32. Доверительные отношения

Дерево доменов (дерево) состоит из нескольких доменов, имеющих общие схему и конфигурацию и тем самым образующих общее пространство имен. Домены одного дерева также связаны между собой доверительными отношениями. Служба каталогов Active Directory представляет собой множество, состоящее из одного или нескольких деревьев.

Деревья можно рассматривать с двух точек зрения: с позиции доверительных отношений между доменами или как пространство имен дерева доменов.

Дерево доменов можно представить в виде индивидуальных доменов и существующих между ними доверительных отношений. Операционная система Windows 2000 устанавливает доверительные отношения между доменами на основе протокола безопасности Kerberos. Доверительные отношения по протоколу Kerberos транзитивны: если домен A доверяет домену B, а домен B доверяет домену C, то домен A доверяет домену C.

Если несколько доменов связаны доверительными отношениями и имеют одни и те же схему, конфигурацию и глобальный каталог, мы имеем дерево доменов. Несколько деревьев доменов могут быть объединены в лес.

Допускаются два типа доверительных отношений

-Односторонние доверительные отношения NTLM- Этот тип доверительных отношений достался в наследство отWindowsNT. Если необходимо установить доверительные отношения в обе стороны, сначала устанавливают отношения доверия в одну сторону, а потом в другую. При этом созданные доверительные отношения не будут обладать свойством транзитивности

-Двусторонние доверительные отношения Kerberos- Этот тип доверительных отношений может использоваться только между доменамиWindows2000. Устанавливаемые отношения доверия направлены в обе стороны. При этом они обладают свойством транзитивности

33. Ntds, ad – основные возможности и характеристики

AD – унифицированное хранилище информации об элементах сетевой инфраструктуры со средствами поиска и доставки пользователю нужной ему информации.

В Windows NT – NTDS представляла собой плоскую одноранговую модель домена. Каждый домен имел свою учетную запись и ресурсы. По умолчанию, пользователь одного домена не мог получить доступ к ресурсам другого домена. Хотя такая возможность реализовывалась при установке между ними доверительных отношений.

Недостаток NTDS: возможность использования только для небольших организаций, сложность администрирования, особенно при переносе учетных записей из одного домена в другой, сложность поиска нескольких доменов сразу.

Начиная с Windows Server 2000 появилась AD, которая обеспечивает централизованное управление всеми сетевыми объектами, скрывает от пользователей физическую организацию сети. Это ему и не нужно. Проверка прав доступа пользователей – 1 раз при входе в систему.

AD обеспечивает:

1. масштабируемость

2. расширяемость, позволяющая создавать новые классы и атрибуты

3. хорошую совместимость с сетями Internet и Intranet за счет использования доменных имен

4. возможность реализации многоуровневых групповых политик

5. центральное администрирование

6. возможность взаимодействия с другими службами каталогов, поддерживающих стандарт X500 с помощью протокола LDAP