Las w strukturze katalogowej AD DS (Active Directory Domain Services) jest zbiorem
A. kontrolerów domeny jednej lokacji
B. jednego lub wielu drzew domen
C. wyłącznie dwóch drzew domen
D. jednostek organizacyjnych jednej domeny
Las AD DS to najwyższy poziom logicznej struktury Active Directory Domain Services. Obejmuje jedno albo wiele drzew domen, które mają wspólny schemat, wspólną konfigurację oraz globalny katalog. To jest właśnie sedno tej odpowiedzi: las nie oznacza pojedynczej domeny ani samej listy serwerów, tylko całą granicę administracyjną i bezpieczeństwa dla usług katalogowych Microsoft. W praktyce firma może mieć jeden las z jedną domeną, np. firma.local, ale może też mieć kilka drzew, np. firma.local oraz oddzielne drzewo po przejętej spółce, jeśli jest taka potrzeba organizacyjna. Drzewa w lesie mają relacje zaufania przechodnie i dwukierunkowe, co ułatwia logowanie, dostęp do zasobów i centralne zarządzanie kontami. Z mojego doświadczenia warto pamiętać, że projektowanie lasu robi się ostrożnie, bo zmiany na tym poziomie są trudne i wpływają na całą infrastrukturę. Dobra praktyka branżowa mówi: im prostsza struktura AD, tym łatwiej ją zabezpieczać, replikować, monitorować i odzyskiwać po awarii.
W Active Directory łatwo pomylić kilka poziomów struktury, bo nazwy domena, drzewo, las, jednostka organizacyjna i lokacja brzmią trochę podobnie, ale oznaczają zupełnie różne rzeczy. Las nie jest ograniczony do dokładnie dwóch drzew domen. Może zawierać jedno drzewo, dwa drzewa albo więcej, zależnie od projektu organizacji. Sztywne założenie, że muszą być tylko dwa drzewa, jest sztuczne i nie wynika z architektury AD DS. Microsoft traktuje las jako nadrzędną granicę logiczną, w której współdzielone są schemat, konfiguracja i globalny katalog. Jednostki organizacyjne też nie tworzą lasu. OU służą do porządkowania obiektów wewnątrz domeny, na przykład użytkowników, komputerów, grup albo kont usługowych. Dzięki nim można delegować uprawnienia administracyjne i przypinać zasady grupy GPO, ale OU nie są równoważne drzewom domen. To dość częsty błąd, bo w konsoli Active Directory Users and Computers wszystko wygląda jak katalog z folderami. Kontrolery domeny jednej lokacji również nie są lasem. Kontroler domeny to serwer obsługujący AD DS, a lokacja opisuje głównie fizyczną lub sieciową topologię, zwykle powiązaną z podsieciami IP i replikacją. Lokacje pomagają zoptymalizować ruch sieciowy oraz logowanie użytkowników, ale nie definiują struktury logicznej lasu. Moim zdaniem najlepiej zapamiętać to tak: OU porządkuje obiekty w domenie, domeny tworzą drzewa, a jedno lub wiele drzew tworzy las.