自治域：全球的互联网被分成很多个AS自治域，自治域就是一个网络管理员能管理的范围，里面有很多节点作为成员，ISP是那个管理员。 计算机能否加入的这个自治域是需要控制的，这对网络安全非常重要。至少有一台服务器负责每一台联入网络的电脑和用户的验证工作，称为“域控制器（Domain Controller，简写为DC）”，一般一个自治域至少有一个备用域控制器。 **

域控制器就是安装了活动目录服务的一台计算机，其中包含了由这个域的账户、密码、属于这个域的计算机等信息构成的数据库。 当电脑联入网络时，域控制器首先要鉴别这台电脑是否是属于这个域的，用户使用的登录账号是否存在、密码是否正确。如果以上信息有一样不正确，那么域控制器就会拒绝这个用户从这台电脑登录。不能登录，用户就不能访问服务器上有权限保护的资源，他只能以对等网用户的方式访问Windows共享出来的资源，这样就在一定程度上保护了网络上的资源。 域管理员可以在域控制器上实现对域用户账号和计算机账号以及其他资源的管理。

活动目录是一种目录服务，目录服务包括三方面的功能：

活动目录的服务通过将对网络中的各种资源的信息，保存到一个数据库中，来为网络中的用户和管理员提供对这些资源的访问、管理和控制，这个数据库叫活动目录数据库。通过活动目录服务，管理员可以实现整个网络的集中管理。

活动目录可以通过分层结构来实施： 树指根域和子域以及子域的子域所组成的这样一种逻辑结构。 森林是由多棵树组成的。 在一个树的内部，父域和子域之间是相互信任的，我们把这种信任关系称为父子信任，在一个森林内部，树和树之间也是相互信任的，这种信任关系称为树根信任。 森林中的信任关系是双向可传递的，双向指的是信任是相互的，而可传递指的是域和域之间可以通过这种信任关系来建立起一种间接的信任。

参考：https://blog.51cto.com/freemanluo/278782