3.3.Роль хозяина операции

AD поддерживает репликации хранилища данных каталога между всеми контроллерами домена. Возможность вносить изменения в структуру домена существует только на одном контроллере домена – хозяин операции.

Роль хозяина операции может быть передано другому контроллеру в составе домена или леса.

Лес AD содержит 5 типов ролей хозяина операции, который назначается одному или нескольким контроллерам домена. Одни из них должны быть в составе каждого леса, домена:

1. Роль хозяина операции на уровне леса – может быть предоставлен хозяину схемы или хозяину именования домена. Обе роли должны быть уникальны в пределах леса. Хозяин схемы – управление всеми обновлениями и изменениями схемы, т.е. перед изменением структуры леса необходимо получить доступ и хозяина схемы. Хозяин именования домена – управляет операторами добавления/удаления доменов в лесе.

2. Роль хозяина операции на уровне домена – включает: хозяин относительных идентификаторов, эмулятор основного контроллера домена, хозяин инфраструктуры.

   1. Хозяин относительных идентификаторов – назначает относительных идентификаторов каждому котроллеру в своем домене, при этом каждый раз при создании объекта ему назначается уникальный код безопасности, состоящий из кода безопасности домена (один для всех контроллеров этого домена) и относительного кода безопасности (уникальный для всех контроллеров домена);

   2. Эмулятор основного домена – если в домене присутствуют компоненты с Windows 95-98 или NT, то установления клиентского приложения на Active Directory нет. Основной компонент будет заменен его эмулятором: обрабатывает пороли пользователя, реплицирует обновления на резервное копирование контроллера домена. В любой момент времени эмулятор в домене может быть только один. При работе домена с ОС Windows 2000 и выше эмулятор основного контроллера получает копию изменения пароля с другого контроллера данного домена. Если при входе в сеть, проверка подлинности на одном из контроллеров завершена неудачно, то отправляется информация эмулятору, который осуществляет проверку подлинности для данного контроллера

   3. Хозяин инфраструктуры – отвечает за обновление ссылок «группа-пользоваетль» при перемещении или перемещении члена группы: в другой домен – он может в этой группе временно не отображаться. Хозяин инфраструктуры обладает сведениями об имени и расположении данного объекта и распространять эти данные другим хозяевам.

3.4.Доверительные отношения

Доверительные отношения требуются для объединения объектов, хранящихся в разных доменах. Существуют 2 типа доверительных отношений: односторонние и двусторонние.

Доверительные отношения – связь между доменами, позволяющие пользователю одного домена обращаться за услугами в другой домен через механизм аутентификации, выполнение контроллеров другого домена.

Доверительные отношения позволяют организовывать совокупность доменов в нескольких структурах, в которых домены связаны отношением доверия.

Суть:

Доверительный домен доверяет процесс аутентификации доверительному домену, пользователь, аутентифицированный доверительным доменом, может получить доступ к ресурсам доверительного домена – одностороннее доверительное отношение.

Если домен является доверительным и доверяет – двустороннее отношение. Они обладают свойствами транзитивности – сквозная аутентификация пользователей в цепочке домена, связанных между собой доверительными отношениями.

Для использования доверительных отношений не имеет значение какой именно механизм аутентификации используется клиентом, т.к. даже если клиент не аутентифицирован Kerberos, он может быть аутентифицирован двусторонним доверительным отношением.

Транзитивные доверительные отношения могут быть установлены как в лесе, так и между несколькими лесами.