11.Доменная модель Windows 2000.

Доменом называется отдельная область безопасности в компьютерной сети Windows NT или Windows 2000. Служба каталогов Active Directory может охватывать один или нескольких доменов. На автономной рабочей станции доменом является сам компьютер. С физической точки зрения домен может включать в себя компьютеры, расположенные в разных местах. В каждом домене действует своя политика безопасности и свои отношения безопасности с другими доменами. Дерево доменов (дерево) состоит из нескольких доменов, имеющих общие схему и конфигурацию и тем самым образующих общее пространство имен. Домены одного дерева также связаны между собой доверительными отношениями. Служба каталогов Active Directory представляет собой множество, состоящее из одного или нескольких деревьев. Дерево доменов можно представить в виде индивидуальных доменов и существующих между ними доверительных отношений. Операционная система Windows 2000 устанавливает доверительные отношения между доменами на основе протокола безопасности Kerberos. Доверительные отношения по протоколу Kerberos транзитивны: если домен A доверяет домену B, а домен B доверяет домену C, то домен A доверяет домену C. Можно представить дерево доменов на основе пространства имен. Различающееся имя объекта можно определить, пройдя путь вверх по пространству имен дерева доменов. Лесом называется набор, состоящий из одного или нескольких деревьев, которые не образуют непрерывного пространства имен. Все деревья леса имеют одни и те же схему, конфигурацию и глобальный каталог. Все деревья леса связаны доверительными отношениями посредством транзитивных доверительных отношений по протоколу Kerberos. Лес, в отличие от дерева, не должен иметь отличающее его имя. Деревья леса образуют иерархию доверия по протоколу Kerberos; имя дерева, находящегося в корне дерева доверия, может быть использовано для ссылки на указанный лес. Сайт - это местоположение в сети, где содержатся серверы службы каталогов Active Directory. Сайт определяется как одна или несколько подсетей TCP/IP с хорошим соединением. "Хорошее соединение" означает, что связь в сети обладает высокой надежностью и большой пропускной способностью. Когда пользователь входит в систему, клиент службы каталогов Active Directory находит серверы службы каталогов Active Directory, расположенные на одном сайте с пользователем.

12.Иерархия доменов и доверительные аутентификации.

Домен- совокупность компонентов харак-ся наличием общей базы учетных записей и единой политикой безопасности. Цели: 1. разграничение админ полномочий. 2. создание политики единой безопасности. 3. разделение домен контекста имен.

Отношение между доменами. Обладают некоторой иерархией. Родитель – потомок. (наследие домен политик). Дерево доменов (дерево) состоит из нескольких доменов, имеющих общие схему и конфигурацию и тем самым образующих общее пространство имен. Лесом называется набор, состоящий из одного или нескольких деревьев, которые не образуют непрерывного пространства имен. Все деревья леса имеют одни и те же схему, конфигурацию и глобальный каталог. Первое созданное в лесу доменов дерево является корневым деревом. Корневое дерево используется для ссылки на лес доменов. Первый созданный в дереве домен называется корневым доменом дерева (tree root domain), который используется для ссылки на данное дерево. Совершенно очевидно, что корневой домен является определяющим для всего дерева.

Соответственно, первый домен, созданный в лесу доменов, называется корневым доменом леса (forest root domain). Корневой домен леса играет очень важную роль, связывая деревья, образующие лес доменов, воедино и поэтому не может быть удален. В частности, он хранит информацию о конфигурации леса и деревьях доменов, его образующих.

Доверительные отношения – это связи описывающие процесс отношения между доменами, доверительный домен доверяет процесс аутентификации доверяемому домену. Доверительные отношения: 1. между корневыми доменами в лесу обладают свойствами: двусторонность отношений, транзитивные отношения. Явные и не явные отношения. 2. доверительные отношения внутри дерева: Дерево доменов можно представить в виде индивидуальных доменов и существующих между ними доверительных отношений. Операционная система Windows 2000 устанавливает доверительные отношения между доменами на основе протокола безопасности Kerberos. Доверительные отношения по протоколу Kerberos транзитивны: если домен A доверяет домену B, а домен B доверяет домену C, то домен A доверяет домену C.

Режимы функционирования доменов:1. Смешанный режим, который позволяет контроллерам доменов, работающим как под управлением операционной системы, сосуществовать в домене. Можно пользоваться некоторыми функциями более ранних версий операционной системы Windows NT; в то же время часть функций операционной системы Windows 2000 недоступна. 2.Основной режим, в котором все контроллеры доменов должны работать под управлением операционной системы Windows 2000 Server. В основном режиме работы можно воспользоваться преимуществами таких новых функций, как универсальные группы, членство во вложенных группах и членство в междоменных группах.