Амазония является самым большим в мире дождевым лесом. В ней существует множество разнообразных видов животных и там проживает более 400 племён. Каждый из этих видов животных отличается друг от друга. Рептилии, млекопитающие, змеи и рыбы, все они обладают отличительными характеристиками и можем группировать все их в соответствии с их свойствами. Живущие в этих лесах племена также имеют свои собственные языки, культуры и границы. Но все эти животные и племена совместно проживают в одном лесу. Они используют пищу, воду и прочие ресурсы дождевых лесов Амазонии для выживания. Сам дождевой лес Амазонии имеет хорошо очерченные границы. Прочие леса в 100 милях от самой Амазонии не именуются Амазонскими дождевыми лесами. Его название и границы уникальны.
Имеющийся в Active Directory лес также может быть описан аналогичным образом. Он представляет некий полный экземпляр Active Directory. Он создаётся из одного или более доменов и деревьев доменов. Всякий домен имеет свои собственные характеристики, границы и ресурсы. Однако в то же самое время все они совместно используют общую логическую структуру, схему и конфигурацию каталога внутри своего леса. Аналогично, племена имеют взаимосвязи с самим лесом и прочими племенами, а домены в определённом лесу Active Directory будут иметь двусторонние доверительные отношения. Различные племена в Амазонии не именуются в честь Амазонии; каждое племя имеет своё собственное название. Аналогично, домены в неком лесу могут содержать любое имя домена:
Active Directory - Леса
Важным является самый первый контроллер в развёртывании конкретной службы Active Directory. Когда вы создаёте самый первый домен, он также создаст свой лес. Затем этот первый домен станет корневым доменом своего леса. Некое дерево домена содержит свой собственный корневой домен, однако лес может содержать множество корневых доменов.
В нашей предыдущей диаграмме, Rebeladmin Corp. является поставщиком ИТ решений. rebeladmin.com выступает корневым доменом леса. Он имеет ещё две компании: одной является Rebeladmin IT со своим именем домена rebeladminit.com и она предоставляет управляемые ИТ службы. Другой компанией выступает My training с именем домена mytraining.ca, причём она предоставляет ИТ обучение для профессионалов. rebeladminit.com и mytraining.ca оба являются корневыми доменами в своих собственных деревьях доменов. Оба домена в этом лесу будут доверять друг другу при помощи двустороннего транзитивного доверия (two-way transitive trust).
Замечание Двустороннее транзитивное доверие является логической связь между доменами в которой доверяющий домен выполняет аутентификацию регистрации в системе доверенного домена. Рассматривая наш предыдущий пример, пользователи в rebeladminit.com могут выполнять аутентификацию в mytraining.ca и наоборот. Все размещаемые в определённом домене объекты наследуют доверительные отношения прочих объектов в прочих доменах того же самого леса. Это не то же самое как в случае рассмотрения аутентификации между лесами. Для такого случая могут потребоваться (в зависимости от применяемого метода доверительных отношений) дополнительные учётные данные для регистрации. Некая организация может иметь один или более лесов в зависимости от бизнес- требований самой компании.
После того как Microsoft выпускает новую версию службы Active Directory, новые свойства ограничены уровнем функциональности конкретных леса и домена. Если вы желаете применять свойства уровня леса Службы доменов Active Directory 2016, ваш лес каталога Active Directory обязан использовать функциональный уровень леса Windows Server 2016. Вплоть до Windows Server 2012 R2 обновления функционального уровня леса были односторонними. Теперь имеется возможность выполнять обратный откат в случае необходимости. Сам уровень функциональности леса зависит от самой старой версии контроллера домена в имеющейся сетевой среде.
Например, если в имеющемся лесу уровнем функциональности является Windows Server 2008, это позволяет нам устанавливать внутри такого леса определённый контроллер домена с операционной системой Windows Server 2016. Однако это не означает что он может применять свойства, предоставляемые Службой каталога Windows Server 2016 пока не будут обновлены уровни функциональности его домена и леса. Если вы обновите уровень функциональности его леса до Windows Server 2016, тогда вы сможете получить контроллеры домена исполняющими минимально только Windows Server 2016.