Объекты каталога и их именование
Объект каталога Active Directory – это элемент, содержащийся в базе данных Active Directory и имеющий набор атрибутов (характеристик). Например, объектом является пользователь, а его атрибутами – имя, фамилия и адрес электронной почты. Некоторые объекты являются контейнерами. Это означает, что данные объекты могут содержать в своем составе другие объекты. Например, объект домен является контейнером и может включать пользователей, компьютеры, другие домены и т. д. Каталог Active Directory содержит следующие основные типы объектов, не являющихся контейнерами:
• пользователь (user);
• группы пользователей (group);
• контакты (contact);
• компьютеры (computer);
• принтеры (printer);
• общедоступные папки (shared folder).
В Active Directory для именования объектов используется несколько способов.
Различающееся имя (Distinguished Name, DN) – состоит из нескольких частей, например для пользователя Петрова, принадлежащего к организационному подразделению Teachers домена faculty.ru, различающееся имя выглядит так:
DC = ru, DC = faculty, OU = teachers, CN = users, CN = petrov.
При этом используются следующие сокращения:
• DC (Domain Component) – домен;
• OU (Organizational Unit) – организационное подразделение;
• CN (Common Name) – общее имя.
Различающиеся имена являются уникальными в пределах всего каталога Active Directory. В целях упрощения именования может использоваться относительное различающееся имя (Relative Distinguished Name, RDN). Для приведенного примера это имя CN = petrov. Имя RDN должно быть уникально в рамках объекта-контейнера, т. е. в пределах контейнера CN = users пользователь petrov должен быть единственным. Основное имя пользователя (User Principal Name, UPN) – используется для входа пользователя в систему и состоит из двух частей: имени учетной записи пользователя и имени домена, к которому принадлежит пользователь. Например: petrov@faculty.ru.
Глобальный уникальный идентификатор (Global Unique Identifier, GUID) – это 128-битовое шестнадцатеричное число, которое ассоциируется с объектом в момент его создания и никогда не меняется. В случае перемещения или переименования объекта
его GUID остается прежним.
Иерархия доменов
Домен является основным элементом в логической структуре Active Directory. В рамках домена действуют единые административные полномочия и политика безопасности, применяется общее пространство Каждый домен имеет по крайней мере один контроллер домена, на котором хранится каталог Active Directory с информацией о домене. Для организаций со сложной структурой может создаваться иерархия доменов. Первый образованный домен называется корневым (root domain). У него могут быть дочерние домены, имеющие общее пространство доменных имен. В свою очередь, у дочерних доменов могут быть свои домены-потомки. Таким образом, создается иерархия доменов, называемая доменным. Если требуется в рамках одной организации организовать ещё одно
пространство
имен, то создается отдельное дерево
доменов. При этом несколько деревьев,
входящих в состав одного каталога Active
Directory, образуют лес
доменов (forest).
Для именования доменов используются
правила, принятые в системе доменных
имен DNS. Вследствие этого доменная
структура организации может при
необходимости (и соблюдении требования
уникальности имен) встраиваться в
доменную структуру Интернета. Кроме
того, для разрешения доменных имен
становится возможным использование
службы DNS. На рис. 7.4 приведен фрагмент
доменной структуры университета. В
данном примере лес состоит из двух
деревьев – дерева головной организации
(домен univ)
и дерева филиала-института (домен
institute).
Корневой домен головной организации
имеет три дочерних домена – rector
(ректорат),
math
(факультет
математики), physics
(факультет
физики). Корневой домен института
является родителем для двух доменов –
director
(руководство
института)
и chemistry
(факультет
химии). Следуя правилам DNS, полное имя
(FQDN) домена rector
будет
иметь следующий вид: rector.univ,
а полное имя домена chemistry:
chemistry.institute.