3-2 Основи планування та адміністрування служб доступу до інформаційних ресурсів / ЛБ / Книга Active directory

ПРИМЕЧАНИЕ Ответы

Ответы на эти вопросы с пояснениями, почему тот или иной вариант является правильным или неправильным, вы найдете в разделе «Ответы» в конце книги,

1.Клиентские компьютеры в филиале медленно работают во время входа.

Вотчетах указано, что их сервером входа является контроллер домена в удаленном узле, а не контроллер домена филиала. Чем обусловлена данная проблема?

A. Для сайта не назначен контроллер домена филиала. Б. Сайту филиала не назначена связь сайтов.

B. Диапазон IP-адресов филиала не связан с сайтом. Г. Подсеть филиала назначена для двух сайтов.

2. Вы добавляете в филиал контроллер домена только для чтения. Вам нужно, чтобы клиенты проходили проверку подлинности с помощью контроллера RODC. Что для этого требуется? (Укажите все варианты.)

A. Объект подсети с сетевым префиксом диапазона IP-адресов филиала. Б. Учетная запись контроллера домена в подразделении сайта.

B. Транспорт связи сайтов для узла.

Г.Объект сервера в объекте сайта филиала.

Занятие 2. Настройка глобального каталога и разделов каталогов приложений

При перемещении нескольких контроллеров в домене нужно учесть репликацию базы данных каталогов между контроллерами. На этом занятии мы рассмотрим разделы каталога, реплицируемые на каждый контроллер домена в лесу, а также принцип управления репликацией глобального каталога и разделов приложений.

Изучив материал этого занятия, вы сможете:

У Определять назначение глобального каталога.

S Конфигурировать контроллеры домена как серверы глобального каталога. S Реализовывать кэширование членства универсальных групп.

S Определять роль разделов каталога приложений.

Продолжительность занятия — около 45 мин.

Просмотр разделов Active Directory

Вглаве 1 говорилось о том, что для идентификации и управления доменные службы AD DS включают специальное хранилище — базу данных Ntds.dit.

Вэтом отдельном файле и содержатся разделы каталога. Каждый раздел каталога, который также называется контекстом именования, хранит объекты

с отдельной областью и специальным назначением. В данной книге описаны три основных контекста именования:

•Домен (Domain) Контекст именования доменов (Naming Context, NC) содержит все объекты домена, включая пользователей, группы, компьютеры и контейнеры групповой политики (Group Policy Container, GPC).

Каждый контроллер домена поддерживает копию, или реплику, нескольких контекстов именования. Конфигурация реплицируется на каждый контроллер домена в лесу, равно как и схема. Контекст именования для домена реплицируется на все контроллеры в домене, но не реплицируется на контроллеры в других доменах, так что каждый контроллер содержит минимум три реплики: контекст именования ( N C ) для своего домена, конфигурацию и схему.

По традиции эти полные реплики включают все объекты и атрибуты с возможностью записи на каждом контроллере домена. Однако контроллер RODC в Windows Server 2008 поддерживает реплику лишь с правом чтения всех объектов в контекстах именования конфигурации, схемы и домена. В то же время определенные атрибуты, в частности пользовательские пароли, не реплицируются на контроллер R O D C , если политика контроллера RODC не разрешает такую репликацию. На контроллеры RODC также никогда не реплицируются атрибуты, являющиеся секретными данными домена и леса.

Глобальный каталог

Представим себе лес с двумя доменами, каждый из которых содержит два контроллера. Все четыре контроллера домена поддерживают реплику схемы и конфигурации леса. Контроллеры в домене А содержат реплики контекста именования (NC) домена А, а контроллеры в домене Б — реплики NC домеиа Б.

Что происходит при выполнении пользователем в домене Б поиска пользователя, компьютера или группы из домена А? Контроллеры в домене Б не поддерживают информацию об объектах в домене А, поэтому контроллер в домене Б может не ответить на запрос объектов в NC домена А.

Для выполнения таких задач используется глобальный каталог. Глобальный каталог (Global Catalog, GC) — это раздел, который хранит информацию о каждом объекте в лесу. Когда пользователь в домене Б выполняет поиск объекта домена А, результаты запроса предоставляет глобальный каталог. Для оптимизации эффективности GC содержит лишь поднабор атрибутов, которые используются для поиска среди доменов. По этой причине глобальный каталог GC также называют частичным набором атрибутов (Partial Attribute Set, PAS). В отношении поддержки поиска глобальный каталог можно сравнить с типом индекса для хранилища данных AD DS.

Размещение серверов глобального каталога

Глобальный каталог, значительно повышающий эффективность службы каталога, необходим для таких приложений, как Microsoft Exchange Server и Microsoft Office Outlook. Поэтому он должен быть доступен для этих и других приложений. Каталог GC обслуживается только одним контроллером домена, и в идеале каждый контроллер домена должен быть сервером GC. Многие организации конфигурируют свои контроллеры доменов как серверы глобального каталога.

Потенциальный недостаток такой конфигурации связан с репликацией. Глобальный каталог — еще один раздел, который нужно реплицировать. В одном доменном лесу при настройке всех контроллеров домена как серверов GC требует незначительной нагрузки, поскольку все контроллеры домена уже поддерживают полный набор атрибутов для всех объектов домена и леса. В лесу из множества доменов дополнительная нагрузка связана с репликацией изменений частичного набора атрибутов в других доменах. Однако многие организации считают, что механизм репликации Active Directory достаточно эффективен для репликации GC без значительного влияния на сети, и ее преимущества компенсируют это негативное влияние. Если все контроллеры домена отконфигурировать как серверы GC, то больше не понадобится определять расположение хозяина операций инфраструктуры, поскольку эта роль не нужна в домене, все контроллеры которого являются серверами глобального каталога.

В частности, рекомендуется конфигурировать сервер GC на контроллере домена в узле, где выполняются следующие условия:

•чтобы выполнить запросы каталога, задействованное приложение нередко использует порт 3268 глобального каталога;

•подключение к серверу GC является медленным и нестабильным;

•этот сайт содержит компьютер Exchange Server.

Настройка сервера глобального каталога

При создании первого домена в лесу первый контроллер домена конфигурируется как сервер глобального каталога. Вы должны решить, должен ли каждый дополнительный контроллер домена являться сервером GC. Мастер установки доменных служб Active Directory (Active Directory Domain Services Installation Wizard) и команда Dcpromo.exe позволяют отконфигурировать сервер GC при повышении ранга рядового компьютера до контроллера домена. Глобальный каталог также можно добавить или удалить с контроллера домена с помощью оснастки Active Directory — сайты и службы (Active Directory Sites And Services). Разверните сайт, откройте контейнер Servers внутри сайта и разверните объект сервера контроллера домена. Щелкните правой кнопкой мыши узел NTDS Settings и выполните команду Свойства (Properties). На вкладке Общие (General), показанной на рис. 11-7, установите флажок Глобальный каталог (Global Catalog). Чтобы удалить GC с контроллера домена, выполните те же действия и сбросьте указанный флажок.

Рис. 11 -7. Флажок установки глобального каталога в диалоговом окне свойств NTDS Settings

Кэширование членства в универсальных группах

В главе 4 говорилось о том, что Active Directory поддерживает группы с универсальной областью видимости. В универсальные группы включаются пользователи и группы из множества доменов в лесу. Членство в универсальных группах реплицируется в глобальном каталоге. При входе пользователя данные его членства в универсальных группах извлекаются с сервера глобального каталога. Если глобальный каталог недоступен, членство в универсальных группах также недоступно. Универсальная группа применяется для того, чтобы запретить пользователю доступ к ресурсам — в таком случае система Windows не позволит ему проходить проверку подлинности в домене. Если пользователь раньше уже входил на компьютер, он может применить для входа кэшированные учетные данные, однако доступ к сетевым ресурсам будет запрещен. Таким образом, складывается следующая ситуация: если сервер GC недоступен, пользователи не смогут входить в сеть и получать доступ к сетевым ресурсам.

Такая проблема не возникает, если каждый контроллер домена является сервером глобального каталога. Однако при ограниченной репликации и невозможности назначить контроллер домена сервером GC для успешного входа можно включить кэширование членства универсальных групп (Universal Group Membership Caching, UGMC). При настройке такого кэширования контроллер домена в филиале получит данные членства универсальных групп из глобального каталога для пользователя, впервые вошедшего в сеть, и на неопределенный период кэширует эту информацию, обновляя данные членства универсальных групп каждые восемь часов. Таким образом, если сервер GC

' окажется недоступным, контроллер домена использует кэшнрованные данные членства универсальных групп, чтобы пользователь смог пойти в сеть.

Поэтому на контроллерах домена в сайтах с ненадежной связью с сервером GC рекомендуется отконфигурировать U G M C . Откройте оснастку Active Directory' - сайты и службы (Active Directory Sites And Services) н в дереве консоли выберите нужный сайт. На панели сведений щелкните правой кнопкой мыши элемент NTDS Site Settings и выполните команду Свойства (Properties). В диалоговом окне Свойства: NTDS Site Settings ( N T D S Site Settings Properties), показанном на рис. 11-8, установите флажок Разрешить кэширование членства в универсальных группах (Enable Universal Group Membership Caching) и укажите глобальный каталог, с которого будет выполняться обновление кэша членства в универсальных группах.

Рис. 11-8. Диалоговое окно свойств NTDS Site Settings с опцией включения кэширования членства в универсальных группах

Разделы каталога приложений

Итак, разделы домена, конфигурации и схемы реплицируются на все контроллеры в домене, разделы конфигурации и схемы затем реплицируются на все контроллеры доменов в лесу. Active Directory поддерживает разделы каталога приложений - секции хранилища данных, которые содержат объекты, необходимые для работы приложения или службы вне ядра служб AD DS. В отличие от других разделов вы можете нацеливать разделы приложений для репликации на конкретных контроллерах домеиа. По умолчанию они не реплицируются на все контроллеры доменов.

Разделы каталога приложений предназначены для поддержки приложении и служб каталогов и могут содержать объект любого типа, за исключением прин-

ципалов безопасности (пользователи, компьютеры или группы безопасности). Поскольку они р е п л и ц и р у ю т с я лишь по мере надобности, разделы каталога приложений обеспечивают преимущества отказоустойчивости, доступности и производительности, о п т и м и з и р у я трафик репликации.

Самый простой способ понять концепцию разделов каталога приложений — проанализировать его р а з д е л ы , поддерживаемые DNS-сервером Microsoft. Когда создается зона, интегрированная в Active Directory, записи DNS реплицируются между D N S - с е р в е р а м и с помощью раздела каталога приложений. Раздел и его объекты DNS - записей реплицируются лишь на те контроллеры домена, которые в ы п о л н я ю т роль DNS-серверов.

Разделы каталога приложений в лесу можно просмотреть с помощью оснастки Редактирование A D S I ( A D S I Edit). Щелкните правой кнопкой мыши корневой узел оснастки и выполните команду Подключение к (Connect То). В раскрывающемся списке Выберите известный контекст именования (Select A Well Known Naming C o n t e x t ) выберите контекст Конфигурация (Configuration) и щелкните О К . Разверните контейнер Конфигурация (Configuration) и папку, представляющую раздел конфигурации, а затем выберите в дереве консоли папку CN=Partitions. На панели сведений будут отображены разделы хранилища данных AD DS (рис. 11-9).

Обратите внимание на два раздела приложений ForestDnsZones и DomainDnsZones (см. рис. 11-9). Большинство разделов создаются приложениями, которым они необходимы. В качестве примеров можно привести DNS и интерфейс прикладного программирования д л я телефонии TAPI (Telephony Application Programming Interface). Ч л е н ы группы Администраторы предприятия (Enterprise Admins) также могут вручную создавать разделы каталога приложений с помощью утилиты Ntdsutil.exe.

Раздел приложений может быть добавлен в любом месте соответствующего именного пространства леса. Например, разделы DNS с отличительными именами DC=DomainDnsZones,DC=contoso,DC=com добавлены как дочерние разделы в раздел домена DC=contoso,DC=com . Раздел приложений также может являться дочерним разделом еще одного раздела приложений пли новым деревом в лесу.

азресу http^/iechne(2Miarisoft.com/Wmdou^erver/en/library/e 763e6fJaf1f?1033-mspx.

Впринципе для управления разделом каталога приложения, его данными

ирепликацией можно использовать средства этого приложения. Например, при простом добавлении интегрированной зоны Active Directory в DNS-сервер выполняется автоматическая настройка контроллера домена для получения реплики раздела DomainDns. С помощью таких инструментов, как Ntdsutil.exe

иLdp.exe. можно непосредственно управлять разделами каталога приложений.

К СВЕДЕНИЮ Управление разделами каталога приложений

Более подробную информацию о разделах каталога п р и л о ж е н и й м о ж н о найти по адресу hap://iechnet2jmcmsoft.com/\VindowsServer/en/library/920d6995-9ee9-46a 7-9d1b- 320e65c02d1a ЮЗЗлорх.

Важно систематизировать разделы каталога приложений до того, как будет удален контроллер домена. Если он управляет разделом каталога приложений, вы должны оценить назначение раздела, требуется ли он для всех приложений и является ли последней репликой, поскольку в таком случае удаление контроллера домена приведет к полной потере всей информации раздела. Хотя мастер установки доменных служб Active Directory предлагает удалить разделы каталога приложений, все же рекомендуется выполнять это вручную.

К СВЕДЕНИЮ Разделы каталога приложений и удаление контроллера домена

en/library/1572d8a2-622c-4879-bb0b-76e26c4001291033.mspx.

Практические занятия. Репликация и разделы каталога

В приведенных далее упражнениях предлагается отконфигурировать репликацию глобального каталога и проанализировать разделы каталога приложения DNS. Прежде чем приступить к выполнению этих упражнений, нужно выполнить упражнения занятия 1.

Упражнение 1. Настройка сервера глобального каталога

Первый контроллер домена в лесу является сервером глобального каталога. Вам нужно разместить серверы GC в дополнительных местах для поддержки запросов каталога, входа и таких приложений, как Exchange Server. Необходимо отконфигурировать SERVER02 для управления репликой частичного набора атрибутов GC.

1.Войдите на машину SERVER01 как Администратор (Administrator).

2.Откройте оснастку Active Directory — сайты и службы (Active Directory Sites And Services).

3.Разверните сайт BRANCH1, папку Servers и откройте контейнер SERVER02.

4.Щелкните правой кнопкой мыши элемент NTDS Settings под SERVER02 в дереве консоли и выполните команду Свойства (Properties).

5.Установите флажок Глобальный каталог (Global Catalog) и щелкните ОК.

Упражнение 2. Настройка кэширования универсального членства в группах

Всайтах без серверов GC пользователи не всегда имеют возможность войти

всеть, если контроллер домена не может связаться с сервером GC в еще одном сайте. Чтобы такая ситуация не возникла в вашей среде, сайт можно отконфигурировать для кэширования членства в универсальных группах. В этом упражнении предлагается создать сайт филиала и отконфигурировать его для кэширования членства в универсальных группах.

1.Щелкните правой кнопкой мыши контейнер Sites и выполните команду Создать сайт (New Site).

2.В поле Имя (Name) введите имя BRANCH2.

3.Выберите объект связи сайтов FEFAULTIPSITELINK.

4.Щелкните ОК.

При выполнении этих действий в производственной среде потребовалось бы создать хотя бы один объект подсети, связанный с сайтом, и установить контроллер домена в сайте BRANCH2.

5.В дереве консоли выберите сайт BRANCH2.

6.На панели сведений щелкните правой кнопкой мыши NTDS Site Settings и выполните команду Свойства (Properties).

7.На вкладке Параметры сайта (Site Settings) установите флажок Разрешить кэширование членства в универсальных группах (Enable Universal Group Membership Caching).

8.Щелкните ОК.

Упражнение 3. Анализ разделов каталога приложений

Теперь нужно просмотреть раздел каталога приложений DomainDnsZine с помощью оснастки Редактирование ADSI (ADSI Edit).

1.Откройте оснастку Редактирование ADSI (ADSI Edit) в программной группе Администрирование (Administrative Tools).

2.Щелкните правой кнопкой мыши корневой узел оснастки и выполните команду Подключение к (Connect То).

3.В раскрывающемся списке Выберите известный контекст именования (Select A Well Known Naming Context) выберите контекст Конфигурация (Configuration) и щелкните ОК.

4.В дереве консоли выберите контейнер Конфигурация (Configuration) и разверните его.

5.В дереве консоли выберите и разверните контейнер CN=Configuration, DC-com.

6.В дереве консоли выберите раздел CN= Partitions.

9. Щелкните опцию Выберите нлн введите различаемое и м я или контекст именования (Select Or Type A Distinguished Name Or Naming Context) .

DC-сот. Щелкните ОК.

11.В дереве консоли выберите элемент Контекст именования по умолчанию (Default Naming Context) и разверните его.

12. Выберите и разверните контейнер D C - D o m a i n D n s Z o n e s , D C - c o n t o s o , DC-com.

13.Выберите и разверните контейнер C N - M i c r o s o f t D N S .

14.Выберите контейнер DC-contoso.com.

15.Проанализируйте объекты в этом контейнере. Сравните их с записями DNS домена contoso.com.

Резюме

•Глобальный каталог (Global Catalog, GC), называемый также частичным набором атрибутов (Partial Attribute Set), содержит копию каждого объекта в лесу с ограниченным набором атрибутов объекта.

•Серверы GC повышают производительность запросов каталога, поддерживают вход и предоставляют данные д л я таких приложений, как Exchange Server.

» Первый контроллер домена в лесу является сервером глобального каталога. Контроллер домена можно отконфигурировать как сервер GC с помощью команды Dcpromo.exe, мастера установки доменных служб Active Directory или оснастки Active Directory — сайты и службы (Active Directory Sites And Services) после установки контроллера домена.

•Если сайт не содержит сервер GC, д л я него можно отконфигурировать кэширование членства в универсальных группах (Universal Group Membership Caching, UGMC), чтобы запросы входа пользователей не отклонялись в случае недоступности сервера глобального каталога.

•Разделы каталога приложений уникальны, поскольку их можно реплицировать на конкретные контроллеры доменов в лесу. З о н ы DNS, интегриро-

ванные в Active Directory, хранятся в разделах приложений . ,

Закрепление материала

Следующие вопросы м о ж н о и с п о л ь з о в а т ь д л я п р о в е р к и з н а н и й , п о л у ч е н н ы х н а

1. Филиал подключен к центру данных через медленное нестабильное соединение. Вам нужно, чтобы контроллер домена в филиале выполнял проверку подлинности пользователей в случае недоступности сервера глобального каталога. Что необходимо отконфигурировать?

A. Контроллер домена только д л я чтения. Б. Раздел каталога п р и л о ж е н и й .

B. Р е п л и к а ц и ю между сайтами.

Г.Кэширование членства в универсальных группах.

2.Вы работаете администратором в компании Contoso, Ltd. Лес Contoso состоит из трех доменов, в каждом из которых расположено по четыре контроллера. Вы в ы п о л н я е т е подготовку к удалению контроллера в корневом домене леса, но не хотите навсегда уничтожить разделы Active Directory. Какие из следующих разделов Active Directory могут существовать только на этом контроллере домена? (Укажите все варианты.)

A.Схема.

Б. Конфигурация . B. Домеи.

Г.Ч а с т и ч н ы й набор атрибутов.

Д. Раздел каталога п р и л о ж е н и й .

3. Необходимо о т к о н ф и г у р и р о в а т ь все существующие контроллеры доменов в лесу как серверы глобального каталога. Какие инструменты можно использовать д л я в ы п о л н е н и я этой задачи? (Укажите все варианты.)

A.Dcpromo.exe.

Б. Мастер установки доменных служб Active Directory (Active Directory Domain Services Installation Wizard).

B.Оснастка Active Directory — сайты и службы (Active Directory Sites And Services).

Г. Оснастка Active Directory — пользователи и компьютеры (Active Directory Users And Computers) .

Д. Оснастка Active Directory — домены и доверие (Active Directory Domain And Trusts).

Занятие 3. Настройка репликации

На занятии 1 речь шла о создании объектов сайтов и подсетей, позволяющих Active Directory и клиентам локализовать службы проверки подлинности и доступа к каталогам, а также планировать размещение контроллеров доменов. На занятии 2 вы конфигурировали серверы GC и разделы каталога приложений, то есть управляли репликацией между контроллерами домена. На этом занятии мы поговорим о том, как и когда выполняется репликация, выясним, почему конфигурация Active Directory поддерживает эффективную репликацию и зачем модифицировать эту конфигурацию при необходимости оптимизировать репликацию на основе топологии сети.