Active Directory 設計

Active Directory 設計

Active Directory 可供應用程式在分散式計算環境中尋找、使用和管理目錄資源。在建立 Active Directory 架構時，您必須小心考量環境的安全性界限。詳細規劃組織的安全性委派和實作時間表可使組織的Active Directory 設計獲得更高的安全保障。

建立 Windows Server 2003 目錄界限

這些界限在安裝 Active Directory 時自動建立，但是您必須確定權限界限符合組織需求和原則。

安全性界限-定義組織內各種群組的自治或區隔。

樹系對網域安全性界限-建立個別的樹系來使您的環境遠離居心不良的管理員。

管理界限-由於區隔服務和資料的潛在需要，定義必要的各種管理層級。

服務管理員-負責設定和提供目錄服務。

1.主要負責目錄服務的網域管理群組。

2.負責網域名稱系統 (DNS) 管理的管理員群組。

3.負責 OU 管理的管理員群組。

4.負責基礎結構伺服器管理的管理員群組。

資料管理員-負責管理儲存在 Active Directory 中或加入 Active Directory 的電腦上的資料。

促進群組原則管理和委派的 OU 結構

了解如何透過群組原則保障您組織的網域、網域控制站，並確保特定的伺服器角色安全。

OU->提供一個簡單的方法來對為使用者、電腦和其他安全性主體進行分組，也是區隔系統管理界限的有效方法。

     ->依據伺服器角色，提供不同的群組原則物件 (GPO)

委派管理和套用群組原則

在每一個容器上個別設定存取權控制清單 (ACL)，將 OU 控制委派給群組或個人。

管理群組

將使用者、安全性群組或伺服器群體以容器區隔，來達到自治管理的目的。

基礎結構伺服器就是一個應用範圍。包含執行基本網路服務 (如執行 WINS 和 DHCP 服務) 的伺服器等所有非網域控制站。

所有 DNS 伺服器都是在位於網域控制站 OU 中的網域控制站上執行。這裡的 DNS 伺服器就不算是基礎結構伺服器。

下列圖表提供這種 OU 的高層次檢視。

圖 1 
管理的 OU 委派

只要將伺服器移到一個 OU (也就是基礎結構 OU)，然後將 OU 控制委派給相關的管理群組即可。

群組原則應用

請使用群組原則和委派管理來套用特定設定、權利和行為到 OU 內的所有伺服器。

圖 2 
GPO 應用程式層級

安全性範本

安全性範本是以文字為主的檔案。範本檔案的有些段落含有以由 Security Descriptor Definition Language (SDDL) 撰寫的特定 ACL。

範本管理

通過驗證的使用者有權讀取「群組原則」物件中所含的所有設定。將用於實際執行環境的安全性範本儲存在負責實作群組原則的管理員可以存取的安全位置。處理未經授權的篡改。

管理群組原則和匯入安全性範本

成功的 GPO 應用事件

時間設定

基礎伺服器角色組織單位-目標是建立涵蓋所有伺服器的完整群組原則，同時確保位於 Active Directory 內的伺服器符合您的環境的安全性標準。

成員伺服器基礎原則

伺服器角色類型和組織單位

圖 3 
設定增量群組原則

表 1：Windows Server 2003 角色

伺服器角色	說明	安全性範本
Windows Server 2003 網域控制站	含有 Active Directory 網域控制站的群組。	Enterprise Client – Domain Controller.inf
Windows Server 2003 成員伺服器	屬於網域的成員並位於成員伺服器 OU 之中或以下的所有伺服器。	Enterprise Client – Member Server Baseline.inf
Windows Server 2003 檔案伺服器	含有已鎖定檔案伺服器的群組。	Enterprise Client – File Server.inf
Windows Server 2003 列印伺服器	含有已鎖定列印伺服器的群組。	Enterprise Client – Print Server.inf
Windows Server 2003 基礎結構伺服器	含有已鎖定 DNS、WINS 和 DHCP 伺服器的群組。	Enterprise Client – Infrastructure Server.inf
Windows Server 2003 IAS 伺服器	含有已鎖定 IAS 伺服器的群組。	Enterprise Client – IAS Server.inf
Windows Server 2003 憑證服務伺服器	含有已鎖定憑證授權 (CA) 伺服器的群組。	Enterprise Client – CA Server.inf
Windows Server 2003 Bastion 主機	含有網際網路專用伺服器的群組。	High Security – Bastion Host.inf
Windows Server 2003 IIS 伺服器	含有已鎖定 IIS 伺服器的群組。	Enterprise Client – IIS Server.inf

圖 4 
OU 設計範例

表 2：OU 及管理群組

OU 名稱	管理群組
網域控制站	網域工程
成員伺服器器	網域工程
基礎結構	作業
檔案	作業
列印	作業
IAS	網域工程
CA	企業管理
Web	Web 服務

http://technet.microsoft.com/zh-tw/library/dd548190.aspx

Windows Server 2008基礎架構與管理的改善

文／圖 羅濟棠．責任編輯／陳啟川 

本系列文章一共有六篇，第一至四篇將會為大家介紹Windows Server 2008新的改變，第五篇則會為大家介紹從Windows 2000 Server昇級到Windows Server 2008的程序以及注意事項，最後一篇則會為大家介紹Windows Server 2008的自動化及遠端管理功能。在這一篇中將為大家介紹Windows Server 2008中的新改變：伺服器管理員以及Active Directory。 

---

自從微軟在西元2000年發佈Windows 2000 Server至今已有九個年頭。根據微軟對產品生命週期的承諾，Windows 2000 Server即將在明年停止支援，並且停止大多數的更新(除了會造成立即性危害的重大安全性更新之外，讀者可造訪http://support.microsoft.com/lifecycle/?p1=7274 )。而隨著微軟在去年發佈最新一版的Windows Server 2008，許多目前還在使用Windows 2000 Server的公司，也開始在討論昇級到Windows Server 2008的相關議題。

在這個系列的文章中，我們將為大家介紹微軟在Windows Server 2008中所做的改變，以及這些改變將如何的改善你目前現有的Windows 2000 Server環境。此外，我們也會針對從Windows 2000 Server昇級到Windows Server 2008的環境時，有哪些是必需注意的事項。正所謂知已知彼，掌握這些新的改變功能將會對日後的昇級提供更順利的途徑。


全新的伺服器管理員 
當部署完裝完Windows Server 2008第一次登入時，便會馬上出現一個全新的管理工具：伺服器管理員。伺服器管理員使用了全新整合式的Microsoft Management Console(MMC)，提供了針對單一台伺服器最佳的管理工具架構。它取代了在Windows 2000及2003時代中的「新增或移除 Windows 元件」功能。也取代了在Windows Server 2003中的「管理你的伺服器」以及「設定你的伺服器」兩個功能，另外它也取代了「電腦管理」的MMC工具。


全新的伺服器管理員。 

從圖1中你可以看到伺服器管理員的整合式管理晝面，伺服器管理員可提供單一介面讓系統管理員看到簡要的伺服器概述、變更伺服器的系統屬性，以及安裝或移除角色或功能。利用伺服器管理員，系統管理員可以輕易地：

．檢視及變更伺服器中所安裝的伺服器角色和功能。
．執行伺服器運作生命週期的相關管理工作，例如啟動或停止服務，以及管理本機使用者帳戶（當Windows Server 2008未安裝Active Directory網域服務時）。
．執行伺服器中之安裝角色的運作生命週期的管理工作。
．瞭解伺服器的狀態、辨別重大事件，以及進行設定問題或故障的分析和疑難排解。
．利用 Windows 命令列安裝或移除角色、角色服務和功能。

由於Windows Server 2008將原先的「新增或移除 Windows 元件」功能中所管理的Windows元件一分為二變成了「角色」與「功能」。伺服器管理員中的精靈是透過縮短安裝、設定或移除角色、角色服務和功能的時間，來簡化在企業內部署伺服器的工作，因此你僅需利用伺服器管理員的安裝精靈，即能夠在單一工作階段中安裝或移除多重角色、角色服務或功能。伺服器管理員的精靈會在執行過程中執行依存性檢查，以確定選用角色所需的角色和角色服務皆已安裝，且不會移除其餘角色或角色服務可能還會使用到的角色和角色服務。


伺服器角色 
伺服器角色說明伺服器的主要功能。系統管理員可以選擇將整部電腦專用於一個伺服器角色，或者在單一電腦上安裝多個伺服器角色。每個角色均可包含一或多個角色服務，稱為角色的子元件。Windows Server 2008 中提供下列伺服器角色，可使用伺服器管理員來安裝及管理。


Windows Server 2008所提供的伺服器角色。 

如果你是安裝Windows Server 2008標準版、企業版或是Data Center的64位元版本，還會多增加一個Hyper-V的伺服器角色（註1）。

一般而言，功能不會說明伺服器的主要功能。功能會為伺服器提供輔助或支援功能。一般而言，系統管理員新增功能的目的不是做為伺服器的主要功能，而是為了加強已安裝之角色的功能。Windows Server 2008中提供下列功能，並可於伺服器管理員中中使用命令來安裝。
Windows Server 2008所提供的功能。 

在絕大多數的情況下，你只需要透過單一的伺服器管理員儀表版就可以管理所有安裝在此伺服器上的所有角色及功能，而毋需另外再開啟相對應的MMC管理工具。例如在圖1中已經新增加了『Active Directory網域服務』及『DNS伺服器』的伺服器角色，直接就可以透過伺服器理員對Active Directory的使用者及電腦進行管理。除了新增和移除『角色』及『功能』之外，伺服器管理員還提供單一窗口來執行診斷工具（例如事件檢視器和 PerfMon）和系統設定公用程式（例如裝置管理員和 Windows防火牆嵌入式管理單元）。

伺服器管理員就像一份報紙的頭版頭一樣，它提供單一位置，讓系統管理員可以查看伺服器的簡要概觀、變更伺服器的系統內容，以及安裝或移除角色或功能。


大變革後的Active Directory網域服務 
微軟在西元2000年所發表的Windows 2000 Server是第一個內含Active Directory的Windows伺服器版本。在第一版中的Active Directory不過是在使用者登入時驗證他的身分、套用群組原則到使用者及其電腦，以及幫助他找出他正在尋找的印表機的一項技術。之後的Windows Server 2003重大版本則大幅度的做了改進，以提升此核心網路服務的安全性和管理性。又過了幾年後微軟推出了Active Directory的獨立變體：Active Directory Application Mode應用程式模式(ADAM)。隨著時間不斷的演進，如今Active Directory已經算是相當穩固且成熟的技術。現在，Active Directory不再是特定的技術，它現在是一項產品，可識別許多Windows內建識別和存取控制服務。


新制與舊制比較說明 
在Windows Server 2008中的Active Directory使用的名稱上做了一些更改並且使用了相對應的縮寫。下列將簡單的介紹了新舊Active Directory服務在名稱對照上的差異。


 Active Directory與Active Directory網域服務(AD DS) 
Active Directory Domain Services (AD?DS) 儲存使用者、電腦與網路上其他裝置的相關資訊。AD?DS協助系統管理員以安全的方式管理這項資訊，並有助於使用者之間的資源共用與協同作業。若要安裝支援目錄功能的應用程式（例如，Microsoft Exchange Server）以及應用其他Windows Server技術 （例如，群組原則），就必需安裝使用ADDS。

#小標=Active Directory應用程式模式(ADAM)與Active Directory輕量型目錄服務(AD LDS) 組織中若有需要使用目錄才能儲存應用程式資料的應用程式，則可以使用Active Directory輕量型目錄服務(AD LDS)做為資料存放區。AD LDS可以用非作業系統服務的形式執行，因此，它不需部署在網域控制站上。由於可以用非作業系統服務的形式執行，你可以在單一伺服器上同時執行多個 AD LDS執行個體，且每個執行個體均可個別設定供多個應用程式使用。


 憑證服務與Active Directory憑證服務(AD CS) 
Active Directory憑證服務(AD CS)提供建立及管理公開金鑰憑證的自訂服務，這些憑證可用於採用公開金鑰技術的軟體安全性系統。組織可利用Active Directory憑證服務，將個人、裝置或服務的識別身分繫結至對應的私密金鑰，以強化安全性。Active Directory憑證服務也包含其他功能，讓你管理各種彈性環境中的憑證註冊與撤銷。

Active Directory憑證服務所支援的應用程式包括安全／多用途網際網路郵件延伸(S/MIME)、安全無線網路、虛擬私人網路(VPN)、網際網路通訊協定安全性(IPsec)、加密檔案系統(EFS)、智慧卡登入、安全通訊端層/傳輸層安全性(SSL/TLS)與數位簽章等。


 版權管理伺服器與Active Directory Rights Management Services (AD RMS) 
AD RMS 是一種資訊保護技術，可與支援AD RMS的應用程式搭配使用，以防止數位資訊遭到未經授權使用。內容擁有者可定義接收者可使用資訊的確切方式，例如哪些人可開啟、修改、列印、轉寄資訊，或是對資訊執行其他動作。組織可建立「機密 - 唯讀」之類的自訂使用方式權限範本，以直接套用到財務報表、產品規格、客戶資料與電子郵件訊息等資訊上。


 Active Directory Federation Services與Active Directory Federation Services(ADFS) 
Active Directory Federation Services (AD FS)提供網頁單一登入(SSO)技術，以使用單一使用者帳戶對多個網頁應用程式驗證使用者。AD FS可在夥伴組織間透過數位宣告的形式安全地建立使用者識別身分與存取權限的聯盟或共用，以完成上述作業。

這些新舊的比較有些是從Windows 2000 Server時代便有的名詞，有些則是在Windows Server 2003時代才開始出現。然後不論其出現的順序，在Window Server 2008都做了名稱對應的縮寫。這些縮寫名稱將會大量的被使用到官方或非官方的正式文件之中，因此記住這些縮些在閱讀相關的文件時會更加容易理解。


可重新啟動的Active Directory服務 
眼尖的你或許已經發現Windows Server 2008中的Active Directory已經以作業系統的服務(Service)方式來提供，不再像舊版的Active Directory是與整個作業系統綁在一起。這意謂著以服務方式提供存取的Active Directory變得更加有彈性。

例如當你要為Active Directory進行手動維護的時候，不用再像舊版的Active Directory必需要將整台DC重新開機並進行目錄還原模式中進行操作，現在只需要執行NET STOP NTDS(圖4) Active Directory Domain Services即可對DIT資料庫執行離線的重組，之後若想要重新啟動ADDS只需要執行NET START NTDS(圖5)即可。


停用ADDS也會一併停用相關的相依服務。 



重新啟用ADDS也會一併將圖五中的相關依存服務啟用。 


DCPROMO的變更 
由於Windows 2000 Server與Windows Server 2008作業系統有著本質上的差異，因此在昇級的時候並不支援你從Windows 2000的網域控制台直接做本機的昇級動作(註2)。因此，你在Windows Server 2008 ADDS中第一個發現的變更就是DCPROMO，它完全不同於Windows 2000，因為重新徹底改寫過以更利於使用。

還記得筆者第一次接觸Windows 2000 DCPROMO時，就被那DNS伺服器的設定搞得團團轉。由於當時筆者是初次接觸到Active Directory，所以壓根就不知道Windows Active Directory必需非常的依賴DNS伺服器的樹狀架構，因此在安裝Windows 2000網域的第一台網域控制站之前必需先手動設定好Windows DNS 網域名稱的正向及反向DNS對應區域。偏偏那時候對DNS伺服器的運作一知半解，結果DCPRMO起來的Windows 2000 DC都會有複寫上的錯誤。所以在Windows 2000時代你必需先搞懂DNS Server的設定及運作原理，才有辦法將Windows 2000 DC順利的Promote起來。

新的DCPROMO提供了檢測本機TCP/IP元件中所指向的DNS伺服器是否存在或者符合DCPROMO的需求。當無法符合需求時，可以讓你選擇使用精靈自動安裝設定的方式(圖6)將DNS伺服器部署完成而毋需再手動事先加以設定。


透過ADDS安裝精靈自動安裝設定DNS。 

新的DCPROMO還會將所有設定選項全都收集到單一頁面上，提供一個位置讓你選擇新的DC是要作為通用類別目錄(GC)、DNS伺服器，還是唯讀DC。你不必在Active Directory [站台及服務] 嵌入式管理單元中，進入難找的地方將DC標示為GC。如果在你是屬於需要大量部署網域控制站的環境，那麼新的DCPROMO還提供將升級程序開始前將所有DCPROMO設定全都儲存到一個回應檔中的功能，之後便可以使用該回應檔在其他伺服器上執行自動DCPROMO作業(圖7)。


使用新的DCPROMO匯出的回應檔。 


唯讀網域控制站 
在早期規劃Active Directory架構時，大家都會在有使用者登入需求的站台放置一台DC或GC。這樣做的目地無法是當分點的WAN斷線時，當地的使用者還可以藉由當地的DC/GC登入網域存取當地的資源。然而這樣的設計規劃若是沒有相對的配套措施(例如：分點沒有人力及適當的保全地點可以管理保全DC機器)，將對Active Directory造成很大的安全風險。

唯讀網域控制站Read Only Domain Controller(RoDC)以及唯讀通用目錄伺服器Read Only Global Catalog Server(RoGC)。要實作它們很簡單，你的網域必須是位於Windows Server 2003樹系功能等級，而且網域裡面必須至少有一個Windows Server 2008 DC。然後執行adprep /rodcprep Active Directory準備之後便可以安裝一台唯讀的網域控制站或唯讀的通用目錄伺服器(註3)。

為此，Active Directory設計小組以『在分點發生的，就留在分點』的觀點，設計了全新的 RODC預設並不會將密碼雜湊儲存在RODC的目錄資訊樹(Directory Information Tree，DIT)中。因此若要向網域驗證使用者，當使用者先向特定RODC進行驗證時，RODC會將要求傳送給網域內的完整網域控制站(FDC)。FDC會處理該要求，若成功，RODC便會發出密碼雜湊的複寫要求。密碼複寫原則是由RODC的電腦物件上的兩個屬性構成。

msDS-RevealOnDemandGroup屬性包含其密碼可快取在RODC上的群組、使用者或電腦帳戶的分辨名稱（這些一般是跟RODC位於相同站台的使用者和電腦)。而msDS-NeverRevealGroup則包含其密碼不可快取在RODC的群組、使用者或電腦帳戶的分辨名稱（例如網域系統管理員帳戶絕對不應該將它的密碼雜湊快取在RODC上）。當RODC要求特定帳戶的密碼雜湊時，FDC會比照密碼複寫原則來評估要求，以判斷是否應該將密碼雜湊複寫到RODC。

當DC遭竊時，這可將受影響的範圍侷限在那些在遭竊的RODC從網路移除當時快取的密碼，並且也消除了重要密碼遭到入侵的可能性。在網域中完整的DC並不會信任RODC為網域控制站。從信任的觀點來看，FDC會將RODC當作網域中的成員伺服器來對待。RODC並不是企業網域控制站或網域控制站群組的成員。RODC帳戶更新目錄內容的能力非常有限，因此即使攻擊者真的入侵RODC 帳戶，所獲得的權限也幾乎無用武之地。

RODC甚至不會顯示在標準DS複寫拓樸中。因為RODC看起來像一般的成員伺服器，而不像網域控制站，所以知識一致性檢查程式（KCC，這是每個DC上負責計算DS應用程式拓樸的處理程序）不會從RODC建立連線物件。完整DC或RODC全都不會嘗試從RODC複寫。但是，RODC會建立一個連線物件來代表完整DC的輸入複寫授權合約，不過這個連線物件只存在於RODC的複本中，其他DC完全沒有該連線物件的複本。

從複寫的觀點來看，RODC就像是目錄物件的蟑螂屋。物件只能往內複寫，不能往外複寫。在Windows Server 2008的系統管理員可以定義「唯讀 DC 已篩選屬性集」(Read-Only DC Filtered Attribute Set，RO-FAS)。你可以在架構中將相對應attributeSchema物件的searchFlags屬性設為位元9 (0x0200)，將屬性指定到RO-FAS。當屬性被定義成RO-FAS時該屬性永遠都不會複寫到RODC。如此可以更大幅度的降低RODC被竊或入侵時的風險。


更具彈性的密碼原則 
如你所知道的一樣，在Windows 2000或Windows Server 2003的Active Directory網域中只能設定一組有效的密碼原則。而且這個密碼原則會套用到相同網域中的所有安全性物件之中，如果有部份的使用者或群組成員需要套用不同的密碼原則，就必需要建立另一個網域來存放這些具有特殊需求的使用者帳號。但在新版的Window Server 2008的Active Directory則應大家熱烈的需求允許可以為指定的帳戶或是以群組為單位的方式來套用不同的密碼原則。

在Windows Server 2008網域服務中使用『密碼設定容器(Password Settings Container,PSC)』以及『密碼設定物件(Password Settings objects,PSO)』兩個物件來儲存新的密碼原則。密碼設定容器 (PSC) 物件類別預設會建立在網域的『SYSTEM』容器下(圖8)。此容器儲存網域的密碼設定物件 (PSO)。你無法重新命名、移動或刪除這個容器。


PSC密碼設定容器。 

要設定新的密碼原則你必需在PSC上建立新的密碼設定物作PSO。底下表1則列出PSO可使用定義的屬性值。



表1=PSO可使用定義的屬性值。 屬性名稱 用途說明 msDS-PasswordHistoryLength 強制密碼歷程記錄 msDS-MaximumPasswordAge 密碼最長使用期限 msDS-MinimumPasswordAge 密碼最短使用期限 msDS-MinimumPasswordLength 最小密碼長度 msDS-Password-ComplexityEnabled 密碼必須符合複雜性需求 msDS-PasswordReversibleEncryptionEnabled 使用可還原的加密來存放密碼 msDS-LockoutDuration 帳戶鎖定期間 msDS-LockoutThreshold 帳戶鎖定閾值 msDS-LockoutObservationWindow 重設帳戶鎖定計數器的時間 msDS-PSOAppliesTo PSO 連結。此為多重值的屬性，它會連結到使用者和群組物件。 msDS-PasswordSettingsPrecedence 優先順序。這是整數值，用於解決當多重 PSO 套用至使用者或群組物件時的衝突。

Windows Server 2008 ADDS雖然提供了更加彈性的密碼原則，但是目前僅能透過ADSI的編輯工具來設定上述的相關屬性值。因此你必需相當小心的管理這些原則，盡量單純不要複雜化你的密碼原則將會有助於控制網域的安全性風險。


瞭解新增功能以利昇級規劃 
在新版Windows Server 2008的網域服務中除了上述新功能改變之外，你還可以找到其它一些不錯的功能。例如：將Active Directory使用者及電腦的檢視改為進行之後，便可以將任一DS物件勾選『保護物件不被意外刪除』的功能以防止被管理者誤刪。此外，也可以在進階檢視中的『屬性編輯器』頁面中直接修改該DS物件的屬性值，就如同使用ADSI編輯工具修改一樣。

當你從Windows 2000 Server要昇級至Windows Server 2008前，瞭解新版的功能新增及改變，可以讓你在事先規劃時便將這些改變納入考量。而在昇級後也能夠讓管理更快速的上手。在下一篇中我們將為大家介紹Windows Server 2008在綠化IT中所提供的新功能。在節能減碳的風潮下當你在規劃昇級時如何充份利用Windows Server 2008的新功能來達成目標。

【原文刊載於RUN!PC雜誌：2009年2月號】

　

網路行銷的第一步 - 認識SEO

SEO就是所謂的 Search engine optimization ，也就是搜尋引擎最佳化，經過SEO的網頁可以在搜尋引擎中自然獲得極佳的名次，被點選的機率必然大增，您的業務量及訪客也將大幅的增加。 相信您一定上過搜尋引擎，也就是Yahoo以及Google搜尋引擎，當您在搜尋引擎打上您要搜尋的關鍵字時，搜尋引擎就會在第一頁當中列出大約十個的搜尋結果，以及在上方及右邊剩餘空間內打上付費的網路行銷廣告。 所有的網站空間（虛擬主機商）都會像您推銷Yahoo或是Google搜尋引擎的關鍵字廣告，他們告訴您要讓您的商品接觸到客戶就一定要用他門的關鍵字廣告服務，他們向您推銷所謂的Google Adsense或是Yahoo關鍵字廣告，他們絕口不提什麼SEO，為什麼？ 因為如果你SEO成功了，排名於您想要的關鍵字第一名，您將永遠不用付一毛錢廣告網路行銷費並且享受巨大的利益！ 所有的網站設計公司（網頁設計商）都會像您推銷SEO服務並且收費昂貴，他們告訴您SEO有多好多厲害但是就是不肯告訴您SEO的秘密到底是什麼。為什麼？ 因為他們知道SEO是一種不可告人的秘密，SEO是網路時代致勝的超級武器，掌握了SEO就等於掌握了巨大的利益！ SEO奧妙的地方就是，人人都有一套理論但個個沒有辦法證明誰的理論正確，為什麼？因為你只是你，你只是一個人，你沒有辦法進Google以及Yahoo當上搜尋引擎研發工程師，所以你當然沒有辦法證明誰的理論正確。那既然沒有辦法證明理論？那本文章還有需要討論下去嗎，又討論的結果又能證明什麼呢？ 答案是可以！因為當您愈來愈理解SEO的原理之後，您就會了解到，他們還能玩什麼！逃不SEO達人的手掌心！

SEO - 從零開始，化身為Google工程師

SEO 搜尋引擎SEO的原點 - 知己知彼　百戰百勝 問問你自己：你到哪裡搜尋？Yahoo還是Google搜尋引擎? 再問問你自己：他們怎麼決定搜尋的排名順序？您可能要說了，我又不在那上班，怎麼會知道？說的好，那我再問你：那如果您在Google上班，你是不是就會知道了呢？您可能又要說了，應該有很多種因素吧，誰會知道？ 說到這裡，其實我已經告訴您答案了。搜尋引擎要搜尋的東西就是網頁（或是網站），搜尋網站就像是選美比賽，評審訂出了比賽的規則，美貌佔幾成，知識佔幾成，靈機應變佔幾成，再把每一位佳麗的分數乘上每個變項的比重數，得到一個總分後，再排出名次來。因此我們可以說：網站就是佳麗，我們把網站所有的變項挑出來，每一個變項都做到最好（最佳化），那不管搜尋引擎每一個變項的比重有所不同，結果必定八九不離十。 列出一個網頁的所有變項，再盡可能的最佳化每一個項目，就能達到搜尋引擎最佳化的目的。 在列出所有SEO所要注意的變項之前，我們先告訴您一個觀念。 搜尋引擎(gugo)變項最佳化就是一場諜對諜的戰爭，他有著以下的大原則： 1. 大家都知道，平凡人愈能想到的變項，他佔權重較低，平凡人愈想不到的，權重愈高。 2. 操之在己的權重低，操之在人的權重高。 這麼簡單的原則，看過了就知道不稀奇，但你自己是否想得到呢？這就是為什麼網路上眾多的SEO高手們都不願意透露這個不能說的秘密了，因為唯有真正動動腦的人，才能獲得最後的成功。

SEO - 所有變項探討

拆穿搜尋引擎優化 - 所有變項一一曝光 本章節進入SEO的真正核心，也就是重點來了，我們要列出目前所有想得到的SEO變項，但我們不會將這些變項列出高低的排名，為什麼？ 因為列了也沒辦法證明哪一項對SEO比較重要，但保證只要您一一的加以最佳化，必定能夠大幅提升您網站針對某個關鍵字的排名 SEO變項 1/13 網頁內容出現關鍵字 說明： 對於初學者的SEO這個是再明顯不過的了，但也是很多人唯一能夠想到的一項。要出現在搜尋某個關鍵字的結果當中，基本上必須網頁內容有出現該關鍵字，為什麼？因為您用的是Google與Yahoo耶。網路時代最巨大的兩個巨人，要是您搜尋某個字結果出來的網頁沒有那個字，他們就不配做搜尋引擎的龍頭了也不會有那麼多的網友愛用這些搜尋引擎了。 於Google搜尋"FTP SERVER"的結果之一，看到了嗎？"FTP SERVER" 關鍵字確實出現於網頁之中 在實際執行最佳化的時候要注意，關鍵字出現的次數確實會影響排名的順序，整個網頁出現的關鍵字次數愈多者的排名有高過低者的趨勢，但要注意關鍵字出現以自然語文的頻率為佳。若過度人造關鍵字的插入，有可能被歸類為作弊。 難度：極低　一般人認知度：極高 SEO變項 2/13 網頁標頭(HEAD)內出現關鍵字 說明： 現代人使用的DreamWeaver或是FrontPage這類所見即所得的網頁設計軟體，大大的降低了網頁設計的難度，因此很多人都會自己設計網頁了，確還不知道什麼是HEAD網頁標頭，網頁的原始碼中最前的一段就是HEAD，其中有多個項目內可以出現您想要SEO攻略的關鍵字。我們直接列出原始碼供您抄襲，是您最佳化成功最快速的好工具。 SEO

資料來源

申請「淘寶網」教學

　　稱「淘寶網」為中國的「Amazon」是一點也不為過，淘寶網為阿里巴巴集團所建立，應該已經是全中國最大的購物網站，雖然是中國的購物商城，但「商人無國界」，隨著兩岸的交流，這道牆從原本的高牆，也慢慢變成一道矮牆，在淘寶網的「聚划算」，甚至提供了給台灣人購買的團購網，我相信在這幾年內，淘寶網內所有的商品，也一定能直接就寄回台灣的。

　　此外，在阿里巴巴也發展了一個線上付款的服務，叫「支付寶」，申請了這項服務，就可以立即在中國大大小小的網路商城中購買商品，相當的方便，相信應該有很多人為了要使用這項服務，而不得其入，我之前個人也是要使用這項服務，而研究了一下子，終於才弄通了這個支付寶，並且在大陸的網路中，使用了支付寶做為我的付款工具。

　　所以分享給大家，我之前研究的成果。

　　首先，先來到淘寶網註冊網址

　　淘寶網 註冊網頁

　　Step 1. 輸入欲申請之淘寶網帳號及密碼，比較特別的是，淘寶網的帳號可以使用「中文姓名」，像我就是用我的中文名字下去申請的。

　　Step 2. 接著請輸入您的電子信箱，如下圖：

　　Step 3. 再來會驗證您的手機號碼，您可以直接選擇「台灣」，並且輸入台灣的手機號碼，假設您的手機號碼是「0952-123456」的話，那就輸入此「您的手機號碼」即為「+886952123456」，最後再點擊〔提交〕，如下圖：

　　Step 4. 沒有想到在大陸的淘寶網，也能直接用台灣的手機來驗證了，在輸入我的手機號碼後，沒幾秒鐘，手機就順利收到「驗證碼」了，趕快輸入所收到的驗證碼吧!

　　Step 5. 驗證完手機之後，接著要來驗證「電子信箱」了。

　　Step 6. 既然手機都收的到驗證碼，電子信箱更是沒有問題了，去收你的信箱吧，然後再點擊這個驗證碼的連結吧!

　　Step 7. 最後即完成淘寶網的申請。

申請「支付寶」教學

　　「支付寶」這個東西，就好像是「PayPal」，就是一種「線上付款」的服務，而在中國大陸，主要都是使用「支付寶」，就好像中國大陸的入口網站都使用百度，不用Google；都使用「微博」不使用「Facebook」；不使用「MSN」都使用「QQ」。

　　而申請「支付寶」實際上並不需要特別申請，只需要申請好「淘寶網」，就可以使用淘寶網所申請的email直接登入支付寶(應該是這樣，因為我申請了兩次，感覺都好像是這樣，如果有誤，請跟我說一下，謝謝。)

　　Step 1. 接著，請直接到支付寶的登入網址「https://lab.alipay.com/user/reg/index.htm」，直接用淘寶的信箱及密碼登入。

　　Step 2. 第一次登入時，要完成支付寶所缺少的資料，請先點擊「右上角」的「個人帳戶(港澳台/海外)」，如下圖：

　　Step 3. 接著根據指示填入所需的資料，其中最重要的就是「支付密碼」，這組密碼的規則，需要英文及數字的組合，而且將來在付款時，就會用到這組密碼，所以設定好之後，可不要忘記了，要記得寫下來。

　　Step 4. 填寫完畢後，就已經成功開通支付寶的服務。

支付寶的儲值

　　當然申請好支付寶之後，雖然已經開通了，但因為帳戶裡面還沒有儲值，所以也還是不能夠使用，我們還必需要經過「儲值」這個動作。

　　但問題來了，雖然支付寶提供了相當多的銀行可以進行儲值，但這些銀行都是中國大陸那邊的銀行，台灣並沒有銀行可以直接進行儲值，而目前淘寶網可以用信用卡付款，但是並不支援使用信用卡來儲值支付寶的服務。

　　也因為中國大陸與台灣這種特殊的關係，導致在兩岸的互動之中，常常會有這樣申請服務障礙的情況發生，例如：WeChat的官方帳戶申請，也是同樣的情況，所以這下子可頭大了...

　　幸好的是，我們目前還能透過第三方來儲值，缺點是要付一些手續費，但因為手續費才幾十塊錢台幣，其實也不貴，姑且就將就些用吧~

　　關於支付寶的儲值，我在這篇文章「利用「酷悠悠HOYOYO」來對「支付寶Alipay」儲值的詳細圖文教學」統一的說明。

支付寶相關問與答

1. 是否支援使用國際信用卡對支付寶帳戶進行充值？
2. 使用國際信用卡付款會收費嗎？

資料來源

HTC HD2 直刷最新版Android 4.0.3

HTC HD2 直刷最新版Android 4.0.3
準備工作：
請先安裝好於電腦上：
hd2_toolkit_setup刷機懶人程式

下載好軟體：
HSPL4、最新NexusHD2-ICS-CM9_V1.2 (ROM)、A2SDKillerV11_GB、Data2SDInstallerv1.3_GB

開始刷機步驟
A、解鎖(刷2.08.HSPL)
(1)、開機時按著小聲鍵不放，進入三色模式，並插上USB線。
(2)、開啟安裝的HD2 Toolkit程式，按下Toolkit中，右下角的「Install HSPL」。
(3)、接下來會自動執行刷HSPL的程式，勾幾次同意及按下一步，然後選「2.08.HSPL」，就會開始刷了。
(4)、很快就會好了，手機會重開，重開時馬上又按著小聲鍵，再度進入三色模式。
(註：若您是新版的機子，三色模式顯示SPL-3.03.0000的話，必須要用更新的HSPL4才能解鎖。)

B、格式化(刷Task29)
(1)、開機時按著小聲鍵不放，進入三色模式，並插上USB線。
(2)、按下Toolkit中，右下角的「Wipe (Task29)」。
(3)、接下來會自動執行Task29，勾幾次同意及按下一步，就會開始刷了。
(4)、很快就會好了，手機會重開，重開時馬上又按著小聲鍵，再度進入三色模式。

C、刷MAGLDR
(1)、開機時按著小聲鍵不放，進入三色模式，並插上USB線。
(2)、Toolkit左上角選「MAGLDR Repartition」
(3)、按下面的「Install MAGLDR」，一路同意及下一步即可。
(4)、刷好會自動重開機，並進入MAGLDR選單。
(5)、用上下鍵(調聲音鍵)選到「USB Flasher」，按確定鍵(最左邊的接聽鍵)。
(6)、Toolkit左邊選適合的「Partition Size」，每個NAND的ROM都會說明要選多少的Partition，若你不知道要選多少的話，選200MB吧，下面的Cache改成5MB。按下左下角的「Repartition」一路同意及下一步即可刷好MAGLDR的CWM。
(7)、往後開機時按著掛斷鍵不放就可以進入MAGLDR選單。(以後新的ROM出來更新就到這步驟做更新即可，不用刷機)
(8)、選「AD Recovery」即可進CWM。(要安裝ROM程式或分割SD卡或分割SD卡來擴充手機內存，從這邊進行)

D、分割SD卡做為手機內存
(1)、進入MAGLDR選單，選「AD Recovery」。
(2)、選advanced，選Partition SD Card。
(3)、選Size，有128M~4096M可以選。一般選個512M就很夠了，灌的軟體多的話，就選1024M或2048M吧。(有關日後內存空間安裝程式的多寡)
(4)、接下來的swap size選 0 。
(5)、接下來就按{確定}，就會開始格式化了，記憶卡裡的東西都會被清掉。就這麼簡單，系統內定是格式化成ext3。

E、把主程式NexusHD2-ICS-CM9_V1.2 (ROM)、A2SDKillerV11_GB、Data2SDInstallerv1.3_GB的zip三個檔複製到記憶卡上。(直接複製、通通不要解壓)
有兩種放法:
(1)、是直接把記憶卡拔下來，放到讀卡機上把zip檔直接拷進去。
(2)、是，進CWM後，選「mounts and storage」，選最下面的「mount USB storage」就可以直接手機當USB隨身碟來存取記憶卡。拷完後選「Unmount」來安全移除，按掛斷鍵回到CWM主選單。

F、卡刷剛剛下載的ROM。
(1)、進入MAGLDR選單，選「AD Recovery」，選「install zip from sdcard」，選第二項「choose zip from sdcard」，並選取記憶卡上你要安裝的ROM(如NexusHD2-ICS-CM9_V1.2)。
(2)、不關機再刷A2SDKillerV11_GB.ZIP，選第二項「choose zip from sdcard」，並選取記憶卡上你要安裝的A2SDKillerV11_GB.ZIP。(增加手機內存並讓手機能讀取SD卡用)
(3)、不關機再刷Data2SDInstallerv1.3_GB.ZIP，選第二項「choose zip from sdcard」，並選取記憶卡上你要安裝的Data2SDInstallerv1.3_GB.ZIP。(增加手機內存並讓手機能讀取SD卡用)
(4)、都安裝完後，按掛斷鍵，回到CWM主選單。選「reboot system now」即可使用新刷好的ROM了。按下後，系統會自動開機，開機後設定完成即可使用。(第一次開機時間會較長)

備註:
(1)、今後刷機都可以直接用手機流覽器下載新版的ROM, 然後進CWM來刷，完全不用經過電腦。
(2)、A2SDKillerV11_GB、Data2SDInstallerv1.3_GB這兩個檔案安裝目的，是讓手機能把SD卡一部分拿出來當手機內存，裝完後開機，去看手機內存，就會增加了。
資料來源