Active Directory在實踐中扮演什麼角色，可以舉個例子嗎？ 50

它有兩個目的：1目錄服務功能。

Active Directory 提供了一系列目錄服務功能，可集中組織管理和訪問網路資源。 Active Directory 使網路拓撲和協議對使用者透明，允許網路上的使用者訪問任何資源（如印表機），而不必知道該資源的位置以及它如何連線到網路。

Active Directory 在分割槽中進行管理，這允許它儲存大量物件。 基於此結構，Active Directory 可以隨著業務的增長而擴充套件。 從擁有幾百個物件的單個伺服器的小型企業擴充套件到擁有數千台伺服器、數百萬個物件的大型企業。

2.集中管理。

Active Directory 管理員可以設定規則來測試使用者身份，或者 Active Directory 可以測試此功能標識可以訪問的角色和組。 IT 人員還可以將裝置規範狀態和標識配對，以確保合適的人員使用符合策略的裝置來訪問敏感應用程式。

某些 Active Directory 應用程式僅允許訪問域成員或已加入工作區的裝置，因此 IT 部門可以對儲存進行加密。 在其他情況下，某些應用程式可能僅用於讀取或共享內容，在這種情況下，IT 部門只需要強制實施標識控制。 Active Directory 可用於建立對本地應用程式以及雲服務（如 Office 365 或其他可由 Active Directory 聯合和保護的雲應用程式）的控制。

企業只需安裝 Azure Active Directory Connect，Active Directory 可以替代不穩定的 DirSync 產品。 Azure Active Directory Connect 對於主要使用本地應用以及 Microsoft Azure 應用的企業非常有用。 Active Directory FS 最有益的功能之一是能夠對本地和雲應用程式強制實施多重身份驗證，而無需對 Active Directory 中的應用程式**進行任何修改。

使用用於身份驗證的 Active Directory FS 時，Active Directory 應用程式需要能夠識別請求（支援最流行的協議，包括 OAuth Connect、SAML 或 WS 聯合身份驗證），然後 IT 才能處理 Active Directory 的複雜多重身份驗證。 這樣，您每月只需花費適量的 EMS 許可證消耗和一些工作時間，即可使現有應用程式非常安全。

安全性通過登入身份驗證和目錄物件的訪問控制整合到 Active Directory 中。 通過單次網路登入，管理員可以管理分散在整個網路中的目錄資料和組織單位，授權的網路使用者可以訪問網路上任何位置的資源。 基於策略的管理簡化了對最複雜網路的管理。

Active Directory 通過物件訪問控制列表和使用者憑據保護其儲存的使用者帳戶和組資訊。 由於 Active Directory 不僅可以儲存使用者憑據，還可以儲存訪問控制資訊，因此登入到網路的使用者可以進行身份驗證並獲得訪問系統資源所需的許可權。 例如，當使用者登入到網路時，安全系統首先使用 Active Directory 中儲存的資訊對使用者的身份進行身份驗證。

然後，當使用者嘗試訪問 Web 服務時，系統會檢查服務的免費訪問控制列表 （DCAL） 中定義的屬性。 由於 Active Directory 允許管理員建立組帳戶，因此管理員可以更有效地管理系統安全性。 例如，通過調整檔案的屬性，管理員可以允許組中的所有使用者讀取該檔案。

這樣，系統就會根據使用者的組成員身份來控制使用者對 Active Directory 中物件的訪問。