Azərbaycanca
Беларускі
Dansk
Deutsch
Española
Français
Indonesia
Italiana
日本語
Қазақ
Lietuvos
Nederlands
Português
Русский
සිංහල
แบบไทย
Türkçe
Українська
中國人
United State
Afrikaans
Active Directory — LDAP-сумісна реалізація інтелектуальної служби каталогів корпорації Microsoft для операційних систем родини Windows NT. Active Directory дозволяє адміністраторам використовувати групові політики (GPO) для забезпечення подібного налаштування користувацького робочого середовища, розгортати ПЗ на великій кількості комп'ютерів (через групові політики або за допомогою Microsoft Systems Management Server 2003 (або System Center Configuration Manager)), встановлювати оновлення ОС, прикладного та серверного ПЗ на всіх комп'ютерах в мережі (із використанням Windows Server Update Services (WSUS); Software Update Services () раніше). Active Directory зберігає дані і налаштування середовища в централізованій базі даних. Мережі Active Directory можуть бути різного розміру: від кількох сотень до кількох мільйонів об'єктів.
Презентація Active Directory відбулась в 1999 році, продукт був вперше випущений із Windows 2000 Server, а потім був модифікований і покращений при випуску спочатку Windows Server 2003, а потім Windows Server 2003 R2.
На відміну від версій Windows до Windows 2000, котрі використовували в основному протокол NetBIOS для мережевої взаємодії, служба Active Directory інтегрована з DNS та (TCP/IP). DNS-сервер, що обслуговує Active Directory, має бути сумісним з BIND версії 8.1.2 або пізнішої, сервер має підтримувати записи типу SRV (RFC 2052) та протокол динамічних оновлень (RFC 2136).
Структура
Об'єкти
Active Directory (AD) має ієрархічну структуру, що складається з об'єктів. Об'єкти поділяються на три основні категорії:
- ресурси (наприклад, принтери);
- служби (наприклад, електронна пошта);
- люди (облікові записи користувачів і груп користувачів).
Active Directory виконує наступні функції:
- надає інформацію про об'єкти;
- дозволяє організовувати об'єкти;
- дозволяє керувати доступом до об'єктів;
- встановлює правила безпеки.
Об'єкти являють собою окремі сутності (користувача, комп'ютер, принтер, програму або спільну мережеву папку) і їхні атрибути. Об'єкти також можуть бути контейнерами для інших об'єктів. Об'єкт унікально ідентифікується своєю назвою і має набір атрибутів:
- характеристик;
- даних, які об'єкт може містити.
Дані, які об'єкт може містити, у свою чергу, залежать від типу об'єкта. Атрибути є складовою базової структури об'єкта і визначаються . Схема визначає, які типи об'єктів можуть існувати в Active Directory.
Сама схема складається з двох типів об'єктів схеми:
- класів схеми;
- атрибутів схеми.
Один клас схеми визначає один тип об'єкта Active Directory (наприклад, об'єкт «Користувач»), а один атрибут схеми визначає атрибут, який об'єкт може мати.
Кожен атрибут може бути використаний в декількох різних класах схеми. Ці об'єкти називаються об'єктами схеми (або метаданими) і дозволяють змінювати і доповнювати схему, коли це необхідно. Проте, кожен об'єкт схеми є частиною визначень об'єктів Active Directory, тому деактивація або зміна цих об'єктів можуть мати серйозні наслідки, тому що в результаті цих дій буде змінена структура Active Directory. Зміна об'єкта схеми автоматично поширюється в Active Directory. Будучи одного разу створеним, об'єкт схеми не може бути вилучений, його можна лише активізувати. Зазвичай всі зміни схеми ретельно плануються.
Контейнер є аналогічним до об'єкта в тому сенсі, що він також має атрибути та належить простору імен, але, на відміну від об'єкта, контейнер не означає нічого конкретного: контейнер може лише містити групу об'єктів або інші контейнери.
Ліси, дерева та домени
Верхнім рівнем структури є ліс — сукупність всіх об'єктів, атрибутів та правил (синтаксису атрибутів) в Active Directory. Ліс містить одне або кілька дерев, пов'язаних транзитивними стосунками довіри. Дерево містить один або декілька доменів, також пов'язаних в ієрархію транзитивними стосунками довіри. Домени ідентифікуються своїми структурами імен DNS — просторами імен.
Об'єкти в домені можуть бути згруповані у контейнери — підрозділи. Підрозділи дозволяють створювати ієрархію всередині домену, спрощують його адміністрування і дозволяють моделювати організаційну та/або географічну структури компанії в Active Directory. Підрозділи можуть містити інші підрозділи. Корпорація Майкрософт рекомендує використовувати якомога менше доменів в Active Directory, а для структурування AD і політик використовувати підрозділи. Часто групові політики застосовуються саме до підрозділів. Групові політики самі є об'єктами. Підрозділ є найнижчим рівнем, на якому можуть делегуватися адміністративні повноваження.
Іншим способом поділу AD є , які є способом фізичного (а не логічного) групування на основі підмереж IP. Сайти діляться на такі, що мають підключення низькошвидкісними каналами (наприклад, каналами глобальних мереж, за допомогою віртуальних приватних мереж), і таких, що підключені до високошвидкісних каналів (наприклад через локальні мережі). Сайт може містити один або декілька доменів, а домен може містити один або кілька сайтів. При проектуванні Active Directory важливо враховувати мережевий трафік, що створюється при синхронізації даних AD між сайтами.
Ключовим рішенням при проектуванні AD є рішення щодо поділу інформаційної інфраструктури на ієрархічні домени та підрозділи верхнього рівня. Типовими моделями, що використовуються для такого поділу, є моделі поділу за функціональними підрозділами компанії, за географічним розташуванням, і за ролями в інформаційній інфраструктурі компанії. Часто використовуються комбінації цих моделей.
У програмі була анонсована підтримка відносин довіри між окремими лісами.
Фізична структура та реплікація
Фізично інформація AD зберігається на одному або декількох рівнозначних контролерах доменів, які замінили основний і резервні контролери домену (що використовувалися в Windows NT) (хоча для виконання деяких операцій зберігається і так званий сервер , який може емулювати головний контролер домену). Кожен контролер домену зберігає копію даних AD, призначену для читання та запису. Зміни, зроблені на одному контролері, синхронізуються на всі контролери домену при . Сервери, на яких сама служба Active Directory не встановлена, але які при цьому входять в домен AD, називаються рядовими серверами.
Реплікація AD виконується за запитом. Служба KCC створює топологію реплікації, яка використовує сайти, визначені в системі, для керування трафіком. Внутрішньосайтова реплікація виконується часто і автоматично за допомогою засобу перевірки узгодженості (повідомленням партнерів з реплікації про зміни). Реплікація між сайтами може бути налаштована для кожного каналу сайту (у залежності від якості каналу) — різна «оцінка» (або «вартість») може бути призначена кожному каналу (наприклад, DS3, , ISDN і т. д.), і трафік реплікації буде обмежений, передаватися за розкладом і маршрутизуватися відповідно до призначеної каналу оцінки. Дані реплікації можуть транзитивно передаватися через кілька сайтів через мости зв'язку сайтів, якщо «оцінка» низька, хоча AD автоматично призначає нижчу оцінку для зв'язків «сайт-сайт», ніж для транзитивних з'єднань. Реплікація сайт-сайт виконується серверами-плацдармами в кожному сайті, які потім реплікують зміни на кожен контролер домену свого сайту. Внутрішньодоменна реплікація виконується за протоколом RPC за IP, міждоменні — можуть використовувати також протокол SMTP.
Якщо структура Active Directory містить кілька доменів, для вирішення завдання пошуку об'єктів використовується глобальний каталог: контролер домену, що містить всі об'єкти лісу, але з обмеженим набором атрибутів (неповна репліка). Каталог зберігається на зазначених серверах глобального каталогу й обслуговує міждоменні запити.
Можливість операцій з одним головним комп'ютером дозволяє обробляти запити, коли реплікація з кількома головними комп'ютерами неприпустима. Є п'ять типів таких операцій:
- емуляція головного контролеру домену (),
- головний комп'ютер відносного ідентифікатора (майстер відносних ідентифікаторів або ),
- головний комп'ютер інфраструктури (),
- головний комп'ютер схеми (),
- головний комп'ютер іменування домену ().
Перші три ролі унікальні в рамках домену, останні дві — унікальні в рамках усього лісу.
Базу AD можна розділити на три логічні сховища або «розділи».
- «Схема» є шаблоном для AD і визначає всі типи об'єктів, їхні класи й атрибути, синтаксис атрибутів (всі дерева знаходяться в одному лісі, тому що у них одна схема).
- «Конфігурація» є структурою лісу і дерев AD.
- «Домен» зберігає всю інформацію про об'єкти, створених у цьому домені. Перші два сховища реплікуються на всі контролери доменів в лісі, третій розділ повністю реплікується між репліками контролерів в рамках кожного домену та частково — на сервера глобального каталогу.
База даних AD (сховище каталогів) в Windows 2000 використовує розширювану підсистему зберігання , котра дозволяє для кожного контролера домену мати базу розміром до 16 терабайт і 1 мільярд об'єктів (теоретичне обмеження, практичні тести виконувались лише з приблизно 100 мільйонами об'єктів).
Найменування
AD підтримує такі формати йменування об'єктів: універсальні імена типу UNC, URL та LDAP URL. Версія LDAP формату іменування X.500 використовується всередині Active Directory.
Кожен об'єкт має розрізнювальне ім'я(Distinguished name, DN). Наприклад, об'єкт принтера з ім'ям HPLaser3 в підрозділі «Маркетинг» і в домені foo.org буде мати наступне розрізнювальне ім'я: CN = HPLaser3, OU = Маркетинг, DC = foo, DC = org , де «CN» — це загальне ім'я, «OU» — розділ, «DC» — клас об'єкта домену. Розрізняються імена можуть мати набагато більше частин, ніж чотири частини в цьому прикладі. В об'єктів також є канонічні імена. Це розрізнювальні імена, записані у зворотному порядку, без ідентифікаторів і з використанням косих рис як роздільників: foo.org/Маркетинг/HPLaser3 . Щоб визначити об'єкт всередині його контейнера, використовується відносне розрізнювальне ім'я: CN = HPLaser3 . У кожного об'єкта також є глобальний унікальний ідентифікатор (GUID) — унікальний і незмінний 128-бітний рядок, який використовується в AD для пошуку та реплікації. Певні об'єкти також мають ім'я учасника-користувача (UPN, відповідно до RFC 822) у форматі об'єкт@домен .
Література
- Ренд Морімото, Кентон Гардін'єр, Майкл Ноел, Джо Кока. Microsoft Exchange Server 2003. Повне керівництво = Microsoft Exchange Server 2003 Unleashed. — М. : «Вильямс», 2006. — С. 1024. — .
Див. також
Посилання
- Вебсторінка Microsoft Active Directory [ 14 лютого 2006 у Wayback Machine.]
- Microsoft [ 24 січня 2008 у Wayback Machine.]
- Active Directory 70-640 Free Course [ 4 квітня 2013 у Wayback Machine.]
- Distributed Management Task Force [ 17 вересня 2020 у Wayback Machine.]
 | Це незавершена стаття про програмне забезпечення. Ви можете проєкту, виправивши або дописавши її. |
Вікіпедія, Українська, Україна, книга, книги, бібліотека, стаття, читати, завантажити, безкоштовно, безкоштовно завантажити, mp3, відео, mp4, 3gp, jpg, jpeg, gif, png, малюнок, музика, пісня, фільм, книга, гра, ігри, мобільний, телефон, android, ios, apple, мобільний телефон, samsung, iphone, xiomi, xiaomi, redmi, honor, oppo, nokia, sonya, mi, ПК, web, Інтернет
Active Directory LDAP sumisna realizaciya intelektualnoyi sluzhbi katalogiv korporaciyi Microsoft dlya operacijnih sistem rodini Windows NT Active Directory dozvolyaye administratoram vikoristovuvati grupovi politiki GPO dlya zabezpechennya podibnogo nalashtuvannya koristuvackogo robochogo seredovisha rozgortati PZ na velikij kilkosti komp yuteriv cherez grupovi politiki abo za dopomogoyu Microsoft Systems Management Server 2003 abo System Center Configuration Manager vstanovlyuvati onovlennya OS prikladnogo ta servernogo PZ na vsih komp yuterah v merezhi iz vikoristannyam Windows Server Update Services WSUS Software Update Services ranishe Active Directory zberigaye dani i nalashtuvannya seredovisha v centralizovanij bazi danih Merezhi Active Directory mozhut buti riznogo rozmiru vid kilkoh soten do kilkoh miljoniv ob yektiv Tipova Active Directory keruyetsya za dopomogoyu grafichnoyi Microsoft Management Console Prezentaciya Active Directory vidbulas v 1999 roci produkt buv vpershe vipushenij iz Windows 2000 Server a potim buv modifikovanij i pokrashenij pri vipusku spochatku Windows Server 2003 a potim Windows Server 2003 R2 Na vidminu vid versij Windows do Windows 2000 kotri vikoristovuvali v osnovnomu protokol NetBIOS dlya merezhevoyi vzayemodiyi sluzhba Active Directory integrovana z DNS ta TCP IP DNS server sho obslugovuye Active Directory maye buti sumisnim z BIND versiyi 8 1 2 abo piznishoyi server maye pidtrimuvati zapisi tipu SRV RFC 2052 ta protokol dinamichnih onovlen RFC 2136 StrukturaOb yekti Active Directory AD maye iyerarhichnu strukturu sho skladayetsya z ob yektiv Ob yekti podilyayutsya na tri osnovni kategoriyi resursi napriklad printeri sluzhbi napriklad elektronna poshta lyudi oblikovi zapisi koristuvachiv i grup koristuvachiv Active Directory vikonuye nastupni funkciyi nadaye informaciyu pro ob yekti dozvolyaye organizovuvati ob yekti dozvolyaye keruvati dostupom do ob yektiv vstanovlyuye pravila bezpeki Ob yekti yavlyayut soboyu okremi sutnosti koristuvacha komp yuter printer programu abo spilnu merezhevu papku i yihni atributi Ob yekti takozh mozhut buti kontejnerami dlya inshih ob yektiv Ob yekt unikalno identifikuyetsya svoyeyu nazvoyu i maye nabir atributiv harakteristik danih yaki ob yekt mozhe mistiti Dani yaki ob yekt mozhe mistiti u svoyu chergu zalezhat vid tipu ob yekta Atributi ye skladovoyu bazovoyi strukturi ob yekta i viznachayutsya Shema viznachaye yaki tipi ob yektiv mozhut isnuvati v Active Directory Sama shema skladayetsya z dvoh tipiv ob yektiv shemi klasiv shemi atributiv shemi Odin klas shemi viznachaye odin tip ob yekta Active Directory napriklad ob yekt Koristuvach a odin atribut shemi viznachaye atribut yakij ob yekt mozhe mati Kozhen atribut mozhe buti vikoristanij v dekilkoh riznih klasah shemi Ci ob yekti nazivayutsya ob yektami shemi abo metadanimi i dozvolyayut zminyuvati i dopovnyuvati shemu koli ce neobhidno Prote kozhen ob yekt shemi ye chastinoyu viznachen ob yektiv Active Directory tomu deaktivaciya abo zmina cih ob yektiv mozhut mati serjozni naslidki tomu sho v rezultati cih dij bude zminena struktura Active Directory Zmina ob yekta shemi avtomatichno poshiryuyetsya v Active Directory Buduchi odnogo razu stvorenim ob yekt shemi ne mozhe buti viluchenij jogo mozhna lishe aktivizuvati Zazvichaj vsi zmini shemi retelno planuyutsya Kontejner ye analogichnim do ob yekta v tomu sensi sho vin takozh maye atributi ta nalezhit prostoru imen ale na vidminu vid ob yekta kontejner ne oznachaye nichogo konkretnogo kontejner mozhe lishe mistiti grupu ob yektiv abo inshi kontejneri Lisi dereva ta domeni Verhnim rivnem strukturi ye lis sukupnist vsih ob yektiv atributiv ta pravil sintaksisu atributiv v Active Directory Lis mistit odne abo kilka derev pov yazanih tranzitivnimi stosunkami doviri Derevo mistit odin abo dekilka domeniv takozh pov yazanih v iyerarhiyu tranzitivnimi stosunkami doviri Domeni identifikuyutsya svoyimi strukturami imen DNS prostorami imen Ob yekti v domeni mozhut buti zgrupovani u kontejneri pidrozdili Pidrozdili dozvolyayut stvoryuvati iyerarhiyu vseredini domenu sproshuyut jogo administruvannya i dozvolyayut modelyuvati organizacijnu ta abo geografichnu strukturi kompaniyi v Active Directory Pidrozdili mozhut mistiti inshi pidrozdili Korporaciya Majkrosoft rekomenduye vikoristovuvati yakomoga menshe domeniv v Active Directory a dlya strukturuvannya AD i politik vikoristovuvati pidrozdili Chasto grupovi politiki zastosovuyutsya same do pidrozdiliv Grupovi politiki sami ye ob yektami Pidrozdil ye najnizhchim rivnem na yakomu mozhut deleguvatisya administrativni povnovazhennya Inshim sposobom podilu AD ye yaki ye sposobom fizichnogo a ne logichnogo grupuvannya na osnovi pidmerezh IP Sajti dilyatsya na taki sho mayut pidklyuchennya nizkoshvidkisnimi kanalami napriklad kanalami globalnih merezh za dopomogoyu virtualnih privatnih merezh i takih sho pidklyucheni do visokoshvidkisnih kanaliv napriklad cherez lokalni merezhi Sajt mozhe mistiti odin abo dekilka domeniv a domen mozhe mistiti odin abo kilka sajtiv Pri proektuvanni Active Directory vazhlivo vrahovuvati merezhevij trafik sho stvoryuyetsya pri sinhronizaciyi danih AD mizh sajtami Klyuchovim rishennyam pri proektuvanni AD ye rishennya shodo podilu informacijnoyi infrastrukturi na iyerarhichni domeni ta pidrozdili verhnogo rivnya Tipovimi modelyami sho vikoristovuyutsya dlya takogo podilu ye modeli podilu za funkcionalnimi pidrozdilami kompaniyi za geografichnim roztashuvannyam i za rolyami v informacijnij infrastrukturi kompaniyi Chasto vikoristovuyutsya kombinaciyi cih modelej U programi bula anonsovana pidtrimka vidnosin doviri mizh okremimi lisami Fizichna struktura ta replikaciya Fizichno informaciya AD zberigayetsya na odnomu abo dekilkoh rivnoznachnih kontrolerah domeniv yaki zaminili osnovnij i rezervni kontroleri domenu sho vikoristovuvalisya v Windows NT hocha dlya vikonannya deyakih operacij zberigayetsya i tak zvanij server yakij mozhe emulyuvati golovnij kontroler domenu Kozhen kontroler domenu zberigaye kopiyu danih AD priznachenu dlya chitannya ta zapisu Zmini zrobleni na odnomu kontroleri sinhronizuyutsya na vsi kontroleri domenu pri Serveri na yakih sama sluzhba Active Directory ne vstanovlena ale yaki pri comu vhodyat v domen AD nazivayutsya ryadovimi serverami Replikaciya AD vikonuyetsya za zapitom Sluzhba KCC stvoryuye topologiyu replikaciyi yaka vikoristovuye sajti viznacheni v sistemi dlya keruvannya trafikom Vnutrishnosajtova replikaciya vikonuyetsya chasto i avtomatichno za dopomogoyu zasobu perevirki uzgodzhenosti povidomlennyam partneriv z replikaciyi pro zmini Replikaciya mizh sajtami mozhe buti nalashtovana dlya kozhnogo kanalu sajtu u zalezhnosti vid yakosti kanalu rizna ocinka abo vartist mozhe buti priznachena kozhnomu kanalu napriklad DS3 ISDN i t d i trafik replikaciyi bude obmezhenij peredavatisya za rozkladom i marshrutizuvatisya vidpovidno do priznachenoyi kanalu ocinki Dani replikaciyi mozhut tranzitivno peredavatisya cherez kilka sajtiv cherez mosti zv yazku sajtiv yaksho ocinka nizka hocha AD avtomatichno priznachaye nizhchu ocinku dlya zv yazkiv sajt sajt nizh dlya tranzitivnih z yednan Replikaciya sajt sajt vikonuyetsya serverami placdarmami v kozhnomu sajti yaki potim replikuyut zmini na kozhen kontroler domenu svogo sajtu Vnutrishnodomenna replikaciya vikonuyetsya za protokolom RPC za IP mizhdomenni mozhut vikoristovuvati takozh protokol SMTP Yaksho struktura Active Directory mistit kilka domeniv dlya virishennya zavdannya poshuku ob yektiv vikoristovuyetsya globalnij katalog kontroler domenu sho mistit vsi ob yekti lisu ale z obmezhenim naborom atributiv nepovna replika Katalog zberigayetsya na zaznachenih serverah globalnogo katalogu j obslugovuye mizhdomenni zapiti Mozhlivist operacij z odnim golovnim komp yuterom dozvolyaye obroblyati zapiti koli replikaciya z kilkoma golovnimi komp yuterami nepripustima Ye p yat tipiv takih operacij emulyaciya golovnogo kontroleru domenu golovnij komp yuter vidnosnogo identifikatora majster vidnosnih identifikatoriv abo golovnij komp yuter infrastrukturi golovnij komp yuter shemi golovnij komp yuter imenuvannya domenu Pershi tri roli unikalni v ramkah domenu ostanni dvi unikalni v ramkah usogo lisu Bazu AD mozhna rozdiliti na tri logichni shovisha abo rozdili Shema ye shablonom dlya AD i viznachaye vsi tipi ob yektiv yihni klasi j atributi sintaksis atributiv vsi dereva znahodyatsya v odnomu lisi tomu sho u nih odna shema Konfiguraciya ye strukturoyu lisu i derev AD Domen zberigaye vsyu informaciyu pro ob yekti stvorenih u comu domeni Pershi dva shovisha replikuyutsya na vsi kontroleri domeniv v lisi tretij rozdil povnistyu replikuyetsya mizh replikami kontroleriv v ramkah kozhnogo domenu ta chastkovo na servera globalnogo katalogu Baza danih AD shovishe katalogiv v Windows 2000 vikoristovuye rozshiryuvanu pidsistemu zberigannya kotra dozvolyaye dlya kozhnogo kontrolera domenu mati bazu rozmirom do 16 terabajt i 1 milyard ob yektiv teoretichne obmezhennya praktichni testi vikonuvalis lishe z priblizno 100 miljonami ob yektiv NajmenuvannyaAD pidtrimuye taki formati jmenuvannya ob yektiv universalni imena tipu UNC URL ta LDAP URL Versiya LDAP formatu imenuvannya X 500 vikoristovuyetsya vseredini Active Directory Kozhen ob yekt maye rozriznyuvalne im ya Distinguished name DN Napriklad ob yekt printera z im yam HPLaser3 v pidrozdili Marketing i v domeni foo org bude mati nastupne rozriznyuvalne im ya CN HPLaser3 OU Marketing DC foo DC org de CN ce zagalne im ya OU rozdil DC klas ob yekta domenu Rozriznyayutsya imena mozhut mati nabagato bilshe chastin nizh chotiri chastini v comu prikladi V ob yektiv takozh ye kanonichni imena Ce rozriznyuvalni imena zapisani u zvorotnomu poryadku bez identifikatoriv i z vikoristannyam kosih ris yak rozdilnikiv foo org Marketing HPLaser3 Shob viznachiti ob yekt vseredini jogo kontejnera vikoristovuyetsya vidnosne rozriznyuvalne im ya CN HPLaser3 U kozhnogo ob yekta takozh ye globalnij unikalnij identifikator GUID unikalnij i nezminnij 128 bitnij ryadok yakij vikoristovuyetsya v AD dlya poshuku ta replikaciyi Pevni ob yekti takozh mayut im ya uchasnika koristuvacha UPN vidpovidno do RFC 822 u formati ob yekt domen LiteraturaRend Morimoto Kenton Gardin yer Majkl Noel Dzho Koka Microsoft Exchange Server 2003 Povne kerivnictvo Microsoft Exchange Server 2003 Unleashed M Vilyams 2006 S 1024 ISBN 0 672 32581 0 Div takozhADSI Grupova politika Microsoft Windows Server 2003 Microsoft Exchange Server Samba FreeIPAPosilannyaVebstorinka Microsoft Active Directory 14 lyutogo 2006 u Wayback Machine Microsoft 24 sichnya 2008 u Wayback Machine Active Directory 70 640 Free Course 4 kvitnya 2013 u Wayback Machine Distributed Management Task Force 17 veresnya 2020 u Wayback Machine Ce nezavershena stattya pro programne zabezpechennya Vi mozhete dopomogti proyektu vipravivshi abo dopisavshi yiyi