活动目录和子域名

您可以使用林中的子域来完成此操作，根据需要创build新的域（每个域都需要一对域控制器），但是这应该可行，并且AD森林中的信任模型应该意味着通信可以正常工作，从而创build多个域往往是一个坏主意; 当我们大约16年前搬到公元前时，我们认为我们正在巧妙地将5个Windows NT域坍塌成1个森林中的2个AD域。 事后看来，我真的希望我们只有一个域名。

你可以在一个域中的多个OU中完成所有这些工作，这可能会更好，反正pipe理起来肯定会更容易一些。 您可以将用户和资源分隔为单独的OU，并根据您希望分离的原因，可以执行以下一项或多项操作：

1. 如果您担心多个站点，则可以在一个域中创build多个站点，从而允许设备和/或用户身份validation在同一站点中“偏好”DC，而不必在不需要时跨越WAN链路。
2. 如果需要保持不同公司部门之间的“政治”分离，可以将用户和设备分解为OU。 Y部门并将pipe理权限（或您希望的权利的任何子集）委托给只对“其”OU有权限的部门pipe理员。