6. Active Directory. Доменная модель службы каталогов. Контроллеры домена. Возможные типы серверов в домене.

AD – это служба каталогов входящая в Windows server 2000. AD является защищенной , распределенной, сегментированной и реплицируемой службой каталогов для сетей от нескольких компов до нескольких тысяч.

AD хранит данные и настройки среды в централизованной БД. 1 служба каталогов AD может объединять несколько служб каталогов AD .

С помощью AD осуществляют манипулирование многими компонентами службы каталогов.

Контейнер – это объединенная группа объектов или других контейнеров, он так же имеет пространство и принадлежит пространству имен.

Дерево – это иерархическое описание объектов и контейнеров. В узлах дерева находится контейнер а конечными элементами является объект.

Непрерывным поддеревом называется любая непрерывная часть дерева, включающая все элементы каждого входящего в него контейнера

AD допускает существование 2 типов имен уникальных и относительных

Уникальное имя содержит указание на домен в котором находится этот домен и полный путь который приводит к этому объекту

Относительное имя – это та часть имени которая является частью атрибута объектов .

Контейнеры имен – это любое непрерывное поддерево каталога AD может состоять из 1 или нескольких имен. В AD каждый сервер содержит не менее 3 КИ:

1 КИ – это логическая структура

2 КИ – конфигурация

3 КИ – 1 или несколько пользовательских контейнеров

Это поддеревья объединенные в каталог объектов

Доменная модель служб каталогов

домен – это совокупность компонентов характеризующихся наличием общей базы учетных записей пользователей и единой политикой безопасности.

Цели создания домена:

1 разграничение административных полномочий

2 создание единой политики безопасности

3 разделение доменного контейнера имен

Центральный компонентом домена является серверы, хранящие фрагменты каталогов эти серверы называются – контроллерами домена

В домене может быть 1 или несколько контроллеров домена

Типы иерархии доменов:

1 родитель-потомок – пространство имен , имя домена включает в себя имя родительского домена (иерархическая)

2 отношение включающее несколько связанных деревьев лес доменов (горизонтальная)

Для объединения объектов хранящихся в разных отношениях должны существовать некоторые доверительные отношения. Выделяют односторонние и двусторонние. Они позволяют организовать процесс аутентификации принадлежащих 2-ум различным доменам

Специфицированные роли доменов

1 роли требующие уникальности всего леса доменов

2 роли требующие уникальности в пределах домена

По умолчанию все роли возлагаются на 1 установленный домен.

Для повышения производительности вычислительных ресурсов в сети под управлением Windows server целесообразно выделить отдельные серверы для решения специальных задач

1 файловый сервер

2 сервер печать

3 сервер приложений

4 почтовый сервер

5 сервер терминалов

6 сервер удаленного доступа и ВПН сервер

7 DNS сервер

8 DHCP сервер

9 сервер потоков - мультимедиа.

10 WINS сервер

7. Active Directory. Схема каталога. Репликация данных. Управление службой Active Directory

Любой объект каталога принадлежит к некоторому классу объектов со своей структурой атрибутов.

Определения всех классов объектов и совокупности правил, позволяющих управлять структурой каталога, хранится в специальной иерархической структуре – схеме каталога.

Все данные схемы хранятся в виде двух классов объектов:

Class Schema – класс, определяющий типы объектов

Attribute Schema – класс, определяющий атрибут объекта.

Схема каталога хранится в отдельном разделе и допускает возможность расширения.

Глобальный каталог – специализированная база данных, содержащая фрагменты всех доменных контекстов имен.

Контроллер домена, выступающий в качестве носителя такой базы данных, называется сервером глобального каталога. Его функции:

Предоставление пользователям возможности поиска объектов в лесу доменов по атрибутам

Разрешение основного имени пользователя

Предоставление информации о членстве пользователя в различных группах с универсальной областью действия.

Раздел конфигурации – используется для размещения сведений о структуре системы: список всех доменов и деревьев леса, перечень существующих контроллеров домена и серверов глобального каталога.

Доменный раздел – используется для размещения объектов, являющихся непосредственно частью домена. Здесь хранятся объекты, ассоциированные с пользователями, компьютерами, общими ресурсами.

Разделы приложений – могут быть созданы для различных сетевых приложений. Создание таких разделов позволяет обращаться к приложениям используя общий подход доменных имен.

Под узлом (site) в сетях Windows понимается совокупность подсетей объединенных высокоскоростными линиями связи.

В структуре каталога существует специальный класс объектов, описывающий связи между узлами, - соединение узлов.

Каждое соединение как объект каталога имеет следующие атрибуты:

Стоимость соединения

Расписание доступности соединения

Интервал репликации

Транспорт репликации

В качестве транспорта используются протоколы RPC и SMTP

Репликация внутри узла:

• При репликации баз данных каталога внутри узла осуществляется автоматически. В процессе репликации используется кольцевая топология (двунаправленное кольцо).

• В процессе репликации применяется протокол RPC. Используется синхронное взаимодействие .

Репликация между узлами:

В процессе репликации между узлами передается только информация об изменениях в схеме и данных конфигурации. Для серверов глобального каталога – данные о подмножестве объектов всех доменов, образующих лес.

Для управления службой каталогов Active Directory используются специальные средства администрирования.

Утилиты администрирования службы каталогов:

-Active Directory – пользователи и компьютеры

-Active Directory – домены и доверие

-Active Directory – сайты и службы

Другими средствами управления Active Directory являются программы командной строки.

Программа Ntdsutil используется для обслуживания базы данных Active Directory, управления действиями одиночного хозяина операций и удаления метаданных, оставленных контроллерами домена, которые были удалены из сети без выполнения соответствующих операций