Планирование доверия

Разработку плана доверия (trust plan) необходимо начать с определения ситуаций, в которых нужно создавать доверие. Если оно создается между двумя лесами, Windows Server 2003 по умолчанию формирует транзитивные отношения между всеми доменами, входящими в эти леса. Доверия создаются только между корнем леса одного каталога и корнем леса другого каталога.

Прежде, чем создавать доверие к лесу, убедитесь в том, что все контроллеры домена работают под управлением Windows Server 2003, а сам домен функционирует в режиме Windows Server 2003. Проверьте корректность существующей DNS-структуры. Структу­ра DNS должна быть удостоверяющей для DNS-серверов обоих лесов, между которыми создается доверие; в противном случае нужно настроить на обоих серверах DNS-сервер пересылки (более подробно DNS-серверы пересылки рассматриваются в главе 17, "Службы DNS и WINS"). Ниже приведен контрольный список, который необходимо ис­пользовать при разработке плана доверия.

1. Убедитесь, что вы хорошо знакомы со всеми типами доверия.

2. Проверьте корректность структуры DNS.

3. Убедитесь в том, что домен работает на функциональном уровне Windows Server 2003.

Для создания доверия необходимо иметь права администратора в обоих лесах. Каждое новое доверие имеет свой собственный пароль, который должны знать администраторы обоих лесов.

Планирование подразделения

Подразделение (organizational unit, OU) — это контейнер, используемый внутри домена. Рассмотрим особенности планирования подразделений.

Подразделение может быть вложенным (nested), что дает возможность создавать внутри домена иерархическую древовидную структуру. Подразделения также применяются для деле­гирования администрирования и контроля доступа к объектам каталога, позволяя осуществ­лять "тонкий" контроль над управлением последними. Учтите, что подразделения не являют­ся участниками безопасности и не могут быть включены в группу безопасности.

Подразделения могут быть связаны с групповой политикой, которая, в свою очередь, мо­жет быть связана с доменами, сайтами и подразделениями. Таким образом, в одном и том же домене могут сочетаться разные групповые политики.

Определяя план подразделения, можно не принимать во внимание конечного пользовате­ля. Несмотря на то что конечный пользователь может просматривать ресурсы сети предпри­ятия посредством структуры подразделений, в этом нет смысла, так как под рукой всегда есть глобальный каталог.

Планирование развертывания

Active Directory в сети предприятия

Прежде чем приступить к разработке соглашений об именовании, необходимо хорошо ра­зобраться в концепции леса и дерева доменов. Структура имен организации должна преду­сматривать возможность расширения последней. Одним из подходов к разработке соглаше­ний об именовании является использование значащих имен на всех уровнях Active Directory.

Планирование стратегии именования

Структура имен организации может отражать ее внутреннее устройство. На рис. 8.2 пока­зана классическая структура имен такого типа.

Рис. 8.2. Организационная структура имен

Несмотря на то что структура имен, изображенная на рис. 8.2, учитывает возможность расширения организации, она не лишена и некоторых недостатков. Например, при условии, что структура компании будет часто меняться, вам придется каждый раз перестраивать сеть. Если такая перспектива вас не устраивает, следует избрать другой тип структуры имен.

Успех применения географической структуры имен (geographical naming structure) на­прямую зависит от размеров вашей организации. Выделение отдельных управляемых элемен­тов организации производится на основе ее географического расположения. Пример подоб­ной структуры показан на рис. 8.3.

Рис. 8.3. Географическая структура имен

Географическая модель является устойчивой. Действительно, имена городов, исполь­зованные на рис. 8.3, вряд ли изменятся в ближайшее время. Эта модель также более гибкая по сравнению с организационной моделью. Самый существенный недостаток географической структуры имен заключается в том, что она не отражает реальную структуру вашей компании.

Следующий вид модели — смешанная. Такая модель претендует на звание универсальной, поскольку она сочетает в себе характеристики организационной и географической структур. Простой пример смешанной структуры имен приведен на рис. 8.4. (Помните, что выбор структуры имен существенно зависит от размера и структуры вашей организации.)

Рис. 8.4. Объединение организационной и географической структур имен

Обычно в смешанной модели первому домену присваивается имя DNS, а каждому дочерне­му домену существующего домена— имя х. mmh_DNS . com. При именовании доменов нужно использовать только стандартные символы Internet, определенные в документе RFC 1123: боль­шие и малые буквы латинского алфавита (A-Z, a-z), цифры от 0 до 9 и символ дефиса (-). Это позволяет быть уверенным в том, что развернутая вами служба Active Directory совместима со стандартным программным обеспечением. Используя в качестве руководства описанные выше структуры имен, вы легко создадите свою собственную схему именования.