Active Directory которые создаются для объединения объектов в целях
делегирования административных прав и применения групповых политик в
домене. OU могут быть созданы для организации объектов несколькими путями,
в соответствии с их функциями, местоположением, ресурсами и так далее.
Примером объектов, которые могут быть объединены в OU могут служить учетные
записи пользователей, компьютеров, групп и т.д. Рисунок 5.1.3 показывает
пример OU, основанной на местоположении пользователей и ресурсов:
| |
|[pic] |
Рис. 5.4. Организационные единицы.
OU может содержать только объекты из того домена, в котором они
расположены. Также заметьте, что структура OU может широко варьироваться от
компании к компании. Она разрабатывается с целью облегчить
администрирование ресурсов и применения групповых политик. В то время как
полный административный контроль может быть дан (делегирован) пользователю
через OU, для больших организаций становиться возможным иметь только один
домен, в котором каждая структура будет имеет собственный контроль только
над своей OU. [1]
5.1.3. Физическая структура
Физическая структура Active Directory связана с двумя главными типами
объектов – сайтами и контроллерами доменов.
5.1.3.1 Сайты
В отличии от NT 4, в Windows 2000 Active Directory предусматривает
концепцию физического местоположения внутри структуры. В Active Directory
сайт – это совокупность подсетей TCP/IP, между которыми существует
высокоскоростное соединение. Хотя «высокоскоростное» - это относительное
понятие, обычно под этим подразумевается соединение на скоростях,
соответствующих LAN – соединениям. Вы определяете сайт в Active Directory
для контроля репликации, аутентификации и местоположения служб. Как только
сайт будет создан, компьютеры клиентов будут пытаться аутентифицироваться
на контроллере домена, который находится на данном сайте, вместо того,
чтобы посылать запросы по WAN (глобальной сети).
Сайты также позволяют вам контролировать, когда репликация может
происходить между контроллерами доменов. Например, в NT 4, все BDC получают
данные от PDC в процессе репликации, используя 5-минутный интервал
уведомления об изменениях. Так как в NT не было предусмотрено простого пути
для контроля репликации между физическими местоположениями (это можно
сделать, используя специальные скрипты для регистра), трафик репликации
может перегрузить линии и снизить производительность сети. Если же вы
определите сайт в Active Directory, вы можете также определить время и дни,
в которые репликация между сайтами должна происходить, как часто она должна
происходить, и преимущественные пути для ее прохождения. Вы должны
заметить, однако, что по умолчанию существует только один сайт, и пока вы
не создадите другие, репликация будет происходить, как и раньше, каждый 5-
минутный интервал уведомления об изменениях. Также важно отметить, что
сайты – это другой элемент, который позволяет большим компаниям иметь
только один домен. Так как не существует соотношения между логической и
физической структурой Active Directory, вы можете иметь один домен и сотню
сайтов. Возможность контролировать трафик репликации – одно из наибольших
преимуществ управляемости Active Directory.
5.1.3.2 Контроллеры доменов
Домена не может существовать без по крайней мере одного контроллера
домена, где храниться база данных Active Directory. В отличие от Windows
NT, где была только одна копия базы, позволяющая делать запись (хранящаяся
на PDC; копии, хранящиеся на BDC имели атрибут «только для чтения»), в
Windows 2000 каждый контроллер домена имеет копию базы данных Active
Directory, в которую можно производить запись. Поэтому все контроллеры
домена в среде Active Directory достаточно равноправны. Однако, это
усложняет картину, так как теперь каждый контроллер домена может делать
записи в базу данных. Как и в NT 4, должно быть как минимум два контроллера
в домене для целей избыточности, а, как правило, и гораздо больше, в
зависимости от размера организации. [4]
Создаете контроллер домена в Windows 2000, при помощи Installation
Wizard (мастер установки Active Directory) – dcpromo.exe. Этот инструмент
не только позволяет создавать новые контроллеры домена, и новые домены,
деревья и леса. Он позволяет также понижать контроллер домена до рядового
сервера, если возникнет такая необходимость.
Рис. 5.5. Installation Wizard
После того, как контроллер домена создан, он хранит копию базы данных
Active Directory (ntds.dit) и может проводить аутентификацию пользователей
домена. База данных Active Directory состоит из того, что принято называть
тремя разделами, как показано на рисунке 5.1.5.
Рис. 5.6. База данных Active Directory.
Раздел «домен» реплицируется между контроллерами только внутри одного
домена, в то время как разделы «конфигурация» и «схема» реплицируются в
каждый из доменов, расположенных в лесу. Некоторые из контроллеров домена
отличаются от других специальными ролями, которые они выполняют:
Global Catalog Server (сервер Глобального Каталога) – сервер
Глобального Каталога – это контроллер домена, который знает о каждом
единичном объекте, который существует в Active Directory, в каждом из
доменов. Однако, он сохраняет только часть атрибутов каждого объекта,
которые считаются наиболее важными. По умолчанию только один контроллер
домена во всем лесу выполняет эту роль – первый контроллер домена,
созданный в лесу. Большее число серверов Глобального Каталога может (и
должно) быть создано в лесу. Когда контроллер домена действует как сервер
Глобального Каталога он хранит четвертый раздел, как часть базы данных
Active Directory – раздел Глобального Каталога.
Помимо роли сервера Глобального Каталога, контроллеры домена могут
выполнять еще пять специальных ролей, называемых Operations Masters
(основные контроллеры операций). Они перечислены ниже:
Schema Master (хозяин схемы) – в лесу только один контроллер домена
может выполнять эту роль. Schema Master поддерживает схему Active Directory
и поддерживает копию схемы, доступную для записи. По умолчанию первый
контроллер домена, созданный в корневом домене леса, выполняет эту роль.
Domain Naming Master (Хозяин именования доменов) – этот контроллер
домена отслеживает домены, которые создаются и удаляются из леса,
поддерживая целостность структуры леса, если какие-либо изменения имеют
место. В лесу существует только один Domain Naming Master и, по умолчанию,
эту роль выполняет первый контроллер, созданный в корневом домене леса.
PDC Emulator (хозяин PDC) – эта роль существует по паре причин, одна
из которых – обратная совместимость с NT 4 контроллерами. Когда домен
повышается до Windows 2000, первая система, которая подвергается
модернизации – это PDC (главный контроллер домена), и этот новый контроллер
домена Windows 2000 эмулирует (имитирует) старый PDC для оставшихся BDC
(резервных контроллеров домена), работающих под Windows NT. PDC Emulator
отслеживает изменения паролей и выступает «арбитром» перед тем, как пароль
может быть отвергнут системой. По умолчанию клиенты предыдущих Windows OS,
таких как Windows 9x и NT продолжают изменять свои пароли на PDC Emulator
(до тех пор, пока на систему не будет установлен клиент Active Directory).
Один контроллер в каждом домене выполняет роль PDC Emulator, по умолчанию,
это первый контроллер созданный в домене.
Relative Identifier (RID) Master (Хозяин RID (relative identificator))
– в NT 4, PDC отвечает за создание всех SID (security identificator), то
есть отвечает за создание всех объектов безопасности («пользователь»,
«группа», «компьютер»). В Windows 2000 каждый контроллер домена может
создавать объекты безопасности. На самом деле SID состоит из двух частей -
SID (который определяет домен) и RID (который определяет уникальный объект
внутри домена).Для того, чтобы быть уверенным, что SID уникален, один
контроллер в каждом домене выполняет роль RID Master, отвечающего за
создание доменного пула RID, и размещения этих RID на других контроллерах в
домене. Это позволяет быть уверенным, что не произойдет дублирования
объектов SID. В каждом домене Active Directory действует один RID Master,
по умолчанию, это первый контроллер, созданный в домене.
Infrastructure Master (Хозяин инфраструктуры) - Infrastructure Master
отслеживает информацию о том, какие пользователи (из других доменов)
являются членами той или иной группы данного домена и все изменения,
которые имеют место. Это позволяет быть уверенным в непротиворечивости
участия пользователей в группах в Active Directory. Каждый домен в Active
Directory имеет одного Infrastructure Master, по умолчанию, это первый
контроллер, созданный в домене. [1]
5.2. Служба DHCP.
Dynamic Host Configuration Protocol (протокол динамической
конфигурации хоста) является базовой сетевой службой, предлагаемой Windows
2000 для динамического распределения IP-адресов и связанной с ними
информации клиентам, использующим TCP/IP. Хотя функции, выполняемые DHCP в
Windows 2000 во многом похожи на те, что были в Windows NT, некоторое
Страницы: 1, 2, 3, 4, 5, 6, 7, 8, 9, 10, 11, 12, 13, 14, 15, 16
