Ha definiálni szeretnénk a címtár fogalmát, akkor egyszerűen mondhatjuk így: a címtár egy olyan adatbázis, ami képes a hálózat valamennyi erőforrásának azonosítására, és hierarchikus rendszerben való tárolására. Kiegészíthetjük a definíciót még azzal is, hogy az azonosítás és tárolás mellett a hálózat fizikai felépítését és protokolljait átláthatóvá teszi, így a hálózat erre feljogosított felhasználói elérhetik a hálózat erőforrásait anélkül, hogy tudnák, hol találhatóak azok valójában, vagy hogyan kapcsolódnak egymáshoz fizikailag.
Ez eddig rendben is van, de vajon mégis mire jó a címtár a gyakorlatban, mennyiben teszi könnyebbé a felhasználók és az üzemeltetők életét? Mit fog látni (és használni) a címtárból a gépe előtt ülő felhasználó, és mit a rendszergazda, akinek a bevezetéstől kezdve ezzel az újabb technológiával is nap mint nap birkóznia kell?
Nos, a felhasználó azt fogja tapasztalni, hogy a korábbinál sokkal ritkábban látja a rendszergazdát, a gépe „magától” tud mindent, a munkakörnyezete szépen észrevétlenül, de folyamatosan alkalmazkodik az igényeihez. Ha új programot kell használnia, akkor az feltelepül a gépére, az Asztalán pedig megjelennek az új parancsikonok. Ha új gépet kap, vagy átmenetileg át kell ülnie egy kolléga gépéhez, akkor nemcsak hogy minden további nélkül be tud jelentkezni a megszokott felhasználónevével és jelszavával, de a dokumentumai, parancsikonjai, levelei és nyomtatói is mind a helyükön lesznek.
Fa (Tree) – Ha az erdő több tartománya összefüggő DNS-tartományneveket használ, vagyis egymás gyermek, illetve szülőtartományai, akkor a struktúrát tartományfának nevezzük.
Tartomány (Domain) – A tartomány az Active Directory alapvető szervezeti és biztonsági egysége. A tartomány olyan ügyfelek, kiszolgálók és egyéb hálózati erőforrások gyűjteménye, amelyek közös címtáradatbázist alkotnak, és egyben a replikáció alapegységét képezik. Egy adott tartomány minden tartományvezérlője fogad módosításokat, és azokat a tar
tomány többi tartományvezérlőjére replikálja. Az Active Directory-címtárban minden tartományt egy-egy DNS-tartománynév azonosít, és minden tartomány legalább egy tartományvezérlőt tesz szükségessé.
Szervezeti egység (Organizational Unit, OU) – A szervezeti egységek az Active Directory-objektumtárolói, amelyekbe felhasználók, csoportok, számítógép-objektumok, illetve más szervezeti egységek helyezhetők. A szervezeti egységek rendkívül fontos szerepet játszanak a csoportházirend érvényesítésével és a felügyeleti jogok delegálásával kapcsolatban is. A szervezeti egységek használatával a tartományon belüli hierarchia pontosan megfelelhet az adott szervezet hierarchikus felépítésének.
A felhasználók tehát szabadon (de ellenőrzötten) vándorolhatnak a gépek között, a megszokott környezetük árnyékként követi őket. A rendszergazda viszont majdnem mindent elintézhet a saját szobájában, a saját gépe előtt ülve. Kis túlzással azt mondhatjuk, hogy egy jól felépített tartományi hálózatban a rendszergazda csak akkor látja a felhasználók gépeit, ha csavarhúzót is kell magával vinnie, minden más probléma megoldható távolról is. Sőt, távolról és csoportosan, vagyis a különböző beállításokat nem kell egyesével megadni a gépeken, minden művelet a gépek előre definiált csoportjaira vonatkozhat. Így lehetségessé válik az, hogy a biztonsági beállítások és a jogosultságok kiosztása mindenütt egyformán és következetesen érvényesüljön, vagyis felhasználók jogosultságai (saját számítógépükön és a hálózaton is) pontosan megfeleljenek annak az elvnek, hogy mindenki csak annyi jogosultsággal rendelkezzen, amennyire feltétlenül szüksége van egy adott feladat ellátásához.
A címtár tehát megadja a rendszergazda számára azt a lehetőséget, hogy a központilag előírható beállítások és korlátozások révén garantálhassa a rendszer és az egyes gépek folyamatos működőképességét és biztonságát. Ez persze a felhasználók számára bizonyos korlátozásokkal jár, de egy nagyobb hálózat folyamatos működőképességének fenntartása érdekében erre mindenképpen szükség van.
Már tíz számítógép esetében is meglehetősen lehangoló feladat, ha minden egyes gépen létre kell hoznunk egy új felhasználói fiókot. Ha az új felhasználónak még jogokat is kell adnunk a fájlrendszerben, akkor már itt is van a délután öt óra. Másnap pedig elgondolkodunk rajta, hogy talán mégis jó lenne, ha mindenki a user felhasználónévvel jelentkezne be valamennyi gépre, a jelszót pedig esetleg kitehetnénk a faliújságra…
Active Directory környezetben nincsen szükség arra, hogy az új felhasználói fiókot vagy csoportot minden egyes gépen külön létrehozzuk, a címtár által tárolt egyetlen felhasználói fiók tulajdonosa valamennyi (a tartományhoz tartozó) számítógépen bejelentkezhet, a csoportok pedig jogosultságokat kaphatnak a hálózati és a helyi erőforrások eléréséhez is, és változás esetén is csak ezt az egy objektumot kell módosítanunk – értelemszerűen – egyetlen helyen.
Másrészt, amiből várhatóan sok van egy hálózatban (számítógépek, nyomtatók, felhasználói profilok stb.), azt a csoportházirend segítségével egyszerre érhetjük el, tulajdonságaik, beállításaik egyetlen mozdulattal módosíthatók.
Az Active Directory tehát az alábbi szolgáltatásokat nyújtja hálózatunk mindennapi üzemeltetéséhez:
Az Active Directory címtár az adatbázisból és az azt futtató Active Directory szolgáltatásból áll. Fő célja a Windowst futtató számítógépek részére autentikációs és autorizációs szolgáltatások nyújtása, lehetővé téve a hálózat minden publikált erőforrásának (fájlok, megosztások, perifériák, kapcsolatok, adatbázisok, felhasználók, csoportok stb.) központosított adminisztrálását – vagy éppen a rendszergazdai jogosultságok delegálásával a decentralizált felügyeletét. Számos különböző erőforráshoz (megosztott mappák, nyomtatók, levelezés stb.) egyetlen felhasználónév/jelszó páros megadásával biztosít hozzáférést (Single Sign On, SSO). Lehetőséget nyújt a rendszergazdák számára házirendek kiosztására, szoftverek és szoftverfrissítések telepítésére a szervezeten belül. Az Active Directory az információkat és beállításokat egy központi adatbázisban tárolja, a tartományvezérlő számítógépe(ke)n. Ennek az adatbázisnak a mérete egy kisvállalat néhány száz objektumától egy több ezer szervert üzemeltető nemzetközi vállalat sok millió objektumáig terjedhet. Az Active Directory szükséges néhány Windows-összetevő, mint például az Exchange, az RRAS, az ISA Server vagy a Certificate Services működéséhez.
Egy Active Directory-címtár legmagasabb szintje az erdő (forest), ami egy vagy több bizalmi kapcsolatokkal (trust) összekötött tartományt (domain) magába foglaló egy vagy több fa (tree) összessége. A tartományokat DNS-beli névterük azonosítja. A címtár objektumait a Directory Information Tree (címtárinformációs fa, DIT) adatbázisa tárolja, ami három partícióra bomlik, ezek: az objektumok tulajdonságait leíró sémapartíció (schema partition), az erdő szerkezetét (tartományokat, fákat, helyeket) leíró konfigurációs partíció (configuration partition) és a tartomány objektumait tartalmazó tartományi partíció (domain partition). Ezeken kívül létezhetnek alkalmazáspartíciók (application partition) is.
A struktúra legmagasabb szintjén foglal helyet az erdő (forest) – az AD minden objektumának, azok attribútumainak és szabályainak (az attribútumok szintaxisa) gyűjteménye. Az azonos erdőben található tartományvezérlőkről elmondható, hogy közös sémán és konfigurációs partíción osztoznak, és a globális katalógusokról azonos információkat érnek el. Az erdőt egy vagy több, kétirányú és tranzitív[3] bizalmi kapcsolat (trust) által összekötött fa (tree) alkotja. Egy-egy fában egy vagy több, konfigurációs és sémapartíciójukban megegyező tartomány (domain) lehet, amik egy tartományhierarchiát alkothatnak, melyben a szülő- és a gyermektartományok között automatikusan létrejövő, tranzitív kétirányú bizalmi kapcsolat van. Az azonos szintű tartományok között explicit bizalmi kapcsolatokat lehet létrehozni, ha szükséges. A tartományokat DNS-beli névterük azonosítja, és ez a tartományi hierarchiát is tükrözi (például a child.parent.root.com tartomány szülője a parent.root.com).
A tartományban lévő objektumok szervezeti egységekbe (Organizational Unit, OU) rendezhetők. Az OU-k adnak a tartománynak az adminisztrációt megkönnyítő hierarchiát, segítségükkel az Active Directory struktúrájára leképezhető a vállalat szervezeti felépítése vagy földrajzi elhelyezkedése. Egy OU tartalmazhat egy vagy több más OU-t is (ilyen értelemben a tartomány is tekinthető OU-nak), a többszörös egymásba ágyazás is megengedett. A Microsoft azt javasolja, hogy az Active Directoryt minél kevesebb tartományra bontsuk szét, és inkább szervezeti egységek létrehozásával tagoljuk a címtárat. A csoportházirendek (amik szintén AD objektumok, csoportházirend-objektum – Group Policy Object, röviden GPO néven) általában az OU szintjén fejtik ki hatásukat, bár tartomány és hely (site) szinten is alkalmazhatók. Többnyire az OU szintjén szokás a rendszergazdai jogosultságokat delegálni, bár a delegáció akár egyedi objektumok, sőt attribútumok szintjén is beállítható.
A vállalat informatikai infrastruktúrájának felosztása tartományok és szervezeti egységek hierarchiájára kulcsfontosságú tervezési lépés. A gyakori felosztási modellek közé tartozik az üzleti egységeket, a földrajzi elhelyezkedést, az informatikai szolgáltatási igényeket vagy az objektumtípusokat követő felosztás. Ezeket a modelleket gyakran együttesen alkalmazzák. A szervezeti egységek kialakításakor elsősorban a rendszergazdai jogok delegációját és a csoportházirendek alkalmazását érdemes szem előtt tartani. Bár a szervezeti egységek és a tartományok adminisztratív határvonalat képeznek, az egyetlen valódi biztonsági határt maga az erdő alkotja: az AD kialakítása szükségessé teszi, hogy minden tartományi rendszergazda megbízható legyen az egész vállalat (erdő) szintjén is.
Fizikailag az Active Directory adatai egy vagy több egyenrangú tartományvezérlőn (domain controller, DC) tárolódnak, szemben a Windows NT PDC/BDC (Primary/Backup DC) modelljével. Minden tartományvezérlőn megtalálható az Active Directory egy kópiája; általában valamelyik DC kópiájának változásai multi-master (több főkiszolgálós) replikációval szinkronizálódnak a többi DC-re (szemben például a sémaváltozások single-master replikációjával). Ez azt jelenti, hogy nincsen alá-fölérendeltségi viszony a replikációs partnerek között, hanem egy változtatásból eredő replikációs folyamatot – amely végighalad az adott tartomány tartományvezérlőin – bármelyik tartományvezérlő kezdeményezhet.
Az Active Directory-címtárszolgáltatás alapjai
Természetesen ahhoz, hogy kiaknázhassuk az Active Directoryban rejlő lehetőségeket, először be is kell fektetnünk (nemcsak anyagi értelemben), vagyis meg kell szereznünk a hatékony használathoz és üzemeltetéshez nélkülözhetetlen tudást. Minél mélyebben ismeri a rendszergazda az általa üzemeltetett rendszert, annál kevesebbet kell dolgoznia, az ismétlődő rutinfeladatok automatizálása a megfelelő technológia és a megfelelő ismeretek birtokában nem jelenthet problémát. A következőkben az Active Directory üzemeltetéséhez szükséges alapismereteket fogjuk áttekinteni, megismerkedünk a címtár alkotórészeivel, és a felügyeletéhez szükséges legfontosabb eszközökkel.
Az Active Directory a korábban létező meglehetősen egyedi megoldással ellentétben, teljes mértékben a bevált iparági szabványokon alapul. (A Windows NT „címtár” jellegű adatai a registryben tárolódtak.) Az Active Directory alapjául az X.500 szabvány szolgál, hozzáférési protokollja pedig a széles körben használt LDAPv3 (Lightweight Directory Access Protocol). Az Active Directory felépítése rendkívüli rugalmasságot és skálázhatóságot tesz lehetővé; képes alkalmazkodni az öt számítógépet használó kisvállalatok, és a több kontinensen elhelyezkedő, kiszolgálók százait vagy ezreit tartalmazó hálózatok igényeihez is. Az AD által tárolható objektumokat és azok tulajdonságait a hierarchikus és kiterjeszthető, módosítható névtér, a séma határozza meg, így könnyedén képes a speciális igények kiszolgálására is. Az Active Directory-adatbázis több, egymással automatikusan szinkronizálódó példányát a tartományvezérlők (Domain Controller, DC) tárolják. Az elosztott tárolás ellenére – az objektumok módosításainak nyilvántartásán alapuló multimaster (több főkiszolgálós) replikáció miatt – minden adatbázispéldány teljesen egyenértékű, a szükséges módosítások bármelyik tartományvezérlőn elvégezhetők.
Címtárpartíciók
A partíció az Active Directory egy összefüggő részfája, amely egy egységként replikálódik az erdő más, ugyanennek a részfának egy-egy replikáját magukban foglaló tartományvezérlői számára. Az Active Directoryban minden tartományvezérlő egyenként legalább a következő három címtárpartícióval rendelkezik:
Séma partíció (Schema Partition) – A séma partíció az osztály- és attribútum-definíciókat, vagyis az objektumok és tulajdonságok formális leírását tárolja. A partíció minden tartományvezérlőn és minden globális katalógusban megtalálható. Az Active Directory séma az egész erdőre vonatkozóan megegyezik.
Konfigurációs partíció (Configuration Partition) – Ez a partíció a címtár topológiájára vonatkozó adatokat tárolja. Megtalálhatók benne a tartományokra, a fákra és az erdőre vonatkozó információk, valamint itt tárolódik a replikációs topológia, és az ehhez kapcsolódó metaadatok is. A konfigurációs adatok az egész erdőre vonatkoznak, és megtalálhatók az erdő valamennyi tartományvezérlőjén.
Tartomány partíció (Domain Partition) – itt találhatjuk meg a felhasználókra, számítógépekre, csoportokra és egyéb tartomány szintű objektumokra vonatkozó adatokat. A partíció az adott tartomány minden tartományvezérlőjén megtalálható.
Alkalmazás partíció (Application Partition) – a Windows Server 2003 rendszert futtató tartományvezérlők a fentieken kívül egy vagy több alkalmazás-címtári partíciót is tárolhatnak.
Infrastruktúra-főkiszolgáló (Infrastructure Master) – Szintén tartományszintű műveleti főkiszolgáló szerepkör, amelyből szintén egy lehet a tartományon belül, de csak akkor van rá szükség, ha a hálózat több tartományból áll. Feladata a saját tartományának objektumai és a többi tartományban található objektumok közötti hivatkozások frissítése. Amennyiben nem érhető el, a tartományon belül nem veszünk észre változást, azonban a többi tartománnyal való kapcsolattartás során frissítési problémák keletkeznek.
Tartománynév-nyilvántartási főkiszolgáló (Domain Naming Master) – Erdőszintű műveleti-főkiszolgáló szerepkör, amelyből az erdőben kizárólag egy lehet. A speciális szereppel bíró tartományvezérlő szabályozza az erdőben a tartományok hozzáadását és törlését. A tartományfákkal kapcsolatos változtatások nem hajtódnak végre, ha a szerepet megvalósító tartományvezérlő nem érhető el.
Séma-főkiszolgáló (Schema Master) – Erdőszintű műveleti-főkiszolgáló szerepkör, központosítva végzi el a séma összes frissítését és módosítását. Amennyiben az erdő sémáját frissíteni kívánjuk, hozzáférési joggal kell rendelkeznünk a séma-főkiszolgálóhoz. Az előző szerephez hasonlóan séma-főkiszolgálóból is csak egy lehet az erdőben, és szintén nem vesszük észre a hiányát, egészen addig, amíg nem kerül sor a séma frissítésére, vagy bővítésére.
Az erdő első tartományvezérlőjének (ez egyben az elsőként létrehozott tartomány első tartományvezérlője is) telepítésekor valamennyi erdő és tartomány szintű szerepkör erre a kiszolgálóra kerül, de később – ha már több tartományvezérlőnk is van –, az egyes szerepeket tetszés szerint bárhová áthelyezhetjük. Ha egy adott szerepkört megvalósító tartományvezérlőt lefokozunk, illetve eltávolítunk a tartományból, akkor az adott szerepkör áthelyezéséről (lehetőleg még akkor, amikor a régi kiszolgáló is elérhető) mindenképpen gondoskodnunk kell. A tartományszintű szerepkörök (RID Master, PDC Emulator, Infrastructure Master) áthelyezésére az Active Directory Users and Computers (Active Directory – felhasználók és számítógépek) konzol használható, a Domain Naming Master szerepkört az Active Directory Domains and Trusts (Active Directory – tartományok és bizalmi kapcsolatok), a Schema Master szerepet pedig az Active Directory Schema (Active Directory Séma) MMC-modul használatával adhatjuk át másik tartományvezérlőnek.
Ez eddig rendben is van, de vajon mégis mire jó a címtár a gyakorlatban, mennyiben teszi könnyebbé a felhasználók és az üzemeltetők életét? Mit fog látni (és használni) a címtárból a gépe előtt ülő felhasználó, és mit a rendszergazda, akinek a bevezetéstől kezdve ezzel az újabb technológiával is nap mint nap birkóznia kell?
Nos, a felhasználó azt fogja tapasztalni, hogy a korábbinál sokkal ritkábban látja a rendszergazdát, a gépe „magától” tud mindent, a munkakörnyezete szépen észrevétlenül, de folyamatosan alkalmazkodik az igényeihez. Ha új programot kell használnia, akkor az feltelepül a gépére, az Asztalán pedig megjelennek az új parancsikonok. Ha új gépet kap, vagy átmenetileg át kell ülnie egy kolléga gépéhez, akkor nemcsak hogy minden további nélkül be tud jelentkezni a megszokott felhasználónevével és jelszavával, de a dokumentumai, parancsikonjai, levelei és nyomtatói is mind a helyükön lesznek.
Fa (Tree) – Ha az erdő több tartománya összefüggő DNS-tartományneveket használ, vagyis egymás gyermek, illetve szülőtartományai, akkor a struktúrát tartományfának nevezzük.
Tartomány (Domain) – A tartomány az Active Directory alapvető szervezeti és biztonsági egysége. A tartomány olyan ügyfelek, kiszolgálók és egyéb hálózati erőforrások gyűjteménye, amelyek közös címtáradatbázist alkotnak, és egyben a replikáció alapegységét képezik. Egy adott tartomány minden tartományvezérlője fogad módosításokat, és azokat a tar
tomány többi tartományvezérlőjére replikálja. Az Active Directory-címtárban minden tartományt egy-egy DNS-tartománynév azonosít, és minden tartomány legalább egy tartományvezérlőt tesz szükségessé.
Szervezeti egység (Organizational Unit, OU) – A szervezeti egységek az Active Directory-objektumtárolói, amelyekbe felhasználók, csoportok, számítógép-objektumok, illetve más szervezeti egységek helyezhetők. A szervezeti egységek rendkívül fontos szerepet játszanak a csoportházirend érvényesítésével és a felügyeleti jogok delegálásával kapcsolatban is. A szervezeti egységek használatával a tartományon belüli hierarchia pontosan megfelelhet az adott szervezet hierarchikus felépítésének.
A felhasználók tehát szabadon (de ellenőrzötten) vándorolhatnak a gépek között, a megszokott környezetük árnyékként követi őket. A rendszergazda viszont majdnem mindent elintézhet a saját szobájában, a saját gépe előtt ülve. Kis túlzással azt mondhatjuk, hogy egy jól felépített tartományi hálózatban a rendszergazda csak akkor látja a felhasználók gépeit, ha csavarhúzót is kell magával vinnie, minden más probléma megoldható távolról is. Sőt, távolról és csoportosan, vagyis a különböző beállításokat nem kell egyesével megadni a gépeken, minden művelet a gépek előre definiált csoportjaira vonatkozhat. Így lehetségessé válik az, hogy a biztonsági beállítások és a jogosultságok kiosztása mindenütt egyformán és következetesen érvényesüljön, vagyis felhasználók jogosultságai (saját számítógépükön és a hálózaton is) pontosan megfeleljenek annak az elvnek, hogy mindenki csak annyi jogosultsággal rendelkezzen, amennyire feltétlenül szüksége van egy adott feladat ellátásához.
A címtár tehát megadja a rendszergazda számára azt a lehetőséget, hogy a központilag előírható beállítások és korlátozások révén garantálhassa a rendszer és az egyes gépek folyamatos működőképességét és biztonságát. Ez persze a felhasználók számára bizonyos korlátozásokkal jár, de egy nagyobb hálózat folyamatos működőképességének fenntartása érdekében erre mindenképpen szükség van.
Már tíz számítógép esetében is meglehetősen lehangoló feladat, ha minden egyes gépen létre kell hoznunk egy új felhasználói fiókot. Ha az új felhasználónak még jogokat is kell adnunk a fájlrendszerben, akkor már itt is van a délután öt óra. Másnap pedig elgondolkodunk rajta, hogy talán mégis jó lenne, ha mindenki a user felhasználónévvel jelentkezne be valamennyi gépre, a jelszót pedig esetleg kitehetnénk a faliújságra…
Active Directory környezetben nincsen szükség arra, hogy az új felhasználói fiókot vagy csoportot minden egyes gépen külön létrehozzuk, a címtár által tárolt egyetlen felhasználói fiók tulajdonosa valamennyi (a tartományhoz tartozó) számítógépen bejelentkezhet, a csoportok pedig jogosultságokat kaphatnak a hálózati és a helyi erőforrások eléréséhez is, és változás esetén is csak ezt az egy objektumot kell módosítanunk – értelemszerűen – egyetlen helyen.
Másrészt, amiből várhatóan sok van egy hálózatban (számítógépek, nyomtatók, felhasználói profilok stb.), azt a csoportházirend segítségével egyszerre érhetjük el, tulajdonságaik, beállításaik egyetlen mozdulattal módosíthatók.
Az Active Directory tehát az alábbi szolgáltatásokat nyújtja hálózatunk mindennapi üzemeltetéséhez:
Az Active Directory címtár az adatbázisból és az azt futtató Active Directory szolgáltatásból áll. Fő célja a Windowst futtató számítógépek részére autentikációs és autorizációs szolgáltatások nyújtása, lehetővé téve a hálózat minden publikált erőforrásának (fájlok, megosztások, perifériák, kapcsolatok, adatbázisok, felhasználók, csoportok stb.) központosított adminisztrálását – vagy éppen a rendszergazdai jogosultságok delegálásával a decentralizált felügyeletét. Számos különböző erőforráshoz (megosztott mappák, nyomtatók, levelezés stb.) egyetlen felhasználónév/jelszó páros megadásával biztosít hozzáférést (Single Sign On, SSO). Lehetőséget nyújt a rendszergazdák számára házirendek kiosztására, szoftverek és szoftverfrissítések telepítésére a szervezeten belül. Az Active Directory az információkat és beállításokat egy központi adatbázisban tárolja, a tartományvezérlő számítógépe(ke)n. Ennek az adatbázisnak a mérete egy kisvállalat néhány száz objektumától egy több ezer szervert üzemeltető nemzetközi vállalat sok millió objektumáig terjedhet. Az Active Directory szükséges néhány Windows-összetevő, mint például az Exchange, az RRAS, az ISA Server vagy a Certificate Services működéséhez.
Egy Active Directory-címtár legmagasabb szintje az erdő (forest), ami egy vagy több bizalmi kapcsolatokkal (trust) összekötött tartományt (domain) magába foglaló egy vagy több fa (tree) összessége. A tartományokat DNS-beli névterük azonosítja. A címtár objektumait a Directory Information Tree (címtárinformációs fa, DIT) adatbázisa tárolja, ami három partícióra bomlik, ezek: az objektumok tulajdonságait leíró sémapartíció (schema partition), az erdő szerkezetét (tartományokat, fákat, helyeket) leíró konfigurációs partíció (configuration partition) és a tartomány objektumait tartalmazó tartományi partíció (domain partition). Ezeken kívül létezhetnek alkalmazáspartíciók (application partition) is.
A struktúra legmagasabb szintjén foglal helyet az erdő (forest) – az AD minden objektumának, azok attribútumainak és szabályainak (az attribútumok szintaxisa) gyűjteménye. Az azonos erdőben található tartományvezérlőkről elmondható, hogy közös sémán és konfigurációs partíción osztoznak, és a globális katalógusokról azonos információkat érnek el. Az erdőt egy vagy több, kétirányú és tranzitív[3] bizalmi kapcsolat (trust) által összekötött fa (tree) alkotja. Egy-egy fában egy vagy több, konfigurációs és sémapartíciójukban megegyező tartomány (domain) lehet, amik egy tartományhierarchiát alkothatnak, melyben a szülő- és a gyermektartományok között automatikusan létrejövő, tranzitív kétirányú bizalmi kapcsolat van. Az azonos szintű tartományok között explicit bizalmi kapcsolatokat lehet létrehozni, ha szükséges. A tartományokat DNS-beli névterük azonosítja, és ez a tartományi hierarchiát is tükrözi (például a child.parent.root.com tartomány szülője a parent.root.com).
A tartományban lévő objektumok szervezeti egységekbe (Organizational Unit, OU) rendezhetők. Az OU-k adnak a tartománynak az adminisztrációt megkönnyítő hierarchiát, segítségükkel az Active Directory struktúrájára leképezhető a vállalat szervezeti felépítése vagy földrajzi elhelyezkedése. Egy OU tartalmazhat egy vagy több más OU-t is (ilyen értelemben a tartomány is tekinthető OU-nak), a többszörös egymásba ágyazás is megengedett. A Microsoft azt javasolja, hogy az Active Directoryt minél kevesebb tartományra bontsuk szét, és inkább szervezeti egységek létrehozásával tagoljuk a címtárat. A csoportházirendek (amik szintén AD objektumok, csoportházirend-objektum – Group Policy Object, röviden GPO néven) általában az OU szintjén fejtik ki hatásukat, bár tartomány és hely (site) szinten is alkalmazhatók. Többnyire az OU szintjén szokás a rendszergazdai jogosultságokat delegálni, bár a delegáció akár egyedi objektumok, sőt attribútumok szintjén is beállítható.
A vállalat informatikai infrastruktúrájának felosztása tartományok és szervezeti egységek hierarchiájára kulcsfontosságú tervezési lépés. A gyakori felosztási modellek közé tartozik az üzleti egységeket, a földrajzi elhelyezkedést, az informatikai szolgáltatási igényeket vagy az objektumtípusokat követő felosztás. Ezeket a modelleket gyakran együttesen alkalmazzák. A szervezeti egységek kialakításakor elsősorban a rendszergazdai jogok delegációját és a csoportházirendek alkalmazását érdemes szem előtt tartani. Bár a szervezeti egységek és a tartományok adminisztratív határvonalat képeznek, az egyetlen valódi biztonsági határt maga az erdő alkotja: az AD kialakítása szükségessé teszi, hogy minden tartományi rendszergazda megbízható legyen az egész vállalat (erdő) szintjén is.
Fizikailag az Active Directory adatai egy vagy több egyenrangú tartományvezérlőn (domain controller, DC) tárolódnak, szemben a Windows NT PDC/BDC (Primary/Backup DC) modelljével. Minden tartományvezérlőn megtalálható az Active Directory egy kópiája; általában valamelyik DC kópiájának változásai multi-master (több főkiszolgálós) replikációval szinkronizálódnak a többi DC-re (szemben például a sémaváltozások single-master replikációjával). Ez azt jelenti, hogy nincsen alá-fölérendeltségi viszony a replikációs partnerek között, hanem egy változtatásból eredő replikációs folyamatot – amely végighalad az adott tartomány tartományvezérlőin – bármelyik tartományvezérlő kezdeményezhet.
Az Active Directory-címtárszolgáltatás alapjai
Természetesen ahhoz, hogy kiaknázhassuk az Active Directoryban rejlő lehetőségeket, először be is kell fektetnünk (nemcsak anyagi értelemben), vagyis meg kell szereznünk a hatékony használathoz és üzemeltetéshez nélkülözhetetlen tudást. Minél mélyebben ismeri a rendszergazda az általa üzemeltetett rendszert, annál kevesebbet kell dolgoznia, az ismétlődő rutinfeladatok automatizálása a megfelelő technológia és a megfelelő ismeretek birtokában nem jelenthet problémát. A következőkben az Active Directory üzemeltetéséhez szükséges alapismereteket fogjuk áttekinteni, megismerkedünk a címtár alkotórészeivel, és a felügyeletéhez szükséges legfontosabb eszközökkel.
Az Active Directory a korábban létező meglehetősen egyedi megoldással ellentétben, teljes mértékben a bevált iparági szabványokon alapul. (A Windows NT „címtár” jellegű adatai a registryben tárolódtak.) Az Active Directory alapjául az X.500 szabvány szolgál, hozzáférési protokollja pedig a széles körben használt LDAPv3 (Lightweight Directory Access Protocol). Az Active Directory felépítése rendkívüli rugalmasságot és skálázhatóságot tesz lehetővé; képes alkalmazkodni az öt számítógépet használó kisvállalatok, és a több kontinensen elhelyezkedő, kiszolgálók százait vagy ezreit tartalmazó hálózatok igényeihez is. Az AD által tárolható objektumokat és azok tulajdonságait a hierarchikus és kiterjeszthető, módosítható névtér, a séma határozza meg, így könnyedén képes a speciális igények kiszolgálására is. Az Active Directory-adatbázis több, egymással automatikusan szinkronizálódó példányát a tartományvezérlők (Domain Controller, DC) tárolják. Az elosztott tárolás ellenére – az objektumok módosításainak nyilvántartásán alapuló multimaster (több főkiszolgálós) replikáció miatt – minden adatbázispéldány teljesen egyenértékű, a szükséges módosítások bármelyik tartományvezérlőn elvégezhetők.
Címtárpartíciók
A partíció az Active Directory egy összefüggő részfája, amely egy egységként replikálódik az erdő más, ugyanennek a részfának egy-egy replikáját magukban foglaló tartományvezérlői számára. Az Active Directoryban minden tartományvezérlő egyenként legalább a következő három címtárpartícióval rendelkezik:
Séma partíció (Schema Partition) – A séma partíció az osztály- és attribútum-definíciókat, vagyis az objektumok és tulajdonságok formális leírását tárolja. A partíció minden tartományvezérlőn és minden globális katalógusban megtalálható. Az Active Directory séma az egész erdőre vonatkozóan megegyezik.
Konfigurációs partíció (Configuration Partition) – Ez a partíció a címtár topológiájára vonatkozó adatokat tárolja. Megtalálhatók benne a tartományokra, a fákra és az erdőre vonatkozó információk, valamint itt tárolódik a replikációs topológia, és az ehhez kapcsolódó metaadatok is. A konfigurációs adatok az egész erdőre vonatkoznak, és megtalálhatók az erdő valamennyi tartományvezérlőjén.
Tartomány partíció (Domain Partition) – itt találhatjuk meg a felhasználókra, számítógépekre, csoportokra és egyéb tartomány szintű objektumokra vonatkozó adatokat. A partíció az adott tartomány minden tartományvezérlőjén megtalálható.
Alkalmazás partíció (Application Partition) – a Windows Server 2003 rendszert futtató tartományvezérlők a fentieken kívül egy vagy több alkalmazás-címtári partíciót is tárolhatnak.
Infrastruktúra-főkiszolgáló (Infrastructure Master) – Szintén tartományszintű műveleti főkiszolgáló szerepkör, amelyből szintén egy lehet a tartományon belül, de csak akkor van rá szükség, ha a hálózat több tartományból áll. Feladata a saját tartományának objektumai és a többi tartományban található objektumok közötti hivatkozások frissítése. Amennyiben nem érhető el, a tartományon belül nem veszünk észre változást, azonban a többi tartománnyal való kapcsolattartás során frissítési problémák keletkeznek.
Tartománynév-nyilvántartási főkiszolgáló (Domain Naming Master) – Erdőszintű műveleti-főkiszolgáló szerepkör, amelyből az erdőben kizárólag egy lehet. A speciális szereppel bíró tartományvezérlő szabályozza az erdőben a tartományok hozzáadását és törlését. A tartományfákkal kapcsolatos változtatások nem hajtódnak végre, ha a szerepet megvalósító tartományvezérlő nem érhető el.
Séma-főkiszolgáló (Schema Master) – Erdőszintű műveleti-főkiszolgáló szerepkör, központosítva végzi el a séma összes frissítését és módosítását. Amennyiben az erdő sémáját frissíteni kívánjuk, hozzáférési joggal kell rendelkeznünk a séma-főkiszolgálóhoz. Az előző szerephez hasonlóan séma-főkiszolgálóból is csak egy lehet az erdőben, és szintén nem vesszük észre a hiányát, egészen addig, amíg nem kerül sor a séma frissítésére, vagy bővítésére.
Az erdő első tartományvezérlőjének (ez egyben az elsőként létrehozott tartomány első tartományvezérlője is) telepítésekor valamennyi erdő és tartomány szintű szerepkör erre a kiszolgálóra kerül, de később – ha már több tartományvezérlőnk is van –, az egyes szerepeket tetszés szerint bárhová áthelyezhetjük. Ha egy adott szerepkört megvalósító tartományvezérlőt lefokozunk, illetve eltávolítunk a tartományból, akkor az adott szerepkör áthelyezéséről (lehetőleg még akkor, amikor a régi kiszolgáló is elérhető) mindenképpen gondoskodnunk kell. A tartományszintű szerepkörök (RID Master, PDC Emulator, Infrastructure Master) áthelyezésére az Active Directory Users and Computers (Active Directory – felhasználók és számítógépek) konzol használható, a Domain Naming Master szerepkört az Active Directory Domains and Trusts (Active Directory – tartományok és bizalmi kapcsolatok), a Schema Master szerepet pedig az Active Directory Schema (Active Directory Séma) MMC-modul használatával adhatjuk át másik tartományvezérlőnek.
Nincsenek megjegyzések:
Megjegyzés küldése