"Проектирование домена и развертывание Active Directory Os Windows в небольшой тестовой среде"

Размещено на http://www.allbest.ru/

Министерство цифрового развития государственного управления, информационных технологий и связи Республики Татарстан

Государственное автономное профессиональное образовательное учреждение

"Международный центр компетенций -

Казанский техникум информационных технологий и связи"

специальность 09.02.06 "Сетевое и системное администрирование" (код, расшифровка)

Отчет

по преддипломной практике

"Проектирование домена и развертывание Active Directory Os Windows в небольшой тестовой среде"

Мухаметшина Гульзада Ильфатовна

Казань, 2021г

Введение

Первые компоненты Active Directory начали жизнь в 1988 или 1989 году в компании 3Com. Это был недоделанный X.500 каталог c собственным протоколом коммуникации, построенный на основе базы данных C-Tree, работающей на 16-битной OS/2. Когда в 1990 году компания 3Com свернула деятельность по разработке сетевого программного обеспечения, исходный код службы каталогов был передан в Microsoft в рамках одной из сделок. Группа, работающая над продуктом LanMan планировала включить службу каталогов в версию продукта LanMan 3.0 и немедленно начала ее портировать на движек базы данных Jet Blue ISAM и разрабатывать RPC фронт-енд, совместимый с X/OPEN XDS API.

С этого момента (начало 1991 года) Джим Алчин, который в том время взял на себя руководство группой LanMan, отменил выход LanMan 3.0 и сорвал проект службы каталогов. Вместо нее он создал проект Каир, который включил в себя не базирующуюся на X.500 службу каталогов, работающую как часть OFS, файловой системы Cairo.

Группа из Microsoft, занимающаяся электронной почтой взяла две технологии, службу каталогов из обломков LanMan 3.0 и X.400 MTA. Мы (на тот момент, я стал руководителем группы разработки службы каталогов) перенесли службу каталогов в Windows NT, закончив переход на JET и XDS, добавили MAPI RPC интерфейс, службу KCC, изменяемую схему, ссылочные таблицы и многое, многое другое. Это версия (вместе с MTA и хранилищем сообщений) была использована в Exchange 4.0 d в 1996 году. К этому моменту там практически не осталось оригинального кода, хотя некоторая структура данных живет по сей день, как минимум в названии

В конце 1995 года проект Каир и сопутствующая служба каталогов был закрыт. Что поставило группу разработки операционных систем в ситуацию острой нехватки службы каталогов (для Windows 2000) без планов по созданию таковой. Чтобы залатать дыры, через неделю после выпуска Exchange 4.0 двое из команды разработки Exchange были отправлены к разработчикам Windows для переноса исходников службы каталога, где мы повторно "покрестили" Active Directory, а все остальное уже история.

Еще раз повторюсь, службы Active Directory (службы активного каталога) представляют собой распределённую базу данных, которая содержит все объекты домена. Доменная среда Active Directory является единой точкой аутентификации и авторизации пользователей и приложений в масштабах предприятия. Именно с организации домена и развёртывания служб Active Directory начинается построение ИТ- инфраструктуры предприятия.

База данных Active Directory хранится на выделенных серверах - контроллерах домена. Службы Active Directory являются ролью серверных операционных систем Microsoft Windows Server. Службы Active Directory имеют широкие возможности масштабирования. В лесу Active Directory может быть создано более 2-х миллиардов объектов, что позволяет внедрять службу каталогов в компаниях с сотнями тысяч компьютеров и пользователей. Иерархическая структура доменов позволяет гибко масштабировать ИТ-инфраструктуру на все филиалы и региональные подразделения компаний. Для каждого филиала или подразделения компании может быть создан отдельный домен, со своими политиками, своими пользователями и группами. Для каждого дочернего домена могут быть делегированы административные полномочия местным системным администраторам. При этом всё равно дочерние домены подчиняются родительским.

Кроме того, службы Active Directory позволяют настроить доверительные отношения между доменными лесами. Каждая компания имеет собственный лес доменов, каждый из которых имеет собственные ресурсы. Но иногда бывает нужно предоставить доступ к своим корпоративным ресурсам сотрудникам другой компании - работа с общими документами и приложениями в рамках совместного проекта. Для этого между лесами организаций можно настроить доверительные отношения, что позволит сотрудникам одной организации авторизоваться в домене другой.

Для обеспечения отказоустойчивости служб Active Directory необходимо развернуть два или более контроллера домена в каждом домене. Между контроллерами домена обеспечивается автоматическая репликация всех изменений. В случае выхода из строя одного из контроллеров домена работоспособность сети не нарушается, ведь оставшиеся продолжают работать. Дополнительный уровень отказоустойчивости обеспечивает размещение серверов DNS на контроллерах домена в Active Directory.

Позволяет в каждом домене получить несколько серверов DNS, обслуживающих основную зону домена. И в случае отказа одного из DNS серверов, продолжат работать остальные. О роли и значимости DNS серверов в ИТ-инфраструктуре мы еще поговорим в одной из статей цикла.

Но это всё технические аспекты внедрения и поддержания работоспособности служб Active Directory. Давайте поговорим о тех преимуществах, которые получает компания, отказываясь от одноранговой сети с использованием рабочих групп.

Единая точка аутентификации

В рабочей группе на каждом компьютере или сервере придётся вручную добавлять полный список пользователей, которым требуется сетевой доступ. Если вдруг один из сотрудников захочет сменить свой пароль, то его нужно будет поменять на всех компьютерах и серверах. Хорошо, если сеть состоит из 10 компьютеров, но если их больше? При использовании домена Active Directory все учётные записи пользователей хранятся в одной базе данных, и все компьютеры обращаются к ней за авторизацией. Все пользователи домена включаются в соответствующие группы, например,

"Бухгалтерия", "Финансовый отдел". Достаточно один раз задать разрешения для тех или иных групп, и все пользователи получат соответствующий доступ к документам и приложениям. Если в компанию приходит новый сотрудник, для него создаётся учётная запись, которая включается в соответствующую группу, - сотрудник получает доступ ко всем ресурсам сети, к которым ему должен быть разрешён доступ. Если сотрудник увольняется, то достаточно заблокировать - и он сразу потеряет доступ ко всем ресурсам (компьютерам, документам, приложениям).

1. Единая точка управления политиками

В рабочей группе все компьютеры равноправны. Ни один из компьютеров не может управлять другим, невозможно проконтролировать соблюдение единых политик, правил безопасности. При использовании единого каталога Active Directory, все пользователи и компьютеры иерархически распределяются по организационным подразделениям, к каждому из которых применяются единые групповые политики. Политики позволяют задать единые настройки и параметры безопасности для группы компьютеров и пользователей. При добавлении в домен нового компьютера или пользователя, он автоматически получает настройки, соответствующие принятым.

При помощи политик можно централизованно назначить пользователям сетевые принтеры, установить необходимые приложения, задать параметры безопасности браузера, настроить приложения Microsoft Office.

Повышенный уровень информационной безопасности

Использование служб Active Directory значительно повышает уровень безопасности сети. Во-первых - это единое и защищённое хранилище учётных записей. В доменной среде все пароли доменных пользователях хранятся на выделенных серверах контроллерах домена, которые, как правило, защищены от внешнего доступа. Во-вторых, при использовании доменной среды для аутентификации используется протокол Kerberos, который значительно безопаснее, чем NTLM, использующийся в рабочих группах. домен приложение аутентификация

Интеграция с корпоративными приложениями и оборудованием

Большим преимуществом служб Active Directory является соответствие стандарту LDAP, который поддерживается другими системами, например, почтовыми серверами (Exchange Server), прокси-серверами (ISA Server, TMG). Причем это не обязательно только продукты Microsoft. Преимущество такой интеграции заключается в том, что пользователю не требуется помнить большое количество логинов и паролей для доступа к тому или иному приложению, во всех приложениях пользователь имеет одни и те же учётные данные - его аутентификация происходит в едином каталоге Active Directory. Windows Server для интеграции с Active Directory предоставляет протокол RADIUS, который поддерживается большим количеством сетевого оборудования. Таким образом, можно, например, обеспечить аутентификацию доменных пользователей при подключении по VPN извне, использование Wi-Fi точек доступа в компании.

Единое хранилище конфигурации приложений

Некоторые приложения хранят свою конфигурацию в Active Directory, например, Exchange Server. Развёртывание службы каталогов Active Directory является обязательным условием для работы этих приложений. Хранение конфигурации приложений в службе каталогов является выгодным с точки зрения гибкости и надёжности. Например, в случае полного отказа сервера Exchange, вся его конфигурация останется нетронутой.

Для восстановления работоспособности корпоративной почты, достаточно будет переустановить Exchange Server в режиме восстановления.

Active Directory нужен для хранения информации о ресурсах компании, информация о пользователях, ПК, серверах предоставляет следующие возможности. Массовое распространение настроек всем пользователям и компьютерам сети. База данных для хранения настроек совместимых приложений (например, Exchange).

Именно он будет выполнять функции аутентификации пользователей и устройств в сети, а также выступать в качестве хранилища базы данных.

Подводя итоги, хочется еще раз акцентировать внимание на том, что службы Active Directory являются сердцем ИТ-инфраструктуры предприятия. В случае отказа вся сеть, все сервера, работа всех пользователей будут парализованы. Никто не сможет войти в компьютер, получить доступ к своим документам и приложениям. Поэтому служба каталогов должна быть тщательно спроектирована и развёрнута, с учётом всех возможных нюансов, например, пропускной способности каналов между филиалами или офисами компании (от этого напрямую зависит скорость входа пользователей в систему, а также обмен данными между контроллерами домена).

Индивидуальное задание по теме ВКР "Проектирование домена и развертывание Active Directory Os Windows в небольшой тестовой среде"

Развертывание службы каталога Active Directory в Microsoft Windows Server требует планирования и проектирования. Служба Active Directory может быть развернута в организации любого размера, включая большие многонациональные корпорации с сотнями тысяч пользователей и офисов по всему миру. Создание модели Active Directory для корпорации такого размера требует больших усилий. Однако даже более мелкие компании извлекают значительную выгоду от времени, потраченного на начальное проектирование.

Домен Active Directory Services (AD DS) позволяет организациям создавать масштабируемую, безопасную и управляемую инфраструктуру для управления пользователями и ресурсами. Он также позволяет им поддерживать приложения с поддержкой каталогов.

Хорошо спроектированная Active Directory логическая структура предоставляет следующие преимущества:

- упрощенное управление сетями на основе Microsoft Windows, которые содержат большое количество объектов;

- объединенная структура домена и сокращение затрат на администрирование;

- возможность делегировать административный контроль над ресурсами соответствующим образом;

- снижение влияния пропускной способности сети;

- упрощенный общий доступ к ресурсам;

- оптимальная производительность поиска;

- низкая совокупная стоимость владения;

Хорошо спроектированная Active Directory логическая структура облегчает эффективную интеграцию таких функций, как групповая политика. блокировка рабочего стола; распространение программного обеспечения; и пользователи, группы, рабочие станции и администрирование сервера в системе. Кроме того, тщательно спроектированная логическая структура упрощает интеграцию приложений и служб.

Таких как Microsoft Exchange Server, инфраструктура открытых ключей (PKI) и распределенную файловую систему на основе домена (DFS).

При проектировании Active Directory логической структуры перед развертыванием AD DS можно оптимизировать процесс развертывания, чтобы лучше воспользоваться преимуществами функций Active Directory. Чтобы разработать Active Directory логическую структуру, ваша группа разработки сначала определяет требования для вашей организации, и, основываясь на этих данных, решает, где разместить границы леса и домена. Затем группа проектирования решает, как настроить среду службы доменных имен (DNS) в соответствии с потребностями леса. Наконец, Группа разработки определяет структуру подразделений, необходимую для делегирования управления ресурсами в Организации.

Полный перечень элементов для реализации проекта, можно посмотреть в схеме "Структура хранилища Active Directory" (Приложение А).

Создание проекта леса включает в себя сначала определение групп в Организации, которые имеют доступ к ресурсам для размещения Active Directory лесу, а затем определение требований к проектированию леса. Наконец, необходимо определить количество лесов, необходимых для удовлетворения потребностей Организации.

После того как вы сопоставьте все требования к проектированию с моделями леса и выберите модель леса, которая соответствует потребностям вашей организации, задокументируйте предлагаемый проект леса. Включите в документацию имя группы, в которой разрабатывается лес, контактные данные владельца леса, тип леса для каждого добавляемого леса и требования, которым должен соответствовать каждый лес. Эта документация поможет группе разработчиков убедиться в том, что все соответствующие сотрудники участвуют в процессе разработки, и уточнить область проекта развертывания.

Владелец леса отвечает за создание структуры предметной области для леса. Создание проекта домена включает в себя проверку требований репликации и существующую емкость сетевой инфраструктуры, а также создание структуры предметной области, которая позволяет домен Active Directory службам (AD DS) работать наиболее эффективным образом.

Домены используются для секционирования каталога, что позволяет эффективно распределять и управлять информацией в каталоге на всем предприятии. Целью разработки вашего домена является повышение эффективности топологии репликации Active Directory и обеспечение того, что репликация не использует слишком много доступной пропускной способности сети и не мешает ежедневной работе сети.

После создания леса Active Directory и доменных проектов необходимо разработать инфраструктуру системы доменных имен (DNS) для поддержки логической структуры Active Directory. DNS позволяет пользователям использовать понятные имена, которые легко запомнить для подключения к компьютерам и другим ресурсам в IP-сетях. Для домен Active Directory служб (AD DS) в Windows Server 2008 требуется DNS.

Подразделения учетных записей содержат объекты пользователей, групп и компьютеров. Владельцы леса должны создать структуру подразделений для управления этими объектами, а затем делегировать управление структурой владельцу подразделения. При развертывании нового домена AD DS создайте подразделение учетной записи для домена, чтобы можно было делегировать управление учетными записями в домене.

Подразделения ресурсов содержат ресурсы и учетные записи, ответственные за управление этими ресурсами. Владелец леса также отвечает за создание структуры подразделений для управления этими ресурсами и делегирования контроля над этой структурой владельцу подразделения. При необходимости создайте подразделения ресурсов на основе требований каждой группы в Организации для автономного управления данными и оборудованием.

Active Directory поддерживает LDAP, что означает, что вы можете объединить их, чтобы улучшить управление доступом. Фактически, многие различные службы каталогов и решения для управления доступом могут понимать LDAP, что делает его широко используемым в средах без Active Directory.

Протокол LDAP - это протокол доступа к каталогам это открытый, нейтральный, стандартный в отрасли протокол приложений, который обеспечивает контроль доступа и обслуживание распределенной информации каталога через IP-протокол.

Службы каталогов играют важную роль в развитии интрасетей и совместном использовании пользователей, систем, сетей, служб и приложений с интернет- программами. Например, служба каталогов может предоставлять организованную коллекцию записей, обычно с иерархией, например каталог корпоративной электронной почты. Аналогично, вы также можете предоставить телефонную книгу, содержащую адрес и номер телефона.

Службы домен Active Directory Services (AD DS) используют службы разрешения имен системы доменных имен (DNS), чтобы клиенты могли искать контроллеры домена и контроллеры домена, на которых размещается служба каталогов, для взаимодействия друг с другом.

AD DS позволяет легко интегрировать пространство имен Active Directory в существующее пространство имен DNS. Такие функции, как интегрированные с Active Directory зоны DNS, упрощают развертывание DNS, устраняя необходимость в настройке дополнительных зон, а затем настраивают зонные передачи.

Строго говоря, DNS не является компонентом Active Directory. Однако знание того, как Active Directory зависит от DNS, необходимо для понимания того, как компоненты Active Directory могут выполнять назначенные им операции. DNS используется Active Directory для размещения контроллера домена, а именование DNS используется Active Directory для именования доменов. Поскольку Active Directory зависит от DNS для расположения контроллера домена и DNS влияет на именование доменов Active Directory, DNS рассматривается в этом техническом справочнике как компонент решения службы каталогов Windows Server 2003.

Хочу отметить то, что служба каталогов Active Directory функционирует с протоколом авторизации LDAP.

Протокол LDAP - это легкий протокол доступа к каталогам это открытый, нейтральный, стандартный в отрасли протокол приложений, который обеспечивает контроль доступа и обслуживание распределенной информации каталога через IP- протокол.

Службы каталогов играют важную роль в развитии интрасетей и совместном использовании пользователей, систем, сетей, служб и приложений с Интернет программами.

Например, служба каталогов может предоставлять организованную коллекцию записей, обычно с иерархией, например каталог корпоративной электронной почты. Аналогично, вы также можете предоставить телефонную книгу, содержащую адрес и номер телефона.

LDAP определяется документацией RFC Рабочей группы по разработке Интернета (IETF) с использованием языка описания ASN.1.

Обычно LDAP используется для единого входа, когда пользователи могут использовать один и тот же пароль в нескольких службах, обычно для входа в корпоративную интрасеть (чтобы они могли один раз войти в систему на корпоративных компьютерах и автоматически войти в корпоративную интрасеть).

LDAP основан на X.Подмножество стандарта 500.Из-за этой связи LDAP иногда называют X.500-lite

Полный перечень элементов для реализации проекта, можно посмотреть в схеме на рисунке "Взаимодействие AD с LDAP" (Приложение А).

Список используемых материалов

1. Рэнд Моримото, Кентон Гардиньер, Майкл Ноэл, Джо Кока. Microsoft Exchange Server 2003. Полное руководство - Microsoft Exchange Server 2003 Unleashed. - М.: "Вильямс", 2006. - С. 1024.

2. https://docs.microsoft.com/ru-ru/windows-server/identity/ad-ds/plan/creating-an- organizational-unit-design - про создание проекта подразделения https://ru.wikipedia.org/wiki/LDAP - про протокол авторизации LDAP

3. Станек У.Р. - Windows Server 2008. Справочник администратора 2008

4. Microsoft Windows 2000 Active Directory Services. Учебный курс MCSE. - М.: Русская редакция, 2004. - 608 c.

5. https://docs.microsoft.com/ru-ru/windows-server - про DNS и доменные службы Active Directory

6. Аллен Active Directory Сборник рецептов для Windows Server 2003 и Windows 2000 / Аллен, Робби. - М.: СПб: Питер, 2004. - 590 c.

Приложение А.

Схема 1.1 "Структура хранилища Active Directory"

Рисунок 1.1 "Взаимодействие AD с LDAP"

Размещено на Allbest.ru