32

3.3. Служба каталогов Active Directory

Служба каталогов Active Directory включена в Windows Server и обеспечивает централизованное управление сетью, позволяя легко добавлять, удалять и перемещать ресурсы, например учетные записи пользователей, принтеры, серверы, БД, группы, компьютеры, политики безопасности, которые хранятся в каталоге в виде объектов.

3.3.1.Особенности Active Directory

Active Directory иерархически организует ресурсы в домене – основной единице репликации и безопасности в сети Windows Server. Каждый домен включает один или несколько контроллеров, на которых хранится полная реплика (копия) каталога домена. Для упрощения администрирования все контрол-

леры домена Windows Server 2003 - 2008 в Active Directory рав-

ноправны, поэтому изменения, выполненные на любом контроллере домена, можно реплицировать на остальные.

В Active Directory каталоги хранят информацию, используя разделы (partitions), которые логически делят каталог и обеспечивают хранение большого количества объектов. Это позволяет увеличивать его по мере роста предприятия — от нескольких сотен до миллионов объектов.

Поддержка открытых стандартов

Active Directory объединяет в себе концепцию пространства имен Интернета со службой каталогов Windows. Это позволяет объединять и управлять различными пространствами имен в разнорядных аппаратных и программных средах.

Active Directory применяет доменную систему имен (Domain Name System, DNS) и может обмениваться данными с любым приложением или каталогом, использующим протокол LDAP. Active Directory предоставляет доступ к своей информации из других служб каталогов, поддерживающих LDAP версий 2 и 3, например, из службы каталогов Novell NetWare — Novell Directory Services, NDS.

Доменная система имен

Поскольку Active Directory использует DNS как службу доменных имен и поиска, имена доменов Windows являются

33

также именами DNS. Windows Server использует динамическую DNS, позволяющую клиентским компьютерам с динамическими адресами регистрироваться прямо на сервере DNS и динамически обновлять таблицу DNS. Динамическая DNS устраняет необходимость в других службах именования Интернета, например WINS.

Упрощенный протокол доступа к каталогам

Active Directory отвечает стандартам Интернета и поддерживает LDAP.

LDAP — стандарт Интернет (RFC 1777) для доступа к службе каталогов — был разработан как упрощенная альтернатива протоколу доступа к каталогам (Directory Access Protocol, DAP) X.500.

X500 — набор стандартов, созданный ISO и определяющий распределенную службу каталогов.

Active Directory поддерживает LDAP версий 2 и 3 и и с-

пользует его для обмена данными между каталогами и приложениями.

Поддержка стандартных форматов имен

Active Directory поддерживает несколько общих форматов имен, что позволяет приложениям и пользователям получать доступ к каталогу, применяя наиболее удобный для них формат.

Стандарты имен определяет интерфейс. Иногда могут быть использованы любые стандарты имен (например, при входе в систему), однако может потребоваться и специальный стандарт. Например, утилите LDP — средству поддержки Active Directory — требуются LDAP-имена.

3.3.2.Структура Active Directory

Служба каталога Active Directory Microsoft Windows Server 2003 существует на двух уровнях: физическом и логическом. В терминах физической структуры Active Directory представляет собой файл, расположенный на жестком диске сервера и на жестком диске каждого контроллера домена, который содержит эту службу. Логическая структура Active Directory представляет собой контейнеры, которые используются для хранения объектов службы каталога (разделов каталога, доменов и лесов) на пред-

34

приятии. Разделы каталога, домены и леса в виде байтов информации хранятся в физических компонентах службы каталога.

3.3.2.1.Логическая структура

Влогическую структуру организуют ресурсы, что позволяет искать их по именам, а не физическому расположению.

Объект

Объект (object) — это отличительный набор именованных

атрибутов, описывающих сетевой ресурс. Атрибутами (attribute) называются характеристики объектов в каталоге. Например, атрибуты пользователя могут включать его фамилию и имя, отдел

иадрес электронной почты.

ВActive Directory можно организовывать объекты в классы (classes), логически группирующие объекты. Так, классом объекта могут быть пользователи, группы, компьютеры, домены или организационные подразделения (ОП).

Организационное подразделение

Это контейнерный объект для организации объектов в логические административные группы в рамках домена. ОП может содержать такие объекты, как учетные записи пользователей, группы, компьютеры, принтеры, приложения и другие ОП. Иерархия ОП в домене не зависит от структуры других доменов — каждый может поддерживать собственную иерархию.

Домен

Это основная единица логической структуры в Active Directory. Группировка объектов в один или несколько доменов позволяет отразить в сети структуру предприятия.

Все сетевые объекты существуют в пределах домена, и каждый домен хранит сведения только о содержащихся в нем объектах. Теоретически каталог домена может содержать более 10 миллионов объектов, но практически проверен и поддерживается 1 миллион.

Доступ к объектам домена регламентируется списком управления доступом (Access Control List, ACL), содержащим строки контроля доступа (Access Control Entry, АСЕ). Все пол и- тики безопасности и параметры одного домена, например административные разрешения и списки ACL, не пересекаются с па-

35

раметрами другого. Администратор домена имеет абсолютные права на установку политик только в пределах своего домена.

В типичный домен входят компьютеры следующих типов:

•контроллеры домена под управлением Windows Server;

•рядовые серверы домена под управлением Windows

Server;

•клиентские компьютеры под управлением ОС Windows 2000 Professional, XP, Vista, Windows 7.

Дерево

Это группировка или иерархия одного или нескольких до-

менов Windows Server, предоставляющих совместный доступ к ресурсам.

Все домены в дереве предоставляют единый доступ к информации и ресурсам.

Вдереве доменов только один каталог, но каждый домен предоставляет свою часть каталога, содержащую данные об учетных записях «своих» пользователей.

Впределах дерева пользователь, вошедший в систему в одном домене, может обращаться к ресурсам другого в течение всего срока действия соответствующих разрешений.

Windows Server собирает информацию со всех доменов в один каталог, обеспечивая доступ к нему из каждого домена.

Каждый домен, кроме того, автоматически создает индекс информации своего подраздела в Active Directory, хранящийся на контроллерах домена.

Пользователи обращаются к этому индексу для поиска других пользователей, компьютеров, ресурсов и приложений по всему дереву доменов.

Все домены в пределах дерева обеспечивают доступ к:

•общей схеме (schema) — формальному описанию объек-

тов в хранилище Active Directory;

•общему глобальному каталогу (global catalog) — цен-

тральному репозитарию информации об объектах дерева или леса.

Все домены дерева предоставляют доступ к общему пространству имен и иерархической структуре имен.

36

Пространство имен (namespace) — набор правил именования, обеспечивающих иерархическую структуру, или путь дерева.

По стандартам DNS имя дочернего домена дополняется именем родительского. Имя дерева доменов должно соответствовать зарегистрированному в Интернете имени предприятия.

В Active Directory деревья различают по:

•иерархии доменов;

•непрерывности пространства имен;

•доверительным отношениям Kerberos между доменами;

•общей схеме;

•способности отображать любой объект в списке глобального каталога.

Лес

Лес — объединение одного или более деревьев — позво-

ляет группировать подразделения предприятия (или два предприятия для объединения их сетей), которые не используют одинаковую схему именования, работают независимо друг от друга, но должны обмениваться данными. Деревья в лесу обеспечивают доступ к одинаковой схеме и правилам совместной работы объектов. Все домены леса имеют единый глобальный каталог и конфигурационный контейнер.

Леса различаются по:

•одному или более набору деревьев;

•несвязанному пространству имен между этими деревьями;

•доверительным отношениям между деревьями по про-

токолу Kerberos;

•общей схеме;

•способности отображать любой объект в глобальном каталоге.

Объекты деревьев домена, образующие лес, доступны всем его пользовательским объектам.

Доверительные отношения

Домены в дереве связываются друг с другом, используя

двусторонние транзитивные доверительные отношения по про-

токолу Kerberos. Транзитивное доверие Kerberos (Kerberos tran-