12.3.Логическая структура Active Directory.

Логическая структура Active Directory зависит от потребностей организации,для которой создаётся домен. Логические элементы Active Directory это леса, деревья, домены и OU.

Домены. Домен является логической группой пользователей и компьютеров (объектов), которые связаны как единица для администрирования и репликации. Можно дать и такое определение: доменом называется отдельная область безопасности в компьютерной сети. В домене может быть несколько контроллеров. Кроме того, все контроллеры одного домена должны осуществлять репликацию друг с другом. В Windows 2000 домены именуются в соответствии с соглашением об именовании DNS. Примером имени домена в Active Directory может быть 2000trainers.com. Служба каталогов AD может охватывать один или нескольких доменов. На автономной рабочей станции доменом является сам компьютер. С физической точки зрения домен может включать в себя компьютеры, расположенные в разных местах. В каждом домене действует своя политика безопасности и свои отношения безопасности с другими доменами. Active Directory также позволяет иметь множество доменов, формируя структуры, которые называются деревьями и лесами.

Дерево. В Active Directory набор доменов может создаваться в порядке, напоминающем структуру дерева. В этом случае «дочерний» домен наследует свое имя от «родительского» домена. Например, можно создать отдельные домены для отделов фирмы, расположенных в Европе и Азии. В этом случае можно остановиться на структуре, изображенной на рис.61. Каждый домен в дереве является отдельной и явно выраженной административной единицей, так же как и границей для целей репликации. То есть, если вы создали учетную запись пользователя в домене asia.win2000trainer.com, то эта учет ная запись, существующая на контроллере домена, будет реплицирована на все контроллеры домена asia.win2000trainer.com. Заметьте также, что каждый новый "дочерний" домен имеет transitive (транзитивные) двунаправленные доверительные отношения с «родительским» доменом.

Рис.61.Дерево доменов

Это достигается автоматически в Active Directory и позволяет пользователям из одного домена дерева иметь доступ к ресурсам в другом. Даже не имея прямых доверительных отношений, пользователи в Азии могут получать доступ к ресурсам (для чего у них должны быть соответствующие разрешения) в Европе и наоборот, к тому же доверительные отношения транзитивны (Азия доверяет своему «родительскому» домену, который в свою очередь «доверяет» Европе – таким образом Азия доверяет Европе и наоборот). Дерево, в общих чертах, можно определить как набор доменов, которые связаны отношениями "дочерний»/«родительский" и поддерживают связанное пространство имен.

Лес. Лес – это термин, применяемый для описания совокупности деревьев Active Directory. Каждое дерево в лесе имеет собственное отдельное пространство имен. Например, давайте предположим, что ваша компания владеет еще одной более мелкой, называемой Acme Plumbing. Если нужно, чтобы фирма Acme Plumbing имела свое собственное отдельное пространство имен, можно объединить деревья и сформировать лес, как показано на рис.62.

Рис.62.Лес доменов

Домен acmeplunbing.com является частью леса, так же как и win2000trainer.com, но по-прежнему остается доменом и может иметь собственное дерево. В лесе существуют транзитивные доверительные отношения между "корневыми" доменами каждого дерева в лесу – это позволит пользователям домена acmeplunbing.com получать доступ к ресурсам в дереве win2000trainer.com и наоборот, в то же время поддерживает проверку подлинности в собственном домене. Первый домен, созданный в лесе, рассматривается как "корень" леса. Одна из самых важных особенностей леса – это то, что каждый отдельный домен поддерживает общую схему – определения для различных объектов и связанных с ними атрибутов, которые созданы в лесе. Лес может быть создан из одного дерева, которое содержит всего один домен.

OU – организационные подразделения. Организационные подразделения (Organization Unit, обычно называемые OU) – это контейнеры внутри Active Directory которые создаются для объединения объектов в целях делегирования административных прав и применения групповых политик в домене. OU могут быть созданы для организации объектов несколькими путями в соответствии с их функциями, местоположением, ресурсами. Примером объектов, которые могут быть объединены в OU, могут служить учетные записи пользователей, компьютеров, групп и т.д.

OU может содержать только объекты из того домена, в котором они расположены. Структура OU может широко варьироваться от компании к компании. Она разрабатывается с целью облегчить администрирование ресурсов и применения групповых политик. В то время как полный административный контроль может быть дан (делегирован) пользователю через OU, для больших организаций становится возможным иметь только один домен, в котором каждая структура обладает возможностью контроля над своими OU.