Схемы организации сетей

Схема – это концепция, которая определяет какие объекты, мы сможем создать в Active Directory, и как они будут выглядеть.

Рассмотрим ситуацию слияния двух IT структур (двух организаций с IT инфраструктурой в одну). Прежде чем разрабатывать новую схему организации сетей, необходимо ответить на следующие вопросы:

• Какая схема администрирования будет использоваться?

Вариант А – Централизованная. Это значит, что мы будем иметь один отдел IT, пусть и распределённый территориально. В новой фирме будет сидеть системный администратор, функции и задачи которого будут целиком диктоваться из центрального офиса.

Вариант Б – Децентрализованная. Что в свою очередь определяет наличие двух отделов IT, каждый из которых живет по своим правилам с соблюдением партнерских отношений между отделами.

• Будет ли связана работа пользователей этих двух компаний?

Вариант А – Совместная работа. Это значит, сотрудники обеих компаний используют общие сервера, общие приложения, базы данных и вдобавок часто ездят друг к другу «в гости» с ноутбуками.

Вариант Б – Самостоятельные фирмы. Как правило, такая схема будет использоваться, если области действия юридических лиц никак не пересекаются. Каждый участник имен свою самостоятельную ай-ти инфраструктуру.

Естественно в жизни возможны не столь четко выраженные ситуации и где-то вы встретите, то что называется «Смешанной схемой». В такой ситуации нужен более глубокий анализ.

Самостоятельные фирмы с Децентрализованным управлением

Получается, что наши фирмы мало, что объединяет, поэтому введение «новичков» в существующий домен Active Directory будет неправильным шагом как с точки зрения безопасности, так и с точки зрения администрирования. Лучше будет создать вторую отдельную организацию Active Directory, но в документации такое понятие как «организация AD» просто не существует, вместо него используется «Лес Active Directory». Что вкладывается в это понятие?

Лес Active Directory – это самостоятельная организация, использующая Active Directory для аутентификации своих клиентов. В рамках леса любой созданный объект будет нести одинаковый набор атрибутов. Например, создавая объект пользователя вы получаете его с несколькими десятками параметров (таких как имя, фамилия, путь к профилю, членство в группах). Если вдруг вы добавите к создаваемым атрибутам еще один, то он появится у каждого пользователя вне зависимости от того в какой части вашего леса он создан.

Схема для всего леса едина.

Создав новый лес Active Directory для купленной компании, мы обеспечим максимальную изолированность этих сетей, поскольку лес является границей безопасности. Аутентифицировавшись в своем лесу получить доступ к ресурсам за его пределами по-умолчанию нельзя. Точно также никто не сможет получить доступ к вам.

Централизованное администрирование связанных компаний

При таком сценарии с точки зрения налоговой инспекции это разные юридические лица, а если смотреть на айти-инфраструктур, то компания одна. (общие сервера и общие администраторы). Будет вполне логично ввести компьютеры новой фирмы в существующий домен в нашей организации Active Directory (а правильней лес Active Directory).

Что же произойдет при объединении компьютеров в рамках одного домена?

Во-первых, все будут использовать общие контроллеры домена. Каждый контроллер домена будет знать обо всех учетных записях нашего леса Active Directory. Вдобавок к этому члены группы Администраторы домена будут иметь административные привилегии над всеми членами нашего домена. Также все участники получат общие групповые политики (настройки), которые прописаны для всего домена.