3. Служба Active Directory. Понятие и их функциональное назначение

Active Directory(AD) – программное обеспечение позволяющее централизованно управлять отдельными пользователями, группами пользователей и их компьютерами. Работает на базе Group Policy.

AD – программное обеспечение от Microsoft. Для совместимости компьютеров (операционных систем(OC)) от компании Microsoft c OC Unix/Linux в рамках Unix/Linux компьютера функционирует служба Samba. Просмотр групповых политик компьютера работающего на базе OC от Microsoft осуществляется при помощи консоли управления gpedit.msc. При заведении нового пользователя в рамках домена администратор AD конфигурирует и назначает ему права доступа, которые будут применяться к ему при входе в систему любого компьютера входящего в состав домена.

PDC - ком-р-участник домена, на кот хранится БД пользователей, их настроек, а также сист. DNS. В рамках одной локальной сети может быть только один PDC, а также один или несколько BDC(сервера, хранящие копию БД PDC и позволяющие пол-лю и ком-ру входить в локальную сеть)

Логическая структура AD

Включает в себя: -Леса –Деревья – Домены - Организационные единицы (OU) - Глобальные каталоги

Домен – лог. Группа пол-лей и ком-ров, кот поддерживают централизованное администрирование и определяет политики безопасности. Домен явл единицей безопасности. Это значит, что администратор по умолчанию не может управлять др доменом. Домен так же явл единицей для репликации . Все контроллеры домена должны участвовать в репликации друг с другом. Репликация – пересылка инф для синхронизации изменений в AD между контроллерами домена. В доменах поддерж доверит отношения, что позволяет пол-лям одного домена использовать ресурсы другого. Домены в одном лесу по умолчанию содержат доверительные отношения. В AD именование домена соответствует соотношению об именовании DNS.

Дерево – набор доменов, кот используют связанные (прилегающие) пространства имен. В данной конфигурации домены подпадают под взаимодействие дети-родители, при кот дочерний домен получает имя от родительского. Дочерний домен автоматически настроен на двухсторонние транзитивные доверительные отношения с родительским доменом. При этом дочерний домен существует как отдельная единица безопасности (администраторы др доменов дерева е имеют прав для администрирования домена кроме своих, но подобные права могут быть им выделены).

Лес явл наиболее крупной структурой в AD и объединяет деревья, кот поддерживают одну и ту же схему (определение объектов, кот могут быть использованы в AD). В лесу все деревья объединены транзитивными двунаправленными доверительными отношениями, что позволяет пол-лю в любом дереве, если получать доступ к ресурсам в любом другом, если они имеют соответствующие разрешения и права. По умолчанию первый домен, создаваемый в лесу, считается его корневым доменом, в котором хранится схема. При удалении/переименовании корневого домена происходит удаление всего леса.

OU – организационная единица явл контейнером, кот помогает группировать объекты для целей. Администрирования либо применения групповой политики. OU осущ только внутри доменов и могут объединять только объекты из своего домена также они могут быть вложены друг в друга. Существ несколько методов разработки OU. (Пример: основанные на задачах администрирования, геогр расположении, организационной структуре предприятия). Одним из наиболее распространенных способов использования OU явл делегирование администраторских полномочий, что позволяет давать пол-лям определенный уровень администраторских полномочий только над определенной OU, а не над всем доменом.

Глобальный каталог - явл перечнем всех объектов, кот сущ в лесу AD. Контроллеры домена содержат только инф обо всех объектах домена. Сервер глоб. Каталога явл контроллером домена, в кот содерж инф о каждом объекте, но не обо всех атрибутах объектов, находящихся в данном лесу. Это облегчает и ускоряет поиск инф в AD. Только первый контроллер домена, созданного в лесу, имеет копию глоб каталога.

Физическая структура AD

Физич структура AD помогает управлять взаимодействием между серверами по отношению к каталогу. Физич структура сост из контроллеров и сайтов.

Контроллеры домена – серверные ОС , начиная с Win2000, хранящие БД в HD. Котроллеры домена содержат реплики каталога (редактируемые копии, кот периодически синхронизируются)

Сайт – в AD явл группа IP подсетей, между кот сущ высокоскоростная связь. Целью введения сайта в AD явл контроль сетевого трафика, относящегося к синхронизации каталога , а также обеспечение подключения пол-лей к локальным ресурсам для снижения загрузки сетей, т.е. вся БД AD содержится в зашифрованном виде файла ntds.dit. Каждый создаваемый объект AD получает уникальный ID, по кот можно ссылаться на объект также как и по символьному представлению, т.к. управление доменами и ком-рами осущ на базе символьных имен, а не ID-адресов, то для корректного функционирования необходима система DNS. При этом DNS может устанавливаться отдельно, а может быть интегрирована в AD. Случай, если DNS интегрир в AD, DNS-данные хранятся в зашифрованном виде, а синхронизация DNS-серверов происходит через репликации AD. Для создания и нормальной работы DNS, DHCP, RRAS – серверов необходима их авторизация в AD.

Group Policy

GP - групповые политики, позволяющие определять различные политики безопасности и полит настройки ПО для объектов домена.

1. Локальная политика

2. Групповые политики уровня сайта

3. Групповые политики уровня домена

4. Групповые политики OU(имеют наивысший приоритет)