Оглавление
Так что же в ней нового, или Вместо вступления........... IX
Чего больше не стоит ждать ........................................................ Х
К чему надо готовиться ............................................................ Х
Служба каталогов Active Directory ...................................................... XI
Улучшенная система безопасности ..................................................... XII
Расширенная сетевая поддержка ..................................................... XIII
Новые возможности хранения и защиты данных и функции совместимости с Windows 95 ... XV
Улучшенная поддержка печати ......................................................... XV
Поддержка самых последних разработок в области компьютерной техники ............... XVII
Новые инструменты и средства администрирования .................................... XVII
Встроенная интеграция сервера с Интернетом .......................................... XX
Упрощенный доступ в Интернат ........................................................ XX
Интеграция системы с Web ........................................................... XXI
Усовершенствованный рабочий стол .................................................. XXII
Новые способы взаимодействия ...................................................... XXII
Новые мощные средства поиска ..................................................... XXIII
О структуре книги и принятых соглашениях ....................................... XXIII
ГЛАВА 1
Служба каталогов Active Directory......................... 1
Служба каталогов NTDS ............................................................ 1
Что такое Active Directory ........................................................... 2
Базовые термины и концепции ......................................................... 4
Сфера влияния ................................................................. 4
Пространство имен ............................................................. 4
Объект ........................................................................ 4
Контейнер ..................................................................... 4
Дерево ........................................................................ 5
Имя ........................................................................... 5
Контексты имен и разделы ...................................................... 6
Домены........................................................................ 6
Дерево доменов................................................................ 6
Лес............................................................................ 7
Узлы .......................................................................... 8
Схема ......................................................................... 8
Модель данных................................................................. 8
Глобальный каталог ............................................................. 9
Архитектура Active Directory ..................................................... 9
Использование схемы ................................................................. 11
Система именований.............................................................. 12
Поддержка DNS ...................................................................... 13
Поддержка имен стандартных форматов................................................ 14
Смежные и раздельные пространства имен ............................................. 15
Тиражирование Active Directory..................................................... 16
Узлы и домены ................................................................... 17
Деревья и леса ................................................................... 18
Управление деревом и лесом .......................................................... 19
Доступ к Active Directory ........................................................... 21
Управление узлами ................................................................... 21
Управление службой каталогов ........................................................ 22
Поиск в каталоге ..................................................................... 27
Схема: классы, атрибуты и их модификация ........................................ 29
Добавление нового класса ............................................................ 31
Модификация классов ................................................................ 31
Добавление нового атрибута .......................................................... 34
Модификация атрибутов .............................................................. 35
Получение действительных идентификаторов объектов (OID) ............................. 35
Заключение ...................................................................... 36
ГЛАВА 2
Система безопасности ................................ 37
Базовые сведения о шифровании .................................................. 40
Симметричное шифрование ........................................................... 40
Асимметричное шифрование .......................................................... 41
Цифровые подписи ................................................................... 42
Сертификаты ......................................................................... 42
Протокол аутентификации Kerberos ................................................ 44
Аутентификация NTLM ................................................................ 45
Основы Kerberos...................................................................... 47
Интеграция Kerberos .................................................................. 48
Взаимодействие Kerberos ............................................................. 49
Поддержка Kerberos открытых ключей .................................................. 50
Сервер сертификатов Microsoft Certificate Server .................................... 50
Клиент и входной модуль.............................................................. 51
Модуль очередей и правил ............................................................ 52
Создание сертификата и регистрация в журнале ........................................ 52
Выходной модуль ..................................................................... 52
Административные инструменты ....................................................... 52
Безопасность и Active Directory .................................................... 53
Доверительные отношения между доменами ............................................ 55
Делегирование административных полномочий ......................................... 56
Детальное назначение прав доступа ................................................... 57
Наследование прав доступа ........................................................... 58
Элементы безопасности системы .................................................. 58
Учетные записи пользователей и групп ................................................. 58
Домены Windows NT .................................................................. 66
Локальная политика безопасности ..................................................... 71
Доменная политика ................................................................... 75
Редактор конфигураций безопасности .............................................. 78
Функции редактора конфигураций безопасности ........................................ 79
Графическая версия редактора ................................................. 80
Версия редактора для командной строки ........................................ 81
Конфигурирование безопасности ...................................................... 82
Политика безопасности ........................................................ 82
Управление правами и привилегиями пользователей ............................. 83
Управление группами с ограниченными правами ................................. 84
Управление доступом к реестру ................................................ 84
Разграничение доступа к файлам ............................................... 85
Применение шаблона к системе ................................................ 86
Анализ установок безопасности системы ............................................... 86
Анализ политики безопасности ................................................. 87
Анализ привилегий пользователей .............................................. 87
Анализ доступа к реестру ...................................................... 88
Заключение ...................................................................... 89
ГЛАВА 3
Планирование системы................................ 91
Планирование архитектуры DNS ................................................... 92
Планирование количества и типов серверов имен ....................................... 94
Интеграция DNS со службой каталогов ................................................. 95
Планирование структуры узлов .................................................... 97
Пример планирования структуры организации ........................................ 100
Переход с предыдущей версии Windows NT ........................................ 102
Если у Вас только один домен ....................................................... 103
Обновление первичного контроллера домена .................................. 104
Присоединение к дереву ..................................................... 105
Обновление резервного контроллера домена .................................. 107
Завершение миграции ....................................................... 108
Обеспечение безопасной миграции ........................................... 110
Политика безопасности ...................................................... 111
Если у Вас несколько доменов ....................................................... 112
Модель с одним доменом .................................................... 113
Модель с одним мастер-доменом............................................. 113
Модель с несколькими мастер-доменами...................................... 114
Модель полностью доверительных отношений ................................. 115
Перенос доменов второго яруса в мастер-домен ...................................... 115
Определение способа предоставления доступа ................................ 116
Установка операционной системы ................................................. 121
Если Вы устанавливаете рабочую станцию ............................................ 122
Программа Winnt32.exe ...................................................... 123
Программа Winnt.exe......................................................... 125
Если Вы устанавливаете сервер ..................................................... 126
Перед установкой контроллера домена ........................................ 126
Заключение ..................................................................... 129
ГЛАВА 4
Файловые системы Windows NT ....................... 131
Файловая система FAT ........................................................... 132
Файловая система FAT32 ......................................................... 134
Файловая система NTFS.......................................................... 135
Главная файловая таблица ........................................................... 135
Целостность данных и восстановление в NTFS ........................................ 136
Длинные и короткие имена файлов .................................................. 137
Компрессия файлов и каталогов ..................................................... 138
Создание и модификация разделов диска ............................................ 139
Преобразование существующего раздела в формат NTFS....................... 142
Обновление раздела NTFS ................................................... 142
Распределенная файловая система .................................................. 143
Преимущества DFS .......................................................... 144
Технический обзор распределенной файловой системы ........................ 145
Работа с DFS................................................................ 151
Переходы NTFS..................................................................... 153
Организация переходов NTFS в Windows NT 5.0 первой бета-версии............. 154
Файловая система с шифрованием .................................................. 156
Архитектура EFS............................................................. 158
Работа с EFS ................................................................ 162
Динамическое отслеживание ярлыков ................................................ 166
Квотирование дискового пространства ............................................ 167
Права на доступ к файлам и каталогам. Понятие владельца ......................... 170
Предоставление и запрещение доступа к файлам ..................................... 171
Предоставление прав на доступ к каталогам .......................................... 174
Владение каталогами и файлами..................................................... 176
Заключение ..................................................................... 177
ГЛАВА 5
Обеспечение бесперебойной работы ................... 179
Средства повышения надежности работы с диском ................................. 180
Проверка состояния жесткого диска ................................................. 181
Технология RAID (избыточный массив недорогих дисков) .............................. 182
Чередование дисков ......................................................... 182
Зеркализация и дублирование дисков ......................................... 183
Чередование дисков с записью кода коррекции ................................ 184
Чередование дисков с записью кода коррекции в виде четности ................ 184
Чередование дисков большими блоками. Хранение четности на одном диске .... 184
Чередование дисков с записью информации о четности на все диски ........... 185
Базовые и динамические дисковые тома ............................................. 186
Замена секторов в «горячем режиме» ................................................ 187
Исправление ошибок ............................................................... 187
Резервное копирование .......................................................... 188
Программа Windows NT Backup ...................................................... 188
Интерфейс программы....................................................... 189
Параметры резервного копирования (восстановления) ......................... 191
Выполнение резервного копирования ......................................... 195
Планирование резервного копирования ....................................... 196
Поддержка источников бесперебойного питания ................................... 198
Кластеры серверов .............................................................. 199
Традиционная архитектура предоставления высокой доступности ....................... 200
Традиционная архитектура обеспечения наращиваемости .............................. 201
Архитектура кластера ............................................................... 201
Модель с общими дисками ................................................... 201
Модель без общих компонентов .............................................. 202
Серверы кластерных приложений .................................................... 202
Модели кластеров Windows NT....................................................... 203
Модель 1: высокая доступность и статическая балансировка нагрузки ........... 203
Модель 2: «горячий резерв» и максимальная доступность......................... 205
Модель 3: частичная кластеризация........................................... 205
Модель 4: только виртуальный сервер (без переключения) ..................... 206
Модель 5: гибридное решение ............................................... 207
Установка Microsoft Cluster Server .................................................... 208
Прежде чем начать .......................................................... 208
Процедура установки ........................................................ 211
Администрирование кластера........................................................ 212
Создание новой группы ресурсов ............................................. 213
Создание нового ресурса .................................................... 213
Определение взаимозависимости ресурсов ................................... 214
Определение свойств ресурса ................................................ 215
Редактирование свойств ресурсов ............................................ 215
Проверка работоспособности................................................. 216
Заключение ..................................................................... 216
ГЛАВА 6
Управление системой ................................ 217
Нулевое администрирование ..................................................... 218
Автоматическое обновление системы и установка приложений ......................... 218
Централизованное администрирование и блокировка системы ......................... 219
Кэширование данных и конфигурации ................................................ 220
Гибкость при разработке приложений ................................................ 221
Microsoft Management Console .................................................... 223
Что такое ММС ..................................................................... 224
Архитектура ММС................................................................... 226
Слепки............................................................................. 228
Работа с ММС ...................................................................... 230
Средства управления компьютером ............................................... 232
Управление системными сервисами .................................................. 233
Управление дисковыми ресурсами ................................................... 236
Просмотр журнала событий ......................................................... 237
Просмотр устройств системы и их ресурсов .......................................... 238
Управление системами хранения..................................................... 240
Системный монитор ................................................................ 241
Управление питанием компьютера ................................................... 243
Управление групповой политикой ................................................. 245
Планирование задач ............................................................. 246
Программа Task Scheduler........................................................... 247
Команда AT ........................................................................ 249
Исполнение сценариев ........................................................... 250
WSCRIPT ........................................................................... 250
CSCRIPT ........................................................................... 251
Примеры сценариев ................................................................ 252
Сценарий 1: Hello ........................................................... 252
Сценарий 2: системные параметры ........................................... 253
Дополнительные примеры.................................................... 254
Заключение ..................................................................... 254
ГЛАВА 7
Интерфейс с пользователем .......................... 255
Рабочий стол Active Desktop ...................................................... 255
Полная настраиваемость ............................................................ 256
Web-o вещание ..................................................................... 258
Стартовая площадка Quick Launch ................................................... 258
Панели инструментов ............................................................... 259
Папки и настройка их внешнего вида .............................................. 260
Поддержка русского языка ....................................................... 264
Поддержка стандартов .............................................................. 264
Обеспечение ввода и чтения текстов в стандартных кодировках ........................ 265
Кириллические шрифты ...................................................... 266
Раскладки клавиатуры ....................................................... 266
Переключение между раскладками ............................................ 267
Системные конверторы ...................................................... 268
Использование русских имен файлов................................................. 269
Active Directory и русские имена объектов ............................................ 270
Поддержка русских имен компьютеров и доменов ..................................... 270
Интернет и русский язык ............................................................. 271
Поддержка пользователей с ослабленным зрением................................. 273
Microsoft Magnifier — «увеличительное стекло» ........................................ 274
Говорящий экран ................................................................... 274
Заключение ..................................................................... 275
ГЛАВА 8
Маршрутизация и удаленный доступ ................... 277
Возможности маршрутизации..................................................... 278
Протоколы маршрутизации IP........................................................ 278
Routing Information Protocol................................................... 279
Протокол маршрутизации Open Shortest Path First (OSPF)....................... 281
Протоколы маршрутизации IPX. ...................................................... 284
Routing Information Protocol for IPX ............................................ 284
Service Advertising Protocol (SAP)............................................... 284
Возможности удаленного доступа ................................................. 284
Point-to-Point Tunelling Protocol (PPTP)................................................ 285
Принудительные и произвольные туннели ..................................... 286
Статические и динамические принудительные туннели ......................... 288
Протокол Remote Authentication Dial In User Service (RADIUS) ........................... 288
Повышение пропускной способности канала .......................................... 290
Использование сетей Х.25 ........................................................... 291
Установка и настройка компонентов RRAS ......................................... 292
Установка клиентской части удаленного доступа ...................................... 292
Определение типа сервера удаленного доступа ................................ 293
Выбор устройства связи ..................................................... 295
Редактирование адресной книги .............................................. 296
Возобновление связи ........................................................ 297
Информация об удаленном доступе .................................................. 297
Обратная связь.............................................................. 298
Установка сервера удаленного доступа ............................................... 299
Параметры безопасности .................................................... 299
Определение параметров TCP/IP ............................................. 301
Настройка параметров PPTP ................................................. 301
Установка маршрутизатора .......................................................... 302
Управление маршрутизацией и удаленным доступом ................................. 304
Административные задачи........................................................... 304
Настройка общих параметров маршрутизации по IP ............................ 304
Конфигурирование фильтров ................................................. 305
Просмотр и модификация таблицы статических маршрутов ..................... 306
Просмотр информации об интерфейсе ........................................ 307
Добавление протокола маршрутизации RIP для IP .............................. 308
Добавление интерфейса дозвона по требованию............................... 309
Управление серверами удаленного доступа.................................... 312
Конфигурирование маршрутизируемых сетей ...................................... 313
Маршрутизируемая сеть в небольшом офисе ......................................... 313
Маршрутизируемая сеть в офисе среднего размера ................................... 315
Корпоративная сеть................................................................. 317
Сеть подразделения (филиала) ...................................................... 320
Домашняя сеть ..................................................................... 321
Заключение ..................................................................... 322
ПРИЛОЖЕНИЕ А
Атрибуты и классы схемы Active Directory .......................................... 321
ПРИЛОЖЕНИЕ Б
Атрибуты объекта класса Class-Schema............................................ 331
ПРИЛОЖЕНИЕ В
Атрибуты объекта класса Attribute Schema ......................................... 333
Так что же
в ней нового, или
Вместо вступления
Выпуск каждой новой операционной системы с нетерпением ожидают
тысячи пользователей. Задолго до появления общедоступных бета-вер-
сий в телеконференциях в Интернете, в ФИДО и везде, где только воз-
можно, начинается обсуждение новых свойств ожидаемой системы,
разгораются жаркие споры о ее достоинствах и недостатках, с негодо-
ванием обсуждаются ошибки, замеченные в том нечто, что было пере-
писано с узла Интернета или куплено на «Горбушке». Не избежала этой
участи и операционная система Windows NT 5.0. Более года назад на
черном рынке появились компакт-диски с гордой надписью «Cairo».
Самые отчаянные покупали их, пытались ставить на свои компьютеры,
но на этом все заканчивалось. Войти в систему не удавалось, что по-
рождало массу слухов, в том числе и в компьютерной прессе.
И вот теперь, когда уже доступна первая официальная бета-версия этой
системы, я решил описать все то новое, что следует ожидать от нее.
Конечно, можно просто опубликовать в журнале статью с кратким пе-
речнем особенностей новой версии. Но опыт подсказывает, что наши
пользователи все равно найдут копию системы, станут ее «пытать», ис-
кать что-то, о чем прочитали или услышали. А когда в силу присущей
бета-версиям неочевидности некоторых возможностей, не найдут того,
что искали, разочаруются, и что хуже всего, постараются разочаровать
тех, кому пока не довелось «пощупать» систему собственноручно. По-
этому в книге достаточно подробно описаны не только новые функ-
ции или приложения, но и то, как с ними работать.
Прежде чем приступить к повествованию, хотелось бы вскользь упомя-
нуть о том,
Чего больше не стоит ждать
Ну, во-первых, больше Вы никогда не услышите про проект Cairo (Каир).
Под этим названием никогда не скрывалась какая-то определенная
операционная система. Это просто проект новых технологий, о кото-
рых мечтали разработчики. Многие из этих технологий требовали для
своего воплощения ресурсов, казавшихся чрезмерными еще пару лет
назад. Однако шло время, компьютерная техника развивалась, и идеи,
некогда разрабатывавшиеся в рамках проекта Cairo, реализовывались в
новых версиях Windows NT, дополнениях к ней или даже в серверных
продуктах BackOffice. В Windows NT 5.0 появится практически все из
того, что осталось нереализованным в Cairo, за исключением ряда фун-
кций, надобность в которых уже утрачена.
К таким функциям относится OFS — объектная файловая система, о
которой много писали еще год назад. Эту аббревиатуру придется за-
быть, потому что вместо нее реализованы более прогрессивные реше-
ния, отвечающие требованиям постоянно развивающегося компьютер-
ного мира и его более тесной интеграции с Интернетом. Полагаю, что,
прочитав книгу, Вы согласитесь со мной.
Ну а теперь для тех, у кого нет времени или кому просто лень читать
всю книгу, я кратко перечислю то,
К чему надо готовиться
Как и предыдущие версии, Windows NT 5.0 имеет две разновидности —
рабочую станцию и сервер. В Windows NT Workstation появятся:
• более простой доступ в Интернет;
• интеграция с Web;
• усовершенствованная поверхность рабочего стола;
• новые способы взаимодействия;
• мощные средства поиска;
• новые инструменты;
• новые функции хранения информации, защиты и совместимости с
Windows 9x;
• улучшенная поддержка печати;
• поддержка самых последних разработок в области компьютерной
техники.
Дополнительно к перечисленным возможностям Windows NT Server
содержит:
• службу каталогов Active Directory;
• расширенную сетевую поддержку;
• встроенную интеграцию с Интернетом;
• значительные изменения в системе безопасности;
• новые средства администрирования;
• новые возможности работы с системами хранения информации.
Ну и, конечно же, изменения коснулись интерфейса с пользователем.
Далее, хочу немного подробнее остановиться на перечисленных ново-
введениях.
Служба каталогов Active Directory
Пожалуй, наиболее ярким и давно ожидаемым новшеством в Windows
NT Server 5.0 стала новая служба каталогов, пришедшая на смену NTDS.
Возможности последней до сих пор сдерживали распространение Win-
dows NT в крупных корпоративных сетях.
Служба каталогов Active Directory позволяет хранить информацию обо
всех объектах сети в виде иерархичной структуры и предоставляет
администраторам быстрый поиск и доступ к ней. Active Directory обес-
печивает:
• однократную регистрацию в сети;
• единую точку администрирования всех объектов в сети;
• выполнение запросов по любому атрибуту любого объекта;
• тиражируемость, разделяемость, иерархичность и расширяемость
каталогов.
Средство миграции каталогов Microsoft Directory Service Migration Tool
позволяет обнаруживать ресурсы Netware, моделировать их в режиме
«оф-лайн», а затем перемещать в Active Directory. К возможностям этой
программы относятся:
• обнаружение всех свойств пользователей и групп как в байндери, так
и в NDS;
• рудиментарная миграция файлов;
• экспорт в Active Directory.
Улучшенная система безопасности
Система безопасности Windows NT долгое время оставалась бастионом,
в незыблемости которого мало кто сомневался. Однако появление но-
вых суперкомпьютеров, способных взламывать существующие системы
защиты за достаточно малое время, а также необходимость приведе-
ния системы безопасности Windows NT в соответствие с требования-
ми крупных корпоративных сетей привели к модернизации механиз-
мов защиты Windows NT.
Так, в частности, основным протоколом аутентификации стал прото-
кол Kerberos. Распределенная система безопасности является объ-
единением системы безопасности Windows NT и службы каталогов
Active Directory. Новая система позволяет применять в доменах поли-
тику безопасности и управлять учетными записями, а также избиратель-
но делегировать полномочия администрирования.
Сочетание транзитивных доверительных отношений между доменами
и надежной аутентификации позволяет обеспечить однократную реги-
страцию пользователя в сети. Учетные записи могут иметь несколько
мандатов безопасности. Для аутентификации наряду с протоколом Кег-
beros v5 используется механизм общих ключей через каналы SSL/TSL.
Инструмент управления и анализа настроек защиты в Windows NT —
редактор конфигурации безопасности. Он позволяет установить
различные параметры в реестре, а также сравнить текущую конфигу-
рацию с некоторой эталонной.
Расширенная сетевая поддержка
Значительным изменениям подверглась сетевая поддержка. Теперь Win-
dows NT в еще большей степени приспособлена для работы в крупных
сетях. Среди новых или значительно переработанных функций можно
упомянуть распределенную файловую систему, динамический DNS,
многопротокольную маршрутизацию, управление пропускной способ-
ностью и функции защиты по протоколу IP.
Распределенная файловая система DFS позволяет представить раз-
розненные сетевые ресурсы в виде единого дерева, независимо от их
физического расположения в сети. Пользователи получают прозрач-
ный доступ к ресурсам, не заботясь об их истинном местонахождении.
Дополнительно к возможностям, предоставляемым DFS текущей вер-
сии, новая версия позволит:
• создавать отказоустойчивые корни DFS;
• использовать имена DNS;
• интегрироваться со службой каталога Active Directory;
• создавать вложенные точки переходов.
Сервер DNS, включенный в Windows NT 5.0, обеспечивает динамичес-
кие функции, полностью соответствующие стандартам для DNS. Дина-
мический DNS позволяет автоматически распространять все изменения
в записях DNS на серверы DNS, связанные с тем, на котором сделано
изменение. При этом отпадает необходимость в ручном тиражирова-
нии изменений, что значительно сокращает затраты на тиражирование.
Помимо этого, Microsoft DNS позволяет пропускать через DNS обнов-
ления других сетевых сервисов как, например, Active Directory, DHCP
(Dynamic Host Configuration Protocol) и WINS (Windows Internet Name
Service), что обеспечивает надежность регистрации и обнаружения
именованных ресурсов в сети.
Microsoft IP Security Management управляет безопасностью комму-
никаций. Важные данные, посылаемые по сети, защищаются от неав-
торизованного доступа. Сразу же после применения защиты IP в сети
предприятия, взаимодействие совершенно прозрачно становится защи-
щенным. При этом обучение пользователей не требуется.
Управляя пропускной способностью сети, можно эффективно
ограничивать приложения и не позволять им развивать в подсети тра-
фик, превышающий ее возможности. Приложения, в которых реализо-
ваны стандарты качества обслуживания QoS (Quality of Service), могут
резервировать для себя полосу пропускания и устанавливать приори-
теты передачи данных.
В Windows NT 5.0 входит сервис Routing and Remote Access, вышед-
ший как дополнение к предыдущей версии. Он позволяет организовать
маршрутизацию как в локальных, так и в глобальных сетях IP и IPX.
Поддерживаемые интеллектуальные протоколы маршрутизации позво-
ляют во многих случаях отказаться от установки специализированных
маршрутизаторов и, тем самым, сэкономить значительные суммы.
Новые возможности хранения и защиты данных
и функции совместимости с Windows 95
Сильно влияют на облик новой системы изменения в работе с дисками
и другими устройствами хранения, новые механизмы обеспечения за-
щиты данных. Кроме того, новая файловая система FAT32 ликви-
дирует «провал» в совместимости с Windows 95, образовавшийся после
выпуска Windows 95 OSR2. Эта файловая система эффективна на раз-
делах диска, объем которых превышает 2 Гб.
Те, кто пытался вместо Windows 95 поставить Windows NT 4.0, знают,
что ни к чему хорошему это не приводило. Теперь можно выполнять
такое обновление с сохранением всех установленных приложений и
их настроек.
Новая программа резервного копирования обрела не только но-
вый интерфейс, но и стала гораздо полнее функционально. Системный
планировщик позволяет выполнять копирование в заранее заданное
время или с указанными интервалами. Поддерживаются не только маг-
нитные ленты, но и другие носители, такие, как дискеты или магнито-
оптические диски.
Новая версия файловой системы NTFS обладает не только повы-
шенной производительностью, но и рядом новых функций: квотиро-
ванием дискового пространства, шифрованием файлов и каталогов,
отслеживанием распределенных связей, возможностью изменения объ-
ема дискового тома без перезагрузки.
В Windows NT 5.0 встроена поддержка универсального дискового
формата UDF (Universal Disk Format). Это новая файловая система,
предназначенная для обмена данными на DVD и CD-носителях.
Файловая система с шифрованием позволяет прозрачно для поль-
зователей и приложений выполнять шифрование данных на диске при
помощи технологии общих ключей.
Давно ожидавшаяся функция квотирования дискового простран-
ства, позволит ограничить использование разделов диска отдельными
пользователями. Теперь администраторы вздохнут свободнее: им боль-
ше не придется ни увещевать нерадивых, ни применять карательные
санкции — система сама проследит за использованием диска.
Как Windows NT Workstation, так и Windows NT Server имеют встроен-
ное средство дефрагментации жестких дисков, отформатированных
в FAT, FAT32 или NTFS.
Улучшенная поддержка печати
Работа с принтерами в Windows NT всегда была удобной. Но влияние
Интернета и интрасетей сказалось и на этой функциональной возмож-
ности операционной системы.
Теперь клиент может печатать ыа принтере, подключенном либо к
корпоративной интрасети, либо через Интернет. При этом допустимо:
• печатать непосредственно на URL сетевого принтера (как на клиен-
те, так и на сервере должна быть установлена Windows NT 5.0);
• просматривать состояние принтера и управлять очередями по про-
токолу HTTP;
• устанавливать HTTP-принтеры путем простого указания на них:
• устанавливать драйверы принтеров из URL.
Новая программа-мастер добавления принтеров, программа про-
смотра очередей на печать и принтеров средствами Web, а также воз-
можность просмотра свойств принтеров в Active Directory весьма уп-
рощают обслуживание принтеров и работу с ними.
Информация о принтерах, подобно информации обо всех остальных
объектах системы, хранится в каталоге Active Directory, что позволяет
выполнять в нем поиск доступных принтеров и значительно облегчает
пользователям задачу выбора наиболее удобного для них принтера.
Новый интерфейс Image Control Management API 2.0 позволяет
гораздо быстрее посылать высококачественные цветные документы на
принтер или на другой компьютер.
Поддержка самых последних разработок в области
компьютерной техники
Компьютерная техника неуклонно прогрессирует. Практически еже-
дневно можно прочитать или услышать о новом устройстве или новой
технологии, которые могут значительно упростить жизнь пользователя,
увеличить производительность или снизить стоимость управления. Win-
dows NT всегда была операционной системой, где воплощались самые
смелые и передовые идеи. И в новой версии в них нет недостатка.
В Windows NT 5.0 теперь поддерживается технология Plug and Play.
Установка новых устройств упростилась. Кроме того, много полезного
для себя обнаружат владельцы портативных компьютеров.
При подключении устройства к порту USB (Universal Serial Bus), Win-
dows NT автоматически распознает новое устройство и устанавливает
требуемое программное обеспечение без последующей перезагрузки.
Модель драйверов Win32 разработана для обеспечения общей архи-
тектуры ввода-вывода и совместимости на уровне кода драйверов Win-
dows NT и Windows.
В Windows NT 5.0 встроена полная поддержка DirectX 5.0, что обеспе-
чивает максимальную производительность для приложений Direct3D и
DirectSound. Кроме того, поддерживаются множество других полезных
функций, среди которых USB-аудио, USB-джойстики и DVD (хранение
данных и воспроизведение видео). Последняя функция позволяет хра-
нить на диске до 17 Гб данных.
Поддержка 120 (технологии интеллектуального ввода-вывода) вклю-
чает поддержку специализированных плат, сетевых адаптеров и плат
RAID. Волоконный канал принадлежит к технологии одногигабайт-
ной передачи данных, позволяющей слить воедино сети и высокоско-
ростные каналы ввода-вывода. Смарт-карты обеспечивают высокий
уровень безопасности входа в систему. Эта функция важна в таких об-
ластях, как торговля, интерактивное банковское обслуживание и т. п.
Среди других поддерживаемых технологий стоит, наверное, упомянуть
о поддержке 64-разрядной памяти для систем на базе процессора
Alpha.
Новые инструменты и средства администрирования
Могла ли новая система обойтись без новых средств администрирова-
ния, настройки и управления? Конечно же, нет. Ведь требования уни-
фицировать административные инструменты, сделать их более гибки-
ми раздавались уже давно. Кроме того, теперь требуется управлять ря-
дом новых функций, которые предоставляют современные компьютеры.
Для перечисления всего нового инструментария не хватило бы введе-
ния, поэтому упомяну лишь о некоторых утилитах.
Консоль управления Windows NT MMC (Microsoft Management Con-
sole) — сетевой серверный компонент, предоставляющий единую сре-
ду для всех административных программ. Она является как бы стерж-
нем, на который «нанизываются» все программы администрирования.
В окнах MMC загружаются управляющие программы, называемые слеп-
ками, каждая из которых выполняет определенную административную
роль. Слепки организованы в виде древовидной структуры, и все вмес-
те образуют полный комплект административных инструментов. Одно-
временно администратор может загрузить несколько необходимых ему
слепков и управлять системой из одной консоли, что избавляет его от
загрузки разных программ и постоянного переключения между ними.
В консоль может быть встроена страница Web с информацией или
файлами, необходимыми для управления сетью.
Новая утилита OnNow позволяет вводить компьютер в состояние
гибернации. Если Вы долго не работаете с включенным компьютером,
то программа OnNow как бы выключает его. Внешне компьютер не
подает никаких «признаков жизни», но стоит Вам к нему прикоснуться,
как он моментально «оживет». Эта функция уменьшает износ жесткого
диска и шум.
В систему включены три инструмента, облегчающие работу с ком-
пьютером слабо видящим. Программа-мастер позволяет установить
и сконфигурировать программу увеличения части изображения на эк-
ране, а также программу озвучивания экрана. Последняя проговарива-
ет вслух содержимое каждого окна.
Windows Scripting Host — независимый от языка хост исполнения
сценариев. В поставку входят механизмы работы с VBScript и с Jscript.
Сценарии можно исполнять не только в документе HTML, но и в коман-
дной строке.
В предыдущих версиях Windows NT язык сценариев отсутствовал, при-
ходилось использовать продукты третьих фирм. Теперь поддержка
ActiveX в сценариях позволяет исполнять в системе практически лю-
бые задания.
Планировщик Task Scheduler пришел на смену команде AT из пре-
дыдущих версий. Он обладает графическим интерфейсом и по внеш-
нему виду идентичен планировщику, входящему в Windows 95. Функ-
ционально новый планировщик расширен за счет защиты.
Computer Management — это слепок для консоли управления, пре-
доставляющий администраторам мощное средство настройки компь-
ютера. Он может быть использован для конфигурирования любого
компьютера в сети, как на локальном компьютере, так и удаленно.
Этот инструмент не только содержит массу полезных средств управле-
ния и настройки, но и позволяет динамически обнаруживать сервисы
и приложения, которыми может управлять.
Для создания совместно используемых сетевых ресурсов и управления
сеансами применяется File Service Management. Этот новый инст-
румент — также слепок для консоли управления — пришел на смену
утилите, входившей в Control Panel, Он позволяет создавать и отслежи-
вать использование сетевых ресурсов на компьютерах в локальной
сети, и, кроме того, взаимодействовать с сервисами файлов и печати
для Macintosh и Netware.
Администрирование удаленных компьютеров выполняется теперь про-
граммой System Service Management. С помощью этого инструмен-
та можно запускать, останавливать и приостанавливать сервисы H.I
локальном и удаленном компьютерах. Он также заменил утилиту, вхо-
дившую ранее в Control Panel. Кроме того, этот инструмент обеспечи-
вает новые функции восстановления, которые в случае сбоя в работе
сервиса позволят рестартовать его, запустить исполняемую программу
или даже перезагрузить сервер.
Конфигурирование ресурсов осуществляется теперь с помощью Device
Manager. Этот инструмент также — слепок для консоли управления. Он
позволяет управлять устройствами и ресурсами, выделяемыми под них
Настройка аппаратуры выполняется программой Hardware Wizard.
Это новое средство позволяет автоматически находить и конфигури-
ровать устройства, подключенные к компьютеру, а также выполнять
восстановление, обновление и настройку подключенных устройств.
Технология Microsoft Installer дает возможность на основе транзак-
ций управлять процессом установки приложений.
Правила, применяемые к пользователям и компьютерам, сценарии,
пользовательский интерфейс приложений, — управлять всем этим по-
могает слепок ММС GPE (Group Policy Editor), отвечающий за пра-
вила, установленные в данном узле, домене или организационной еди-
нице. GPE служит также опорной точкой для приложений сторонних
фирм при создании специфичных для них административных слепков.
Встроенная интеграция сервера с Интернетом
US (Internet Information Server) стал составной частью Windows NT Ser-
ver, начиная с четвертой версии этой ОС, а в рабочую станцию входи-
ла его облегченная редакция — Personal Web services.
US 4.0 является встроенным в Windows NT 5.0 сервером. Он обладает
многими новыми функциональными возможностями, среди которых
создание нескольких Web-узлов, новые средства администрирования,
работа в режиме сервера новостей.
Еще одной особенностью стали определяемые пользователем специ-
альные группы Интернета, где можно размещать различные ресурсы,
например, принтеры, с целью упрощенного обращения к ним и про-
смотра.
Упрощенный доступ в Интернет
В Windows NT 5.0 для Вас есть все необходимое, чтобы подключиться
к Интернету и «попутешествовать» по нему.
Программа-мастер подключения к Интернету (Internet Connec-
tion Wizard) проведет Вас через все стадии подключения, начиная от
выбора поставщика услуг и заканчивая установкой и конфигурирова-
нием программного обеспечения. И все это Вы сможете проделать в
считанные минуты.
Неотъемлемая часть операционной системы — Internet Explorer 4.0.
Он позволяет испробовать самые передовые технологии World Wide
Web такие, как ActiveX и интерактивные страницы.
Попасть в Интернет можно из любого окна Windows NT 5.0, даже из
панели задач. Все что требуется — ввести в поле адреса нужный адрес.
Вы можете настроить внешний вид рабочего стола и папок на нем так,
как посчитаете необходимым. В качестве фона можно использовать
либо страницу Web, элемент ActiveX, либо любой документ HTML. Имен-
но поэтому поверхность стола получила название Active Desktop.
Active Desktop — это настраиваемый «приборный щиток» системы.
Оттуда можно запускать приложения, переключаться между докумен-
тами, а также получать информацию о том, что творится в Интернете
или Вашей локальной интрасети.
На рабочем столе можно разместить не только значки приложений,
папок, дисков или компьютеров, но и динамические страницы Web.
Регулярное обновление этих страниц позволит отображать на рабочей
поверхности актуальную информацию.
Организуя подписку на тот или иной Web-узел, Вы можете указать
интервалы времени, когда Internet Explorer будет подключаться к выб-
ранному узлу и проверять, не обновилась ли информация на нем. До-
полнительно, Web-страницы могут загружаться на Ваш компьютер в
автоматическом режиме. Всякий раз при обновлении Ваших любимых
страниц на сервере, они будут обновляться и у Вас на компьютере,
Один щелчок мышью — и Вы отключаетесь от Интернета, сохранив
интересующую Вас страницу на компьютере. Ее можно читать, не бу-
дучи подключенным к поставщику услуг, что позволит сократить Ваши
затраты.
Интеграция системы с Web
Так как Internet Explorer интегрирован с системой, работа с ней ста-
новится столь же простой и очевидной, как и просмотр ресурсов Ин-
тернета.
Вспомните две замечательные кнопки на панели инструментов каждой
программы просмотра — Вперед и Назад7 Как они удобны для про-
смотра Web-страниц! Теперь такие кнопки есть и в Windows NT Explorer,
что позволяет просматривать точно так же содержимое каталогов, до-
кументов и Web-узлов.
Вас всегда раздражала необходимость двойного щелчка мышью для
запуска приложения или открытия папки? Теперь Вы сможете это сде-
лать однократным щелчком, точно так же, как при перемещении по
узлам Интернета. При этом подключаться к Интернету не надо.
В качестве подложки каждого окна можно использовать Web-
страницу или документ HTML, что открывает огромные возможности
повышения функциональности окон. Так, например, работая с колле-
гами, можно использовать общую страницу Web в качестве фона. На
нем удобно разместить документы, над которыми Вы работаете, общие
ресурсы, объявления и т. п,
Усовершенствованный рабочий стол
Теперь на панель задач можно добавлять дополнительные настраива-
емые панели. Например, добавив панель быстрого запуска, можно
одним щелчком мыши запустить Internet Explorer или любое иное нуж-
ное Вам приложение. Добавив панель адресов, можно переходить на
нужную страницу в Интернете или часто используемый каталог на
диске, выбирая их из списка.
В меню Start появился пункт Favorites, позволяющий быстро переклю-
чаться на избранные Web-страницы, либо открывать самые нужные
документы.
Если Вы много работаете с документами, то теперь не надо далеко «хо-
дить» за ними. Папка My Documents лежит на рабочем столе. Открой-
те ее и выберите нужный.
Из панели управления удалены многие функции. Как настраи-
вать систему? Это не проблема. В разделе административных программ
появилось множество простых и эффективных средств управления на
смену прежним.
Новые способы взаимодействия
Internet Explorer позволяет отправлять электронную почту, разговари-
вать с приятелями и просматривать телеконференции новостей.
Outlook Express — почтовый клиент, основанный на стандартах Ин-
тернета, — поставляется совместно с Internet Explorer 4.0. Он прост в
установке и работе, обеспечивает защиту передаваемой информации,
а также позволяет значительно обогатить Ваши электронные письма.
Вы можете передавать не просто плоский текст, но и страницы HTML с
полным форматированием и даже со ссылками на другие Web-страни-
цы. Перед прочтением сообщение можно предварительно просмотреть.
Windows NT 5.0 дает возможность с легкостью подготовить факсовое
сообщение, отправить его, проконтролировать отправление, а также
принять факс. Неоценимую помощь окажут такие утилиты, как:
• редактор титульной страницы;
• программа просмотра факсов;
• программа отсылки факсов;
• программа настройки и конфигурирования.
Средства телефонии Microsoft (TAPI) обеспечивают использование
сети IP для телефонных коммуникаций. Речь, данные и видеоклипы
могут быть переданы по локальным, глобальным сетям и Интернету.
Средства, встроенные в Windows NT 5.0, позволят превратить Ваш муль-
тимедийный компьютер в мощный телефонный аппарат.
В новую версию Windows NT встроена улучшенная поддержка аппара-
туры и программного обеспечения для работы в АТМ (Asynchronous
Transfer Mode).
Новые мощные средства поиска
Поиск файлов стал быстрее и обогатился новыми возможностями за
счет поддержки средств индексации. Microsoft Index Server теперь
составная часть операционной системы.
Используя новую функцию поиска, можно с легкостью обнаружить
персональную информацию о нужном человеке либо в локальной ад-
ресной книге, либо в каталогах, расположенных на различных Web-
узлах.
Поиск и просмотр найденных документов можно вести одновремен-
но. Больше не надо «перепрыгивать» из окна поиска в окно просмотра
и назад.
Войдя в домен Windows NT 5.0, использующий службу каталогов Active
Directory, можно быстро найти информацию о любом ресурсе в сети,
будь то компьютер, принтер, каталог или файл.
Ну что, Вам понравилось, Вы заинтересованы, заинтригованы? Тогда
читайте! Но прежде несколько слов
О структуре книги и принятых
соглашениях
Книга состоит из восьми глав, каждая из которых освещает отдельное
направление развития системы.
В главе 1 «Служба каталогов Active Directory» описываются устройства
этой новой службы каталогов Microsoft, ее возможности и приемы ра-
боты с ней. Советую уделить этой главе повышенное внимание, так как
Active Directory — краеугольный камень Windows NT 5.0.
В главе 2 «Система безопасности» рассказано о новых средствах обес-
печения аутентификации доступа пользователей и использовании ре-
сурсов.
Глава 3 «Планирование системы» помогает сопоставить требования к
системе, предъявляемые в предыдущих версиях, с требованиями новой,
а также продумать способы перехода от существующих систем, будь то
Windows NT или Netware.
Глава 4 «Файловые системы Windows NT» посвящена всему новому, что
появилось в системе в этой области. Новая версия NTFS, FAT32, файло-
вая система с шифрацией, распределенная файловая система, квотиро-
вание дискового пространства, — вот далеко не полный перечень тем,
освещенных в этой главе. Кроме того, здесь же описаны новые прави-
ла и способы определения доступа к дисковым ресурсам.
Глава 5 «Обеспечение бесперебойной работы» расскажет об улучшен-
ной поддержке дисковых массивов, усовершенствованной программе
резервного копирования, поддержке кластеризации и многих других
новшествах.
Глава 6 «Управление системой» освещает элементы инициативы Micro-
soft Windows Zero Administration, позволяющей минимизировать рас
ходы, связанные с управлением системой. Особое внимание уделяется
консоли управления Microsoft Management Console.
Глава 7 «Интерфейс с пользователем» посвящена работе с Active Desktop
и с Internet Explorer. Здесь практически нет теории — только одна прак-
тика. Читайте и настраивайте систему в соответствии со своими вкуса-
ми и потребностями. Здесь же имеется раздел, посвященный поддерж-
ке национальных языков. Этот материал, наверняка, с интересом будет
воспринят большинством пользователей. Фирма Microsoft подготови-
ла немало приятных сюрпризов.
Глава 8 «Маршрутизация и удаленный доступ» станет для Вас справоч-
ным руководством при организации корпоративной сети.
Увы, большинство новых функций так тесно переплетаются между со-
бой, что невозможно написать о чем-то одном, не упомянув о другом.
Перед автором постоянно вставала проблема «курицы и яйца». Как,
например, рассказать о всех возможностях службы каталогов Active
Directory, не упомянув про распределенную систему безопасности? В то
же время, последняя немыслима без службы каталогов. Поэтому, читая
практически любую главу, Вы неизбежно будете вынуждены обращать-
ся к другим главам или их отдельным разделам,
При написании книги предполагалось, что читатель элементарно зна-
ком с устройством Windows NT и ее основными характеристиками,
Именно поэтому некоторые свойства, традиционно присутствующие в
этой ОС, освещены поверхностно. Пристальное внимание уделяется
только новым функциям. Тех же, кто хочет познакомиться с базовыми
аспектами устройства ОС Windows NT, я хотел бы адресовать к литера-
туре, список которой приведен в конце этой книги.
Каждая глава посвящена некоторому общему направлению и разбита
на несколько разделов, освещающих конкретную функцию системы.
Разделы условно состоят из трех частей: вступительной, дающей общее
представление об описываемой функции; теоретической, освещающей
теоретические основы работы; и практической, отражающей вопросы
использования функции пользователями. Совсем не обязательно читать
все подряд — для того, чтобы использовать новую функциональность
Вам вполне хватит информации из вступительной и практической ча-
сти. Однако для более глубокого понимания работы ряда сервисов и
подсистем знакомство с теорией просто необходимо.
При работе над книгой использовались материалы, доступные на сер-
вере www.microsoft.com, документация, предлагаемая для бета-тестеров
системы, внутренние материалы Microsoft, а также собственный опыт
работы с бета-версией системы. Так как данная книга отражает функ-
циональность, представленную в первой бета-версии Windows NT, то
существует вероятность изменения поведения и интерфейсов отдель-
ных утилит, программ и сервисов.
В книге приняты следующие обозначения:
Термин, встречающийся первый раз, выделен курсивом. Такое выделе-
ние также подсказывает, что объяснение термина приведено в словаре
в конце книги.
Имена и названия элементов диалоговых окон, команд меню и т. п.
выделены полужирным курсивом.
Ссылки на дополнительную литературу приведены в [квадратных
скобках].
Тексты сценариев, описания команд операционной системы, листинги
файлов выделены моноширинным шрифтом.
ГЛАВА
Служба каталогов
Active Directory
Согласно словарю Ожегова, каталог — это составленный в определен-
ном порядке перечень каких-либо однородных предметов (книг, экс-
понатов, товаров)'. Точно так же, как каталог выставки содержит ин-
формацию об экспонатах, каталог файловой системы предоставляет
информацию о файлах. Отличительная особенность такого каталога —
возможность систематизации хранимой информации, быстрого поис-
ка нужной, а также добавления и расширения самого каталога. Служба
каталогов операционной системы хранит информацию об объектах
системы и позволяет манипулировать ими.
В предыдущих версиях Windows NT служба каталогов называлась NTDS.
Она почти идеально подходила для небольших и средних организаций,
где число хранимых объектов не превышало 100 000. Однако в более
крупных компаниях пользователи сталкивались либо с затруднениями,
либо с полной невозможностью ее применения. Причина этого в са-
мом устройстве NTDS.
Служба каталогов NTDS
NTDS представляет собой плоскую модель доменов, при этом под до-
меном понимается совокупность компьютеров с общей базой учетных
записей пользователей и единой политикой защиты.
У каждого домена свое уникальное имя. Оно может отражать либо его
функциональное назначение (например, DEVELOPERS_DOM), либо гео-
графическое расположение (например, MOSCOW_EAST), либо что-то,
понятное лишь одному автору этого имени (например, MASTER_DOM1).
Каждый домен представляет собой замкнутое пространство со своими
учетными записями пользователей и ресурсами. По умолчанию пользо-
ватели одного домена не имеют доступа к ресурсам другого домена. Для
предоставления им такой возможности между доменами устанавлива-
ются доверительные отношения. Эти отношения могут быть как одно-
сторонними (например, домен А доверяет домену Б, но не наоборот),
так и двусторонними (оба домена доверяют друг другу). Доверительные
отношения не транзитивны, иными словами, если домены А и В дове-
ряют домену Б, то это не означает по умолчанию, что А и В доверяют
друг другу. При организации корпоративных сетей используются четы-
ре модели доверительных отношений: модель с одним доменом, модель
с одним мастер-доменом, модель с несколькими мастер-доменами и
модель полностью доверительных отношений. Подробно об этих мо-
делях см. [I].
Недостаток доменной службы каталогов NTDS — сложность админист-
рирования для крупных организаций. Например, перемещая учетную
запись пользователя из одного домена в другой, администратор вынуж-
ден заново переопределять права доступа, что зачастую непросто. Кро-
ме того, эта служба каталогов не предоставляет средств эффективного
поиска объектов сети. Например, невозможно найти в нескольких до-
менах пользователя UserPo, определить объекты, к которым он имеет
доступ, а также вид этого доступа.
Еще одно слабое место NTDS — относительно невысокая емкость до-
менов. В одном домене может быть не более 40 000 учетных записей,
что опять-таки мало пригодно для крупных организаций.
Кроме того, в домене может существовать только один первичный кон-
троллер домена и несколько резервных. Модификация базы учетных
записей выполняется только на первичном контроллере, а если после-
дний временно недоступен — сеть становится неуправляемой.
Что такое Active Directory
Служба каталогов Active Directory (AD) — сервис, интегрированный с
Windows NT Server. Она обеспечивает иерархический вид сети, нара-
щиваемость и расширяемость, а также функции распределенной безо-
пасности. Эта служба легко интегрируется с Интернетом, позволяет
использовать простые и интуитивно понятные имена объектов, пригод-
на для использования в организациях любого размера и легко масшта-
бируется. Доступ к ней возможен с помощью таких знакомых инст-
рументов, как программа просмотра ресурсов Интернета.
AD не только позволяет выполнять различные административные за-
дачи, но и является поставщиком различных услуг в системе. На при-
веденном ниже рисунке схематично изображены основные функции
службы каталогов.
В Active Directory концепция пространства имен Интернета объедине-
на с системными службами каталогов, что дает возможность единым
образом управлять различными пространствами имен в гетерогенных
средах корпоративных сетей. В качестве основного в AD используется
легкий протокол доступа к каталогу LDAP (lightweight directory access
protocol), позволяющий действовать за рамками операционной систе-
мы, объединяя различные пространства имен. Active Directory может
включать в себя каталоги других приложений или сетевых операцион-
ных систем, а также управлять ими, что значительно снижает нагрузку
на администраторов и накладные расходы.
Каталог — поставщик услуг в системе
Active Directory не является каталогом Х.500, как иногда считают. Она
использует лишь информационную модель Х.500 (без избыточности,
присущей последнему), а в качестве протокола доступа — LDAP. В ре-
зультате достигается так необходимая в гетерогенных системах высо-
кая степень взаимодействия.
LDAP — стандартный протокол доступа к каталогам (RFC1777) — был
разработан как альтернатива протоколу доступа Х.500. В Active Directory
поддерживаются как LDAP v2, так и LDAP v3.
HTTP — стандартный протокол для отображения страниц Web. Active
Directory дает возможность просмотреть любой объект в виде страни-
цы Web. Расширения Internet Information Server, поставляемые совмес-
тно со службой каталога, преобразуют запросы к объектам каталога в
страницы HTML.
Active Directory позволяет централизовано администрировать все ре-
сурсы, любые произвольные объекты и сервисы: файлы, периферийные
устройства, базы данных, подключения к Web, учетные записи и др. В
качестве поискового сервиса используется DNS. Все объекты внутри
домена объединяются в организационные единицы (OU), составляю-
щие иерархичные структуры. В свою очередь, домены могут объеди-
няться в деревья.
Администрирование упростилось по сравнению с предыдущими вер-
сиями: больше нет первичного и резервных контроллеров домена. Все
контроллеры доменов, используемые службой каталогов, равноправны.
Изменения можно вносить на любом контроллере, а на остальные они
будут тиражироваться автоматически.
Еще одна особенность Active Directory — поддержка нескольких хра-
нилищ, в каждом из которых может находиться до 10 миллионов объек-
тов. Понятно, что при таких возможностях эта служба каталогов пре-
красно проявляет себя как в малых сетях, так и в больших системах.
Базовые термины и концепции
Давайте, прежде чем перейти к устройствам и особенностям службы
каталогов Active Directory, остановимся на некоторых базовых терминах
и концепциях. Возможно, какие-то из них покажутся Вам знакомыми.
Сфера влияния
Сфера влияния службы каталогов велика: любые объекты (пользовате-
ли, файлы, принтеры и др.), серверы в сети, домены и даже глобальные
сети. А раз так, напрашивается вывод: возможности такой службы ката-
логов, как AD, практически безграничны, что делает ее полезной на от-
дельном компьютере, в большой сети, и в нескольких сетях.
Пространство имен
Как и любой каталог, Active Directory представляет собой некоторое
пространство имен, то есть некоторую область, в которой данное имя
может быть разрешено. Под разрешением имен понимается процесс,
позволяющий сопоставить имя с объектом, ему соответствующим, или
с информацией о таком объекте. К примеру, в файловой системе имя
файла разрешается в расположение файла на диске.
Объект
Под объектом подразумевается отдельный набор атрибутов, соответ-
ствующих чему-либо конкретному: например, пользователю, компью-
теру или приложению. В атрибутах содержатся данные о субъекте,
представленном данным объектом. Например, атрибуты пользователя
могут включать его имя, фамилию, адреса домашний и электронной
почты, семейное положение, заработную плату и т. д.
Контейнер
Контейнер — это объект каталога, который может содержать в себе
другие объекты (как, например, папка —это контейнер для документов,
а шкаф — контейнер для папок). Контейнер каталога является контей-
нером объектов каталога.
Дерево
Деревом называется иерархическая структура из объектов. Объекты,
располагающиеся на ветвях этого дерева, называются листьями. В
листьях не содержится других объектов, то есть листья не могут быть
контейнерами. Контейнерами являются узловые точки дерева (места,
из которых выходят ветви). Неразрывная часть дерева, включающая
всех членов контейнера, называется смежным поддеревом.
На рисунке внешний вид дерева показывает взаимосвязи между объек-
тами.
Имя
Имена используются для идентификации объектов в Active Directory.
Существует два вида имен: отличительное имя DN (distinguished name)
и относительно отличительное имя RDN (relatively distinguished name).
Отличительное имя объекта содержит имя домена, в котором нахо-
дится объект, а также полный путь к этому объекту в иерархии контей-
нера. Например, отличительное имя для идентификации пользователя
Fyodor Zubanov в домене MicrosoftAO.RU будет выглядеть следующим
образом:
/0=Internet/DC=RU/DC=MiсrosoftAO/CN=Users/CN=Fyodor Zubanov
Относительное отличительное имя объекта — часть отличитель-
ного имени, являющаяся атрибутом объекта. В приведенном при-
мере таковым для объекта пользователя Fyodor Zubanov является
CN=Fyodor Zubanov, a RDN его родительского объекта — CN=Users.
Контексты имен и разделы
Active Directory состоит из одного или нескольких контекстов имен или
разделов. Контекст имени — это любое смежное поддерево каталога.
Контексты имен являются единицами тиражирования. Для любого оди-
ночного сервера всегда есть три контекста имен:
— схема;
— конфигурация (топология тиражирования и относящиеся к нему
метаданные);
— один или несколько контекстов имен пользователей (поддеревья,
содержащие действительные объекты каталога).
Домены
Домены, как указывалось выше, являются организационными единица-
ми безопасности в сети. Active Directory состоит из одного или несколь-
ких доменов. Рабочая станция является доменом. Домен может охваты-
вать несколько физических точек. В каждом домене — своя политика
безопасности; отношения домена с другими также индивидуальны.
Домены, объединенные общей схемой, конфигурацией и глобальным
каталогом, образуют дерево доменов. Несколько доменных деревьев
могут быть объединены в лес.
Дерево доменов
Дерево доменов состоит из нескольких доменов, использующих одну и
ту же схему и конфигурацию, и образующих единое пространство
имен. Домены в дереве связаны между собой доверительными отноше-
ниями. Служба Каталогов Active Directory состоит из одного или не-
скольких доменных деревьев.
Доверительные отношения Kerberos
Деревья можно рассматривать и с точки зрения доверительных отно-
шений, и с точки зрения пространства имен.
В Windows NT 5.0 доверительные отношения между доменами основы-
ваются на протоколе защиты Kerberos. Эти отношения транзитивны
(сравните с описанием доверительных отношений для NTDS), то есть
если домен А доверяет домену Б, а домен Б доверяет домену В, то до-
мен А также доверяет домену В. На рисунке изображены домены с точ-
ки зрения доверия.
С другой стороны, домены можно рассматривать с точки зрения отли-
чительных имен. При этом четко прослеживается иерархическая струк-
тура доменов и становится проще поиск по всему дереву.
Взгляд на домены с точки зрения пространства имен
Строго говоря, в Active Directory нет ограничений на формирование
пространства смежных имен из несмежных доменов и каталогов. И все
же лучше, чтобы пространство имен было организовано по той же
логике, что и структура.
Лес
Лес — это набор несмежных деревьев, не образующих единое про-
странство имен. В то же время все деревья в лесу используют одну и ту
же схему, конфигурацию и глобальный каталог и связаны между собой
Kerberos — отношениями доверия. В отличие от деревьев, у леса нет
определенного имени. Он существует в виде поперечных ссылок и
иерархических доверительных отношений, известных деревьям, его
образующим. Для обращения к лесу используется имя дерева в корне
доверяющего дерева.
Несколько деревьев в лесу
Узлы
Узел — это место расположения в сети серверов с Active Directory, В
качестве узлов могут выступать одна или несколько подсетей TCP/IP,
что позволяет конфигурировать доступ к каталогу и тиражирование с
учетом физической сети. Когда пользователь входит в сеть, сервер с
Active Directory не надо долго искать — ведь он находится в том же
самом узле и рабочей станции «известно», как добраться до него по
TCP/IP.
Схема
Схема Active Directory представляет собой набор экземпляров классов
объектов, хранящихся в каталоге. Это отличает ее от схем других ката-
логов, которые, как правило, хранятся в текстовых файлах и прочиты-
ваются при загрузке. Хранение схемы в каталоге имеет ряд преиму-
ществ. Например, приложения могут обращаться к каталогу и читать
списки доступных объектов, а также динамически изменять схему, до-
бавляя в нее новые атрибуты и классы. Модификация схемы сопровож-
дается созданием или модификацией объектов, хранящихся в катало-
ге. Все внесенные изменения незамедлительно становятся доступны для
других приложений. Любые объекты схемы (впрочем, как и любые объ-
екты Active Directory) защищены списками контроля доступа, что гаран-
тирует их от изменений лицами, не имеющими на это прав.
Модель данных
В основу модели данных службы каталогов Active Directory положена
модель данных Х.500. В каталоге хранятся различные объекты, описан-
ные атрибутами. Классы объектов, которые допустимо хранить в ката-
логе, задаются схемой. Для каждого класса объектов в схеме определе-
ны обязательные и возможные дополнительные атрибуты экземпляров
класса, а также то, класс какого объекта может быть родительским по
отношению к рассматриваемому.
Глобальный каталог
Active Directory может состоять из нескольких разделов или контекстов
имен. В отличительном имени объекта содержится информация, дос-
таточная для успешного поиска копии раздела, содержащего объект.
Однако часто пользователю или приложению неизвестно ни отличи-
тельное имя объекта, ни раздел, где он может находиться. Глобальный
каталог позволяет пользователям и приложениям определять положе-
ние объектов в дереве доменов Active Directory по одному или несколь-
ким атрибутам.
В глобальном каталоге содержится частичная копия каждого из контек-
стов пользовательских имен, а также схема и конфигурационные кон-
тексты имен. Это означает, что в глобальном каталоге хранятся копии
всех объектов Active Directory, но с сокращенным набором атрибутов.
К хранимым относятся атрибуты наиболее часто используемые при
поиске (например имя пользователя, имя входа в систему и т. п.) и до-
статочные для обнаружения полной реплики объекта. Глобальный ка-
талог позволяет быстро находить нужные объекты, не требуя указаний,
в каком домене находится объект, а также использования смежного
расширенного пространства имен.
Архитектура Active Directory
Теперь, ознакомившись с базовыми терминами и концепциями, попы-
таемся составить из них единую четкую картину — поговорим об уст-
ройстве Active Directory подробно.
Основная структурная единица Active Directory — дерево доменов, свя-
занных доверительными отношениями друг с другом. Внутри каждого
домена может располагаться иерархия организационных единиц (OU).
Иерархия OU внутри одного домена никак не связана с иерархией OU
в других доменах. Наоборот, они полностью независимы.
Такая двухъярусная иерархичная структура предоставляет высокую сте-
пень свободы в администрировании деревьев доменов. Например, всем
деревом доменов целиком может управлять центральная служба инфор-
мационных технологий (ИТ), а во всех доменах будут созданы свои
собственные организационные единицы, где учтены как работники,
ответственные за локальную поддержку на местах, так и ресурсы, обес-
печивающие эту поддержку.
В каждом отдельном домене могут быть созданы дополнительные OU
для выполнения конкретных задач. Так в домене головного офиса — OU
отдела кадров и бухгалтерии, в филиалах — OU торговых представи-
тельств. При этом административные права для каждой из этих OU
могут делегироваться центральной службой ИТ сотрудникам упомяну-
тых групп. Последние же, будучи наделены административными пол-
номочиями только в рамках своих OU, никак не смогут помешать служ-
бе ИТ выполнять глобальное администрирование или вмешаться в де-
ятельность другой OU.
Архитектура Active Directory
Такая гибкость позволяет организовать каталог в точном соответствии
со структурой Вашего предприятия. Причем, возможно отразить как
централизованную, так и децентрализованную, а также некоторую сме-
шанную модель управления предприятием. Например, дерево доменов
может быть организовано по централизованной модели, а OU внутри
доменов — по децентрализованной.
Как уже упоминалось, внутри каждого домена — своя политика безо-
пасности (подробнее об этом — в главе 2). Этой политикой определя-
ются, в частности, требования к паролям, время жизни билетов Кег-
beros, блокировки учетных записей и т. д. При создании учетной запи-
си в домене для нее генерируется идентификатор безопасности (SID),
частью которого является идентификатор домена, выдавшего SID. Это
позволяет легко определять, какому домену принадлежит пользователь
или группа и каковы их права доступа к ресурсам. Таким образом, мож-
но говорить о физических границах безопасности домена, в рамках
которых и выполняется его администрирование.
Организационные единицы являются контейнерами, в которых могут
содержаться другие организационные единицы или объекты (пользо-
ватели, группы, принтеры или ресурсы распределенной файловой си-
стемы). Разрешение создавать объекты или изменять их атрибуты мо-
жет быть выдано отдельным пользователям или группам, что позволя-
ет более четко разделять административные полномочия.
Использование схемы
Определение схемы, данное при первом ознакомлении с этим терми-
ном, несколько расплывчато и, возможно, не дает общего понимания
ее назначения. В схеме задано, какие объекты и с какими свойствами
допустимы в каталоге. Во время установки Active Directory на первый
контроллер доменов в лесу, служба каталогов по умолчанию создает
схему, где содержатся все объекты и заданы свойства, необходимые для
нормального функционирования службы каталогов. Предусматривает-
ся также тиражирование каталога на все контроллеры домена, которые
будут включены в лес позднее.
Каталог содержит необходимую информацию о пользователях и объек-
тах данной организации. Такие свойства Active Directory, как отказоус-
тойчивость и расширяемость, позволяют использовать этот сервис в
различных приложениях, например, по учету кадров. Стандартно в
Active Directory уже определены такие атрибуты пользователя, как его
имя, фамилия, номера телефонов, название офиса, домашний адрес. Но
если понадобятся такие сведения, как зарплата сотрудника, его трудо-
вой стаж, медицинская страховка, сведения о поощрениях и т. п,, то эти
параметры можно задать дополнительно. Active Directory позволяет
«наращивать» схему, добавлять в нее новые свойства и классы на осно-
ве существующих и с наследованием их свойств.
Также можно задавать новые свойства, в том числе и существующим
классам. При этом все свойства можно разделить на обязательные и
возможные. Все обязательные свойства необходимо указывать при со-
здании объекта. Например объект «пользователь» обязательно должен
иметь общее имя en (common name), пароль и SamAccountName (имя,
используемое для обратной совместимости с предыдущими версиями).
Возможные свойства можно и не указывать. Они лишь выполняют вспо-
могательные функции и могут быть полезны, например, для админис-
траторов или для других пользователей. Проиллюстрируем сказанное
на примере приложения по учету кадров. Всех сотрудников предприя-
тия можно условно разделить на две группы: постоянные и временные.
Для постоянных сотрудников целесообразно создать новый класс Full-
TimeEmp. В качестве возможных свойств этого класса можно добавить
в схему зарплату и семейное положение. При этом права на чтение и
изменение этих свойств будут иметь только сотрудники отдела кадров,
а на чтение — лишь сам сотрудник. Администраторы сети также не
имеют прав доступа к этим сведениям.
Понятно, что такая свобода модификации и наращивания каталога
должна опираться на мощные механизмы хранения и поиска инфор-
мации. В Active Directory таким механизмом хранения служит ESE (Exten-
sible Storage Engine) — улучшенная версия Jet-базы данных, использую-
щейся в Microsoft Exchange версий 4 и 5.х2. В новой базе может содер-
жаться до 17 терабайт данных, до 10 миллионов объектов.
Пример модификации схемы
Еще одна особенность ESE — там хранятся только реально используе-
мые значения свойств. Например, для объекта user определено по умол-
чанию порядка 50 свойств. Но если Вы описали только 4 (имя, фами-
лию, общее имя и пароль), то место для хранения будет отведено толь-
ко для этих атрибутов. По мере описания других атрибутов место для
них будет выделяться динамически.
ESE позволяет хранить свойства, имеющие несколько значений, напри-
мер, несколько телефонных номеров одного пользователя. При этом
совсем не надо создавать атрибуты каждого телефонного номера.
Подробнее о классах и атрибутах схемы, а также о том, как вносить в
нее изменения, мы поговорим в одном из следующих разделов этой
главы.
Система именований
Одна из задач службы каталогов Active Directory — обеспечить одно-
типный взгляд на сети независимо от того, сколько и каких про-
странств имен и каталогов в них используется. Вы можете включать в
2 В будущих версиях Microsoft Exchange механизм базы данных будет таким
же, как и в Active Directory.
AD, а затем организовывать каталоги, независимо от их расположения
и использующих их операционных систем.
Другая важная особенность Active Directory — избыточная поддержка
нескольких стандартных систем именований. В качестве собственной
системы имен в AD применяется DNS (Domain Name System); в то же
время она может использовать LDAP или HTTP для обмена информа-
цией с приложениями или иными каталогами.
Поддержка DNS
В Active Directory объединены лучшие возможности Х.500 и сервиса
обнаружения DNS . DNS — сервис, наиболее часто используемый как в
Интернете, так и в интрасетях. Он с успехом применяется для преоб-
разования имени в IP-адрес как в масштабах Интернета, так и в неболь-
ших сетях.
DNS как поисковая служба Windows NT
Active Directory использует DNS в качестве своего поискового сервиса.
Имя домена в AD — не что иное,-как полностью определенное имя DNS.
Например, fyodor.ru может быть как доменом DNS, так и доменом
Windows NT. (Вспомните, что в предыдущих версиях Windows NT имя
домена было NetBIOS-именем.) Указывая имя FyodorZ@microsoft.com,
можно в равной степени рассматривать его и как почтовый адрес в
Интернете, и как имя пользователя в домене Windows NT. На рисунке
видно, что домены Windows NT могут размещаться в Интернете или
интрасетях так же, как и любые иные ресурсы — посредством DNS.
Традиционно DNS был присущ один недостаток — статичность базы,
что вело к необходимости обновлять данные и тиражировать измене-
ния на другие серверы DNS вручную. В Windows NT 4.0 было реализо-
вано решение, объединяющее сервис DNS с сервисом WINS и позволяв-
шее динамически обновлять базу имен. Кроме того, в состав операци-
онной системы был включен графический инструмент для админист-
рирования DNS, что позволяло легко освоить эту «науку» даже неиску-
шенным пользователям.
«Сладкая парочка» DNS+WINS работала следующим образом. При по-
ступлении от DNS-клиента запроса на разрешение имени (например,
mydesktop.mycorp.ru) разрешение имени хоста выполнялось на серве-
ре WINS, к которому обращался сервер DNS, и которому возвращался
разрешенный IP-адрес. Такая конфигурация делала возможным исполь-
зование DHCP (Dynamic Host Configuration Protocol) для динамическо-
го назначения адресов. Хотя интеграция DNS с WINS и была времен-
ным решением, она хоть немного скрасила жизнь администраторам до
принятия стандарта на динамический DNS3.
В динамическом сервере DNS обновлением и тиражированием базы
занимается непосредственно сервер. Серверы, на которых установле-
на служба каталогов Active Directory, используют динамический DNS для
публикации самих себя в базе DNS. Если Вы уже начали применять
комбинацию WINS-DNS, то можете считать, что подготовили почву для
прозрачного перехода к динамическому DNS.
Поддержка имен стандартных форматов
Форма именований, принятая в каталоге, влияет, как на пользователей,
так и на приложения. Например, если Вы желаете отыскать объект в
каталоге, то должны точно указать имя свойства, применяемого в каче-
стве критерия поиска.
В различных стандартах (как де-факто, так и де-юре) используются
различные форматы имен. Многие из них поддерживаются в Active
Directory, что позволяет пользователям, например, обращаться к объек-
там привычным образом. Перечислим некоторые из поддерживаемых
систем именований.
• RFC822. Этот стандарт именований хорошо знаком пользователям
Интернета. Кто из Вас не встречался с формой имя@домен, отправ-
ляя или получая сообщения по электронной почте? Если Вы, напри-
мер, хотите задать вопрос Билу Гейтсу, то можете воспользоваться
адресом askbill@microsoft.com. Адрес в таком формате можно не толь-
ко поместить на визитной карточке, но и использовать для входа и
систему.
• HTTP URL. Как упоминалось ранее, к службе каталогов Active Direc-
tory можно обратиться по протоколу HTTP, Для этого необходимо
указать имя URL, формат которого также хорошо знаком пользова-
телям Интернета: http : //имя-домена/путь-к-странице. При этом имя
домена — это имя сервера, на котором установлена служба каталога,
а путь к странице — путь в иерархичной структуре каталога к инте-
ресующему объекту. Например:
HTTP://MyServer.MyCorp.Ru/BIN/Division/Finance/Russian/IvanDemido.
• LDAP URL и имена Х.500. В Active Directory поддерживается доступ
и по протоколу LDAP. То, что имена LDAP сложнее по сравнению с
именами Интернета, не так важно — ведь обычно LDAP использует-
ся приложениями. В рамках LDAP действуют соглашения об имено-
вании Х.500, называемые атрибутированным именованием. Имя при
этом состоит из URL сервера, на котором располагается каталог, и
далее — атрибутированного имени объекта. Например:
LDAP://My Server.MyCorp.Ru/CN=IvanDemidov,OU=Russian,OU=Finance,
OU=Division,0=MyCorp,C=RU
• Имена UNC. В Active Directory поддерживается также и соглашение
об универсальном именовании, которое традиционно используется
в сетях Windows NT для ссылок на совместно используемые ресур-
сы: тома, принтеры и файлы. Вы можете обратиться к файлу, опубли-
кованному в Active Directory, например, так:
\\MyServer.MyCorp,Ru\Division.Finance.Russian,MyVolume\WordDocs\
YearBudget.doc
Смежные и раздельные пространства имен
В каталоге LDAP пространство имен может быть либо смежным, либо
раздельным. В первом случае имя дочернего домена всегда содержит
имя родительского домена. Например, если домен с именем DC=Finan-
се, DC=MyCorp, DC=Ru — дочерний для домена DC=MyCorp, DC=Ru, то это про-
странство смежных имен. Имя родительского домена всегда может быть
восстановлено при отбрасывании первой части дочернего имени.
В пространстве раздельных имен родительский и дочерний домены не
связаны друг с другом непосредственно. Например, хотя домен DC=Fi-
nance,DC=Ru — дочерний для домена DC=MyCorp,DC=Ru, его имя не
содержит имени родительского домена.
Смежные имена или раздельные важно при поиске. В случае примене-
ния смежных имен на контроллере домена всегда создаются ссылки
(referrals) на дочерние домены. При использовании раздельных имен
поиск останавливается и ссылки не создаются.
Одновременное использование смежных и раздельных имен делает
механизм поиска в древовидной структуре сложным для понимания.
Поэтому в Active Directory вводятся понятия деревьев и леса.
Тиражирование Active Directory
Active Directory использует тиражирование типа мульти-мастер. Как уже
упоминалось, в этой службе каталогов более не существует различий
между контроллерами доменов — они все равноправны. Изменения,
внесенные в каталог на одном контроллере, тиражируются на остальные.
Но хотя концептуально такой подход проще существовавшей в преды-
дущих версиях модели с одним главным и несколькими резервными
контроллерами домена, он требует принятия специальных мер по син-
хронизации тиражируемой информации. Тиражирование Active Direc-
tory основано не на временных интервалах, а на последовательных
номерах обновлений USN (Update Sequence Numbers). В каждом кон-
троллере домена имеется таблица, где записаны как свой собственный
номер USN, так и USN партнеров по тиражированию. При тиражирова-
нии происходит сравнение последнего известного USN партнера с тем,
который сообщается. И если сообщенный номер больше записанного,
запрашиваются все изменения у партнера по тиражированию (такой
тип тиражирования носит название запрашиваемого). После обновле-
ния данных USN на контроллере домена становится равным значению,
полученному от партнера.
Если данные одного и того же объекта изменились сразу на несколь-
ких контроллерах домена, то обновление выполняется следующим
образом.
• По номеру версии. У каждого свойства свой номер версии. С по-
мощью этого номера определяется «наиболее актуальное», то есть
имеющее наибольший номер версии, свойство. Это не всегда верное
решение, однако оно позволяет согласовывать версии без дополни-
тельных переговоров с партнером по тиражированию и гарантиру-
ет идентичность данных на всех контроллерах доменов.
• По временной отметке. Если свойства имеют одинаковый номер
версии, то проверяется временная отметка, создаваемая вместе с но-
мером версии при модификации свойств. При этом предполагается,
что все контроллеры домена синхронизованы по времени. Предпоч-
тение отдается версии, созданной позднее. И опять же, это не всегда
верно, но лучше обслуживать пользователей, чем заниматься дли-
тельными переговорами относительно того, кто «главнее».
• По размеру буфера. Если и номер версии, и временные отметки
совпадают, то выполняется сравнение в двоичном виде, причем пред-
почтение получает то свойство, которое в двоичном виде занимает
больший объем. Если размеры одинаковы, то считается, что обе вер-
сии идентичны и в расчет не принимается ни одна из них.
Давайте проиллюстрируем все сказанное на примере. Допустим, что два
администратора на разных контроллерах домена вносят изменения в
свойства группы AcctUsers. Один из них предоставил право модифика-
ции каталога FinRus, а второй — право модификации каталога FinAd-
min, но сделал это на минуту позже первого. При согласовании версий
на третьем контроллере домена будет обнаружено, что номера версий
совпадают, а время модификации на втором контроллере — более позд-
нее. Поэтому в расчет будет принято только изменение, сделанное вто-
рым администратором.
Замечание. Все операции согласования заносятся в журнал, так что
администраторы могут при необходимости восстановить прежние
значения.
Узлы и домены
Концепция узлов (sites) используется продуктами семейства Microsoft
BackOffice для минимизации графика в глобальной сети. К сожалению,
в каждом продукте эта концепция трактуется по-своему. В Windows NT 5.0
вводится еще одно новшество: концепция не оптимизирована под ка-
кое-либо определенное приложение, а предполагает в качестве осно-
вы сеть IP, для которой обеспечиваются наилучшие условия подключе-
ний. В будущем планируется, что все приложения BackOffice будут ис-
пользовать именно эту концепцию узла.
Узел с Active Directory состоит из одной или нескольких подсетей IP.
Администратор может определять эти подсети, а также добавлять к ним
новые. При этом он исходит из следующих посылок:
• оптимизация графика тиражирования между узлами по медленным
линиям;
• создание клиентам наилучших условий для быстрого обнаружения
ближайших к ним контроллеров.
Тиражирование внутри узла и между узлами осуществляется по различ-
ным топологиям. Внутри узла контроллер домена задерживает опове-
щение о сделанных изменениях на некоторый устанавливаемый про-
межуток времени (по умолчанию равный 10 минутам). В отличие от
Microsoft Exchange в Active Directory можно изменять топологию тира-
жирования внутри узла. По умолчанию это двунаправленное кольцо,
однако Вы можете полностью переопределить топологию и задать ее,
скажем, в виде звезды.
В любом случае служба каталогов будет отслеживать целостность то-
пологии, то есть ни один контроллер домена не будет исключен из
процесса тиражирования. Для этого на всех контроллерах домена ис-
полняется отдельный контрольный процесс, так называемый КСС
(Knowledge Consistency Checker). КСС восстанавливает топологию ти-
ражирования в случае нарушения.
Концепция поиска ближайшего ресурса или контроллера домена по-
зволяет сократить трафик в низкоскоростных частях глобальных сетей.
Для поиска ближайших ресурсов или контроллеров домена клиенты
могут использовать информацию об узле. Начиная вход в сеть, клиент
получает от контроллера домена имя узла, к которому принадлежит,
имя узла к которому относится контроллер домена, а также информа-
цию о том, является ли данный контроллер домена ближайшим к кли-
енту. Если это не ближайший контроллер, то клиент может обратиться
к контроллеру домена в собственном узле и в дальнейшем работать с
ним, как с ближайшим контроллером. Так как данная информация со-
храняется в реестре, клиент может ее использовать при следующем
входе в сеть.
Если пользователь перемещается со своей рабочей станцией в новое
место, то при входе в сеть станция обращается к прежнему контролле-
ру домена. Только в этом случае он уже не является ближайшим, и со-
общает клиенту информацию о ближайшем узле. Эта информация мо-
жет быть использована клиентом для доступа к DNS и определения
адреса ближайшего контроллера домена.
Деревья и леса
Вспомним определения, данные в начале этой главы.
Итак, дерево характеризуется:
• иерархией доменов;
• пространством смежных имен;
• доверительными отношениями Kerberos между доменами;
• использованием общей схемы;
• принадлежностью к общему глобальному каталогу.
Лес характеризуется:
• одним или несколькими наборами деревьев;
• раздельными пространствами имен между этими деревьями;
• доверительными отношениями Kerberos между доменами;
• использованием общей схемы;
• принадлежностью к общему глобальному каталогу.
На рисунке изображен пример леса. DNS-имя корневого домена в ле-
вом поддереве — microsoft-com.; LDAP-имя этого домена в Active Direc-
tory можно записать как DC=microsoft, DOCOM, o=Internet. Корневое имя
домена во втором поддереве — DC=MSN, DC=COM, o=Internet. Хорошо вид-
но, что пространства имен разделены.
Пример леса
Поддомены в каждом из деревьев принадлежат к смежному простран-
ству имен. Например LDAP-имя для российского домена внутри Micro-
soft могло бы выглядеть как DC=russia,DC=microsoft,DC=COM,o=Internet.
Концепция смежных деревьев в лесу позволяет понять многие механиз-
мы: как осуществляется поиск в лесу или в поддеревьях, почему объек-
ты безопасности остаются действительными в рамках леса и др. Мож-
но формировать виртуальные команды пользователей, находящихся в
разных деревьях леса, а также включать в лес любое дерево. Последнее
свойство используется, например, при слиянии предприятий или на-
чальном разворачивании сети.
Для обеспечения работы дерева или леса необходимы метаданные. Они
хранятся в двух контейнерах (конфигурации и схемы), в каждом из
которых своя система имен и топология тиражирования. В конфигура-
ционном контейнере содержится информация, связующая для деревь-
ев в лесу: о доступных контроллерах домена, узлах и вообще всех кон-
троллерах домена. При добавлении в домен нового контроллера кон-
фигурационная информация обновляется и тиражируется.
Управление деревом и лесом
Возможно, неискушенный читатель, ознакомившись с предыдущим
разделом, решит, что автор бредит, настолько рассуждения о деревьях
и лесе на первый взгляд кажутся бессвязными. Могу лишь посоветовать
абстрагироваться от привычного восприятия леса и деревьев как объек-
тов природы и настроиться на то, что это объекты Active Directory.
Как и любыми, объектами службы каталогов необходимо управлять.
Представьте себе небольшую фирму, организовавшую деревья и леса
Active Directory в соответствии со своей структурой. Более чем очевид-
но, что это нельзя сделать раз и навсегда. Предприятие может расти,
его структура — перестраиваться, отделы и подразделения — исчезать
или создаваться заново. В соответствии с этими изменениями надо
будет модифицировать и структуру сети, и такие возможности в Active
Directory предусмотрены. К операциям реструктуризации и переимено-
вания объектов в каталоге относятся:
• простое добавление доменов;
• простое удаление доменов;
• переименование доменов;
• переразмещение деревьев доменов и лесов;
• слияние деревьев в лес.
Добавление домена — самая простая из перечисленных операций.
Домен можно подключить к дереву во время установки контроллера до-
мена. Все что для этого нужно сделать — указать существующий в Active
Directory домен в качестве родительского. При этом между доменами
будут установлены доверительные отношения Kerberos, что позволит
новому домену присоединиться к дереву.
Удаление домена не является удалением в полном смысле этого сло-
ва — домен просто исключается из дерева. Проделать эту операцию
можно в любое время. Но предварительно следует убедиться, что у ис-
ключаемого домена нет дочерних доменов — иначе доверительные
отношения дочернего домена окажутся разорванными, и он также бу-
дет исключен из дерева.
Любой объект в каталоге Active Directory может иметь несколько имен:
общее, относительное и т. п. Единственным всегда неизменным иден-
тификатором объекта является Глобальный уникальный идентифика-
тор GU1D (Globally Unique Identifier). GUID - это многозначное число,
создаваемое контроллерами домена. Алгоритм создания идентифика-
тора не допускает дублирования. Именно этот никогда не изменяемый
идентификатор может использоваться в Active Directory для того, что-
бы свободно переименовывать домены, как и любые объекты4.
GUID также позволяет перемещать домены в дереве или в лесу. Во
время частичного тиражирования в глобальный каталог заносится под-
множество свойств объекта. В это подмножество входит и GUID. Если
объект перемещен, то глобальный каталог может использовать GUID
для поиска объекта и его отличительного имени на основе нового от-
носительного ID и LDAP-пути к новому местоположению.
4 В Windows NT 5.0 скорее всего не будет реализован механизм переименова-
ния доменов, так как разработчики столкнулись с целым рядом непредви-
денных трудностей, преодоление которых перенесено к моменту выхода
Windows NT 6.0.
Включение домена в лес не сложнее подключения к дереву доменов
и рассматривалось ранее.
Если используется сервер динамического DNS Windows NT 5.0, то при
перемещении или переименовании домена средствами администриро-
вания автоматически выполняется коррекция записей в базе DNS. При
использовании UNIX DNS-сервера создается файл, в который заносят-
ся и подлежащие удалению, и новые записи. Дополнительно в Windows
NT Workstation 5.0 автоматически изменяются настройки TCP/IP, и вно-
сится новое имя домена.
Доступ к Active Directory
Теперь, имея общее представление о том, что же такое Active Directory,
поговорим о доступе к объектам в каталоге и управлении ими. Как уже
упоминалось, в каталоге содержится информация обо всех объектах
системы: дисках, устройствах, сетевых ресурсах, пользователях, груп-
пах, доменах и т. п. Доступ к этим объектам разделен на функциональ-
ные группы, для которых созданы слепки, используемые консолью уп-
равления ММС (Microsoft Management Console). Подробно ознакомить-
ся с использованием каждого из слепков можно и в главе б и других
главах, посвященных отдельным возможностям операционной систе-
мы. А сейчас рассмотрим лишь самые общие возможности доступа к
каталогу.
Управление узлами
Конфигурируя узлы, Вы управляете топологией тиражирования. Для
доступа к информации об узлах необходимо загрузить в ММС слепок
Microsoft Site Replication Manager. Соответствующее окно примет вид,
изображенный на рисунке. Загружая этот слепок впервые, Вы увидите
один узел, указанный во время установки операционной системы и имя
своего собственного компьютера в этом узле.
Окно Microsoft Management Console - Microsoft Site Replication
Manager
Для описания узла необходимо описать входящие в него подсети. Опи-
сание подсетей выполняется в формате www, xxx. yyy. zzz/mm, где первая
часть (до косой черты) — адрес подсети, a mm — число немаскируемых
разрядов, считая от начала. Например, 155.1-1.0/22. Все маскируемые
разряды должны быть равны 0.
Чтобы добавить новый узел, подведите мышь к папке Sites в левой ча-
сти окна, щелкните ее правой кнопкой и выберите из контекстного
меню команду New и подменю Site. В поле появившегося диалогового
окна укажите имя нового узла, включаемого в топологию тиражирования.
Управление службой каталогов
Загрузив слепок Directory Service Manager, Вы увидите окно, аналогич-
ное изображенному на рисунке. В левой части окна находится дерево
доменов (или один домен, если это единственный контроллер домена
в сети). Для каждого домена существуют: контейнер Computers, где пе-
речислены компьютеры и их роль в домене, контейнер System с инфор-
мацией о системных сервисах и объектах, а также контейнер Users, в
котором хранится информация обо всех пользователях.
Диалоговое окно Microsoft Management Console - Directory
Service Manager
Для добавления нового объекта в систему, щелкните правой кнопкой
мыши контейнер, в который Вы желаете поместить новый объект. Вы-
берите из контекстного меню команду New, а затем — тип объекта.
Список добавляемых объектов зависит от типа выбранного контейне-
ра. Так, например, в контейнер System можно поместить:
• Computer (компьютер);
• Contact (контакт);
• DistributionList (список рассылки);
• Group (группа);
• GroupOfNames (группа имен);
• Local policy (локальная политика);
• nTDSsettings (установки NTDS);
• organizationalPerson (персона организации);
• person (персона);
• printQueueu (очередь печати);
• publicFolder (общая папка);
• remoteAddress (удаленный адрес);
• site (узел);
• storage (хранилище);
• user (пользователь);
• volume (том).
Добавление нового объекта в каталог
Для редактирования свойств любого объекта надо щелкнуть его пра-
вой кнопкой мыши и в контекстном меню выбрать команду Properties.
Внешний вид диалогового окна, которое появится вслед за этим, в зна-
чительной степени зависит от типа объекта. Например, для домена в
этом окне будет вкладка Trust relationships, а для пользователя —
вкладка его свойств. Общими для всех объектов будут вкладки Object,
где указывается путь к объекту в каталоге, и Security, где можно опре-
делять права доступа к этому конкретному объекту.
Ниже на рисунке изображено диалоговое окно, появляющееся по ко-
манде Properties с вкладками General, Managed by. Object и Security.
Вкладка General позволяет определять локальную политику, которая
будет применена к данному компьютеру, а также содержит общие опи-
сательные сведения о последнем. Помните, что чем больше сведений
об объекте, тем легче его будет найти в случае необходимости.
Диалоговое окно Computer Properties, вкладка General
Выбрав вкладку Object, можно просмотреть некоторые общие парамет-
ры каждого объекта в каталоге: путь к нему, его класс, даты создания и мо-
дификации, а также номер версии. Сравнив номера версий (USN) объек-
тов на разных компьютерах, Вы отследите тиражирование каталогов.
Вкладка Security открывает доступ к информации о защите конкрет-
ного объекта. Параметры защиты зависят от типа объекта и определя-
ются в соответствии со схемой.
На этой вкладке показаны только основные права и запреты на доступ
к объекту и список учетных записей пользователей, этими правами
обладающих. Как показано на рисунке, если объект — домен, то общи-
ми правами доступа являются полный доступ (Full Control), чтение
(Read), запись (Write), создание (Create all child objects) и удаление
дочерних объектов (Delete all child objects).
Почему запрет на доступ к объекту оговаривается отдельно? Казалось
бы достаточно не предоставлять нужного права доступа к нему, и цель
достигнута. Попытаемся ответить на этот вопрос, рассмотрев пример.
Допустим, существует некий пользователь, входящий в группу Creators.
обладающую правом создания дочерних объектов. Вы хотите предос-
тавить этому пользователю право на создание дочерних объектов для
всех типов объектов, кроме нескольких доменов. Отсутствие явного
запрещения приведет к тому, что пользователя придется исключить из
группы Creators, и включить в новую, обладающую требуемыми права-
ми. Учитывая, что подобных «исключений из правил» в большой орга-
низации множество, практика создания отдельных групп для каждого
из них может превратить администрирование в кошмар. Так что явные
запрещения существенно облегчают работу и позволяют нашему
пользователю оставаться членом группы Creators.
Диалоговое окно Computer Properties, вкладка Object
Диалоговое окно Computer Properties, вкладка Security
Если Вам требуется более тонкая настройка доступа к объекту, щелк-
ните кнопку Advanced. Появится диалоговое окно Access Control Set-
ting for Computer со списком контроля доступа к объекту.
Редактор списка контроля доступа к объекту
В списке перечислены разрешения на доступ, и для каждого из них
указаны:
• тип (разрешен или запрещен);
• имя учетной записи (в формате имя домена/имя учетной записи);
• вид доступа (зависит от типа объекта; если доступ сложный, указы-
вается Special Access);
• к чему применим (только для контейнерных объектов; в зависимос-
ти от типа объекта Вам может встретиться один из следующих вари-
антов: «только к этому контейнеру», «к этому контейнеру и всем вло-
женным в него>>, «только ко вложенным контейнерам», «только ко
вложенным неконтейнерным объектам» и т. д.).
По умолчанию объект наследует свойства родительского объекта. Если
этого не требуется, то надо выключить флажок Inherit permissions
from parent.
Чтобы отредактировать выделенную строку в списке контроля доступа
(назначить сложные права доступа или изменить глубину воздействия),
щелкните View/Edit. На экране появится диалоговое окно Permission
Entry for Computer.
В этом диалоговом окне две вкладки. Первая — Object — содержит
разрешения доступа, характерные только для конкретного выбран-
ного объекта. Вторая — Properties — общий список разрешений для
объектов.
Диалоговое окно Permission Entry for Computer
Поиск в каталоге
Для поиска объекта в каталоге (или в любой его ветви) надо в меню
диалогового окна Microsoft Directory Service Manager выбрать ко-
манду Find. Появится диалоговое окно Find, знакомое как пользовате-
лям Windows NT 4.0, так и пользователям Windows 95. Однако внешний
вид окна немного изменился. Теперь можно выбрать и предопределен-
ные категории объектов, и выполнить более сложный запрос. В пер-
вом случае список категорий содержит:
• Users and Groups (пользователи и группы);
• Computers (компьютеры);
• Shared file folders (совместно используемые папки файлов);
• Directory folders (папки каталога).
Стандартный поиск, в каталоге
В поле In можно выбрать ту ветвь в каталоге, где будет выполняться по-
иск. Результаты поиска будут стандартным образом выведены в поле в
нижней части окна. Указав на любой элемент в списке результатов
поиска, Вы увидите его полное LDAP-имя.
Помимо стандартных запросов, можно формировать более сложные,
комбинированные из нескольких простых. Для этого в поле Find вы-
берите пункт Custom Search. В появившемся диалоговом окне Find
Custom Search Вы увидите три новых поля: Field, Condition, Value.
Сложный поиск в каталоге
Поле Field позволяет выбрать имя объекта каталога. Для этого щелк-
ните одноименную кнопку, в появившемся меню выберите класс объек-
тов, а затем — свойство объекта. Перечень свойств стандартных объек-
тов приведен в Приложении А. Если Вы хотите задать класс, отличный
от перечисленного в меню, то выберите в нем пункт More. На экране
появится список всех доступных классов.
В поле Condition нужно выбрать из списка условие поиска. Для каж-
дого свойства появляется список только тех условий поиска, которые
применимы к нему. Нельзя, например для имени пользователя задать
математическое условие «больше чем».
В поле Value при необходимости вводится значение, являющееся со-
ставной частью критерия поиска. Для некоторых условий значений
просто не существует. В этом случае поле Value остается неактивным.
Например, если Вы хотите найти всех пользователей, общие имена
(сп) которых начинаются с буквы U, то в этом случае Вам надо выб-
рать класс users, для него свойство — сп. Условием станет строка Begin
f rom, а в качестве значения укажите U. Щелкните Add, и запрос появит-
ся в списке запросов. Кстати, Вы можете добавить в этот список до-
полнительные запросы или удалить запросы, включенные туда ранее.
Когда все необходимые запросы будут сформированы, нажмите кноп-
ку Find.
Схема: классы, атрибуты
и их модификация
Для того, чтобы добраться до схемы, загрузите соответствующий сле-
пок ММС: в меню консоли управления выберите Console и дайте ко-
манду Add/Remove Snap-In. В появившемся окне щелкните Add и в
списке доступных слепков укажите Schema manager. Появится диало-
говое окно Microsoft Management Console.
Окно ММС с загруженным слепком Schema Manager
В правой части окна перечислены все классы ^атрибуты схемы. Каж-
дый класс в схеме представлен объектом, его определяющим. Объекты
являются экземплярами класса Class Schema. Они могут иметь атрибу-
ты, перечисленные в Приложении Б.
Каждый атрибут в схеме также представлен объектом, определяющим
этот атрибут. Объекты являются экземплярами класса Attribute Schema
и могут иметь атрибуты, перечисленные в Приложении В. Атрибуты
могут содержать данные, тип которых определяется синтаксисом. Для
каждого атрибута возможен только один синтаксис, например, Integer,
String, BOOL. Синтаксисы в Active Directory определены Microsoft и не
могут быть изменены, также невозможно добавлять новые. Синтакси-
сы не представлены никакими объектами в каталоге. Создавая новый
атрибут, необходимо определить его синтаксис.
Некоторые характеристики объектов, определяющих классы, содержат-
ся в парных атрибутах. Значения одного атрибута пары может быть
изменено администратором, а другого — нет. Если имя атрибута начи-
нается со слова System, то администраторы не могут его изменять. Это
сделано с целью защиты системы и обеспечения ее работоспособнос-
ти. Любопытно отметить, что это правило распространяется и на те
классы, которые создали Вы сами. При создании класса можно назна-
чить начальные значения атрибутов, но дальнейшая модификация си-
стемных атрибутов невозможна.
Прежде чем добавлять или изменять классы, необходимо выполнить две
процедуры: во-первых, внести в реестр дополнительное значение, от-
сутствующее там по умолчанию; а во-вторых, — убедиться, что Ваш
компьютер будет распознан остальными контроллерами домена как
единственный, на котором допускается модификация схемы.
Итак, в реестре надо выполнить следующее добавление:
Ветвь HKEY_LOCAL_MACHINE
Ключ System\CurrentControlSet\Services\NTDS\Parameters
Имя Schema Update Allowed
Тип DWORD
Значение Любое целое положительное число
Целостность каталога требует, чтобы изменения вносились только на
одном компьютере в каждый момент времени с последующим тиражи-
рованием их на другие контроллеры домена. В противном случае воз-
можен конфликт между изменениями. Для предотвращения подобных
конфликтов вводится понятие мастер схемы, обозначающее именно
тот контроллер, на котором, и только на котором, возможна модифи-
кация схемы. В принципе, таковым может быть назначен любой кон-
троллер в домене, но по умолчанию мастером схемы становится пер-
вый установленный контроллер домена. Процесс определения того,
какой из компьютеров может выступать в этой роли называется опера-
цией единственного плавающего мастера (floating single master opera-
tion). Текущий мастер схемы отличается значением атрибута FSMO-
Role-Owner для контейнера схемы (CN=schema, CN=configu ration, DC=...).
Если Ваш компьютер — единственный контроллер домена, то масте-
ром схемы является именно он. Если в домене несколько контролле-
ров, Вы можете принудительно потребовать от нужного контроллера
стать мастером. Для этого к корневому DSE (объект с пустым DN) до-
бавьте атрибут becomeSchemaMaster равный 1. Сервер пошлет текущему
мастеру запрос на смену мастера и тот изменит атрибут FSMO-Role-
Owner на имя контроллера, запросившего эту операцию, после чего
передаст ему новое значение атрибута, а также перешлет на новый
мастер сделанные ранее, и, возможно, оставшиеся незамеченными, из-
менения. Тот примет эти изменения и станет новым мастером схемы.
Active Directory поддерживает кэш схемы, повышающий быстродей-
ствие приложений, часто обращающихся к каталогу. Кэш схемы явля-
ется представлением классов и атрибутов схемы в оперативной памя-
ти компьютера. Кэш загружается в память во время загрузки операци-
онной системы. При внесении изменений в схему кэш, спустя некото-
рое время, автоматически обновляется.
Добавление нового класса
Для добавления нового класса щелкните правой кнопкой контейнер
Classes в схеме и выберите в контекстном меню команду Add Class.
Появится диалоговое окно Create New Class, в поля которого надо
ввести несколько обязательных параметров:
• в поле Common Name (en) — общее имя класса;
• в поле LDAP Display — имя, используемое LDAP;
• в поле Unique X. 500 Object ID — уникальный идентификатор клас-
са (вопросы получения правильных идентификаторов рассмотрены
в конце этого раздела);
• в поле Parent Class — родительский класс; его указание позволяет
новому классу наследовать все атрибуты родительского. Если новый
класс не имеет родителей, то в поле указывается «Тор».
Лишкуг(1в(№ ЧК1К1 Create New Class
Модификация классов
Когда класс создан, его можно модифицировать. Для этого найдите в
списке классов нужный и дважды щелкните его левой кнопкой мыши.
Внимание! Если Вы только что создали новый класс, то он может не
отобразиться в списке классов. В этом случае закройте консоль управ-
ления и заново откройте слепок Schema Management. Новый класс бу-
дет расположен в конце списка.
На экране появится диалоговое окно Class Properties, имеющее три
вкладки: General, Relationship и Attributes. В первой из них отобра-
жаются параметры класса, указанные при его создании.
Диалоговое окно Class Properties, вкладка General
Вкладка Relationship позволяет описать взаимоотношения редактиру-
емого класса с остальными. В этом диалоговом окне показан родитель-
ский класс редактируемого класса, изменить который нельзя — выбор
родительского класса возможен только в момент создания нового. Но
можно добавить вспомогательные классы в список поля Auxiliary
Classes. В этом случае редактируемый класс будет также наследовать
все их обязательные и возможные атрибуты за исключением возмож-
ных старших классов.
Возможные старшие классы — это классы, которые могут выступать в
роли родительских для рассматриваемого. Вы можете дополнять спи-
сок этих классов, щелкая кнопку Add, расположенную рядом с полем
Possible Superior.
Добавляя имя класса, Вы должны быть готовы к тому, что его придется
вводить вручную с клавиатуры, а не выбирать из списка существующих
классов.
Для удаления из списков вспомогательного класса или возможного
старшего класса выделите его имя в соответствующем поле и щелкни-
те кнопку Delete.
Диалоговое окно Class Properties, вкладка Relationship
И, наконец, Вы можете указать для класса обязательные и возможные
атрибуты. Для этого откройте вкладку Attributes.
Диалоговое окно Class Properties, вкладка Attributes
Обязательными являются атрибуты, для которых необходимо указать
начальное значение при создании объекта данного класса. Добавьте их
в поле Mandatory и щелкните кнопку Add.
Значения возможных атрибутов можно указывать при создании объек-
та, а можно и опустить (если создается объект данного класса). Возмож-
ные атрибуты добавляются в поле Optional, затем также следует щел-
кнуть соответствующую кнопку Add.
Для удаления атрибута из списка выделите его имя и щелкните соот-
ветствующую кнопку Remove.
Добавление нового атрибута
Чтобы добавить новый атрибут щелкните правой кнопкой мыши кон-
тейнер Attributes в схеме и выберите из контекстного меню команду
Add Attribute. Появится диалоговое окно Create New Attribute, в ко-
тором следует задать несколько обязательных параметров:
• в поле Common Name — en (общее имя атрибута);
• в поле LDAP Display — имя, используемое LDAP;
• в поле Unique X. 5 00 Object ID — уникальный идентификатор атри-
бута (вопросы получения правильных идентификаторов рассмотре-
ны в конце этого раздела);
• в поле Syntax — синтаксис атрибута (тип хранимых атрибутом
данных);
• в поле Minimum — минимальное значение атрибута: для числовых
данных — минимальная величина, для строковых — минимальное
число символов в строке;
• в поле Maximum — максимальное значение атрибута: для числовых
данных — максимальная величина, для строковых — максимальное
число символов в строке.
Диалоговое окно Create New Attribute
Если атрибут может иметь несколько значений, включите флажок
Multi-valued.
•
После того, как Вы щелкните кнопку ОК, система проверит уникаль-
ность созданного атрибута и внесет его в схему.
Модификация атрибутов
Вы можете изменить некоторые свойства атрибута. Для этого дважды
щелкните нужный атрибут в списке атрибутов схемы — появится диа-
логовое окно Attribute properties. Изменить можно описание атрибу-
та, минимальное и максимальное значения, а также указать, является ли
он индексируемым.
Получение действительных идентификаторов
объектов (OID)
Возможно, Вы уже обратили внимание на идентификаторы объектов
(Х500 OID), которыми описываются классы и атрибуты. Эти идентифи-
каторы уникальны в мировом масштабе. Подобно тому, как для работы
в Интернете Вам необходим правильный адрес IP, для создания клас-
сов и атрибутов следует знать действительный диапазон OID.
Выдачей идентификаторов занимается уполномоченный ISO (Interna-
tional Standard Organization). Обратившись к нему, Вы получите ветвь
ISO-ITU OID: например, 1.23.45.66666. Внутри своей организации Вы
можете расширить эту ветвь в соответствии с потребностями. Напри-
мер, для одного из подразделений можете выделить ветвь 1.23.45.66666.1.
Тогда внутри подразделения для классов будет выделена ветвь
1.23.45.66666.1.1, а для атрибутов - 1.23.45.666666.1.2. Создаваемые внут-
ри этого подразделения классы будут иметь идентификаторы с номе-
ром 1.2 3.45.66666.1.1.Х, а создаваемые атрибуты - 1.23.45.66666.1.2.Y, где
х и у — целое десятичное не превышающее 228-!.
Заключение
Служба каталогов Active Directory, сочетающая в себе открытые стан-
дарты, простоту администрирования, глобальный каталог, возможность
наращивания, средства тиражирования, распределенную систему безо-
пасности и полную обратную совместимость с предыдущей службой
каталогов — идеальная платформа для построения сетей для крупных
предприятий и организаций, а также гетерогенных сетей.
Эта служба каталогов, использующая лучшие из стандартов имен DNS
и Х.500, LDAP, иные протоколы и богатый набор API, предоставляет гро-
мадные возможности совместимости с другими системами. Active Direc-
tory позволяет из одной точки управлять всеми ресурсами сети: файла-
ми, периферийными устройствами, подключениями к хостам, базами
данных, доступом к Web, пользователями, любыми произвольными объ-
ектами, сервисами и сетевыми ресурсами. Поддерживаемый в ней
иерархичный взгляд на систему, удобные средства администрирования
и мощные механизмы поиска позволяют значительно снизить админи-
стративные затраты.
Таким образом, можно сделать вывод: появление Active Directory сни-
мет последние ограничения на использование Windows NT в больших
организационных структурах.
ГЛАВА 2
Система
безопасности'
Операционная система Windows NT всегда обладала прекрасными и
широко применимыми на практике возможностями защиты. Однократ-
ная регистрация в домене Windows NT предоставляет пользователям
доступ к ресурсам всей корпоративной сети.
Полноценный набор инструментов Windows NT Server облегчает адми-
нистраторам управление системой защиты и ее поддержку. Например,
администратор может контролировать круг пользователей, имеющих
права доступа к сетевым ресурсам: файлам, каталогам, серверам, прин-
терам и приложениям. Правами для каждого ресурса можно управлять
централизованно.
Учетные записи пользователей также управляются централизованно. С
помощью простых графических инструментов администратор задает
принадлежность к группам, допустимое время работы, срок действия и
другие параметры учетной записи. Администратор получает возмож-
ность аудита всех событий, связанных с защитой доступа пользовате-
лей к файлам, каталогам, принтерам и иным ресурсам. Система также
способна блокировать учетную запись пользователя, если число не-
удачных попыток регистрации превышает заранее определенное. Ад-
министраторы вправе устанавливать срок действия паролей, принуж-
дать пользователей к периодической смене паролей и выбору паролей,
затрудняющих несанкционированный доступ.
С точки зрения пользователя система защиты Windows NT Server пол-
ноценна и несложна в обращении. Простая процедура регистрации
обеспечивает доступ к соответствующим ресурсам. Для пользователя
невидимы такие процессы, как шифрование пароля на системном уров-
не. (Шифрование пароля нужно, чтобы исключить передачу пароля в
В этой главе не описаны некоторые механизмы обеспечения безопасной ра-
боты в Интернете, а также вопросы, связанные с безопасностью частных
виртуальных сетей. См. главы 7 и 8 соответственно.
открытом виде по сети и воспрепятствовать его обнаружению при не-
санкционированном просмотре сетевых пакетов.) Пользователь сам
определяет права доступа к тем ресурсам, которыми владеет. Например,
чтобы разрешить совместное использование своего документа, он ука-
зывает, кто и как может с ним работать. Разумеется, доступ к ресурсам
предприятия контролируется только администраторами с соответству-
ющими полномочиями.
Более глубокий уровень безопасности — то, как Windows NT Server
защищает данные, находящиеся в физической памяти компьютера.
Доступ к ним предоставляется только имеющим на это право програм-
мам. Так же, если данные больше не содержатся на диске, система пре-
дотвращает несанкционированный доступ к той области диска, где они
содержались. При такой системе защиты никакая программа не «под-
смотрит» в виртуальной памяти машины информацию, с которой опе-
рирует в данный момент другое приложение.
Однако интрасети быстро становятся наиболее эффективным спосо-
бом совместного использования информации бизнес-партнерами. Се-
годня доступ к закрытой деловой информации управляется созданием
учетных записей для новых внешних членов деловой «семьи». Это по-
могает устанавливать доверительные отношения не только с сотрудни-
ками корпорации, но и с множеством партнеров.
Удаленный доступ через открытые сети и связь предприятий через
Интернет стимулируют постоянное и быстрое развитие технологий
безопасности. В качестве примера можно выделить сертификаты от-
крытых ключей и динамические пароли. Но архитектура безопасности
Windows NT однозначно оценивается как превосходящая и эти, и мно-
гие будущие технологии. Право на такое утверждение дают новые воз-
можности и усовершенствования, появившиеся в Windows NT 5.0. Часть
этих изменений отражает требования к защите крупных организаций,
другая — позволяет использовать преимущества гибкой архитектуры
безопасности Windows NT, объединенной с сертификатами открытых
ключей Интернета.
Перечислим новые функции безопасности Windows NT.
• Информация о доменных правилах безопасности и учетная
информация хранятся в каталоге Active Directory. Служба ка-
талогов Active Directory обеспечивает тиражирование и доступность
учетной информации на многих контроллерах домена, а также по-
зволяет удаленное администрирование.
• В Active Directory поддерживается иерархичное простран-
ство имен пользователей, групп и учетных записей машин.
Учетные записи могут быть сгруппированы по организационным
единицам (что существенно отличается от плоской структуры имен
в предыдущих версиях Windows NT).
• Административные права на создание и управление группа-
ми учетных записей пользователей могут быть делегирова-
ны на уровень организационных единиц. При этом устанав-
ливаются дифференцированные права доступа к отдельным свой-
ствам пользовательских объектов. Например, группа пользователей
может изменять параметры пароля, но не имеет доступа к другой
учетной информации.
• Тиражирование Active Directory позволяет изменять учет-
ную информацию на любом контроллере домена, а не толь-
ко на первичном. Многочисленные копии Active Directory, храня-
щиеся на других (в предыдущих версиях, резервных) контроллерах
домена, обновляются и синхронизируются автоматически.
• Доменная модель изменена и использует Active Directory для
поддержки многоуровневого дерева доменов. Управление до-
верительными отношениями между доменами упрощено за счет
транзитивности в пределах всего дерева доменов.
• В систему безопасности включены новые механизмы аутен-
тификации, такие как Kerberos v5 и TLS (Transport Layer Security),
базирующиеся на стандартах безопасности Интернета,
• Протоколы защищенных каналов (SSL 3.0/TLS) обеспечивают
поддержку надежной аутентификации клиента. Она достига-
ется путем сопоставления мандатов пользователей в форме серти-
фикатов открытых ключей с существующими учетными записями
Windows NT. Для управления учетной информацией и контроля за
доступом применяются одни и те же средства администрирования,
независимо от того, используется ли защита с открытым ключом или
с общим секретом.
• Дополнительно к регистрации посредством ввода пароля
может поддерживаться аутентификация с использованием
смарт-карт. Последние обеспечивают шифрование и надежное хра-
нение закрытых ключей и сертификатов, что особенно важно для
надежной аутентификации при входе в домен с рабочей станции.
• В состав новой версии входит Microsoft Certificate Server.
Этот сервер предназначен для организаций и позволяет выдавать со-
трудникам и партнерам сертификаты Х.509 версии 3. В CryptoAPI
включены интерфейсы и модули управления сертификатами откры-
тых ключей, включая выданные коммерческим УС (Уполномочен-
ным сертификации), сторонним УС или Microsoft Certificate Server.
Системные администраторы могут указывать, сертификаты каких
уполномоченных являются доверяемыми в системе и, таким обра-
зом, контролировать аутентификацию доступа к ресурсам.
• Внешние пользователи, не имеющие учетных записей
Windows NT, могут быть аутентифицированы с помощью
сертификатов открытых ключей и соотнесены с существу-
ющей учетной записью. Права доступа, назначенные для этой
учетной записи, определяют права внешних пользователей на дос-
туп к ресурсам.
• В распоряжении пользователей простые средства управления
парами закрытых (открытых) ключей и сертификатами, ис-
пользуемыми для доступа к ресурсам Интернета.
• Технология шифрования встроена в операционную систему
и позволяет использовать цифровые подписи для идентификации
потоков.
Базовые сведения о шифровании
В подробном разговоре о системе безопасности Windows NT неизбеж-
ны постоянные ссылки на некоторые базовые понятия: симметричное
шифрование — шифрование с закрытым или личным (private) ключом,
асимметричное шифрование — шифрование с открытым или публич-
ным (public) ключом, цифровая, подпись, сертификаты.
Давайте сначала вкратце рассмотрим эти механизмы2.
Симметричное шифрование
При симметричном шифровании и отправитель, и адресат информа-
ции пользуются одним и тем же ключом, известным обоим заранее.
(Иногда такой тип называют шифрованием с общим секретом). Удоб-
ство такой схемы очевидно — не зная ключа, расшифровать инфор-
мацию невозможно. Однако в этом случае возникает вопрос о спосо-
бе передачи ключа адресату. Наиболее надежен, конечно, личный кон-
такт, а все остальные таят реальную угрозу утери или разглашения
ключа.
В этом разделе Вы найдете лишь краткие объяснения. За более подробной
информацией лучше обратиться к специальной литературе.
Симметричное шифрование
Асимметричное шифрование
При асимметричном шифровании исходный документ шифруется с
использованием открытого ключа адресата. Этот ключ может быть из-
вестен широкому кругу лиц, но прочитать зашифрованный таким клю-
чом документ сможет только тот, у кого имеется парный к нему лич-
ный (или закрытый) ключ. Проблема секретной передачи ключей, как
видите, в данном случае отпадает. Генерируют пары ключей доверен-
ные уполномоченные по безопасности.
Асимметричное шифрование
Цифровые подписи
Цифровые подписи подтверждают истинность передаваемой информа-
ции. При этом сама информация может быть и не зашифрованной, но
считается достоверной только в том случае, если подписана соответ-
ствующим цифровым сочетанием. Подпись шифруется с помощью лич-
ного ключа отправителя, а проверяется — с помощью его открытого
ключа. Здесь так же, как и в случае асимметричного шифрования, не
нужна секретная передача ключа.
Проверка цифровой подписи
Сертификаты
Цифровые сертификаты позволяют построить надежную инфраструк-
туру организации. Этот способ защиты основан на криптографии с
открытым ключом. Сертификаты предоставляют клиентам гарантии,
что те обращаются к нужным серверам — серверы идентифицируют
себя путем предоставления сертификата. Пользователь, подключаясь к
серверу и получив от него сертификат, подписанный доверенным
уполномоченным, может быть уверен, что это именно тот, нужный ему
сервер.
Точно так же и сервер, к которому подключается клиент, «убеждается»
в подлинности последнего путем проверки его сертификата.
Сертификаты составляют основу безопасного взаимодействия в Интер-
нете и интрасетях. Помимо высочайшей степени защиты они обеспе-
чивают однократную регистрацию для доступа к ресурсам интрасетей.
Пользователю не надо помнить имя и пароль каждого узла: после од-
нократной регистрации программа просмотра ресурсов будет предос-
тавлять сертификат по мере доступа к новым узлам. Очевидно, что
при этом отпадает надобность поддерживать учетную базу на каж-
дом сервере.
Давайте рассмотрим несколько примеров использования сертификатов.
1. Организация хочет предоставить своим нынешним и бывшим со-
трудникам доступ к информации об их пенсионных накоплениях.
Информация хранится на сервере Web. В этом случае:
— все такие сотрудники получают сертификаты;
— доступ к пенсионной информации осуществляется либо через
Интернет, либо по интрасети с использованием протокола SSL и
предоставлением сертификата для аутентификации;
— при этом сотрудники имеют доступ к остальным Web-узлам ком-
пании без дополнительной регистрации.
2. Организация желает избирательно предоставить своим поставщи-
кам информацию из корпоративной интрасети. В этом случае:
— для поставщиков назначается группа Windows NT с определенны-
ми правами доступа;
— сервер сертификации выдает поставщикам сертификаты, соотне-
сенные с учетной записью в Windows NT;
— поставщик регистрируется в интрасети корпорации и автомати-
чески аутентифицируется программой просмотра при предостав-
лении сертификата;
— Web-сервер соотносит поставщика с его учетной записью и по-
зволяет действовать строго в рамках предоставляемых ей полно-
мочий.
3. Организация предоставляет посетителям услуги по подписке на свой
Web-сервер. При этом:
— потенциальный пользователь заходит на Web-узел и заполняет
регистрационную форму подписчика;
— входной модуль сервера сертификации обрабатывает запрос и
выдает сертификат, а также заносит в корпоративную базу ин-
формацию о пользователе и правах, ему предоставленных;
— теперь пользователь может снова зайти на Web-узел, предоста-
вить сертификат и, после аутентификации, воспользоваться под-
пиской;
— если пользователь больше не нуждается в подписке или исполь-
зует ее не по назначению, администратор может отозвать серти-
фикат пользователя и запретить доступ.
В Windows NT 5.0 встроен сервер сертификатов Certificate Server, кото-
рый может выдавать сертификаты в стандартных форматах (Х.509 вер-
сий 1 и 3), а также добавлять расширения по мере надобности.
Протокол аутентификации Kerberos
Протокол аутентификации Kerberos определяет взаимодействие между
клиентом и сетевым сервисом аутентификации, известным как KDC
(Key Distribution Center). В Windows NT KDC используется как сервис
аутентификации на всех контроллерах домена. Домен Windows NT эк-
вивалентен области Kerberos, но к ней обращаются как к домену. Реа-
лизация протокола Kerberos в Windows NT основана на определении
Kerberos в RFC1510, Клиент Kerberos реализован в виде ПФБ (постав-
щика функций безопасности) Windows NT, основанном на SSPI. Началь-
ная аутентификация Kerberos интегрирована с процедурой WinLogon.
Сервер Kerberos (KDC) интегрирован с существующими службами бе-
зопасности Windows NT, исполняемыми на контроллере домена. Для
хранения информации о пользователях и группах он использует служ-
бу каталогов Active Directory.
Протокол Kerberos усиливает существующие функции безопасности
Windows NT и добавляет новые. Рассмотрим последние подробней.
• Повышенная скорость аутентификации при установлении
начального соединения. Сервер приложений не должен обра-
щаться к контроллеру домена для аутентификации клиента. Такая
конфигурация повышает масштабируемость серверов приложе-
ний при обработке запросов на подключение от большого числа
клиентов.
• Делегирование аутентификации в многоярусных архитекту-
рах клиент-сервер. При подключении клиента к серверу, после-
дний имперсонирует (олицетворяет) клиента в этой системе. Но
если серверу для завершения транзакции нужно выполнить сетевое
подключение к другому серверу, протокол Kerberos позволяет деле-
гировать аутентификацию первого сервера и подключиться ко вто-
рому от имени клиента. При этом второй сервер также выполняет
имперсонацию клиента.
• Транзитивные доверительные отношения для междудомен-
ной аутентификации. Пользователь может быть аутентифициро-
ван в любом месте дерева доменов, так как сервисы аутентификации
(KDC) в каждом домене доверяют билетам, выданным другими KDC
в дереве. Транзитивное доверие упрощает управление доменами в
больших сетях с несколькими доменами.
Аутентификация NTLM
Перед тем, как рассмотреть процесс аутентификации Kerberos, вспом-
ним механизм, действующий в предыдущих версиях Windows NT.
Итак, после того, как пользователь вводит свое имя и пароль, система
аутентифицирует его путем передачи параметров, заданных в вводном
диалоговом окне, менеджеру защиты учетных записей SAM (Security
Account Manager). SAM сравнивает имя пользователя и зашифрованный
пароль с теми, что хранятся в базе пользователей домена или, при ло-
кальной регистрации, рабочей станции. Если имя и пароль совпадают,
сервер уведомляет рабочую станцию о подтверждении доступа. Кроме
того, сервер загружает и такую информацию о пользователе, как при-
вилегии учетной записи, положение домашнего каталога и т. п. Если для
пользователя определен сценарий регистрации, этот сценарий также
загружается на рабочую станцию для исполнения.
Если пользователь имеет учетную запись и привилегии доступа в сис-
тему, а введенный им пароль верен, подсистема защиты создает объект
маркер доступа, представляющий пользователя. Он сравним с ключом,
содержащим «удостоверение личности» пользователя. Маркер доступа
хранит такую информацию, как идентификатор защиты SID (Security
ID), имя пользователя и имена групп, к которым он принадлежит.
Маркер доступа или его копия ассоциируются с любым процессом,
выполняемым пользователем (например, открытие или печать файла).
Комбинация процесс-маркер называется субъектом. Субъекты опери-
руют над объектами Windows NT путем вызова системных сервисов.
Когда субъект осуществляет доступ к защищенному объекту, (например,
файлу или каталогу), содержимое маркера сравнивается с содержимым
списка контроля доступа к объекту ACL (Access Control List) путем стан-
дартной проверки. При этом определяется, можно ли предоставить
субъекту право на выполнение запрашиваемой операции. Эта же про-
цедура может при необходимости сгенерировать сообщения аудита,
отражающие результаты попыток доступа.
Созданный маркер передается процессу Win32 WinLogon. WinLogon
предписывает подсистеме Win32 создать процесс для пользователя, и
маркер доступа присоединяется к этому процессу. После этого подси-
стема Win32 инициирует Windows NT Explorer, и на экране появляется
соответствующее окно.
На рисунках изображен процесс регистрации на локальной рабочей
станции и в домене.
Основы Kerberos
Kerberos является протоколом аутентификации с совместным секре-
том — и пользователю, и KDC известен пароль (KDC — зашифрован-
ный пароль). Протокол Kerberos определяет серию обменов между кли-
ентами, KDC и серверами для получения билетов Kerberos. Когда кли-
ент начинает регистрацию в Windows NT, поставщик функций безопас-
ности Kerberos получает начальный билет Kerberos TGT (Ticket grant
ticket), основанный на зашифрованном представлении пароля. Win-
dows NT хранит TGT в кэше билетов на рабочей станции, связанной с
контекстом регистрации пользователя. При попытке клиентской про-
граммы обратиться к сетевой службе проверяется кэш билетов: есть ли
в нем верный билет для текущего сеанса работы с сервером. Если тако-
го билета нет, на KDC посылается запрос с TGT для получения сеансо-
вого билета, разрешающего доступ к серверу.
CTRL+ALT+DEL
Начальная аутентификация Kerberos
Сеансовый билет добавляется в кэш и может впоследствии быть исполь-
зован повторно для доступа к тому же самому серверу в течение време-
ни действия билета. Время действия билета устанавливается доменны-
ми правилами и обычно равно восьми часам. Если время действия би-
лета истекает во процессе сеанса, то поставщик функций безопаснос-
ти Kerberos возвращает соответствующую ошибку, что позволяет кли-
енту и серверу обновить билет, создать новый сеансовый ключ и во-
зобновить подключение.
На рисунке изображено взаимодействие между клиентом, KDC и сер-
вером приложений, использующим протокол аутентификации Kcrberos.
Подключение к серверу с использованием протокола Kerberos
Сеансовый билет Kerberos предъявляется удаленной службе в сообще-
нии о начале подключения. Части сеансового билета зашифрованы
секретным ключом, используемым совместно службой и KDC. Сервер
может быстро аутентифицировать клиента, проверив его сеансовый
билет и не обращаясь к сервису аутентификации, так как на сервере в
кэше хранится копия секретного ключа. Соединение при этом проис-
ходит гораздо быстрее, чем при аутентификации NTLM, где сервер
получает мандаты пользователя, а затем проверяет их, подключившись
к контроллеру домена.
Сеансовые билеты Kerberos содержат уникальный сеансовый ключ, со-
зданный KDC для симметричного шифрования информации об аутен-
тификации, а также данных, передаваемых от клиента к серверу. В мо-
дели Kerberos KDC используется в качестве интерактивной доверенной
стороны, генерирующей сеансовый ключ.
Интеграция Kerberos
Протокол Kerberos полностью интегрирован с системой безопасности
и контроля доступа Windows NT. Начальная регистрация в Windows NT
обеспечивается процедурой WinLogon, использующей ПФБ Kerberos
для получения начального билета TGT. Другие компоненты системы,
например, Redirector, применяют интерфейс SSPI к ПФБ Kerberos для
получения сеансового билета для удаленного доступа к файлам серве-
ра SMB.
В протоколе Kerberos версии 5 для сеансовых билетов определено шиф-
руемое поле. Оно предназначено для данных авторизации, однако ис-
пользование этого поля определяется конкретными приложениями, В
Windows NT поле данных авторизации служит для хранения иденти-
фикатора безопасности Security ID, однозначно определяющего пользо-
вателя и членство в группе. Поставщик функций безопасности Kerberos
на серверной стороне использует поле авторизации для создания мар-
кера защищенного доступа (security access token), представляющего
пользователя в этой системе. Сервер, следуя модели безопасности Win-
dows NT, использует этот маркер для доступа к локальным ресурсам,
защищенным списками контроля доступа.
Делегирование аутентификации поддерживается в протоколе Kerberos
версии 5 путем использования в сеансовых билетах флагов proxy и
forwarding. Сервер Windows NT применяет делегирование для получения
сеансового билета на доступ от имени клиента к другому серверу.
Делегирование полномочий в трехъярусной модели доступа
Взаимодействие Kerberos
Протокол Kerberos версии 5 реализован в различных системах и ис-
пользуется для единообразия аутентификации в распределенной сети.
Под взаимодействием Kerberos подразумевается общий протокол, по-
зволяющий учетным записям аутентифицированных пользователей,
хранящимся в одной базе (возможно тиражируемой) на всех платфор-
мах предприятия, осуществлять доступ ко всем сервисам в гетероген-
ной среде. Взаимодействие Kerberos основывается на следующих харак-
теристиках:
• общий протокол аутентификации пользователя или сервиса по ос-
новному имени при сетевом подключении;
• возможность определения доверительных отношений между облас-
тями Kerberos и создания ссылочных запросов билетов между обла-
стями;
• поддержка определенных в RFC 1510 требований к взаимодействию,
относящихся к алгоритмам шифрования и контрольных сумм, вза-
имной аутентификации и другим возможностям билетов;
• поддержка форматов маркера безопасности Kerberos версии 5 для
установления контекста и обмена сообщениями так, как это опре-
делено рабочей группой lETFCommon Authentication Technology.
Поддержка Kerberos открытых ключей
В Windows NT также реализованы расширения протокола Kerberos, под-
держивающие дополнительно к аутентификации с совместно исполь-
зуемым секретным ключом аутентификацию, основанную на парах
открытого (закрытого) ключа. Поддержка открытых ключей позволяет
клиентам запрашивать начальный ключ TGT с помощью закрытого
ключа, в то время как KDC проверяет запрос с помощью открытого
ключа, полученного из сертификата Х.509 (хранится в пользовательс-
ком объекте в каталоге Active Directory), Сертификат пользователя мо-
жет быть выдан как сторонним уполномоченным сертификации (Certi-
fication Authority), так и Microsoft Certificate Server, входящим в Windows
NT. После начальной аутентификации закрытым ключом используют-
ся стандартные протоколы Kerberos для получения сеансовых билетов
на доступ к сетевым службам,
Поддержка протоколом Kerberos открытых ключей — основа аутенти-
фикации в сети с помощью смарт-карт. Пользователи Windows NT 5.0
могут их применять для входа в систему.
Сервер сертификатов Microsoft
Certificate Server
Сервер сертификатов Microsoft Certificate Server предоставляет органи-
зациям упрощенный, без обращения к внешним УС (уполномоченным
сертификации), процесс выдачи сертификатов. С его помощью дости-
гается полный контроль над правилами выдачи, управления и отзыва
сертификатов, а также над форматом и содержанием самих сертифи-
катов. Регистрация всех транзакций позволяет администратору отсле-
живать запросы на выдачу сертификатов и управлять ими.
Certificate Server исполняется в виде сервиса Windows NT и обрабаты-
вает все запросы сертификатов, случаи их выдачи, а также все списки
отзыва. Статус каждой операции с сертификатами отслеживается с
помощью очереди транзакций. По завершении операции информация
о ней заносится в журнал транзакций для последующей проверки ад-
министратором.
На рисунке показаны компоненты сервера сертификатов: исполнитель-
ная часть, очереди и журнал находятся в одном сервисе Windows NT;
входной и выходной модули, а также модуль правил и административ-
ные утилиты исполняются в раздельных процессах; стрелочки отража-
ют последовательность обращений.
Структура сервера сертификатов
Клиент и входной модуль
Запрос сертификата поступает от любого, поддерживающего цифровые
сертификаты, клиентского приложения. Это может быть, например,
программа просмотра страниц Web, почтовый клиент или клиент элек-
тронного магазина. Точку входа Certificate Server — так называемый
входной модуль — можно настроить на прием запросов во многих стан-
дартных форматах. Входные модули исполняют две основные функции:
распознают протокол или транспортный механизм, используемый зап-
рашивающим приложением, а также устанавливают соединение с сер-
вером сертификатов для передачи запросов. Если надо обеспечить
столь специфические потребности, что это не под силу поставляемым
входным модулям, можно написать свой собственный модуль, исполь-
зуя интерфейс СОМ, предоставляемый Certificate Server.
Модуль очередей и правил
Входной модуль передает запрос в исполнительную часть сервера сер-
тификатов, где происходит ввод запроса в очередь, а далее — передача
в модуль правил. Именно там на основе содержащейся в запросе до-
полнительной информации определяется возможность выдачи запро-
шенного сертификата. Так же, как и входной модуль, модуль правил яв-
ляется полностью настраиваемым.
В процессе принятия решения о выдаче сертификата, модуль правил
может обратиться к внешним базам данных, таким как каталог Active
Directory, или унаследованная база данных, или кредитная информация
от стороннего источника, чтобы проверить предоставленную инфор-
мацию. Также он может посылать администраторам предупреждения о
необходимости выдачи им разрешения.
После этого информация упаковывается в запрос так, как указано ад-
министратором. Модуль правил может быть настроен на вставку любых
расширений сертификатов, затребованных клиентским приложением
(например, данные для оценки покупательных возможностей клиента).
Создание сертификата и регистрация в журнале
Когда модуль правил возвращает запрос на предоставление сертифи-
ката назад в исполнительный модуль, обновляются очередь, шифрова-
ние и цифровая подпись сертификата, а также запись транзакции. В
журнал заносятся не только все запросы, но и то, были ли они удовлет-
ворены или отвергнуты. Там же с целью последующего аудита хранят-
ся все выданные сертификаты и списки отзыва сертификатов.
Выходной модуль
Certificate Server передает сертификат в выходной модуль, который
упаковывает его в соответствующий транспортный механизм или про-
токол. Так, сертификат может быть передан по почте, по сети или по-
мещен в службе каталогов, например, Active Directory.
Подобно входному модулю, выходной также полностью настраиваем.
Более того, в одном сервере допустимы несколько выходных модулей,
и один и тот же сертификат может быть не только отправлен клиенту,
но и помещен, например, в репозитарий сертификатов для последую-
щего использования (в том числе для проверки информации в пользо-
вательском сертификате).
Административные инструменты
Для конфигурирования, мониторинга и управления операциями на сер-
вере в состав Certificate Server включен ряд административных инстру-
ментов. Они позволяют модифицировать правила, добавлять новые
входной и выходной модули, просматривать очередь. Просматривая
очередь, администратор может либо отвергнуть запрос о сертификате
либо, наоборот, инициировать его незамедлительную выдачу.
Безопасность и Active Directory
Во всех предыдущих версиях Windows NT информация об учетных
записях хранилась в защищенных ветвях реестра на контроллерах до-
мена. Доверительные отношения между доменами и сквозная аутенти-
фикация в двухуровневых иерархиях доменов позволяли довольно гиб-
ко управлять учетными записями и серверами ресурсов. Однако внут-
ри каждого домена пространство имен было плоским и не имело ни-
какой внутренней организации.
Распределенные службы безопасности Windows NT 5.0 используют Acti-
ve Directory в качестве хранилища учетной информации. Active Direc-
tory значительно превосходит реестр по производительности и маст-
табируемости. Особо впечатляют ее административные возможности.
Рассмотрим преимущества интегрированного управления учетными
записями службой каталогов Active Directory.
• Учетные записи пользователей, групп и машин могут быть
организованы в виде контейнеров каталога, называемых, как
уже упоминалось, организационными единицами OU. В домене до-
пустимо произвольное число OU, организованных в виде древовид-
ного пространства имен в соответствии со структурой организации
пользователя. Также как и OU, учетные записи отдельных пользова-
телей являются объектами каталога. При изменении сотрудниками
места работы или должности учетные записи внутри дерева доме-
нов могут быть легко перемещены, и, таким образом, приведены в
соответствие с новым положением.
• Каталог Active Directory позволяет учитывать намного боль-
ше объектов пользователей, чем реестр. Размер одного домена
уже не ограничен производительностью сервера, хранящего учетные
записи. Дерево связанных между собой доменов Windows NT может
поддерживать большие и сложные организационные структуры.
• Администрирование учетной информации расширено за
счет графических средств управления Active Directory, а так-
же за счет поддержки OLE DS в языках сценариев. Общие за-
дачи администрирования могут быть решены в виде сценариев, что
позволяет автоматизировать их выполнение.
• Служба тиражирования каталогов дает возможность иметь
несколько копий учетной информации, причем обновляться
эта информация может в любой копии, а не только на выделенных
первичных контроллерах домена. Протокол LDAP и синхронизация
каталогов обеспечивают механизмы связи каталога Windows NT с
другими каталогами на предприятии.
Хранение учетной информации в Active Directory означает, что пользо-
ватели и группы представлены там в виде объектов каталога. Права на
чтение и запись могут быть предоставлены отдельным лицам, как по
отношению ко всему объекту целиком, так и по отношению к отдель-
ным его свойствам. Администраторы могут точно задавать, кто именно
правомочен модифицировать информацию о пользователях, и какую
именно. Например, оператору телефонной службы разрешается изме-
нять информацию о телефонных номерах пользователей, но при этом он
не обладает привилегиями системного оператора или администратора.
Понятие групп упростилось, и место локальных и глобальных групп
теперь занимают просто объекты zpynn''. С их помощью можно управ-
лять как доступом к ресурсам в масштабе всего домена, так и к локаль-
ным ресурсам контроллера домена.
Между Active Directory и службами безопасности Windows NT существу-
ют фундаментальные отношения. В Active Directory хранятся правила
безопасности домена, определяющие порядок использования системы
(ограничения паролей, ограничения на доступ к системе и др.). Объек-
ты каталога, относящиеся к безопасности, должны быть защищены от
несанкционированного доступа. В Windows NT реализована объектная
модель безопасности и контроля за доступом ко всем объектам в ката-
логе Active Directory. У каждого объекта есть свой уникальный дескрип-
тор защиты, определяющий разрешения на чтение или обновление
свойств объекта.
На рисунке изображены фундаментальные отношения между Active Di-
rectory и службами безопасности операционной системы.
Интеграция Active Directory и служб безопасности
' Это свойство только первой бета-версии системы. В дальнейшем понятие
групп будет значительно расширено.
Для определения прав данного клиента считывать или модифицировать
определенный объект в Active Directory служит имперсонация и вери-
фикация доступа Windows NT. Иными словами, при поступлении LDAP-
запроса от клиента доступ к объектам каталога контролируется опера-
ционной системой, а не службой каталогов Active Directory.
Модель безопасности Windows NT обеспечивает однородный и унифи-
цированный механизм контроля за доступом к ресурсам домена на
основе членства в группах. Компоненты безопасности Windows NT до-
веряют хранимой в каталоге информации о защите. Например, сервис
аутентификации Windows NT хранит зашифрованные пароли пользо-
вателей в безопасной части каталога объектов пользователя. По умол-
чанию операционная система «считает», что правила безопасности за-
щищены и не могут быть изменены кем-либо несанкционированно.
Общая политика безопасности домена также хранится в каталоге Active
Directory.
Доверительные отношения между доменами
В Windows NT 5.0 домены могут быть организованы в виде иерархи-
ческих деревьев. Между доменами устанавливаются доверительные от-
ношения, Поддерживаются два вида таких отношений:
• явные однонаправленные доверительные отношения с доменами
Windows NT 4.0;
• двусторонние транзитивные доверительные отношения между
всеми доменами, входящими в дерево.
Явные отношения доверия устанавливаются не только с доменами ста-
рого типа, но и в том случае, когда неявные двусторонние отношения
не пригодны для использования: например, для домена финансового
отдела или бухгалтерии. Установление явных односторонних довери-
тельных отношений автоматически отменяет неявные доверительные
отношения Kerberos.
Впрочем, в крупной организации явные односторонние отношения
нужны не так уж часто. Неявные двусторонние доверительные отноше-
ния значительно облегчают управление учетными записями из не-
скольких доменов, так как все домены в дереве неявно доверяют друг
другу.
Делегирование административных полномочий
Делегирование административных полномочий — гибкий инструмент
ограничения административной деятельности рамками части домена.
Этот метод позволяет предоставить отдельным сотрудникам возмож-
ность управления пользователями или группами в заданных пределах
и, в то же время, не дает им прав на управление учетными записями,
относящимися к другим подразделениям.
Права на определение новых пользователей или создание групп
пользователей делегируются на уровне OU или контейнера, в котором
создана учетная запись. Администраторы групп одной организацион-
ной единицы не всегда имеют возможность создавать учетные записи
того же самого домена, но относящиеся к другой организационной
единице или управлять ими. Однако доменные правила и права досту-
па, определенные на более высоких уровнях каталога, могут быть при-
менены по всему дереву с помощью механизма наследования.
Существует три способа делегирования административных полномочий:
• на изменение свойств определенного контейнера, например, Local-
DomainPolicies самого домена;
• на создание и удаление дочерних объектов определенного типа
(пользователи, группы, принтеры и пр.) внутри OU;
• на обновление определенных свойств некоторых дочерних объек-
тов внутри OU (например, право устанавливать пароль для объек-
тов типа User).
Делегировать полномочия просто. Достаточно выбрать лицо, которо-
му будут делегированы полномочия, и указать, какие именно полномо-
чия передаются. Интерфейс программы администрирования Active
Directory позволяет без затруднений просматривать информацию о
делегировании, определенную для контейнеров.
Детальное назначение прав доступа
Обычно в большой организации за обеспечение безопасности и под-
держание инфраструктуры сети отвечают несколько человек или групп.
Следовательно, должна существовать возможность предоставлять таким
лицам или группам права на исполнение определенных операций без
права создания дополнительных учетных записей и воздействия на
свойства других учетных записей.
Архитектурой безопасности объектов Active Directory используются
дескрипторы защиты Windows NT для контроля за доступом к объек-
там. Каждый объект в каталоге имеет уникальный дескриптор защиты.
Входящий в дескриптор список контроля доступа ACL (Access Control
List), содержит строки, определяющие разрешение или запрет на оп-
ределенные виды доступа для отдельных лиц или групп. Права доступа
могут быть предоставлены или запрещены в различной степени. Суще-
ствуют уровни прав доступа, различающиеся применением к:
• объекту в целом (при этом затрагиваются все свойства объекта);
• группе свойств, определенной наборами свойств внутри объекта;
• отдельному свойству объекта.
По умолчанию доступ для чтения и записи ко всем свойствам объекта
получает создатель объекта.
Запрещение или предоставление доступа к группе свойств удобно для
определения родственных свойств. Группирование свойств выполняет-
ся соответствующим атрибутом свойства в схеме. Взаимоотношения
наборов свойств можно изменять, модифицируя схему.
Наконец, назначение прав доступа к отдельным свойствам представля-
ет собой наивысший уровень детализации, применимый ко всем объек-
там Active Directory.
Контейнерные объекты в каталоге также поддерживают детализацию
доступа, регламентируя, кто имеет право создавать дочерние объекты
и какого типа. Например, правило доступа, определенное на уровне
организационной единицы, может определять, кто имеет право созда-
вать объекты типа User (пользователи) в этом контейнере. Другое пра-
вило в этой же OU может определять, кто имеет праао создавать объек-
ты типа Printer.
Новая реализация редактора списков контроля доступа представляет
собой диалоговое окно, в котором легко просмотреть или изменить
права доступа к объектам Active Directory; а также задать права цосг/па
как к отдельным свойствам объектов Active Directory, так и к наборам
свойств. Кроме того, редактор ACL позволяет организовывать наследо-
вание прав доступа к объектам-контейнерам.
Наследование прав доступа
Наследование прав доступа означает, что информация об управлении
доступом, определенная в высших слоях контейнеров в каталоге, рас-
пространяется ниже — на вложенные контейнеры и объекты-листья.
Существуют две модели наследования прав доступа: динамическая и
статическая. При динамическом наследовании права определяются
путем оценки разрешений на доступ, назначенных непосредственно
для объекта, а также для всех родительских объектов в каталоге. Это
позволяет эффективно управлять доступом к части дерева каталога,
внося изменения в контейнер, влияющий на все вложенные контейне-
ры и объекты-листья. Обратная сторона такой гибкости — недостаточ-
но высокая производительность из-за времени определения эффектив-
ных прав доступа при запросе пользователя.
В Windows NT реализована статическая форма наследования прав до-
ступа, иногда также называемая наследованием в момент создания.
Информация об управлении доступом к контейнеру распространяется
на все вложенные объекты контейнера. При создании нового объекта
наследуемые права сливаются с правами доступа, назначаемыми по
умолчанию. Любые изменения наследуемых прав доступа, выполняемые
в дальнейшем на высших уровнях дерева, должны распространяться на
все дочерние объекты. Новые наследуемые права доступа распростра-
няются на объекты Active Directory в соответствии с тем, как эти новые
права определены. Статическая модель наследования позволяет увели-
чить производительность.
Элементы безопасности системы
Следующие разделы посвящены практической работе в системе по ре-
ализации политики безопасности: управлению учетными записями
пользователей и групп, исполнению и делегированию административ-
ных функций4.
Учетные записи пользователей и групп
Любой пользователь Windows NT характеризуется определенной учет-
ной записью. Под учетной записью понимается совокупность прав и
дополнительных параметров, ассоциированных с определенным
пользователем. Кроме того, пользователь принадлежит к одной или
нескольким группам. Принадлежность к группе позволяет быстро и эф-
фективно назначать права доступа и полномочия.
4 Описание приведено в соответствии с Windows NT 5.0 первой бета-версии.
Именно поэтому часть возможностей, описанных в предыдущих разделах, но
пока еще не реализованных, здесь не затронута.
Так же, как и в предыдущих версиях Windows NT, в версии 5.0 имеется
несколько встроенных учетных записей пользователей и групп. Эти
учетные записи наделены определенными полномочиями и могут ис-
пользоваться в качестве основы для новых учетных записей,
К встроенным учетным записям пользователей относятся:
• Guest — учетная запись, фиксирующая минимальные привилегии
гостя;
• Administrator — встроенная учетная запись для пользователей, на-
деленных максимальными привилегиями;
• Krbtgt — встроенная учетная запись, используемая при начальной
аутентификации Kerberos.
Кроме них имеются две скрытые встроенные учетные записи:
• System — учетная запись, используемая операционной системой;
• Creator owner — создатель (файла или каталога).
Перечислим встроенные группы:
• локальные (оставлены для совместимости)
— Account operators;
— Administrators;
— Backup operators;
— Guests;
— Print operators;
— Replicator;
— Server operators;
— Users;
• и глобальные
— Domain guests — гости домена;
— Domain Users — пользователи домена;
— Domain Admins — администраторы домена.
Помимо этих встроенных групп имеется еще ряд специальных групп:
• Everyone — в эту группу по умолчанию включаются вообще все
пользователи в системе;
• Authenticated users — в эту группу включаются только аутентифи-
цированные пользователи домена;
• Self — сам объект.
Для просмотра учетных записей используется слепок консоли управ-
ления Directory Service Manager, в котором надо выбрать контейнер
Users.
Диалоговое окно Microsoft Management Console, слепок, Directory
Service Manager, контейнер Users
По сравнению с предыдущими версиями Windows NT, отпадает необ-
ходимость в отдельном инструменте User Manager или User Manager for
Domains для управления учетными записями пользователей и групп.
Для просмотра и модификации свойств учетной записи достаточно
щелкнуть имя пользователя или группы и на экране появится диалого-
вое окно User Properties.
Диалоговое окно User Properties, вкладка General
Диалоговое окно содержит следующие вкладки:
• General — общее описание пользователя; все параметры необяза-
тельные;
• Address — домашний и рабочий адрес пользователя; все параметры
необязательные;
• Account — обязательные параметры учетной записи;
• Telephone/notes — необязательные параметры;
• Organization — дополнительные необязательные сведения;
• Membership — обязательная информация о принадлежности
пользователя к группам;
• Dial-in — параметры удаленного доступа;
• Object — идентификационные сведения о пользовательском объекте;
• Security — информация о защите объекта.
Необязательные параметры можно и не вводить, но они полезны при
поиске того или иного пользователя по второстепенным признакам.
Окно свойств учетной записи пользователя (вкладка Account) во мно-
гом похоже на соответствующее диалоговое окно в User Manager for
Domains.
Диалоговое окно User Properties, вкладка Account
Здесь следует указать:
• характеристики пароля (должен ли пользователь его изменить при
следующем входе в домен, имеет ли пароль ограничения по сроку);
• не заблокирована ли учетная запись;
• срок истечения времени действия учетной записи;
• профиль пользователя и его домашний каталог;
• время работы;
• рабочие станции, с которых допустим вход в домен.
Подробнее см. [I].
Для включения пользователя в ту или иную группу выберите вкладку
Membership. Появится список групп, в которые входит пользователь.
Поскольку, обычно, пользователь может входить в группы, принадле-
жащие любому домену в дереве, имена групп записываются с указани-
ем относительного пути в каталоге Active Directory.
Диалоговое окно User properties, вкладка Membership
Чтобы включить пользователя в новую группу, выделите ее в списке и
щелкните кнопку Add. Чтобы исключить пользователя из группы, вы-
делите ее в списке и щелкните кнопку Remove.
Права доступа к пользовательскому объекту станут доступны для про-
смотра и редактирования, если выбрать вкладку Security. Если рассмат-
риваемый объект не является контейнером, то для него определяются
наиболее общие разрешения, приведенные в таблице 2-1.
Таблица 2-1
|
||
Право доступа |
Описание |
Учетные записи, которым право доступа |
Full Control
Write |
Полный
Чтение |
Administrators, Account operators,
Administrators, Account operators, Administrators, Account operators, |
Таблица 2-1 (продолжение)
Право доступа |
Описание |
Учетные записи, которым право доступа |
Send To |
Отправить |
Administrators, Account operators, |
System |
|
|
Send As |
Отправить как |
Administrators, Account operators, |
|
|
System, Self |
Receive as |
Принять как |
Administrators, Account operators, |
|
|
System, Self |
Force change |
Форсировать |
Administrators, Account operators, |
password |
смену пароля |
System |
Change |
Изменять |
Administrators, Account operators, |
password |
пароль |
System, Self, Everyone |
Диалоговое окно User Properties, вкладка Security
Обратите внимание на то, что доступ можно не только предоставлять
(поле Allow), но и запрещать (поле Deny). Это позволяет избежать
создания множества дополнительных групп с наборами прав доступа,
немногим отличающимися друг от друга.
Дополнительно к перечисленным правам доступа для пользовательско-
го объекта, определены еще несколько (см. таблицу 2-2).
Таблица 2-2
Право доступа |
Описание |
Учетные записи, которым право доступа |
List contents |
Полный |
Administrators, Account operators, |
|
доступ |
System, Authenticated users. Self |
Read all |
Чтение всех |
Administrators, Account operators, |
properties |
свойств |
System, Authenticated users. Self |
Write all |
Запись всех |
Administrators, Account operators, |
properties |
свойств |
System |
Add/Remove |
Добавлять |
Administrators, Account operators, |
self as a |
самого себя в |
System |
member |
качестве члена |
|
Delete |
Удалять |
Administrators, Account operators, |
|
|
System |
Read |
Чтение |
Administrators, Account operators, |
permissions |
прав доступа |
System, Authenticated users. Self |
Modify |
Изменять |
Administrators, Account operators, |
permissions |
права доступа |
System |
Modify owner |
Изменять |
Administrators, Account operators, |
|
владельца |
System |
Чтобы добавить нового пользователя в организационную единицу (OU),
щелкните ее имя правой кнопкой мыши, выберите в контекстном меню
команду New/User. Появится диалоговое окно Create User.
w.
Это диалоговое окно во многом похоже на аналогичное в User Manager
for domains. В нем так же можно указать общее имя пользователя (сп),
его полное имя, пароль (со сроком действия, если есть), запрещено ли
использование этой учетной записи. Отличие же состоит в том, что
теперь, не создав пользователя, нельзя определить его свойства. Ранее
же такая возможность предоставлялась еще до фактического добавле-
ния учетной записи в базу.
Свойства групп можно просмотреть так же, как и свойства любого объ-
екта в каталоге: щелкнуть правой кнопкой мыши имя группы и в кон-
текстном меню выбрать команду Properties. Перед Вами появится ди-
алоговое окно Group Properties.
Диалоговое окно Group Properties, вкладка General
В диалоговом окне Group Properties есть вкладки со следующей ин-
формацией:
• General — общей о группе, а также список ее членов;
• Membership — о том, в какие группы входит выбранная группа;
• Managed by — об администраторе группы;
• Object — об объекте-группе;
• Security — о правах доступа к объекту-группе.
Список членов группы представлен в виде относительного имени
пользователей в каталоге, например, domain /Users/Account Name. Для до-
бавления новых пользователей надо щелкнуть кнопку Add и выбрать
пользователей этого или иного домена.
Диалоговое окно Group Properties, вкладка Membership
Напомню, что в предыдущих версиях Windows NT вложенными могли
быть только глобальные группы, которые включались в локальные. В
новой версии все группы могут быть вложенными. Чтобы включить
существующую группу в какую-либо иную, надо в окне свойств группы
выбрать вкладку Membership. Перед Вами появится список групп, в
которые входит выбранная. Так как в общем случае группы могут при-
надлежать разным доменам, имена групп представлены в виде относи-
тельного имени объекта в каталоге, например, domain/Builin/Admi-
nist rato rs. Для включения группы в еще одну группу щелкните кнопку
Add и укажите нужную группу. Для исключения выбранной группы из
другой — выделите в списке имя той группы, которую надо покинуть, и
щелкните кнопку Remove.
Добавление новой группы выполняется почти так же, как и добавление
нового пользователя. Разница лишь в том, что, добавляя группу Вы
первоначально указываете только имя объекта.
Домены Windows NT
Управление доменами (подробно описанное в главе 3) осуществляется
с помощью административной консоли DNS. Вы можете определить
зоны, прописать полностью определенные имена, включить в домены
компьютеры и т. п. Сейчас же мы рассмотрим домен как объект службы
каталогов, нуждающийся в защите от несанкционированного доступа.
Как уже указывалось, домены объединяются в деревья. Для просмотра
дерева доменов используется специальный слепок консоли управления
(domain.msc), называемый Domain Tree Management. На рисунке показа-
но окно консоли с загруженным слепком и одним доменом в дереве.
Окно консоли управления с загруженным слепком Domain Tree
Management
Если Вы щелкните имя домена правой кнопкой мыши, то в появившем-
ся контекстном меню увидите две команды: Manage и Properties. Пер-
вая вызывает загрузку в консоль слепка DNS Manager, а вторая имеет
прямое отношение к теме данной главы и позволяет вывести на экран
диалоговое окно Domain Properties.
Диалоговое окно Domain Properties, вкладка General
В диалоговом окне Domain Properties несколько вкладок со следую-
щей информацией:
• General — общей, а также о правилах, используемых в домене и
локально;
• Trusts — о доверительных отношениях явного типа (не Kerberos);
• Mode — о режиме работы домена;
• Managed by — общей об администраторе домена;
• Object — об идентификации доменного объекта в каталоге;
• Security — о параметрах доступа к домену и объекту.
Установление доверительных отношений явного типа ничем не отли-
чается от применявшегося в предыдущих версиях: в верхний список
заносятся имена доменов, которым доверяет данный домен; а в ниж-
ний — имена доменов, которые могут ему доверять.
Диалоговое окно Domain Properties, вкладка Trusts
Как уже указывалось, эти доверительные отношения есть смысл зада-
вать лишь тогда, когда двустороннее транзитивное доверие Kerberos,
устанавливаемое по умолчанию, не отвечает безопасности; а также в
случае связи между корневыми доменами деревьев в лесу (см. главу 1).
Домены могут работать в двух режимах: «родном» (native) и смешанном
(mixed). При работе в смешанном режиме в домен могут входить как
контроллеры доменов, на которых установлена версия Windows NT 5.0,
так и с более ранними версиями.
«Родной» режим работы допускает включение в домен только контрол-
леров домена с Windows NT 5.0. В этом режиме появляется возможность
создания вложенных групп, а также междоменного членства в группе.
Чтобы перевести домен из одного режима работы в другой, надо выб-
рать вкладку Mode и поставить переключатель в нужное положение.
Информация о домене представляет собой набор свойств доменного
объекта. Среди свойств есть обязательные, например, имя домена. А вот
Диалоговое окно Domain Properties, вкладка Mode
информация об администраторе домена — необязательная. С точки
зрения обеспечения работоспособности она не имеет никакого значе-
ния и поэтому вполне может быть опущена. Однако предположим, что
Вы желаете найти в дереве все домены, которыми управляет админис-
тратор Петров. Если информация, показанная на рисунке, не была вве-
дена заблаговременно, то поставленная задача сможет быть решена
только путем личного обращения к администратору Петрову.
Диалоговое окно Domain Properties, вкладка Managed By
Поскольку домен является контейнерным объектом каталога Active
Directory, к нему применимы те же самые виды доступа, что и к любому
контейнеру: полный доступ, чтение, запись, создание и удаление дочер-
них объектов.
Диалоговое окно Domain Properties, вкладка Security
Помимо стандартных, для каждого домена есть и специфичные права
доступа. В таблице 2-3 приведены некоторые из них, а также указано,
кому они предоставлены по умолчанию.
Таблица 2-3
Право доступа |
Описание |
Учетные записи, |
List contents |
Перечисление |
Authenticated Users, |
Read all properties |
Чтение всех свойств |
Authenticated Users, |
Write all properties |
Запись всех свойств |
Administrators |
Add\remove self |
Определение, делать |
Adm inistrators |
|
членом домена или |
|
|
исключать из него |
|
Delete |
Удаление объекта |
Administrators |
Таблица 2-3 (продолжение)
Право доступа |
Описание |
Учетные записи, |
Read permissions |
Чтение прав доступа |
Authenticated Users, |
|
|
Account operators, |
|
|
Administrators |
Modify permissions |
Изменение прав доступа |
Administrators |
Modify owner |
Изменение владельца |
Administrators |
Create localGroup |
Создание локальных |
Administrators |
objects |
групп |
|
Delete localGroup |
Удаление локальных |
Administrators |
objects |
групп |
|
Create printQueue |
Создание очередей |
Administrators |
objects |
печати |
|
Delete printQueue |
Удаление очередей |
Administrators |
objects |
печати |
|
Create domain- |
Создание доменной |
Administrators |
Policy objects |
политики |
|
Delete Domain- |
Удаление доменной |
Administrators |
Policy objects |
политики |
|
Create User objects |
Создание пользователей |
Administrators |
Delete User objects |
Удаление пользователей |
Administrators |
Create group |
Создание групп |
Administrators |
objects |
|
|
Delete group |
Удаление групп |
Administrators |
ohiects |
|
|
Локальная политика безопасности
Для редактирования локальной политики безопасности необходимо в
диалоговом окне Domain Properties, на вкладке General щелкнуть
кнопку Edit в группе Computer security policy при включенном флаж-
ке Use a local policy object in this domain. На экране появится диа-
логовое окно Default Local Policy Properties.
Локальная политика безопасности регламентирует правила безопасно-
сти на локальном компьютере. С ее помощью можно распределить ад-
министративные роли, конкретизировать привилегии пользователей,
назначить правила аудита.
По сравнению с имевшимися в Windows NT 4.0 возможностями аудита,
в новой версии ОС добавлен аудит еще двух категорий событий. Это
специфичные события, связанные с доступом к службе каталогов Active
Directory, и события, относящиеся к аутентификации Kerberos. Досту-
пен раздельный аудит успешных и неуспешных событий.
Диалоговое окно Default Local Policy Properties, вкладка Audit Policy
Вкладка Administrative Roles отражает делегирование административ-
ных полномочий, уже описанное ранее. Предположим, что Вам необ-
ходимо предоставить полномочия оператора учетных записей пользо-
вателю Hitrov, определенному в OU=TestLab в домене ОМ=Мозс(ЖДля это-
го выберите в списке встроенных административных ролей Account
operators и щелкните кнопку Add. Из списка всех пользователей и групп
выберите нужного Вам пользователя (Moscow/Test Lab/Hit rov). Пример
делегирования административных полномочий приведен на рисунке.
Диалоговое окно Default Local Policy Properties,
вкладка Administrative Roles
С помощью вкладки User Rights Вы можете наделять отдельных пользо-
вателей определенными дополнительными полномочиями (аналогич-
ный порядок действует и в предыдущей версии).
Диалоговое окно Default Local Policy Properties, вкладка User Rights
Выделив привилегию, Вы увидите список пользователей, которым она
предоставлена, а щелкнув кнопку Arid — сможете добавить в этот спи-
сок новые учетные записи. Как и все уже откомментированные спис-
ки пользователей, этот также перечисляет пользователей в формате
domain/orgunit/name. В таблице 2-4 перечислены все предлагаемые
встроенные привилегии и учетные записи пользователей, обладающих
ими по умолчанию.
Таблица 2-4
Учетные записи,
которым
привилегия
предоставлена
по умолчанию
Replace |
Пользователю изменять маркер |
Нет |
a process-level |
контроля за доступом к процессу |
|
token |
|
|
Generate |
Процессу создавать записи в журнал |
Нет |
security audits |
аудита безопасности |
|
Backup files |
Пользователю выполнять резервное |
Administrators, |
and directories |
копирование файлов и каталогов |
Backup |
|
(приоритет над правами доступа |
operators |
|
к файлам и каталогам) |
|
Таблица 2-4 (продолжение)
Привилегия |
Описание |
Учетные записи, |
Change notify |
Изменение привилегии оповещения |
Everyone |
privilege |
|
|
Create |
Создание файла подкачки (не дает |
Administrators |
a page file |
эффекта при работе под Windows NT) |
|
Create |
Пользователю создавать специальные |
Нет |
permanent |
постоянные объекты типа \\Device, |
|
shared objects |
которые используются в Windows NT |
|
Create a token |
Процессам создавать маркеры |
Нет |
object |
доступа |
|
Debug |
Пользователю отлаживать |
Administrators |
programs |
различные низкоуровневые |
|
|
объекты типа потоков |
|
Increase |
Пользователю увеличивать |
Administrators |
scheduling |
приоритет процесса |
|
priority |
|
|
Increase |
Процессу увеличивать квоты |
Administrators |
quotas |
на использование ресурсов |
|
Load and |
Пользователю устанавливать |
Administrators |
unload device |
и удалять драйверы устройств |
|
drivers |
|
|
Lock pages |
Пользователю «запирать» страницы |
Нет |
in memory |
в памяти так, чтобы они не могли |
|
|
быть сброшены в PAGEF1LE.SYS. |
|
Profile single |
Пользователю выполнять |
Administrators |
process |
профилирование процесса |
|
Shutdown the |
Выполнять выключение удаленной |
Administrators |
system remotely |
системы |
|
Restore files |
Пользователю восстанавливать |
Administrators, |
and directories |
зарезервированные файлы |
Backup |
|
и каталоги |
operators |
Manage |
Пользователю указывать, какие типы |
Administrators |
auditing and |
доступа к ресурсам подлежат |
|
security log |
регистрации, а также просматривать |
|
|
и очищать журнал аудита |
|
Shutdown |
Пользователю выключать систему |
Administrators, |
the system |
|
Backup |
|
|
operators, |
|
|
Users |
Modify |
Пользователю изменять переменные |
Administrators |
firmwire |
системного окружения, хранящиеся |
|
environment |
в долговременной памяти в системах, |
|
values |
поддерживающих такой тип |
|
|
конфигурирования |
|
Таблица 2-4 (продолжение)
Привилегия |
Описание |
Учетные записи, |
Profile system |
Пользователю выполнять |
Administrators |
performance |
профилирование системы |
|
Change the |
Пользователю устанавливать |
Administrators |
system time |
внутренний таймер компьютера |
|
Take ownership |
Пользователю вступать во владение |
Administrators |
on files or other |
файлами, каталогами, принтерами |
|
objects |
и другими объектами |
|
Receive |
Принимать ненастойчивый ввод |
Нет |
unsolicited input |
|
|
Log on as |
Входить в систему как пакетное |
Нет |
a batch job |
задание (не дает эффекта при |
|
|
работе под Windows NT) |
|
Log on locally |
Пользователю регистрироваться |
Administrators, |
|
локально с клавиатуры компьютера |
Backup |
|
|
operators, |
|
|
Users, Guests |
Access this |
Пользователю подключаться к |
Administrators, |
computer from |
компьютеру по сети |
Everyone |
the network |
|
|
Log on as |
Процессу регистрироваться |
Нет |
a service |
в системе как сервис |
|
Доменная политика
Доменная политика устанавливает правила для всех учетных записей в
домене, затрагивая такие сферы, как правила паролей, блокировка учет-
ных записей, выбор уполномоченных безопасности, Kerberos-правила
и т. д. В первой бета-версии реализованы только правила паролей и
блокировки учетных записей. По своим возможностям они практичес-
ки не отличаются от правил предыдущей версии Windows NT.
Для редактирования доменной политики следует щелкнуть кнопку Edit
в группе Domain security policy на вкладке General диалогового окна
Domain Properties. На экране появится диалоговое окно Default
Domain Policy Properties. С его помощью можно изменять:
• максимальный срок действия пароля;
• минимальную длину пароля;
• минимальный срок неизменности пароля;
• уникальность пароля;
• блокировку учетных записей при неудачной регистрации;
• продолжительность блокировки;
• а также некоторые другие параметры.
Диалоговое окно Default Domain Policy Properties,
вкладка Password Policy
Если пароль пользователя долгое время неизменен, защищенность сис-
темы от несанкционированного доступа значительно снижается. Имен-
но поэтому система должна принуждать пользователя к периодической
смене пароля. Политика ведения учетных записей позволяет задать
определенный срок действия пароля в пределах от 1 до 999 дней или
назначить пароль постоянным. По умолчанию продолжительность дей-
ствия пароля 42 дня.
Если администратор задал параметр Password never expires для кон-
кретного пользователя, тот может не менять пароль. Но такая практика
рекомендуется только для служебных учетных записей, от имени кото-
рых исполняются сервисы в системе.
По умолчанию длина пароля пользователя варьируется от 0 до 14 сим-
волов. Понятно, что при повышенных требованиях к защищенности
системы пустой пароль недопустим. В этом случае администратор сис-
темы назначает минимальную длину пароля. Создавая новую учетную
запись для пользователя, администратор может указать пароль произ-
вольной длины, независимо от ограничения, заданного политикой ве-
дения учетных записей. Однако если пароль изменяется пользователем
после регистрации в системе, то параметры нового пароля должны
точно соответствовать политике ведения учетных записей.
Ограничение минимально возможного срока изменения пароля пользо-
вателем целесообразно, например, если в системе работает много на-
чинающих пользователей. Во-первых, определенный срок дает пользо-
вателям, недавно познакомившимся с Windows NT, возможность при-
выкнуть к особенностям защищенной работы и убедиться в необходи-
мости помнить свой пароль. Ну а новичку, позабывшему свой пароль,
тогда сможет помочь администратор,
Во-вторых, начинающий пользователь, сменив по истечении срока
действия пароль, может захотеть вернуться к прежнему. Но сделать это
и ослабить таким образом защищенность системы не позволит прину-
дительная задержка. Это особенно эффективно, если установить пара-
метр отслеживания уникальности пароля.
Минимальный период для разрешения смены пароля варьируется в
пределах от 1 до 999 дней. По умолчанию он не ограничивается. Обыч-
но, достаточно установить 14 дней.
Параметр Password uniquiness позволяет запоминать в системе от 1
до 24 паролей, что обеспечивает уникальные пароли для пользователя
на протяжении длительного времени.
Включив флажок Password must be strong. Вы снимете с себя тяжкое
бремя! Вам больше не придется разъяснять пользователям, почему в
качестве пароля нельзя использовать свое имя, имена жены, детей, про-
чих родственников и домашних животных, дату своего (или чьего-либо
еще) дня рождения и вообще любые слова и фразы, присутствующие в
словарях. Система сама позаботится о том, чтобы пароль содержал как
минимум три из перечисленных ниже типа символов:
• прописные буквы латинского алфавита;
• строчные буквы латинского алфавита;
• цифры;
• специальные символы.
Если включен флажок User must logon in order to change password,
пользователю придется прежде, чем изменить пароль, зарегистриро-
ваться в системе. Иначе он сделает это и без регистрации. Регулирова-
ние этого параметра особенно актуально, когда истекает срок действия
пароля. Если флажок включен, пользователь самостоятельно не изме-
нит пароль, и ему придется обратиться к администратору. Если нет,
пароль можно изменить, не ставя администратора в известность,
Открыв вкладку Account Lockout диалогового окна Default Domain
Policy Properties, Вы попадете в раздел доменной политики, позволя-
ющий обезопасить Вашу систему от «словарных атак»- — программ,
взламывающих систему защиты путем перебора в поисках пароля наи-
более часто используемых слов и фраз из словаря. Чтобы такая про-
грамма не могла работать, установите максимальное число неудачных
попыток регистрации (по умолчанию пять), после которых учетная за-
пись будет заблокирована. Можно также указать время, через которое
счет неудачных попыток сбросится (по умолчанию 20 минут), и время,
в течение которого учетная запись будет блокирована (по умолчанию
1 час). После удачной регистрации счет неудачных регистрации будет
обнулен.
Диалоговое окно Default Domain Policy Properties, вкладка
Account Lockout
Редактор конфигураций безопасности
Думаю, Вы уже поняли, что множество удобных инструментов новой
версии Windows NT позволяют администратору успешно решать про-
блемы безопасности. В числе этих инструментов и средства указания
параметров доменной и локальной политики, и определение полномо-
чий пользователей, и тонкая настройка системы, и делегирование пол-
номочий.
Однако при автоматической установке операционных систем на боль-
шое число компьютеров, при администрировании больших корпора-
тивных сетей все эти инструменты, несмотря на свою полезность, ста-
новятся недостаточно эффективными, что в целом приводит к повы-
шению стоимости администрирования. Для работы в таких условиях
необходим принципиально иной метод, объединяющий в себе возмож-
ности всех упомянутых инструментов. Только так можно гарантировать
эффективную политику безопасности и контроль защиты в масштабах
крупного предприятия.
В роли такого инструмента успешно выступает редактор конфигура-
ций безопасности. Вопросы, связанные с обеспечением безопасности,
можно условно разделить на несколько областей. Microsoft идентифи-
цировал и представил в редакторе конфигураций безопасности лишь
некоторые области, что ни в коей мере не ограничивает Вас в иденти-
фикации и добавлении в редактор новых областей.
По умолчанию поддерживаются следующие области безопасности:
• политика безопасности — задание различных атрибутов безопас-
ности на локальном и доменном уровнях; так же охватывает неко-
торые установки на машинном уровне;
• управление группами с ограничениями — позволяет управлять
членством в группах, которые, по мнению администратора, «чув-
ствительны» с точки зрения безопасности системы;
• управление правами и привилегиями — позволяет редактиро-
вать список пользователей и их специфических прав и привилегий;
• деревья объектов — включают три области защиты: объекты ка-
талога Active Directory, ключи реестра, локальную файловую систе-
му; для каждого объекта в дереве шаблоны безопасности позволяют
конфигурировать и анализировать характеристики дескрипторов
защиты, включая владельцев объекта, списки контроля доступа и
параметры аудита;
• системные службы (сетевые или локальные) — построенные со-
ответствующим образом дают возможность независимым произво-
дителям программного обеспечения расширять редактор конфигу-
раций безопасности для устранения специфических проблем.
Функции редактора конфигураций безопасности
Редактор конфигураций безопасности — слепок консоли управления
ММС. Рассмотрим его основные функции.
• Определение шаблонов конфигураций безопасности. Если
Вы стремитесь обеспечить безопасность в масштабах предприятия,
насчитывающего сотни или тысячи компьютеров, лучше всего вос-
пользоваться шаблонами вместо индивидуальной настройки каждой
машины. Предположим, что все компьютеры могут иметь десять раз-
личных вариантов настройки параметров защиты. В таком случае,
удобно сделать десять шаблонов, каждый из которых будет соответ-
ствовать своему варианту защиты, и применять эти шаблоны в со-
ответствии с потребностями. Когда Вы применяете шаблон, в реестр
компьютера вносятся изменения, которые и определяют настройки
системы безопасности. Шаблоны безопасности в Windows NT — это
текстовые файлы, формат которых похож на формат inf-файлов. В
отдельных секциях описываются различные параметры безопасно-
сти. При загрузке файла в редактор конфигураций эти параметры
отображаются в удобном для анализа и редактирования виде. Редак-
тор также позволяет создавать новые файлы-шаблоны.
• Конфигурирование системной безопасности. Для конфигури-
рования параметров системной безопасности можно либо выбрать
соответствующую команду в меню загруженного слепка (что приве-
дет к записи параметров из шаблона в реестр), либо воспользовать-
ся версией редактора, исполняемой из командной строки. При вто-
ром варианте вызов редактора можно встроить в административный
сценарий, который будет исполнен или незамедлительно, или в лю-
бое удобное для Вас время.
• Анализ системной безопасности. Анализ параметров, сравнение
их с заданными, обеспечивающими определенный уровень защиты,
не менее важен, чем собственно настройка. Так, в Windows NT Re-
source Kit 4.0 входит утилита, позволяющая на основе анализа на-
строек системы делать заключение о соответствии защиты уровню
С2. Редактор конфигураций безопасности дает возможность сравни-
вать настройки с шаблоном. Выполняется эта операция либо с по-
мощью соответствующей команды меню редактора, либо запуском
из командной строки.
• Просмотр результатов анализа. Редактор позволяет просматривать
результаты сравнения существующей конфигурации с шаблонной, в
том числе с использованием выразительных графических средств.
Внимание! Упомянутые функции поддерживаются только версией
редактора с пользовательским графическим интерфейсом. Версия для
исполнения в командной строке поддерживает только конфигуриро-
вание системы и сводку результатов анализа.
Графическая версия редактора
Как уже упоминалось, редактор конфигураций безопасности представ-
ляет собой слепок для консоли управления. Однако в первой бета-вер-
сии Windows NT Server он не устанавливается в системе по умолчанию.
Графический интерфейс редактора конфигураций безопасности
Чтобы установить редактор конфигураций безопасности, следует вой-
ти в каталог %windir%\System32 и дать команду Regsvr32 wsecedit. dll.
Затем нужно запустить консоль управления Microsoft Management Con-
sole и добавить к ней слепок Security configuration Editor. (Подробнее о
загрузке слепков — в главе 6).
На экране появится окно ММС с загруженным слепком редактора.
Версия редактора для командной строки
Для запуска версии редактора конфигураций безопасности в команд-
ной строке наберите secedit /?. Программа выведет на экран список
доступных параметров.
Версия редактора конфигураций безопасности для командной
строки
Назначение параметров следующее:
• /configure — конфигурирует систему;
• /analyse — анализирует параметры безопасности системы;
• /scppath scppath—указывает полный путь к профилю конфигура-
ции безопасности;
• /sadpath sadpath — указывает путь к тому месту, где будет создана
база данных для последующего анализа состояния защиты (эта ин-
формация игнорируется, если система была ранее сконфигурирова-
на или анализ уже выполнялся);
• /areas areas — определяет области защиты, которые должны быть
сконфигурированы или проанализированы;
• /log logpath— указывает путь к файлу, в который будут заноситься
сообщения об ошибках.
Конфигурирование безопасности
Как уже упоминалось, для конфигурирования параметров безопаснос-
ти системы используются шаблоны. Первая бета-версия обладает огра-
ниченными возможностями редактирования шаблонов и, следователь-
но, реализации политики безопасности: для работы с редактором не-
обходимо пользоваться уже готовым шаблоном, предлагаемым в каче-
стве образца.
Чтобы работать с шаблоном следует войти в каталог %windir%\secu-
rity\templates и скопировать файл sample.infB файл custom.inf. Открыв
редактор конфигураций, Вы обнаружите в разделе Configuration/Ins-
pection Templates два шаблона — Sample и Custom. Последний можно
использовать для экспериментов.
Политика безопасности
Выбрав в окне обзорного просмотра ветвь, соответствующую шаблону
Custom, щелкните папку Security Policy. В правой части окна появится
перечень параметров политики безопасности, хорошо знакомый каж-
Конфигурирование элементов политики безопасности в шаблоне
дому администратору Windows NT (ограничения, применяемые к па-
ролям, параметры блокировки учетных записей, параметры входа в
систему и т. д). Рядом с каждым из параметров указано значение, запи-
санное в шаблоне.
Чтобы изменить любое из значений шаблона, дважды щелкните его.
Появится диалоговое окно, позволяющее модифицировать значение.
Таким образом можно отредактировать все доступные параметры по-
литики безопасности.
Замечание. В первой бета-версии нельзя добавить новый параметр
средствами редактора. Это делается только путем модификации шаб-
лона в любом текстовом редакторе. В будущем данный раздел будет
существенно изменен.
Управление правами и привилегиями
пользователей
Выбрав в окне обзорного просмотра ветвь, соответствующую шаблону
Custom, щелкните папку User rights assignments. В правой части окна
появится список привилегий, а также список групп пользователей, ко-
торым назначены эти привилегии в шаблоне. Чтобы добавить новые
группы или исключить уже имеющиеся, дважды щелкните название
привилегии и выполните необходимые изменения в появившемся ди-
алоговом окне.
К()11фигурч1>оваш1е привилегий пользователей в шаблоне
Управление группами с ограниченными правами
Выбрав в окне обзорного просмотра ветвь, соответствующую шаблону
Custom, щелкните папку Restricted Groups. В шаблоне, который постав-
ляется в качестве примера, показана только одна группа с ограничени-
ями — Administrators. Вы можете добавить иные группы, отредакти-
ровав шаблон по своему усмотрению.
В списке перечислены пользователи — члены той или иной группы, а
в списке Member of— те группы, членами которых одновременно яв-
ляются эти пользователи. Таким образом, Вы можете четко контроли-
ровать всех, кто принадлежит к той или иной группе с ограниченными
полномочиями, а также их привилегии и права.
Для добавления в группу новых членов или исключения членов из груп-
пы дважды щелкните ее имя и произведите необходимые изменения в
появившемся диалоговом окне.
Введенные в шаблон изменения будут применены к операционной
системе после наложения редактируемого шаблона с помощью редак-
тора конфигураций безопасности.
Управление членством в группах с ограниченными полномочиями
Управление доступом к реестру
Реестр — это дерево объектов. Доступ к каждому объекту в дереве дол-
жен быть регламентирован. Выбрав в окне обзорного просмотра ветвь,
соответствующую шаблону Custom, щелкните папку Registry. В правой
части окна появится список ветвей реестра, доступ к которым можно
ограничивать. В шаблоне, поставляемом с редактором, приведена не-
кая мифическая ветвь MACHINE\HARDWARE, которую надо истолковывать
как HKEY_LOCAL_MACHINE\Hardware. Чтобы добавить к дереву новые вет-
ви, их надо в явном виде прописать в шаблоне с помощью любого тек-
стового редактора.
Для разграничения доступа к выбранной ветви реестра дважды щелк-
ните ее имя и укажите нужный тип доступа и имя соответствующей
учетной записи. Изменения будут занесены в шаблон.
Управление доступом к ветви реестра
Разграничение доступа к файлам
Шаблоны можно использовать для разграничения доступа к файлам
локального компьютера. Все дисковые тома рассматриваются в виде
узлов одного дерева. Выбрав в окне обзорного просмотра ветвь, соот-
ветствующую шаблону Custom, щелкните папку File System. Образец
файла шаблона содержит описание доступа только к одному каталогу —
%systeii]drive%\temp. Другие каталоги можно добавить в шаблон само-
стоятельно, используя любой текстовый редактор.
Для определения прав доступа дважды щелкните имя нужного файла и
произведите изменения в появившемся диалоговом окне. Вы можете
указать стандартные виды доступа, а также имена пользователей и
групп.
Замечание. Первая бета-версия не позволяет указывать специальный
вид доступа.
Определение в шаблоне прав доступа к файловой системе
Применение шаблона к системе
Когда шаблонные параметры управления безопасностью полностью
определены, Вы можете применить их к системе. Для этого щелкните
правой кнопкой мыши имя соответствующего шаблона и в контекст-
ном меню выберите команду Configure. Параметры выбранного шаб-
лона будут перенесены в реестр компьютера.
Анализ установок безопасности системы
Чтобы проанализировать действующую конфигурацию безопасности
системы и сравнить ее с шаблонной с помощью редактора, следует
щелкнуть правой кнопкой папку Last Configuration/Inspection и выбрать
в контекстном меню команду Perform Inspection.
После завершения анализа в папке Last Configuration/Inspection появят-
ся вложенные папки, соответствующие разделам шаблона: Security Poli-
cy, User Rights Assignment, Restricted Groups, System Services, Registry и
File System. В них будут помещены результаты анализа.
В будущем планируется возможность создавать отчеты, а также гене-
рировать ответы на запросы, но пока, в первой бета-версии, предусмот-
рены лишь два вида представления результатов.
Анализ политики безопасности
Выбрав в окне обзорного просмотра ветвь, соответствующую результа-
там анализа, щелкните папку Security Policy. В правом окне появится
список соответствий.
Результаты сравнения действующей конфигурации политики
безопасности с шаблонной
В этом списке зелеными галочками отмечены совпадающие пункты, а
красными крестиками — расхождения (можно посмотреть, чем имен-
но они вызваны).
Анализ привилегий пользователей
Выбрав в окне обзорного просмотра ветвь, соответствующую результа-
там анализа, щелкните папку User Rights Assignment. В правом окне
появится список соответствий.
Этот список похож на описанный ранее, однако надо сделать неболь-
шое замечание. В третьей колонке достаточно много строк, отмечен-
ных как Not Configured. Тем не менее результат сравнения с шабло-
ном оценивается для них как положительный.
Результаты анализа использования прав пользователей
Анализ доступа к реестру
Результаты доступа к реестру отображаются в несколько ином виде. В
том случае, если назначенные в шаблоне права совпадают с фактичес-
кими, в столбце Permission будет запись Match, в противном случае —
Mismatch.
Результаты анализа защищенности ветви реестра
Заключение
Система безопасности Windows NT 5.0, интегрированная со службой
каталогов Active Directory, позволяет гибко решать проблемы построе-
ния надежной наращиваемой корпоративной сети. Новые средства ад-
министрирования позволяют управлять учетными записями в рамках
больших сетей. Доверительные отношения Kerberos существенно упро-
стили построение сложных многодоменных деревьев, отражающих
структуру организации. Использование стандартных протоколов позво-
ляет интегрировать Windows NT в гетерогенные сети и использовать
единые механизмы защиты.
Новые средства администрирования позволяют более эффективно уп-
равлять безопасностью как локального, так и удаленных компьютеров.
Применение шаблонов политики безопасности значительно упрощает
ее реализацию в крупных сетях.
Все это свидетельствует, что новая версия приспособлена для работы как
в сетях крупных транснациональных корпораций, так и в Интернете.
ГЛАВА 3
Планирование
системы
Говоря о планировании системы, обычно подразумевают выбор крите-
риев используемой техники, определение нагрузочной способности,
необходимых сервисов и протоколов и т. п. Если обратиться к [I], то
там достаточно подробно освещены эти вопросы. И хотя это описание
предыдущей версии Windows NT, во многом методики расчета приме-
нимы и к новой версии 5.
Дополнительный фактор, заставляющий воздержаться пока от разра-
ботки подробных рекомендаций, — то, что система на момент написа-
ния книги находится на стадии первой бета-версии. Многие функции
еще лишь намечены, некоторые — не реализованы полностью, в коде
присутствует отладочная информация. Все это пока не позволяет де-
лать какие-либо выводы о технических характеристиках системы.
Тем не менее, уже сейчас ясно, что появление в Windows NT 5.0 службы
каталогов Active Directory существенно изменяет подход к построению
сетей на базе Windows NT. Вместо привычных одно- или двухъярусных
объединений доменов предполагается строить иерархии доменов, объ-
единять домены в деревья доменов, а деревья доменов — в леса. Да и
внутри доменов стало возможным создавать иерархичные структуры
организационных единиц. Изменились и роли контроллеров доменов,
механизмы их взаимодействия друг с другом и с клиентами.
Особого внимания заслуживают такие вопросы, как планирование ар-
хитектуры DNS, а также планирование структуры узлов. Именно о них
мы и поговорим в этой главе, а также рассмотрим процесс установки
Windows NT, сделав при этом упор на особенностях установки первой
бета-версии.
Планирование архитектуры DNS
Давайте начнем с планирования интрасети Вашей организации. Учти-
те, что многие советы из этого раздела пригодятся Вам и при подклю-
чении сети к Интернету.
Перед началом планирования архитектуры DNS следует изучить или
повторить концепцию и терминологию DNS. Лучше всего это делать по
специальной литературе. Например, рекомендую Вам [4].
Пример организации DNS
Итак, Вы приступаете к планированию интрасети. Первыми Вашими
шагами станут:
• разработка структуры имен доменов;
• определение количества доменов и поддоменов;
• определение нужного числа конфигурируемых зон;
• определение числа серверов;
• решение, будет ли сервис DNS интегрирован с Active Directory;
• определение количества клиентов DNS;
• планирование пространства имен.
При планировании сервера DNS Вы можете избрать один из несколь-
ких возможных подходов. Например, решить, что для всей организа-
ции будет создана одна зона, содержащая один домен. Но на этом пути
Вас подстерегают две опасности. Первая — по мере роста зоны ею ста-
нет сложно управлять централизованно. Для решения этой проблемы
внутри зоны можно создать несколько поддоменов и делегировать им
(разумеется, в разумных пределах) полномочия администрирования.
Вторая опасность в том, что тиражирование зон DNS по узкополосным
каналам — довольно дорогое удовольствие. Таким образом, плоская
структура рациональна только для небольших организаций с несколь-
кими узлами.
В большинстве же случаев лучше создавать поддомены по организаци-
онному или территориальному признаку. В больших, охватывающих
несколько узлов, сетях хороший эффект дает разбивка на несколько
зон, каждая из которых управляется своей службой DNS. При такой
структуре нужен один корневой (roof) домен с одним первичным и
несколькими вторичными серверами DNS. В остальных зонах (или
подзонах) также должно быть по одному первичному и по несколько
вторичных серверов DNS.
В больших организациях целесообразно комбинировать территориаль-
ный и производственный принципы деления на зоны. При этом важно
учитывать как размер файла зон, так и потребности выполняемого по
узкополосным каналам обмена информацией между первичным и вто-
ричными серверами в зоне.
Замечание. Старайтесь создавать домены так, чтобы они соответ-
ствовали доменам DNS, зонам и поддоменам.
Другой, не менее важный, вопрос; какие имена давать доменам и хос-
там, какие символы допустимо в этих именах использовать? Вообще-
то, сервер DNS Microsoft позволяет использовать любые символы, вклю-
чая Unicode. Это означает, что в интрасети допустимы даже русские
имена зон, доменов и хостов. Тем не менее, не рекомендуется подда-
ваться такому соблазну. Лучше строго следовать стандартам (RFC952 и
RFC1123): ведь неизбежно настанет день, когда Вы подключите свою
сеть к Интернету. Тогда и поймете, что поступили правильно.
Выбор поддерживаемой системы, наименований DNS
Согласно RFC952, в именах допустимо использовать строчные и про-
писные латинские буквы (A-Z), цифры (0-9), дефис (-) и точки. Обра-
тите внимание на то, что использование точек допускается только в ка-
честве разделителей в имени DNS.
Кроме того, спецификации RFC1123 дополнительно задают следующие
правила:
• в качестве первого символа в имени допустимы как буквы, так и
числа;
• полное имя домена может иметь длину до 63 октетов, а полностью
определенное имя (FQDN) — до 255 символов.
Планирование количества и типов серверов имен
В каждой зоне должно быть как минимум два сервера DNS: первичный
и вторичный. Для надежности эти компьютеры должны быть макси-
мально независимы друг от друга, например, располагаться в различ-
ных подсетях.
Число серверов DNS и их расположение определяются объемом сети,
связями между подсетями и требованиями безопасности. Серверы имен
могут быть первичными, вторичными или просто кэширующими.
Первичные серверы следует располагать вблизи наиболее критичных и
часто используемых серверов, таких, как серверы файлов, почтовые
серверы или серверы Web.
Вторичные серверы нужны для избыточности и для разгрузки первич-
ных. Эффективность здесь достигается ограничением числа серверов,
которым разрешается забирать обновления непосредственно с первич-
ных. Если вторичных серверов много, следует наладить между ними
отношения для управления тиражированием.
Для повышения производительности разрешения имен (особенно на
низкоскоростных линиях) рекомендуются кэширующие серверы имен.
В предыдущих версиях Windows NT обязательным механизмом регис-
трации и разрешения имен в сети является NetBIOS, Для динамичного
отслеживания соответствия NetBIOS-имен и IP-адресов рекомендуется
использовать WINS. В Windows NT 5.0 на смену NetBIOS пришел сер-
вер DNS, и серверы WINS больше не нужны.
Внимание! В Windows NT 5.0 оставлена поддержка WINS для унасле-
дованных систем. Допускается и интеграция DNS с WINS таким же об-
разом, как в Windows NT 4.0.
Сервер DNS в Windows NT 5.0 поддерживает динамические обновления
в соответствии со спецификациями RFC 2136. Динамический сервер
DNS позволяет клиентам и серверам регистрировать доменные имена
и соответствующие IP-адреса без участия администратора. Можно,
правда, отключить эту функцию, но при этом существенно возрастет
нагрузка на администраторов, которым придется вручную заниматься
обновлением базы.
Флажок Allow dynamic update, разрешающий динамическое
обновление базы DNS
Интеграция DNS со службой каталогов
Так как каждому домену Windows NT соответствует DNS-домен, можно
использовать DNS для общения со службой каталогов. Для Windows NT
необходим сервер DNS, поддерживающий записи SRV (локаторов сер-
висов) в соответствии со спецификацией RFC2052. Записи SRV — обоб-
щение записей MX, когда несколько разных серверов могут объявлять
об одном и том же сервисе. В случае Windows NT записи SRV указыва-
ют на контроллер домена.
Формат записи следующий:
Service.Proto.Name TTL Class SRV Priority Weight Port Target,
где:
• Service — символическое имя сервиса (например, http или Idap);
• Proto — протокол (обычно TCP или UDP);
• Name — имя домена для этой записи;
• TTL — стандартное время жизни DNS;
• Class — стандартный класс DNS IN;
• Priority — приоритет хоста назначения (клиент должен пытаться
подключиться к наименее приоритетному хосту назначения);
• Weight (вес) — механизм балансировки нагрузки при выборе среди
хостов с равным приоритетом (тогда хост должен выбираться в пер-
вую очередь по своему весу); в случае отсутствия балансировки на-
грузки вес равен 0;
• Port — порт, используемый сервисом на хосте назначения;
• Target — доменное имя хоста назначения (для него должна быть, по
крайней мере, одна запись типа А).
Типичной записью SRV для домена fyodor.work будет:
ldap.tcp.fyodor.work О IN SRV 0 0 389 nts5fz.fyodor.work
Редактирование записи типа SRV
В соответствии со спецификацией RFC2136, для обновления базы в
динамической реализации DNS используется модель тиражирования с
одним мастером. Это означает, что первичный сервер зоны должен
быть всегда доступен для клиентов.
Active Directory — отличное место для хранения базы DNS и, кроме того,
эта служба каталогов предоставляет возможности тиражирования с
несколькими мастерами. Эта возможность в Windows NT 5.0 позволяет
использовать механизмы тиражирования Active Directory для обновле-
ния информации DNS. Для активации этой функции необходимо выб-
рать соответствующую возможность при создании зоны.
Создание первичной зоны, база которой хранится в каталоге Active
Directory
Планирование структуры узлов
Объем данных, тиражируемых между различными узлами, зависит от
того, принадлежат ли контроллеры доменов одному домену, доступен
ли глобальный каталог, и есть ли таковой в узле назначения.
Предположим, что штаб-квартира некоей корпорации расположена в
Северной Америке, центральный филиал — в Европе, а еще один фи-
лиал — в Юго-Восточной Азии. Все три точки связаны между собой
каналами связи, причем между американским и европейским подраз-
делениями проложена высокоскоростная линия Т1, а азиатский филиал
связан с европейским медленным каналом б4К.
Допустим, что вся сеть выполнена в виде одного домена (сценарий 1).
Каждый контроллер домена получает полную копию данных. Для уско-
рения входа в сеть в каждом из трех узлов располагаются контроллеры
домена. После создания нового пользовательского объекта в американ-
ском отделении вся информация о нем тиражируется в европейское, а
затем, оттуда — в азиатское. При изменении свойств этого объекта ти-
ражируется только информация об изменениях.
Пример организации с тремя узлами
А теперь предположим, что каждый узел содержит отдельный домен
(сценарий 2). В каждом узле — свои контроллеры доменов. Локаль-
ные администраторы доменов создают новых пользователей, инфор-
мация о которых не тиражируется между узлами. Единственная инфор-
мация, тиражируемая между агентами DSA независимо от принадлеж-
ности к домену — метаданные дерева.
Если Вас более всего заботит трафик между узлами и в каждом отделе-
нии корпорации имеется квалифицированный технический персонал,
то сценарий 2 — именно то, что нужно. А возможность доступа пользо-
вателей к ресурсам всех доменов обеспечат доверительные отношения
Kerberos.
Однако это решение удачно только в том случае, если пользователи од-
ного домена никогда не запрашивают информацию из каталога друго-
го. Например, если пользователь в азиатском домене запросит инфор-
мацию о пользователе в американском домене, то контроллер азиатс-
кого домена возвратит ссылку на контроллер американского. Следуя
этой ссылке, пользователь обратится к контроллеру американского
домена и получит по сети всю информацию об объекте. Представьте
себе, что Вы используете в корпорации приложения, активно работа-
ющие со службой каталогов, например программу по учету кадров. В
таком случае все преимущества минимизации графика за счет отсут-
ствия тиражирования между доменами будут сведены на нет обраще-
ниями приложений к Active Directory.
Одним из решений этой проблемы может служить установка в каждом
узле контроллеров всех доменов (сценарий 3). Например, в европей-
ском узле представлены контроллеры как европейского, так и амери-
канского и азиатского доменов. При таком подходе опять же практи-
чески отсутствует тиражирование между доменами. Все запросы к служ-
бе каталогов являются локальными и выполняются быстрее, чем в сце-
нарии 2, но все же немного медленнее, чем при использовании одного
большого домена, так как требуется некоторое время на подключение
к другому контроллеру домена. К тому же, это решение достаточно до-
рогостоящее, так как в каждом узле требуется по два дополнительных
компьютера-контроллера других доменов.
Еще один выход из положения — иметь в каждом узле серверы глобаль-
ного каталога (сценарий 4). Серверами глобального каталога служат
те контроллеры домена, где хранится полная копия базы данных свое-
го домена и частичная копия объектов всего дерева доменов. Эта ко-
пия включает в себя информацию только о некоторых (принимающих
участие в тиражировании) свойствах всех объектов дерева. Для всех
предопределенных объектов в каталоге имеется список таких свойств.
Если администратор создает новый объект, то по умолчанию все свой-
ства этого объекта частично тиражируются. Этот порядок можно из-
менить, выбрав только некоторые свойства создаваемого объекта.
При выполнении запросов к серверу глобального каталога (его имя
стандартное — дс. ms-dcs. <имя домена>) происходит передача ограничен-
ного набора свойств об объекте. Если же запрос относится к опреде-
ленным свойствам, то глобальный каталог возвращает не ссылку на
другой агент DSA, а полностью определенное имя объекта, что позво-
ляет напрямую обращаться к нужному контроллеру домена.
Использование серверов глобального каталога
Этот вариант организации наиболее эффективен, когда и трафик в
сети, и организация доступа к каталогу равно важны.
Пример планирования структуры организации
Итак, при планировании узлов лучше сочетать два подхода: географи-
ческий и производственный. Можно использовать как каждый по от-
дельности, так и их комбинацию. Проиллюстрируем эту мысль приме-
ром гипотетической организации, структура которой изображена на
рисунке.
Пример структуры предприятия
Наше предприятие весьма централизовано. В Москве располагается
руководство, а также отделы маркетинга, кадров, производственный и
бухгалтерия. Отдел продаж распределенный: он располагается частич-
но в Москве, а частично — в Санкт-Петербурге, Екатеринбурге, Мурман-
ске, Новосибирске и Владивостоке. Руководство Северо-Западного на-
правления находится в Санкт-Петербурге, а Восточного — в Новоси-
бирске.
Планируя структуру, можно предложить разбить организацию на не-
сколько крупных узлов, где целесообразно поместить серверы глобаль-
ного каталога:
— Московский, в который войдут все подразделения за исключением
региональных отделов продаж,
— Северо-Западный,
— Уральский,
— Восточный.
Над доменной структурой стоит задуматься. С одной стороны, кажется
логичным поместить руководство, отдел кадров, маркетинга, бухгалте-
рию и производственный в одном домене. Отдел продаж (о нем мы
поговорим позднее) выносится в отдельный домен, что с точки зрения
графика при тиражировании и выполнении запросов не принципиаль-
но, так как все подразделения территориально расположены в одном
месте и связаны между собой скоростными каналами. База данных
службы каталогов поддерживает до 10 миллионов объектов, поэтому
такой порядок не вызывает тревоги и с точки зрения ее емкости.
Отделы внутри домена можно оформить в виде организационных еди-
ниц, что обеспечит точность делегирования административных полно-
мочий.
Правда, использование организационных единиц в данном случае име-
ет и отрицательные стороны.
1. Сложности в управлении политикой безопасности. По умол-
чанию все новые пользователи домена будут наделяться одинаковы-
ми полномочиями. Это очевидно неприемлемо, и для разграничения
доступа администратору придется создавать для каждого отдела
группы с различными правами доступа или писать разные сценарии
входа в систему. Согласитесь, это весьма сложно, да и чревато мно-
жеством ошибок. Гораздо лучше использовать разграничения, пред-
лагаемые доменной структурой.
2. Замедление операций авторизации доступа и поиска в ка-
талоге. Служба каталогов позволяет хранить огромное количество
объектов. Но чем больше объектов, тем медленнее выполняются опе-
рации, то есть «раздутый» каталог нерационален. Кроме того, неиз-
бежно избыточное тиражирование. Предположим, что в домене де-
сять контроллеров. Тогда, создавая новый объект, Вы будете порож-
дать его девять копий, а тиражирование будет выполняться по сети
девять раз!
Доменная структура с доменными границами, отражающая
производственную организацию
Все это приводит к выводу: целесообразно отделы кадров, маркетинга,
производства и бухгалтерию разместить в отдельных доменах, дочер-
них по отношению к домену руководства. Возможная структура (без
отдела продаж) изображена на рисунке.
Подразделения производственного отдела оформлены в виде органи-
зационных единиц, а отдела маркетинга — в виде доменов. Такое ре-
шение обусловлено предположением, что отдел маркетинга больше
производственного и более распределен.
Политика безопасности наследуется дочерними доменами от родитель-
ских. Таким образом, правила, установленные для домена руководства,
будут распространяться на все нижележащие отделы.
Отдел продаж хорошо вписывается в эту схему. Для него также созда-
ется отдельный домен, дочерний по отношению к домену руководства.
В свою очередь, у домена отдела продаж четыре дочерних домена: Мос-
ковский, Уральский, Северо-Западный и Восточный. Так как в Санкт-
Петербурге и Новосибирске располагается региональное руководство,
которое должно выполнять операции на доменном уровне, то отделе-
ния в этих городах оформляются в организационные единицы Севе-
ро-Западного и Восточного доменов. Филиалы в Мурманске и Влади-
востоке можно оформить либо в виде организационных единиц, либо
в виде доменов. (Окончательный выбор зависит от размера филиалов
и требований безопасности. В любом случае во всех узлах должны быть
серверы глобального каталога.)
Как видите, создать структуру организации не так уж и сложно. Важно
решить, по какому принципу будет выполняться деление: географичес-
кому или производственному. А после этого можно определять струк-
туру дерева доменов или леса деревьев в зависимости от требуемой
свободы администрирования.
Переход с предыдущей версии
Windows NT
Рассмотренные элементы планирования новой системы и установки «с
нуля» в настоящее время встречаются все реже, в основном в случаях
создания новых сетей. Гораздо чаще встает вопрос о модернизации и
расширении уже имеющейся сети или объединении нескольких се-
тей. Несомненно, здесь применимы и уже рассмотренные нами ре-
шения, однако ряд специфических особенностей требует отдельно-
го обсуждения.
Те, кто уже хорошо знаком с сетями на базе ранних версий Windov. s
NT, знают, что существует несколько моделей связи между доменами.
Встречаются и простые сети, состоящие всего из одного домена; и сети
из нескольких доменов, связанных между собой по схеме с одним или
несколькими мастер-доменами и полностью централизованным управ-
лением; и сети, использующие модель полностью доверительных отно-
шений, предлагающую полную децентрализацию; а также смешанные
модели, созданные в соответствии со структурой конкретной органи-
зации (подробнее см. [1]). Понятно, что для каждой из этих моделей
оптимален свой способ миграции на новую систему, обеспечивающий
эффективный и безопасный перенос учетной информации и мини-
мально воздействующий на конфигурацию клиентских рабочих мест.
Итак, поговорим о различных вариантах перехода со старой системы
на новую, а также о способах обеспечения нормального сосуществова-
ния в одной сети как старых, так и новых систем.
Если у Вас только один домен
Давайте сначала повторим некоторые основы работы сервера Windows
NT 4.0 и доменов на его основе. Сервер может быть либо PDC (первич-
ным контроллером домена), либо BDC (резервным контроллером),
либо отдельно стоящим сервером. Роль, которую он будет исполнять в
домене, определяется на этапе установки и не может быть изменена в
дальнейшем. Так, в частности, контроллер домена нельзя сделать от-
дельно стоящим сервером, а сервер — контроллером домена, не пере-
установив их полностью. Единственное, что можно сделать — повысить
статус резервного контроллера до первичного, а статус первичного —
понизить до резервного. На резервном контроллере можно остановить
сервис регистрации, но это приведет только к тому, что он не будет
регистрировать входящих в домен, однако своей роли контроллера не
изменит.
Так как в домене на базе Windows NT 4.0 широко используются иден-
тификаторы безопасности компьютеров, генерируемые при установке
системы, а также доверительные отношения старого типа, основанные
на этих идентификаторах, то невозможно переместить контроллер из
одного домена в другой, не прибегнув к полной переустановке систе-
мы. Кроме того, без полной переустановки Вы не можете произвольно
изменять имена контроллеров домена.
Вспомним также, что учетную информацию в домене можно изменять
только на первичном контроллере, а резервные контроллеры исполь-
зуются для регистрации пользователей. База учетных записей на BDC —
точная копия базы PDC. Достигается это за счет процесса, называемо-
го тиражированием с одним мастером (single master replication),
Отличительная особенность контроллера домена в Windows NT 5.0 —
выполнение на нем сервиса службы каталогов. Достаточно запустить
на сервере агента службы каталогов DSA (directory service agent), чтобы
обычный сервер превратился в контроллер домена.
версией). Если же первичный контроллер домена с установленной Win-
dows NT 5.0 включен, то повысить статус BDC невозможно.
Что делать после того, как на одном контроллере домена установлена
Windows NT 5.0? Можно обновить операционную систему на всех ос-
тавшихся контроллерах, а можно удовлетвориться сделанным и оста-
вить все как есть. Наилучший вариант, как всегда, компромиссный: на
нескольких контроллерах домена установлена новая система, а на не-
скольких — старая. С одной стороны, это позволит оперативно восста-
навливать информацию из Active Directory в случае выхода из строя
одного из контроллеров с Windows NT 5.0, а с другой —несколько BDC
с Windows NT 4.0 обеспечат восстановление при проблемах с тиражи-
рованием между машинами с Windows NT 5.0 и Windows NT 4.0.
Присоединение к дереву
После того, как на PDC установлена основная операционная система,
можно установить службу каталогов Active Directory. В процессе уста-
новки необходимо задать имя дерева, к которому будет присоединен
данный домен, и ссылку на будущий родительский домен, либо создать
новое дерево.
По мере обновления системы, программа установки перенесет объек-
ты (учетные записи пользователей, локальных и глобальных групп, а
также машин), расположенные в базе учетных записей SAM, в каталог
Active Directory. Как уже упоминалось, в Windows NT 5.0 не существует
разницы между локальными и глобальными группами — все группы
равны между собой. Более того, можно создавать вложенные группы,
что дает большую гибкость администрирования. Однако для совмести-
мости с предыдущими версиями локальные и глобальные группы пе-
реносятся в новую ОС в том виде, как они существовали. При этом
допускается членство глобальных групп в локальных.
Каждый объект безопасности переносится в контейнер со своим име-
нем. Контейнер, не будучи организационной единицей, является объек-
том с общим именем (сп). В таблице 3-1 показано соответствие учет-
ных записей контейнерам, в которые они переносятся.
Таблица 3-1
Учетные записи |
Контейнер |
Все пользователи |
Users |
Присоединение к дереву
После установки протокола Kerberos будут запущены службы аутенти-
фикации и выдачи начального билета TGT, а вслед за этим — заданы
транзитивные двусторонние доверительные отношения с родительс-
ким доменом.
Контроллер родительского домена выполнит тиражирование инфор-
мации в новый дочерний домен, который, в свою очередь, будет добав-
лен в доменную структуру узла. Все контроллеры домена получат уве-
домление о том, что к дереву подключен новый домен.
С этого момента новый домен становится полноправной частью дере-
ва доменов. Клиенты, которые поддерживают работу с Active Directory
(Windows NT Workstation 5.0, Windows 98 и Windows 95 с установлен-
ной клиентской поддержкой), будут пользоваться всеми преимущества-
ми транзитивного доверия и доступом к ресурсам всего дерева доме-
нов. Для них станет возможным поиск в каталоге путем запросов кон-
троллеров доменов и серверов глобального каталога. Для «старых» кли-
ентов, однако, новый домен будет выглядеть так же, как и обычный
домен ранних версий Windows NT,
Обновление резервного контроллера домена
На следующей стадии можно обновить операционную систему на дру-
гих контроллерах домена и установить на них службу каталогов Active
Directory или добавить в домен новые контроллеры с установленной
системой Windows NT 5.0.
Обновление дополнительных контроллеров домена
Так как контроллеры домена старого типа используют в своей работе
последовательно возрастающие RID (относительные идентификато-
ры) из ряда всех SID (идентификаторов безопасности), то для созда-
ния объектов системы безопасности годится только первичный кон-
троллер домена с установленной ОС Windows NT 5.0. Объекты, не име-
ющие к ней отношения, например, организационные единицы, могут
быть созданы на любом контроллере, где установлена служба катало-
гов Active Directory.
На первичном контроллере домена используется два протокола тира-
жирования: с одним мастером для систем на базе Windows NT 4.0 и
более ранних версий, и с несколькими мастерами — для партнеров на
базе Windows NT 5.0.
Завершение миграции
Когда все контроллеры домена перешли на новую версию Windows NT,
домен может быть переведен из смешанного режима работы в домен
Active Directory. (Подробнее об этом — в главе 2.) При этом в домене
появятся следующие новшества:
• механизм тиражирования каталога Active Directory с несколькими
мастерами, в том числе и для тиражирования объектов безопасности;
• прекращение бывшим первичным контроллером домена поддерж-
ки тиражирования с одним мастером, что сделает невозможным
добавление в домен контроллеров под управлением Windows NT 4.0;
• возможность для всех клиентов пользоваться преимуществами тран-
зитивных доверительных отношений;
• возможность вложения групп.
Решение о переводе домена в этот режим принимается администрато-
ром и не может быть выполнено автоматически. Другими словами, ре-
шение, что в домене больше не будет контроллеров на базе Windows
NT 4.0, может принять только человек.
Так же как и в предыдущих версиях Windows NT, в новой версии и в
службе каталогов Active Directory для определения объектов системы
безопасности используются идентификаторы безопасности SID. Не-
смотря на то, что на уровне ОС нет разницы в использовании этих
объектов, сами объекты создаются иначе. В предыдущих версиях PDC
был единственным местом, где могли быть созданы объекты безопас-
ности, а все BDC предполагали, что идентификаторы являются после-
довательно возрастающими RID. В схеме тиражирования с нескольки-
ми мастерами это в принципе невозможно, так как объекты могут быть
созданы на различных контроллерах домена, каждый из которых ис-
пользует свой диапазон RID.
После установки на PDC Windows NT 5.0 этот контроллер становится
единственным владельцем всех допустимых RID. По мере добавления в
домен новых контроллеров на базе Windows NT 5.0, текущий владелец
(информацию о котором можно получить, сделав соответствующий
запрос в Active Directory) будет выдавать им персональные пулы RID.
После того, как пул адресов выдается запросившему об этом контрол-
леру, последний принимает на себя роль владельца, что позволяет ему
вырезать блок идентификаторов RID (сейчас их 100 тысяч) из общего
количества доменных RID. Создавая новый объект системы безопасно-
сти, контроллер домена выдает ему RID из пула, после чего новый объ-
ект тиражируется для всех партнеров. Если выделенный пул идентифи-
каторов заканчивается, контроллер запрашивает еще один кусочек из
общего пула RID домена. Использование блоков идентификаторов раз-
личными контроллерами домена приводит к тому, что RID назначают-
ся в произвольном порядке, а не последовательно.
Перенос пула RID
Контроллеры домена с Active Directory «воспринимают» такие непос-
ледовательные RID как должное, в то время как у контроллеров с пре-
жними версиями это «вызывает замешательство». Вот почему, до тех
пор, пока в домене имеются контроллеры с Windows NT версии 4.0 и
более ранних, первичный контроллер домена должен работать в сме-
шанном режиме и обслуживать два механизма тиражирования. И лишь
только тогда, когда администратор решит, что в домене больше не бу-
дет контроллеров с Windows NT прежних версий, следует переключить
домен из смешанного в чистый режим Active Directory.
Для клиентов перевод домена в «родной» режим означает, что они пол-
ностью получают предоставляемую доверительными отношениями Кег-
beros возможность доступа ко всем ресурсам в дереве доменов, даже
если сами клиенты и не поддерживают протокол Kerberos. Сквозная
аутентификация позволяет опознавать клиента в любом домене дерева.
Домен после полностью завершенной миграции
Обеспечение безопасной миграции
Администраторы сетей всегда с опасением относятся к обновлению
операционных систем, постоянно откладывая это мероприятие и оп-
равдываясь боязнью «будить лихо, пока тихо». А когда, в конце концов,
жизнь заставляет их решиться на этот отчаянный шаг, стараются мак-
симально обезопасить систему от возможных непредвиденных послед-
ствий. Рекомендуются два способа миграции, которые позволят Вам в
нештатной ситуации «отойти на исходные позиции».
Первый метод — предварительная установка и сохранение BDC.
Он основан на том, что для восстановления может быть использована
копия информации первичного контроллера, которая всегда хранится
в базе учетных записей резервного контроллера домена.
Перед началом обновления операционной системы на первичном кон-
троллере домена установите в домене (или задействуйте существую-
щий) резервный контроллер с Windows NT версии 4.0. После того, как
резервный контроллер подготовлен (содержит свежую версию базы
SAM), выключите его или отключите от локальной сети.
Теперь можно смело приступать к обновлению системы на PDC так, как
описано выше. Если по каким-либо причинам корректно выполнить
обновление системы не удалось, домен останется без первичного кон-
троллера. Регистрация пользователей в нем будет еще возможна (при
наличии резервных контроллеров), но модификация — нет. Не отчаи-
вайтесь! Выключите компьютер, обновление которого не состоялось,
включите «сохраненный» BDC и повысьте его статус до PDC. После это-
го он выполнит тиражирование своей базы на все BDC в домене и тем
самым восстановит исходное состояние.
Недостаток данного способа в том, что все изменения, внесенные в
учетную информацию с момента «замораживания» BDC, будут утеряны
после того, как он станет PDC. Поэтому либо выполняйте обновление
сразу же после отключения BDC, либо обновите его базу непосред-
ственно перед отключением. Можно порекомендовать использовать два
BDC — один «замороженный», до которого «не дотрагивался» Windows
NT 5.0 и второй, который был включен в момент обновления PDC. В
этом случае на втором BDC останется самая актуальная информация.
Второй метод — исключение PDC из сети — прямо противополо-
жен первому и подразумевает физическое отключение первичного
контроллера домена от сети на момент обновления. Вместо этого сер-
вер подключается к лабораторной сети, после чего и проводится мо-
дернизация ОС. В этой же сети можно сформировать дерево доменов,
установив по контроллеру для каждого домена. Далее следует подсое-
динить резервные контроллеры и выполнить их обновление. Наконец,
в тестовую систему включаются несколько рабочих станций, и произ-
водится их проверка. Убедившись, что созданный домен нормально
функционирует, компьютеры переносят назад в корпоративную сеть.
Преимущество такого способа в том, что сеть организации не подвер-
гается никакому риску. Но есть и недостаток: до тех пор, пока первич-
ные контроллеры не будут возвращены назад в сеть, в ней невозможны
никакие изменения.
Политика безопасности
В предшествующих версиях Windows NT политика безопасности делит-
ся на две части: доменную и локальную. Правила доменной политики
безопасности хранятся в базе данных SAM и охватывают такие вопро-
сы, как создание учетных записей, ограничения на пароли пользовате-
лей, блокировки учетных записей. Правила локальной политики хра-
нятся в базе LSA (локального уполномоченного безопасности) и регла-
ментируют привилегии учетных записей и правила аудита. Локальная
политика тиражируется между контроллерами домена таким образом,
что все контроллеры следуют одним и тем же правилам. Доменная
политика применяется ко всему домену в целом.
В Windows NT 5.0 политика безопасности применяется по отношению
ко всему каталогу Active Directory. Отдельные контроллеры доменов
могут следовать различным правилам безопасности. Политика, опреде-
ленная в одном месте сети, может быть распространена на все серве-
ры и рабочие станции. Детальное делегирование административных
полномочий позволяет отказаться от всемогущества одного админист-
ратора.
Составляющие политики безопасности хранятся в двух типах объектов:
доменной и локальной политики. К доменной политике относятся:
• правила использования паролей;
• правила блокировок;
• дескриптор безопасности доменных операций;
• политика регистрации Kerberos;
• политика файловой системы с шифрованием.
В домене может существовать либо собственный объект политики, либо
ссылка на такой объект, расположенный где-то в дереве доменов, а
также соответствующая реплика. В последнем случае сервер глобаль-
ного каталога управляет тиражированием.
Объекты локальной политики хранят следующую информацию:
• правила аудита;
• правила привилегий;
• локальные роли.
Так как различия между моделями хранения и использования состав-
ляющих политики безопасности Windows NT 5.0 и предыдущих версий
слишком велики, то перенос правил в процессе миграции невозможен.
При подсоединении домена к существующему дереву он наследует объ-
ект политики от родительского домена. При обновлении отдельного
домена в нем по умолчанию формируется новая политика и новые со-
ответствующие объекты в каталоге.
Если у Вас несколько доменов
Если в Вашей организации существует несколько доменов, то они мо-
гут быть связаны друг с другом по одной из следующих моделей: мо-
дель с одним мастер-доменом, модель с несколькими мастер-домена-
ми, модель полностью доверительных отношений. В ряде случаев
структуру организации лучше всего сможет отразить комбинация этих
моделей.
Зачастую отделы информационных технологий стремятся, насколько
возможно, централизовать доменную структуру, даже если при этом она
не точно соответствует внутренней структуре предприятия. В ряде
организаций, особенно больших, с различными направлениями дея-
тельности, наоборот, наблюдается полная децентрализация управления.
Переход на службу каталогов Active Directory позволяет пересмотреть
используемую ранее модель и, в ряде случаев, сократить количество
доменов путем иерархичной структуры внутри одного домена. Кроме
того, деревья и леса доменов позволяют привести структуру в полное
соответствие со структурой организации и обеспечить наибольшую
эффективность управления.
Планируя большую разветвленную, содержащую много низкоскорост-
ных участков, сеть стоит уделить особое внимание ее пропускной спо-
собности. Иногда бывает полезно организовать тиражирование не все-
го каталога, а только отдельной его части по узкополосным каналам.
Это удобнее, если домены организованы по географическому принци-
пу, а для международной корпорации, к тому же, облегчает управление
отделениями на родном языке.
Давайте рассмотрим некоторые общие вопросы перехода от различных
доменных моделей к Active Directory.
Модель с одним доменом
Миграцию одного домена мы уже обсуждали, уделяя основное внима-
ние механическому обновлению контроллеров и переносу существую-
щих объектов безопасности в Active Directory по умолчанию.
Однако Вы можете улучшить администрирование домена за счет более
широкого использования организационных единиц и делегирования
полномочий. Организуя пользователей и доступные им ресурсы в иерар-
хичном пространстве имен OU, Вы точнее отразите реальную структу-
ру предприятия. Назначение детальных привилегий тем или иным
пользователям позволит разгрузить технических специалистов и ли-
шить их административной монополии.
Модель с одним мастер-доменом
Миграция доменов, объединенных в модели с одним мастер-доменом,
выполняется, как правило, по нисходящей: сначала мастер-домен, и
лишь потом, постепенно — ресурсные. Оценив степень централизации
управления, Вы можете прийти к выводу, что Вашей организации дос-
таточно всего одного домена. В этом случае вся структура ресурсных
доменов будет отражена в организационной структуре домена.
Ресурсы из доменов второго яруса разумней переместить в новый до-
мен позже, без спешки. Вместо ресурсного домена можно создать орга-
низационные единицы в мастер-домене и закрепить за ними перено-
симые ресурсы. Такой подход, с одной стороны, позволяет централи-
зовать управление, а с другой — более точно наделять пользователей
полномочиями.
Другой метод основан на том, что ресурсные домены остаются в дере-
ве доменов, но пользователи из мастер-домена переносятся в те доме-
ны, где реально располагаются. Этим достигается большая децентрали-
зация, а следовательно, большая самостоятельность и независимость
групп пользователей.
Модель с несколькими мастер-доменами
Модель с несколькими мастер-доменами оправданна, чаще всего, в
крупных организациях. Например, если подразделения «разбросаны по
городам», то мастер-домены создаются в регионах; а если в компании
несколько различных, слабо связанных между собой, направлений де-
ятельности, то отдельный мастер-домен выделяется каждому из них.
Для организаций такого типа приемлемы два подхода. Первый осно-
вывается на построении одного дерева доменов. Подразделения
должны договориться, какой домен станет корневым (удобнее отдать
эту роль домену отдела информационных технологий). Все домены,
бывшие ранее мастер-доменами, становятся равноправными доменами
второго уровня в дереве доменов. Ресурсные домены могут располагать-
ся уровнем ниже и иметь свои собственные параметры политики безо-
пасности.
Корневой домен хорош для размещения в нем общих ресурсов орга-
низации таких, как, например, Web-сервер или информации отдела
кадров. Тогда с одной стороны, специалистам отдела информационных
технологий обеспечена возможность централизованно управлять об-
щими ресурсами, а с другой — индивидуальным подразделениям пре-
доставлена самостоятельность в выборе политики безопасности.
Большую децентрализацию предлагает второй подход: каждый из
мастер-доменов с соответствующими ему ресурсными домена-
ми объединяется в отдельное дерево, а все деревья вместе со-
ставляют лес. Концепция леса позволяет входящим в него деревьям
использовать общую схему, общий глобальный каталог и транзитивные
доверительные отношения Kerberos таким образом, что пользователи
получают доступ ко всем ресурсам дерева доменов. Утомительное уп-
равление доверительными отношениями исчезает, так как надо уста-
новить всего одно доверие с родительским доменом.
Концепция леса позволяет также производственным единицам созда-
вать поддеревья, имеющие собственную структуру и политику безопас-
ности. Все, что объединяет их с другими деревьями, — связь на уровне
леса. Никакой дополнительной административной работы при этом нс
требуется. Такая схема идеально подходит для компаний, занимающих-
ся покупкой и продажей производственных единиц и склонных рас-
сматривать последние как независимые организации.
Модель полностью доверительных отношений
Структура некоторых организаций децентрализована до такой степе-
ни, что подразделениям трудно договориться даже о том, чтобы сде-
лать корневым домен отдела информационных технологий. Такие ком-
пании, ранее использовавшие модель полностью доверительных от-
ношении, страдают от усилий, направленных на поддержку этих от-
ношений.
Переход на Windows NT 5.0 и Active Directory позволяет сохранить
независимость. Как и в случае с несколькими мастер-доменами, мож-
но выбрать один из нескольких вариантов и построить либо одно де-
рево с развитой структурой организационных единиц, либо, полнос-
тью отказываясь от централизации, создать несколько деревьев и объе-
динить их в лес. В любом случае, получится достаточно плоская струк-
тура, однако управление доверительными отношениями в ней значи-
тельно проще, чем ранее.
Еще одно возможное решение — создание нескольких раздельных ле-
сов. При этом между некоторыми доменами одного леса устанавлива-
ются доверительные отношения с некоторыми доменами другого леса
для предоставления ограниченного доступа избранным категориям
пользователей. Надо заметить, что подобная структура больше подхо-
дит для связи различных организаций, чем для подразделений внутри
одной компании.
Итак, подведем итоги: любая модель доверительных отношений доста-
точно просто может мигрировать в Active Directory. В зависимости от
структуры организации, можно создать либо полностью централизо-
ванную, либо полностью децентрализованную структуру, равно просто
управляемые. Иными словами, выполнив миграцию, Вы сможете «на-
строить» систему на еще более точное соответствие целям, задачам и
структуре Вашего предприятия.
Перенос доменов второго яруса в мастер-домен
При рассмотрении вопросов миграции от модели с одним или несколь-
кими мастер-доменами к Active Directory, мы неоднократно упоминали
о возможности превращения ресурсных доменов (доменов второго яру-
са) в отдельные домены (домены первого яруса). В свое время приво-
дилось много аргументов за использование двухъярусной схемы. Од-
нако Active Directory делает большинство из них бессмысленными.
Несмотря на то, что этот процесс не автоматический (для его выпол-
нения не существует административного интерфейса), он относитель-
но прост. Единственное, что требует некоторого планирования — ис-
пользование локальных групп домена второго яруса для предоставле-
ния доступа к ресурсам. Но есть такой процесс миграции, при котором
сохраняется вся информация о доступе к ресурсам.
Исчезновение доменов второго яруса
Определение способа предоставления доступа
В модели мастер-доменов Windows NT 4.0 для предоставления доступа
к ресурсам в доменах второго яруса применяются три метода работы с
группами: использование глобальных групп мастер-домена, локальных
доменных групп ресурсного домена, локальных групп серверов — чле-
нов ресурсного домена.
Пример организации доступа к ресурсам в двухъярусной модели
На рисунке изображен классический пример организации двухъярус-
ной модели. Мастер-домен Research связан односторонними довери-
тельными отношениями с двумя ресурсными доменами DB и OS таким
образом, что пользователи мастер-домена имеют доступ к ресурсам
доменов второго яруса. Все учетные записи пользователей располага-
ются в домене Research.
Пользователь AlbertE имеет учетную запись в мастер-домене Research.
Он работает на принадлежащей домену DB рабочей станции, где уста-
новлена Windows NT Workstation 4, и зарегистрирован под своей до-
менной учетной записью.
На сервере OS1, входящем в домен OS, в совместное использование
предоставлен каталог secret. Доступ к этому каталогу ограничен в со-
ответствии со списком контроля доступа. Пользователь AlbertE может
получить доступ к каталогу тремя способами, используя:
• доверительные отношения и свою учетную запись в домене Research;
• доверительные отношения и учетную запись локальной группы
OSDevs, членом которой он является, в домене Research;
• членство в локальной группе, которая может принадлежать как все-
му домену OS, так и просто серверу — члену домена OS.
В любом случае в список контроля за доступом к каталогу будет внесен
уникальный идентификатор безопасности SID, который, помимо про-
чей информации, содержит сведения о том домене или компьютере, на
котором был создан. Напомним, что для доступа к ресурсу необходима
аутентификация пользователя. В зависимости от мандатов, переданных
для аутентификации, сервер использует либо локальную базу данных,
либо передает мандаты службе NETLOGON, через которую идет обра-
щение к базе учетных записей домена (см. главу 2). Если пользователь
не может быть аутентифицирован в текущем домене, то выполняется
его аутентификация в доверенных доменах. Этот процесс называется
сквозной аутентификацией [I]. После аутентификации создается мар-
кер доступа, используемый операционной системой для доступа к ре-
сурсу от имени пользователя.
В рассматриваемом примере маркер доступа содержит в себе SID учет-
ной записи Research/AlbertE, а также SID глобальной группы Research/
OSDevs. В зависимости от того, является ли сервер OS1 контроллером
домена или просто сервером в домене, маркер доступа будет включать
SID либо локальной группы домена OS/Researches, либо локальной
группы сервера OS I/Researches.
При переносе домена второго яруса в организационную единицу быв-
шего мастер-домена SID пользователей и групп локального домена
перестают быть действительными, что может впоследствии затруднить
доступ. Если же сервер — просто член домена, а не его контроллер, SID
этого сервера переносятся без изменений.
Для разрешения этой проблемы при миграции в Active Directory мож-
но копировать объекты безопасности из одного домена в другой. Пос-
ле такого копирования для каждого объекта безопасности будет суще-
ствовать по два SID: один — из старого домена и один — из нового. При
формировании маркера доступа в него будут записываться оба SID, что
снимет все проблемы доступа к ресурсам.
Как видим, миграция доменов второго яруса в организационные еди-
ницы бывшего мастер-домена может выполняться без потери инфор-
мации о правах доступа. Однако для этого необходимо придерживать-
ся пошаговой процедуры миграции. Вот ее подробное описание.
1. Миграция мастер-домена. На первом шаге выполняется перевод
мастер-домена под управление ОС Windows NT 5.0, для чего доста-
точно лишь обновить первичный контроллер домена. После этого
можно присоединиться к существующему дереву доменов.
Внимание! Даже если на всех контроллерах мастер-домена будет
установлена служба каталогов Active Directory, доверительные отно-
шения с ресурсными доменами останутся прежними, не транзитив-
ными.
Шаг 1: миграция мастер-домена
2. Создание организационных единиц. Так как цель миграции —
исчезновение доменов второго яруса, необходимо создать соответ-
ствующие им организационные единицы внутри мастер-домена.
Вы можете создать иерархичное пространство имен OU. В каждой
OU либо создают новые учетные записи пользователей и групп, либо
их переносят из контейнера cn=users.
Организационные единицы будут доступны только для тех клиен-
тов или серверов, где уже установлена поддержка Active Directory. Для
всех остальных объекты безопасности будут по-прежнему видны «в
одной плоскости».
Шаг 2: Создание организационных единиц
3. Миграция PDC в ресурсных доменах. Следующий шаг — пере-
вод первичных контроллеров ресурсных доменов под управление
Windows NT 5-0 и Active Directory.
После обновления операционной системы на PDC между ресурсны-
ми доменами и мастер-доменом устанавливаются транзитивные до-
верительные отношения. Ресурсные домены подсоединяются к де-
реву доменов.
Внимание! Этот шаг обязателен, если Вы планируете перевести
серверы или объекты безопасности из доменов второго яруса в ма-
стер-домен. Перемещение объектов между доменами не поддержи-
вается в Windows NT 4.0. Механизм отслеживания SID имеет только
Active Directory.
А_
•Др Research\AlbertE
г- -п
Research И Reseaгch\osoevs
,_________К Ц AlbertE
/7\\
/ / \ \ 1. Перевод PDC в ресурсных
ои - DB ou = os доменах на Windows NT 5
/ \
\YResearch-l\se'c.ret 2- Подсоединение к дереву
/ OS-Researc\ers: Full Access доменов и установление
,/ ъ двусторонних транзитивных
АЛ доверительных отношений
/ 03\
_^ N,-I j^^^, OS-Reseaicheia
l==f'" l^J I———? Research\OSDevs
Jl¦lj¦¦^l.l \\OS1\secret
OS-Researchers:
d 11 Л Лг-соо о
ZZ/az 3: Обновление ОС на первичных контроллерах ресурсных
доменов
4. Перевод серверов в мастер-домен. Теперь все готово к переносу
ресурсов из ресурсных доменов в организационные единицы мас-
тер-домена. Сделать это просто, ведь слепок управления службой
каталогов Active Directory позволяет перетаскивать объекты мышью'.
Для тех клиентов, которые подключались к ресурсам, используя UNC
(универсальные соглашения об именовании), все подключения ос-
таются действительными, так как для UNC не существует доменных
границ. Клиенты, использовавшие для поиска серверов NetBIOS, по-
прежнему могут применять этот механизм.
Если Вы администратор, то должны принять решение: продолжать
ли использование NetBIOS, или публиковать ресурсы только в Active
Directory. Критерий выбора прост: до тех пор, пока Вы планируете
работать с клиентами, не поддерживающими Active Directory, Вы
будете вынуждены применять и NetBIOS, и Active Directory. Как толь-
ко последний «старый» клиент будет обновлен, поддержку NetBIOS
можно выключать.
Стоит ли на этом этапе выключить первичные контроллеры ресур-
сных доменов? Еще нет. Дело в том, что пока они еще несут ответ-
ственность за все выданные ими идентификаторы SID, Предполо-
жим, что при аутентификации на одном из BDC, перенесенном в
мастер-домен, понадобится проверить SID. BDC обратится к первич-
ному контроллеру. Двусторонние доверительные отношения Кег-
beros и сквозная аутентификация позволят авторизовать доступ.
5. Проверка списков коитроля доступа. Вспомните, как был орга-
низован доступ к ресурсам: через глобальные группы мастер-доме-
на, через локальные группы ресурсного домена или через локальные
группы серверов домена.
Если использовались глобальные группы домена, то они по-прежне-
му существуют, а значит, никаких изменений в списках контроля за
доступом не требуется.
Если использовались локальные группы серверов — членов домена,
то все эти группы были перемещены вместе с серверами. Как и в
предыдущем случае, изменения в ACL не нужны.
Если использовались локальные группы ресурсных доменов, то сле-
дует помнить, что очень скоро контроллеры ресурсных доменов
прекратят свое существование. Поэтому необходимо перенести
группы в мастер-домен, сделав их обычными. После переноса не
требуется вносить изменения в ACL.
6. Перенос рабочих станций в мастер-домен. Кроме серверов, из
ресурсных доменов в мастер-домен необходимо переместить рабо-
чие станции. Для Windows 95 и Windows 98 это просто — достаточ-
но изменить название рабочей группы в настройках сети. Для Win-
dows NT Workstation нужно сначала выполнить удаление из ресурс-
ного домена, а затем — подключение к новому домену. При этом в
мастер-домене будет создана новая учетная запись для этого компью-
тера. Этот шаг можно завершить установкой сервисного пакета для
Windows 95, либо обновлением Windows NT Workstation до 5 вер-
сии. Обновление можно произвести с помощью SMS в автоматичес-
ком режиме.
7. Выключение первичных контроллеров ресурсных доменов.
На этом этапе миграция практически завершена. Все, что можно
было перенести в мастер-домен, уже перенесено. Первичные кон-
троллеры ресурсных доменов можно либо выключить, либо перене-
сти их в мастер-домен. В любом случае ресурсные домены прекра-
тят свое существование.
Установка операционной системы
Пока еще (на стадии первой бета-версии) довольно рискованно давать
какие-либо советы по установке операционной системы. Очевидно, что
она еще находится на стадии разработки, а особенности версии изло-
жены в соответствующих файлах, поставляемых на компакт-диске. Тем
не менее, уже можно дать несколько практических рекомендаций, вы-
явленных п ППОИРГГР пяботы
Если Вы устанавливаете рабочую станцию
Установка рабочей станции не требует дополнительных знаний или
предварительной подготовки (также как и предыдущая версия Win-
dows NT). Все что Вам нужно, это:
• компьютер с процессором Intel (желательно Pentium, Pentium II или
Pentium Pro) или Alpha; процессоры MIPS и PowerPC больше не под-
держиваются Windows NT;
• оперативная память не менее 32 мегабайт (проверено на практике:
меньше для нормальной работы не годится);
• свободное пространство на жестком диске не менее 200 Мб (при
условии, что Вы выполняете полную установку с загрузочных
дискет программы установки; если же использовать программу
Winnt32.exe, то объем требуемого свободного пространства придет-
ся удвоить);
• проигрыватель компакт-дисков (за неимением такового можно
обойтись подключением к сетевому ресурсу, содержащему файлы
Windows NT 5.0);
• сетевая плата.
Внимательно просмотрите список совместимого оборудования. Может
так случиться, что имеющаяся у Вас плата в нем пока отсутствует. На-
пример, устанавливая систему на портативный компьютер, обратите
внимание на PC-карточку. В первой бета-версии не поддерживаются
комбинированные карты (например, модем + сетевая). Драйвер от пре-
дыдущей версии не подойдет.
Уточните тип видеоадаптера, используемого в компьютере. Не ис-
ключено, что если в стандартную поставку еще не включена его под-
держка, то вполне можно использовать драйвер, разработанный для
Windows NT 4.0 и поставляемый производителем.
Windows NT 5.0 может устанавливаться как обновление одной из сле-
дующих версий Windows, а именно:
• Windows З.х;
• Windows 9x;
• Windows NT Workstation 4.0.
При обновлении сохранятся настройки установленных приложений,
что выгодно отличает новую версию от предыдущей, не позволявшей
выполнять обновление Windows 95.
Внимание! Если в текущей версии ОС Вы используете Microsoft
Internet Explorer 4.0, то обновить систему будет невозможно. Удалите
эту версию и установите Internet Explorer З.х.
Программа Winnt32.exe
Установка новой ОС производится так же, как и ранее — либо с трех
загрузочных дискет, либо запуском программы Winnt32.exe из преды-
дущей версии 32-разрядной ОС. Как командный, так и пользователь-
ский интерфейсы последней изменились. Синтаксис используемых па-
раметров следующий:
winnt32 [/s:sourcepath] [/tempdrive:drive_letter] [/unattend[num]
[:unattend_file] [/соpydir:directory_name]
[/copy source:directory_name] [/cmd:command_line]
[/debug[level][:filename]] [/udf:id[,UDF_file],
где:
• /s : sou rcepath — указывает положение файлов Windows NT; если ука-
зать несколько каталогов путем многократного использования клю-
ча /s, то программа Setup будет одновременно копировать файлы из
разных источников, что сократит общее время загрузки;
• /tempdrive : drive_letter —предписывает программе Setup размес-
тить временные файлы на указанном диске;
• /unattend — выполняет обновление предыдущей версии Windows NT
в автоматическом режиме без вмешательства пользователя; все ус-
тановки пользователей берутся из предыдущей версии;
• /unattend[num]: unattend_file — выполняет обновление предыдущей
версии Windows NT в автоматическом режиме, но для пользователь-
ских установок указывает файл сценария (также называемый фай-
лом ответов), а не использует имевшиеся ранее; при этом
— n urn — число секунд, в течение которых программа Setup будет
ожидать перезагрузки после копирования файлов (появится диа-
логовое окно с отсчетом времени). Следует отметить, что между
/unattend и num нельзя вставлять пробел (например, можно ввес-
ти /unattend30 : my_answers. txt). Параметр num можно использо-
вать только в командной строке Windows NT;
— unattend_file — имя файла сценария; пример этого файла на-
ходится в каталоге исходных файлов Windows NT и называется
Unattend.txt;
• /copydir :directory_name — создает дополнительный каталог внут-
ри того каталога, в который устанавливается Windows NT; например,
если в каталоге, содержащем исходные файлы, имеется подкаталог
Private_drivers, содержащий драйверы устройств, используемых в
Вашем компьютере, то параметр /copydir:Private_drivers предпишет
программе установки скопировать этот каталог в каталог Windows NT
(например, C:\Winnt\Private_drivers), Многократно используя па-
раметр /copydir можно создать дополнительные подкаталоги;
• /copysou i-ce : di recto ry_name — предписывает программе Setup ско-
пировать исходные файлы в каталог на жестком диске, причем
— при установке с сетевого ресурса такое копирование выполняет-
ся по умолчанию;
— при установке с компакт-диска этот параметр целесообразно за-
дать в том случае, если после перезагрузки компакт-диск будет
недоступен (не поддерживается системой) или скорость его ра-
боты мала;
• /cmd ; cornmand_line — предписывает программе Setup выполнить оп-
ределенную команду после завершения графической части програм-
мы установки (после того, как компьютер перегрузился два раза,
собрана вся информация о компьютере, но установка еще не завер-
шилась);
• /debug[level][: filename] — создает журнал отладки с указанным
уровнем; по умолчанию создается файл C:\Winnt32.1og с уровнем от-
ладки 2 (предупреждение);
• /udf : id[, UDF_file] —указывает идентификатор id, используемый
программой Setup для определения того, как UDF (файл базы дан-
ных уникальности) изменяет файл сценария (см, параметр /unattend);
при этом
— параметр UDF заменяет значения в файле автоматической уста-
новки, и идентификатор определяет, какие значения в файле UDF
используются; например, /udf;RAS_user,Our_company.udf заменяет
установки для идентификатора RAS_user в файле Our_company. udf;
— если не указано имя файла UDF_file, программа Setup напомнит
пользователю вставить диск с файлом $Unique$.udf.
Программа установки Windows NT 5-0
Пользовательский интерфейс этой программы также изменился и на-
поминает интерфейс программы-мастера. Вам необходимо последова-
тельно ответить на несколько простых вопросов и программа установ-
ки начнет копирование установочных файлов на жесткий диск (или
диски).
Программа Winnt.exe
Для обновления 16-разрядной версии Windows или установки систе-
мы из MS-DOS, можно, как и раньше, воспользоваться программой
Winnt.exe. Синтаксис ее параметров следующий:
WINNT [/S[:]sourcepath] [/Т[: jtempdr-ive] [/![:]inffile] [/0[X]]
Е/Х I [/F] [/С]] [/В] [/U[:scnptfile]] [/R[X] :directory]
[/Е:command] [/A],
где:
• /S[: ]sou rcepath — указывает положение исходных файлов Windows
NT; причем должен быть задан полный путь в виде x:\[path] или
\\server\share[\path]; по умолчанию используется активный каталог;
• /Т[: ]tempd rive — указывает диск, на котором будут размещены вре-
менные файлы; если файл не указан, то программа установки выбе-
рет диск сама;
• /I[:]inffile — указывает имя (не путь) информационного файла
программы установки (по умолчанию DOSNET.INF);
• /OX — создает загрузочные дискеты для установки с компакт-диска;
• /X — не создает загрузочных дискет;
• /F — не проверяет файлы, копируемые на загрузочные дискеты;
• /С — не проверяет, есть ли свободное место на загрузочных диске-
тах;
• /В — установка без дискет (требуется задать параметр /s);
• /U — автоматическая установка и, возможно, имя файла сценария
(требуется задать параметр /s);
• /R — указывает дополнительный создаваемый каталог (см. описание
параметров winnt32.exe);
• /RX — указывает дополнительный каталог для копирования (см. опи-
сание параметров winnt32.exe);
• /Е — указывает команду, исполняемую по завершении графической
части программы установки (см. описание параметров winnt32.exe);
• /А — разрешает использование дополнительных функций для лю-
дей с ограниченным зрением.
В процессе установки внимательно отвечайте на все задаваемые про-
граммой вопросы. Если все параметры указаны правильно, а в компью-
тере отсутствуют устройства, не поддерживаемые операционной сис-
темой, установка пройдет гладко и без особенностей. Все, что Вам ос-
танется — настроить интерфейс так, как нравится, и установить при-
ложения, с которыми Вы будете работать.
Если Вы устанавливаете сервер
Установка сервера, в отличие от установки рабочей станции, требует
тщательного планирования. В еще большей степени это относится к
установке контроллера домена.
Для начала разберитесь с требованиями к технике. Вам необходимы:
• компьютер с процессором Intel (желательно Pentium, Pentium II или
Pentium Pro) или Alpha;
• оперативная память не менее 48 мегабайт (проверено на практике:
меньше не годится, что особенно заметно при работе со службой
каталогов Active Directory — поиск в базе тем быстрее, чем больше
оперативной памяти);
• свободное пространство на жестком диске не менее 250 Мб (при
условии, что Вы выполняете полную установку с загрузочных дис-
кет; если же использовать программу Winnt32.exe, объем требуемо-
го свободного пространства нужно удвоить);
• проигрыватель компакт-дисков (если его у Вас нет, то можно обой-
тись подключением к сетевому ресурсу, содержащему файлы Win-
dows NT 5.0);
• сетевая плата.
Внимательно просмотрите список совместимого оборудования. Обра-
тите внимание на типы высокоскоростных адаптеров, поддерживаемых
в новой версии. Для сервера это весьма актуально.
Уточните тип видеоадаптера, используемого в компьютере. Не исклю-
чено, что в стандартную поставку еще не включена его поддержка, но
вполне подойдет драйвер, разработанный для Windows NT 4.0 и постав-
ляемый производителем.
Windows NT Server 5.0 может устанавливаться как обновление Windows
NT Server 4.0. При обновлении сохранятся настройки установленных
приложений.
Внимание! Если в текущей версии ОС Вы используете Microsoft
Internet Explorer 4.0, то обновить систему будет невозможно. Удалите
эту версию и установите Internet Explorer З.х.
Перед установкой контроллера домена
Перед установкой контроллера домена необходимо знать:
• это контроллер вновь создаваемого домена или нет; если нет, то
выясните имя домена, имя сервера DNS, имя узла; если да, то:
• определите, входит ли этот домен в уже существующее дерево доме-
нов, или станет корневым доменом нового дерева; если входит, то
выясните, какой домен станет родительским для вновь создаваемо-
го; если нет, то:
• выясните, какие серверы DNS существуют и, при необходимости,
спланируйте собственный сервер, который будет располагаться на
устанавливаемом; выясните, к какому узлу будет принадлежать дан-
ный домен; если узла нет, то спроектируйте его;
• если узел существует и в нем имеются иные деревья доменов, то
определите нужен ли новый лес или новое дерево доменов будет
включено в существующий.
Схематично эти шаги изображены на рисунке на следующей странице.
Дополнительно необходимо выяснить, является ли этот контроллер
сервером глобального каталога.
Если сервер будет исполнять роль сервера приложений, то необходи-
мо рассчитать требования к ресурсам, воспользовавшись методикой,
приведенной в [I].
Процесс установки выполняется, как и для предыдущих версий: либо
загрузкой с трех дискет, либо запуском программы Winnt32.exe из пре-
дыдущей версии 32-разрядной ОС, либо программы winnt.exe из MS-
DOS. Синтаксис параметров командной строки этих программ приве-
ден выше.
Если используется техника, соответствующая списку совместимого
оборудования, и отсутствуют конфликты параметров, процесс установ-
ки в большинстве случаев протекает гладко и без осложнений. Необ-
ходимо четко следовать указаниям программы установки и своевремен-
но отвечать на вопросы.
Замечание. В процессе установки сервера Вам будет предложено вве-
сти пароль администратора. На контроллере домена во время установ-
ки службы каталогов Active Directory этот пароль будет сброшен и за-
дан пустым. Поэтому сразу после установки войдите в систему и изме-
ните пароль.
После завершения установки сервера можете приступать к установке
на нем приложений.
Схема планирования установки контроллера домена
Заключение
Новая версия Windows NT предоставляет много оригинальных и полез-
ных функций, среди которых можно выделить:
• службу каталогов Active Directory;
• транзитивные доверительные отношения Kerberos между доменами;
• деревья доменов;
• леса доменов;
• тиражирование каталога между узлами.
Все эти функции значительно расширяют возможности использования
Windows NT в крупных организациях, сохраняя гибкость и простоту
работы в мелких и средних. Однако для правильного планирования
сети необходимо глубокое знание службы каталогов, принципов тира-
жирования данных, тонкостей настройки DNS и ряда других важных
вещей. Возможно, что администраторы (в особенности малых сетей)
еще не готовы к этому и ожидают от Windows NT 5.0 такой же просто-
ты в планировании, как в предыдущих версиях. Чтобы избежать разо-
чарований, стоит уже сейчас изучать и прорабатывать пути миграции
на новую версию.
ГЛАВА 4
Файловые системы
Windows NT
В Windows NT версии 5.0 поддерживаются три' файловые системы:
• NTFS (Windows NT file system) — исключительно для Windows NT;
• FAT (File Allocation Table) — для совместимости с приложениями MS-
DOS;
• FAT 32 — модифицированная версия FAT, используемая в Windows
95 OSR2 и Windows 98.
Выбор файловой системы зависит от используемых приложений и от
требований, предъявляемых к ней. У каждой свои полезные свойства,
но возможности защиты и аудита систем различны.
Также в новой версии Windows NT поддерживаются распределенная
файловая система DFS (Distributed File System) и файловая система с
шифрованием EFS (Encrypted File System). Строго говоря, последние не
являются файловыми системами в полной мере, как, например, FAT. DFS
представляет собой расширение сетевого сервиса и позволяет объеди-
нять в единый логический том сетевые ресурсы, расположенные на
разделах с различными файловыми системами. EFS — это надстройка
над NTFS, добавляющая к последней функции шифрования данных. И
DFS, и EFS будут обсуждаться в этой главе.
Просматривая ресурсы компьютера, невозможно сказать, какой формат
имеет тот или иной раздел жесткого диска столь же уверенно, как про
гибкие диски и CD-ROM. Разделы жесткого диска обозначены просто
как Local disk. Чтобы определить тип файловой системы, надо щелк-
нуть правой кнопкой мыши изображение диска и в контекстном меню
выбрать команду Properties.
Дополнительно поддерживается файловая система компакт-дисков CDFS. В
этой книге она не рассматривается.
Изображение дисков в окне Explorer
Файловая система FAT
Файловая система FAT (File Allocation Table) получила свое наименова-
ние в соответствии с названием метода организации данных — табли-
цы распределения файлов. FAT первоначально была ориентирована на
небольшие диски и простые структуры каталога. Через несколько лет
после создания ее усовершенствовали для работы с большими диска-
ми и мощными персональными компьютерами. На рисунке показана
организация диска с использованием файловой системы FAT.
Блок |
FAT1 |
FAT2 |
Корневой |
Область файлов... |
параметров |
|
(копия) |
каталог |
|
BIOS |
|
|
|
|
Дисковый раздел FAT
Корневой каталог расположен на диске и имеет фиксированный раз-
дел. Каталоги — специальные файлы с 32-битными элементами для
каждого файла, содержащегося в этом каталоге. Элемент для каждого
файла включает:
• имя файла (8+3 символа);
• байт атрибута (8 бит);
• время модификации (1б бит);
• дату модификации (16 бит);
• первый размещаемый блок (16 бит);
• размер файла (32 бита).
Эта информация используется всеми операционными системами, под-
держивающими файловую систему FAT. Windows NT может сохранять
и дополнительные отметки времени на элементе каталога FAT. Эти
элементы позволяют определить момент последнего доступа к файлу
и используются в основном приложениями POSIX.
Биты байта атрибута файла в элементе каталога указывают, имеет ли
файл соответствующие атрибуты. Установленный первый бит иденти-
фицирует файл как подкаталог; а второй — в качестве метки тома.
Обычно назначениями этих битов управляет операционная система.
Кроме того, файлы FAT имеют четыре специальных атрибута, которые
указывают, как эти файлы может применять пользователь. Различают-
ся файлы архивный, системный, скрытый и только для чтения.
Windows NT, начиная с версии 3.5, использует биты атрибута для под-
держки длинных (до 255 символов) имен файлов в разделах FAT. При-
меняемый для этого способ не мешает MS-DOS или OS/2 обращаться к
подобному разделу. Всякий раз, когда пользователь создает файл с длин-
ным (превышающим стандартное для FAT ограничение «8+3») именем,
Windows NT учреждает элемент каталога для этого файла, соответству-
ющий соглашению «8+3» (по тем правилам, что и для NTFS) с добавле-
нием одного или нескольких вторичных элементов каталога. Каждый
из таких вторичных элементов рассчитан на 13 символов в длинном
имени файла и сохраняет длинную часть имени файла в UNICODE. Для
этих элементов устанавливаются атрибуты: том, системный, скрытый,
только для чтения. MS-DOS и OS/2 игнорируют элементы каталога с
таким набором атрибутов, и последние не видимы в этих операцион-
ных системах. Вместо них MS-DOS и OS/2 обращаются к элементам,
содержащим информацию в стандартном виде «8+3».
Некоторые дисковые утилиты сторонних производителей, взаимодей-
ствуя непосредственно с FAT, могут расценивать созданные Windows NT
элементы каталога с длинным именем файла как ошибки логической
структуры тома. Попытки этих утилит исправить ошибки могут приве-
сти к потере файлов и каталогов. Чтобы избежать подобных неприят-
ностей, не используйте не проверенные на совместимость с Windows NT
утилиты работы с диском или его дефрагментации.
Файловая система Windows NT FAT функционирует аналогично MS-DOS
и Windows. Windows NT можно устанавливать на существующем разде-
ле FAT. Если же компьютер работает под управлением Windows 95,
длинные имена файлов и каталогов вполне допустимы, так как меха-
низмы работы с длинными именами в обеих системах одинаковы.
Нельзя использовать Windows NT совместно с любыми программами
сжатия или разбиения диска на разделы, если программное обеспече-
ние требует драйверов MS-DOS. Для чтения подобных дисков нужны
драйверы Windows NT.
Файловая система FAT является системой с точной записью, то есть при
необходимости изменения структуры тома дается команда записи на
диск. Недостаток такой системы — медленное выполнение последова-
тельных операций записи: ведь первая запись на диск должна быть за-
вершена прежде, чем начнется вторая и т. д. Это не самое эффективное
использование мощных компьютеров.
Допускается безболезненный перенос или копирование файлов с тома
FAT на NTFS. При выполнении обратной операции информация о раз-
решениях и альтернативных потоках будет потеряна.
Внимание! Файловая система FAT не обеспечивает защиты данных
и их автоматического восстановления. Поэтому FAT используется лишь
в том случае, если на компьютере в качестве альтернативной системы
установлена MS-DOS или Windows 95, а также для передачи данных на
гибких дисках. Небольшой загрузочный раздел, отформатированный
под FAT, требуется, кроме того, для RISC-систем. В остальных случаях
использование FAT не рекомендуется2.
Файловая система FAT32
FAT32 — модифицированная версия FAT, позволяющая создавать разде-
лы объемом более 2 Гб. Кроме того, она дает возможность использо-
вать кластеры меньшего размера, и, соответственно, более эффектив-
но расходовать дисковое пространство. Впервые данная файловая си-
стема появилась в Windows 95 OSR2.
В таблице 4-1 сравниваются размеры кластеров, устанавливаемых по
умолчанию для FAT и FAT32.
Таблица 4-1
Объем диска |
Размер кластера |
Размер кластера |
0 Мб — 32 Мб |
512 байт |
|
32 Мб — б4 Мб |
1 Кб |
|
64 Мб — 127 Мб |
2 Кб |
|
128 Мб - 255 Мб |
4 Кб |
|
256 Мб — 511 Мб |
8 Кб |
|
512 Мб — 1023 Мб |
16 Кб |
|
1024 Мб — 2048 Мб |
32 Кб |
|
260 Мб - 8 Гб |
|
4 Кб |
8 Гб — 16 Гб |
|
8 Кб |
16 Гб - 32 Гб |
|
16 Кб |
> 32 Гб |
|
32 Кб |
|
В качестве примера можно привести Microsoft Small Business Server. Вклю-
ченный туда вариант Windows NT требует обязательной установки на раздел
Формат новой файловой системы не совместим с прежним форматом
FAT, поэтому следует внимательно подходить к выбору для работы с
диском таких утилит, как дефрагментаторы, антивирусные и т. п.
Файловая система NTFS
По сравнению с FAT или FAT32, NTFS предоставляет пользователю це-
лое сочетание достоинств: эффективность, надежность и совмести-
мость. Она разработана для быстрого выполнения на очень больших
жестких дисках операций как стандартных файловых (типа чтения,
записи и поиска), так и улучшенных (например, восстановления фай-
ловой системы).
Поддерживая управление доступом к данным и привилегии владельца,
NTFS дает гарантии безопасности, требуемые для файловых серверов
и высококачественных персональных компьютеров в корпоративной
среде. Это важно для целостности корпоративных данных.
NTFS простая, но очень мощная разработка, для которой вся информа-
ция на томе NTFS — файл или часть файла. Каждый распределенный
на томе NTFS сектор принадлежит некоторому файлу. Частью файла
являются даже метаданные файловой системы (информация, описыва-
ющая непосредственно файловую систему).
Эта основанная на атрибутах файловая система поддерживает объект-
но-ориентированные приложения, обрабатывая все файлы как объек-
ты с атрибутами, определяемыми пользователем и системой.
Замечание. В Windows NT версии 5.0 используется NTFS той же вер-
сии. Она не совместима с предыдущими версиями ОС, поэтому если
загрузить более раннюю версию операционной системы, NTFS-разде-
лы, созданные в версии 5, будут недоступны.
Главная файловая таблица
Каждый файл на томе NTFS представлен записью в специальном фай-
ле — главной файловой таблице MFT (Master File Table). NTFS резерви-
рует первые 1б записей таблицы для специальной информации. Пер-
вая запись таблицы описывает непосредственно главную файловую
таблицу. За ней следует зеркальная запись MFT. Если первая запись MFT
разрушена, NTFS считывает вторую запись, чтобы отыскать зеркальный
файл MFT, первая запись которого идентична первой записи MFT. Мес-
тоположение сегментов данных MFT и зеркального файла MFT записа-
но в секторе начальной загрузки. Дубликат сектора начальной загруз-
ки находится в логическом центре диска. Третья запись MFT — файл
регистрации, применяемый для восстановления файлов.
Семнадцатая и последующие записи главной файловой таблицы ис-
пользуются собственно файлами и каталогами на томе. На рисунке
показана упрощенная структура MFT, обеспечивающая очень быстрый
доступ к файлам.
Организация главной файловой таблицы
Целостность данных и восстановление в NTFS
NTFS — это восстанавливаемая файловая система. В числе ее досто-
инств — сочетание быстродействия файловой системы с отложенной
записью и практически мгновенное восстановление.
Каждая операция ввода-вывода, изменяющая файл на томе NTFS, рас-
сматривается файловой системой как транзакция и может выполнять-
ся как неделимый блок. При модификации файла пользователем сер-
вис файла регистрации фиксирует всю информацию, необходимую для
повторения или отката транзакции. Если транзакция завершена успеш-
но, производится модификация файла. Если нет, NTFS производит от-
кат транзакции, следуя инструкциям в информации отмены. Если в
транзакции обнаружена ошибка, транзакция выполняется в обратном
порядке.
Файловая система восстанавливается очень просто. При сбое системы
NTFS выполняет три прохода: анализа, повторов и откатов. В процессе
анализа на основании информации файла регистрации NTFS оценива-
ет повреждение и точно определяет, какие кластеры нужно модифици-
ровать. Во время повторного прохода выполняются все этапы транзак-
ции от последней контрольной точки. При откате происходит возврат
всех незавершенных транзакций.
Важная особенность NTFS — отложенная передача (lazy commit), позво-
ляющая, подобно отложенной записи, минимизировать затраты на ре-
гистрацию транзакций. Вместо использования ресурсов для немедлен-
ной отметки транзакции как успешно завершенной, эта информация
заносится в кэш и записывается в файл регистрации как фоновый про-
цесс. Если сбой происходит до того, как информация о транзакции
была зарегистрирована, NTFS произведет повторную проверку транзак-
ции для определения ее успешности. Если NTFS не может гарантиро-
вать, что транзакция завершилась успешно, производится откат тран-
закции. Никакие незавершенные модификации тома не разрешены.
Каждые несколько секунд NTFS проверяет кэш, чтобы определить со-
стояние отложенной записи и отметить его в файле регистрации как
контрольную точку. Если вслед за определением контрольной точки
последует сбой, система имеет возможность вернуться к состоянию,
зафиксированному контрольной точкой. Этот метод предназначен для
защиты метаданных и обеспечивает оптимальное время восстановле-
ния, сохраняя очередь событий, которая может потребоваться в про-
цессе восстановления. Данные пользователя в случае сбоя системы
могут быть разрушены.
Объем журнала транзакций устанавливается командой CHKDSK /L:раз-
мер. Размер указывается в килобайтах и по умолчанию равен 4 096 Кб.
Для того, чтобы узнать текущий размер журнала, необходимо выпол-
нить команду chkdsk /L.
Длинные и короткие имена файлов
Как уже отмечалось, NTFS поддерживает длинные (до 255 символов)
имена файлов. В имени файла используются символы UNICODE, что
позволяет именовать файлы, например, кириллическими символами.
При этом решен вопрос доступа приложений из MS-DOS: NTFS автома-
тически генерирует стандартное для MS-DOS имя вида «8+3».
Если генерация коротких имен файлов не нужна, то эта функция мо-
жет быть отключена, для чего необходимо изменить значение парамет-
ра в реестре:
• ветвь — HKEY_LOCAL_MACHINE;
• раздел— SYSTEM\CurrentControlSet\Control\FileSystem;
• параметр — NtfsDisable8dot3NameCreation;
• значение — 1;
• тип данных — DWORD.
Если значение этого параметра равно 0 (по умолчанию), то происхо-
дит генерация коротких имен файлов, если 1 — генерация выполнять-
ся не будет.
Набор символов UNICODE для имен файлов делает возможным приме-
нение «запрещенных» символов. Но так как и MS-DOS-, и Windows-при-
ложения такие символы «не читают», при генерации короткого имени
удаляются и эти символы, и любые пробелы. Чтобы увидеть соответ-
ствие коротких имен файлов длинным, можно либо использовать ко-
манду DIR /X, либо посмотреть свойства файла, щелкнув его правой
кнопкой мыши и выбрав в контекстном меню Properties.
Длинное имя файла теряется при сохранении приложениями MS-DOS
или Windows З.х на том NTFS, если приложение сохраняет временный
файл, удаляет первоначальный файл и переименовывает временный
файл в файл с первоначальным именем. Теряется и любой уникальный
набор расширений файла. Права же по умолчанию передаются из ро-
дительского каталога заново.
Компрессия файлов и каталогов
Особенность NTFS — возможность динамического сжатия файлов и
каталогов. Те, кто работал с MS-DOS, наверняка знакомы с утилитами
динамического сжатия дисков DriveSpace или Stack. Так вот, можно ска-
зать, что компрессия на NTFS подобна упомянутым утилитам. Ее отли-
чие от упомянутых утилит в том, что в Windows NT компрессия воз-
можна как для отдельных каталогов, так и для файлов на диске. Сжатие
является новым атрибутом файла или каталога и подобно любому ат-
рибуту может быть снято или установлено в любой момент времени.
Замечание. Сжатие возможно только на разделах, размер блока ко-
торых не превышает 4 096 байт. Для установки размера блока исполь-
зуется команда FORMAT /А:размер.
Если каталог имеет атрибут Compressed, то все файлы, копируемые в
него, также получат этот атрибут. Если Вы хотите, чтобы вновь созда-
ваемый раздел диска автоматически сжимал все создаваемые и копи-
руемые файлы, его надо отформатировать с ключом /С, то есть:
FORMAT диск: /С /FS:NTFS.
Для сжатия существующего файла или каталога используется либо ко-
манда Compress, либо Properties в Windows NT Explorer.
Диалоговое окно File Properties
По умолчанию сжатые файлы не выделяются цветом при просмотре
папок. Если Вы хотите использовать эту возможность, чтобы видеть
разницу, отметьте соответствующий флажок в окне настроек View
Options.
Степень сжатия файлов зависит от типа файла. Наиболее эффективно
применять этот атрибут к файлам документов Microsoft Word, Power-
Point, графическим файлам и т. п. Организуя файл-сервер, имеет смысл
сжать все персональные каталоги пользователей. С другой стороны,
совершенно непродуктивно сжимать каталоги, содержащие дистрибути-
вы программных продуктов, уже и так, как правило, достаточно сжатые.
Создание и модификация разделов диска
Те, кто уже имеет опыт работы с предыдущими версиями Windows NT,
знают, что для создания новых разделов на диске, их форматирования,
назначения томам букв, зеркализации и других режимов повышенной
надежности используется программа Disk Administrator, имеющая гра-
фический интерфейс.
В Windows NT версии 5.0 для управления системой используется еди-
ный инструмент — ММС (Microsoft Management Console ). (Подробнее
об этом — в главе 6). Для конфигурирования дисков необходимо от-
крыть предназначенный для этого слепок (snap-in). После его загрузки
окно консоли управления станет весьма похожим на окно программы
администратора дисков из ранних версий.
Окно консоли управления ММС Disk Management
Команда FORMAT по-прежнему присутствует в системе, но содержит
ряд дополнительных или модифицированных ключей:
FORMAT drive: [/FS:file-system] [/V:label] [/Q] [/A:size] [/C]
[/E]
FORMAT drive: [/V:label] [/Q] [/F:size]
FORMAT drive: [/V:label] [/Q] [/T:tracks /N:sectors]
FORMAT drive: [/V:label] [/Q] [/1] [/4]
FORMAT drive: [/Q] [/1] [/4] [/8],
где:
• /FS : file-system — указывает тип файловой системы (FAT, FAT32,
NTFS);
• /V: label — указывает метку тома;
• /Q — выполняет быстрое форматирование;
• /С — указывает, что файлы, записываемые на новый том, по умолча-
нию будут компрессированы;
• /E — разрешает автоматическое обновление тома (при этом разре-
шается использование всех расширенных функций NTFS);
• /A:size — указывает на использование блоков размещения, размер
которых отличается от установленного по умолчанию.
Внимание! В общем случае настоятельно рекомендуется использовать
размер, установленный по умолчанию:
^ на NTFS - 512, 1024, 2048, 4096, 8192, 1бКб, 32Кб, б4 Кб;
^ на FAT — 512, 1024, 2048, 4096, 8192, 1бКб, 32Кб, б4 Кб, (128 Кб, 256
Кб для размеров сектора > 512 байт);
^ на FAT32 - 512, 1024, 2048, 4096, 8192, 1бКб, 32 Кб, б4 Кб, (128 Кб,
256 Кб для размеров сектора > 512 байт).
Заметьте, что FAT и FAT32 накладывают следующие ограничения на
число кластеров в томе: FAT— <= 65526; FAT32 — 65526 < число класте-
ров < 268435446. Если при указанном размере кластера данные огра-
ничения не соблюдены, команда FORMAT не выполняется.
• /F: size — объем гибкого диска (1б0, 180, 320, ЗбО, 720, 1.2, 1.23, 1.44,
2.88, или 20.8);
• /T:tracks — число дорожек на стороне диска;
• /N:sectors — число секторов в дорожке;
• /1 — формат одностороннего гибкого диска;
• /4 — формат 5.25-дюймого гибкого диска на 360 Кб в дисководе,
предназначенном для дисков высокой плотности;
• /8 — формат 8 секторов на дорожку.
Так, в частности, можно форматировать диски в файловую систему
FAT32. При форматировании в NTFS программа предупреждает, что
новой файловой системой на разделе станет NTFS 5.0.
Обращение к команде FORMAT — универсальное, всегда доступное
средство форматирования. В случае, если выбранный диск в данный
момент по какой-либо причине отформатировать невозможно, форма-
тирование будет перенесено на момент перезагрузки системы.
Графическая программа форматирования
Если Вы щелкнете правой кнопкой мыши название диска в Windows NT
Explorer, а затем выберете в меню команду FORMAT, то запустите гра-
фическую программу форматирования дисков, более удобную для на-
чинающих администраторов. Кроме того, эта программа позволяет
указать, какая версия NTFS необходима. Так как многие новые функции
Windows NT доступны лишь на NTFS версии 5.0, то старый формат ре-
комендуется только в целях совместимости3.
Преобразование существующего раздела
в формат NTFS
Представьте себе, увы, нередкую ситуацию: спустя некоторое время
после установки сервера, его полной конфигурации и введения в ра-
бочий режим администратор спохватился и для обеспечения более
высокой степени защиты решил преобразовать формат диска, на кото-
ром располагаются каталоги пользователей (или иные важные данные),
в NTFS. Если он ничего не знает о команде CONVERT, то, скорее всего,
будет долго «тянуть» с этим мероприятием, опасаясь потери данных или
необходимости полного резервного копирования с последующим вос-
становлением.
Команда CONVERT позволяет преобразовать разделы FAT или FAT32 в
раздел NTFS без потери данных!
CONVERT диск: /FS:NTFS [/V],
где:
• диск — указывает диск, преобразуемый в NTFS (преобразование ак-
тивного диска невозможно);
• /FS:NTFS— указывает тип файловой системы (NTFS);
• /V — предписывает программе CONVERT выводить информацию о
работе.
Единственное, о чем необходимо помнить при преобразовании, это о
невозможности преобразования активного раздела — его придется
отложить до следующей перезагрузки операционной системы.
Обновление раздела NTFS
Итак, в Windows NT 5.0 реализована новая версия файловой системы —
NTFS 5.0, обеспечивающая новую функциональность: квотирование,
переходы и т. д. Если Вы устанавливаете систему на новый компьютер,
то разделы NTFS 5-0 создаются командой FORMAT.
Но как быть в случае обновления операционной системы? Форматиро-
вание мало пригодно, так как уничтожит всю информацию на диске.
Если сервер является контроллером домена, то разместите файлы каталога
Active Directory на разделе NTFS 5.0. Это облегчит Вам переход на последую-
щие бета-версии.
Выход — использовать команду CHKNTFS. Эта команда имеет новый
ключ, который позволяет обновлять файловую систему без потери ин-
формации. Синтаксис команды следующий:
CHKNTFS диск: [...]
CHKNTFS /D
CHKNTFS /X диск: [...]
CHKNTFS /С диск: [..,]
CHKNTFS /Е диск: [...],
где:
• диск: — имя диска;
• /D — восстанавливает состояние машины, принятое по умолчанию;
все диски проверяются при загрузке и в случае наличия флага «по-
врежден» [2] запускается chkdsk; при этом отменяется действие клю-
ча /X;
• /X — исключает диск из списка проверяемых при загрузке; исклю-
ченные диски не накапливаются между вызовами команды — их
надо определять одним вызовом;
• /С — программирует запуск chkdsk при следующей загрузке;
• /Е — разрешает автоматическое обновление тома NTFS; после об-
новления необходима перезагрузка, затем версия NTFS обеспечит
работу всех новых функций.
Если не указан ни один из ключей, программа CHKNTFS показывает
версию файловой системы на указанном диске и выставляет значение
флага в «поврежден».
Распределенная файловая система
Приходилось ли Вам заниматься поиском нужного документа в сети?
Хорошо, если вся интересующая Вас информация хранится на одном—
двух сетевых серверах. А если Вы сотрудник крупной корпорации, на-
считывающей десятки, а то и сотни различных серверов, и ведете по-
иск документа, о котором известно только то, что он может находить-
ся на любом сервере, в каталоге Public и подкаталоге Важные проек-
ты\Северный регион? Неужели Вам на долю выпадет открывать на всех
«подозрительных» серверах каталог Public и искать в нем нужный под-
каталог? Разумнее, конечно, подключиться к найденному ресурсу, при-
своив новому сетевому соединению букву латинского алфавита. Тогда
в следующий раз уже не придется мучительно долго вспоминать имя
нужного сервера — достаточно будет просто посмотреть в подключен-
ных сетевых ресурсах. Казалось бы, вот и выход, но... в латинском ал-
фавите всего 26 букв, а если отбросить те из них, что соответствуют
гибким и жестким дискам в Вашем компьютере, то в распоряжении
останется и того меньше. Для всех необходимых ресурсов букв может
не хватить.
Вот здесь на помощь и придет распределенная файловая система DFS
(Distributed File System), позволяющая объединить серверы и предостав-
ляемые в общее пользование ресурсы в более простое пространство
имен. DFS делает для серверов и совместно используемых на них ре-
сурсов то же, что файловые системы — для жесткого диска. Файловые
системы обеспечивают однородный поименованный доступ к набору
секторов на дисках. DFS обеспечивает однородный поименованный
доступ к набору серверов, совместно используемых ресурсов и файлов,
организуя их в виде иерархичной структуры. В свою очередь, новый
том DFS может быть иерархично подключен к другим совместно ис-
пользуемым ресурсам Windows NT. Таким образом, DFS позволяет орга-
низовать физические устройства хранения в логические элементы, что
в свою очередь, делает физическое расположение данных прозрачным
как для пользователей, так и для приложений.
Преимущества DFS
Итак, поговорим об основных преимуществах, предоставляемых DFS,
подробней.
Настраиваемый иерархический вид совместно используемых
сетевых ресурсов. Связывая сетевые ресурсы друг с другом, админи-
страторы могут создавать единый иерархический том в виде огромно-
го жесткого диска. Отдельные пользователи могут создавать свои соб-
ственные тома DFS, которые, в свою очередь, могут быть включены в
другие тома DFS. Это называется интер-DFS связи.
Гибкое администрирование тома. Отдельные сетевые ресурсы, вхо-
дящие в DFS, могут быть отключены без какого-либо воздействия на
остальные, что позволяет администраторам управлять физическими
компонентами ресурсов без изменения их логического представления
для пользователей.
Графические средства администрирования. Каждый корень DFS
может управляться с помощью простого графического инструмента,
позволяющего просматривать тома, изменять их конфигурацию, уста-
навливать интер-DFS связи, а также управлять удаленными корнями
DFS.
Повышенная доступность данных. Несколько сетевых ресурсов,
предоставленных в совместное использование только для чтения, мо-
гут быть объединены под одним логическим именем DFS. Если один из
ресурсов недоступен, автоматически становится доступным альтерна-
тивный.
Баланс нагрузки. Несколько сетевых ресурсов, предоставленных в
совместное использование только для чтения, могут быть объединены
под одним логическим именем DFS, что создает ограниченную сбалан-
сированность нагрузки между дисками или серверами. При доступе к
такому ресурсу пользователь автоматически перенаправляется на один
из серверов, входящих в том DFS.
Прозрачность имен. Пользователи перемещаются по пространству
имен, независимо от физического расположения данных. Данные мо-
гут быть перемещены на любой сервер, но последующая переконфигу-
рация DFS делает это перемещение незаметным для пользователя, так
как он по-прежнему оперирует с существующим для него простран-
ством имен DFS.
Интеграция с моделью безопасности Windows NT. He требуется
никаких дополнительных мер безопасности. Любой пользователь, под-
ключенный к тому DFS, имеет доступ к ресурсам только в том случае,
если обладает соответствующими правами. При этом используется
модель безопасности Windows NT.
Интеграция клиента DFS с Windows NT Workstation и Windows 9x.
Клиент DFS встроен в Windows NT Workstation (начиная с версии 4).
Эта дополнительная функциональность никак не сказывается на тре-
бованиях клиента к памяти.
Для Windows 95 клиент поставляется дополнительно.
Интеллектуальное кэширование на клиентской части. Потенци-
ально, в том DFS могут быть включены сотни тысяч предоставленных в
совместное использование ресурсов. На клиентской стороне не дела-
ется никаких предположений о том, к какой доле информации пользо-
ватель может осуществлять доступ. Поэтому при первом обращении к
каталогу определенная информация кэшируется локально. При повтор-
ном обращении к той же информации используется часть, находящая-
ся в кэше, без повторного поиска ссылки. Это позволяет значительно
повысить производительность в больших иерархических сетях.
Взаимодействие с другими сетевыми файловыми системами.
Любой том, к которому можно осуществить доступ через редиректор
Windows NT Workstation, может быть включен в пространство имен
DFS, Такой доступ осуществляется либо с помощью клиентских реди-
ректоров, либо с помощью шлюзов на сервере.
Технический обзор распределенной
файловой системы
Возможно, при чтении этой главы Вы столкнулись с рядом не вполне
понятных терминов. Прежде чем приступить к дальнейшему описанию
DFS и работы с ней, внесем некоторую ясность.
Корень DFS — локальный ресурс, предоставляемый в совместное
пользование, и применяемый в качестве точки отсчета для всех осталь-
ных ресурсов. Любой ресурс, предоставляемый в совместное пользова-
ние, может быть включен в пространство имен DFS.
Доступ к тому DFS осуществляется с помощью универсального согла-
шения об именах (UNC):
\\Имя_сервера\Имя_ресурса_ОРЗ\путь\файл,
где:
• имя_сервера — имя компьютера, являющегося хостом DFS;
• имя_ресурса_ОРЗ — соответствует любому совместно используемому
ресурсу, назначенному корнем DFS;
• имя\путь — любое верное имя файла.
Можно использовать команду net use для любого места в дереве DFS.
Это объясняется тем, что на практике DFS перенаправляет обращение
к имени DFS на реальный совместно используемый ресурс какого-либо
сервера.
Совместно используемые ресурсы, составляющие DFS, могут быть лю-
быми из доступных для клиента: ресурсы локального хоста, удаленно-
го сервера Windows NT или любого компьютера, к которым осуществ-
ляется доступ через специализированное программное обеспечение
(Netware, Banyan).
Доступ к тому DFS можно также осуществить как по его отказоустойчи-
вому имени, так и по имени домена. Это делается следующим образом:
\\Отказоустойчивое_имя\Имя_ресурса _ОР8\путь\файл
\\Имя_домена\отказоустойчивое_имя\путь\фаил,
где под отказоустойчивым именем понимается имя, указанное админи-
стратором для DFS-тома в службе каталога.
Хост тома DFS. В сети допустимо множество отдельных томов DFS,
каждый со своим именем. Любой сервер Windows NT (версии 4.0 и
более поздних) может исполнять сервис DFS и являться хостом тома
DFS. Версия распределенной файловой системы для Windows NT 4.0
позволяет серверу быть хостом только для одного тома, хотя никаких
принципиальных ограничений на количество томов не существует. В
Windows NT 5.0 сервер может быть хостом для нескольких томов DFS.
Обычно том DFS состоит из указателей на множество томов, принад-
лежащих другим серверам организации. Предположим, например, что
в крупной проектной организации несколько групп пользователей ра-
ботают с текстовыми документами. Необходимые им документы рас-
полагаются на различных серверах в самых разных ресурсах. С помо-
щью DFS можно объединить все эти ресурсы в один логический том и
тем самым значительно облегчить труд упомянутых сотрудников. При-
мер такого объединения для сотрудника Саши Иванова показан в таб-
лице 4-1.
Таблица 4-1 |
||
Имя UNO |
Проецируется на |
Описание |
\\Server\Public |
\\Server\Public |
Корень DFS организации |
\\Server\Public\ |
\\IIS\Root |
Переход на корневой каталог |
\\Server\Public\ |
\\Marketing\Info\ |
Переход на каталог подразделения |
\\Server\Public\ |
\\Server\PL]t)lic\ |
Собрание домашних каталогов |
\\Server\Public\ |
\\Dev\NT\Priv\ |
Переход из Users в персональный |
\\Server\Public\ |
\\Sasha1\Data |
Переход из персонального ката- |
\\Server\Public\ |
\\Sasha2\Data- |
Альтернативный том: резервная |
\\Server\Public\ |
\\NW411\Public\ |
Том низкого уровня: переход |
На диаграмме схематично показано как выглядит такой том, а также три
важных примера: пост-переходный переход, альтернативные тома, тома
низкого уровня. Рассмотрим каждый из них подробнее.
Пост-переходный переход имеет, в свою очередь, дочерние перехо-
ды. Существует два метода создания таких переходов: интер-DFS связи
и переходы среднего уровня.
Интер-DFS связи (отдельно стоящий сервер). Возможен переход
с одного тома DFS на другой. Например, в каждом подразделении мо-
гут быть созданы свои тома, отражающие специфические потребнос-
ти и интересы. Общий том предприятия может включать в себя все ин-
дивидуальные тома подразделений. При просмотре такого тома пользо-
ватель прозрачно перемещается по ресурсам, не подозревая о том, что
реально корень DFS изменяется.
Переходы среднего уровня — планируемый тип переходов, при
котором поддерживается неограниченное число иерархических пере-
ходов, не требующих интер-DFS связей. Все ссылки разрешаются из
одного корня, что минимизирует число мест возникновения ошибок и
число ссылок, необходимых для разрешения глубоко вложенных путей.
Альтернативные тома. Если два или более совместно используемых
ресурса являются точной копией еще какого-либо ресурса, то их мож-
но поместить в пространство DFS под одним именем. При этом DFS не
проверяет реплицируемость ресурсов. Предоставить альтернативные
тома либо организовать тиражирование — забота администратора.
Если тиражирование не применяется, то такие тома можно использо-
вать только для чтения. В DFS возможны не более 32 альтернатив в
каждой точке перехода, а вот число точек перехода не ограничено.
Тома низкого уровня. Таковыми являются все тома, расположенные
не на серверах Windows NT. Эти тома могут быть видны в структуре DFS,
но не могут служить точками перехода или хостами DFS. К таким сис-
темам относятся Windows NT Workstation, Windows 9x, Windows for
workgroups, а также все сетевые ресурсы других производителей, к ко-
торым имеется доступ. Необходимо заметить, что DFS-клиент для Win-
dows 95 может осуществлять доступ ко всем томам высокого уровня и
всем SMB-томам низкого, но не способен взаимодействовать с не-SMB-
томами.
Таблица Partition Knowledge Table. В таблице РКТ (Partition Know-
ledge Table) хранится информация обо всех точках перехода.
Путь DFS |
Список (сервер + совместно |
Время жизни |
|
|
|
Структура, таблицы Partition Knowledge Table
Как видно из рисунка, в РКТ хранится соответствие логических имен
DFS ссылкам на физические ресурсы. В случае альтернатив для точки
перехода хранится список альтернативных ресурсов.
Когда клиент пытается пройти точку перехода, он сначала обращается
к РКТ, хранящейся в локальном кэше. Если описание этой точки там
отсутствует, происходит обращение к корню DFS. Если же и при этом
точка перехода не определяется, выдается сообщение об ошибке. При
разрешении ссылки информация о ней заносится в локальную РКТ.
После получения ссылки из РКТ информация о ней остается в таблице
в течение пяти минут. В случае повторного использования той же са-
мой ссылки, «время жизни» соответствующей строки таблицы вновь
обновляется. Если в течение пяти минут повторного обращения не про-
исходит, то ссылка удаляется из таблицы РКТ. Если ссылка соответству-
ет тому альтернатив, кэшируется информация обо всех альтернативных
ресурсах и при повторном обращении к такой ссылке система произ-
вольно выбирает одну из альтернатив.
Работа альтернативных томов. Итак, при обращении к ссылке, со-
ответствующей нескольким альтернативным томам, система произволь-
но выбирает один из ресурсов, записанных в таблице, и устанавливает
сеанс связи с сервером. Если данный клиент к этому серверу еще ни
разу не подключался, то происходит передача мандатов. Если по каким-
либо причинам связь с сервером не может быть установлена, начина-
ется процесс восстановления.
Скорость восстановления и степень участия в нем клиента в значитель-
ной мере определяются тем, что именно клиент делал в момент сбоя и
как этот сбой произошел. Можно выделить четыре возможных сценария.
1. В тот момент, когда клиент просматривает содержимое тома,
выключается питание компьютера, на котором установлен
этот том, или по каким-либо причинам обрывается сетевое
соединение. Чтобы выполнить восстановление, клиент сначала
должен определить, что выбранный компьютер более не доступен.
Время определения в значительной мере зависит от типа использу-
емого сетевого протокола. Большинство протоколов рассчитаны на
работу в глобальных сетях (где зачастую присутствуют низкоскоро-
стные каналы связи) и начинают счет попыток возобновления со-
единения. Такой счет может продолжаться до 2 минут, и лишь после
этого произойдет таймаут протокола и DFS произведет выборку аль-
тернативного ресурса из РКТ. Если в таблице отсутствует альтерна-
тивный ресурс, то будет выполнено обращение к корню DFS для
поиска новых ссылок. Если и там они отсутствуют, произойдет сбой.
В противном случае, будет установлен новый сеанс связи.
2. В тот момент, когда клиент просматривает содержимое тома,
в компьютере происходит сбой жесткого диска, на котором
хранится ресурс, или этот ресурс просто деактивируется. В
этом случае сервер продолжает отвечать на запросы и восстановле-
ние происходит практически мгновенно.
3. В тот момеыт, когда клиент открыл файл, выключается пи-
тание компьютера, на котором установлен том с открытым
файлом, или по каким-либо причинам обрывается сетевое
соединение. Процесс восстановления будет протекать так же, как
это описано в сценарии 1. Дополнительно его длительность будет
зависеть и от приложения, открывшего файл, потому что в случае
блокировок файла необходимо будет определить, что произошла
подмена файла и установить новые блокировки.
4. В тот момент, когда клиент открыл файл, в компьютере про-
исходит сбой жесткого диска, на котором хранится ресурс,
или этот ресурс просто деактивируется. Так же как и в сцена-
рии 2 процесс восстановления произойдет очень быстро. На его
скорость окажет влияние время, которое понадобится приложению,
чтобы переопределить ссылку на файл.
Безопасность. Каждый раз при первоначальном обращении к точке
перехода клиент инициирует процесс установления связи с сервером,
соответствующим ресурсу в точке перехода. Для этого передается ман-
дат, использовавшийся при подключении к DFS. (Например, net use
\\server\Dfs_share /u : domain\user). Если мандат не указан пользова-
телем, то используется мандат, заданный при входе в систему на рабо-
чей станции и хранящийся в кэше.
Каждый ресурс, составляющий дерево DFS, имеет свой собственный
список контроля доступа (ACL) и управление этим списком выполня-
ется отдельно для каждого ресурса. Не существует возможности цент-
рализовано изменять доступ к нескольким ресурсам DFS одновремен-
но. Так же невозможно обеспечивать автоматическое постоянство спис-
ков контроля доступа на альтернативных томах. Тому есть несколько
причин.
• ACL логического дерева может быть легко обойден, если пользова-
тель подключается непосредственно к ресурсу, входящему в DFS.
• В логический том могут входить ветви, располагающиеся как на
разделе FAT, так и на разделе NTFS, а некоторые ветви — и на иных
файловых системах. Поэтому нет никакого смысла, установив зап-
рет на доступ к некоему ресурсу, расположенному на разделе NTFS,
пытаться сохранить его при переходе на раздел FAT или Netware.
• Инструмент для контроля за ACL по всему логическому дереву дол-
жен был бы иметь сложный механизм транзакций и передачи сооб-
щений, обеспечивающий надежную работу в медленных и ненадеж-
ных сетях.
• При квотировании дискового пространства пришлось бы хранить
информацию обо всех пользователях, которые в принципе могли бы
иметь доступ ко всем ветвям логического дерева, а также о размере
выделенных для них квот для всех составляющих дерева.
Работа с DFS
Работа с DFS весьма проста как с точки зрения пользователя, так и с
точки зрения администратора. Для первых доступ к любому ресурсу
совершенно прозрачен и привычен, а вторые получают удобный инст-
румент для определения корней DFS и «выращивания» логического
дерева.
Администрирование. Инструмент, включенный в поставку, позволя-
ет упростить управление, а также изменение конфигурации сервера.
При первоначальном запуске этой утилиты будет предложено либо
выбрать имеющийся корень, либо создать новый. (Корнем может слу-
жить любой совместно используемый сетевой ресурс сервера). После
этого, используя команды меню, можно создавать как новые элементы
тома, так и альтернативные тома.
Работа конечных пользователей. Если на клиентской стороне ус-
тановлена поддержка DFS, то доступ к любому ресурсу DFS осуществ-
ляется точно так же, как и к любому обычному сетевому ресурсу. Если
используется Explorer Windows NT или Windows 9x, то логическое де-
рево DFS в нем отображается в виде дерева каталогов примерно так, как
на рисунке.
DFS Administrator
В силу того, что пространство имен DFS является логическим, админи-
стратор может назначать ресурсам осмысленные имена, что также об-
легчает поиск нужной информации. Ограничение длины стандартное
для 32-разрядных версий Windows: длина пути не может превышать 260
символов.
Так как с точки зрения пользователя логическое дерево выглядит от-
дельным диском, то нет ничего проще, чем найти нужный файл на этом
диске при помощи механизмов поиска Windows NT или Windows 9x.
Таким образом, большие и распределенные сети становятся «дружелюб-
нее» к пользователю.
Просмотр дерева DFS с помощью Explorer
Уже отмечалось, что возможность создания альтернатив повышает до-
ступность данных и позволяет сбалансировать нагрузку серверов. Так
как данная функция абсолютно прозрачна для пользователя, то ничего
кроме дополнительных выгод она ему не даст. Например, при одновре-
менном доступе большой группы пользователей к некоему ресурсу,
расположенному на нескольких альтернативных серверах, члены груп-
пы будут автоматически распределены между этими серверами пример-
но поровну, что снизит нагрузку на каждый из серверов и повысит
производительность.
Альтернативные ресурсы позволяют сделать обновление информации
абсолютно незаметным для пользователя. Администратор может разме-
щать новые данные не на том сервере, к которому в настоящий момент
обращаются клиенты, а на другом, временно недоступном для них.
После завершения обновления и проверки правильности достаточно
переопределить соответствующую ссылку в корне DFS, чтобы пользо-
ватели получили доступ к обновленным данным. При этом клиентам
не требуется ничего перенастраивать.
Особенно это актуально для пользователей Интернета или интрасетей.
Каждое подразделение в организации может иметь на своем сервере
отдельный ресурс, содержащий информацию в HTML-формате. Адми-
нистратор, объединяя такие разрозненные ресурсы в дерево DFS, пре-
доставляет пользователям интрасети предприятия доступ к единому
пространству имен.
Переходы NTFS
Переходы NTFS позволяют спроецировать любой каталог-адресат в
подкаталог на локальном компьютере. Имя пути к каталогу-адресату
может быть любым (как локальным, так и удаленным), верным для Win-
dows NT. Подобная проекция весьма напоминает работу распределен-
ной файловой системы, которая, как описано в предыдущем разделе,
проецирует совместно используемый сетевой ресурс на сетевой ресурс
DFS.
Переходы NTFS доступны только на разделах с NTFS 5.0. Они прозрач-
ны для приложений, а значит можно перенаправить их доступ к любо-
му иному каталогу локальной системы. Кроме того, имеется возмож-
ность проецирования на каталог целых дисковых томов, причем даже
таких, которым не назначена буква. Например, на рисунке изображен
каталог, среди подкаталогов которого есть CD и ExtraSpace. В первый
из них спроецировано содержимое компакт-диска, а во второй — раз-
дел с локального жесткого диска. Для пользователя они выглядят точ-
но так же, как и обычные каталоги.
Переходы NTFS
¦ Обычный каталог
Каталог с переходами NTFS
Как уже было отмечено, по своей природе переходы NTFS и DFS весь-
ма схожи. Тем не менее, между ними есть немало отличий. Обобщенно,
DFS более функциональна, чем переходы NTFS (см. таблицу 4-2). Так, в
частности, DFS:
• позволяет поддерживать сбалансированность загрузки путем пере-
направления запросов к различным копиям;
• повышает надежность сетевого подключения за счет подключения
к доступным копиям ресурса;
• интегрируется со службой каталога для хранения топологии;
• позволяет импортировать и экспортировать дерево каталогов DFS.
Таблица 4-2. Различия между переходами NTFS
и переходами DFS
Свойство |
Переходы DFS |
Переходы NTFS |
Источник точки |
Локальный сетевой ресурс, |
Локальный каталог |
перехода |
предоставленный в |
NTFS 5.0 |
|
совместное использование |
|
Адресат точки |
Любой совместно исполь- |
Любое имя пути, |
перехода |
зуемый сетевой ресурс |
верное в Windows NT |
Восстанавли- |
Да |
Да (chkdsk) |
ваемость |
|
|
Портируемое |
Да (сохранение в виде |
Да, (копия, перемеще- |
состояние |
файла) |
ние, резервное |
|
|
копирование) |
Множественность |
Да |
Нет |
адресатов |
|
|
Поддержка |
Да |
Нет |
кластеров |
|
|
API |
Да |
•Да |
Графические |
Да |
Минимально |
средства |
|
планируется |
Доступность |
NT 4.0 и выше |
Только NT 5.0, |
|
|
NTFS 5.0 |
Организация переходов NTFS в Windows NT 5.0
первой бета-версии
Для организации точек перехода NTFS в первой бета-версии Windows
NT 5.0 предназначены три утилиты, исполняемые в командной строке
и не имеющие графического интерфейса4. Рассмотрим их подробней.
1. Linkd.exe позволяет:
• проецировать каталог-адресат в каталог раздела NTFS 5.0;
• отображать адресат точки перехода;
• удалять точку перехода, созданную с помощью linkd.
Формат команды linkd следующий:
LINKD Источник [/D] Адресат,
где:
• Источник — имя Windows NT, на которое указывает источник;
4 По умолчанию эти утилиты не копируются на жесткий диск во время уста-
новки системы. Их необходимо скопировать из каталога
PREV1EW\X86\STORAGE на компакт-диске в каталог %WIND1R%\SYSTEM32,
• Источник Адресат — связывает каталог источник с каталогом-адре-
сатом, или с устройством, или с любым верным для Windows NT
именем;
• Источник /D—удаляет источник независимо от того, существует ли
для него адресат.
2. Moun.tvol.exe позволяет:
• проецировать корневой каталог тома на каталог раздела NTFS 5.0.
(иными словами, монтирует том);
• отображать адресат точки перехода NTFS, используемый для монти-
рования тома;
• перечислить все тома локальной файловой системы, доступные для
использования;
• удалять точки перехода, созданные mountvol.
Утилита mountvol использует технологию, гарантирующую неизмен-
ность тома-адресата при различных изменениях аппаратной конфигу-
рации. Дисковый том указывается в виде устройства Windows NT, на-
пример, Device\CDRomO или Device\Volume5.
Формат команды mountvol следующий:
MOUNTVOL Источник [/D] Устройство-адресат,
где:
• Источник — имя Windows NT на которое указывает источник;
• Источник Устройство-адресат — связывает каталог источник с уст-
ройством Windows NT;
• Источник /D—удаляет источник независимо от того, существует ли
для него адресат.
3. Delrp.exe позволяет:
• удалять точки перехода NTFS;
• удалять любые точки повторного разбора (которыми, по сути, явля-
ются точки перехода NTFS).
Формат команды deirp следующий:
Deirp имя_файла,
где Имя файла — любое имя файла или каталога.
Стоит упомянуть, что если в командной строке выполнить команду dir
для каталога, в котором имеются точки перехода, то рядом с соответ-
ствующим именем появится сообщение <MNT POINT>.
Внимание! В первой бета-версии Windows NT 5.0 утилиты работы с
точками перехода введены для предварительного ознакомления, поэто-
му необходимо соблюдать некоторые простые правила, которые позво-
лят Вам не потерять данные на жестком диске:
^ используйте списки контроля доступа для защиты точек перехода от
случайного удаления;
•^ используйте списки контроля доступа к файлам и каталогам, являю-
щимся адресатами точек перехода, для защиты от случайного уда-
ления;
•^ никогда не используйте Explorer или команду del/s для удаления
точек перехода: это повлечет за собой удаление всех файлов и ката-
логов-адресатов;
^ не создавайте циклические ссылки;
•^ занимайтесь экспериментами в каком-либо безопасном месте, на-
пример, в каталоге, специально созданном для этих целей на разде-
ле NTFS 5.0.
Файловая система с шифрованием
Одна из стандартных мер предосторожности в персональных компью-
терах — возможность загрузки с гибкого диска. Она часто выручает при
сбоях на жестком диске или повреждении загрузочного сектора, так как
позволяет осуществить доступ к данным. К сожалению, эта же возмож-
ность позволяет загрузить на компьютер операционную систему отлич-
ную от той, которая на нем установлена. Потенциально любое лицо,
имеющее физический доступ к компьютеру, сможет обойти систему
разграничения доступа файловой системы Windows NT, используя
появившиеся в последнее время утилиты чтения NTFS. Многие компь-
ютерные системы позволяют защитить процесс загрузки паролем, что
в значительной степени снижает риск проникновения в систему. Од-
нако даже такие средства распространены недостаточно широко или
имеют откровенные «дыры». Я сам был свидетелем того, как пользова-
тели беспрепятственно загружали защищенные таким образом компь-
ютеры, узнав универсальный пароль производителя BIOS. Кроме того,
защита загрузки паролем недостаточно эффективна в случае эксплуа-
тации одного компьютера несколькими пользователями. То, что извес-
тно двоим, известно всем. Поэтому, даже допустив, что подобные сред-
ства защиты распространятся повсеместно, нельзя утверждать, что па-
рольная защита эффективна.
В самом деле, что может быть банальней, чем кража переносного ком-
пьютера? Я еще не встречал ни одного владельца ноутбука, который бы
приковывал свое имущество наручниками. А раз так, то вору остается
только дождаться удобного момента. И где гарантия того, что компью-
тер нужен ему не для банальной перепродажи, а для доступа к храни-
мой там важной и конфиденциальной информации?
Другой типичный случай — кража данных в результате неограничен-
ного доступа. Оставляя свой настольный компьютер в офисе, Вы тем
самым предоставляете возможность злоумышленнику воспользоваться
Вашим отсутствием и прочитать интересующую его информацию на
локальном диске. Напрасно потом горячиться и рвать на себе волосы,
проклиная тот день, когда Вы поверили фирме Microsoft и установили
«защищенную систему Windows NT». Если Вы позволяете загружать на
компьютере иную ОС, то сознательно пренебрегаете элементарными
мерами защиты. Существующие на сегодняшний день утилиты для MS-
DOS и UNIX позволяют сравнительно легко обходить механизмы огра-
ничения доступа NTFS.
Единственно верное решение — шифрование данных. В настоящее вре-
мя ряд продуктов обеспечивает шифрование на уровне приложений.
Однако все эти продукты обладают рядом ограничений и слабых мест.
Рассмотрим некоторые из таких «слабостей» подробней,
Шифроваыие и дешифрация выполняются вручную. Говоря
«вручную», я не подразумеваю, что пользователь корпит над докумен-
том, применяя сложный математический алгоритм для его кодирова-
ния, Дело в том, что большинство продуктов не может работать напря-
мую с зашифрованными файлами. Пользователь должен сначала его
расшифровать (используя некоторую утилиту), а после завершения
работы — зашифровать заново. Достаточно забыть об этом, и документ
станет доступным любому желающему с ним ознакомиться. А так как
процесс шифрования (дешифрации) означает для пользователя неко-
торое дополнительное усилие, то и применяться он будет с неохотой.
Утечки из временных файлов и файла подкачки. Многие прило-
жения во время работы создают временные файлы. (Те, кто работает с
Microsoft Word, прекрасно осведомлены об этом). В том случае, если Вы
работаете с зашифрованным документом, временный файл остается
незашифрованным! Хорошо известно, что при аварийном закрытии
приложений временные файлы остаются на диске, что может оказать
неоценимую услугу взломщику.
С другой стороны, системы шифрования работают в режиме пользова-
теля Windows NT, а это означает, что ключ шифрования пользователя
может быть сохранен в файле подкачки. Так как файл не зашифрован,
то, опять же, можно извлечь из него интересующий ключ и получить
доступ к информации.
Слабая защита. Ключи создаются на основе паролей. В том случае,
если используются простые для запоминания пароли, словарная атака
позволит легко раскрыть Ваш секрет.
Отсутствие средств восстановления данных. Многие продукты не
обеспечены средствами восстановления данных. Это еще одно обеску-
раживающее пользователей свойство актуально для тех, кто не хочет
запоминать другой пароль. И ситуации, когда восстановление данных
базируется на пароле, — еще одно слабое звено в цепи защиты. Доста-
точно узнать пароль, чтобы получить доступ к данным.
Решать все перечисленные выше, а также многие другие проблемы
призвана файловая система с шифрованием EFS (Encrypting File System).
Архитектура EFS
Прежде чем говорить об использовании файловой системы с шифро-
ванием, необходимо ознакомиться с теоретическими основами: реали-
зацией процессов шифрования, дешифрации и восстановления файлов.
Криптография. В EFS шифрование и дешифрация данных основаны
на схеме с общими ключами (public keys). Данные в файле шифруются
с помощью быстрого симметричного алгоритма с использованием
ключа шифрования файлов FEK (File encryption key). FEK — случайно
сгенерированный ключ определенной длины, устанавливаемой либо
алгоритмом шифрования, либо законом (в том случае, если алгорит-
мом поддерживаются ключи различной длины)5.
Список зашифрованных FEK создается с использованием общих клю-
чей шифрования ключей (key encryption keys) одного или нескольких
пользователей. Для шифрования FEK используется открытая часть
пары ключей пользователя. Список зашифрованных FEK хранится вме-
сте с зашифрованным файлом в специальном атрибуте EFS, называе-
мом полем дешифрации данных DDF (Data Decription Field). Информа-
ция о шифровании файла тесно привязана к самому файлу. Закрытая
часть пары ключей пользователя служит для дешифрации и хранится
в каком-либо надежном месте, например в смарт-картах (smart cards)
или иных защищенных устройствах хранения.
Заметим, что шифрование ключом пользователя могло бы быть выпол-
нено по симметричному алгоритму, такому, как извлечение ключа из
пароля. Однако в силу того, что подобная схема легко вскрывается при
словарных атаках, она не поддерживается в EFS.
FEK также шифруется с использованием одного или нескольких откры-
тых ключей восстановления ключей (recovery key keys). Для этого при-
меняется открытая часть пары ключей, аналогично уже описанному ме-
ханизму. Список зашифрованных FEK хранится вместе с файлом в спе-
циальном атрибуте EFS, называемом полем восстановления данных
DRF (Data Recovery Field). Для шифрования FEK, хранящихся в DRF,
нужны только открытые части пар ключей восстановления. Для нор-
мальной работы файловой системы EFS открытые ключи восстановле-
ния должны быть постоянно доступны. Операция восстановления —
явление относительно редкое и нужда в ней возникает только в случае
увольнения сотрудника, потери ключа и т. п. Следовательно, агенты
восстановления (recovery agent) могут хранить закрытые части ключей
в безопасном месте (интеллектуальные карты и т. п.).
Согласно правилам экспорта технологий криптографии США запрещен экс-
порт технологий шифрования с ключом, длина которого превышает 40 бит.
На момент написания этой книги в Конгрессе США велись оживленные де-
баты на эту тему с явным перевесом сил в пользу сторонников ужесточения
требований. В России также действуют определенные ограничения на ис-
пользование технологий шифрования, введенные ФАПСИ.
Процесс шифрования файла
Как показано на рисунке, обычный текст, введенный пользователем,
шифруется с помощью случайно сгенерированного ключа FEK. Этот
ключ сохраняется вместе с файлом в двух полях: в поле дешифрации
данных он хранится зашифрованным открытым ключом пользователя,
а в поле восстановления данных — открытым ключом агента восста-
новления. Обратите внимание: на рисунке показан только один ключ
пользователя и один ключ агента восстановления, хотя в действитель-
ности могут быть задействованы как ключи нескольких пользователей,
так и нескольких агентов. В первой версии EFS поддерживается один
пользователь и несколько агентов восстановления.
*#fjda"j u539!3t ___.[Дешифрация¦ ^ Однажды в
$t389E*&... •^9 файла •——— студеную зимнюю
(DES)____ ' пору...
^^Г Ключ
^f шифрования
• Файла - FEK
I^H_^-^^^^^^ Извлечение поля
^f^^^^^^^^r дешифрации
Я данных(RSA)
Личный _____ТГ______
клю4 ¦Поле
пользователя дешифрации
данных
Процесс дешифрации файла
При дешифрации закрытым ключом пользователя дешифруется ключ
шифрования файла РЕК из соответствующего поля дешифрации дан-
ных. РЕК дешифрует считываемые данные поблочно. При произволь-
ном доступе к большому файлу дешифруются только отдельные блоки,
а не весь файл.
Процесс восстановления файла
Изображенный на рисунке процесс восстановления аналогичен про-
цессу дешифрации с той только разницей, что для дешифрации РЕК в
DRF используется закрытый ключ агента восстановления.
Столь простая схема обеспечивает надежность технологии шифрова-
ния и использование одного файла несколькими пользователями, а
также возможность задействовать нескольких агентов восстановления.
В то же время, эта схема совершенно не привязана к какому-либо алго-
ритму и позволяет применять любой и, что очень важно, более совер-
шенный алгоритм, который, быть может, появится в будущем.
Реализация. Давайте начнем разговор о реализации архитектуры EPS
с рисунка, иллюстрирующего этот механизм.
Архитектура EFS
Файловая система с шифрацией является частью послойной модели
Windows NT и состоит из нескольких компонентов. Рассмотрим их
подробней.
• Драйвер EFS располагается непосредственно над NTFS и взаимо-
действует с сервисом EFS для запроса ключей шифрования файлов,
полей дешифрации файлов, полей восстановления файлов и других
сервисов, связанных с управлением ключами. Он передает эту ин-
формацию в библиотеку времени исполнения файловой системы с
шифрацией EFS FSRTL (EFS file system runtime library) для прозрач-
ного выполнения различных операций файловой системы: чтения,
записи, открытия и добавления.
• EFS FSRTL — это модуль драйвера EFS, реализующий различные
вызовы NTFS для таких операций файловой системы, как чтение,
запись и открытие зашифрованных файлов и каталогов, а также
операций шифрования, дешифрации и восстановления данных при
записи на диск или считывании с диска. Хотя драйвер EFS и FSRTL
реализованы в виде единого компонента, они никогда не взаимодей-
ствуют непосредственно, а для передачи друг другу сообщений ис-
пользуют механизмы NTFS. Этим гарантируется участие NTFS во всех
операциях. Операции, реализованные механизмами управления
файлами, включают в себя запись атрибутов EFS (DDF, DRF) в виде
файловых атрибутов и передачу ключа FEK, вычисленного сервисом
EFS в FSRTL, Следовательно, эти операции могут быть установлены в
контексте открытого файла. Этот контекст затем используется для
прозрачности шифрования (дешифрации) при записи (чтении) дан-
ных в файлы на диске.
• Сервис EFS — часть подсистемы защиты. Для взаимодействия с
драйвером EFS этот сервис использует существующий LPC-порт свя-
зи между локальным уполномоченным безопасности LSA (Local Secu-
rity Authority) и справочным монитором защиты, работающим в ре-
жиме ядра. В режиме пользователя он взаимодействует с CryptoAPI
для обеспечения ключами шифрования файлов, создания полей де-
шифрации файлов и полей восстановления файлов. Сервис EFS так-
же обеспечивает поддержку Win32 API. Импорт (экспорт) шифрован-
ных файлов позволяет пользователям преобразовывать файлы в дан-
ные, закрытые для таких операций, как резервное копирование, вос-
становление, а также для пересылки файлов.
• Интерфейсы Win32 API обеспечивают программные интерфейсы
для шифрования текстовых файлов, дешифрации или восстановле-
ния закодированных текстов, а также импорта или экспорта зашиф-
рованных файлов без их предварительного дешифрирования. Под-
держка этих интерфейсов реализована в стандартной библиотеке
advapi32.dll.
Работа с EFS
Теперь, рассмотрев теоретические основы реализации файловой сис-
темы с шифрованием в Windows NT, можно обратиться к вопросам ее
практического использования6.
Работа в графическом интерфейсе. Для доступа к функциям EFS из
Explorer надо выделить файл(ы) или каталог и щелкнуть их правой
кнопкой мыши, а затем выбрать в появившемся контекстном меню
команду Encrypt.
Open
New
PrinI
fluickVie»
Send to >
Cul
Cop»
CEBtleSha'lcul
Delete
Rename
Properties
Килшт)и Encrypt
Пользователю доступны две команды Encrypt (Зашифровать) и Dec-
rypt (Расшифровать).
Об ограничениях на использование шифрования в нашей стране на страни-
цах этой книги мы говорить не будем.
Шифрование. Эта операция позволяет зашифровать выделенный
файл. Если выделен каталог, то пользователю предоставляется возмож-
ность выбрать, надо ли наряду с каталогом шифровать все файлы и
подкаталоги в нем.
Дешифрация. Эта операция обратна шифрованию и позволяет де-
шифровать выделенный файл. Дополнительно к дешифрации каталога
можно дешифровать все находящиеся в нем файлы.
Конфигурирование. Пользователи имеют возможность оперировать
открытыми ключами, используемыми для шифрования файлов EFS:
создавать, экспортировать, импортировать, а также управлять ими. Эта
функция — для опытных пользователей, которые хотят управлять сво-
ими ключами. Тем же, кто не до конца в себе уверен, не стоит об этом
беспокоиться — система EFS создаст необходимые ключи сама.
Работа в командной строке. Дополнительно к возможностям графи-
ческого интерфейса в Windows NT 5.0 есть инструменты для работы с
EFS, вызываемые из командной строки. К этим инструментам относят-
ся команды cipher и copy.
Команда cipher позволяет выполнять шифрацию или дешифрацию
файлов. Приведем список ее параметров:
CIPHER [/Е /D] [/S[:dir]] [/A] [/I] [/F] [/Q] [filename [...]],
где:
• /Е — шифрует указанные файлы (каталоги помечаются таким обра-
зом, что добавляемые в них файлы будут шифроваться);
• /D — дешифрует указанные файлы (каталоги помечаются таким
образом, что добавляемые в них файлы не будут шифроваться);
• /S — выполняет операцию над файлами в указанном каталоге и всех
подкаталогах;
• /I — продолжает выполнять операцию после возникновения ошиб-
ки (по умолчанию команда cipher прерывается после возникновения
ошибки);
• /F — задает, что шифрование выполняется для всех указанных фай-
лов, даже если некоторые из них уже зашифрованы (по умолчанию
зашифрованные файлы пропускаются);
• /ОС — обобщает только наиболее существенную информацию;
• filename — шаблон, имя файла или каталога.
При использовании команды cipher без параметров выводится инфор-
мация о шифровании текущего каталога и всех файлов в нем.
Команда copy дополнена новыми возможностями для экспорта (импор-
та) зашифрованных файлов в переносимый формат. Новые параметры
этой команды:
copy [/Е ¦ /I] sourcefile destinationfile,
где:
• /Е — экспортирует зашифрованный файл (sou reef lie) в виде зашиф-
рованного потока битов в файл назначения (destinationfile); этот
файл должен быть не на разделе NTFS, а на PAT или на гибком диске;
• /I — импортирует зашифрованный поток битов из исходного фай-
ла в файл, расположенный на разделе NTFS (исходный файл, в от-
личие от файла назначения, не должен располагаться на NTFS).
Шифрование файлов. Все, что требуется, чтобы зашифровать файл —
выделить его и выбрать в контекстном меню команду Encrypt. С этого
момента файлы будут храниться на диске в зашифрованном виде. Во
время обращения к файлу для записи или чтения будет прозрачным
образом выполняться шифрование или дешифрация. Чтобы опреде-
лить, зашифрован ли файл, пользователю достаточно посмотреть, ка-
кая команда предлагается в контекстном меню (если Encrypt, то файл
не зашифрован).
Так как шифрование прозрачно с точки зрения пользователя, он мо-
жет продолжать работать с файлом точно так же, как это делал и рань-
ше: например, использовать для работы с документом Microsoft Word, a
для работы с обычным текстовым файлом — Notepad. При попытке до-
ступа к этому файлу другого пользователя будет выдано сообщение об
ошибке доступа, так как отсутствует соответствующий ключ.
Замечание. Администраторы не должны шифровать файлы систем-
ного каталога. Это связано с тем, что эти файлы требуются в момент
загрузки системы, когда ключи шифрования еще не доступны. Для пре-
дотвращения таких попыток Windows NT Explorer препятствует шиф-
рованию файлов с атрибутом System. В будущих версиях Windows NT
будет добавлена возможность защищенной загрузки, позволяющая
шифровать системные файлы.
В EFS имеется возможность импорта (экспорта) зашифрованных фай-
лов между системами. Эти функции добавлены в команду copy и дос-
тупны из командной строки.
Для экспорта пользователь должен указать зашифрованный файл в ка-
честве исходного а файл, расположенный в незашифрованном катало-
ге — в качестве приемного. Экспортированный файл будет по-прежне-
му зашифрован. Его можно копировать на любую иную файловую си-
стему, включая FAT, а также на магнитные ленты устройств резервного
копирования; либо «подшить» к электронному письму, подобно обыч-
ному файлу.
Чтобы файл был доступен для использования на приемной стороне, его
необходимо импортировать. Для этого пользователь указывает в каче-
стве приемного файл, расположенный на разделе NTFS. Файл будет
зашифрован.
Замечание. При обычном копировании зашифрованного файла в ка-
талог, помеченный как нешифруемый, файл будет расшифрован и со-
хранен в открытом виде. Это связано с тем, что операции шифрования
и дешифрации прозрачны для копирования. Данное свойство можно
использовать при копировании файлов для широкого распространения.
Шифрование каталогов. Пометить каталог как шифруемый можно
с помощью команды Encrypt контекстного меню Windows NT Explorer.
При этом по умолчанию все файлы в таком каталоге будут зашифрова-
ны, а все подкаталоги — помечены как шифруемые. Список файлов в
каталоге не' шифруется, поэтому при наличии соответствующих прав
доступа его можно просмотреть, как и раньше.
Помечая каталог как шифруемый, пользователь может указать, относит-
ся ли эта команда только к выбранному каталогу или ко всем вложен-
ным файлам и подкаталогам. Такой порядок облегчает пользователям
заботу о защите своих документов. Достаточно просто скопировать
файл в шифруемый каталог или создать там новый файл, как этот файл
будет немедленно зашифрован.
Дешифрация файлов и каталогов. Обычно пользователям не нуж-
но дешифровать файлы или каталоги — ведь, как уже отмечалось, эта
операция прозрачна как для пользователя, так и для приложений. Од-
нако если пользователь хочет предоставить файл или каталог в совме-
стное использование нескольким коллегам, придется выполнить де-
шифрацию.
Дешифрация выполняется аналогично шифрованию — командой кон-
текстного меню Windows NT Explorer. При применении команды Dec-
rypt к. каталогу у пользователя есть возможность указать, относится ли
она к вложенным подкаталогам.
Операции восстановления. Правила восстановления EFS реализова-
ны как часть общей политики безопасности системы (как домена, так
и отдельной рабочей станции или сервера).
В рамках политики безопасности домена правила применимы ко всем
компьютерам в домене. Интерфейс интегрирован с программой уста-
новки политики домена и локальной политики. Агенты восстановления
могут создавать, экспортировать, импортировать и выполнять резерв-
ное копирование ключей восстановления, используя общий элемент
управления ключами. Интеграция правил восстановления с системной
политикой безопасности обеспечивает однородную мощную модель
безопасности. Система безопасности Windows NT берет на себя заботу
об ужесточении, тиражировании и кэшировании правил. Поэтому ста-
новится возможным их использование даже на системах, временно
работающих в автономном режиме, таких, как ноутбуки (подобно воз-
можности регистрироваться в автономных системах с использовани-
ем кэшированных мандатов).
Для восстановления ключей и зашифрованных файлов используется
утилита EFSRECVR, запускаемая в командной строке Windows NT. Син-
таксис этой команды таков:
EFSRECVR [/S[:dir]] [/I] [/Q] [filename [...]],
где:
• /S — выполняет восстановление файлов в указанном каталоге и всех
подкаталогах (по умолчанию dir означает активный каталог);
• /I — продолжает выполнять восстановление даже в случае возник-
новения ошибок (по умолчанию EFSRECVR прерывает работу в слу-
чае появления ошибок);
• /Q — сообщает только наиболее существенную информацию, вклю-
чая список идентификаторов ключей восстановления, чем позволя-
ет агенту восстановления загружать нужные ключи;
• filename — указывает шаблон, файл или каталог.
Политика восстановления определяется администраторами домена или
лицами, которым делегированы эти полномочия (агентами восстанов-
ления). Они же управляют ключами восстановления для всех компью-
теров, входящих в домен. Если пользователь потеряет закрытый ключ,
то файл можно будет восстановить, экспортировав и отправив почтой
одному из агентов восстановления. Агент должен будет импортировать
файл на защищенную машину, имеющую закрытые ключи восстанов-
ления, а затем воспользоваться утилитой EFSRECVR. После этого де-
шифрованный файл возвращается пользователю. Если домены отсут-
ствуют (в небольших офисах или в домашних условиях), восстановле-
ние можно выполнить на той же самой машине, где хранится зашиф-
рованный файл.
Динамическое отслеживание ярлыков
Ярлыки (shortcuts) вошли в жизнь пользователей ПК с появлением Win-
dows 95 и с тех пор являются предметом постоянных споров. Кто-то
не может нарадоваться такому простому способу доступа к нужным, но
далеко запрятанным файлам и каталогам, кто-то — до сих пор не оце-
нил всей его полезности. А кто-то серьезно озабочен «оторванностью»
ярлыков от реальных файлов. (Дело в том, что созданный ярлык хра-
нит информацию о местонахождении файла, которое было истинным
в момент создания ярлыка. Но кому из Вас не знакомо сообщение, по-
являющееся на экране при попытке доступа через ярлык к файлу, мес-
то хранения которого давно изменилось?)
В новой версии появилось понятие динамических связей. Если файл,
для которого создан ярлык, размещается на NTFS 5.0, то перемещение
его будет отслеживаться операционной системой. Щелкнув ярлык фай-
ла после его перемещения в другой каталог, Вы сразу получите доступ
к желаемому документу или приложению.
Квотирование дискового пространства
Новая функция в Windows NT 5.0 — возможность квотирования (огра-
ничения) дискового пространства, предоставленного пользователям.
Администраторам серверов файлов хорошо знакома ситуация, когда
объем свободного пространства на дисках сервера «тает» на глазах,
«съедаемый» пользователями сети. Можно устанавливать жесткие адми-
нистративные меры наказания, можно взывать к совести, но всегда
найдутся сотни аргументов типа «эта информация просто бесценна и
жизненно необходима», «она полежит на сервере всего денек» и т. п.
Можно дополнительно устанавливать жесткие диски в надежде что
«всех не передавишь», но и это дает только временную передышку.
Радикальное решение — принудительное ограничение пользователей
в их притязаниях на свободное пространство. В предыдущих версиях
Windows NT такая возможность штатно отсутствовала, что в большин-
стве случаев приводило к использованию продуктов сторонних фирм.
Теперь квотирование выполняется относительно каждого пользовате-
ля и каждого дискового тома. Предположим, что пользователи имеют
доступ к ресурсу \\Server\Public. Для пользователей этого ресурса уста-
новлено ограничение в 5 Мб. Если пользователь исчерпает свой лимит
в персональном каталоге \\Server\Public\Sergey и попытается создать
(или скопировать) файл в персональный каталог другого пользовате-
ля, то система воспрепятствует этому.
В зачет использованного дискового пространства идут только файлы,
которыми пользователь обладает. Если руководитель группы создаст
файл, а остальные члены группы будут его редактировать, то ответ-
ственность за используемое пространство по-прежнему будет возложе-
на на руководителя. В результате может сложиться парадоксальная си-
туация: владелец файла не сможет его редактировать, в то время как ос-
тальные сотрудники не будут подвергаться каким-либо ограничениям.
С другой стороны, если некий пользователь вступит во владение фай-
лом объемом 5 Кб, то эта величина добавится к объему, учитываемому
для данного пользователя.
Так как квотирование выполняется относительно каждого тома, то си-
стема отслеживает использование диска, независимо от того, где этот
том расположен. Так, например, если имеются два ресурса \\Server\Pub-
lic и \\Server\Users, то занимаемый объем для каждого из них будет
контролироваться отдельно, даже в том случае, если оба этих ресурса
расположены на одном разделе диска.
Что произойдет, если пользователь превысит установленную квоту? Это
зависит от конфигурации системы. В любом случае в системный жур-
нал будет внесена соответствующая запись. Записи ведутся в хроноло-
гическом порядке, однако по умолчанию в журнале не фиксируется,
какие пользователи в настоящий момент превысили предел. Если ад-
министратор задал соответствующий параметр, то любая попытка
пользователя записать что-либо после превышения лимита закончит-
ся сообщением об отказе в доступе по причине отсутствия свободного
пространства.
Квотирование диска разрешается, если:
• раздел отформатирован в NTFS версии 5.0;
• есть соответствующие административные полномочия.
Для вызова программы квотирования надо щелкнуть правой кнопкой
мыши изображение диска и в контекстном меню выбрать команду Рго-
perties. Затем следует выбрать в диалоговом окне Disk Properties
вкладку Quota. Когда формат диска не NTFS, такая вкладка видна не бу-
дет. Если формат диска NTFS 4.0 или у Вас нет административных пол-
номочий, на экране появится соответствующее сообщение, а если все в
порядке — диалоговое окно изображенное на рисунке.
Диалоговое окно Disk Properties, вкладка Quota
Для активации функции квотирования необходимо отметить флажок
Enable quota management. Если администратор желает воздейство-
вать на пользователей не только морально, следует отметить флажок
Deny disk space to users exceeding quota limit — тогда пользовате-
лям будет отказано в доступе при превышении выделенной квоты.
лей. При превышении пользователем установленного порога предуп-
реждения (Set warning level to) происходит запись предупреждения в
журнал.
Как уже упоминалось, из системного журнала нельзя узнать, сколько
пользователей превысили установленные для них пороги или прибли-
зились к ним. Это можно выяснить, если в диалоговом окне Disk Pro-
perties щелкнуть кнопку Quota Entries. На рисунке показан пример
списка установленных квот.
Список входов квотирования
Все учетные записи, для которых превышен порог предупреждения,
отмечены соответствующим значком.
Для модификации установленных квот надо дважды щелкнуть соответ-
ствующий вход, а для добавления новых ограничений — выбрать в
меню Quota команду Add New Quota. Появится диалоговое окно
Quota Settings/or.
Диалоговое окно Quota settings/or
В этом окне указывается имя учетной записи, для которой вводится
квотирование, а также пороги предупреждения и использования.
Права на доступ к файлам и каталогам.
Понятие владельца
В новой версии Windows NT существенно изменены и дополнены пра-
вила и возможности предоставления доступа к файлам и каталогам. С
одной стороны расширено число атрибутов доступа, которые можно
определять, а с другой — наряду с правом доступа введен запрет доступа.
Права на доступ к файлам и каталогам определяют, может ли пользо-
ватель осуществлять к ним доступ и, если да, — то, как именно. Пользо-
ватель, создавший файл или каталог, является его владельцем. Владение
файлом или каталогом позволяет пользователю изменять права на до-
ступ к нему. Администратор может вступить во владение файлом или
каталогом без согласия владельца, но не может передать его обратно
во владение прежнему владельцу. Чтобы передать владение файлом,
администратор должен зарегистрироваться под именем другого пользо-
вателя и взять файл во владение.
Права на доступ к файлам и каталогам кумулятивны. Исключение со-
ставляет ^Vo Access (нет доступа), имеющее превосходство над осталь-
ными. Допустим, пользователь Львов имеет доступ к файлу FILE1 толь-
ко на чтение. Одновременно он входит в группу «Инженеры», облада-
ющую правом изменения (change) файла FILE1. Значит, Львов обладает
возможностью как чтения, так и изменения файла FILE1. А вот если бы
Львов входил в группу «Бухгалтерия», не имеющую доступа к файлу, он
тоже не имел бы доступа к этому файлу.
Запрет как отдельная сущность действует для тех же самых видов, что
и право. На первый взгляд кажется странным, зачем специально опре-
делять запрет, если ые указание права на какой-либо доступ равносиль-
но запрету. Но как следует из приведенного примера, права кумулятив-
ны, что не всегда удобно. Предположим, что Львов, входящий в группу
«Инженеры», тем не менее, не должен обладать возможностью изменять
файл FILE1. Только назначив ему конкретный запрет можно лишить
такой возможности, оставив, в то же время, все другие, предоставляе-
мые членством в группе «Инженеры».
Предоставление прав на доступ к файлам и каталогам — основа защи-
ты в Windows NT, управляемой пользователями. Доступ ко всем диало-
говым окнам, управляющим правами доступа, может осуществляться
непосредственно из окон, соответствующих папкам, или из Windows
NT Explorer. Для этого необходимо щелкнуть правой кнопкой мыши
имя нужного файла или папки и в меню выбрать Properties, а затем в
появившемся диалоговом окне File Properties — вкладку Security.
Диалоговое окно File Properties, вкладка Security
Предоставление и запрещение доступа к файлам
Чтобы определить доступ к файлу на разделе NTFS, выберите в диало-
говом окне File Properties вкладку Security. На экране появится диа-
логовое окно с элементами Name, Permissions, Allow, Deny и Inherit
permissions from parent. Вы также увидите ряд кнопок для добавле-
ния или исключения пользователей из списка доступа и модификации
доступа.
Диалоговое окно Add User or Group
В списке Name перечислены имена локальных групп и пользователей,
для которых указаны права доступа к выбранному файлу. Имена пользо-
вателей показываются в формате Имя_Домена\Имя_пользователя. Для
добавления новых пользователей или групп надо щелкнуть кнопку Add
и выбрать в появившемся списке нужное.
В разделе Permissions можно выбрать наиболее общие типы доступа
к файлам и связанные с ними действия над файлами (см. таблицу 4-3).
Отдельно указываются как разрешения (Allow), так и запрещения (Deny).
По умолчанию вид доступа к файлу наследуется из каталога, в котором
располагается файл. Если наследование по каким-либо причинам не
подходит, следует сбросить флажок Inherit permissions from parent.
Таблица 4-3- Типы доступа и операции над файлами
(• —разрешено)
No Read & Full |
Показывать данные файла • • • •
Исполнять файл, если это • • •
Показывать владельца файла • • • • Изменять атрибуты файла • •
Изменять и добавлять данные • • Удалить файл • •
Изменять владельца файла • |
Диалоговое окно Permission Entry for
Если требуется более тонкая настройка доступа к файлу, то следует
щелкнуть кнопку Advanced. Появится диалоговое окно Access Control
Settings, со списком контроля доступа (ACL) выбранного файла. Каж-
дая строка списка содержит тип доступа (Allow/Deny), имя пользова-
теля, для которого определено это разрешение, и название разрешения.
Помимо уже упоминавшихся выше наиболее общих разрешений (Full
Control, Modify, Read & Execute, Read, Write) там может находиться
и специальное (Special). Для редактирования строки следует либо
дважды щелкнуть ее, либо воспользоваться кнопкой View/Edit.
Специальный вид доступа можно установить для любого файла или
группы файлов. В таблице 4-4 перечислены специальные виды доступа
и связанные с ними действия.
Таблица 4-4
UI 41
w <u
I I s
^ ^ ^ s
S •S S •» .° S .9-
J-> 0> •f 0> If) ? J-
3-0 (ВЗ-0 (вЕ"Д
д5¦д^5ё8 '¦¦¦S
^?Д5^?2^^&§,§¦
g^^^^&sa^^^S^e
x»»»^a.^^owoc~s>,
шссосос5<5>аасс0¦-(л
Показывать владельца файла •/•/•/•/•/•/•/•/
Показывать права доступа •/•/'•/•/•/•/•/•/ -у •/
Показывать данные в файле ^
Показывать атрибуты файла ^
Показывать расширенные •/
атрибуты файла
Изменять и добавлять данные ^ ^
к файлу
Выполнять файл, если •/
это программа
Удалять файл ^ ^
Изменять атрибуты файла ^
Изменять расширенные •^
атрибуты файла
Изменять права доступа ^
к файлу
Вступать во владение файлом •/
Синхронизировать •/
Предоставление прав на доступ к каталогам
Так же, как и в случае с файлами, в Windows NT 5.0 изменен порядок
предоставления доступа к каталогам. Для изменения разрешений дос-
тупа надо выделить каталог (или несколько каталогов), щелкнуть пра-
вой кнопкой мыши и в появившемся контекстном меню выбрать ко-
манду Properties, а затем — выбрать в появившемся диалоговом окне
Directory Properties вкладку Security.
Диалоговое окно Directory Properties, вкладка Security
Это диалоговое окно сходно с окном File Properties, описанным ра-
нее и предназначенным для файлов. Отличие — в списке разрешений,
назначенных (или запрещенных) для каталога. Также как и для файлов
здесь приведен список только наиболее общих видов доступа.
Таблица 4-5. Права доступа к каталогам и действия
над каталогами
л
»
S S
О 3
0 и -
S S S
V » ^
•5 «о >• о
"- а» тэ -о й "
*- и л я тэ =
м ^ а) « о -з
:J 5 СС ОС Z И.
Показывать имена каталогов ^ •/ •/•/•/
Показывать атрибуты каталогов •/ •/•/•/ '/ •/
Переходить в подкаталоги •/•/ •/•/•/•/
Изменять атоибуты каталога ^ ^
Таблица 4-5- Права доступа к каталогам и действия
над каталогами (продолжение)
Для более точного указания разрешений доступа можно воспользовать
ся редактором ACL так же, как и в случае с файлами. Для вызова редак-
тора надо щелкнуть кнопку Advanced — появится диалоговое окно
Access Control Settings со списком строк ACL. Каждая строка содер-
жит следующие поля: Allow/Deny (тип доступа), имя пользователя,
разрешение, а также применимость. Под применимостью понимается
глубина воздействия указанной строки ACL. Разрешение может отно-
ситься:
• только к этому каталогу;
• к этому каталогу и всем вложенным подкаталогам и файлам;
• только к каталогу и подкаталогам;
• только к каталогу и файлам в нем;
• только к подкаталогам и файлам;
• только к подкаталогам;
• только к файлам.
Диалоговое окно Permission Entry for
Для редактирования строк ACL надо либо дважды щелкнуть строку, либо
воспользоваться кнопкой View/Edit. После этого на экране появится
диалоговое окно Permission Entry/or.
В нем можно указать имя учетной записи, для которой будет использо-
ваться данная строка ACL, глубину воздействия и, конечно же, разре-
шение (или запрещение).
Обратите внимание на флажок Apply these permissions down the tree.
Если он отмечен, то указанные разрешения будут применены не толь-
ко к объектам в списке Apply onto, но и ко всем следующим ниже по
дереву объектам, для которых это возможно.
Владение каталогами и файлами
По умолчанию создатель каталога или файла является его владельцем.
В предыдущих версиях Windows NT невозможно передать файл во вла-
дение кому бы то ни было. Можно было только вступить во владение —
такой привилегией по умолчанию обладали администраторы системы.
В Windows NT 5.0 понятие владения несколько изменено. Теперь пользо-
ватель (при наличии на то прав) может не только вступить во владение
файлом или каталогом, но и передать его во владение третьему лицу.
Этим лицом может быть только пользователь, обладающий соответству-
ющими полномочиями, например, администратор. Для определения
текущего владельца файла и (или) передачи владения надо вызвать
диалоговое окно Folder Properties, выбрать вкладку Security и щелк-
нуть кнопку Advanced. В появившемся окне редактора списка конт-
роля доступа надо выбрать вкладку Owner.
Диалоговое окно редактора списка контроля доступа,
вкладка Owner
В поле Current owner of this item показан текущий владелец объекта,
а в списке Change owner to — учетные записи, обладающие правом
вступить во владение. Для того, чтобы вступить во владение надо выб-
рать свою учетную запись в списке (конечно, если она там присут-
ствует) и щелкнуть ОК.
Заключение
Главная причина новых функций работы с дисками и файлами — по-
желания пользователей операционной системы упростить файловую
систему и администрирование доступа, повысить надежность и отка-
зоустойчивость дисковых томов, а также безопасность и защищенность
данных. Именно поэтому в составе Windows NT 5.0 появились:
• файловая система FAT32;
• файловая система NTFS 5.0;
• распределенная файловая система;
• файловая система с шифрованием;
• переходы NTFS;
• динамические связи;
• квотирование дискового пространства;
• утилита дефрагментации дисков;
• новая программа резервного копирования;
• поддержка разнообразных устройств хранения информации, вклю-
чая магнитооптические накопители и DVD;
• новые средства редактирования доступа к файлам;
• новые административные утилиты;
• новые средства бесперебойной работы и монтирования отказоус-
тойчивых томов;
• а также ряд других возможностей.
Большинство упомянутых новшеств описано в этой главе, некоторые -
нашли отражение в других главах (например, в главе 5). Некоторые
функции остались за пределами этой книги, так как находятся еще в
стадии разработки и на этапе первой бета-версии заслуживают лишь
упоминания.
ГЛАВА 5
Обеспечение
бесперебойной
работы
Если Вы слепо доверяете надежности своего «винчестера», то, поверь-
те, наступит день, когда Вы об этом пожалеете. У любой механической
системы (а жесткий диск таковой и является) есть свой запас прочно-
сти. Что произойдет после выработки ресурса, точно никто не пред-
скажет, однако на лучшее можете не рассчитывать: самая важная для Вас
информация наверняка пропадет безвозвратно. В Windows NT Server
встроены механизмы, обеспечивающие отказоустойчивость системы:
для особо надежной работы с диском, резервного копирования, под-
держки работы с источниками бесперебойного питания, выбора рабо-
тоспособной конфигурации и восстановления системы со специально-
го диска. Но как быть, если из строя вышел сам компьютер? Чтобы это
не отразилось на Вашей работе, рекомендуются кластерные решения.
Как видите, в системе достаточно много средств обеспечения беспере-
бойной работы. Возможно, кто-то даже спросит: зачем так много раз-
ных, на первый взгляд, дублирующих друг друга, механизмов — ведь это
повышает стоимость системы? Почему раз кластеры обеспечивают
столь высокую степень надежности, не использовать их повсеместно?
В таблице 5-1 показаны различные виды сбоев, которые могут проис-
ходить в сети предприятия, а также методы их предотвращения или
минимизации неприятных последствий.
Таблица 5-1 |
||
Источник сбоя |
Кластерное решение |
Другие решения |
Сетевой концентратор |
Применимо, если каждый |
— |
|
из узлов подключен |
|
|
к своему концентратору |
|
Напряжение питания |
— |
Источник беспере- |
|
|
бойного питания |
Подключение к серверу |
Применимо |
— |
Жесткий диск |
— |
RAID, отказо- |
|
|
устойчивые диски |
Аппаратура сервера |
Применимо |
— |
(процессор, память |
|
|
и др.) |
|
|
Серверное ПО |
Применимо |
— |
Маршрутизаторы, |
— |
Дублирующие |
выделенные линии и др. |
|
маршруты и линии |
Коммутируемые |
— |
Пулы модемов |
соединения |
|
|
Клиентские |
— |
Несколько клиентов |
компьютеры |
|
с одинаковыми |
|
|
уровнями доступа |
Таблица хорошо показывает, что хотя кластеры и обеспечивают высо-
кую степень надежности сервера, но не являются панацеей. К тому же
они поддерживаются только версией для предприятий (Windows NT
Server Enterprise Edition). Требуются дополнительные механизмы. Рас-
смотрим средства обеспечения бесперебойной работы, встроенные в
Windows NT Server 5.0.
Средства повышения надежности работы
с диском
Если Вы регулярно пользовались такими программами как CHKDSK или
Norton disk Doctor, то наверняка обращали внимание на иногда обна-
руживаемые на жестких дисках «плохие области» (bad blocks), которые
эти программы помечают как недоступные. Причин появления таких
областей несколько, начиная от некачественного диска и кончая неко-
торыми видами вирусов. Но какова бы ни была причина, результат все-
гда один — сокращение доступного рабочего пространства на диске.
Если же Вы своевременно не продиагностировали диск, то последствия
могут быть еще печальнее: Вы потеряете данные, записанные на по-
врежденный участок, а, в самом худшем случае, операционная система
утратит работоспособность. Поэтому, если в Вашем компьютере толь-
ко один жесткий диск или Вы не используете технологии, описанные
далее в этой главе, первейшей заботой должна стать регулярная про-
верка состояния диска.
Замечание. Современные компьютерные системы, выпускаемые из-
вестными производителями, зачастую обладают встроенными средства-
ми контроля за состоянием дисков и оповещения операционной сис-
темы и администратора о надвигающейся угрозе. Примером могут слу-
жить компьютеры Compaq Proliant, где о предстоящем крахе диска из-
вещается не только операционная система, но и оператор, на пейджер
которого посылается предупреждающий сигнал.
Проверка состояния жесткого диска
Для проверки жесткого диска используется встроенная утилита CHKDSK,
запускаемая из командной строки. Для поиска плохих секторов необ-
ходимо запускать ее с ключом /R. При этом, правда, следует помнить,
что операция может длиться несколько часов. Но если Вы производите
ее регулярно, то о наличии сбойных секторов можете косвенно судить
по резко возросшему времени проверки.
CHKDSK [d rive:][[ path ]filenanie] [/F] [/V] [/R] [/L[: size]],
где:
• [d rive : ] — указывает диск, который надо проверить;
• Filename — указывает файлы для проверки фрагментации (только на
FAT);
• /F — исправляет ошибки на диске;
• /V — для FAT показывает полное имя и путь к файлам на диске; для
NTFS — также сообщения об очистке;
• /R — определяет плохие сектора и восстанавливает читаемую ин-
формацию;
• /L: size — только для NTFS: устанавливает размер файла журнала в
килобайтах, если размер не указан, подразумевается активный.
Внимание! Если во время работы системы выполнение программы
CHKDSK невозможно (например, на выбранном диске находится файл
подкачки), Вам будет предложено перенести ее исполнение на момент
загрузки системы. Если Вы согласитесь, то при следующей перезагруз-
ке будет выполнена полная проверка диска.
Помимо команды CHKDSK в Windows NT 5.0 для проверки диска име-
ется графическая утилита. Чтобы ее вызвать, необходимо щелкнуть
правой кнопкой мыши имя диска в папке My Computer и в появившем-
ся меню выбрать команду Properties. В диалоговом окне надо выбрать
вкладку Tools и щелкнуть кнопку Check Now. Для полной проверки
диска следует отметить оба флажка: Automatically fix filesystem
errors и Scan and attempt recovery of bad sectors.
Диалоговое окно проверки состояния жестких дисков
Чтобы обезопасить себя от разного рода неприятностей, связанных с
отказами дисковой системы на сервере, лучше использовать средства,
повышающие надежность их работы. К средствам Windows NT, обеспе-
чивающих повышенную надежность при работе с диском, относятся:
зеркализация дисков, дублирование дисков, чередование дисков с кон-
тролем четности и замена секторов (в «горячем» режиме).
Технология RAID (избыточный массив
недорогих дисков)
Средства повышения надежности работы с дисками имеют промыш-
ленный стандарт и подразделяются на несколько уровней использова-
ния избыточных массивов недорогих дисков (RAID) (см. таблицу 5-2).
Каждый из уровней обладает различным сочетанием производительно-
сти, надежности и стоимости. В Windows NT Server 5.0 обеспечивается
поддержка RAID уровней 0,1 и 5.
Таблица 5-2. |
Уровни RAID |
Уровни |
RAID |
Уровень 0
Уровень 4 |
Чередование дисков
Чередование дисков с записью кода коррекции в виде
Чередование дисков большими блоками с записью
Чередование дисков с записью четности на нескольких |
Чередование дисков
Этот уровень (RAIDO) обеспечивает чередование между различными
разделами диска. При этом файл как бы «размазан» по нескольким
физическим дискам. Данный метод может увеличить производитель-
ность работы с диском, особенно, когда диски подключены к разным
контроллерам дисков. Так как этот подход нс обеспечивает избы точ-
ности, его нельзя назвать в полной мере RAID. При выходе из строя
любого раздела в массиве все данные будут потеряны. Для реализации
метода требуется от 2 до 32 дисков. Увеличение производительности
достигается только при использовании разных контроллеров диска.
Уровень О: чередование дисков
Зеркализация и дублирование дисков
Зеркальная копия диска или раздел создаются средствами RAID уровня 1:
зеркализацией или дублированием. Зеркальное отражение дисков дей-
ствует на уровне разделов. Любой раздел, включая загрузочный или
системный, может быть зеркально отражен. Это простейший метод
повышения надежности работы с диском. Чаше всего, зеркализация —
самый дорогой метод обеспечения надежности, так как при нем задей-
ствовано всего лишь 50 процентов объема жесткого диска. Однако в
большинстве одноранговых или небольших серверных сетей такой
способ дешев за счет использования всего двух дисков.
Дублирование дисков — зеркализация с применением дополнительно-
го адаптера на вторичном дисководе — обеспечивает отказоустойчи-
вость и при сбое контроллера, и при сбое диска. Кроме того, дублиро-
вание может повысить производительность.
Подобно зеркализации, дублирование выполняется на уровне раздела.
Для Windows NT не существует различия между зеркализацией и дуб-
лированием — вопрос лишь в местонахождении другого раздела.
Здесь уместно остановиться и прояснить ситуацию, с которой доволь-
но часто встречаются администраторы при зеркализации системного
загрузочного диска. Случается, что при выходе из строя одного из дис-
ков принимается решение эксплуатировать систему с другим, остав-
шимся. При этом предполагается, что поскольку второй диск является
зеркальной копией первого, то никаких дополнительных мер предпри-
нимать не надо — достаточно просто загрузить компьютер. Тут-то и
находится камень преткновения: если данный раздел диска не являет-
ся активным, загрузка с него невозможна.
Для активизации раздела надо воспользоваться либо утилитой FDISK,
входящей в поставку любой версии MS-DOS (для разделов FAT), либо
слепком Disk Administrator.
Чередование дисков с записью кода коррекции
RAID уровня 2 работает так: блок данных при записи на диск разбива-
ется на несколько частей, каждая из которых записывается на отдель-
ный диск. Одновременно создается код коррекции, который также запи-
сывается на разные диски. Потерянные данные можно восстановить по
коду коррекции с помощью специального математического алгоритма.
Этот метод требует выделения на диске больше места для хранения
кода коррекции, чем для информации о четности. В Windows NT Server
данный метод не используется.
Чередование дисков с записью кода коррекции
в виде четности
RAID уровня 3 аналогичен уровню 2 за тем исключением, что код кор-
рекции заменен информацией о четности, записываемой на один диск.
Таким образом, дисковое пространство используется лучше. В Windows
NT Server этот уровень также не применяется.
Чередование дисков большими блоками.
Хранение четности на одном диске
RAID уровня 4 записывает целые блоки данных на каждый диск в мас-
сиве. Отдельный диск используется для хранения информации о чет-
ности. Всякий раз при записи блока информация о четности должна
быть считана, изменена, а затем записана вновь. Этот метод больше
годится для операций записи больших блоков, чем для обработки тран-
закций. В Windows NT Server он не применяется.
Чередование дисков с записью информации
о четности на все диски
RAID уровня 5 применяется в большинстве современных отказоустой-
чивых систем. От остальных уровней он отличается тем, что информа-
ция о четности записывается на все диски массива. При этом данные и
соответствующая им информация о четности всегда располагаются на
разных дисках. Если один из дисков выходит из строя, оставшейся
информации достаточно для полного восстановления данных.
Чередование дисков с четностью обеспечивает наивысшую производи-
тельность операций чтения. Но при выходе из строя диска скорость
чтения резко снижается, поскольку нужно выполнять восстановление
данных. Из-за циркуляции информации о четности операции записи
требуют в три раза больше памяти по сравнению с обычной записью.
Этот механизм поддерживает от 3 до 32 дисков. В набор чередования
могут входить все разделы, кроме загрузочного (системного).
Уровень 5: чередование диска с четностью
При использовании массива RAID5 в кластерах в качестве общего ре-
сурса (подробнее об это будет рассказано далее) наибольшая надеж-
ность и производительность достигается в том случае, когда каждый из
дисков подключен к своему контроллеру SCSI.
Подключение массива RAID в кластер
Базовые и динамические дисковые тома
В Windows NT 5.0 введены новые понятия: базового и динамического
тома. На базовых дисках можно выполнять следующие операции:
• создавать и удалять первичные и расширенные разделы и логичес-
кие диски;
• отмечать раздел как активный;
• удалять наборы томов;
• разбивать зеркализацию в зеркальном наборе;
• восстанавливать зеркальные наборы;
• восстанавливать наборы дисков с чередованием с сохранением ин-
формации о четности;
• делать диски динамическими;
• превращать тома и разделы в динамические.
Некоторые операции можно выполнять только на динамических дис-
ках, а именно:
• создавать и удалять простые тома, зеркальные тома, тома с чередо-
ванием и RAID-5;
• расширять тома;
• удалять зеркало из зеркального тома;
• исправлять зеркальные тома;
• исправлять тома RAID-5.
Чтобы превратить диск в динамический, выберите его в слепке консо-
ли управления Disk Management и щелкните правой кнопкой мыши. В
контекстном меню выберите команду Initialize Disk. Далее следуйте
указаниям программы.
В первой бета-версии Windows NT 5.0 не поддерживается преобразо-
вание разделов диска в динамические. Эта возможность будет реализо-
вана во второй бета-версии.
Внимание! Динамические диски не доступны из MS-DOS или Windows.
Замена секторов в «горячем режиме»
В Windows NT Server можно восстанавливать сектора в процессе рабо-
ты. При форматировании тома файловая система проверяет все секто-
ра и, обнаружив дефектные, помечает их для исключения из дальней-
шей работы. Если плохой сектор обнаружен в процессе записи (чте-
ния), отказоустойчивый драйвер пытается перенести данные в другой
сектор, а первый — отметить как сбойный. Если перенос удается, фай-
ловая система не предупреждает о проблеме. Эта процедура возможна
только на дисках SCSI.
1 2 3
1. Определяет сбойный сектор
2. Перемещает данные в хороший сектор
3. Помечает сбойный сектор
Замена секторов
Исправление ошибок
Описанные возможности отказоустойчивых конфигураций обеспечи-
ваются при установке в системе драйвера FTDISK. В общем случае воз-
можности по обнаружению и исправлению дисковых ошибок опреде-
ляются рядом факторов. В таблице 5-3 перечислены возможные вари-
анты конфигурации и соответствующие им возможности «работы над
ошибками».
Таблица 5-3 |
||
Описание |
Отказоустойчивый том |
Обычный том |
FTDISK установлен; |
FTDISK |
FTDISK |
тип жесткого диска |
восстанавливает |
не восстанавливает |
SCSI; резервные |
данные |
данные |
сектора в наличии |
|
|
|
FTDISK замещает |
FTDISK сообщает |
|
плохие сектора |
файловой системе |
|
|
о плохом секторе |
|
Файловой системе не |
NTFS переназначает |
|
известно об ошибке |
кластеры; во время |
|
|
чтения данные теряются |
FTDISK установлен; |
FTDISK |
FTDISK |
тип жесткого диска |
восстанавливает |
не восстанавливает |
не-SCSI; резервные |
данные |
данные |
сектора отсутствуют |
|
|
|
FTDISK посылает |
FTDISK сообщает |
|
данные и сообщение |
файловой системе |
|
о плохом секторе |
о плохом секторе |
|
файловой системе |
|
|
NTPS переназначает |
NTFS переназначает |
|
кластеры |
кластеры; во время |
|
|
чтения данные теряются |
FTDISK не установлен; |
— |
Драйвер диска сообщает |
тип диска любой |
|
файловой системе |
|
|
о плохом секторе |
|
|
NTFS переназначает |
|
|
кластеры; во время |
|
|
чтения данные теряются |
Резервное копирование
Windows NT 5.0, так же, как и предыдущие версии, обладает встроен-
ной программой резервного копирования. Однако новая версия отли-
чается рядом функциональных возможностей, среди которых можно
назвать поддержку различных видов носителей резервной копии (а не
только магнитной ленты), встроенную возможность составления рас-
писания резервного копирования, программу-мастер резервирования
(восстановления), а также новый пользовательский интерфейс.
Программа Windows NT Backup
Windows NT Backup позволяет пользователям выполнять резервное
копирование и восстановление данных на локальный накопитель на
магнитной ленте (стример), на любой жесткий или гибкий диск, на
устройство хранения на магнитооптических дисках и, вообще, на лю-
бое устройство хранения информации, поддерживаемое операционной
системой. Перечислим основные возможности программы:
• резервное копирование и восстановление данных, расположенных
на разделах NTFS, FAT и FAT32 как на локальном, так и на удаленном
компьютере;
• выбор отдельных томов, каталогов или файлов, подлежащих копи-
рованию (восстановлению), а также просмотр подробной информа-
ции о файлах;
• выбор носителя, на который будет выполняться резервное копи-
рование: магнитная лента, диск, гибкий диск, магнитооптический
носитель и др.;
• выбор дополнительной проверки правильности записи (восста-
новления);
• обычные операции резервного копирования: нормальное (normal),
копирование (copy), приращение (incremental), разница (differen-
tial), ежедневное (daily);
• размещение на одном носителе нескольких записей и их объедине-
ние или замещение;
• создание командного файла для автоматизации резервного копиро-
вания;
• планирование операций резервного копирования по времени;
• просмотр полного каталога резервных копий и выбор файлов и
каталогов, подлежащих восстановлению;
• выбор диска назначения и каталога, в который будет выполняться
восстановление;
• использование программы-мастера резервного копирования (вос-
становления) ;
• сохранение информации об операциях резервирования (восстанов-
ления) в журнале и последующий ее просмотр в Event Viewer.
Интерфейс программы
Если в предыдущих версиях Windows NT для запуска программы резерв-
ного копирования требовалось найти соответствующий значок в груп-
пе средств администрирования, то теперь доступ к ней осуществляется
подобно тому, как в Windows 95- Щелкните правой кнопкой мыши зна-
чок, соответствующий жесткому диску, и выберите в контекстном меню
команду Properties, а затем в появившемся диалоговом окне Disk Pro-
perties — вкладку Tools. Затем следует щелкнуть в разделе Backup
кнопку Backup now, и на экране появится окно программы резервно-
го копирования.
Внимание! Для резервного копирования необходимо, чтобы в сис-
теме был запущен сервис Media support service. В первой бета-версии
Windows NT 5.0 он не запускается по умолчанию. Запустите его через
слепок консоли управления Service Management.
Интерфейс программы Windows NT Backup
В левой части окна Вы можете видеть дерево устройств Вашего компь-
ютера и сети, к которой он подсоединен. В правой части показан спи-
сок папок и файлов, находящихся в выбранной Вами папке. В нижней
части окна можно указать вид носителя, на который будет выполнять-
ся резервное копирование, тип резервного копирования, параметры.
Там же находится кнопка Schedule, с помощью которой можно про-
смотреть существующее расписание операций копирования.
Если Вы уверены, что знаете, какие параметры и как необходимо за-
дать, то можете смело приступать к работе. Если нет — воспользуйтесь
приглашением, которое появится над описанным окном программы, и
выберите нужную программу-мастер.
Приглашение начать резервное копирование
Параметры резервного копирования
(восстановления)
К доступным параметрам резервного копирования (восстановления)
относятся:
• тип резервного копирования;
• параметры регистрации в журнале;
• файлы, не подлежащие резервированию;
• параметры восстановления.
Для определения этих параметров либо щелкните кнопку Options в
нижней части окна программы, либо выберите одноименную команду
в меню Tools. На экране появится диалоговое окно Options.
Диалоговое окно Options, вкладка Backup Type
Вы можете выбрать: выполнять ли резервное копирование всех отме-
ченных файлов (All selected files) или только новых или измененных
(New and changed/lies only).
В первом случае копируются все выделенные файлы (даже те, которые,
например, уже были скопированы несколько дней назад и с тех пор не
изменились). Понятно, что время выполнения резервирования в дан-
ном случае зависит только от общего объема отмеченных файлов. У Вас
также имеется возможность поставить переключатель в положение,
предписывающее отмечать модификацию файла (Normal backup type.
Backup all files. Clear the modified/lag.) или не делать этого (Copy
backup type. Backup all files. Don t clear the modified flag.). Второй
тип позволяет значительно сократить время резервного копирования.
Помимо разностного резервирования и резервирования с приращени-
ем эффективно ежедневное резервное копирование. При этом копиру-
ются только файлы, создание или последняя модификация которых
датированы сегодняшним числом.
Запись в журнал информации о резервном копировании необходима
для контроля за этой процедурой, отслеживания сообщений об ошиб-
ках и выяснения их причины. Параметры регистрации в журнале зада-
ются в том же диалоговом окне Options, на вкладке Backup logging.
Диалоговое окно Options, вкладка Backup logging
По умолчанию предлагается записывать в журнал только наиболее об-
щую информацию (summary details): загрузка ленты, начало резервно-
го копирования, ошибка доступа к файлу и т. п. Вы можете либо ука-
зать на необходимость регистрации всех событий (включая имена
файлов и каталогов), либо отказаться от записи в журнал вообще. Вот
пример записи без подробностей;
Backup Status
Operation: Backup
Active Device; File
Media Name: «Media created on 15.11.97»
Backup of «G:»
Backup set ft1 on media Ш
Backup description: «Set created on 15.11.97 at 16:03»
Backup Method: Normal
Backup started on 15.11,97 at 16:03.
Backup completed on 15.11.97 at 16:03.
Directories: 2
Files: 5
Bytes: 21,192
Time: 1 second.
Verify Status
Operation: Verify After Backup
Verify Type: Cyclic Redundancy Check
Active Device: File
Active Device: D:\WINNT5\SYSTEM32\Backup.bkf
Verify of «G:»
Backup set HI on media ff1
Backup description: «Set created on 15.11.97 at 16:03»
Verify started on 15.11.97 at 16:03.
Verify completed on 15.11.97 at 16:03.
Directories: 2
Files: 5
Different: 0
Bytes: 21,192
Time: 2 seconds.
Restore Status
Operation: Restore
Restore started on 15.11.97 at 16:05,
Warning: File New Bitmap Image.bmp was skipped
Warning: File New Rich Text Document, rtf was skipped
Warning: File New Text Document.txt was skipped
Warning: File New WordPad Document.doc was skipped
Warning: File tracking,log was skipped
Restore completed on 15.11.97 at 16:05.
Directories: 2
Files: 0
Skipped: 5
Bytes: 0
Time: 3 seconds.
Время выполнения резервного копирования не имеет особого значе-
ния, если объем файлов не велик. Однако при ежедневном резервиро-
вании файлов и каталогов нескольких корпоративных серверов, общий
объем дискового пространства, которых может составлять сотни гига-
байт или даже терабайты, для копирования может не хватить целой
ночи. Один из способов сокращения времени — исключение из про-
цесса копирования файлов, которые не модифицируются вообще, либо
редко и из централизованного источника. Например, в системных ка-
талогах может быть много файлов шрифтов, курсоров, картинок и т. п.
Для исключения таких файлов из списка копируемых, выберите в диа-
логовом окне Options вкладку Exclude Files и укажите расширения
всех файлов, для которых не надо делать резервную копию.
Диалоговое окно Options, вклидка Exclude files
Восстановление файлов не является какой-то уж очень сложной зада-
чей, но требует внимательного отношения. Не исключено, что файлы,
хранящиеся на диске, содержат более свежую информацию, чем запи-
санные в архиве. Восстановив данные из архива на место существую-
щих, Вы безвозвратно потеряете то, что было сделано с момента пос-
леднего резервирования.
Именно поэтому не рекомендуется замещать файлы на диске хранимы-
ми в архиве по умолчанию. У Вас есть выбор: замещать только те фай-
лы, дата которых старше, чем дата файлов из архива; или замещать все
файлы без разбора.
Диалоговое окно Options, вкладка Restore options
Выполнение резервного копирования
После определения параметров резервного копирования можно при-
ступить непосредственно к самой процедуре.
Внимание! Если Вы выполняете резервирование в файл, то укажите
имя файла-приемника. Этот файл будет называться в дальнейшем но-
сителем (media), несмотря на то, что в физическом смысле он не яв-
ляется носителем, а сам располагается на носителе, например, на жес-
тком диске. Термин «носитель» не должен Вас смущать, когда програм-
ма задает вопрос типа «Заместить все содержимое носителя?». Речь в
данном случае идет только о файле-приемнике.
Для начала резервного копирования щелкните кнопку Start в програм-
ме Windows NT Backup. Появится диалоговое окно Backup Informa-
tion, предлагающее уточнить некоторые дополнительные параметры.
Диалоговое окно Backup Information
Задать параметры Вам помогут следующие элементы окна:
• флажок Restrict access to owner or administrator — если он от-
мечен, то доступ к носителю будет запрещен для владельцев файлов
или администраторов;
• флажок Backup local Registry — если он отмечен, то будет создана
резервная копия реестра на локальной машине;
• поле Set description — в него Вы можете ввести название резерви-
руемой информации; при восстановлении это название будет пере-
числено в списке доступных наборов;
• фляжок Append this backup to the media — отметив его, Вы укаже-
те программе на необходимость добавления новой информации к
уже хранимой в архиве;
• флажок Replace the data on the media with this backup — отме-
тив его, Вы укажете программе на необходимость замещения всей
предыдущей информации на носителе новой; в случае использова-
ния в качестве носителя магнитной ленты будет создано новое ог-
лавление и данные будут записаны с начала ленты, в случае исполь-
зования файла на диске — переписано содержимое файла;
• в поле Use this media name следует ввести имя носителя;
• кнопка Advanced открывает возможность ввести дополнительные
параметры в диалоговом окне Advanced backup options,
Диалоговое окно Advanced Backup Options
С помощью диалогового окна Advanced Backup Options Вы можете
потребовать:
• выполнить резервное копирование службы каталогов;
• выполнить резервное копирование данных иерархичного хранилища;
• проверить данные после резервирования;
• использовать компрессию на аппаратном уровне (если это допуска-
ет Ваше оборудование);
• выбрать один из описанных ранее типов резервного копирования.
После определения всех перечисленных параметров начнется процесс
резервного копирования файлов на указанный носитель.
Планирование резервного копирования
В предыдущих версиях Windows NT для планирования времени резер-
вного копирования требовалось использовать системный планировщик
(команда AT). Новая версия имеет встроенный планировщик, который
позволяет задать начальные день и время резервирования, указать, яв-
ляется ли данная операция регулярной, если да, то с какой периодич-
ностью и в течение какого времени должна выполняться. Все эти пара-
метры задаются для каждого резервного копирования в диалоговом
окне Scheduled Job Options.
Диалоговое окно Scheduled Job Options
Например, если Вы хотите выполнять резервное копирование домаш-
них каталогов пользователей каждую ночь, то, создав соответствующее
задание на резервирование, определите для него:
• Start date — текущее число;
• Start time — 12:00 (надеясь, что в полночь' все пользователи уже
разошлись по домам, где отдыхают, а не работают с файлами в сво-
их домашних каталогах);
• отметьте флажок Run more then once,
• Frequency — ежедневно (daily), интервал — 1 день.
Также следует указать учетную запись, имеющую доступ к данному за-
данию на резервное копирование. Эта учетная запись должна обладать
соответствующей привилегией.
Расписание заданий резервного копирования
Программа указывает полночь «по-американски», то есть в 12.00 AM.
В результате должно получиться расписание, изображенное на преды-
дущем рисунке. На этом графике также присутствует еще одно задание,
выполняемое каждый понедельник.
Поддержка источников
бесперебойного питания
Источники бесперебойного питания (UPS) поддерживают работоспо-
собность системы при сбоях питания за счет энергии аккумуляторных
батарей. В Windows NT встроен сервис UPS, позволяющий выполнять
определенные действия в системе при поступлении сигналов от источ-
ника бесперебойного питания. Кроме встроенного сервиса, сторонние
производители UPS предлагают дополнительные продукты, обеспечи-
вающие большую функциональность.
Сервис UPS Windows NT определяет сбои напряжения питания, предуп-
реждает о них пользователя и корректно заглушает систему при исто-
щении источника резервного питания.
Настройка параметров этого сервиса производится в разделе UPS па-
нели управления.
Диалоговое окно настройки параметров UPS
К настраиваемым параметрам относятся:
• последовательный порт, к которому подключен источник беспере-
бойного питания;
• сигнал от UPS при сбое напряжения питания;
• предупреждение от UPS при снижении уровня зарядки батарей;
• сигнал от сервиса UPS для выключения источника бесперебойного
питания;
• командный файл, выполняемый перед выключением компьютера;
• ожидаемое время работы и перезарядки батарей;
• временные интервалы для предупреждающих сообщений.
Сервис UPS должен использоваться совместно с сервисами Alerter, Mes-
senger и Журналом регистрации. При этом все события, связанные с
сервисом UPS (например, сбой питания или сбой подключения источ-
ника бесперебойного питания) будут занесены в журнал регистрации,
а определенные пользователи будут уведомлены о них по сети. С по-
мощью параметра Server на панели управления можно назначить
пользователей и (или) компьютеры, которые будут получать эти уве-
домления.
Кластеры серверов
В общем случае кластером называется группа независимых систем,
работающих как единое целое. Клиент взаимодействует с кластером как
с одним сервером. Кластеры используются как для повышения доступ-
ности, так и для наращиваемости.
Доступность. Когда система, входящая в кластер выходит из строя,
программное обеспечение кластера распределяет работу, выполнявшу-
юся этой системой, между другими системами кластера.
В качестве примера рассмотрим работу современного супермаркета.
Сердце этого бизнеса — расчетные центры. Кассовые аппараты долж-
ны быть постоянно подключены к базе данных магазина, хранящей
информацию о продуктах, кодах, названиях и ценах. Если связь рвется,
теряется возможность обслуживать клиентов, ухудшается репутация
торговой организации, падает прибыль.
Кластерная технология повысит доступность системы. Можно предло-
жить использование двух систем, подключенных к многопортовому
дисковому массиву, на котором располагается база данных. В случае
сбоя сервера А резервная система (сервер Б) автоматически «подхва-
тит» соединение так, что пользователи и не заметят, что произошел
сбой. Таким образом, комбинация технологий обеспечения повышен-
ной надежности работы с диском, стандартно используемых в Windows
NT Server (чередование, дублирование и т. д) с кластерной технологи-
ей гарантирует доступность системы.
Наращиваемость. Когда общая загрузка достигает предела возмож-
ностей систем, составляющих кластер, последний можно нарастить, до-
бавив дополнительную систему. Ранее для этого пользователи вынуж-
дены были приобретать дорогостоящие компьютеры, позволяющие ус-
танавливать дополнительные процессоры, диски и память. Кластеры
позволяют увеличивать производительность, просто добавляя новые
системы по мере необходимости.
В качестве примера наращиваемости рассмотрим ситуацию, типичную
в финансовом бизнесе. Всю полноту ответственности за работу финан-
совой или банковской сети несет главный технический специалист. Он
отлично понимает, что малейший сбой системы повлечет за собой
колоссальные финансовые потери и град упреков в его адрес. Если же
система работает безукоризненно, то на нее постепенно будет перекла-
дываться все больше и больше задач, и, несомненно, однажды возмож-
ности системы будут исчерпаны. Потребуется разработка и создание
новой системы.
До недавнего времени подобные соображения приводили к тому, что
технические специалисты крупных банков, вынужденные заранее ^зак-
ладываться» на огромный рост вычислительных потребностей, созда-
вали системы на базе больших мэйнфреймов и мини-ЭВМ.
Кластерная технология на базе Windows NT Server предоставляет по-
трясающую возможность — отказаться от дорогостоящего оборудова-
ния и использовать широко распространенную систему на самых обыч-
ных аппаратных платформах. Мощность кластера наращивается про-
стым добавлением в него еще одной системы.
Наращиваемость кластеров
Традиционная архитектура предоставления
высокой доступности
Сегодня для повышения доступности компьютерных систем использу-
ется несколько подходов. Наиболее типичен метод дублирования сис-
тем с полностью тиражируемыми компонентами. Программное обес-
печение постоянно отслеживает состояние работающей системы, а
вторая система все это время простаивает. В случае сбоя первой систе-
мы происходит переключение на вторую. Такой подход, с одной сто-
роны, значительно повышает стоимость оборудования без повышения
производительности системы в целом, а, с другой — не гарантирует от
ошибок в приложениях.
Традиционная архитектура обеспечения
наращиваемости
Для обеспечения наращиваемости сегодня также применяется несколь-
ко подходов. Один из способов создания системы с наращиваемой
производительностью — использование симметричной мультипроцес-
сорной обработки (SMP). В SMP-системах несколько процессоров ис-
пользуют общую память и устройства ввода-вывода. В традиционной
модели, известной как модель совместного использования памяти,
выполняется одна копия операционной системы, а процессы приклад-
ных задач работают так, как будто в системе лишь один процессор. При
запуске в такой системе приложений, не использующих общие данные,
достигается высокая степень наращиваемости.
Тормозят использование систем с симметричной обработкой, в основ-
ном, физические ограничения скорости работы шины и доступа к па-
мяти. По мере увеличения скорости работы процессоров возрастает их
стоимость. Сегодня пользователь, пожелавший добавить в конфигура-
цию два—четыре процессора (не говоря уж о большем числе) должен
заплатить значительную сумму, совершенно непропорциональную вы-
годе, получаемой от увеличения числа процессоров.
Архитектура кластера
Кластеры могут иметь разные формы. Например, в качестве кластера
может выступать несколько компьютеров, связанных по сети Ethernet.
Пример кластера высокого уровня — высокопроизводительные много-
процессорные SMP-системы, связанные между собой высокоскорост-
ной шиной связи и ввода-вывода. В обоих случаях увеличение вычис-
лительной мощности достигается постепенно, добавлением очередной
системы. С точки зрения клиента, кластер представляется в виде одно-
го сервера или образа одной системы, хотя реально состоит из не-
скольких компьютеров.
Сегодня в кластерах используются, в основном, две модели: с общими
дисками и без общих компонентов.
Модель с общими дисками
В модели с общими дисками, программное обеспечение, исполняемое
на любой из систем, входящих в кластер, имеет доступ к ресурсам си-
стем кластера. Если двум системам нужны одни и те же данные, то пос-
ледние либо дважды считываются с диска, либо копируются с одной си-
стемы на другую. В SMP-системах приложение должно синхронизовать
и превратить в последовательный вид доступ к общим данным. Обыч-
но организующую роль при синхронизации играет диспетчер распре-
деленных блокировок DLM (Distributed Lock Manager). Сервис DLM по-
зволяет приложениям отслеживать обращения к ресурсам кластера.
Если к одному ресурсу обращается более двух систем одновременно,
то диспетчер распознает и предотвращает потенциальный конфликт.
Процессы DLM могут приводить к дополнительному графику сообще-
ний в сети и снизить производительность. Один из способов избежать
этого эффекта — использование программной модели без общих ком-
понентов.
Модель без общих компонентов
В модели без общих компонентов каждая система, входящая в кластер,
владеет подмножеством ресурсов кластера. В конкретный момент вре-
мени только одна система имеет доступ к определенному ресурсу, хотя
при сбоях другая динамически определяемая система может вступить
во владение этим ресурсом. Запросы от клиентов автоматически пере-
направляются к системам, владеющим необходимым ресурсом.
Например, если в запросе клиента содержится обращение к ресурсам,
находящимся во владении нескольких систем, одна система выбирает-
ся для обслуживания запросов (ее называют хост-система). Затем эта
система анализирует запрос и передает подзапросы соответствующим
системам. Те выполняют полученную часть запроса и возвращают ре-
зультат хост-системе, которая формирует окончательный результат и
отсылает его клиенту.
Одиночный системный запрос к хост-системе описывает высокоуров-
невую функцию, порождающую системную активность, а внутриклас-
терный трафик не генерируется до тех пор, пока не будет сформиро-
ван конечный результат. Использование приложения, распределенно-
го между несколькими входящими в кластер системами, позволяет пре-
одолеть технические ограничения, присущие одному компьютеру.
Обе модели: и с общим диском, и без общих компонентов, — могут
использоваться в пределах одного кластера. Некоторые программы
лучше всего используют возможности кластера в рамках модели с об-
щим диском. К таким приложениям относятся задачи, требующие ин-
тенсивного доступа к данным, а также задачи, которые трудно разде-
лить на части. Приложения, для которых важна наращиваемость, раци-
ональней исполнять на модели без общих компонентов.
Серверы кластерных приложений
Итак, кластеры предоставляют доступность и наращиваемость для всех
серверных приложений. В свою очередь, специальные «кластерные»
приложения могут использовать все преимущества кластеров. Серверы
баз данных могут быть улучшены за счет добавления либо функций
координации доступа к общим данным в кластерах с общим диском,
либо функций разделения запросов на более простые запросы в клас-
терах без общих компонентов. В последних сервер баз данных сможет
использовать все преимущества разделения данных путем параллель-
ных запросов. Дополнительно серверные приложения могут быть рас-
ширены функциями автоматического определения неработающих ком-
понентов и инициации быстрого восстановления.
Исторически, для создания кластерных приложений использовались
мониторы обработки транзакций. Монитор транзакций отвечает за
перенаправление клиентских запросов к соответствующим серверам
внутри кластера, распределение запросов между серверами и коорди-
нацию транзакций между серверами кластера. Монитор транзакций
также может заниматься балансировкой нагрузки, автоматическим пе-
реподключением и повторением исполнения запроса в случае сбоя на
сервере, а также принимать участие в процессе восстановления после
сбоев.
Модели кластеров Windows NT
Текущая реализация кластеров для Windows NT поддерживает работу
двух связанных между собой особым образом серверов. Если на одном
из серверов происходит сбой или он отключается, то второй начинает
исполнять его функции. Кроме того, кластеризация обеспечивает ба-
лансировку нагрузки, распределение процессов между серверами. По
принципу настройки на использование тех или иных свойств, класте-
ры Windows NT можно разделить на пять моделей:
• модель 1 — высокая доступность и статическая балансировка на-
грузки;
• модель 2 — «горячий резерв» и максимальная доступность;
• модель 3 — частичная кластеризация;
• модель 4 — только виртуальный сервер (без переключения);
• модель 5 — гибридная.
Давайте вкратце рассмотрим эти модели.
Модель 1: высокая доступность и статическая
балансировка нагрузки
В этой модели обеспечивается высокая доступность; а также произво-
дительность: приемлемая — при одном неработающем узле, и высо-
кая — при обоих работающих; а также максимальное использование
аппаратных ресурсов.
Каждый их двух узлов предоставляет в сеть свой собственный набор
ресурсов в виде виртуальных серверов, к которым имеют доступ кли-
енты. Производительность каждого из узлов подобрана таким образом,
что обеспечивает оптимальную производительность для ресурсов, но
только до тех пор, пока оба узла работоспособны. При сбое одного
сервера исполнение всех кластерных ресурсов переключается на дру-
гой, производительность резко понижается, однако все ресурсы по-
прежнему доступны для клиентов.
Конфигурация модели 1
Например, эта модель может применяться при совместном использо-
вании файлов и принтеров. На каждом из узлов создаются независи-
мые группы с файловыми и принтерными ресурсами. При сбое одного
из узлов все управление его ресурсами берет на себя оставшийся. Пос-
ле восстановления узел возвращает себе свою часть работы, В резуль-
тате клиенты имеют постоянный доступ как ко всем файловым ресур-
сам кластера, так и ко всем очередям печати.
Рассмотрим другой пример использования этой модели. Допустим, на
предприятии имеется почтовый сервер, на котором установлен Mic-
rosoft Exchange. В пиковые моменты нагрузки сервер не справляется и
отключается. Поскольку почта должна функционировать непрерывно,
можно предложить следующее решение. Сервер, на котором исполня-
ется Microsoft Exchange, объединяется в кластер с сервером, на кото-
ром в нормальном режиме работает приложение доступа к данным. В
момент сбоя почтового сервера его роль временно принимает на себя
второй сервер кластера. Но, подчеркиваю, это лишь временно, и сразу
после перезагрузки основного почтового сервера вся работа по обра-
ботке почты вновь передается ему. Аналогично может выполняться пе-
реключение программы работы с базами данных.
Модель 2: «горячий резерв»
и максимальная доступность
При такой модели обеспечивается максимальная доступность и произ-
водительность, но за счет вложений в оборудование, которое большую
часть времени простаивает. Один из узлов кластера, называемый пер-
вичным, обслуживает всех клиентов, в то время как второй использует-
ся в качестве «горячего резерва».
Когда происходит сбой первичного узла, второй незамедлительно за-
пускает сервисы, исполнявшиеся на первом, и обеспечивает при этом
производительность, максимально близкую к производительности пер-
вичного узла.
Модель с «горячим резервированием»
Эта модель наилучшим образом подходит для наиболее важных для
организации приложений. Например, это может быть сервер Web, об-
служивающий тысячи клиентов и предоставляющий доступ к важней-
шей информации. В таком случае стоимость узла, дежурящего в режи-
ме «горячего резерва», все равно значительно ниже потерь, возможных
в случае прекращения доступа к данным.
Модель 3: частичная кластеризация
Данная модель позволяет использовать на серверах, составляющих кла-
стер, приложения, для которых не будет выполняться переключение в
случае сбоя. Ресурсы таких приложений располагаются не на общем, а
на локальном диске сервера. В случае сбоя сервера эти приложения
становятся недоступными.
Модель частичной кластеризации
Эта модель подходит, если приложения, работающие на одном из сер-
веров, входящем в кластер, используются не часто и их постоянная
доступность не столь необходима. Например, это может быть какое-
либо бухгалтерское приложение или расчетная задача.
Иногда случается, что модель переключения, обеспечиваемая Microsoft
Cluster Server, не годится для некоторых приложений. (Например, при
исполнении расчетной задачи переключение с узла на узел все равно
прервет процесс вычислений). Для таких приложений необходимы
иные, специфичные механизмы обеспечения бесперебойной работы.
Модель 4: только виртуальный сервер
(без переключения)
Строго говоря, эту модель трудно назвать кластером. В ней использу-
ется только один сервер, переключение которого в случае сбоя не вы-
полняется.
С другой стороны, все ресурсы организованы так, что для пользовате-
ля они предстают в виде ресурсов разных виртуальных серверов. По-
этому вместо поиска нужных ресурсов на различных серверах в сети
пользователь осуществляет доступ только к одному.
В случае сбоя сервера программное обеспечение кластера запускает
необходимые сервисы в указанном порядке сразу после перезагрузки.
В будущем такой узел может быть соединен с другим для организации
полноценного кластера.
Модель с одним виртуальным сервером
Модель 5: гибридное решение
Последняя модель — гибрид предыдущих. В самом деле, при достаточ-
ном запасе мощности можно использовать преимущества всех моделей
в одной и обеспечить самые разные сценарии переключения в случае
сбоя.
На рисунке показан возможный пример гибридного решения, в кото-
ром на обоих узлах кластера имеются переключаемые ресурсы, непе-
реключаемые приложения и сервисы, а также виртуальные серверы.
Гибридное решение
Установка Microsoft Cluster Server
Установить программное обеспечение поддержки кластеризации очень
просто. Выполнение программы установки на двух компьютерах зай-
мет у Вас не более 10 минут. Однако, как и в любом деле, лучше семь
раз отмерить, и один раз — отрезать. В данном случае это означает, что
перед установкой ПО необходимо тщательно соблюсти некоторые
начальные условия и сконфигурировать серверы соответствующим
образом.
Прежде чем начать
Для установки MSCS (Microsoft Cluster Server) необходимо иметь следу-
ющее оборудование.
1. Два компьютера произвольной конфигурации. Характеристики
компьютеров могут различаться. Например, один имеет процессор
Pentium Pro с тактовой частотой 200 Мгц, объем ОЗУ — 256Мб, встро-
енный жесткий диск объемом 2 Гб. Второй — процессор Pentium II с
тактовой частотой 233 Мгц, объем ОЗУ б4Мб и встроенный жесткий
диск объемом 1 Гб. Разброс характеристик определяется используе-
мой Вами моделью: от практически идентичных (для режима «горя-
чего резервирования») до совершенно различных (для режима час-
тичной кластеризации).
2. В каждом компьютере должно быть не менее одного SCSI-адап-
тера, к которому будут подключаться общие диски. К этим адапте-
рам применяется одно жесткое требование: они должны обеспечи-
вать такой режим работы, который позволяет не инициализировать
шину при перезагрузке. В ряде случаев с этой целью может понадо-
биться отключить BIOS адаптера.
Другим требованием является то, что SCSI ID одного из компьюте-
ров должен быть обязательно равен шести, а другого — семи.
Отдельного рассмотрения заслуживает вопрос терминирования
шины. Оно должно выполняться таким образом, чтобы никак не
зависеть от работоспособности любого из компьютеров. По этой
причине внутренние терминаторы SCSI-адаптера не подходят. Тер-
минаторы должны находиться снаружи. Можно предложить два ва-
рианта с расположением общих дисков:
между серверами;
на одном конце.
В первом случае на обоих концах шины подключение к серверам
должно осуществляться с помощью так называемых Y-кабелей.
Связь с промежуточным расположением устройств хранения
Во втором случае два сервера связаны между собой так, что сервер,
более удаленный от общих дисков, подключается с помощью Y-ка-
беля, а дисковый накопитель — с помощью обычного кабеля, но
имеет либо внутреннюю терминацию, либо специальный разъем для
подключения внешнего терминатора.
Связь серверов с расположением общих дисков на одном конце
3. Не меыее 2 сетевых плат в каждом компьютере. Узлы в кластере
должны быть связаны между собой надежным каналом, называемым
интерконнектом (interconnect). По этому каналу они обменивают-
ся друг с другом информацией о своем состоянии. Предположим, в
качестве такого канала используется та же самая сетевая плата, что
и для доступа к ресурсам кластера. В этом случае велика вероятность,
что в моменты загрузки сети будет происходить ложное срабатыва-
ние процедуры переключения. При обоих работоспособных серве-
рах информация об их состоянии просто не будет доходить от од-
ного к другому. В результате оба сервера инициируют процесс пе-
реключения, что, вполне вероятно, приведет к сбою системы.
Именно поэтому рекомендуется использовать для интерконнекта
отдельный сетевой канал. Для более высокой надежности желатель-
но организовать несколько таких каналов. В любом случае, считай-
те, что для Вас дороже: стоимость потерянной на время информа-
ции или стоимость нескольких сетевых плат.
Взаимодействие между кластерами осуществляется по протоколу
TCP/IP. Поэтому Вам понадобится назначить адреса для сетевых карт
интерконнекта. Для этой цели можно использовать специальные
зарезервированные адреса:
10.0.0.1 - 10.255.255.254;
172.16.0.1 - 172.31.255.254;
192.168.0.1 - 192.168.255-254.
4. Общим дискам в серверах должны быть присвоены одинаковые
буквы. Например, если в одном из серверов локальные диски име-
ют буквы С, D и Е, а в другом — С, D, Е, F и G, то первый общий диск
в обеих системах должен быть диском Н.
Внимание! Все общие диски должны иметь формат NTFS.
Присвоение букв дискам выполняется по очереди. Сначала загружа-
ется один сервер, а второй остается выключенным. С помощью слеп-
ка Disk Management назначается нужная буква. После этого первый
сервер выключается, загружается второй и назначается та же самая
буква для выбранного раздела диска.
После того, как выполнены все перечисленные условия, можно устанав-
ливать ПО MSCS.
Процедура установки
Процедура проста: сначала выполняют установку на одном узле, а по
ее завершении — на втором. Для установки необходимо зарегистриро-
ваться в домене с административными правами.
Устанавливать ПО надо на локальный, а не на общий диск. В процессе
установки ПО на первый сервер надо указать имя, под которым клас-
тер будет доступен для клиентов, имена дисков, предназначаемых для
использования в качестве общих ресурсов, сетевые карты и их назна-
чение (для связи с клиентами, для интерконнекта или для того и друго-
го), адреса IP и маску.
Процедура установки на второй сервер аналогична, за тем исключени-
ем, что вместо формирования нового кластера надо подключиться к
уже существующему.
Администрирование кластера
Для администрирования кластера используется программа Cluster Admi-
nistrator. Она может быть установлена как на любом из узлов, входящих
в кластер, так и на произвольной рабочей станции.
Интерфейс программы весьма напоминает интерфейс консоли управ-
ления с загруженным слепком, однако теперь администратор класте-
ров не является слепком ММС.
Окно Cluster Administrator
Окно состоит из двух частей. В левой части в виде древовидной струк-
туры представлены элементы кластера: группы, доступные ресурсы,
сетевые интерфейсы, узлы и т. д. В правой — содержимое той или иной
ветви древовидной структуры кластера.
На панели инструментов есть кнопка, позволяющая подключиться к
любому кластеру для управления им. С помощью администратора кла-
стера можно выполнять следующие операции:
• создавать новый ресурс;
• создавать и модифицировать группу ресурсов кластера;
• управлять сетевыми интерфейсами;
• управлять ресурсами каждого из узлов в отдельности;
• имитировать сбой в работе ресурса;
• останавливать работу отдельных групп;
• перемещать ресурсы между группами.
Большинство функций выполняется с помощью программ-мастеров.
Поскольку данная книга не ставит перед собой задачу подменить доку-
ментацию, мы лишь кратко рассмотрим некоторые операции.
Создание новой группы ресурсов
Создавая новую группу ресурсов, необходимо помимо ее имени, ука-
зать предпочтительного владельца. Выбор зависит от типа используе-
мой модели кластера. Добиваясь высокой доступности, можно указать
в качестве владельцев оба узла. При обеспечении «горячего резерва»
предпочтительным владельцем должен стать основной узел.
Назначение предпочтительного владельца группы ресурсов
Создание нового ресурса
В Microsoft Cluster Server можно создавать ресурсы одного из следую-
щих типов:
• координатор распределенных транзакций;
• совместно используемый файловый ресурс;
• приложение общего вида;
• сервис общего вида;
• виртуальный корень Internet Information Server;
• адрес IP;
• сервер очередей (Microsoft Message Queue Server);
• сетевое имя;
• физический диск;
• спулер печати;
• сервис таймера.
Добавление нового ресурса
Например, если Вы хотите добавить новый виртуальный корень для
своего сервера Web, то необходимо создать ресурс типа US Virtual Root.
Определение взаимозависимости ресурсов
Очевидно, что ресурсы кластера не могут запускаться в произвольном
порядке. Те сервисы, от которых зависит работа остальных, должны
стартовать раньше.
Определение зависимости загрузки ресурсов
Так, прежде чем сделать виртуальный корень сервера Web доступным
для пользователей, необходимо выполнить, по крайней мере, две опе-
рации: определить диск, на котором физически располагается каталог,
являющийся виртуальным корнем, и назначить адрес IP. Соответствен-
но эти два ресурса необходимо назначить определяющими для вирту-
ального сервера.
Определение свойств ресурса
Наконец, после того, как задана последовательность загрузки ресурсов,
можно определить свойства вновь создаваемого ресурса. Окно свойств
существенно различается в зависимости от типа ресурса. Например, на
рисунке показано определение параметров виртуального корня серве-
ра Web. Для него указывается полный путь на диске, имя, под которым
он будет доступен для клиентов, а также тип доступа.
Определение специфичных параметров ресурса
Редактирование свойств ресурсов
Свойства любого ресурса можно отредактировать. Для этого необходи-
мо щелкнуть имя ресурса правой кнопкой мыши и в контекстном меню
выбрать команду Properties. Появится диалоговое окно, подобное
изображенному на рисунке.
Модификация свойств f)ecvl)ca
В этом диалоговом окне можно изменить следующие параметры:
• имя и описание ресурса;
• возможных владельцев ресурса (на уровне серверов);
• последовательность загрузки сервисов, влияющих на работу редак-
тируемого ресурса;
• параметры перезапуска ресурса в случае сбоя;
• интервалы опроса;
• командную строку и параметры запуска.
Проверка работоспособности
Для проверки работоспособности созданной группы ресурсов в адми-
нистраторе кластера предусмотрена возможность имитации сбоя. На-
пример, для проверки работоспособности виртуального корня серве-
ра Web его исполнение переносится на другой узел командой меню.
В течение последующих минут администратор увидит в окне Cluster
Administrator, как система распознает остановку сервиса, иницииру-
ет его запуск на другом узле и, после запуска всех определяющих сер-
висов, запускает выбранный ресурс. Клиенты заметят лишь небольшую
(одну—две минуты) задержку.
Хотя параметры перезапуска можно редактировать, не рекомендуется
уменьшать время проверки работоспособности, так как небольшие
паузы в работе могут быть расценены как сбой кластера.
Заключение
Windows NT 5.0 унаследовала от предыдущих версий все возможности
обеспечения бесперебойной работы. Средства поддержки отказоустой-
чивых дисковых томов, поддержка источников бесперебойного пита-
ния, улучшенная версия программы резервного копирования удачно
дополняются кластерными технологиями.
Несомненно, что перечисленные возможности в совокупности с под-
держкой аппаратных средств отказоустойчивости позволяют говорить
о Windows NT Server 5.0 как о серверной операционной системе, впол-
не способной удовлетворить потребности предприятий, где требуется
высокий уровень надежности.
ГЛАВА 6
Управление
системой
По мере того, как информационные устройства становятся неотъемле-
мой частью бизнеса, руководители предприятий все большее внимание
уделяют такому понятию, как совокупная стоимость владения (ССВ)
компьютерами. Согласно исследованиям, цена самого компьютера и
программного обеспечения для него составляет всего лишь 20 процен-
тов от ССВ. Причем сюда включаются еще и затраты на обучение пер-
сонала, на установку и обновление программного обеспечения, на об-
служивание и поддержку и т. п. Цена компьютера и ПО, конечно, опре-
деляющий фактор, но безусловно важно также и то, насколько эффек-
тивна используемая техника и в течение какого времени она будет
удовлетворять требованиям производства.
В связи с этим ряд корпораций предлагает свои пути снижения ССВ и
повышения эффективности использования компьютерной техники. В
качестве одного из примеров можно назвать предложенный компани-
ей Sun сетевой компьютер. По замыслу разработчиков этот недоро-
гой компьютер способен исполнять лишь приложения, загружаемые с
центрального корпоративного сервера. Этим обеспечивается минимум
затрат, связанных с его обслуживанием и обновлением программного
обеспечения. При всей своей привлекательности такое решение, одна-
ко, обладает рядом недостатков, заставляющих руководителей предпри-
ятий относиться к нему скептически. Один из таких недостатков —
полная несовместимость с уже существующим и широко используемым
ПО. Затраты на модернизацию и обучение персонала могут превысить
всю планируемую экономию.
Аналогичное решение предложено корпорацией Microsoft — сетевой
ПК. Это простой компьютер на базе Intel-совместимого процессора с
жестким диском, объемом порядка 1 Гб, на котором исполняется опе-
рационная система Windows. Приложения запускаются либо локально,
либо на сервере, что наряду с совместимостью обеспечивает большую
гибкость в использовании. Наряду с сетевым ПК компания Microsoft
предлагает другую инициативу, называемую нулевым администрирова-
нием (Zero Administration).
Нулевое администрирование
Нулевое администрирование — ключевой компонент общей стратегии
Microsoft в отношении клиентских операционных систем. Оно позво-
лит специалистам компьютерных технологий использовать новые
средства управления и контроля, автоматизировать многие рутинные
задачи такие, как: установка и обновление ПО, централизованное ад-
министрирование и блокировка рабочих станций. Эта технология даст
пользователям возможность переходить с одного рабочего места на
другое, всегда иметь под рукой те приложения, к которым они привык-
ли и, более того, продолжать работу над документами, приостановлен-
ную на прежнем рабочем месте.
Первыми операционными системами, в которых будет реализовано
нулевое администрирование, станут Windows 98 и Windows NT 5.0, где
предусмотрена поддержка таких ключевых возможностей этой техно-
логии, как:
• автоматическое обновление системы и установка приложений;
• кэширование данных и информации о конфигурации компьютера
(IntelliMirror);
• централизованное администрирование и блокировка системы;
• гибкость в разработке приложений.
Автоматическое обновление системы
и установка приложений
Сегодня установка и обновление программного обеспечения — про-
цесс трудоемкий, не застрахованный от ошибок. В современных усло-
виях новые версии ПО появляются не до конца оттестированными. Да,
иначе и невозможно: порой, за время, которое уйдет на окончательное
тестирование приложения, последнее может морально устареть. Все
это вынуждает производителей регулярно выпускать разного рода «зап-
латки», сервисные пакеты и просто промежуточные версии. За этими
дополнениями и обновлениями надо постоянно следить. Системы, раз-
работанные в соответствии с идеологией нулевого администрирования,
можно будет установить таким образом, что они самостоятельно будут
подключаться к определенному серверу Интернета или интрасети и,
обнаружив на нем новую версию драйвера, приложения или самой себя,
загрузят и выполнят обновление без участия человека.
Под автоматизацией установки программного обеспечения следует
понимать возможность его централизованной установки администра-
торами системы. Особенно это важно для средних и крупных предпри-
ятий с большим количеством клиентских рабочих мест. Но установить
приложение мало. Надо позаботиться и о том, как при необходимости
удалить его с компьютера. Поэтому каждый устанавливаемый файл бу-
дет заноситься в базу данных, где ему в соответствие будет записано то
приложение, которое его использует. При обновлении приложения или
удалении его с компьютера будут удаляться только файлы, нужные для
работы удаляемой программы. Кроме того, если в процессе установки
ПО произошел сбой, то система самостоятельно сможет выполнить
откат, используя сведения, хранящиеся в базе.
Нулевое администрирование означает также отсутствие администра-
тивных действий со стороны пользователей, что достигается путем
определения политики. Централизованная политика позволяет сгруп-
пировать пользователей по типу программного и аппаратного обеспе-
чения, установленного на их рабочих местах, и, тем самым, исключить
элемент непредсказуемости в технической поддержке и обслуживании.
Администраторы также могут определить правила, запрещающие
пользователям устанавливать самостоятельно непроверенное ПО, что
снизит риск появления в системе вируса или несовместимой версии
динамической библиотеки.
Централизованное администрирование
и блокировка системы
Централизованное администрирование системы — давнишняя мечта
работников отделов информационных технологий. Средство осуществ-
ления этой мечты — консоль управления Microsoft Management Console.
Эта оболочка позволяет «вставлять» в нее слепки, обеспечивающие раз-
личные административные функции. Таким образом, с помощью одно-
го инструмента можно будет управлять драйверами в системе, серви-
сами, параметрами оборудования, учетными записями, серверами при-
ложений и т. д. Путем комбинации различных слепков в одном инстру-
менте администраторы могут достигать именно той функциональнос-
ти, которая требуется. Интеграция консоли со службой каталогов Active
Directory предоставляет централизованный подход ко всем объектам
системы или распределенной сети.
Еще один компонент централизованного администрирования — рас-
пределенная файловая система DFS (Distributed File System). Админист-
ратор может создать единое в рамках всего предприятия дерево сете-
вых ресурсов, доступ к которому клиенты будут осуществлять, не заду-
мываясь о реальном местонахождении данных. Предоставляемые по-
мимо этого возможности балансировки нагрузки и резервных ресур-
сов позволяют сделать данные постоянно доступными в сети. Подроб-
нее о DFS рассказано в главе 4.
Во многих организациях пользователи персональных компьютеров
предоставлены сами себе и могут устанавливать на свой компьютер все,
что заблагорассудится. В результате ПО на этих компьютерах, даже
будучи установленным автоматически (и, как результат, изначально
идентичное), становится совершенно разным, что значительно услож-
няет поддержку. К тому же, резко возрастает вероятность появления
вируса. Можно ли, например, серьезно относиться к заявлениям руко-
водства ГАИ о том, что раскрываемость угонов резко возросла после
внедрения единой компьютерной базы данных, слушая жалобы рядо-
вого постового: «Вчера установил на компьютер игру, а сегодня он не
загружается».
Windows NT 5.0 позволяет скрыть различные устройства компьютера
(дисковод, жесткий диск, проигрыватель компакт-дисков и т. п.) и пре-
доставить рядовому пользователю лишь отдельные ресурсы в виде еди-
ного дерева. Кроме того, можно защитить доступ к системным или
иным важным файлам и тем самым предотвратить их несанкциониро-
ванное использование. Подробнее об этом — в главе 4.
Администратор может централизовано определить ресурсы, к которым
пользователям предоставлен доступ, привилегии пользователей, а так-
же возможности того или иного пользователя в системе в целом. (Под-
робнее об этом — в главе 2).
Кэширование данных и конфигурации
Современные приложения при установке заносят информацию о сво-
ей конфигурации в системный реестр. Если для нормальной работы
программы необходимы OLE-automation и ActiveX-компоненты, то они
должны быть соответствующим образом зарегистрированы. В Windows
NT 4.0 и Windows 95 введено понятие блуждающих профилей пользо-
вателей (roaming users profiles), позволяющее при переходе пользова-
теля с одного компьютера на другой восстанавливать на втором ком-
пьютере те же настройки (в том числе рабочей среды, включая элемен-
ты пользовательских меню), что и на первом. Однако это не означало,
что увидев, например, в меню Word для Windows пользователь может
запустить его на новом компьютере. Даже если программа установлена
на сетевом сервере, а не на локальном диске, она не запускается из-за
отсутствия на локальном компьютере необходимых зарегистрирован-
ных компонентов.
В рамках нулевого администрирования разрабатывается новая техно-
логия — IntelliMirror. Суть ее в том, что вся информация о профиле
пользователя и настройках установленного ПО хранится на сервере в
персональном кэше. Каждый раз, когда пользователь модифицирует
систему или устанавливает новое приложение, информация в кэше
обновляется.
Предположим теперь, что пользователь перешел на другой компьютер,
или что в его компьютере заменен жесткий диск. В этом случае, как
только он войдет в сеть и зарегистрируется в домене под своим обыч-
ным именем, его профиль будет восстановлен. Такая возможность осо-
бенно впечатляет в случае замены жесткого диска, так как восстанов-
ление профиля происходит сразу же после установки ОС и подключе-
ния в домен. Что же произойдет теперь, если пользователь попытается
запустить Word для Windows? Система определит, что данное прило-
жение не установлено на этом компьютере и в кэше выяснит местопо-
ложение исходных файлов, необходимых для его установки. После ко-
пирования необходимых файлов и регистрации компонентов, в реес-
тре из серверного кэша будет прочитана информация о существовав-
шей ранее конфигурации приложения, и последняя будет восстановле-
на. И, наконец, если в момент выключения прежней системы пользова-
тель редактировал какой-либо документ, то этот документ также будет
загружен в соответствии с информацией, хранящейся в кэше.
Звучит немного фантастично, но эта возможность будет реализована в
Windows NT 5.0.
Определение блуждающего профиля пользователя
Гибкость при разработке приложений
Интернет сделал реальностью использование трехъярусных приложе-
ний, при этом серверы баз данных или иные используются для центра-
лизованного хранения информации, серверы промежуточного слоя —
реализуют логику работы и бизнес-правила, а «тонкий клиент» (напри-
мер, браузер Web) представляет эту информацию пользователю. При
такой схеме все администрирование сложной логики и задач хранения
информации централизовано, в то время как с пользователя снимает-
ся нагрузка по конфигурированию. Сегодня такую схему уже использу-
ет значительное число приложений.
Нулевое администрирование в виде активной платформы — объеди-
нения возможностей HTML, скриптов, компонентной архитектуры и
системных сервисов — реализуется с помощью Internet Explorer 4.0,
интегрированного с оболочкой Windows NT 5.0, и поддерживается
продуктами семейства Microsoft BackOffice для серверов.
Несмотря на то, что большинство описанных технологий относятся к
функциям операционной системы, на долю разработчиков также оста-
ется ряд важных задач.
• Для эффективного управления своими приложениями разработчи-
ки могут создавать слепки консоли управления.
• Требуется продумать, как использовать для снижения потребления
энергии соответствующие API.
• Active Directory Services Interfaces дает приложениям возможность
использовать службу каталогов для хранения своей информации и
централизованного доступа к ней. Кроме того, это позволяет решить
проблему централизованного обновления информации.
• Разрабатываемые приложения должны работать в условиях частич-
но ограниченных или заблокированных рабочих станций.
• Установка приложений становится функцией операционной систе-
мы, а не программы установки. Только системный сервис способен
корректно копировать динамические библиотеки и не замещать
библиотеки одной версии одноименными библиотеками другой
версии. Поэтому разработчики должны позаботиться о том, чтобы
предоставлять специальные установочные пакеты вместо использу-
емых сейчас разномастных программ установки. Такие пакеты мож-
но будет создавать с использованием инструментов SDK (Software
Development Kit).
В первой бета-версии Windows NT 5.0 есть новая программа-мастер
установки приложений, исходные файлы для которых находятся либо
на компакт-диске, либо в локальной сети, либо в Интернете. При этом
программа автоматически ведет поиск установочных пакетов и, если
не обнаружит таковых, то предлагает указать их вручную.
Окно программы-мастера установки приложений