- •Введение в Active Directory Введение в Active Directory
- •Новые возможности Active Directory Новые возможности Active Directory в Windows Server 2003 Service Pack 1 (sp1)
- •Новые возможности Active Directory в Windows Server 2003
- •Новые возможности Active Directory уровня домена и уровня леса
- •Сведения о безопасности для Active Directory Сведения о безопасности для Active Directory
- •Защита доступа к сети
- •Общее представление о службе Active Directory. Общее представление о службе Active Directory.
- •Защита Active Directory Защита Active Directory
- •Дескрипторы безопасности
- •Управление доступом в Active Directory Управление доступом в Active Directory
- •Наследование объектов
- •Проверка подлинности пользователя
- •Именование в Active Directory Именование в Active Directory
- •Учетные записи пользователей
- •Учетные записи компьютеров
- •Хранилище данных каталога Хранилище данных каталога
- •Квоты и разделы каталога
- •Протокол доступа к каталогам Протокол доступа к каталогам
- •Протокол ldap
- •Ldap и взаимодействие
- •Учетные записи пользователей и компьютеров Учетные записи пользователей и компьютеров
- •Учетные записи пользователей
- •Защита учетных записей пользователей
- •Параметры учетных записей
- •Учетные записи InetOrgPerson
- •Учетные записи компьютеров
- •Имена объектов Имена объектов
- •Подразделения Подразделения
- •Роли сервера Active Directory Роли сервера Active Directory
- •Рядовые серверы
- •Контроллеры домена
- •Клиенты Active Directory Клиенты Active Directory
- •Общее представление о доменах и лесах Общее представление о доменах и лесах
- •Контроллеры домена Контроллеры домена
- •Определение количества необходимых контроллеров домена
- •Физическая безопасность
- •Архивация контроллеров домена
- •Обновление контроллеров домена
- •Переименование контроллеров домена Переименование контроллеров домена
- •Подключение к контроллерам домена, работающим под управлением Windows 2000 Подключение к контроллерам домена, работающим под управлением Windows 2000
- •Домены Домены
- •Создание домена
- •Планирование нескольких доменов
- •Удаление домена
- •Доверительные отношения между доменами
- •Переименование доменов Переименование доменов
- •Изменение структуры леса
- •Функциональность домена и леса Функциональность домена и леса
- •Режимы работы домена
- •Режимы работы леса
- •Повышение режимов работы домена и леса Повышение режимов работы домена и леса
- •Разделы каталога приложений Разделы каталога приложений
- •Именование разделов каталога приложений
- •Репликация разделов каталога приложений
- •Домен ссылок дескрипторов безопасности
- •Разделы каталога приложений и понижение роли контроллера домена Разделы каталога приложений и понижение роли контроллера домена
- •Определение приложения, использующего раздел каталога приложений
- •Определение безопасности удаления последней реплики
- •Поиск средства удаления раздела, входящего в состав приложения
- •Удаление раздела каталога приложений с помощью специального средства или программы Ntdsutil
- •Управление разделами каталога приложений Управление разделами каталога приложений
- •Создание раздела каталога приложений
- •Удаление раздела каталога приложений
- •Добавление или удаление реплики раздела каталога приложений
- •Задание домена ссылок раздела каталога приложений
- •Задание задержки уведомления репликации
- •Просмотр сведений о разделе каталога приложений
- •Делегирование создания разделов каталога приложений
- •Роли хозяев операций Роли хозяев операций
- •Роли хозяина операций на уровне всего леса
- •Хозяин схемы
- •Хозяин именования домена
- •Роли хозяина операций на уровне всего домена
- •Хозяин rid
- •Хозяин эмулятора pdc
- •Хозяин инфраструктуры
- •Передача ролей хозяев операций Передача ролей хозяев операций
- •Действия при неполадках хозяина операций Действия при неполадках хозяина операций
- •Сбой хозяина схемы
- •Сбой хозяина именования доменов
- •Сбой хозяина rid
- •Сбой хозяина эмулятора pdc
- •Сбой хозяина инфраструктуры
- •Область действия группы Область действия группы
- •Когда следует использовать группы с локальной доменной областью действия
- •Когда следует использовать группы с глобальной областью действия
- •Когда следует использовать группы с универсальной областью действия
- •Изменение области действия группы
- •Группы на клиентских компьютерах и изолированные серверы
- •Типы группы Типы группы
- •Группы распространения
- •Группы безопасности
- •Преобразование групп безопасности и распространения
- •Группы по умолчанию Группы по умолчанию
- •Группы в контейнере Builtin
- •Группы в контейнере «Пользователи»
- •Вложенность групп Вложенность групп
- •Специальные удостоверения Специальные удостоверения
- •Общее представление об отношениях доверия
- •Общее представление об отношениях доверия
- •Где могут создаваться группы Где могут создаваться группы
- •Протоколы отношений доверия
- •Объекты доверенного домена
- •Типы доверия Типы доверия
- •Доверия по умолчанию
- •Другие доверия
- •Направление отношения доверия Направление отношения доверия
- •Одностороннее отношение доверия
- •Двустороннее отношение доверия
- •Транзитивность доверия Транзитивность доверия
- •Транзитивные доверительные отношения
- •Нетранзитивное доверительное отношение
- •Когда следует создавать внешнее доверие Когда следует создавать внешнее доверие
- •Защита внешних доверий
- •Как действует карантин фильтрации кодов безопасности
- •Общее представление об угрозе
- •Влияние карантина фильтрации кодов sid
- •Отключение карантина фильтрации sid
- •Разрешение прохождения отношений доверия лесов для журнала sid
- •Когда необходимо создавать сокращенное доверие Когда необходимо создавать сокращенное доверие
- •Использование одностороннего доверия
- •Использование двустороннего доверия
- •Когда необходимо создавать отношение доверия со сферой Когда необходимо создавать отношение доверия со сферой
- •Когда необходимо создавать доверие лесов Когда необходимо создавать доверие лесов
- •Использование одностороннего доверия лесов
- •Использование двустороннего доверия лесов
- •Доверия лесов Доверия лесов
- •Управление средой с несколькими лесами
- •Делегирование управления администрированием уровня леса
- •Синхронизация данных через леса
- •Доступ к ресурсам через домены Доступ к ресурсам через домены
- •Планирование стратегии управления доступом для нескольких доменов
- •Советы и рекомендации по контролю доступа к общим ресурсам доменов
- •Выборочная проверка подлинности между доменами, соединенными внешним доверием
- •Доступ к ресурсам через леса Доступ к ресурсам через леса
- •Подсказки по маршрутизации
- •Планирование стратегии управления доступом для нескольких лесов
- •Советы и рекомендации по использованию групп безопасности через леса
- •Выборочная проверка подлинности между лесами
- •Маршрутизация суффиксов имен между лесами Маршрутизация суффиксов имен между лесами
- •Обнаружение конфликтов
- •Использование сайтов
- •Использование подсетей для защиты сайтов
- •Принадлежность компьютеров к сайтам
- •Общее представление о сайтах и доменах
- •Общие сведения о репликации Общие сведения о репликации
- •Подготовка данных для репликации
- •Повышение эффективности репликации с сайтами
- •Определение топологии репликации
- •Улучшения репликации в семействе Windows Server 2003
- •Как работает репликация Как работает репликация
- •Передача данных репликации
- •Предотвращение ненужной репликации
- •Разрешение конфликтующих изменений
- •Улучшение эффективности репликации
- •Репликация в пределах сайта Репликация в пределах сайта
- •Построение топологии внутрисайтовой репликации
- •Определение времени выполнения внутрисайтовой репликации
- •Репликация между сайтами Репликация между сайтами
- •Построение топологии межсайтовой репликации
- •Определение времени выполнения межсайтовой репликации
- •Когда следует устанавливать одиночные или раздельные сайты Когда следует устанавливать одиночные или раздельные сайты
- •Почему важна пропускная способность
- •Когда следует устанавливать одиночный сайт
- •Когда следует устанавливать раздельные сайты
- •Пропускная способность Пропускная способность
- •Частота репликации
- •Доступность связи сайтов
- •Настройка мостов связей сайтов
- •Настройка основных серверов-плацдармов
- •Репликация глобального каталога Репликация глобального каталога
- •Добавление атрибутов
- •Запрет непредвиденного доступа к данным глобального каталога
- •Влияние универсальных групп на репликацию глобального каталога
- •Настройка глобального каталога Настройка глобального каталога
- •Глобальные каталоги и сайты Глобальные каталоги и сайты
- •Кэширование членства в универсальных группах
- •Интеграция с групповой политикой Интеграция с групповой политикой
- •Общее представление о схеме Общее представление о схеме
- •Как определяются объекты каталога
- •Как хранится схема
- •Кэш схемы
- •Обеспечение безопасности схемы
- •Классы и атрибуты схемы Классы и атрибуты схемы
- •Типы классов
- •Атрибуты
- •Однозначные и многозначные атрибуты
- •Индексированные атрибуты
- •Имена объектов схемы Имена объектов схемы
- •Отображаемого имени протокола ldap.
- •Обычное имя
- •Идентификатор объекта
- •Правила именования объектов схемы
- •Псевдонимы очереди сообщений
- •Деактивация класса или атрибута Деактивация класса или атрибута
- •Включение отключенного класса
- •Включение отключенного атрибута
- •Расширение схемы Расширение схемы
- •Перед расширением схемы
- •Как расширить схему
- •Использование проверочного леса
- •Использование мастера установки Active Directory Использование мастера установки Active Directory
- •Конфигурация dns
- •Поддержка имеющихся приложений
- •Создание дополнительного контроллера домена Создание дополнительных контроллеров домена
- •Использование носителя архива для создания дополнительных контроллеров домена
- •Создание нового дерева доменов Создание нового дерева доменов
- •Создание нового дочернего домена Создание нового дочернего домена
- •Создание нового леса Создание нового леса
- •Когда следует создавать новый лес
- •Роли хозяев операций в новом лесу
- •Добавление новых доменов в состав леса
- •Перед созданием нового леса
- •Обновление основного контроллера домена
- •Обновление всех оставшихся резервных контроллеров домена
- •Завершение обновления домена
- •Установка клиентского программного обеспечения Active Directory на устаревшие компьютеры клиентов
- •Обновление домена Windows 2000 Обновление домена Windows 2000
- •Преобразованные группы и Microsoft Exchange
- •Использование преобразованных групп на серверах под управлением Windows Server 2003
- •Администрирование Active Directory Администрирование Active Directory
- •Использование команды «Запуск от имени» Использование команды «Запуск от имени»
- •Использование сохраненных запросов Использование сохраненных запросов
- •Управление службой Active Directory из mmc Управление службой Active Directory из mmc
- •Настройка режима отображения данных в средствах администрирования и оснастках Active Directory
- •Использование оснастки «Active Directory - пользователи и компьютеры»
- •Запуск консолей mmc в Active Directory из командной строки
- •Управление Active Directory из командной строки Управление Active Directory из командной строки
- •Поиск данных каталога Поиск данных каталога
- •Ограничение доступа к данным каталога
- •Эффективные поисковые средства
- •Администрирование других доменов Администрирование других доменов
- •Делегирование администрирования Делегирование администрирования
- •Безопасное делегирование администрирования
- •Настройка консолей mmc для определенных групп
- •Использование групповой политики для публикации и назначения специальных консолей
- •Публикация ресурсов Публикация ресурсов
- •Публикация пользователей и компьютеров
- •Публикация общих принтеров
- •Публикация общих папок
- •Публикация служб
- •Категории данных службы
- •Характеристики данных служб
- •Задачи для выполнения на контроллере домена
- •Задачи для выполнения на серверах приложений
- •Средства поддержки Active Directory Средства поддержки Active Directory
- •Список и описание программ
- •Интерфейсы программирования Интерфейсы программирования
Вложенность групп Вложенность групп
Поддержка вложенности групп позволяет добавлять группу в другую группу в качестве члена. Вложение групп необходимо для объединения учетных записей членов и для сокращения трафика репликации.
Параметры вложенности зависят от выбранного режима работы домена Windows Server 2003 — основного режима Windows 2000 или смешанного режима Windows 2000.
Членами групп в доменах, работающих в основном режиме Windows 2000, или групп распространения в доменах, работающих в смешанном режиме Windows 2000, могут быть следующие учетные записи и группы.
В группы с универсальной областью действия могут входить: учетные записи, учетные записи компьютера, другие группы с универсальной областью действия, а также группы с глобальной областью действия из другого домена.
В группы с глобальной областью действия могут входить: учетные записи с того же самого домена и другие группы с глобальной областью действия из того же самого домена.
В группы с локальной областью действия в домене могут входить: учетные записи, группы с универсальной областью действия и группы с глобальной областью действия (все из любого домена) и эти группы могут также иметь в качестве членов другие группы с локальной областью действия из того же домена.
Группы безопасности в доменах, установленных в смешанном режиме Windows 2000, ограничены следующими типами членства:
группы с глобальной областью действия могут иметь в качестве своих членов только учетные записи;
группы с локальной областью действия в домене могут иметь в качестве своих членов другие группы с глобальной областью действия, а также учетные записи.
Группы безопасности с универсальной областью действия не могут быть созданы в доменах, работающих в смешанном режиме Windows 2000, так как универсальная область действия поддерживается только в доменах, работающих в основном режиме Windows 2000 или Windows Server 2003.
Дополнительные сведения о режиме работы домена см. в разделе Функциональность домена и леса.
Специальные удостоверения Специальные удостоверения
Кроме групп, содержащихся в контейнерах Builtin и Users, серверы, работающие под управлением Windows Server 2003, включают несколько специальных удостоверений. Для удобства, эти удостоверения обычно называются группами. Эти специальные группы не имеют специальных членств, которые можно изменять, но могут представлять различных пользователей в различные моменты времени в зависимости от обстоятельств. Cпециальными группами являются:
Анонимный вход Представляет пользователей и службы, которые имеют доступ к компьютеру и его ресурсам через сеть без использования имени учетной записи, пароля или имени домена. На компьютерах, работающих под управлением Windows NT и более ранних версий, группа «Анонимный вход» является членом группы «Все» по умолчанию. На компьютерах, работающих под управлением Windows Server 2003, группа «Анонимный вход» не является членом группы «Все» по умолчанию.
Все представляет всех текущих пользователей сети, включая гостей и пользователей из других доменов. Всякий раз, когда пользователь входит в сеть, он автоматически добавляется в группу «Все».
Сеть представляет пользователей, которые в настоящий момент имеют доступ к данному ресурсу через сеть (в отличие от пользователей, имеющих доступ к ресурсу посредством локального вхождения на компьютер, содержащий этот ресурс). Всякий раз, когда пользователь подключается к данному ресурсу через сеть, он автоматически добавляется в группу «Сеть».
Интерактивные представляет всех пользователей, которые в настоящий момент вошли на компьютер и подключаются к данному ресурсу, расположенному на этом компьютере (в отличие от пользователей, которые подключены к ресурсу через сеть). Всякий раз, когда пользователь подключается к данному ресурсу на компьютере, на который он в настоящее время вошел, он автоматически добавляется в группу «Интерактивные».
Несмотря на то, что специальным удостоверениям могут быть назначены права и разрешения для ресурсов, членства не могут быть изменены или просмотрены. Понятие областей действия группы не применимо к специальным удостоверениям. Пользователи автоматически назначаются этим специальным удостоверениям каждый раз, когда они входят в систему или подключаются к конкретному ресурсу.
Общие сведения о группах см. в разделе Группы.