Внедрение Active Directory

Цель лекции: Научиться внедрять Active Directory, сформулировать условия установки, разобрать вопросы тестирования.

После выбора стратегии развертывания Active Directory осуществляется поэтапное внедрение единой службы каталогов в соответствии с планом-графиком развертывания.

Развертывание Active Directory

При установке Active Directory выполняются следующие функции:

• Добавление контроллера домена к существующему домену. Создается равноправный контроллер домена, обеспечивающий отказоустойчивость и уменьшение нагрузки на имеющиеся контроллеры доменов.
• Создание первого контроллера домена в новом домене. Создается новый домен, необходимый для распределения информации, что позволит настроить Active Directory в соответствии с потребностями организации. При создании нового домена разрешается создать новый дочерний домен или новое дерево.
• Создание нового дочернего домена.
• Создание нового дерева домена.
• Установка DNS-сервера.
• Создание БД и журналов БД.
• Создание общего системного тома.

Причины создания нескольких доменов: распределенное администрирование сети, управление репликацией, разные требования к паролям в разных организациях, большое число объектов, разные имена доменов Интернета, региональные требования и требования внутренней политики.

Установка службы каталога Active Directory

Процесс установки службы каталога Active Directory на компьютере с Microsoft Windows Server 2003 несложен: простота обеспечивается за счет мастера инсталляции Active Directory (Active Directory Installation Wizard).

Два других метода установки Active Directory [ 13 ] - инсталляция без помощи мастера и установка из восстановленных резервных файлов.

Предварительные условия установки Active Directory

Любой сервер, который удовлетворяет условиям, описанным далее, может содержать Active Directory и стать контроллером домена. Каждый новый контроллер домена фактически является автономным сервером, пока не завершится процесс инсталляции Active Directory. В ходе этого процесса решаются две важные задачи [ 13 ] - создается или заполняется база данных каталога и запускается Active Directory, чтобы сервер отвечал на попытки входа в систему домена и на запросы облегченного протокола службы каталога LDAP.

База данных каталога хранится на жестком диске контроллера домена в файле Ntds.dit. В процессе инсталляции Windows Server 2003 файл Ntds.dit сохраняется в папке %systemroot%\system32 на локальном диске. В процессе инсталляции Active Directory файл Ntds.dit копируется в место, идентифицированное во время инсталляции, или в заданную по умолчанию папку %systemroot%\NTDS, если не определено другое место. При наличии файла Ntds.dit, скопированного на жесткий диск в процессе инсталляции Windows Server 2003, Active Directory может быть установлена в любое время без необходимости обращаться к инсталляционной среде.

Далее приводятся условия, необходимые для того, чтобы Active Directory могла работать в Windows Server 2003 [ 13 ] .

• Жесткий диск. Размер пространства на жестком диске, необходимого для хранения службы Active Directory, будет зависеть от количества объектов в домене и от того, является ли данный контроллер домена сервером глобального каталога (GC). Для поддержки установки папки Sysvol по крайней мере один логический диск должен быть отформатирован под файловую систему NTFS v.5 (версия NTFS, которая используется в системах Microsoft Windows 2000 и Windows Server 2003).Чтобы установить Active Directory на сервер, на котором выполняется система Windows Server 2003, жесткий диск должен удовлетворять следующим минимальным требованиям:
  • 15 Мб свободного пространства - на раздел установки системы;
  • 250 Мб свободного пространства - для базы данных Active Directory (Ntds.dit);
  • 50 Мб свободного пространства - для файлов регистрационного журнала транзакций процессора наращивания памяти (ESENT). ESENT представляет собой систему взаимодействия базы данных, которая использует файлы регистрационных журналов для поддержки семантики откатов (rollback), чтобы гарантировать передачу транзакций базе данных.
• Обеспечение сетевой связи. После установки Windows Server 2003 и до начала установки Active Directory необходимо убедиться, что сервер должным образом сконфигурирован для обеспечения сетевой связи.
• Служба DNS , необходимая Active Directory в качестве указателя ресурсов. Клиентские компьютеры полагаются на DNS при поиске контроллеров домена, чтобы они могли аутентифицировать себя и пользователей, которые входят в сеть, а также делать запросы к каталогу для поиска опубликованных ресурсов. Кроме того, служба DNS должна поддерживать записи службы указателя ресурсов (SRV) и динамические модификации. Если служба DNS не была установлена предварительно, то мастер инсталляции Active Directory установит и сконфигурирует DNS одновременно с Active Directory. Если DNS уже установлена в сети, необходимо проверить ее конфигурацию, чтобы она могла поддерживать Active Directory.
• Административные разрешения, которые должна иметь учетная запись пользователя для возможности установки Active Directory.

Мастер установки

Мастер установки Active Directory выполняет следующие функции [ 4 ] :

• добавляет контроллер домена к существующему домену;
• создает первый контроллер домена в новом домене;
• создает новый дочерний домен ;
• создает новое дерево домена ;
• устанавливает DNS-сервер;
• создает БД и журналы БД;
• создает общий системный том;
• удаляет службы Active Directory с контроллера домена.

Когда служба Active Directory устанавливается на сервер с Windows Server 2003, компьютер фактически становится контроллером домена. Если это первый контроллер домена в новом домене и лесу, то создается чистая база данных каталога, ожидающая поступления объектов службы каталога. Если это дополнительный контроллер домена в уже существующем домене, процесс репликации размножит на этот новый контроллер домена все объекты службы каталога данного домена. Если это контроллер домена, имеющий модернизированную систему Microsoft Windows NT 4, база данных учетных записей будет автоматически обновлена до Active Directory после того, как на этом контроллере домена будет установлен Windows Server 2003.

При установке Active Directory можно добавить новый контроллер домена к существующему домену или создать первый контроллер нового домена [ 4 ] .

• Добавление контроллера к существующему домену. В этом случае создается равноправный контроллер домена. Он обеспечит отказоустойчивость и уменьшит нагрузку на имеющиеся контроллеры доменов.
• Создание первого контроллера для нового домена. В этом случае создается новый домен. Он нужен для распределения информации, что позволит настроить Active Directory в соответствии с потребностями организации. При создании нового домена разрешается создать новый дочерний домен или новое дерево.

При установке службы каталогов Active Directory на первом контроллере домена сайта в контейнере Sites создается объект с именем Default-First-Site-Name. В этом сайте необходимо установить первый контроллер домена. Дополнительные контроллеры располагаются в сайте первого контроллера домена (предполагается, что IP-адрес жестко связан с сайтом ) или в другом существующем сайте. После установки первого контроллера домена имя Default-First-Site-Name можно изменить на любое другое.

Когда производится установка Active Directory на дополнительные серверы, а в хранилище определены дополнительные сайты, то возможны два варианта. Если IР-адрес устанавливаемого компьютера соответствует имеющейся в существующем сайте подсети, то контроллер добавляется в этот сайт. Иначе контроллер добавляется в сайт исходного контроллера домена.

Конфигурирование DNS для Active Directory

Active Directory использует DNS в качестве службы поиска, позволяя компьютерам находить контроллеры доменов. Для поиска контроллера в определенном домене клиент запрашивает DNS о записях ресурсов, содержащих имена и IP-адреса LDAP-серверов домена. LDAP - это протокол, используемый для осуществления запросов и обновления Active Directory и выполняющийся на всех контроллерах домена. Нельзя установить Active Directory, не имея на компьютере службы DNS, потому что Active Directory использует DNS в качестве службы поиска. Однако можно установить DNS без установки Active Directory.

Для автоматического конфигурирования DNS-сервера надо воспользоваться мастером установки Active Directory: не придется вручную настраивать DNS для поддержки Active Directory, но это не касается тех случаев, когда планируется использовать DNS-сервер без Windows 2000/2003 или требуется создать особую конфигурацию. Чтобы задать конфигурацию, отличную от задаваемой мастером установки по умолчанию, можно вручную сконфигурировать DNS, воспользовавшись консолью DNS.

База данных и общий системный том

При установке Active Directory создается БД и ее журнал, а также общий системный том [ 4 ] .

• БД и ее журнал - это каталог для нового домена. По умолчанию БД и ее журнал располагаются в каталоге %systemroot%\NTDS, где %systemroot% - это каталог Windows. Для повышения производительности рекомендуется размещать БД и журнал на разных жестких дисках.
• Общий системный том - это структура папки, существующая на всех контроллерах доменов Windows. Он хранит сценарии и некоторые объекты групповой политики для текущего домена и предприятия. По умолчанию общий системный том располагается в каталоге %systemroot%\SYSVOL. Общий системный том должен располагаться в разделе или томе, отформатированном под NTFS 5.0.

Репликация общего системного тома идет по тому же расписанию, что и репликация Active Directory, поэтому можно не заметить репликацию файлов вновь созданного общего системного тома, пока не пройдет два цикла репликации (обычно это занимает минут 10). Дело в том, что первый цикл репликации файла обновляет конфигурацию других системных томов, уведомляя их о добавлении нового системного тома.

Режимы домена

Существуют два режима домена - смешанный и основной [ 4 ] .

• Смешанный режим. При первой установке или обновлении контроллера домена до Windows 2000 Server контроллер запускается в смешанном режиме (mixed mode), что позволяет ему взаимодействовать с любыми контроллерами доменов под управлением предыдущих версий Windows NT.
• Основной режим. Если на всех контроллерах домена установлен Windows 2000 Server и не планируется больше добавлять в этот домен контроллеры нижнего уровня, то рекомендуется перевести домен в основной режим (native mode).

При изменении режима со смешанного на основной происходит следующее:

• прекращается поддержка репликации нижнего уровня, после чего в этом домене запрещается иметь контроллеры, не работающие под управлением Windows 2000/2003 Server;
• запрещается добавление новых контроллеров нижнего уровня в данный домен ;
• сервер, исполнявший роль основного контроллера домена, перестает быть таковым, поэтому все контроллеры становятся равноправными.

Изменение режима домена возможно лишь в одном направлении - из смешанного в основной режим, но не наоборот.