Архитектура Active Directory

Первичный элемент архитектуры Active Directory – объект, которым может быть любой ресурс сети (пользователь, сервер, принтер, приложение). Каждый объект имеет набор атрибутов, которые дают ресурсу имя, описывают его возможности и определяют список доступа к объекту. Набор атрибутов у различных объектов разный, однако есть общие элементы. Например, это глобальный уникальный идентификатор, присваиваемый каждому объекту при его создании (GUID).

Типы объектов

В Active Directory существует два основных типа объектов:

1. Контейнер – это объект, который хранит другие объекты.

2. Лист – это объект, который соотносится с некоторым ресурсом сети (пользователем, компьютером). Лист не может хранить другие объекты.

Каждый лист хранится в некотором контейнере, и все права и разрешения назначаются контейнерам, а не отдельным листам (пользователям). Кроме того, все права и разрешения распространяются вниз по дереву, т.е. правами вышестоящего контейнера пользуются все, в него включенные.

Примеры типов объектов в Active Directory:

Тип объекта	Назначение
Domain (домен)	Объект-контейнер
User (Пользователь)	Объект-лист
Computer	Объект-лист
Group (группа)	Объект-контейнер

Имена в Active Directory

Каждый объект в базе данных Active Directory идентифицируется по имени, которое может быть представлено в нескольких формах. Часть имени объекта, которая хранится в самом объекте, называется его относительным отличаемым именем RDN (relative distinguished name).

Большинство приложений Active Directory при ссылке на объекты используют их канонические имена. Каноническое имя (canonical name) – это имя, начинающееся с имени домена, за которым перечислены имена всех родительских контейнеров объекта, разделенные слэшами, а в конце указано RDN:

Отличаемые имена используются при программном взаимодействии приложений с Active Directory, а при регистрации пользователей каждому пользователю присваивается основное имя пользователя URN (User Principal Name). URN состоит из имени пользователя и суффикса, разделенных символом @:

ivanov@domain1

Как правило, имя пользователя – это его RDN, а суффикс – имя домена. Поскольку сеть может состоять из множества доменов, можно использовать имя любого из них.

Домены, деревья и леса

Active Directory имеет иерархическую древовидную структуру. Домен по прежнему остается основным элементом структуры, но теперь группы доменов могут быть объединены в дерево (tree), а группы деревьев в лес (forest). Администратор сети может управлять деревьями и лесом как едиными объектами.

Между доменами одного дерева Active Directory автоматически создает доверительные отношения. Для аутентификации используется единый протокол обеспечения безопасности Kerberos.

Домены в дереве разделяют единое иерархическое пространство имен. Например:

1. Mycopr.com (родительский домен)

   1. Chart1.mycorp.com (дочерний домен)

      1. Sales.Chart1.mycorp.com (дочерний домен)

   2. Chart2.mycorp.com (дочерний домен)

      1. Sales.Chart2.mycorp.com (дочерний домен)

Если несколько деревьев объединяются в лес, то все домены в лесу имеют между собой доверительные отношения, не зависящие от деревьев, в которых они расположены. Единственное различие между деревьями в лесу – то, что они используют разные пространства имен. Наиболее частая причина наличия двух и более деревьев – это слияние нескольких организаций, каждая из которых имеет свое устоявшееся дерево доменов.