shí)提供GUI和命令行，在Windows和Unix/Linux下操作相同。
3. Sybase ASE
較復雜，同時(shí)提供GUI和命令行。但GUI較差，常常無(wú)法及時(shí)狀態(tài)，建議使用命令行。
4. DB2
操作簡(jiǎn)單，同時(shí)提供GUI和命令行，在windows和unix下操作相同。
七、使用風(fēng)險
1. SQL server
完全重寫(xiě)的代碼，經(jīng)歷了長(cháng)期的測試，不斷延遲，許多功能需要時(shí)間來(lái)證明。并不十分兼容。
2. Oracle
長(cháng)時(shí)間的開(kāi)發(fā)經(jīng)驗，完全向下兼容。得到廣泛的應用。完全沒(méi)有風(fēng)險。
3. Sybase ASE
向下兼容, 但是ct-library 程序不益移植。
4. DB2
在巨型企業(yè)得到廣泛的應用，向下兼容性好。風(fēng)險小。
綜合以上分析，企業(yè)業(yè)務(wù)應用系統數據庫建議采用最新版Oracle 11G數據庫。
數據安全主要包含兩部分，一是數據本身的安全，主要是指采用現代密碼算法對數據進(jìn)行主動(dòng)保護，如數據保密、數據完整性、雙向強身份認證等，二是數據防護的安全，主要是采用現代信息存儲手段對數據進(jìn)行主動(dòng)防護，如通過(guò)磁盤(pán)陣列、數據備份、異地容災等手段保證數據的安全。
1） 數據安全認證規劃
企業(yè)對應用系統數據安全認證需求主要有以下幾方面：
? 身份認證和訪(fǎng)問(wèn)控制：身份認證分為兩個(gè)方面，一方面是對應用系統站點(diǎn)的認證，確保用戶(hù)訪(fǎng)問(wèn)的是真實(shí)的應用服務(wù)器；另一方面是對應用系統客戶(hù)端的身份證，必須嚴格控制并識別應用系統用戶(hù)的身份，登錄到業(yè)務(wù)網(wǎng)絡(luò )系統的人必須是相關(guān)業(yè)務(wù)人員，凡非相關(guān)人員，系統拒絕其訪(fǎng)問(wèn)；
? 機密性：在應用系統客戶(hù)端與服務(wù)器端交換的信息必須是經(jīng)過(guò)加密后才傳輸的，不能被竊??；
? 數據完整性：在應用系統傳輸的數據必須有必要的完整性校驗機制，不能被惡意竄改；比如不能將原本為10 萬(wàn)元的支付數據篡改成1 萬(wàn)元或100 萬(wàn)元再對外支付；
? 不可抵賴(lài)性：必須確保支付或其它在應用系統提交的請求是不允許抵賴(lài)的，同時(shí)必須有相應的技術(shù)保證數據的源發(fā)性，出現越軌操作，系統能提供事后追蹤、審核及統計的手段。
針對以上的數據安全認證需求，推薦基于智能鑰匙認證（PKI技術(shù)）的解決方案，天威誠信的產(chǎn)品和服務(wù)都是基于PKI技術(shù)構建，天威誠信安全認證及數字簽名綜合解決方案可以解決以下四個(gè)方面的安全問(wèn)題：
? 數字簽名
對關(guān)鍵業(yè)務(wù)數據進(jìn)行簽名，保證機密性、完整性和不可抵賴(lài)性；
? 安全訪(fǎng)問(wèn)
用于登錄應用系統，替換掉原有安全級別較低的“用戶(hù)名/口令”方式，防止非授權用戶(hù)的惡意攻擊，同時(shí)不能破壞應用系統原有的權限管理機制。安全訪(fǎng)問(wèn)就是讓企業(yè)的員工能方便的在任何地方通過(guò)互聯(lián)網(wǎng)安全地訪(fǎng)問(wèn)企業(yè)的內部網(wǎng)和內部機密數據；
? 信息加密
通過(guò)高強度的加密算法形成安全的SSL 加密通道，使在網(wǎng)絡(luò )上傳輸的敏感信息不能被第三方竊??；
? 技術(shù)和法律層面的雙重保障抗抵賴(lài)性
天威誠信數字證書(shū)實(shí)現的數字簽名技術(shù)可以通過(guò)目前最安全的PKI 技術(shù)上實(shí)現抗抵賴(lài)的功能。但是，在現時(shí)生活中，真正能夠裁決是否發(fā)生了抵賴(lài)行為，只有法院的仲裁才能夠最終定性。在2005年中華人民共和國《電子簽名法》頒布以后，法律上規定：只有得到信息產(chǎn)業(yè)部頒發(fā)的《電子認證服務(wù)許可證》的數字認證機構，其所頒發(fā)的數字證書(shū)在電子商務(wù)中的數字簽名才能夠得到法律的認可和保護。天威誠信率先從信息產(chǎn)業(yè)部獲得該資質(zhì)，因此，應用系統用戶(hù)使用天威誠信提供的數字證書(shū)實(shí)現的電子簽名是合乎法律要求的抗抵賴(lài)證據，從而使應用系統的電子化簽名和手寫(xiě)簽名一樣得到法律的認可，可以作為法律上有效的證據，結束了電子化信息系統重要數據的“無(wú)據可依”，“無(wú)法可依”的現狀。因此，通過(guò)此方式，用戶(hù)能夠實(shí)現技術(shù)和法律層面的雙重保障。
2） 數據存儲安全
數據存儲的安全是指數據庫在系統運行之外的可讀性，企業(yè)對應用系統數據存儲安全的需求主要有以下幾方面：
? 諸如、格翰姆—布萊利法和巴塞爾協(xié)議II 等法規要求企業(yè)內部要有強健的內部控制和職責分離；
? 針對當今非常關(guān)心的內部威脅要求強制執行操作安全策略——規范何人、何時(shí)、何地能夠處理數據；
? 數據庫整合策略要求防止數據庫管理員訪(fǎng)問(wèn)應用程序的數據。
針對以上的數據存儲安全需求，推薦Oracle Database Vault解決方案，解決方案的要點(diǎn)如下：
? 對授權用戶(hù)的控制
· 限制數據庫管理員訪(fǎng)問(wèn)應用程序的數據
· 提供職責分離的功能
· 保證數據庫和信息整合的安全性
? 執行數據訪(fǎng)問(wèn)的安全策略
· 控制何人、何時(shí)、何地以及如何訪(fǎng)問(wèn)數據
· 可根據IP地址、時(shí)間或授權等情況作出訪(fǎng)問(wèn)決定
? 已通過(guò)針對PeopleSoft的認證
3） 數據備份規劃
一個(gè)完整的數據備份和災難恢復方案，應包括備份硬件，備份軟件，備份計劃和災難恢復計劃四個(gè)部分。
? 備份硬件
目前比較流行的解決方法包括硬盤(pán)介質(zhì)存儲，光學(xué)介質(zhì)和磁帶/磁帶機存儲技術(shù)。
硬盤(pán)存儲費用比較高，光學(xué)介質(zhì)的訪(fǎng)問(wèn)速度慢，且容量較小。通常情況下，大容量網(wǎng)絡(luò )備份用戶(hù)主要使用磁帶設備進(jìn)行備份。磁帶備份具有如下優(yōu)勢：容量大并可靈活配置，速度適中，介質(zhì)保存周期長(cháng)，成本低，數據安全性高，可實(shí)現無(wú)人操作的自動(dòng)備份等。
? 備份軟件
目前主流的備份軟件有，IBM的Tivoli（TSM），HP的OpenView，Veritas公司的NetBackup，Legato公司的NetWorker，CA的ARCserve等?？蛻?hù)可以根據實(shí)際情況選擇合適的備份軟件。
? 備份計劃/策略
從備份策略來(lái)講，現在的備份可分為三種：完全備份、增量備份、差異備份、累加備份策略。下面來(lái)討論以下這幾種備份方式：
完全備份就是拷貝指定計算機或文件系統上的所有文件，而不管它是否被改變。
增量備份就是只備份在上一次備份后增加、改動(dòng)的部分數據。增量備份可分為多級，每一次增量都源自上一次備份后的改動(dòng)部分。
差異備份就是只備份在上一次完全備份后有變化的部分數據。如果只存在兩次備份，則增量備份和差異備份內容一樣。
累加備份采用數據庫的管理方式，記錄累積每個(gè)時(shí)間點(diǎn)的變化，并把變化后的值備份到相應的數組中，這種備份方式可恢復到指定的時(shí)間點(diǎn)。
一般在使用過(guò)程中，這幾種策略常結合使用，常用的方法有：完全備份、完全備份加增量備份、完全備份加差異備份、完全備份加累加備份。用戶(hù)根據自身業(yè)務(wù)和災難恢復的要求，選擇備份策略。
原則上建議至少每周對關(guān)鍵數據做一次完全備份，一周其它時(shí)間每天做增量備份或差異備份，備份每天數據。如果數據丟失，可以恢復到前一天的數據狀態(tài)，否則有丟失數據的危險。
? 災難恢復
災難恢復在整個(gè)備份中占有重要地位。因為它關(guān)系到系統、軟件與數據在經(jīng)歷災難后能否快速、準確地恢復。全盤(pán)恢復一般應用在服務(wù)器發(fā)生意外災難，導致數據全部丟失，也稱(chēng)為系統恢復。有些廠(chǎng)商還推出了擁有單鍵恢復功能的磁帶機，只需用系統盤(pán)引導機器啟動(dòng)，將磁帶插入磁帶機，按動(dòng)一個(gè)鍵即可恢復整個(gè)系統。
為了應用系統的數據安全，建議購買(mǎi)專(zhuān)業(yè)的備份軟件和硬件，并要求客戶(hù)必須對每天的應用系統數據進(jìn)行備份。
隨著(zhù)企業(yè)的迅速發(fā)展，各種應用系統和用戶(hù)數量的不斷增加，信息安全問(wèn)題愈見(jiàn)突出，原有分散在各應用系統中的賬號、權限、認證、審計方面的安全措施已不能滿(mǎn)足企業(yè)目前及未來(lái)業(yè)務(wù)系統發(fā)展的要求。如下圖所示，主要問(wèn)題表現在以下方面：
最終用戶(hù)：需要記憶各系統的訪(fǎng)問(wèn)賬號和口令；在各系統間切換時(shí)需要再次輸入用戶(hù)名和口令。給用戶(hù)的工作帶來(lái)不便，影響了工作效率；
管理員：各系統的賬號需要單獨維護，工作量大，維護麻煩，工作效率不高，而且容易出錯，導致用戶(hù)無(wú)法正常訪(fǎng)問(wèn)或出現后門(mén)賬號導致安全問(wèn)題；不便于統一安全策略的實(shí)施；
審計員：各系統獨立維護，不便于做關(guān)聯(lián)分析，不便于及時(shí)發(fā)現安全問(wèn)題；
最終用戶(hù) 管理員 審計員
根據現狀分析，一方面增加了各個(gè)應用系統的維護和管理人員的工作負擔，工作效率不高；另一方面無(wú)法對各業(yè)務(wù)系統實(shí)施統一的安全策略，增大了安全漏洞存在的幾率，降低了業(yè)務(wù)系統的安全性。統一身份安全認證平臺通過(guò)對賬號、授權、認證和審計的集中管理，達到對安全運維過(guò)程進(jìn)行集中統一的控制，使操作行為和維護行為可以審計。如下圖所示，主要達成了如下目標：
（1） 將各應用系統中的賬號進(jìn)行統一管理和控制；
（2） 提供統一的安全訪(fǎng)問(wèn)入口，實(shí)現系統間單點(diǎn)登陸；
（3） 實(shí)施統一的安全策略，進(jìn)行集中控制和管理，可對接第三方認證組件；
（4） 對關(guān)鍵數據和操作行為進(jìn)行統一管理和審計，及時(shí)發(fā)現安全隱患。
最終用戶(hù) 管理員 審計員
針對企業(yè)對各信息系統實(shí)現統一身份安全認證的需求，統一身份安全認證解決方案。
1） 實(shí)現企業(yè)各信息系統用戶(hù)的安全認證。
安全認證是指信息系統的用戶(hù)在進(jìn)入系統或訪(fǎng)問(wèn)系統資源時(shí)，系統確認該用戶(hù)的身份是否真實(shí)、合法和唯一的過(guò)程。
目前，安全認證的方法和形式多種多樣，通常在實(shí)際應用中常用的安全認證的方式主要有口令密碼、動(dòng)態(tài)密碼卡、智能鑰匙、指紋、數字證書(shū)、條碼卡等。而且，很多系統為了提高安全性，其采用的安全認證方式是上述多種方法的組合，以下主要推薦動(dòng)態(tài)密碼卡安全認證解決方案。
日常的工作中越來(lái)越依靠各種軟件系統，內部系統的登錄主要依靠靜態(tài)密碼，由于靜態(tài)密碼基本上固定不變，存在著(zhù)如下的安全隱患：
（1）用戶(hù)在輸入密碼時(shí)容易被人偷看或者攝像機記錄；
（2）用戶(hù)的密碼容易在傳輸的過(guò)程中被軟件截??；
（3）用戶(hù)的密碼一般有一定的規律性，容易被猜測；
（4）用戶(hù)的密碼長(cháng)期不變，容易泄漏；
（5）病毒，木馬程序的惡意盜??；
（6）內部的防范意識不強，內部員工的惡意操作；
（7）因為工作需要，告訴同事密碼，事后忘記修改。
雖然在一個(gè)單位內部的系統相對比較安全，但一旦密碼被盜，特別是一些重要的用戶(hù)密碼被盜，如單位的領(lǐng)導，財務(wù)等，那么造成的損失將是巨大的，這樣的情況并不少見(jiàn)。使用動(dòng)態(tài)密碼的投入不大，可以有效的防范因為靜態(tài)密碼泄漏造成的風(fēng)險，保證系統的安全。認證流程如下圖所示。
認證流程圖
2） 實(shí)現移動(dòng)門(mén)戶(hù)。
隨著(zhù)手機等移動(dòng)終端設備的普及應用，越來(lái)越多的日常事務(wù)要求直接通過(guò)手機等移動(dòng)終端完成，在這種應用趨勢下，移動(dòng)門(mén)戶(hù)誕生。用戶(hù)可以通過(guò)移動(dòng)終端設備登錄Portal，處理待處理審批流程。
企業(yè)計算機和用戶(hù)管理，采用Windows Server 2008的Active Directory活動(dòng)目錄方案是最佳選擇，Active Directory提供了一種方式，用于管理組成組織網(wǎng)絡(luò )的標識和關(guān)系。Active Directory與Windows Server 2008 R2的集成，為我們帶來(lái)了開(kāi)箱即用的功能，通過(guò)這些功能我們可以集中配置和管理系統、用戶(hù)和應用程序設置。Active Directory域服務(wù)（AD DS，Active Directory Domain Services）存儲目錄數據，管理用戶(hù)和域之間的通信，包括用戶(hù)登錄過(guò)程、身份驗證，以及目錄搜索。此外還集成其它角色，為我們帶來(lái)了標識和訪(fǎng)問(wèn)控制特性和技術(shù)，這些特性提供了一種集中管理身份信息的方式，以及只允許合法用戶(hù)訪(fǎng)問(wèn)設備、程序和數據的技術(shù)。
活動(dòng)目錄是Windows 網(wǎng)絡(luò )體系結構中一個(gè)基本且不可分割的部分，它為網(wǎng)絡(luò )的用戶(hù)、管理員和應用程序提供了一套分布式網(wǎng)絡(luò )環(huán)境設計的目錄服務(wù)?；顒?dòng)目錄使得組織機構可以有效地對有關(guān)網(wǎng)絡(luò )資源和用戶(hù)的信息進(jìn)行共享和管理。另外，目錄服務(wù)在網(wǎng)絡(luò )安全方面也扮演著(zhù)中心授權機構的角色，從而使操作系統可以輕松地驗證用戶(hù)身份并控制其對網(wǎng)絡(luò )資源的訪(fǎng)問(wèn)。同等重要的是，活動(dòng)目錄還擔當著(zhù)系統集成和鞏固管理任務(wù)的集合點(diǎn)。
總的來(lái)說(shuō)，活動(dòng)目錄的這些功能使組織機構可以將標準化的商業(yè)規則貫徹于分布式應用和網(wǎng)絡(luò )資源當中，同時(shí)，無(wú)需管理員來(lái)維護各種不同的專(zhuān)用目錄。
活動(dòng)目錄提供了對基于Windows的用戶(hù)賬號、客戶(hù)、服務(wù)器和應用程序進(jìn)行管理的唯一點(diǎn)。同時(shí)，它也幫助組織機構通過(guò)使用基于Windows的應用程序和與Windows相兼容的設備對非Windows系統進(jìn)行集成，從而實(shí)現鞏固目錄服務(wù)并簡(jiǎn)化對整個(gè)網(wǎng)絡(luò )操作系統的管理。公司也可以使用活動(dòng)目錄服務(wù)安全地將網(wǎng)絡(luò )系統擴展到Internet上?；顒?dòng)目錄因此使現有網(wǎng)絡(luò )投資升值，同時(shí)，降低為使Windows網(wǎng)絡(luò )操作系統更易于管理、更安全、更易于交互所需的全部費用。
活動(dòng)目錄是微軟各種應用軟件運行的必要和基礎的條件。下圖表示出活動(dòng)目錄成為各種應用軟件的中心。
通過(guò)上圖，可見(jiàn)Windows 2008 Server的核心是一組基于A(yíng)ctive Directory（目錄服務(wù)，簡(jiǎn)稱(chēng)“AD”）的基礎結構服務(wù)。Windows 2008 AD簡(jiǎn)化了管理，加強了安全性，擴展了互操作性。它為用戶(hù)、組、安全服務(wù)及網(wǎng)絡(luò )資源的管理提供了一種集中化的方法。
應用Windows 2008 AD之后，企業(yè)信息化建設者和網(wǎng)絡(luò )管理員可以從中獲得如下好處：
? 系統平臺基礎架構
基于Windows 2008 AD規劃網(wǎng)絡(luò )基礎架構，使企業(yè)獲得一個(gè)穩定、可擴充的網(wǎng)絡(luò )基礎平臺。不單單是滿(mǎn)足當前的網(wǎng)絡(luò )需要，更關(guān)鍵的是預計了今后3-5年內可能的發(fā)展需要，使得將來(lái)的網(wǎng)絡(luò )規劃建設無(wú)需再次重復投資。
? 單一登錄
可以統一用戶(hù)帳戶(hù)設置和用戶(hù)身份驗證，實(shí)現用戶(hù)單一登錄，用戶(hù)訪(fǎng)問(wèn)網(wǎng)絡(luò )中的資源不再需要反復輸入用戶(hù)名稱(chēng)和口令。同時(shí)，它還是企業(yè)應用集成的基礎?；贏(yíng)D的單一登錄功能，便于實(shí)現在不同程序之間的協(xié)作和集成應用。
? 網(wǎng)絡(luò )安全
可以基于A(yíng)D，集中設置和統一管理用戶(hù)、組、資源的操作權限，方便維護管理。
? 集中管理和委派授權
基于Windows 2008活動(dòng)目錄OU實(shí)施委派授權管理，未來(lái)向下屬企業(yè)推廣時(shí)，分級維護，集團各部門(mén)、下屬公司可以對所轄范圍內的部分參數進(jìn)行維護，如增加用戶(hù)、設置權限、增加欄目、自定義流程等。
? 用戶(hù)桌面管理
通過(guò)規劃部署Windows 2008 OU和組策略，可以統一規劃用戶(hù)桌面和用戶(hù)操作環(huán)境，實(shí)現對客戶(hù)計算機的集中控制管理，加強信息管理的安全可靠性。
? 軟件自動(dòng)分發(fā)
通過(guò)規劃部署Windows 2008 OU和組策略，還可以實(shí)現應用程序的自動(dòng)分發(fā)、升級和刪除，不但可以實(shí)現客戶(hù)機軟件的統一安裝管理，而且大大減輕了軟件安裝配置的工作量。
根據一般集團公司的管理結構。本方案采用Windows系統提供的域模式來(lái)組織和管理全部系統資源，采用域的模式，不僅可以集中存儲網(wǎng)絡(luò )對象，并且管理簡(jiǎn)單，即實(shí)現了集中管理，又可以滿(mǎn)足不同公司自身的安全需求。方案中將集團按公司單位劃分不同的模塊，集團總部作為域林的根，每個(gè)子公司為一個(gè)獨立的域或者域樹(shù)，形成一個(gè)完整的樹(shù)狀結構。采用這種結構，可以將網(wǎng)絡(luò )中的全部資源，分散到每個(gè)域的域控制器中存儲，減少了每臺域控制器的信息存儲，從而減少復制流量和網(wǎng)絡(luò )對象的查詢(xún)時(shí)間。具體的實(shí)現如下圖：
在此構架設計中，集團需要自己的獨立的域名，所以在設計林中樹(shù)，子公司作為總部的子域，分公司可以考慮作為一單獨的域樹(shù)，由于所有的資源都位于局域網(wǎng)內，具有高速的網(wǎng)絡(luò )連接，因此所有的域均在一個(gè)站點(diǎn)內。即使域中的一臺域控制器發(fā)生故障，仍然能保障系統的正常運行。并且提高了用戶(hù)身份驗證的速度。
操作主機分配：操作主機域中扮演著(zhù)重要的角色，直接影響到域是否能夠正常工作，在Windows2008的域中，一共有五種操作主機，分別是構架主機，域名主機，RID主機，PDC仿真器，結構主機。其中前面2種在林范圍內起作用，后面3種在域范圍內起作用，為了使用所有的操作主機更好的工作，保障正常的工作并且不產(chǎn)生大的復制流量，方案采用了Windows系統默認的設置，根域中第兩臺DC承擔了五種操作主機的角色，每個(gè)子域中的第一臺DC承擔了域范圍內的三種操作主機角色。
系統管理設計：在系統設計時(shí)包括三個(gè)部分，分別是OU，用戶(hù)及組的設計，為了更好的滿(mǎn)足集團的需要，便于系統管理員方便管理企業(yè)中的所有用戶(hù)，系統管理結構與集團的管理結構相匹配，方案中采用了如下所述的設計。
OU的設計：集團的OU設計目的是為了使用用戶(hù)管理更有效率，結構更加清晰，并能夠使系統的管理結構與集團的商業(yè)模型相匹配。在本方案中按部門(mén)劃分OU的方法，將每個(gè)公司中以部門(mén)為單位創(chuàng )建OU，并在部門(mén)OU中保存該部門(mén)的用戶(hù)帳戶(hù)，計算機帳戶(hù)及組采用這種設計的方法，可以在系統管理中清楚的體現公司的管理結構，一般情況下，一個(gè)部門(mén)內部中的用戶(hù)常常有相似的安全需求，利用這樣的設計方法，也可以方便的將安全策略應用到某個(gè)部門(mén)。
用戶(hù)管理：為了規范用戶(hù)帳戶(hù)的管理，系統中所有的用戶(hù)采用統一的命名規范，每個(gè)用戶(hù)在網(wǎng)絡(luò )中擁有唯一的登陸名。用戶(hù)帳戶(hù)在所屬的部門(mén)的OU中創(chuàng )建。
組的管理：為了滿(mǎn)足集團用戶(hù)管理的需求，更好的在網(wǎng)絡(luò )中管理用戶(hù)權限的分配，使系統的管理得到最大的簡(jiǎn)化，方案中采用AGDLP策略及AGUDLP策略。在每個(gè)域中創(chuàng )建全局組，用與組織本域的帳戶(hù)，在沒(méi)個(gè)域中創(chuàng )建域本地組，用于完成權限的指派。在本域內的權限的分配，可以使用AGDLP策略，在域間的權限分配，使得AGDLP策略，依次將用戶(hù)加入全局組，將全局組加入通用組，在將通用組加入域本地組，最后可以根據需要將權限授予指定的域本地組，采用這樣的方式，不僅可以使用戶(hù)的組織和權限分配簡(jiǎn)單，也可以減少域間的復制流量，從而提高系統的性能。如圖所示：
目前企業(yè)郵箱的建設一般有兩種途徑可以選擇：
1） 企業(yè)內部自建郵件服務(wù)器，然后通過(guò)互聯(lián)網(wǎng)域名進(jìn)行發(fā)布。
選型參考：Microsoft Exchange系統，Microsoft Exchange是微軟出品的電子郵件和協(xié)作系統，它通過(guò)電子郵件來(lái)交換信息，實(shí)現工作組成員間的相互協(xié)作。Microsoft Exchange支持SMTP、POP3、IMAP4等多種協(xié)議，是被眾多國內企業(yè)采用的一種流行的電子郵件系統。能夠與Windows AD域完美的結合，并支持Http訪(fǎng)問(wèn)、簡(jiǎn)單的圖形化管理工具。
部署方案參考：如下圖
聯(lián)系客服
