关于AD域管理及其权限划分概论：
1. AD域源于微软，，适用于windows，为企业集中化管理和信息安全提供强力保障。
2. 提供域中文件夹共享，但同时又对不同用户有不用的权限。
3.通过对设备限制USB接口，网络访问特定网站来实现对企业内部信息的保护和防止流失。
4.个人文件夹可以重定向到服务器文件夹上，实现真正的在同一个域中使用者数据不受固定PC限制既数据跟随用走。
5.用户的权限不需要定制，只需要加入若干个带有不同权限属性的固定组就可以获得相应的权限功能。
我们按照下图来创建第一个林中的第一个域。创建方法为先安装一台Windows服务器，然后将其升级为域控制器。然后创建第二台域控制器，一台成员服务器与一台加入域的Win8计算机。
网络192.168.100.1 子网掩码 255.255.255.0 网关192.168.100.2
域名 contoso.com
DC1 192.168.100.11/24
DC2 192.168.100.12/24
Server 192.168.100.13/24
PC1 192.168.100.14/24
创建域的必备条件DNS域名：先要想好一个符合dns格式的域名，如 contoso.com
DNS服务器：域中需要将自己注册到DNS服务器内，瓤其他计算机通过DNS服务器来找到这台机器，因此需要一台可支持AD的DNS服务器，并且支持动态更新（如果现在没有DNS服务器，则可以在创建域的过程中，选择这台域控上安装DNS服务器）
注：AD需要一个SYSVOL文件夹来存储域共享文件（例如域组策略有关的文件），该文件夹必须位于NTFS磁盘，系统默认创建在系统盘，为了性能建议按照到其他分区。
创建网络中的第一台域控制器 修改机器名和ip先修改ip地址，并且将dns指向自己，并且修改计算机名为DC1，升级成域控后，机器名称会自动变成dc1.contoso.com
选择服务器
选择域服务
添加新林
此林根域名不要与对外服务器的DNS名称相同，如对外服务的DNS URL为，则内部的林根域名就不能是contoso.com，否则未来可能会有兼容问题。
选择林功能级别，域功能级别。、
此处我们选择的为win 2012 ，此时域功能级别只能是win 2012，如果选择其他林功能级别，还可以选择其他域功能级别
默认会直接在此服务器上安装DNS服务器
第一台域控制器必须是全局编录服务器的角色
第一台域控制器不可以是只读域控制器（RODC）这个角色是win 2008时新出来的功能
设置目录还原密码。
目录还原模式是一个安全模式，可以开机进入安全模式时修复AD数据库，但是必须使用此密码
出现此警告无需理会
系统会自动创建一个netbios名称，可以更改。
不支持DNS域名的旧系统，如win98 winnt需要通过netbios名来进行通信
数据库文件夹：用了存储AD数据库
日志文件文件夹：用了存储AD的更改记录，此记录可以用来修复AD数据库
SYSVOL文件夹：用了存储域共享文件（例如组策略）
如果计算机内有多个硬盘，建议将数据库与日志文件夹分别设置到不同的硬盘内，分两个硬盘可以提供运行效率，而且分开存储可以避免两份数据同时出现问题，以提高修复AD的能力。（不过我认为现在都是RAID模式了没必要分开，和操作系统分区分开就可以了）
顺利通过检查，直接安装
安装完成重启
