Ключевые функции и преимущества службы Active Directory

Вы можете спросить: «Зачем мне нужна служба Active Directory?». Если вы заинтересованы в выполнении наиболее сильно интегрированной службы каталога для Windows Server 2003, то Active Directory является логичным выбором. Другая очень популярная причина, подталкивающая к реализации службы Active Directory, состоит в поддержке Microsoft Exchange Server 2000. Exchange Server 2000 полагается на Active Directory для своей службы каталога, поэтому многие администраторы реализуют Active Directory, чтобы модернизироваться до Exchange Server 2000. В этом разделе описано несколько ключевых функций и преимуществ службы Active Directory Windows Server 2003.

Централизованный каталог

Active Directory является единственной централизованной службой каталога, которая может быть реализована в пределах предприятия. Это упрощает сетевое администрирование, поскольку администраторы не должны соединяться с несколькими каталогами, чтобы выполнять управление учетными записями. Другая выгода от использования централизованного каталога состоит в том, что он может также использоваться другими приложениями, такими как Exchange Server 2000. Это упрощает полное сетевое администрирование, так как используется единая служба каталога для всех приложений.

Единая регистрация

В определенном месте леса (forest - логический компонент реализации Active Directory) Windows Server 2003 пользователи могут войти в сеть с помощью идентификации основных пользовательских имен (UPN -User Principal Name), например, mike@contoso.com. После успешной идентификации им будет предоставлен доступ ко всем сетевым ресурсам, для которых им было дано разрешение, без необходимости регистрироваться снова на различных серверах или доменах. Имя UPN является обязательным атрибутом объекта учетной записи пользователя в Active Directory, и оно устанавливается по умолчанию в Active Directory, когда создается новая учетная запись пользователя.

Делегированное администрирование

Одно из ограничений базы данных Windows NT 4 SAM состояло в том, что административные права были доступны только в виде «все или ничего». Чтобы дать пользователю любую степень административных прав требовалось, чтобы вы сделали пользователя членом группы Domain Admins. Этот уровень административных прав давал пользователю, по существу, безграничную власть в пределах домена, включая право удалять других пользователей из группы Domain Admins. Такой метод делегирования административных функций не был безопасным. С другой стороны, Active Directory предоставляет администраторам возможность делегировать административные права. Используя мастер Delegation Of Control Wizard (Делегирование управления) или устанавливая определенные разрешения на объекты Active Directory, администраторы могут предлагать тонко настроенные административные права. Например, вы можете назначить определенной учетной записи пользователя административное право сбрасывать пароли в домене, но не создавать, удалять или как-либо изменять пользовательский объект.

Интерфейс общего управления

Есть несколько способов, которыми вы можете получить выгоду от интеграции между Active Directory и операционной системой. Один из путей состоит в использовании интерфейса общего управления — консоли управления Microsoft (ММС — Microsoft Management Console). При взаимодействии с Active Directory через графический интерфейс пользователя ММС все инструментальные средства управления дают согласующееся друг с другом впечатление и ощущение от их использования. Для Active Directory эти средства включают Active Directory Users And Computers (Active Directory: пользователи и компьютеры), Active Directory Domains And Trusts (Active Directory: домены и доверительные отношения) и Active Directory Sites And Services (Active Directory: сайты и службы). Оснастки ММС функционируют так же, как все другие средства администрирования Windows Server 2003, например, оснастки DHCP и DNS.

Интегрированная безопасность

Служба Active Directory работает рука об руку с подсистемой безопасности Windows Server 2003 при аутентификации безопасных пользователей и обеспечении защиты общедоступных сетевых ресурсов. Сетевая защита в сети Windows Server 2003 начинается с аутентификации во время регистрации. Операционная система Windows Server 2003 поддерживает два протокола для сетевой идентификации внутри и между доменами Windows Server 2003: протокол Kerberos v5 и протокол NT LAN Manager (NTLM). Протокол Kerberos является заданным по умолчанию аутентификационным протоколом для клиентов, вошедших в систему с клиентских компьютеров, работающих под управлением операционных систем Windows 2000 Professional или Microsoft Windows XP Professional. Пользователи, вошедшие в систему с клиентских компьютеров низкого уровня (Windows NT 4, Microsoft Windows 98 или более ранних операционных систем) используют для сетевой аутентификации протокол NTLM. Протокол NTLM также используется клиентами систем Windows XP Professional и Windows 2000, когда они входят на сервера, работающие под управлением Windows NT 4, или на автономные компьютеры с системами Windows 2000 или Windows Server 2003.
Служба Active Directory также является важной составляющей частью в модели управления доступом Windows Server 2003. Когда безопасный пользователь входит в домен Windows Server 2003, подсистема защиты вместе с Active Directory создает лексему доступа, которая содержит идентификатор защиты (SID - Security Identifier) учетной записи пользователя, а также идентификаторы SID всех групп, членом которых является данный пользователь. Идентификатор SID является атрибутом пользовательского объекта в Active Directory. Затем лексема доступа сравнивается с дескриптором защиты на ресурсе, и, если устанавливается соответствие, то пользователю предоставляется требуемый уровень доступа.

Масштабируемость

Поскольку организация постепенно растет в процессе бизнеса, либо это происходит быстро, через ряд слияний с другими компаниями и в результате приобретений, служба Active Directory спроектирована масштабируемой, для того чтобы справляться с этим ростом. Вы можете расширить размер доменной модели или просто добавить больше серверов, чтобы приспособиться к потребностям увеличения объема.
Любые изменения в инфраструктуре Active Directory должны быть тщательно реализованы в соответствии с проектом Active Directory, который предусматривает такой рост. Отдельный домен, представляющий самый маленький раздел инфраструктуры Active Directory, который может реплицироваться на единственный контроллер домена, может поддерживать более одного миллиона объектов, так что модель отдельного домена подходит даже для больших организаций.