Служба каталога NDS

Впервые служба каталога NDS была включена в состав ОС NetWare 4.0, выпущенной в 1993 г. В то время это сокращение означало NetWare Directory Services; сейчас оно расшифровывается как Novell Directory Services. NDS была первой коммерчески успешной иерархической службой каталога. За годы, прошедшие с ее создания, она выросла во вполне конкурентоспособный сетевой продукт.

Иерархическая служба каталога состоит из объектов (objects), об­разующих древовидную структуру, которая напоминает дерево ката­логов (рис. 4.7). Существует два основных типа объектов — контей­неры и листья. Контейнеры (containers) эквивалентны каталогам (пап­кам) файловой системы: они служат вместилищем для других объек­тов. Листья (leaves) представляют сетевые ресурсы — пользователей, группы, компьютеры и приложения. Все объекты состоят из атрибу­тов, которые в NDS называются свойствами (properties). Природа свойств зависит от типа объекта. Например, свойства пользователя могут включать его имя, пароль, номер телефона, адрес электронной почты и другую подобную информацию.

Примечание Основные элементы иерархических служб каталога в Net­Ware и Windows 2000 (например, применение объектов и свойств, кон­тейнеры и листья, древовидная структура) определены стандартом служб каталога Х.500, который разработан Международным телекоммуникационным союзом (International Telecommunications Union, ITU) и Международной организацией по стандартам (International Organization for Standardization, ISO). X.500 не является коммерческим продуктом. Это скорее модель глобального каталога, который за счет стандартиза­ции имен и иерархической древовидной структуры позволял бы пользо­вателям искать людей и объекты.

Типы объектов, которые можно создавать в дереве NDS, и их свой­ства задаются схемой каталога (directory schema). Сетевым приложе­ниям разрешается изменять схему, создавая новые типы объектов или добавляя новые свойства к существующим типам. Это делает службу каталога гибким инструментом для разработчиков приложений. На­пример, сетевая программа резервного копирования может создать новый тип объектов для представления очереди заданий, которая со­держит задания на резервное копирование, ожидающие выполнения.

Развертывание службы каталога заключается в проектировании и создании дерева NDS, т. е. в создании иерархии контейнеров для раз­мещения объектов-листьев. Структура дерева может, например, по­вторять «географию» сети. В таком дереве контейнеры будут представ­лять здания, этажи и комнаты. В дереве, основанном на администра­тивной структуре организации, контейнеры соответствуют подразде­лениям, отделам и рабочим группам. Вы можете комбинировать «гео­графический» и «административный» принципы построения дерева, а также использовать любой другой принцип. Важная часть проектарования дерева состоит в составлении групп пользователей со сход­ными требованиями к сети. Это существенно упрощает процесс ад­министрирования. Как и в файловой системе, разрешения «спуска­ются» вниз по дереву NDS и наследуются объектами на нижних уров­нях. Если Вы разрешили контейнеру доступ к конкретному ресурсу, это разрешение действительно для всех объектов в данном контейнере.

В отличие от регистрационной базы данных NetWare, привязан­ной к конкретному серверу, одна база данных NDS обычно обслужи­вает всю сеть. Входя в систему, пользователь регистрируется не на сервере, а в NDS. Однократная регистрация обеспечивает пользова­телю доступ ко всем ресурсам сети. Это означает, что для каждого пользователя администратору достаточно создать и поддерживать все­го одну учетную запись, а не по одной на каждом сервере, к которому пользователю нужен доступ, как это происходит в регистрационной базе данных NetWare.

Поскольку на NDS опирается вся сеть NetWare целиком, в состав этой службы включены элементы, обеспечивающие ее постоянную доступность. Базу данных NDS можно разделить на разделы (par­titions), хранимые на разных серверах, чтобы облегчить пользователю вход в сеть с ближайшего сервера. Кроме того, для каждого раздела можно создать реплики (replicas) и также хранить их на разных серве­рах. Даже если сервер, полностью или частично содержащий дерево NDS, выйдет из строя, пользователи смогут воспользоваться катало­гом, хранящимся на другом сервере.

Домены Windows NT

Служба каталога Windows NT сложнее регистрационной базы данных NetWare и располагает большими возможностями, но для крупных сетей все-таки не годится. Сеть Windows NT разделяется на домены (domains), которые содержат учетные записи, представляющие пользо­вателей, группы и компьютеры сети. Домен, как и регистрационная база данных, является простым двухмерным списком, но он не при­вязан к конкретному серверу. Каталог домена хранится на серверах, которым при установке ОС отведена роль контроллеров домена.

Внимание! Не путайте домены Windows NT с доменами Интернета, используемыми в DNS. Имена доменов Windows NT состоят из одного слова, тогда как имена доменов DNS состоят, по крайней мере, из двух слов, разделенных точкой (например, microsoft.com).

Сервер может быть главным контроллером домена (Primary Domain Controller, PDC) или резервным контроллером домена (Backup Domain Controller, BDC). В большинстве доменов для вящей надежности со­держится не менее двух контроллеров: один главный, на котором хра­нится каталог домена, и один или несколько резервных, на каждом из которых хранится реплика каталога домена. Когда администратор сети редактирует каталог, добавляя, удаляя или изменяя учетные за­писи, изменения вносятся в файлы на главном контроллере, а он пе­риодически реплицирует базу данных каталога на резервные контрол­леры домена (рис. 4.8), чтобы они также располагали самой свежей информацией о сети. Этот процесс называется репликацией в модели с одним главным контроллером (single master replication).

Примечание Назначить сервер Windows NT контроллером домена можно только во время установки ОС. После этого можно сделать резер­вный контроллер главным или наоборот, но нельзя сделать обычный сер­вер контроллером домена или понизить статус контроллера домена до обычного сервера.

Обычно в больших сетях Windows NT создается несколько доме­нов, которые могут связываться друг с другом. Чтобы обеспечить связь, администраторы создают между доменами доверительные от­ношения (trust relationships). Доверительные отношения работают только в одном направлении. Если домен А доверяет домену В, пользова­тели домена В могут пользоваться ресурсами домена А (при условии, что им это разрешено). Чтобы пользователи домена А получили дос­туп к ресурсам домена В, администратор должен создать доверитель­ное отношение, действующее в этом направлении.

Поскольку создавать доверительные отношения приходится вруч­ную, управление крупной сетью Windows NT с многочисленными доменами превращается в неблагодарную работу. Если пользователю необходим доступ к ресурсам в нескольких доменах, в каждом из этих доменов он должен иметь отдельную учетную запись, так же как пользователи регистрационной базы данных NetWare должны иметь отдельные учетные записи на каждом сервере.