Имя

Поволжский Государственный
Университет Телекоммуникаций и
Информатики
Active Directory
Структура и основные понятия
Введение
Active Directory (AD) является LDAP (англ. Lightweight Directory Access Protocol «облегчённый протокол доступа к каталогам») - совместимой реализацией
службы каталогов корпорации Майкрософт для операционных систем
семейства Windows NT. Active Directory позволяет администраторам
использовать групповые политики (GPO) для обеспечения единообразия
настройки пользовательской рабочей среды, развёртывать ПО на множестве
компьютеров (через групповые политики или посредством Microsoft Systems
Management Server 2003 (или System Center Configuration Manager)),
устанавливать обновления ОС, прикладного и серверного ПО на всех
компьютерах в сети (с использованием Windows Server Update Services
(WSUS); Software Update Services (SUS) ранее). Active Directory хранит данные
и настройки среды в централизованной базе данных. Сети Active Directory
могут быть различного размера: от нескольких сотен до нескольких миллионов
объектов.
Введение
Служба каталогов AD - сервис, интегрированный с
Windows NT Server. Она обеспечивает иерархический вид сети,
наращиваемость и расширяемость, а также функции распределенной
безопасности.
AD не только позволяет выполнять различные административные задачи, но и является поставщиком различных услуг в системе. На приведенном ниже рисунке схематично изображены основные функции
службы каталогов.
История
Представление Active Directory состоялось в 1996 году, продукт был впервые
выпущен с Windows 2000 Server, а затем был модифицирован и улучшен при
выпуске сначала Windows Server 2003, затем Windows Server 2003 R2.
В отличие от версий Windows до Windows 2000, которые использовали в
основном протокол NetBIOS для сетевого взаимодействия, служба Active
Directory интегрирована с DNS и TCP/IP. DNS-сервер, обслуживающий Active
Directory, должен быть совместим c BIND (Berkeley Internet Name Domain, до
этого: Berkeley Internet Name Daemon - это открытая и наиболее
распространённая реализация DNS-сервера, обеспечивающая выполнение
преобразования DNS-имени в IP-адрес и наоборот) версии 8.1.2 или более
поздней, сервер должен поддерживать записи типа SRV (RFC 2052) и протокол
динамических обновлений (RFC 2136).
Базовые термины и концепции
Давайте, прежде чем перейти к устройствам и особенностям службы каталогов
Active Directory, остановимся на некоторых базовых терминах и концепциях.
Возможно, какие-то из них покажутся Вам знакомыми.
Active Directory (AD) имеет иерархическую структуру, состоящую из объектов.
Объекты разделяются на три основные категории: ресурсы (например
принтеры), службы (например, электронная почта) и люди (учётные записи
пользователей и групп пользователей). Active Directory предоставляет
информацию об объектах, позволяет организовывать объекты, управлять
доступом к ним, а также устанавливает правила безопасности.
Сфера влияния
Сфера влияния службы каталогов велика: любые объекты (пользователи,
файлы, принтеры и др.), серверы в сети, домены и даже глобальные сети. А
раз так, напрашивается вывод: возможности такой службы каталогов, как AD,
практически безграничны, что делает ее полезной на отдельном компьютере, в
большой сети, и в нескольких сетях.
Пространство имен
Как и любой каталог, Active Directory представляет собой некоторое
пространство имен, то есть некоторую область, в которой данное имя может
быть разрешено. Под разрешением имен понимается процесс, позволяющий
сопоставить имя с объектом, ему соответствующим, или с информацией о
таком объекте. К примеру, в файловой системе имя файла разрешается в
расположение файла на диске.
Объект
Под объектом подразумевается отдельный набор атрибутов, соответствующих
чему-либо конкретному: например, пользователю, компьютеру или
приложению. В атрибутах содержатся данные о субъекте, представленном
данным объектом. Например, атрибуты пользователя могут включать его имя,
фамилию, адреса домашний и электронной почты, семейное положение,
заработную плату и т. д.
Контейнер
Контейнер - это объект каталога, который может содержать в себе другие
объекты (как, например, папка -это контейнер для документов, а шкаф контейнер для папок). Контейнер каталога является контейнером объектов
каталога.
Дерево
Деревом называется иерархическая структура из объектов. Объекты,
располагающиеся на ветвях этого дерева, называются листьями. В листьях
не содержится других объектов, то есть листья не могут быть контейнерами.
Контейнерами являются узловые точки дерева (места, из которых выходят
ветви). Неразрывная часть дерева, включающая всех членов контейнера,
называется смежным поддеревом.
На рисунке внешний вид дерева показывает взаимосвязи между объектами.
Дерево и смежное поддерево
Имя
Имена используются для идентификации объектов в AD.
Существует два вида имен: отличительное имя DN (distinguished name) и
относительно отличительное имя RDN (relatively distinguished name).
Отличительное имя объекта содержит имя домена, в котором находится
объект, а также полный путь к этому объекту в иерархии контейнера.
Например, отличительное имя для идентификации пользователя Fyodor
Zubanov в домене MicrosoftAO.RU будет выглядеть следующим образом:
/0=Internet/DC=RU/DC=MiсrosoftAO/CN=Users/CN=Fyodor Zubanov
Относительное отличительное имя объекта - часть отличительного имени,
являющаяся атрибутом объекта. В приведенном примере таковым для объекта
пользователя Fyodor Zubanov является CN=Fyodor Zubanov, a RDN его
родительского объекта - CN=Users.
Контексты имен и разделы
AD состоит из одного или нескольких контекстов имен или разделов. Контекст
имени - это любое смежное поддерево каталога.
Контексты имен являются единицами тиражирования. Для любого одиночного
сервера всегда есть три контекста имен:
- схема;
- конфигурация (топология тиражирования и относящиеся к нему метаданные);
- один или несколько контекстов имен пользователей (поддеревья,
содержащие действительные объекты каталога).
Домены
Домены, как указывалось выше, являются организационными единицами
безопасности в сети. Active Directory состоит из одного или нескольких
доменов. Рабочая станция является доменом. Домен может охватывать
несколько физических точек. В каждом домене - своя политика безопасности;
отношения домена с другими также индивидуальны.
Домены, объединенные общей схемой, конфигурацией и глобальным
каталогом, образуют дерево доменов. Несколько доменных деревьев могут
быть объединены в лес.
Дерево доменов
Дерево доменов состоит из нескольких доменов, использующих одну и ту же
схему и конфигурацию, и образующих единое пространство имен. Домены в
дереве связаны между собой доверительными отношениями. Служба
Каталогов Active Directory состоит из одного или нескольких доменных
деревьев.
Деревья можно рассматривать и с точки
зрения доверительных отношений, и с точки
зрения пространства имен.
В Windows NT 5.0 доверительные отношения
между доменами основываются на протоколе
защиты Kerberos. Эти отношения транзитивны,
то есть если домен А доверяет домену Б, а
домен Б доверяет домену В, то домен А также
доверяет домену В. На рисунке изображены
домены с точки зрения доверия.
Взгляд на домены с точки зрения
пространства имен
С другой стороны, домены можно рассматривать с точки зрения отличительных
имен. При этом четко прослеживается иерархическая структура доменов и
становится проще поиск по всему дереву.
Строго говоря, в AD нет ограничений на
формирование пространства смежных имен из
несмежных доменов и каталогов. И все же
лучше, чтобы пространство имен было
организовано по той же логике, что и структура.
Лес
Лес - это набор несмежных деревьев, не образующих единое пространство
имен. В то же время все деревья в лесу используют одну и ту же схему,
конфигурацию и глобальный каталог и связаны между собой Kerberos отношениями доверия. В отличие от деревьев, у леса нет определенного
имени. Он существует в виде поперечных ссылок и иерархических
доверительных отношений, известных деревьям, его образующим. Для
обращения к лесу используется имя дерева в корне доверяющего дерева.
Несколько деревьев в лесу
Узлы
Узел - это место расположения в сети серверов с AD, В качестве узлов могут
выступать одна или несколько подсетей TCP/IP, что позволяет
конфигурировать доступ к каталогу и тиражирование с учетом физической
сети. Когда пользователь входит в сеть, сервер с AD не надо долго искать ведь он находится в том же самом узле и рабочей станции «известно», как
добраться до него по TCP/IP.
Схема
Схема AD представляет собой набор экземпляров классов объектов,
хранящихся в каталоге. Это отличает ее от схем других каталогов, которые,
хранятся в текстовых файлах и прочитываются при загрузке. Хранение схемы
в каталоге имеет ряд преимуществ. Например, приложения могут обращаться к
каталогу и читать списки доступных объектов, а также динамически изменять
схему, добавляя в нее новые атрибуты и классы. Модификация схемы
сопровождается созданием или модификацией объектов, хранящихся в
каталоге. Все внесенные изменения незамедлительно становятся доступны
для других приложений. Любые объекты схемы защищены списками контроля
доступа, что гарантирует их от изменений лицами, не имеющими на это прав.
Модель данных
В основу модели данных службы каталогов Active Directory положена модель
данных Х.500. В каталоге хранятся различные объекты, описанные
атрибутами. Классы объектов, которые допустимо хранить в каталоге,
задаются схемой. Для каждого класса объектов в схеме определены
обязательные и возможные дополнительные атрибуты экземпляров класса, а
также то, класс какого объекта может быть родительским по отношению к
рассматриваемому.
X.500
X.500 - серия стандартов ITU-T (1993 г.) для службы распределенного
каталога сети. Каталоги X.500 предоставляют централизованную
информацию обо всех именованных объектах сети (ресурсах, приложениях
и пользователях) (рекомендации MKKTT для каталогов). Изначально
стандарт X.500 планировался для использования именований узлов,
адресов и почтовых ящиков, предусмотренных стандартом X.400.
Глобальный каталог
AD может состоять из нескольких разделов или контекстов имен.
В отличительном имени объекта содержится информация, достаточная для
успешного поиска копии раздела, содержащего объект. Однако часто
пользователю или приложению неизвестно ни отличительное имя объекта, ни
раздел, где он может находиться. Глобальный каталог позволяет
пользователям и приложениям определять положение объектов в дереве
доменов Active Directory по одному или нескольким атрибутам.
В глобальном каталоге содержится частичная копия каждого из контекстов
пользовательских имен, а также схема и конфигурационные контексты имен.
Это означает, что в глобальном каталоге хранятся копии всех объектов AD, но
с сокращенным набором атрибутов. К хранимым относятся атрибуты наиболее
часто используемые при поиске (например имя пользователя, имя входа в
систему и т. п.) и достаточные для обнаружения полной реплики объекта.
Глобальный каталог позволяет быстро находить нужные объекты, не требуя
указаний, в каком домене находится объект, а также использования смежного
расширенного пространства имен.