2.2.3.Служба Active Directory.
Эволюция службы каталогов Microsoft:
LAN Manager – плохо масштабировалась и не поддерживала доверительные отношения;
Security Account Management (SAM) для Windows NT – количество объектов учетных записей не могло превышать 40000, сложности администрирования доверительных отношений, ограничения программируемого доступа.
Active Directory – хорошая масштабируемость (более миллиона объектов), соответствие открытым стандартам Интернета (LDAP, X.500), возможность программного управления.
Active Directory представляет собой службу каталогов, хранящую сведения об объектах системы и предоставляющую эти данные.
Active Directory образует пространство имен, в котором имя объекта в каталоге может быть поставлено в соответствие самому этому объекту.
Основные понятия.
Пространство имен – это такая ограниченная область, в которой может быть распознано данное имя. Active Directory использует стандарт пространства имен X.500.
X.500 определяет, как объекты сохраняются в AD. X.500 представляет иерархическую систему имен, которая идентифицирует уникальный путь к контейнеру службы каталога и, уникальный идентификатор (OID) для каждого объекта в этом контейнере.
Объект – это непустой именованный набор атрибутов, обозначающий нечто конкретное (пользователь, принтер, приложение и т.п.). Атрибуты содержат информацию, однозначно описывающую данный объект.
Для различения объектов в Active Directory используется имя. Active Directory допускает существование двух типов имен.
Каждый объект в Active Directory имеет уникальное имя. Это имя содержит указание на домен, в котором находится объект, и полный путь в иерархической структуре контейнеров, который приводит к данному объекту. Пример: /O=Internet/DC=COM/DC=Microsoft/CN=Users/CN=James Smith
Относительное уникальное имя объекта (Relative Distinguished Name, RDN) – это та часть имени, которая сама является частью атрибута объекта. В приведенном выше примере RDN-именем объекта “James Smith” является групповое имя (CN) CN=James Smith. RDN-именем родительского объекта является имя CN=Users.
Контейнер – аналогичен объекту в том смысле, что он также имеет атрибуты и принадлежит пространству имен. Однако, в отличие от объекта, контейнер не обозначает ничего конкретного – он может содержать группу объектов или другие контейнеры.
Домен – единая область информационной сети, имеющая имя, в пределах которой обеспечивается безопасность данных. Объединяет группу компьютеров, связанных общей политикой безопасности, общей базой учетных записей пользователей, имеющих общие серверы администрирования.
Дерево доменов – несколько доменов, которые имеют общую логическую структуру и конфигурацию и образуют непрерывное пространство имен.
Лес – одно или несколько деревьев, которые не образуют непрерывного пространства имен.
Сайт (узел) – представляет собой набор подсетей, поддерживающих протокол TCP/IP, соединенных быстрой связью. Сайты позволяют оптимизировать процедуры проверки подлинности, репликации.
Принадлежность компьютеров к сайтам основывается на их IP-адресе и маске подсети. Сайт может включать несколько подсетей. Для пользователей принадлежность к сайту определяется динамически по их IP-адресу и маске подсети при входе в сеть.
В Active Directory сайты представляют физические структуры сети, а домены — логические или административные структуры организации. Это деление на физические и логические структуры обеспечивает следующие преимущества:
можно разрабатывать и поддерживать логические структуры отдельно от физических;
нет необходимости размещать пространство имен доменов в физической сети;
можно разместить контроллеры различных доменов на одном сайте. Можно также разместить контроллеры одного домена на разных сайтах.
Архитектура.
Основой для логической, иерархической организации сведений службы каталога служит структурированное хранилище данных каталога. Хранилище данных в службе каталогов AD используется для данных всех каталогов. Это хранилище данных часто называется каталогом. Каталог содержит сведения о таких объектах, как пользователи, группы, компьютеры, домены, подразделения и политики безопасности. Эти сведения могут быть опубликованы для использования пользователями и администраторами.
Каталог хранится на контроллерах домена. В домене может быть один или несколько контроллеров домена. Каждый контроллер домена содержит копию каталога для всего домена, в котором он расположен. Изменения каталога, выполненные на одном контроллере домена, реплицируются на другие контроллеры домена, на дерево доменов или лес.
Глобальный каталог является контроллером домена, хранящим копии всех объектов Active Directory в лесу. В нем хранится полная копия всех объектов каталога для его домена и частичная копия всех объектов для всех других доменов леса, как показано на следующем рисунке.
Частичные копии всех объектов домена, включенные в глобальный каталог, используются в операциях поиска наиболее часто. Включение этих атрибутов в глобальный каталог отмечено в определении их схемы. Хранение в глобальном каталоге наиболее часто использующихся для поиска атрибутов всех объектов домена предоставляет возможность эффективного поиска, не снижающего производительность сети ненужными обращениями к контроллерам домена.
Другие атрибуты объектов можно вручную добавлять или удалять из глобального каталога с помощью оснастки «Схема Active Directory». Дополнительные сведения см. в разделе Настройка глобального каталога.
Глобальный каталог создается автоматически на исходном контроллере домена в составе леса. Пользователь может переносить возможности глобального каталога на другие контроллеры домена, а также изменять расположение глобального каталога, устанавливаемое по умолчанию, указывая другой контроллер. Дополнительные сведения см. в разделе Включение или отключение глобального каталога.
Глобальный каталог выполняет следующие основные функции.•
Поиск объектов
Глобальный каталог обеспечивает возможность поиска данных каталога во всех доменах леса независимо от места хранения данных. Поиск внутри леса производится с максимальной скоростью и минимальным сетевым трафиком.
При поиске людей или принтеров из меню «Пуск», а также при выборе в качестве области поиска запроса всего каталога поиск производится в глобальном каталоге. После введения запроса поиска он направляется в стандартный порт глобального каталога 3268 и отсылается глобальному каталогу для разрешения. Для получения дополнительных сведений выполните поиск по фразам Поиск данных каталога и «Finding information in Active Directory» на веб-узле ресурсов Microsoft Windows.
•
Проверка подлинности с помощью основного имени пользователя
Глобальный каталог определяет основное имя пользователя (UPN, user principal name), если проверяющий подлинность контроллер домена не обладает сведениями об учетной записи. Например, если учетная запись расположена в узле example1.microsoft.com, а в качестве основного имени пользователя при входе в систему используется имя user1@example1.microsoft.com узла example2.microsoft.com, контроллер домена узла example2.microsoft.com не сможет найти учетную запись и обратится к глобальному каталогу для завершения процедуры входа. Дополнительные сведения см. в разделе Именование в Active Directory.
•
Предоставление сведений об участии в универсальных группах в мультидоменной среде
В отличие от сведений о принадлежности к глобальной группе, хранящихся в каждом домене, сведения об участии в универсальных группах содержатся только в глобальном каталоге. Например, если член универсальной группы входит в домен с уровнем функциональности основного режима Windows 2000 или более высокого, то глобальный каталог предоставляет сведения об участии учетной записи в универсальных группах во время входа в домен.
Если глобальный каталог недоступен при входе в домен с уровнем функциональности основного режима Windows 2000 или более высокого, то для пользователя, уже выполнявшего вход в домен, будут использоваться кэшированные учетные данные. Если пользователь еще не входил в домен, он может выполнить вход только на локальный компьютер. Однако вход в домен в качестве администратора (учетная запись «Встроенный администратор») всегда разрешен, даже если глобальный каталог недоступен.
Дополнительные сведения об универсальных группах см. в разделе Область действия группы. Дополнительные сведения об универсальных группах и о репликации см. в разделах Репликация глобального каталога и Глобальные каталоги и сайты.
Примечание•
Если в составе леса находится только один домен, то при входе в систему нет необходимости получать в глобальном каталоге членство в универсальных группах. Это обусловлено тем, что Active Directory обнаруживает отсутствие в лесу других доменов и предотвращает отправление глобальному каталогу запроса на эти сведения.
Проверка ссылок на объекты внутри леса
Контроллеры домена используют глобальный каталог для проверки ссылок на объекты других доменов леса. Если в контроллер домена входит объект каталога, чей атрибут содержит ссылку на объект другого домена, то эта ссылка проверяется с помощью глобального каталога.
Данные каталога хранятся в файле Ntds.dit. Для управления службой AD из командной строки используется утилита Ntdsutil.exe.
В Active Directory для хранения и копирования различных типов данных используются четыре различных типа раздела каталога. Разделы каталога содержат домен, конфигурацию, схему и данные приложения.
Данные домена – содержат сведения об объектах домена. Это такие сведения, как адреса электронной почты, атрибуты учетных записей пользователей и компьютеров и опубликованные ресурсы, представляющие интерес для администраторов и пользователей.
Данные конфигурации – описывают топологию каталога. Эти данные включают список всех доменов, деревьев и лесов, а также местонахождение контроллеров доменов и глобальных каталогов.
Данные схемы. Схема – это формальное определение всех объектов и данных атрибута, которые могут храниться в каталоге. Контроллеры домена, работающие под управлением Windows Server 2003, содержат схему по умолчанию, определяющую различные типы объектов, такие как учетные записи компьютеров, группы, домены, организационные подразделения и политики безопасности. Администраторы и программисты могут расширить схему, определяя новые типы объектов и атрибутов или добавляя новые атрибуты для существующих объектов. Объекты схемы защищены с помощью таблиц управления доступом, которые предоставляют возможность изменения схемы только пользователям, прошедших проверку.
Данные приложений – данные, хранящиеся в разделе каталога приложений; предназначены для случаев, когда сведения необходимо реплицировать в небольшом масштабе. Разделы каталога приложений по умолчанию не являются частью хранилища данных каталога, они должны создаваться, настраиваться и управляться администратором.
Модель защиты данных.
Все объекты в Active Directory защищены списками контроля доступа (Access Control List, ACL), которые определяют, кто из пользователей может видеть данный объект, и какие действия с объектом разрешены каждому из пользователей. Если пользователю не разрешено видеть данный объект, то у него нет и никаких средств узнать о его существовании.
Список контроля доступа состоит из записей управления доступом (Access Control Entries, ACE). Они хранятся вместе с объектом, который защищается данным списком. В операционной системе список ACL хранится в двоичном формате и называется дескриптором безопасности (Security Descriptor). Каждая запись ACE содержит идентификатор защиты (Security Identifier, SID), который однозначно указывает на лицо, ответственное за безопасность данного объекта – им может быть отдельный пользователь или группа пользователей, и содержит информацию о том, какой тип доступа к объекту разрешен записью ACE.
Списки ACL в каталогах содержат записи, относящиеся к объекту в целом, и записи, относящиеся к отдельным атрибутам объекта. Это дает возможность администратору не только указывать, какие пользователи могут видеть данный объект, но и какие свойства этого объекта будут видны пользователям.
Интеграция DNS.
Служба Active Directory тесно интегрирована с системой имен доменов (Domain Name System, DNS). DNS представляет собой распределенное пространство имен, которое используется в Интернет и в котором именам отдельных компьютеров и служб ставятся в соответствие адреса, формируемые по правилам протокола TCP/IP. Большинство крупных организаций, имеющих свои внутренние сети (интрасети), используют DNS в качестве системы распознавания имен. Active Directory использует DNS в качестве службы размещения.
Имена доменов в Windows 2003 строятся по правилам DNS. Например, “Microsoft.com” – корректное DNS-имя домена; оно также может являться именем домена и в Windows 2003. Высокая степень интеграции DNS означает, что служба Active Directory хорошо совместима с такими сетевыми средами как Интернет и интрасети. С ее помощью клиенты быстро и без труда могут находить серверы каталогов. Организация может напрямую подключать к Интернету свои серверы, поддерживающие Active Directory – это упростит защиту передаваемых данных, и будет способствовать развитию связей компании с клиентами и деловыми партнерами.
Серверы Active Directory публикуют свои адреса таким образом, что клиенты могут найти их, зная только имя домена.
Публикация имен серверов Active Directory осуществляется с помощью записей ресурсов служб (Service Resource Records, SRV RR) в системе DNS. Каждая такая запись служит для сопоставления имени службы с адресом сервера, который поддерживает данную службу. Запись SRV RR имеет следующую форму: <service>.<protocol>.<domain> Серверы Active Directory поддерживают работу службы LDAP поверх протокола TCP, поэтому опубликованные имена имеют такой вид: ldap.tcp.<domain> Таким образом, запись SRV RR для имени “Microsoft.com” будет иметь вид “ldap.tcp.microsoft.com.” Дополнительная информация в записи указывает приоритет и вес сервера, что позволяет клиентам выбирать тот сервер, который наилучшим образом подходит для выполнения их конкретной задачи.
После того, как сервер Active Directory установлен, он публикует свое имя через систему Dynamic DNS (см. ниже). Поскольку адреса TCP/IP могут со временем изменяться, серверы время от времени проверяют правильность своей регистрационной информации и при необходимости обновляют ее.