5.1Регистрация в пользователя в домене
Чтобы получить доступ к ресурсам, пользователям необходимо сначала зарегистрироваться — идентифицировать себя в домене или на компьютере.
При каждом запуске компьютера под управлением Windows NT на экране появляется окно с просьбой нажать комбинацию клавиш CTRL+ALT+DELETE для регистрации в системе.
Рис.4
Когда пользователь щелкнет кнопку ОК, компьютер передает имя домена, имя пользователя и пароль контроллеру домена. Последний сначала проверяет имя домена, а затем ищет имя пользователя и пароль в базе данных домена. Далее события могут разворачиваться по одному из трех сценариев.
Если имя домена указано верно, а имя пользователя и пароль соответствуют имеющейся учетной записи, сервер уведомляет компьютер, что регистрация разрешена.
Рис.5
Если пользователь указал имя домена, не совпадающее с именем домена контроллера, но контроллер распознает его как имя доверяемого домена, то он передает информацию контроллеру этого домена. Последний выполняет аутентификацию и возвращает соответствующую информацию.
Рис.6
Если имя домена не совпадает с именем контроллера домена и тот не распознает указанный домен, то контроллер запрещает доступ к домену.
Рис.7
5.2Преимущества модели доменов Windows nt
Модель доменов Windows NT обеспечивает следующие преимущества:
гибкость при разработке конфигурации;
централизованное администрирование сети;
гибкость при добавлении новых пользователей и смене ограничений доступа;
единая база данных учетных записей пользователей;
объединенная система безопасности для всего домена;
простота предоставления прав доступа к файлам и каталогам.
Последовательное администрирование всех компьютеров, которое необходимо выполнять в одноранговой сети, сильно ограничивает максимальный размер эффективной рабочей группы. В системе с Windows NT Server ограничения определяются только логической структурой организации. Вся компания целиком, даже крупная, может представлять собой один домен. Даже если все сотрудники работают под одной крышей и нет необходимости разделять их на группы с разными правами доступа, остается следующее преимущество: в сети может быть любое количество компьютеров, а все администрирование и управление осуществляется централизованно. Кроме того, все пользователи, даже только что появившиеся, могут получить доступ к своим ресурсам с любого компьютера, входящего в домен. Разрешения на доступ к файлам и каталогам выдаются отдельным пользователям (или группам пользователей), а не компьютерам.
В сети, организованной в виде домена, системный администратор может вносить в систему изменения с любого входящего в нее компьютера. Вы просто регистрируетесь на компьютере, работающем в домене под управлением Windows или Windows NT Server, и делаете необходимые изменения. При этом можно даже добавлять или удалять пользователей, изменять ограничения их доступа. Все изменения происходят в едином центре административного управления — на основном контроллере домена, после чего они немедленно вступают в силу во всем домене, так как Windows NT Server автоматически синхронизирует базу данных учетных записей пользователей домена. Это в значительной мере упрощает жизнь системному администратору, которому не придется выполнять одни и те же действия на всех компьютерах.
В сети Windows для рабочих групп действует ограничение, согласно которому ресурсы на своем компьютере вы можете предоставлять только членам вашей рабочей группы. В простейшем случае пользователь компьютера может либо предоставить, либо не предоставить ресурсы своего компьютера в совместное пользование. Следующим шагом является назначение пароля, разрешающего доступ к компьютеру. Благодаря этому появляется возможность в некоторой степени управлять доступом отдельных пользователей к определенным компьютерам. Однако это означает, что физического доступа к ресурсам компьютера для тех, кто не знает соответствующего пароля, фактически нет. Кроме того, если каждый будет устанавливать пароль для доступа к своим ресурсам, некоторым пользователям придется помнить несколько паролей.
Windows NT Server увеличила гибкость сети, обеспечив то, что называется свободным управлением доступом (discretionary access control). В этой системе можно точно указать уровень доступа каждого пользователя к ресурсам другого пользователя. Можно предоставить пользователю доступ к отдельному файлу, файлам в каталоге, ко всему каталогу. Windows NT Server предоставляет в этом отношении настолько широкую возможность выбора, насколько это нужно. При этом каждому пользователю требуется знать только один пароль. Одним из примеров системы на Windows NT Server с управлением доступом на уровне пользователей является домен, в котором некоторые пользователи могут вносить изменения в документ, другим позволено только читать этот документ, а третьи не смогут его даже увидеть.