Архитектура Active Directory

Архитектура Active Directory включает основные элементы, краткое описание которых приведено ниже.

Модель данных

Модель данных Active Directory строится на основе модели данных спецификации X.500. В каталоге хранятся объекты, которые представляют собой самые различные единицы хранения, описываемые с помощью атрибутов. Множество объектов, которые могут храниться в каталоге, задается в логической структуре (schema). Для каждого класса объектов логическая структура определяет, какие атрибуты обязательно должен иметь представитель данного класса, какие дополнительные атрибуты он может иметь, и какой класс объектов может являться родительским по отношению к данному классу.

Логическая структура

Логическая структура Active Directory реализуется в виде набора объектов различных классов, хранящихся в каталоге. В этом отношении Active Directory значительно отличается от других каталогов, имеющих логическую структуру, но хранящих ее в виде текстового файла, к которому система обращается при запуске. Хранение логической структуры в каталоге имеет целый ряд преимуществ. Например, приложения пользователей могут обращаться к логической структуре и с ее помощью определять наличие тех или иных объектов и свойств.

Логическая структура Active Directory может обновляться динамически. Это означает, что приложение может расширить логическую структуру, добавив в нее новые атрибуты и классы, и сразу после этого воспользоваться полученным расширением. Обновление логической структуры производится путем создания новых или модификации существующих объектов логической структуры (schema objects), хранящихся в каталоге. Как и все остальные объекты в Active Directory, объекты логической структуры защищены списками контроля доступа (access control lists, ACLs), поэтому изменять логическую структуру могут лишь пользователи, имеющие определенные права (авторизованные пользователи).

Модель защиты данных

Каталог является частью Windows 2000 Trusted Computing Base и полноценным элементом инфраструктуры обеспечения безопасности данных в ОС Windows 2000. Списки контроля доступа (ACL) защищают все объекты в Active Directory. Процедуры разрешения доступа к данным в Windows 2000 используют ACL при каждой попытке доступа к объекту или атрибуту в Active Directory.

Модель управления

Управление Active Directory осуществляют авторизованные пользователи. Пользователь может быть разрешено выполнение определенных действий (или последовательностей действий) над определенным набором объектов и их классов в некоторой части дерева каталога. Такая деятельность называется делегированным управлением. Делегированное управление позволяет с большой гибкостью распределять возможности управления, избегая при этом передачи излишних полномочий.

Агент системы каталогов (Directory System Agent, DSA) представляет собой процесс, управляющий физическим устройством, в котором хранится каталог. Клиенты с помощью одного из поддерживаемых интерфейсов обращаются к DSA, а затем производят поиск объектов и выполняют над ними или над их атрибутами операции чтения или записи. DSA изолирует клиента от физического формата, в котором хранятся данные в каталоге.