Основные возможности систем Windows Server 2003. Служба Active Directory.
Рассмотрим немного подробнее основные возможности систем семейства Windows Server 2003. Сначала разберем принципиально новые средства, появившиеся впервые в этих системах, а затем перечислим главные возможности, которые существовали и ранее, в предыдущих системах Microsoft – Windows 2000 (серверные службы) и Windows ХР (ядро, средства управления).
Этот краткий обзор имеющихся в Windows Server 2003 средств позволит читателю лучше ориентироваться в материале книги и представить значение того или иного средства для системы в целом. В скобках указаны номера глав, описывающих наиболее важные возможности систем.
Служба Active Directory и Windows Server 2003
В Windows Server 2003 служба Active Directory не претерпела революционных изменений по сравнению с версией, имеющейся в Windows 2000, ее условно можно называть Active Directory 1.1. Контроллеры под управлением Windows 2000 Server и Windows Server 2003 могут сосуществовать в одном домене (и даже вместе с Windows NT 4.0 BDC), однако все новые возможности Active Directory реализуются только тогда, когда все контроллеры доменов в лесе работают под управлением Windows Server 2003.
Перечислим ниже главные особенности Active Directory на базе Windows Server 2003.
- На смену смешанному (mixed) и основному (native) режиму доменов Windows 2000 пришли функциональные уровни (functional levels), которые определяют возможности доменов и леса (глава 18). Например, изменение имени контроллера домена или домена возможно только на функциональном уровне Windows Server 2003.
- Улучшения в административных оснастках для управления доменами (глава 20). Например, включены возможности хранимых запросов и одновременного изменения свойств нескольких объектов каталога, улучшены средства поиска.
- Утилиты командной строки для управления Active Directory (глава 20).
- Установка контроллеров домена из архивной копии (глава 19). Эта возможность позволяет уменьшить количество реплицируемой информации за счет того, что основная часть каталога копируется из архива, а по сети передаются только последние изменения каталога.
- Кэширование информации о членах универсальных (universal) групп. В многодоменных конфигурациях с несколькими сайтами эта функция позволяет уменьшить трафик, возникающий при аутентификации пользователей, или вообще отказаться от желательного присутствия сервера глобального каталога в каждом сайте.
- Разделы приложений (application directory partiotions). Разделы каталога, создаваемые пользователями или приложениями. Имеют свою топологию репликации, при которой контроллеры домена – носители реплики некоторого раздела каталога – определяются выборочно администратором; на других контроллерах этот раздел будет отсутствовать.
- Объектный класс InetOrgPerson может использоваться для переноса информации из других LDAP-совместимых каталогов. Этот класс является субъектом безопасности, и ему можно назначать права и разрешения.
- Возможность переименования (изменения DNS- и NetBIOS-имен) контроллеров домена и доменов. При этом нельзя только переопределить корневой домен леса, т. е. передать его функции другому домену в лесе.
- Установление доверительных транзитивных отношений между лесами, при которых пользователи одного домена могут аутентифицироваться для доступа ко всем или некоторым ресурсам другого леса.
- Улучшения механизма репликации Active Directory. В частности, значительно уменьшен трафик, возникающий при изменении членства в группе (поскольку реплицируется не весь атрибут members, а только измененный элемент) и при репликации данных Глобального каталога.
- Динамические объекты, которые имеют установленный срок жизни. Если приложение не обращается к таким объектам в течение заданного интервала времени, то объекты автоматически удаляются из каталога.