Лекция 3

Объект

Каждый объект в active directory имеет уникальной идентификатор (identity). Объект может переименовываться и перемещаться, но уникальный идентификатор остается неизменным. Объекты внутри active directory однозначно идентифицируются по их уникальному идентификатору (GUID), а не по текущему имени.

Уникальный идентификатор объекта это уникальный универсальный идентификатор, который назначается агентом DSA при создании объекта. Этот GUID хранится в директории object GUID, который есть у каждого атрибута. object GUID не может быть изменен или удален. При сохранении ссылки Active directory в каком то внешнем хранилище, например в базе данных используйте атрибут object GUID, потому что в отличии от имени он не может измениться.

Контейнер

Похож на объект тем, что он тоже описывается атрибутами и является частью пространства имен в active directory, но в отличи от объекта, контейнер не представляет чего то конкретного. Он содержит объекты и другие контейнеры.

Схема

Термин, обычно используемый при описании работ БД. В контексте Active directory, схема это все элементы содержащиеся в active directory: объекты, атрибуты, контейнеры и т.д. Active directory имеет схему по умолчанию, кот определяет наиболее распространённые классы объектов., такие как юзеры, компы, группы, организационные единицы, политики безопасности и домены.

Схема active directory может динамически обновляться, это означает что любое приложение может дополнять схему нужными атрибутами и классами и использовать их сразу. Создание и изменение объектов, хранящихся в active directory вызывает изменение схемы. Списки управлением доступом (ACL-access control list) защищают объекты схемы, позволяя модифицировать её только авторизованным юзерам.

Архитектура active directory

Каждый объект в active directory характеризуется отличительным именем (DL – distinguished name). В данном контексте термин «отличительные» указывает на уникальность этого имени. Отличительное имя указывает домен в котором находится данный объект, а так же полный путь в иерархии контейнеров, используемый для достижения данного объекта. Типичным distinguished name может быть например последовательность:

CN = Vasiliy Petrov, OU=research, DC = university, DC = mami.

DN – идентифицирует юзера как объект Василий Петров в организационной единице Research в домене university mami.

CN – Common name, OU – organization unit, DC – domain controller.

В Active directory так же используется относительное имя – RDN (relative distinguished name), представляющее часть отличительного имени DN и являющееся атрибутом самого объекта.

В приведенном выше примере RDN объекта пользователя CN = Vasiliy Petrov, а RDN родительского объекта OU=research.

Часть отличительного имени «DC =» позволяет подключать каталоги active directory пространству имен DNS. Корнем глобального пространства имен для Active directory, является пространство имен DNS. Т.о доменные имена DNS объединяются со схемой именования active directory, например university. Mami – допустимое доменное имя DNS и оно же может быть именем домена active directory.

Такая интеграция с DNS означает что active directory естественно встраивается в среды интернет и интранет и серверы active directory могут напрямую подсоединятся к интернет, что существенно упрощает обмен инфой и электронную коммерцию с заказчиками и партнерами.

Форматы имен

Ivan P работает в отделе research, департамента products, организации organization university mami. Формат active directory поддерживает несколько форматов имен, чтобы можно было поддерживать не только юзеров, но и приложения.

Имена согласно RFC 822 знакомы большинству юзеров как адреса e-mail. Active directory поддерживает дружественное имя в формате RFC 822 для каждого из объектов. Т.о юзер может использовать дружественное имя как адрес e-mail так и для авторизации. Ivan p – префикс, после @ -суффикс

URL адреса

Типичный URL (Uniform resource location) имеет вид: Исходный протокол://домен/путь к странице, где домен это сервер на котором выполняются службы active directory, а путь к странице это путь к нужному объекту в иерархии active directory. URL для юзера Иван Петров имеет следующий вид: http://tula1.tula.university.mami/research/products/IvanP

Имена LDAP

Имеют более сложную структуру чем имена интернет и обычно скрыты внутри приложения. Для имен LDAP используется соглашение об именовании, принятые в X500. Адрес LDAP указывает сервер, содержащий службы active directory и атрибуты имени объекта, например: LDAP://tula1.tula.university.mami/CN=IVANP,OU=research,OU=products,O=universicy,C=mami

Имена UNC

Uniform naming conversion назначаются в соответствии с изначальным соглашением об именовании, используется в сетях Windows server 2003, Windows 2000, Windows NT для ссылки на разделяемые тома, принтеры и файлы, например \\university mami\product.reseach.volume\worldDoc\report.doc

Агент DSA это процесс, обеспечивающий доступ к физическому хранилищу информации глобального каталога на жестком диске. DSA является частью подсистемы Local System Authority (LSA) windows server 2003. Клиенты осуществляют доступ к каталогу используя один из следующих механизмов: Клиенты LDAP подсоединяются к DSA используя протокол LDAP, active directory поддерживает LDAP версии 3, определяемый спецификацией RFC 2251, и LDAP версии 2 определяемый спецификацией RFC 1777.

Клиенты MAPI (messaging application programing interface) например Microsoft exchange подсоединяются к интерфейсу DSA через MAPI.