的服务器才可以加入域。原装的第一台服务器称为主域控制器(PDC)，里面装有用户账户数

据库的原始拷贝；以后加入的服务器称为备份域控制器(BDC)，每个BDC保存一份不可编辑

 

 

的用户账户数据库拷贝。当某用户登录到网络上时，PDC或某一个BDC将鉴定用户身份，然

 

 

后才允许它访问该域中网络资源。1

 

用户登录到域中时，PDC或BDC都可以鉴定其身份。实际鉴定用户身份的控制器往往是

对登录请求做出响应的第一台服务器，不一定是PDC。

 

值得注意的是服务器一旦加入一个域中，它将成为域的终身成员。那么服务器要想加入

另一个域的惟一办法就是彻底重新安装，此外没有其它办法改变域成员资格。同样也不可能

 

 

把一台单独的服务器升级为PDC或BDC。在计划 Windows NT Server网络安装的时候，这是

需要记住的重要的一点。

 

当用户账户加到域中时，用户账户数据库的变动只能在PDC中进行。然后PDC上的用

户账户数据的拷贝以一个称为同步的复制过程分发到BDC。这样就能保证一且PDC出问题，

用户账户数据库仍安全无恙。如果PDC确实崩溃，其中一个BDC就被提升到PDC的位置，

而BDC-且已经提升到PDC，用户账户数据库就可以再次被修改(增加或删除用户等)；如果

该域中的PDC无法使用，尽管仍然可以登录，但却不能修改SAM

 

当网络里面出现了一个以上的域，其中某个域里的用户需要访问另一个域上资源的时候

就使用委托关系。网络经常变得很大，资源分布在几个域中。当用户需要访问域中的资源时

其访问权可以两种方法授予。具体做法如下:引

 

?用户可以在拥有某项资源的域中拥有用户账户，这种情况下，资源访问权就在同一个域

 

 

中授予该用户账户；、的

 

 

 

大?用户在受托域中拥有用户账户，这种情况下，资源访问权就可从受托域中授于，拥有资

源的域称为委托域

 

第一种授予访问权的方法很简单，用户被授予访问账户所在同一域中的资源访问权

如一个名为John的用户需要访问公司的 Laserjet打印机，该打印机的打印队列是一个服务器

上的共享资源，该服务器是名叫 FIELD域上的一个备份域控制器(BDC)，因此该打印机作为

FIELD域中的资源是可以访问的。John的用户账户也在 FIELD域中，而 FIELD域的管理员

仅仅需要授予John用户该打印机访向权就行了。从此以后John在 FIELD域上登录后，就被

 

 

自动授予该打印机的访问权。则

 

假定该公司新建立一个名叫 RESOURCE的新域，要把所有的资源(如打印机)都转入那

个新域，由另一位管理员管理。如果 Lase Jet打印机转到BDC将会发生什么情况?BDC是域

 

 

名叫 RESOURCE的一名成员，打印机在 FIELD域中再也无法获得，因此John再也无权访问

打印机资源。从现在开始起，John可以通过建立域委托关系来访问打印队列，委托关系使得

ohn( FIELD域的一员)能够访问位于 RESOURCE域中的 Laserjet打印队列。

 

 

建立委托关系的步骤如下:

 

x1) FIELD域和 RESOURCE域之间建立 Windows NT单向域委托关系。 FIELD域被指

定为受托域，John的账户只存在于 FIELD域中； RESOURCE域叫做委托域。

 

某(2) RESOURCE域(委托域)的管理员把 Laserjet打印队列访问权授予受托域账户，作为