Объекты

Информация в справочной базе данных Active Directory представлена в виде иерархически организованного набора объектов, которые соответствуют отдельным пользователям, группам пользователей, компьютерам, принтерам, раз­деляемым папкам, элементам структуры (доменам и организационным едини­цам¹), конфигурационным параметрам и другим сетевым ресурсам. Объекты могут создаваться как «вручную» администратором, который использует для этой цели диалоговые средства Active Directory, так и автоматически службой Active Directory и другим программным обеспечением.

Объект уникально идентифицируется своим именем и представляет собой набор значений атрибутов, которые свойствены данному классу объектов.

Класс объектов — это формальное описание множества объектов, имеющих сходную природу и вследствие этого характеризуемых одним и тем же набором обязательных и необязательных атрибутов.

Соотношение между классом объектов и объектом примерно такое же, как между переменной и ее значением. Атрибуты, определенные для класса объектов, принимают разные значения для разных объектов.

Из определения класса объектов следует, что объекты, содержащие информацию о компьютерах, относятся к одному классу объектов, а объекты, представляющие принтеры, — к другому. Рассмотрим, например, стандартный для Active Directory класс объектов user. Этот класс задает множество атрибутов, которыми может быть представлена информация о пользователях. Как и другие классы объектов, класс user определяет набор обязательных и необязательных атрибутов. В число семи обязательных атрибутов объектов этого класса входит, в частности, каноническое имя пользователя, а номер телефона является примером одного из 250 возможных необязательных атрибутов.

Когда администратор регистрирует нового пользователя, в базе данных Active Directory для этого пользователя создается учетная запись, которая и представляет собой объект. Для всех обязательных и для некоторых необязательных атрибутов данного объекта устанавливаются вполне определенные значения. На­пример, регистрируя в качестве пользователя некую Полину, администратор определяет значение канонического имени пользователя (обязательного атрибута) — Polina и значение номера телефона (необязательного атрибута) — 22345777. Таким образом, появляется новый объект класса user.

Глобальный каталог

Задача распределенной справочной службы состоит в предоставлении клиентам контролируемого доступа ко всем объектам сети, даже если источник запроса и запрашиваемый ресурс находятся в разных доменах.

Для решения этой задачи используется глобальный каталог. В отличие от доменных баз данных, которые хранят объекты, относящиеся только к собственным доменам, в базе данных глобального каталога хранится информация обо всех объектах сети. Однако в отличие от доменных баз данных, Хранящих объект со всеми его атрибутами, в глобальном каталоге каждый объект пред­ставлен в виде «усеченной» версии, которая, как минимум, должна содержать атрибут¹, указывающий на местонахождение полной версии объекта. Такого рода атрибутом для большинства объектов является отличительное имя (Dis­tinguished Name, DN), которое однозначно в пределах всей сети идентифицирует объект.

Глобальный каталог легко достижим для запросов всех клиентов, так как в каждом домене хранится одна или несколько его копий. Обычно администратор выделяет для хранения глобального каталога, по меньшей мере, по одному контроллеру на каждый сайт, такие контроллеры называют также серверами глобального каталога.

Для поиска объектов пользователь может направлять запрос к Active Directory, указывая отличительное имя объекта. Это имя подобно полному составному символьному имени файла в иерархической файловой системе, только в нем вместо имен каталогов указываются имена доменов и других узлов иерархиче­ской структуры базы данных объектов. Средства пользовательского интерфей­са позволяют пользователю обращаться к объекту по его краткому имени — от­носительному отличительному имени. В этом случае служба Active Directory сама дополняет его до полного имени, используя контекстную информацию. Аналогично поиску файлов в файловой системе, поиск объекта может осущест­вляться и по значению какого-либо его атрибута. Например, чтобы найти объект класса user, клиент справочной службы может указать имя пользователя или адрес его электронной почты, а при поиске принтера — его тип. В этом слу­чае Active Directory может вернуть клиенту информацию о нескольких объек­тах, каждый из которых удовлетворяет запросу, давая возможность пользовате­лю самостоятельно выбрать интересующий его объект. Информация в главном каталоге позволяет определить DNS-имя контроллера, в котором хранится объ­ект. На основании этого имени система DNS определяет IP-адрес контроллера, после чего задачу доступа к требуемому объекту можно считать решенной.

Наряду с поиском объектов на основе глобального каталога решается еще одна важнейшая задача справочной службы — глобальная аутентификация пользователей. Слово «глобальная» в данном случае означает, что пользователь при определенных условиях может выполнять логический вход в сеть с любого компьютера любого домена сети. Такая принципиальная возможность появля­ется благодаря тому, что в глобальном каталоге хранится информация об уни­версальных группах пользователей, в которые могут включаться члены разных доменов. А это значит, что для процедуры аутентификации пользователя, входящего в одну из таких групп, достаточно обращения к ближайшему контролле­ру локального домена, который хранит копию глобального каталога. Например, если сотруднику некоторого предприятия в Томске, оказавшемуся в командировке в барнаульском отделении, потребовалось выполнить некоторую работу на компьютере, то он может войти в сеть с любого компьютера сети данного предприятия в Барнауле независимо от того, относятся ли сети в Томске и Бар­науле к одному и тому же домену или нет. Набрав идентификатор и пароль, полученные при регистрации от администратора в томском отделении, командированной сотрудник получает доступ к ресурсам сети в соответствии с теми же правами и разрешениями, которые он имел, входя в сеть со своего рабочего компьютера в Томске. Важно, что для аутентификации этого сотрудника вме­сто сравнительно медленной процедуры получения информации от удаленного сервера томского фрагмента сети здесь выполняется быстрый доступ к локаль­ному серверу, хранящему копию глобального каталога.

Active Directory позволяет также выполнять глобальную авторизацию: при обращении к какому-либо ресурсу, расположенному в удаленном домене, при­ложению или пользователю не требуется взаимодействовать для проверки Пра­вомочности доступа с контроллером этого домена, достаточно обратиться к ближайшему серверу глобального каталога, в котором, помимо атрибутов о местонахождении каждого из объектов сети, могут храниться атрибуты, опи­сывающие, какой вид доступа к этим объектам разрешен.

Возможность глобальной аутентификации и авторизации пользователей снижает трафик и нагрузку на сеть.