5.4. Организация доменной структуры сети
Когда компьютеры объединяются в сеть на платформе Windows NT, они группируются в рабочие группы или домены.
Группа компьютеров, составляющих административный блок и не принадлежащих доменам, называется рабочей. Она формируется на платформе Windows NT Workstation. Любой из компьютеров рабочей группы включает в себя собственную информацию по бюджетам пользователей и групп и не делит ее с другими компьютерами рабочей группы. Члены, которые входят в состав рабочих групп, регистрируются только на рабочей станции и могут по сети просматривать каталоги других членов рабочей группы. Компьютеры одноранговой сети образуют рабочие группы, которые следует формировать, исходя из организационной структуры предприятия: рабочая группа бухгалтерии, рабочая группа планового отдела, рабочая группа отдела кадров и т. д.
Рабочую группу можно создать на основе компьютеров с разными ОС. Члены данной группы могут выполнять роль как пользователей ресурсов, так и их поставщиков, т. е. они равноправны. Право предоставления другим ПК доступа ко всем или некоторым имеющимся в их распоряжении локальным ресурсам принадлежит серверам.
Когда в сеть входят компьютеры разной мощности, то самый производительный в конфигурации сети компьютер может использоваться в качестве невыделенного сервера файлов. При этом в нем можно хранить информацию, которая постоянно необходима всем пользователям. Остальные компьютеры работают в режиме клиентов сети.
При установке Windows NT на компьютере указывается, является он членом рабочей группу или домена.
Логическое объединение одного или нескольких сетевых серверов и других компьютеров, обладающих общей системой безопасности и информацией в виде централизованно управляемой базы данных о бюджетах пользователей, называется доменом. Каждый из доменов обладает индивидуальным именем.
Компьютеры, входящие в один домен, могут располагаться в локальной сети или в разных странах и континентах. Они могут быть связаны различными физическими линиями, например телефонными, оптоволоконными, спутниковыми и др.
Каждый компьютер, входящий в домен, обладает собственным именем, которое, в свою очередь, должно разделяться точкой с именем домена. Членом данного имени является компьютер, и домен образует полное имя домена для компьютера.
Контроллером домена является организация доменной структуры в сети, установление в ней определенных правил, управление взаимодействием между пользователем и доменом.
Компьютер, который работает под управлением Windows NT Server и использует один разделяемый каталог для сохранения информации по бюджетам пользователей и безопасности, касающейся всего домена, называется контроллером домена. Его задачей является управление внутри домена взаимодействием между пользователем и доменом.
Все изменения информации о бюджетах домена отбирает, сохраняет информацию в базе данных каталога и постоянно тиражирует на резервные домены главный контроллер домена. Благодаря этому обеспечивается централизованное управление системой безопасности.
Используется несколько моделей построения сети с доменной архитектурой:
• модель с несколькими мастер-доменами;
• модель полностью доверительных отношений.
Доменная модель
Рис. 6.2.
В доменной модели существует единая база данных служб каталогов, доступная всем компьютерам сети. Для этого в сети устанавливаются специализированные серверы, называемые контроллерами домена, которые хранят на своих жестких дисках эту базу. На рис. 6.2. изображена схема доменной модели. Серверы DC-1 и DC-2 — контроллеры домена, они хранят доменную базу данных учетных записей (каждый контроллер хранит у себя свою собственную копию БД, но все изменения, производимые в БД на одном из серверов, реплицируются на остальные контроллеры).
В такой модели, если, например, на сервере SRV-1, являющемся членом домена, предоставлен общий доступ к папке Folder, то права доступа к данному ресурсу можно назначать не только для учетных записей локальной базы SAM данного сервера, но, самое главное, учетным записям, хранящимся в доменной БД. На рисунке для доступа к папке Folder даны права доступа одной локальной учетной записи компьютера SRV-1 и нескольким учетным записям домена (пользователя и группам пользователей). В доменной модели управления безопасностью пользователь регистрируется на компьютере («входит в систему») со своей доменной учетной записью и, независимо от компьютера, на котором была выполнена регистрация, получает доступ к необходимым сетевым ресурсам. И нет необходимости на каждом компьютере создавать большое количество локальных учетных записей, все записи созданы однократно в доменной БД. И с помощью доменной базы данных осуществляется централизованное управление доступом к сетевым ресурсам независимо от количества компьютеров в сети.
Службы каталога предоставляют возможности управления любыми ресурсами и сервисами из любой точки независимо от размеров сети, используемых операционных систем и сложности оборудования. Информация о пользователе, заносится единожды в службу каталога, и после этого становится доступной в пределах всей сети. Адреса электронной почты, принадлежность к группам, необходимые права доступа и учетные записи для работы с различными операционными системами — все это создается и поддерживается в актуальном виде автоматически. Любые изменения, занесенные в службу каталога администратором, сразу обновляются по всей сети. Администраторам уже не нужно беспокоиться об уволенных сотрудниках — просто удалив учетную запись пользователя из службы каталога, он сможет гарантировать автоматическое удаление всех прав доступа на ресурсы сети, предоставленные ранее этому сотруднику.
Для доступа к информации, хранящейся в службах каталогов, обычно используется протокол Lightweight Directory Access Protocol (LDAP).
Служба каталогов Active Directory является основой логической структуры корпоративных сетей, базирующихся на системе Windows. Термин «Каталог» в самом широком смысле означает «Справочник», а служба каталогов корпоративной сети — это централизованный корпоративный справочник. Корпоративный каталог может содержать информацию об объектах различных типов. Служба каталогов Active Directory содержит в первую очередь объекты, на которых базируется система безопасности сетей Windows, — учетные записи пользователей, групп и компьютеров. Учетные записи организованы в логические структуры: домен, дерево, лес, организационные подразделения.
5.4. Организация доменной структуры сети
Когда компьютеры объединяются в сеть на платформе Windows NT, они группируются в рабочие группы или домены.
Группа компьютеров, составляющих административный блок и не принадлежащих доменам, называется рабочей. Она формируется на платформе Windows NT Workstation. Любой из компьютеров рабочей группы включает в себя собственную информацию по бюджетам пользователей и групп и не делит ее с другими компьютерами рабочей группы. Члены, которые входят в состав рабочих групп, регистрируются только на рабочей станции и могут по сети просматривать каталоги других членов рабочей группы. Компьютеры одноранговой сети образуют рабочие группы, которые следует формировать, исходя из организационной структуры предприятия: рабочая группа бухгалтерии, рабочая группа планового отдела, рабочая группа отдела кадров и т. д.
Рабочую группу можно создать на основе компьютеров с разными ОС. Члены данной группы могут выполнять роль как пользователей ресурсов, так и их поставщиков, т. е. они равноправны. Право предоставления другим ПК доступа ко всем или некоторым имеющимся в их распоряжении локальным ресурсам принадлежит серверам.
Когда в сеть входят компьютеры разной мощности, то самый производительный в конфигурации сети компьютер может использоваться в качестве невыделенного сервера файлов. При этом в нем можно хранить информацию, которая постоянно необходима всем пользователям. Остальные компьютеры работают в режиме клиентов сети.
При установке Windows NT на компьютере указывается, является он членом рабочей группу или домена.
Логическое объединение одного или нескольких сетевых серверов и других компьютеров, обладающих общей системой безопасности и информацией в виде централизованно управляемой базы данных о бюджетах пользователей, называется доменом. Каждый из доменов обладает индивидуальным именем.
Компьютеры, входящие в один домен, могут располагаться в локальной сети или в разных странах и континентах. Они могут быть связаны различными физическими линиями, например телефонными, оптоволоконными, спутниковыми и др.
Каждый компьютер, входящий в домен, обладает собственным именем, которое, в свою очередь, должно разделяться точкой с именем домена. Членом данного имени является компьютер, и домен образует полное имя домена для компьютера.
Контроллером домена является организация доменной структуры в сети, установление в ней определенных правил, управление взаимодействием между пользователем и доменом.
Компьютер, который работает под управлением Windows NT Server и использует один разделяемый каталог для сохранения информации по бюджетам пользователей и безопасности, касающейся всего домена, называется контроллером домена. Его задачей является управление внутри домена взаимодействием между пользователем и доменом.
Все изменения информации о бюджетах домена отбирает, сохраняет информацию в базе данных каталога и постоянно тиражирует на резервные домены главный контроллер домена. Благодаря этому обеспечивается централизованное управление системой безопасности.
Используется несколько моделей построения сети с доменной архитектурой:
• модель с несколькими мастер-доменами;
• модель полностью доверительных отношений.