- •Введение в Active Directory Введение в Active Directory
- •Новые возможности Active Directory Новые возможности Active Directory в Windows Server 2003 Service Pack 1 (sp1)
- •Новые возможности Active Directory в Windows Server 2003
- •Новые возможности Active Directory уровня домена и уровня леса
- •Сведения о безопасности для Active Directory Сведения о безопасности для Active Directory
- •Защита доступа к сети
- •Общее представление о службе Active Directory. Общее представление о службе Active Directory.
- •Защита Active Directory Защита Active Directory
- •Управление доступом в Active Directory Управление доступом в Active Directory
- •Дескрипторы безопасности
- •Наследование объектов
- •Проверка подлинности пользователя
- •Именование в Active Directory Именование в Active Directory
- •Учетные записи пользователей
- •Учетные записи компьютеров
- •Хранилище данных каталога Хранилище данных каталога
- •Квоты и разделы каталога
- •Протокол доступа к каталогам Протокол доступа к каталогам
- •Протокол ldap
- •Ldap и взаимодействие
- •Учетные записи пользователей и компьютеров Учетные записи пользователей и компьютеров
- •Учетные записи пользователей
- •Защита учетных записей пользователей
- •Параметры учетных записей
- •Учетные записи InetOrgPerson
- •Учетные записи компьютеров
- •Имена объектов Имена объектов
- •Подразделения Подразделения
- •Роли сервера Active Directory Роли сервера Active Directory
- •Рядовые серверы
- •Контроллеры домена
- •Клиенты Active Directory Клиенты Active Directory
- •Общее представление о доменах и лесах Общее представление о доменах и лесах
- •Контроллеры домена Контроллеры домена
- •Определение количества необходимых контроллеров домена
- •Физическая безопасность
- •Архивация контроллеров домена
- •Обновление контроллеров домена
- •Переименование контроллеров домена Переименование контроллеров домена
- •Подключение к контроллерам домена, работающим под управлением Windows 2000 Подключение к контроллерам домена, работающим под управлением Windows 2000
- •Домены Домены
- •Создание домена
- •Планирование нескольких доменов
- •Удаление домена
- •Доверительные отношения между доменами
- •Переименование доменов Переименование доменов
- •Изменение структуры леса
- •Функциональность домена и леса Функциональность домена и леса
- •Режимы работы домена
- •Режимы работы леса
- •Повышение режимов работы домена и леса Повышение режимов работы домена и леса
- •Разделы каталога приложений Разделы каталога приложений
- •Именование разделов каталога приложений
- •Репликация разделов каталога приложений
- •Домен ссылок дескрипторов безопасности
- •Разделы каталога приложений и понижение роли контроллера домена Разделы каталога приложений и понижение роли контроллера домена
- •Определение приложения, использующего раздел каталога приложений
- •Определение безопасности удаления последней реплики
- •Поиск средства удаления раздела, входящего в состав приложения
- •Удаление раздела каталога приложений с помощью специального средства или программы Ntdsutil
- •Управление разделами каталога приложений Управление разделами каталога приложений
- •Создание раздела каталога приложений
- •Удаление раздела каталога приложений
- •Добавление или удаление реплики раздела каталога приложений
- •Задание домена ссылок раздела каталога приложений
- •Задание задержки уведомления репликации
- •Просмотр сведений о разделе каталога приложений
- •Делегирование создания разделов каталога приложений
- •Роли хозяев операций Роли хозяев операций
- •Роли хозяина операций на уровне всего леса
- •Хозяин схемы
- •Хозяин именования домена
- •Роли хозяина операций на уровне всего домена
- •Хозяин rid
- •Хозяин эмулятора pdc
- •Хозяин инфраструктуры
- •Передача ролей хозяев операций Передача ролей хозяев операций
- •Действия при неполадках хозяина операций Действия при неполадках хозяина операций
- •Сбой хозяина схемы
- •Сбой хозяина именования доменов
- •Сбой хозяина rid
- •Сбой хозяина эмулятора pdc
- •Сбой хозяина инфраструктуры
- •Область действия группы Область действия группы
- •Когда следует использовать группы с локальной доменной областью действия
- •Когда следует использовать группы с глобальной областью действия
- •Когда следует использовать группы с универсальной областью действия
- •Изменение области действия группы
- •Группы на клиентских компьютерах и изолированные серверы
- •Типы группы Типы группы
- •Группы распространения
- •Группы безопасности
- •Преобразование групп безопасности и распространения
- •Группы по умолчанию Группы по умолчанию
- •Группы в контейнере Builtin
- •Группы в контейнере «Пользователи»
- •Вложенность групп Вложенность групп
- •Специальные удостоверения Специальные удостоверения
- •Где могут создаваться группы Где могут создаваться группы
- •Общее представление об отношениях доверия
- •Общее представление об отношениях доверия
- •Протоколы отношений доверия
- •Объекты доверенного домена
- •Типы доверия Типы доверия
- •Доверия по умолчанию
- •Другие доверия
- •Направление отношения доверия Направление отношения доверия
- •Одностороннее отношение доверия
- •Двустороннее отношение доверия
- •Транзитивность доверия Транзитивность доверия
- •Транзитивные доверительные отношения
- •Нетранзитивное доверительное отношение
- •Когда следует создавать внешнее доверие Когда следует создавать внешнее доверие
- •Защита внешних доверий
- •Как действует карантин фильтрации кодов безопасности
- •Общее представление об угрозе
- •Влияние карантина фильтрации кодов sid
- •Отключение карантина фильтрации sid
- •Разрешение прохождения отношений доверия лесов для журнала sid
- •Когда необходимо создавать сокращенное доверие Когда необходимо создавать сокращенное доверие
- •Использование одностороннего доверия
- •Использование двустороннего доверия
- •Когда необходимо создавать отношение доверия со сферой Когда необходимо создавать отношение доверия со сферой
- •Когда необходимо создавать доверие лесов Когда необходимо создавать доверие лесов
- •Использование одностороннего доверия лесов
- •Использование двустороннего доверия лесов
- •Доверия лесов Доверия лесов
- •Управление средой с несколькими лесами
- •Делегирование управления администрированием уровня леса
- •Синхронизация данных через леса
- •Доступ к ресурсам через домены Доступ к ресурсам через домены
- •Планирование стратегии управления доступом для нескольких доменов
- •Советы и рекомендации по контролю доступа к общим ресурсам доменов
- •Выборочная проверка подлинности между доменами, соединенными внешним доверием
- •Доступ к ресурсам через леса Доступ к ресурсам через леса
- •Подсказки по маршрутизации
- •Планирование стратегии управления доступом для нескольких лесов
- •Советы и рекомендации по использованию групп безопасности через леса
- •Выборочная проверка подлинности между лесами
- •Маршрутизация суффиксов имен между лесами Маршрутизация суффиксов имен между лесами
- •Обнаружение конфликтов
- •Использование сайтов
- •Использование подсетей для защиты сайтов
- •Принадлежность компьютеров к сайтам
- •Общее представление о сайтах и доменах
- •Общие сведения о репликации Общие сведения о репликации
- •Подготовка данных для репликации
- •Повышение эффективности репликации с сайтами
- •Определение топологии репликации
- •Улучшения репликации в семействе Windows Server 2003
- •Как работает репликация Как работает репликация
- •Передача данных репликации
- •Предотвращение ненужной репликации
- •Разрешение конфликтующих изменений
- •Улучшение эффективности репликации
- •Репликация в пределах сайта Репликация в пределах сайта
- •Построение топологии внутрисайтовой репликации
- •Определение времени выполнения внутрисайтовой репликации
- •Репликация между сайтами Репликация между сайтами
- •Построение топологии межсайтовой репликации
- •Определение времени выполнения межсайтовой репликации
- •Когда следует устанавливать одиночные или раздельные сайты Когда следует устанавливать одиночные или раздельные сайты
- •Почему важна пропускная способность
- •Когда следует устанавливать одиночный сайт
- •Когда следует устанавливать раздельные сайты
- •Пропускная способность Пропускная способность
- •Частота репликации
- •Доступность связи сайтов
- •Настройка мостов связей сайтов
- •Настройка основных серверов-плацдармов
- •Репликация глобального каталога Репликация глобального каталога
- •Добавление атрибутов
- •Запрет непредвиденного доступа к данным глобального каталога
- •Влияние универсальных групп на репликацию глобального каталога
- •Настройка глобального каталога Настройка глобального каталога
- •Глобальные каталоги и сайты Глобальные каталоги и сайты
- •Кэширование членства в универсальных группах
- •Интеграция с групповой политикой Интеграция с групповой политикой
- •Общее представление о схеме Общее представление о схеме
- •Как определяются объекты каталога
- •Как хранится схема
- •Кэш схемы
- •Обеспечение безопасности схемы
- •Классы и атрибуты схемы Классы и атрибуты схемы
- •Типы классов
- •Атрибуты
- •Однозначные и многозначные атрибуты
- •Индексированные атрибуты
- •Имена объектов схемы Имена объектов схемы
- •Отображаемого имени протокола ldap.
- •Обычное имя
- •Идентификатор объекта
- •Правила именования объектов схемы
- •Псевдонимы очереди сообщений
- •Деактивация класса или атрибута Деактивация класса или атрибута
- •Включение отключенного класса
- •Включение отключенного атрибута
- •Расширение схемы Расширение схемы
- •Перед расширением схемы
- •Как расширить схему
- •Использование проверочного леса
- •Использование мастера установки Active Directory Использование мастера установки Active Directory
- •Конфигурация dns
- •Поддержка имеющихся приложений
- •Создание дополнительного контроллера домена Создание дополнительных контроллеров домена
- •Использование носителя архива для создания дополнительных контроллеров домена
- •Создание нового дерева доменов Создание нового дерева доменов
- •Создание нового дочернего домена Создание нового дочернего домена
- •Создание нового леса Создание нового леса
- •Когда следует создавать новый лес
- •Роли хозяев операций в новом лесу
- •Добавление новых доменов в состав леса
- •Перед созданием нового леса
- •Обновление основного контроллера домена
- •Обновление всех оставшихся резервных контроллеров домена
- •Завершение обновления домена
- •Установка клиентского программного обеспечения Active Directory на устаревшие компьютеры клиентов
- •Обновление домена Windows 2000 Обновление домена Windows 2000
- •Преобразованные группы и Microsoft Exchange
- •Использование преобразованных групп на серверах под управлением Windows Server 2003
- •Администрирование Active Directory Администрирование Active Directory
- •Использование команды «Запуск от имени» Использование команды «Запуск от имени»
- •Использование сохраненных запросов Использование сохраненных запросов
- •Управление службой Active Directory из mmc Управление службой Active Directory из mmc
- •Настройка режима отображения данных в средствах администрирования и оснастках Active Directory
- •Использование оснастки «Active Directory - пользователи и компьютеры»
- •Запуск консолей mmc в Active Directory из командной строки
- •Управление Active Directory из командной строки Управление Active Directory из командной строки
- •Поиск данных каталога Поиск данных каталога
- •Ограничение доступа к данным каталога
- •Эффективные поисковые средства
- •Администрирование других доменов Администрирование других доменов
- •Делегирование администрирования Делегирование администрирования
- •Безопасное делегирование администрирования
- •Настройка консолей mmc для определенных групп
- •Использование групповой политики для публикации и назначения специальных консолей
- •Публикация ресурсов Публикация ресурсов
- •Публикация пользователей и компьютеров
- •Публикация общих принтеров
- •Публикация общих папок
- •Публикация служб
- •Категории данных службы
- •Характеристики данных служб
- •Задачи для выполнения на контроллере домена
- •Задачи для выполнения на серверах приложений
- •Средства поддержки Active Directory Средства поддержки Active Directory
- •Список и описание программ
- •Интерфейсы программирования Интерфейсы программирования
Роли хозяев операций в новом лесу
При создании первого леса в организации все пять ролей хозяина операций автоматически назначаются первому контроллеру домена в лесу. При добавлении в лес новых дочерних доменов первому контроллеру каждого из них автоматически назначаются следующие роли.
Хозяин относительных идентификаторов.
Эмулятор основного контроллера домена.
Хозяин инфраструктуры.
Так как в составе леса может существовать только один хозяин схемы и один хозяин именования доменов, данные роли остаются в корневом домене леса. При использовании леса Active Directory с одним доменом и одним контроллером домена данный контроллер выполняет роли всех хозяев операций. Дополнительные сведения см. в разделе Роли хозяев операций.
Добавление новых доменов в состав леса
В домене хранятся только сведения об объектах, расположенных в данном домене. Таким образом, путем создания нескольких доменов внутри одного леса каталог Active Directory разделяется для улучшения обслуживания различных пользовательских баз.
Наиболее простой для администрирования структурой домена является одиночный домен внутри одного леса. При планировании следует начинать с создания одиночного домена, а затем добавлять дополнительные домены, когда модель одиночного домена более не будет удовлетворять поставленным требованиям. Дополнительные сведения о создании доменов см. в разделе Домены.
Перед созданием нового леса
Для функционирования Active Directory требуется DNS, имеющая ту же иерархическую структуру, что и Active Directory. Например, microsoft.com является доменом DNS и доменом Active Directory. Вследствие отношения доверия между Active Directory и DNS перед созданием нового леса необходимо внимательно изучить основные понятия Active Directory и DNS. Дополнительные сведения см. в разделе Контрольный список для создания нового леса.
Обновление Windows NT или Windows 2000
Обновление Windows NT или Windows 2000
В этом разделе представлены следующие темы:
Общие сведения об обновлении
Обновление домена Windows NT
Обновление домена Windows 2000
Преобразование групп
Общие сведения об обновлении
Общие сведения об обновлении
Служба каталогов Active Directory® совместима с Microsoft® Windows NT® и поддерживает набор операций, которые поддерживают контроллеры домена, работающие под управлением Windows NT 4.0, Windows® 2000 и Windows Server 2003. Это позволяет обновлять домены и компьютеры при необходимости, в зависимости от потребностей предприятия.
Active Directory поддерживает протокол NTLM, используемый операционной системой Windows NT. Это позволяет прошедшим проверку подлинности пользователям и компьютерам из домена Windows NT входить в систему и получать доступ к ресурсам в доменах Windows 2000 или Windows Server 2003. Для клиентов, работающих под управлением Windows NT, Windows 95 или Windows 98 и не имеющих установленного клиентского программного обеспечения Active Directory, домен Windows 2000 или Windows Server 2003 выглядит как домен Windows NT 4.0. Дополнительные сведения см. в разделе Клиенты Active Directory.
Обновление до Active Directory может быть постепенным и выполняться без прерывания операций. Если следовать рекомендациям по обновлению домена, для обновления контроллеров домена, рядовых серверов или рабочих станций никогда не потребуется отключать домен. При обновлении домена Windows NT сначала необходимо обновить основной контроллер домена. После этого можно обновить рядовые серверы и рабочие станции в любое время. Дополнительные сведения см. в разделе Обновление домена Windows NT.
Active Directory разрешает обновление любой модели домена Windows NT 4.0 и поддерживает как централизованную, так и децентрализованную модель. Модель с одним или несколькими главными доменами можно легко обновить до леса Active Directory.
Обновление домена Windows NT
Обновление домена Windows NT
Для обновления домена Windows NT рекомендуется указанная ниже последовательность действий.
Планирование и создание пространства имен и инфраструктуры DNS
Так как служба DNS необходима для Active Directory, необходимо убедиться, что создана служба DNS и пространство имен Active Directory, а также настроены серверы DNS, либо служба DNS будет автоматически создана с помощью мастера установки Active Directory. Дополнительные сведения см. в разделах Интеграция с DNS и Планирование пространства имен для DNS.
Определение функциональности леса
Функциональность леса определяет, какие возможности Active Directory могут быть включены внутри сферы одного леса. Каждый режим работы леса имеет специальные требования к версиям операционных систем, под управлением которых могут работать контроллеры домена в лесу. Например, для работы леса в режиме Windows Server 2003 необходимо, чтобы все контроллеры домена работали под управлением продуктов семейства Windows Server 2003.
При обновлении первого домена Windows NT до Windows Server 2003 рекомендуется установить режим работы леса предварительной версии Windows Server 2003, который будет предложен в процессе установки. Этот режим включает все возможности режима Windows 2000, в том числе две существенные, указанные ниже, дополнительные обработки репликации Active Directory.
Улучшенная эффективность и масштабируемость репликации. Дополнительные сведения см. в разделе Общие сведения о репликации.
Репликация связанного значения для повышения эффективности репликации участия в группах. Дополнительные сведения см. в разделе Как работает репликация.
Дополнительные сведения см. в разделе Новые возможности Active Directory.
Режим работы леса предварительной версии Windows Server 2003 доступен только при обновлении первого домена Windows NT в составе нового леса и может быть настроен вручную после обновления. Дополнительные сведения о настройке этого режима работы вручную (на английском языке) см. в разделе «Upgrading Windows NT 4.0 Domains to Windows Server 2003» на веб-узле Microsoft Windows Resource Kits. Режим работы леса предварительной версии Windows Server 2003 поддерживает контроллеры домена под управлением только Windows Server 2003 и Windows NT и не поддерживает контроллеры домена под управлением Windows 2000. Невозможно установить Active Directory на серверы под управлением Windows 2000 в лесу, работающем в режиме предварительной версии Windows Server 2003. Дополнительные сведения о функциональности леса см. в разделе Функциональность домена и леса.