Протокол доступа к каталогам Протокол доступа к каталогам

При входе в сеть и при поиске общих ресурсов клиенты Active Directory должны взаимодействовать с контроллерами домена. Доступ к контроллерам домена и глобальным каталогам выполняется при помощи протокола LDAP.

Протокол ldap

LDAP является протоколом связи, предназначенным для использования в сетях TCP/IP. Протокол LDAP определяет способ доступа клиента каталога к серверу каталога и метод, с помощью которого клиент может выполнять операции каталога и распределять данные каталога. Стандарты LDAP устанавливаются рабочими группами IETF (Internet Engineering Task Force). Active Directory реализует проект спецификаций атрибутов LDAP и стандарты IETF для LDAP версий 2 и 3.

Название LDAP означает, что этот протокол разработан как эффективный метод для доступа к службам каталогов без сложности, присущей другим протоколам служб каталогов. Поскольку LDAP определяет операции, которые могут выполняться для запроса и изменения сведений в каталоге, и способ безопасного доступа к сведениям каталога, можно использовать LDAP для поиска или перечисления объектов каталога, а также для запроса или администрирования Active Directory.

Ldap и взаимодействие

LDAP является открытым стандартом Интернета. При использовании протокола LDAP Active Directory разрешает взаимодействие с другими службами каталогов поставщиков. Поддержка Active Directory для LDAP включает объект поставщика LDAP как часть интерфейсов (ADSI). ADSI поддерживает интерфейсы программирования приложений с передачей параметров в стиле языка Си для LDAP. Другие приложения служб каталогов могут быть легко изменены для доступа к сведениям в Active Directory с помощью ADSI и LDAP.

Дополнительные сведения о LDAP см в документах IETF на веб-узле Internet Engineering Task Force.

Примечание

• Веб-адреса могут изменяться, поэтому возможно, что к одному или нескольким указанным здесь узлам подключиться не удастся.

Учетные записи пользователей и компьютеров Учетные записи пользователей и компьютеров

Учетные записи пользователей и учетные записи компьютеров Active Directory представляют собой такие же физические объекты, как компьютер или пользователь. Учетные записи пользователей также могут использоваться как записи выделенных служб для некоторых приложений.

Учетные записи пользователей и компьютеров (а также группы) называются участниками безопасности. Участники безопасности являются объектами каталогов, которым автоматически назначаются коды безопасности (SID) для доступа к ресурсам домена. Учетная запись пользователя или компьютера используется для следующих целей.

• Проверка подлинности пользователя или компьютера. Учетная запись пользователя дает право войти в компьютеры и в домен с подлинностью, проверяемой доменом. Сведения о проверке подлинности, см. в разделе Управление доступом в Active Directory. Каждый входящий в сеть пользователь должен иметь собственную учетную запись и пароль. Для обеспечения максимальной безопасности следует запретить пользователям использовать одну и ту же учетную запись.

• Разрешение или запрещение доступа к ресурсам домена. Как только проверка подлинности пользователя завершена, он получает или не получает доступ к ресурсам домена в соответствии с явными разрешениями, назначенными данному пользователю на ресурсе. Дополнительные сведения см. в разделе Сведения о безопасности для Active Directory.

• Администрирование других участников безопасности. Active Directory создает объект «Участник внешней безопасности» в локальном домене для представления каждого участника безопасности из внешнего доверенного домена. Дополнительные сведения о внешних участниках безопасности см. в разделе Когда следует создавать внешнее доверие.

• Аудит действий, выполняемых с использованием учетной записи пользователя или компьютера. Аудит помогает при наблюдении за безопасностью учетных записей. Дополнительные сведения об аудите см. в разделе Общие сведения об аудите.