125

-составные имена (distinguished name, DN);

-относительные составные имена (relative distinguished name, RDN);

-глобально уникальные идентификаторы (globally unique identifier, GUID);

-основные имена пользователей (user principal name, UPN). Active Directory является LDAP-совместимой службой ка-

талога, т.е. все обращения к объектам в каталогах осуществляются по протоколу LDAP.

Составное имя

Объекты размещаются в доменах Active Directory согласно иерархическому пути, включающему метки доменного имени Active Directory и всех уровней контейнерных объектов.

Каждый объект в хранилище Active Directory имеет составное имя. Оно уникально идентифицирует объект и содержит информацию для клиента, достаточную для извлечения объекта из каталога.

DN включает имя домена, содержащего объект, и полный путь к объекту по иерархии контейнеров.

Следующее DN идентифицирует объект-пользователя Ivan Petrov в домене bupk.ru:

DC=ru/DC=bupk/CN=Users/CN=Ivan Petrov

Разделители и значения, использованные в DN для Ivan Petrov, приведены в таблице 6.1.

Таблица 6.1

Разделители и значения, использованные в DN для Ivan Petrov

В оснастке не отображаются сокращения LDAP (O=, DC=, CN=). Они приведены здесь лишь для иллюстрации того, как

126

LDAP распознает составные части DN. Некоторые из сокращений, описанных в RFC-документах, например О= для наименования организации и С= для страны, в Active Directory не применяются, хотя и распознаются протоколом LDAP.

Относительное составное имя

В Active Directory можно найти объект, даже не зная его точного DN или если это имя было изменено. Поиск можно вести по атрибутам объекта, один из которых — относительное составное имя, часть полного DN.

В предыдущем примере RDN для объекта-пользователя Ivan Petrov будет CN= Ivan Petrov, а для родительского объекта — CN=Users.

Active Directory позволяет копировать RDN объектов, однако в рамках одного организационного подразделения (ОП) такие имена должны быть уникальны. Например, если в ОП Users есть учетная запись пользователя Ivan Petrov, добавить в то же ОП запись о дноименного пользователя нельзя. Однако если ОП Users содержит два меньших ОП, например Managers и Sales, то в обоих разрешено создать учетную запись Ivan Petrov, поскольку каждая будет иметь уникальное DN.

Глобально уникальный идентификатор

Помимо DN, каждый объект в хранилище Active Directory обладает глобально уникальным идентификатором — 128-разрядным номером, назначенным агентом DSA при создании объекта. GUID не изменяется даже после перемещения или переименования объекта. Приложения могут хранить GUID объекта и гарантированно находить объект независимо от его текущего DN.

В Windows NT ресурсы домена были связаны с идентифи-

катором безопасности (security identifier, SID), формируемом внутри домена, т.е, SID был уникален только в рамках домена. GUID уникален во всех доменах, причем его уникальность сохраняется при перемещении объектов из одного домена в другой.

Основное имя пользователя

127

Это дружественное имя, которое короче DN и легче для запоминания. Основное имя пользователя состоит из сокращенного имени, представляющего пользователя, и, как правило, DNSимени домена, в котором находится объект USER.

Формат основного имени таков:

имя пользователя, символ @, суффикс основного имени пользователя.

Например, пользователь Ivan Petrov в bupk.ru мог бы иметь основное имя вида username@bupk.ru.

UPN не зависит от DN объекта-пользователя, поэтому объект User разрешается перемещать или переименовывать, не изменяя регистрационного имени пользователя.

6.1.2.Архитектура Active Directory

Active Directory составляют несколько основных архитектурных компонентов: схема, модели данных, безопасности и администрирования.

6.1.2.1. Модель данных

Модель данных Active Directory унаследована от модели данных Х.500. Каталог содержит объекты, представляющие различные компоненты сети. Каждый объект представлен атрибутами. Совокупность объектов, допустимых для хранения в каталоге, определяется схемой.

6.1.2.2. Схема

Схема реализована как набор экземпляров классов объектов, хранимых в каталоге. Схема может обновляться динамически, т.е. приложение вправе добавить в схему новые атрибуты и классы и сразу использовать эти расширения.

Схема обновляется путем создания или изменения хранимых в каталоге объектов схемы. Как и все объекты хранилища Active Directory, объекты схемы защищены списками управления доступом (access control list, ACL), поэтому изменять схему раз-

решено только правомочным пользователям.

128

6.1.2.3. Модель безопасности

Каталог — полноценная составляющая инфраструктуры безопасности Windows Server. ACL защищает все объекты в хранилище Active Directory. Средства авторизации доступа Windows Server применяют ACL для разрешения доступа к объектам или атрибутам в хранилище Active Directory .

6.1.2.4. Модель администрирования

Active Directory администрируют только авторизованные пользователи. Администратор вправе предоставить пользователю некий стандартный набор разрешений для выполнения только определенных действий над указанной совокупностью экземпляров или классов объектов в конкретном поддереве каталога, т. е. делегировать административные полномочия. Это позволяет четко контролировать распределение полномочий, не предоставляя каждому отдельному пользователю конкретные разрешения.

6.1.2.5. Доступ к Active Directory

Доступ к Active Directory осуществляется по сетевым протоколам, определяющим форматы передаваемых сообщений и способы взаимодействия клиента с сервером. Доступ к этим протоколам предоставляют интерфейсы прикладного програм-

мирования (application programming interface, API).

Интерфейсы прикладного программирования

Служба Active Directory обладает мощными, гибкими и простыми в работе API. Богатый набор API для службы каталога способствует разработке использующих ее приложений и инструментов.

Интерфейсы Active Directory

В помощь разработчикам приложений, взаимодействующих с Active Directory и другими LDAP-совместимыми катало-

гами, в Microsoft был создан Active Directory Service Interface (ADSI) — набор расширяемых интерфейсов для разработки приложений, взаимодействующих с Active Directory, любым каталогом на базе LDAP, другими службами каталогов, включая

Novell Directory Services (NDS).