Архитектура ActiveDirectory
Функциональную структуру Active Directory можно представить в виде многоуровневой архитектуры, в которой уровни являются процессами, предоставляющими клиентским приложениям доступ к службе каталога. Active Directory состоит из трех уровней служб и нескольких интерфейсов и протоколов, совместно работающих для предоставления доступа к службе каталога. Три уровня служб охватывают различные типы информации, необходимой для поиска записей в БД каталога. Выше уровней служб в этой архитектуре находятся протоколы и API-интерфейсы, осуществляющие связь между клиентами и службой каталога.
На рис. изображены уровни службы Active Directory и соответствующие им интерфейсы и протоколы. Стрелки показывают, как различные клиенты получают при помощи интерфейсов доступ к Active Directory.
· Системный агент каталога (Directory System Agent, DSA). Выстраивает иерархию родительско-дочерних отношений, хранящихся в каталоге. Предоставляет API-интерфейсы для вызовов доступа к каталогу.
·Уровень БД. Предоставляет уровень абстрагирования между приложениями и БД. Вызовы из приложений никогда не выполняются напрямую к БД, а только через уровень БД.
·Расширяемое ядро хранения. Напрямую взаимодействует с конкретными записями в хранилище каталога на основе атрибута относительного составного имени объекта.
·Хранилище данных (файл БД NTDS.DIT). Управляется при помощи расширяемого механизма хранения БД, расположенного в папке \Winnt\NTDS на контроллере домена.
·Клиенты получают доступ к Active Directory, используя механизмы, поддерживаемые DSA.
·LDAP/ADSI. Клиенты, поддерживающие LDAP, используют его для связи с DSA. Active Directory поддерживает LDAP версии 2 (описан в RFC 1777). Клиенты Windows 2000, Windows 98 и Windows 95 с установленными клиентскими компонентами Active Directory для связи с DSA используют LDAP версии 3.
· API-интерфейс обмена сообщениями (Messaging API, MAPI, Messaging Application Programming Interface). Традиционные клиенты MAPI, например Microsoft Outlook, подключаются к DSA, используя интерфейс поставщика адресной книги MAPI RPC(Remote Procedure Call)
·Диспетчер учетных записей безопасности (SecurityAccountsManager, SAM). Клиенты Windows NT версии 4.0 или более ранней используют интерфейс SAM для связи с DSA. Репликацияс резервных контроллеров в домене смешанного режима также выполняется через интерфейс SAM.
·Репликация (REPL). При репликации каталога, агенты DSA взаимодействуют друг с другом, используя патентованный интерфейс RPC.
ActiveDirectory
Средства Active Directory позволят вам спроектировать структуру каталога так, как это нужно вашей организации.
Объекты ActiveDirectory
Active Directory хранит информацию о сетевых ресурсах. Как уже было сказано эти ресурсы, например данные пользователей, описания принтеров, серверов, баз данных, групп, компьютеров и политик безопасности, и называются объектами (object).
Объект— это отдельный именованный набор атрибутов, которыми представлен сетевой ресурс. Атрибуты (attribute) объекта являются его характеристиками в каталоге. Например, атрибуты учетной записи пользователя (user account) могут включать в себя его имя и фамилию, отдел, а также адрес электронной почты
В Active Directory объекты могут быть организованы в классы, то есть в логические группы. Примером класса является объединение объектов, представляющих учетные записи пользователей, группы, компьютеры, домены или организационные подразделения (ОП).
Примечание Объекты, которые способны содержать другие объекты, называются контейнерами (container). Например, домен — это контейнерный объект, который может содержать пользователей, компьютеры и другие объекты.
Какие именно объекты могут храниться в Active Directory, определяется ее схемой.
Схема ActiveDirectory
Схема ActiveDirectory— это список определений (definitions), задающих виды объектов, которые могут храниться в Active Directory, и типы сведений о них. Сами эти определения также хранятся в виде объектов, так что Active Directory управляем ими посредством тех же операций, которые используются и для остальных объектов в Active Directory.
В схеме существуют два типа определений:атрибутыиклассы. Также они называются объектами схемы (schema objects) или метаданными (metadata).
Атрибутыопределяются отдельно от классов. Каждый атрибут определяется только один раз, при этом его разрешается применять в нескольких классах. Например, атрибут Description используется во многих классах, однако определен он в схеме только однажды, что обеспечивает ее целостность.
Классы, также называемые классами объектов (object classes), описывают, какие объекты Active Directory можно создавать. Каждый класс является совокупностью атрибутов. При создании объекта атрибуты сохраняют описывающую его информацию. Например, в число атрибутов класса User входят Network Address, Home Directory и пр. Каждый объект в Active Directory — это экземпляр класса объектов.
В Windows 2000 Server встроен набор базовых классов и атрибутов.
Определяя новые классы и новые атрибуты для уже существующих классов, опытные разработчики и сетевые администраторы могут динамически расширить схему. Например, если Вам нужно хранить информацию о пользователях, не определенную в схеме, можно расширить схему для класса Users. Однако такое расширение схемы — достаточно сложная операция с возможными серьезными последствиями.