47
независимое от
местоположения
административных, кадровых, структурных, функциональных и
технических изменений. Централизованное управление всей
системой администратор может вести со своей рабочей станции.
Гетерогенность
Directory Service Manager for NetWare (DSMN) - дополнительная
утилита, позволяющая использовать службу каталогов Windows
Server 2012 для управления серверами NetWare 2.x и 3.x.
Использование Advanced Server for UNIX, позволяет применять
службу каталогов Windows Server 2012 на UNIX-хостах.
Полное управление
ресурсами, сервисами и
приложениями
NTDS предоставляет защищенный доступ ко всем сервисам,
типам информации, устройствам и приложениям, управляемым
Windows Server 2012. В их число входят и приложения семейства
Microsoft BackOffice.
2.4Функциональная схема
интуитивно развивающиеся являния содействуют ᅠ многоаспектным усилиям сторон по ᅠ конструктивному урегулированию проявляющихся проблем.
локальной
ᅠ
вычислительной сети
Организационно-штатная структура подразделения
Рассмотрим организационно-штатную структуру подразделения.
В состав подразделения входят специализированный отдел прямого
подчинения начальнику и 3 отделения.
Каждое отделение делится на 2 отдела.
Каждый отдел разделяется на 3 сектора. (рисунок 16)
48
Рис. 16. Структурная организация офиса
Информационные потоки в сети офиса (рисунок 17)
Рис. 17. Схема информационных потоков ЛВС
49
Для примера взят 1-ый сектор, где наиболее подробно показаны
информационные потоки в пределах одного сектора. В других секторах
аналогичная картина потоков информации.
2.5Логическая
интуитивно
ᅠ
развивающиеся являния содействуют
ᅠ
многоаспектным усилиям сторон
ᅠ
по конструктивному урегулированию
ᅠ
проявляющихся проблем.
организация сетей Windows Server 2012
Что же такое домен и связи доверия?
Доменом называется группа серверов, которые работают как единая
система. Основой является сервер под управлением ОС Windows Server 2012.
Домен является главным звеном администрирования Windows Server 2012. Так
как все серверы в данном домене используют один и тот же состав
пользователей (набор учетных карточек пользователей), то вполне достаточно
ввести только на одном из серверов, чтобы все остальные сервера
распознавали этих пользователей.
Связи между доменами, которые допускают сквозную идентификацию,
при которой пользователь, имеющий единственную учетную карточку в
домене, получает доступ к целой сети – называют связями доверия. При
грамотной планировке все рабочие станции Windows Server 2012 определят
любую учетную карточку пользователя и ему нужно будет только один раз
ввести пароль для входа в систему, чтобы в дальнейшем получать доступ к
любому серверу сети.
Основные административные блоки домена
Объединение рабочих станций в домены дает два основных
преимущества пользователям и сетевым администраторам. Наиболее
значимое - серверы домена формируют единый административный блок,
совместно использующий информацию учетных карточек пользователя и
службу безопасности. Каждый домен имеет одну общую базу данных,
содержащую установочные параметры политики безопасности и учетные
карточки пользователя и групп. Все серверы домена работают или как
первичный контроллер домена, или как резервный, содержащий копию этой
50
базы данных. Т.е., каждый пользователь должен использовать (и помнить)
пароль только одной учетной карточки и администраторам сети необходимо
управлять только одной учетной карточкой для каждого пользователя.
Windows Server 2012 сохраняет усилия администраторов и время
пользователей расширяя административный блок с единственного
компьютера на целый домен.
Когда пользователи просматривают сеть в поисках доступных ресурсов,
они видят сеть, сгруппированную в домены, а не разбросанные по всей сети
серверы и принтеры. Это и есть следующее преимущество доменов, которое
сделано для удобства пользователей.
Связи доверия
Поскольку необходимо создать учетную карточку для каждого
пользователя только один раз, домен облегчает администрирование и она
(учетная карточка) даст ему доступ к любому компьютеру сети, а не только к
компьютерам одного домена. Устанавливая связь доверия между доменами
сети, мы позволяем использовать учетные карточки пользователя и
глобальных групп одного домена в других доменах.
Доверяющий домен распознает всех пользователей и глобальные
группы, указанные в доверительном домене. Такие учетные карточки могут
быть по-разному применены в доверяющем домене; они могут быть
добавлены к локальной группе доверяющего домена и им могут быть даны
разрешения и права доверяющего домена, могут начать сеанс на рабочих
станциях доверяющего домена.
Доверие между доменами не наследуется. Например, если XXXX
доверяет YYYY, а YYYY доверяет ZZZZ, XXXX автоматически не доверяет
ZZZZ. Чтобы XXXX доверял ZZZZ (и таким образом можно было бы
использовать учетные карточки ZZZZ в домене XXXX), необходимо
установить дополнительное отношение доверия непосредственно между
этими доменами (рисунок 18).
51
Рис. 18. Наследование связей доверия.
Требования к домену
Один сервер, работающий под управлением Windows Server 2012,
который служит в качестве первичного контроллера домена и хранит оригинал
базы данных учетных карточек пользователя и групп домена – это
минимальное требование для домена. (рисунок 19).
Рис. 19. Структура домена
52
Все изменения базы данных, учетных карточек пользователя и групп
домена должны выполняться в базе данных первичного контроллера домена.
Первичный контроллер домена должен быть сервером, работающим под
управлением Windows Server 2012.
База данных учетных карточек копируется во все резервные
контроллеры домена. Резервные контроллеры домена, работающие под
управлением Windows Server 2012, хранят копию базы данных учетных
карточек домена.
Если домен получает запрос на начало сеанса, первичный контроллер
домена или любой из резервных контроллеров домена может
идентифицировать попытку начала сеанса. Все резервные контроллеры
домена дополняют первичный контроллер и могут обрабатывать запросы на
начала сеанса от пользователей учетных карточек домена.
Сервер, который входит в домен, не получает копию базы данных
пользователей домена. Дополнительно к резервным и первичным
контроллерам домена, работающим под управлением Windows Server 2012,
есть другой тип серверов. Во время установки Windows Server 2012 они
определяются, как «серверы», а не как контроллеры домена.
Модели домена
Планировка домена является немаловажным фактором.
Для организации сети существует четыре модели: модель основного
домена, модель единственного домена, модель полного доверия и модель
многочисленных основных доменов.
Модель основного домена
Основная модель домена может быть наилучшим выбором для
организаций, у которых сеть имеет небольшое количество групп и
пользователей, но при этом сеть должна быть разделена на домены из
организационных соображений. Эта модель дает организационные
53
преимущества управления и централизованное управление многими
доменами.
Основной домен, в котором регистрируются все пользователи и
глобальные группы является единственным в этом домене. Все другие домены
сети доверяют этому домену, можно использовать пользователей и
глобальные группы, зарегистрированные в них.
Основная цель главного домена - управление сетевыми учетными
карточками пользователя. Другие домены ресурса не хранят учетные карточки
пользователя и не управляют ими, а только обеспечивают ресурсы сети.
В этой модели только резервные и первичные контроллеры домена в
основном домене имеют копии учетных карточек пользователей сети.
Модель единственного домена
Самую простую модель - модель единственного домена. Если сеть имеет
не слишком много пользователей и не должна делиться по организационным
причинам, можно использовать эту модель. В этой модели сеть имеет только
один домен. Все пользователи регистрируются в этом домене.
Соответственно, никаких связей доверия не нужно.
Можно использовать модель единственного домена, чтобы
гарантировать хорошую производительность сети, только при условии, что у
нее небольшое количество пользователей и групп. Точное количество
пользователей и групп зависит от аппаратных средств серверов и от
количества серверов в домене.
Модель полного доверия
Она не практична для больших предприятий из-за количества связей
доверия, необходимого для этой модели. При желании управлять
распределенными среди различных отделов пользователями и доменами
децентрализовано можно использовать модель полного доверия. В ней
каждый домен сети доверяет другому.
54
Модель многочисленных основных доменов
Модель многочисленных основных доменов может оказаться
наилучшим выбором для больших предприятий, которые хотят иметь
централизованную администрацию, поскольку она наиболее масштабируемая.
Основные домены служат в качестве учетных доменов и каждая учетная
карточка пользователя создается в одном из этих основных доменов. В этой
модели небольшое количество основных доменов.
Выбор модели
будет
ᅠ
важно всесторонним образом
ᅠ
изучить сущность данной
ᅠ
технической особенности
организации
ᅠ
сети
Проанализировав организационно-штатную структуру подразделения,
можно заключить, что оптимальным выбором является модель основного
домена. Ее недостатки и достоинства приведены в табл.2.
Таблица 2. Недостатки и преимущества модели основного домена.
Недостатки
Преимущества
Ухудшение производительности в случае,
если домен будет дополнен большим
числом пользователей и групп.
Учетные карточки пользователей
могут управляться централизовано.
Локальные группы должны быть
определены в каждом домене, где они
будут использоваться.
Ресурсы сгруппированы логически.
Домены отделений могут иметь своих
собственных администраторов,
которые управляют ресурсами в
отделе.
Глобальные группы должны быть
определены только один раз (в
основном домене).
Логическая структура сети показана на рисунке 19.
55
Рис. 19. Логическая структура сети.
Рис. 20. Функциональная схема ЛВС офиса
Организация защиты
ᅠ
сети
Учетные записи пользователя бывают двух типов: локальные и
глобальные. Локальные определяют права пользователей на конкретном
компьютере и не распространяются на домен. Пользователь получает доступ
56
только к ресурсам данного компьютера при использовании локальной учетной
записи. Для доступа к ресурсам домена пользователь должен
зарегистрироваться в домене, воспользовавшись своей глобальной учетной
записью. Если сеть состоит из нескольких доменов и между ними установлены
доверительные отношения, то возможна так называемая сквозная регистрация.
С помощью программы User Manager for Domains администратор может
создавать, модифицировать и управлять учетными записями. Администратор
сети при создании новой учетной записи может определить следующие
параметры: пароль и правила его модификации, разрешенные часы работы,
срок действия учетной записи, локальные и глобальные группы, в которые
входят: пользователь, профиль пользователя, имена рабочих станций, с
которых он может регистрироваться, и другие.
Так как именно путем подбора пароля может происходить незаконный
доступ к сетевым ресурсам, пароль пользователя играет одну из самых важных
ролей при регистрации пользователя в сети. Поэтому Windows Server 2012
содержит ряд мощных механизмов, связанных с паролем пользователя:
максимальный срок действия, после которого пароль необходимо
изменить;
минимальная длина пароля;
минимальный срок хранения пароля;
уникальность пароля и хранение истории паролей;
блокировка учетной записи при неудачной регистрации;
продолжительность блокировки.
Учетная запись пользователя может содержать указания на
использование домашнего каталога и сценария регистрации. Каждый
пользователь может иметь домашний каталог для хранения персональных
файлов. Этот каталог открывается по умолчанию в диалоговых окнах, а также