Подразделения Подразделения

Подразделение представляет собой особенно полезный тип объекта каталога, содержащийся внутри доменов. Подразделениями называются контейнеры Active Directory, в которые можно помещать пользователей, группы, компьютеры и другие подразделения. Подразделение не может содержать объекты из других доменов.

Подразделение является наименьшей областью или единицей, которой можно назначить параметры групповой политики или делегировать административные права. С помощью подразделения в домене можно создавать контейнеры, отражающие иерархическую и логическую структуры внутри организации. Можно управлять конфигурацией, а также использовать учетные записи и ресурсы основанные на модели организации. Дополнительные сведения о параметрах групповой политики см. в разделе Групповая политика (до консоли управления групповой политикой).

Как показано на рисунке, подразделения могут иметь в своем составе другие подразделения. Иерархия контейнеров при необходимости может быть расширена для моделирования иерархической структуры организации в пределах домена. Использование подразделений помогает минимизировать количество доменов, необходимых для сети.

Можно использовать подразделения для создания административной модели, масштабируемой до любого размера. Пользователь может иметь административные права для одного или для всех подразделений в домене. Администратору подразделения не требуются административные права для других подразделений того же домена. Дополнительные сведения о делегировании административных прав см. в разделе Делегирование администрирования.

Роли сервера Active Directory Роли сервера Active Directory

Компьютеры, функционирующие в качестве серверов, могут иметь одну из двух ролей: рядовой сервер или контроллер домена. Сервер, находящийся вне домена, называется выделенным сервером.

Рядовые серверы

Рядовым сервером является компьютер, который отвечает следующим условиям:

• Работает под управлением операционной системы семейства Windows 2000 Server или семейства Windows Server 2003.

• подключен к домену;

• не является контроллером домена.

Рядовой сервер не обрабатывает информацию о входе пользователей в сеть, не участвует в репликации Active Directory и не хранит сведений о политике безопасности домена.

Рядовые серверы обычно выполняют функции файловых серверов, серверов приложений, серверов баз данных, веб-серверов, серверов сертификатов, брандмауэров или серверов удаленного доступа. Дополнительные сведения о ролях серверов см. в разделе Роли сервера.

Следующие возможности, связанные с безопасностью, являются общими для всех рядовых серверов:

• Рядовые серверы придерживаются политики безопасности, определенной для сайта, домена или подразделения.

• Управление доступом осуществляется для ресурсов, доступных на рядовом сервере.

• Пользователи рядовых серверов имеют назначенные права пользователей.

• На рядовом сервере находится база данных локальной политики учетных записей — диспетчер учетных записей (SAM).

Контроллеры домена

Контроллером домена является компьютер, который отвечает следующим условиям:

• Работает под управлением операционной системы семейства Windows 2000 Server или семейства Windows Server 2003.

• Использует Active Directory для хранения копии базы данных домена, доступной для чтения и записи, участвует в репликации с несколькими хозяевами и проверяет учетные данные пользователей при входе в сеть.

Контроллеры домена хранят данные каталога и управляют взаимодействием между пользователями и доменом, а именно: процессом входа в домен, проверкой подлинности и поиском в каталоге. Контроллеры домена синхронизируют данные каталога путем репликации с несколькими хозяевами, постоянно проверяя согласованность информации. Дополнительные сведения о репликации с несколькими хозяевами см. в разделе Общие сведения о репликации.

Active Directory поддерживает репликацию данных каталога с несколькими хозяевами между всеми контроллерами домена в домене. Однако для репликации некоторых данных каталога репликация с несколькими хозяевами недопустима. В этом случае данные будет обрабатывать контроллер домена, называемый хозяином операций. Лес Active Directory поддерживает не менее пяти ролей хозяина операций, назначаемых одному или нескольким контроллерам домена. Дополнительные сведения о хозяевах операций см. в разделе Роли хозяев операций.

При изменении вычислительной среды может возникнуть необходимость изменить роли серверов. При помощи мастера установки Active Directory можно установить Active Directory на рядовом сервере, сделав его таким образом контроллером домена. Можно также сделать контроллер домена рядовым сервером, удалив с него Active Directory. Дополнительные сведения о контроллерах домена см. в разделе Контроллеры домена.

Примечание

• Active Directory нельзя установить на компьютер, работающий под управлением Windows Server 2003, Web Edition, но можно присоединить компьютер к домену Active Directory как рядовой сервер. Дополнительные сведения о Windows Server 2003, Web Edition см. в разделе Общие сведения о Windows Server 2003, Web Edition.