Часть 4. Планирование структуры доменов

Теоретическая часть.

Развертывание сетевой структуры логично начать с создания единственного домена, который легче всего администрировать, а по мере необходимости можно добавлять новые имена. Достоинством Active Directory по сравнению с Windows NT является возможность создания в одном домене значительно большего числа объектов ( до миллиона). При этом один домен может содержать несколько географически разнесенных и администрируемых индивидуально сайтов, связанных с медленными каналами. Не нужно создавать дерево из нескольких доменов только для того, чтобы таким образом отобразить структуру организации, ее подразделения и отдела. Для этого достаточно в единственном домене создать соответствующие подразделения ( организационные единицы) и назначить для них групповые политики , распределить пользователей, группы и компьютеры.

Для создания нескольких доменов должны быть достаточно веские причины, например: различные требования к безопасности для отдельных пользователей; очень большое количество объектов; различные Интернент -имена для доменов. Если имена доменов образуют непрерывное пространство имен DNS, то можно создать дерево доменов, если имена доменов уникальны, то возможно создание леса; дополнительные требования к репликации; децентрилизованное администрирование сети. При наличии нескольких доменов совершенно независимые друг от друга системные администраторы могут устанавливать собственные политики безопасности. Кроме того, можно администрировать домены на различных национальных языках.

Разработка модели делегирования прав администрирования. Если внутри домена создать дерево организационных единиц (Organization Unit, OU) , или подразделений, то можно распределить обязанности администраторов отдельных подразделений между различными пользователями и группами. В этом случае уменьшается число сотрудников, которые получают полный контроль над всем доменом.

После того как разработана структура подразделений и по ним распределены пользователи, можно продумать административную иерархию, т.е. определить , какие пользователи получат права управления целыми подразделениями, и кто будет выполнять только ограниченные функции (например, управлять отдельными группами или принтерами).

Планирование организационных единиц (подразделений).

Организационные единицы (Organization Unit, OU) , или подразделения , могут содержать пользователей, группы, компьютеры, принтеры и общие папки, а также другие OU. OU - это минимальная "единица" администрирования, права управления которой можно делегировать некоторому пользователю или группе. С помощью OU можно обеспечить локальное администрирование пользователей (создание, модификация и удаление учетных записей0 или ресурсов.

В каталоге Active Directory OU представляют собой объекты типа "контейнер" и отображаются в окне оснастки Пользователи и Компьютеры Active Directory (Active Directory Users and Computers) как папки. Их основным назначением является группирование объектов каталога с целью передачи административных функций отдельным пользователям. Дерево OU может отображать реальную структуру организации - административную, функциональную и т.п. При этом учитываются иерархия полномочий ответственных работников и необходимые функции управления. Каждый домен в дереве или лесе может иметь свою, совершенно независящую от других структуру организационных единиц.

Организационная единица- минимальная структурная единица , которой можно назначить собственную групповую политику, т.е. определить разрешения на доступ к ней ( и подчиненным OU ), конфигурационные настройки и т.п. Однако OU не является структурным элементом безопасности ( т.е. нельзя, скажем, назначить подразделению некоторые права доступа к определенному объекту), а служит только для группирования объектов каталога. Для назначения полномочий и разрешений доступа к ресурсам следует применять группы безопасности (security groups).

Двухуровневая иерархия - доменов в дереве доменов и организационных единиц в домене - обеспечивает гибкость администрирования, которое может быть и централизованным, и децентрализованным, и смешанным.

Задание 1.

Как Вы думаете следует организовать в сети несколько доменов или разделить ее на организационные единицы? Если…

1. в организации действует децентрализованное управление, при котором пользователями и ресурсами управляют совершенно независимые администраторы.

Ответ?: следует создать несколько доменов

2. части сети связаны медленным каналом и совершенно нежелательна полная репликация по этому каналу

Ответ?: следует создать несколько доменов. Если репликация возможна хотя бы иногда, то лучше создавать один домен с несколькими сайтами.

3. Следует отразить в сети структуру организации

Ответ: следует разбить домен на организационные единицы.

4. необходимо делегировать управление над ограниченными, небольшими группами пользователей и ресурсов. Необходимо делегировать все права администрирования.

Ответ: следует разбить домен на организационные единицы.

5. необходимо делегировать управление над ограниченными, небольшими группами пользователей и ресурсов. Необходимо делегировать некоторые права администрирования.

Ответ: следует разбить домен на организационные единицы.

6. если компании предстоят изменения в организационной структуре.

Ответ: следует разбить домен на организационные единицы, причем их структура должна соответствовать будущим изменениям в организации. Домены же по возможности . нужно конфигурировать так, чтобы перемещать или делить их приходилось как можно реже.

Проектирование структуры сайтов.

Планирование репликации каталога следует начинать с одного сайта , а затем, с учетом каналов передачи данных и их пропускной способности, можно добавлять новые сайты. Для локальных сетей (LAN) с быстрыми каналами обычно используются конфигурации с одним сайтом ( хотя можно разбить и на несколько), поскольку зачастую такое решение упрощает администрирование.

Использование нескольких сайтов дает следующие преимущества:

1. Распределяется нагрузка по сети со стороны клиентов;

2. Возможна оптимизация процесса получения данных из каталога;

3. Упрощается администрирование (например, управление конфигурацией) ресурсов , если они объединены в сайт.

4. Возможна "тонкая" настройка репликации.

Создание нового сайта с собственными контроллерами домена имеет смысл в том случае , когда контроллеры домена недостаточно быстро реагируют на запросы пользователей. Обычно такое случается при большом территориальном удалении клиентских компьютеров и медленных каналах связи. Создание нового сайта может быть целесообразно с точки зрения обеспечения аутенфикации пользователей. Клиент при регистрации пытается найти контроллер домена в своем, локальном сайте. Поэтому топология сайтов должна учитывать то, насколько быстро клиент должен получать доступ к контроллеру домена. Имеет смысл включать все контроллеры домена в один сайт, если репликация между ними должна выполняться по к единому расписанию. Однако при наличии нескольких сайтов можно индивидуально настроить репликацию быстрый канал, а коммутируемое соединение - если основной канал недоступен. Такой подход обеспечивает и эффективность , и отказоустойчивость.

Установка контроллера домена. Контроллер домена (Domain Controller, DC) создается из уже имеющегося изолированного (standolone) сервера или рядового (member) сервера пр помощи операции, называемой повышение роли сервера (promotion). Обратный процесс преобразования контроллера домена в изолированный или рядовой сервер называется понижением роли сервера (denotin) . При этом сервер удаляется из леса и изменяются сведения о нем в DNS , с сервера удаляются служба каталогов и все ее элементы, восстанавливается стандартная база данных безопасности (SAM). Понижение роли последнего контроллера в домен означает уничтожение всего домена. Но , необходимо помнить, что нельзя удалять корневой ( первый созданный) домен в доменном дереве, так как это приведет к уничтожению всего дерева.