Виртуальные контейнеры

Active Directory позволяет представлять каталоги в виде виртуальных контейнеров (Virtual Containers). Виртуальный контейнер позволяет осуществлять доступ через Active Directory к любому каталогу, совместимому со спецификацией LDAP. Виртуальный контейнер можно создать, используя специальную информацию (knowledge information), которая хранится в Active Directory. Эта информация описывает, в какой части Active Directory должен появиться новый каталог, а также содержит DNS-имя сервера, на котором хранится копия этого каталога, и уникальное имя (DN), с которого следует начинать операции поиска в новом каталоге.

Глобальный каталог

Active Directory может быть разбит на множество сегментов или контекстов имен. Уникальное имя объекта содержит достаточно информации, чтобы найти копию того сегмента, в котором находится этот объект. Однако очень часто оказывается, что пользователь или приложение не знают уникального имени нужного им объекта или не знают, в каком сегменте он находится. Глобальный каталог (Global Catalog, GC) помогает находить нужный объект в дереве доменов по одному или нескольким известным атрибутам объекта.

Глобальный каталог содержит частичные копии всех пользовательских контекстов имен в каталоге. В нем также хранятся логическая структура и конфигурационные контексты имен. Это означает, что глобальный каталог содержит копию каждого объекта в Active Directory, но при этом хранит лишь небольшую часть его атрибутов.

Безопасность

Все объекты в Active Directory защищены списками контроля доступа (ACLs), которые определяют, кто из пользователей может видеть данный объект и какие действия с объектом разрешены каждому из пользователей.

Передача полномочий (Delegation) – одно из наиболее важных средств защиты данных в Active Directory. Передача полномочий позволяет администратору системы, имеющему более высокий приоритет, передавать определенные права по управлению контейнерами и поддеревьями отдельным пользователям или группам пользователей. Благодаря такому распределению полномочий исчезает необходимость в «администраторах доменов» (Domain Administrators), передающих полномочия излишне большому числу пользователей.

Принцип наследования (Inheritance) позволяет распространять влияние записей, сделанных для какого-либо контейнера, на все объекты, содержащиеся в нем. Наследование можно совмещать с передачей полномочий и таким образом в одной операции передавать административные права целому поддереву каталога.

Репликация

Active Directory поддерживает репликацию с несколькими мастер-доменами (репликация – т.е. тиражирование каталога, делая его доступным для большего числа пользователей и более защищенным от потери данных). Такая модель позволяет вносить изменения в любую базу данных на контроллере домена. Благодаря этому оказывается возможным обновлять базы данных контроллера. Система репликации в Active Directory тиражирует внесенные изменения на другие контроллеры. Репликация происходит автоматически и остается прозрачной для пользователя.

Деревья и лес

Дерево доменов в Windows 2000 имеет иерархческую структуру, и каждый из доменов, входящих в него, является сегментом Active Directory. Структура дерева и отношения между его элементами определяются DNS-именами доменов. Имена доменов одного дерева должны образовывать непрерывное пространство имен, то есть домен с именем a.myco.com должен быть поддоменом по отношению к домену myco.com, а домен b.myco.com должен быть поддоменом домена a.myco.com, и т. д.

Конфигурацию дерева можно изменять, свободно перемещая в нем домены.

Совокупность доменных деревьев представляет собой лес.

Узлы

Узлом называется область сети, в которой обеспечена высококачественная связь между компьютерами. В Windows 2000 узлом считается одна или несколько подсетей IP. В основе такого определения лежит предположение, что компьютеры с одинаковым адресом подсети включены в один сегмент сети – как правило, это либо локальная сеть, либо иная сетевая среда с высокой скоростью передачи.

В Windows 2000 информация об узле используется для отыскания сервера Active Directory, ближе других расположенного к данному пользователю. Когда пользователь входит в сеть, DHCP-сервер присваивает его рабочей станции IP-адрес. В этом адресе содержится указание на подсеть, к которой принадлежит рабочая станция. У рабочих станций, которым присвоены постоянные IP-адреса, информация об их принадлежности к той или иной подсети также неизменна. Независимо от того, какой IP-адрес – динамический или постоянный – присвоен рабочей станции, система поиска контроллеров домена (DC) в Windows 2000, попытается найти сервер Active Directory в той же подсети, где зарегистрирована рабочая станция, используя для этой цели доступную ей информацию.