17.按功能级别启用的功能附录.docxVIP

引用：/zh-cn/library/cc771132(WS.10).aspx 按功能级别启用的功能附录 更新时间: 2009年9月 应用到: Windows Server 2008, Windows Server 2008 R2 以下各部分说明了在不同功能级别（包括 Windows Server 2008 R2 的新域和林功能级别）可用的功能集。 在域功能级别启用的功能 下表显示了在每个域功能级别启用的功能。还显示了每个功能级别支持的域控制器的操作系统。 重要事项 在 Windows Server 2008 R2 中，将域功能级别设置为某个值之后，就不能回滚或降低域功能级别，但有一种情况例外：当您将域功能级别提升到 Windows Server 2008 R2 且林功能级别为 Windows Server?2008 或更低时，可以选择将域功能级别回滚到 Windows Server?2008。只能将域功能级别从 Windows Server 2008 R2 降到 Windows Server?2008。例如，如果将域功能级别设置为 Windows Server 2008 R2，则无法将其回滚到 Windows Server 2003。 ? 域功能级别启用的功能支持的域控制器操作系统Windows?2000 纯模式所有默认的 Active?Directory 功能及以下功能： 为分发组和安全组启用的通用组。 组嵌套。 已启用组转换，可在安全组和分发组之间进行转换。 安全标识符 (SID) 历史记录。Windows Server 2008 R2 Windows Server?2008 Windows Server?2003 Windows?2000Windows Server?2003所有默认的 Active?Directory 功能、所有来自 Windows?2000 纯模式域功能级别的功能，以及以下功能： 准备要用于域控制器重命名的域管理工具 Netdom.exe 的可用性。 更新登录时间戳。将使用用户或计算机的上次登录时间来更新 lastLogonTimestamp 属性。可以在域内复制该属性。 在 inetOrgPerson 和用户对象上将 userPassword 属性设置为有效密码的功能。 重定向用户和计算机容器的功能。默认情况下，已提供了两个已知的容器，用于容纳计算机和用户/组帐户：即 cn=Computers,域根 和 cn=Users,域根。该功能可用于定义这些帐户新的已知位置。 授权管理器能够将其授权策略存储在 Active Directory 域服务 (AD DS) 中。 包含受限制的委派，以便使应用程序可通过 Kerberos 身份验证协议充分利用用户凭据的安全委派。可以将委派配置为仅允许特定的目标服务。 支持选择性的身份验证，通过它可以从受信任林指定允许对信任林中资源服务进行身份验证的用户和组。Windows Server 2008 R2 Windows Server?2008 Windows Server?2003Windows Server?2008所有默认的 Active?Directory 功能、所有来自 Windows?Server?2003 域功能级别的功能，以及下列功能： SYSVOL 的分布式文件系统 (DFS) 复制支持，可提供 SYSVOL 内容的更稳健更详细的复制。 Kerberos 身份验证协议的高级加密服务（AES 128 和 256）支持。 上次交互式登录信息，将显示用户上次成功交互式登录的时间、来自什么工作站，以及自上次登录失败的登录尝试次数。 严格的密码策略 (FGPP)，这可以为域中的用户和全局安全组指定密码和帐户锁定策略。Windows Server 2008 R2 Windows Server?2008Windows Server 2008 R2所有默认的 Active Directory 功能、所有来自 Windows 2000 纯模式、Windows Server 2003 和 Windows Server?2008 功能级别的功能，以及以下功能： 身份验证机制保证，将对域用户进行身份验证所用的登录方法类型（智能卡或用户名/密码）相关信息封装在每个用户的 Kerberos 令牌中。如果在已部署联合身份管理基础结构（如 Active Directory 联合身份验证服务 (AD FS)）的网络环境中启用此功能，则每当用户尝试访问已部署为根据用户登录方法确定是否授权的声明感知应用程序时，都会提取令牌中的信息。 服务的自动 SPN 管理，适用于计算机帐户的名称或 DNS 主机名发生更改时，运行于特定计算机上托管服务帐户上下文下的