Фізична структура.

Фізична структура ActiveDirectory пов'язана з двома головними типами об'єктів – сайтами і контролерами доменів.

Сайти. На відміну від NT 4, у Windows 2000 ActiveDirectory передбачає концепцію фізичного місцезнаходження усередині структури. В ActiveDirectory сайт – це сукупність підмереж TCP/IP, між якими існує високошвидкісне з'єднання. Хоча «високошвидкісне» – це відносне поняття, зазвичай під цим мається на увазі з'єднання на швидкостях, відповідних LAN-з'єднанням. Ви визначаєте сайт в ActiveDirectory для контролю реплікації, аутентифікації і місцезнаходженя служб. Як тільки сайт буде створений, комп'ютери клієнтів намагатимуться аутентифікуватися на контролері домену, який знаходиться на даному сайті, замість того, щоб посилати запити по WAN (глобальна мережа). Сайти також дозволяють контролювати, коли реплікація може відбуватися між контролерами доменів. Наприклад, в NT 4 усі BDC отримують дані від PDC у процесі реплікації, використовуючи 5-хвилинний інтервал повідомлення про зміни. Оскільки в NT не було передбачено простого шляху для контролю реплікації між фізичними місцеположеннями (це можна зробити, використовуючи спеціальні скрипти для регістра), трафік реплікації може перенавантажувати лінії і знизити продуктивність мережі. Якщо ж ви визначите сайт в ActiveDirectory, можете також визначити час і дні, в які реплікація між сайтами повинна відбуватися, як часто вона повинна відбуватися і переважні шляхи для її проходження. Ви повинні зауважити, що за замовчуванням існує тільки один сайт, і поки ви не створите інші, реплікація відбуватиметься, як і раніше, через кожен 5-хвилинний інтервал. Також важливо відзначити, що сайти – це інший елемент, який дозволяє великим компаніям мати тільки один домен. Оскільки не існує співвідношення між логічною і фізичною структурою ActiveDirectory, можете мати один домен і сотню сайтів. Можливість контролювати трафік реплікації – одна з найбільших переваг керованості ActiveDirectory.

Контролеридоменів. Домен не може існувати без принаймні одного контролеру домену, де зберігається база даних ActiveDirectory. На відміну від Windows NT, де була тільки одна копія бази, що дозволяє робити запис (зберігається на PDC; копії, що зберігаються на BDC мали атрибут «тільки для читання»), у Windows 2000 кожен контролер домену має копію бази даних ActiveDirectory, в яку можна проводити запис. Тому всі контролери домену в середовищі ActiveDirectory достатньо рівноправні. Проте це ускладнює картину, оскільки тепер кожен контролер домену може робити записи в базу даних. Як і в NT 4, повинно бути як мінімум два контролери в домені для цілей надмірності, а, як правило, і набагато більше, залежно від розміру організації.

Створюєте контролер домену в Windows 2000 за допомогою InstallationWizard (майстер установки ActiveDirectory) – dcpromo.exe. Цей інструмент не тільки дозволяє створювати нові контролери домену, а й нові домени, дерева і ліси. Він дозволяє також знижувати контролер домену до рядового сервера, якщо виникне така необхідність.

Після того, як контролер домену створений, він береже копію бази даних ActiveDirectory (ntds.dit) і може проводити аутентифікацію користувачів домену. База даних ActiveDirectory складається з того, що прийнято називати трьома розділами, як показано на рисунку 3.6.

Розділ «домен» реплікується між контролерами тільки усередині одного домену, тоді як розділи «конфігурація» і «схема» реплікуються в кожен із доменів, розташованих у лісі. Деякі з контролерів домену відрізняються від інших спеціальними ролями, які вони виконують:

GlobalCatalog Server (сервер Глобального Каталога) – сервер Глобального Каталога – це контролер домену, який знає про кожен одиничний об'єкт, що існує в ActiveDirectory, в кожному з доменів. Проте він зберігає тільки частину атрибутів кожного об'єкта, які вважаються найважливішими. За замовчуванням тільки один контролер домену в усьому лісі виконує цю роль – перший контролер домену, створений в лісі. Більше число серверів Глобального Каталога може (і повинно) бути створено в лісі. Коли контролер домену діє як сервер Глобального Каталога, він береже четвертий розділ як частину бази даних ActiveDirectory – розділ Глобального Каталога.

Крім ролі сервера Глобального Каталога, контролери домену можуть виконувати ще п'ять спеціальних ролей, званих OperationsMasters (основні контролери операцій):

SchemaMaster (господар схеми) – у лісі тільки один контролер домену може виконувати цю роль. SchemaMaster підтримує схему ActiveDirectory і підтримує копію схеми, доступну для записування. За замовчуванням перший контролер домену, створений в кореневому домені лісу, виконує цю роль.

DomainNamingMaster (господар іменування доменів) – цей контролер домену відстежує домени, які створюються і видаляються з лісу, підтримуючи цілісність структури лісу, якщо які-небудь зміни мають місце. В лісі існує тільки один DomainNamingMaster і, за замовчуванням, цю роль виконує перший контролер, створений у кореневому домені лісу.

PDC Emulator (господар PDC) – ця роль існує з кількох причин, одна з яких – зворотна сумісність з NT 4 контролерами. Коли домен підвищується до Windows 2000, перша система, яка піддається модернізації – це PDC (головний контролер домену), і цей новий контролер домену Windows 2000 емулює (імітує) старий PDC для BDC (резервних контролерів домену), що залишилися, працюючих під Windows NT. PDC Emulator відстежує зміни паролів і виступає «арбітром» перед тим, як пароль може бути знехтуваний системою. За замовчуванням клієнти попередніх Windows OS, таких як Windows 9x і NT, продовжують змінювати свої паролі на PDC Emulator (до тих пір, поки на систему не буде встановлений клієнт ActiveDirectory). Один контролер в кожному домені виконує роль PDC Emulator, за замовчуванням – це перший контролер, створений в домені.

RelativeIdentifier (RID) Master (господар RID (relativeidentificator)) в NT 4 PDC відповідає за створення всіх SID (securityidentificator), тобто відповідає за створення всіх об'єктів безпеки («користувач», «група», «комп'ютер»). У Windows 2000 кожен контролер домену може створювати об'єкти безпеки. Насправді SID складається з двох частин – SID (який визначає домен) і RID (який визначає унікальний об'єкт усередині домену). Для того, щоб бути упевненим, що SID унікальний, один контролер у кожному домені виконує роль RID Master, що відповідає за створення доменного пулу RID, і розміщення цих RID на інших контролерах у домені. Це дозволяє упевнитися, що не відбудеться дублювання об'єктів SID. У кожному домені ActiveDirectory діє один RID Master, за замовчуванням – це перший контролер, створений в домені.

InfrastructureMaster (господар інфраструктури) – InfrastructureMaster відстежує інформацію про те, які користувачі (з інших доменів) є членами тієї або іншої групи даного домену й усі зміни, які мають місце. Це дозволяє упевнитися в несуперечності участі користувачів в групах в ActiveDirectory. Кожен домен в ActiveDirectory має одного InfrastructureMaster, за замовчуваням – це перший контролер, створений в домені.

Дата добавления: 2015-11-30