12.2.Введение в концепцию Active Directory

Active Directory (AD) – это служба каталогов, входящая в Windows 2000 (2003) Server. AD представляет собой единое средство управления сетью: позволяет легко добавлять, удалять и перемещать пользователей, используется для идентификации пользователей и ресурсов в сети.

Она не только расширяет возможности служб каталогов предыдущих Windows-систем, но и обладает совершенно новыми свойствами. Служба Active Directory является защищенной, распределенной, сегментированной и реплицируемой. Она предназначена для надежной работы в системе любого размера – от отдельного сервера, работающего с несколькими сотнями объектов, до нескольких тысяч серверов с миллионами объектов. AD обладает рядом новых свойств, которые облегчают поиск объектов и управление большими объемами информации; она также обеспечивает экономию времени пользователей и администраторов системы.

Область действия Active Directory достаточно обширна. Она может включать отдельные сетевые объекты (принтеры, файлы, имена пользователей), серверы и домены в отдельной локальной сети. Она может также охватывать несколько объединенных сетей. Некоторые из рассматриваемых ниже терминов относятся к группе сетей, поэтому важно помнить, что AD может быть настроена на управление как отдельным компьютером, так и компьютерной сетью или группой сетей.

Active Directory, как и любая другая служба каталогов, является прежде всего пространством имен. Пространство имен – это такая ограниченная область, в которой может быть распознано данное имя. Распознавание имени заключается в его сопоставлении с некоторым объектом или объемом информации, которому это имя соответствует. AD образует пространство имен, в котором имя объекта в каталоге может быть поставлено в соответствие самому этому объекту.

Служба каталогов – это совокупность двух вещей – каталога и служб, которые помогают с этим каталогом работать. Каталог хранит информацию подобно любому другому каталогу, например, телефонному справочнику. Каталог может хранить различную информацию, относящуюся к пользователям, группам, компьютерам, принтерам, общим ресурсам и так далее – мы будем называть все это объектами. Каталог хранит также информацию о свойствах объектов – атрибутах. Например, атрибутами, хранимыми в каталоге о пользователе, может быть имя его руководителя, номер телефона, адрес, имя для входа в систему, пароль, группы, в которые он входит и многое другое. Для того, чтобы сделать директорию полезной для нас, должны существовать службы, которые будут взаимодействовать с директорией.

В AD объекты могут быть организованы в классы, то есть в логические группы. Примером класса является объединение объектов, представляющих учетные записи пользователей, группы, компьютеры, домены или организационные подразделения (ОП). Объекты, которые способны содержать другие объекты, называются контейнерами (container). Например, домен - это контейнерный объект, который может содержать пользователей, компьютеры и другие объекты. Какие именно объекты могут храниться в Active Directory, определяется ее схемой,

Схема Active Directory. Схема AD - это список определений (definitions), задающих виды объектов, которые могут храниться в Active Directory, и типы сведений о них. Сами эти определения также хранятся в виде объектов, так что Active Directory управляет ими посредством тех же операций, которые используются и для остальных объектов в Active Directory. В схеме существуют два типа определений: атрибуты и классы. Также они называются объектами схемы (schema objects) или метаданными (metadata).

Атрибуты определяются отдельно от классов. Каждый атрибут определяется только один раз, при этом его разрешается применять в нескольких классах. Например, атрибут Description используется во многих классах, однако определен он в схеме только однажды, что обеспечивает ее целостность.

Классы, также называемые классами объектов (object classes), описывают, какие объекты Active Directory можно создавать. Каждый класс является совокупностью атрибутов. При создании объекта атрибуты сохраняют описывающую его информацию. Например, в число атрибутов класса User входят Netwok Address, Home Directory и пр. Каждый объект в Active Directory - это экземпляр класса объектов.

В Windows 2000 Server встроен набор базовых классов и атрибутов. Определяя новые классы и новые атрибуты для уже существующих классов, сетевые администраторы могут динамически расширить схему. Например, если Вам нужно хранить информацию о пользователях, не определенную в схеме, можно расширить схему для класса Users. Однако такое расширение схемы — достаточно сложная операция с возможными серьезными последствиями..

Именование Объектов. AD использует Lightweight Directory Access Protocol (LDAP) – простой протокол доступа к каталогам, как главный протокол доступа. LDAP действует поверх TCP/IP и определяет способы обращения и доступа к объектам между клиентом и сервером Active Directory. В LDAP каждый объект имеет свое особенное Distinguished Name (отличительное имя), и это имя отличает его от других объектов Active Directory, а также подсказывает нам, где данный объект расположен. Два главных составных части отличительного имени – это CN (common name) – общее имя и DC (domain component) – доменная составляющая. Общее имя определяет объект или контейнер, в котором находится этот объект, в то время как доменный компонент определяет домен, в котором объект находится. Например, отличительное имя может быть следующим:

CN=Alexander, CN=Users, DC=win2000trainer, DC=com

В этом примере у нас есть пользователь Alexander, который находится внутри контейнера, называемого Users, в домене win2000trainer, который является поддоменом .com. Отличительное имя объекта должно быть уникальным внутри леса AD.

В то время как отличительное имя дает нам полную информацию о расположении объекта, relative distinguished name (относительное отличительное имя) определяет объект внутри его родительского контейнера. Например, если осуществляется поиск внутри контейнера Users, относительное отличительное имя объекта может быть Alexander.

Когда пользователь входит в домен, расположенный в AD, у него может быть два типа имени. Первое из них - традиционное NetBIOS -имя. В Windows 2000 на него ссылаются как на downlevel logon name (имя регистрации в ранних версиях Windows). Когда Вы используете downlevel logon name (на вкладке свойств – "имя входа пользователя") для входа, пользователь должен ввести имя пользователя, пароль и выбрать соответствующий домен, в который он собирается входить. Второе имя– это возможность входа в систему с использованием того, что называется User Principal Name (основное имя пользователя) или UPN. Основное имя пользователя имеет следующий формат – user@domain.com (на вкладке свойств пользователя это называется – User logon name (имя входа пользователя)). Если это соглашение действует, то пользователю не нужно определять домен, в который он хочет войти. Фактически, когда для входа в Windows 2000используется UPN, доменная часть окна имени для входа в систему закрашена серым.

AD имеет логическую и физическую структуру. Логическая часть включает в себя такие понятия как лес, деревья, домены и OU. Физическая часть Active Directory связана с такими понятиями, как сайты и контроллеры доменов. Отличие между логическими и физическими элементами важно для понимания концепции AD.