Дерево доменов состоит из нескольких доменов, которые имеют общую логическую структуру и конфигурацию и образуют непрерывное пространство имен. Домены в дереве связаны между собой доверительными отношениями. Active Directory является множеством, которому принадлежат одно или несколько деревьев доменов.
Дерево доменов графически можно представить двумя способами:
· Представление доменного дерева через доверительные отношения между доменами. Доверительные отношения между доменами в ОС Windows 2000 устанавливаются на основе протокола безопасности Kerberos. Отношения, созданные с помощью этого протокола, обладают свойствами транзитивности и иерархичности: если домен А доверяет домену В и домен В доверяет домену С, то домен А доверяет и домену С.
· Представление доменного дерева через пространство имен доменного дерева. Доменное дерево можно также представить с помощью пространства имен. Уникальное имя объекта можно определить, двигаясь вверх по доменному дереву начиная с объекта. Такой метод оказывается удобным при объединении объектов в логическую иерархическую структуру. Главное достоинство непрерывного пространства имен состоит в том, что глубокий поиск, проводимый от корня дерева, позволяет просмотреть все иерархические уровни пространства имен.
Несколько доменных деревьев могут быть объединены в лес.
Лесом называется одно или несколько деревьев, которые не образуют непрерывного пространства имен. Все деревья одного леса имеют общие логическую структуру, конфигурацию и глобальный каталог. Все деревья данного леса поддерживают друг с другом транзитивные иерархические доверительные отношения, устанавливаемые на основе протокола Kerberos. В отличие от дерева, лес может не иметь какого-то определенного имени. Лес существует в виде совокупности объектов с перекрестными ссылками и доверительных отношений на основе протокола Kerberos, установленных для входящих в лес деревьев. Поддержка протокола Kerberos требует, чтобы деревья одного леса составляли иерархическую структуру: имя дерева, располагающегося в корне этой структуры, может использоваться для обозначения всего данного леса деревьев.
Организационные единицы (подразделения)
Организационные единицы (Organizational Units, OU) или организационные подразделения (ОП) позволяют разделять домен на зоны административного управления, т. е. создавать единицы административного управления внутри домена. В основном это дает возможность делегировать административные задачи в домене. До появления Active Directory домен был наименьшим контейнером, которому могли быть назначены административные разрешения.
Сайт (узел)
Узлом (сайтом) называется такой элемент сети, который содержит серверы Active Directory. Узел обычно определяется как одна или несколько подсетей, поддерживающих протокол TCP/IP и характеризующихся хорошим качеством связи, которое подразумевает высокую надежность и скорость передачи данных. Определение узла как совокупности подсетей позволяет администратору быстро и без больших затрат настроить топологию доступа и репликации в Active Directory и полнее использовать достоинства физического расположения устройств в сети. Когда пользователь входит в систему, клиент Active Directory ищет серверы Active Directory, расположенные в узле пользователя. Поскольку компьютеры, принадлежащие к одному узлу, в масштабах сети можно считать расположенными близко друг к другу, связь между ними должна быть быстрой, надежной и эффективной. Распознавание локального узла в момент входа в систему не составляет труда, так как рабочая станция пользователя уже знает, в какой из подсетей TCP/IP она находится, а подсети напрямую соответствуют узлам Active Directory.
На данном этапе предпроектного исследования собираются основные сведения по существующей инфраструктуре в компании.
· Для планирования структуры Active Directory - информация о доменной структуре и ее типе, структуре групп пользователей и распределению их по доменам, количестве существующих контроллеров доменов внутри каждого домена. Определение существующих доверительных отношений между доменами, односторонних и двухсторонних доверительных отношений и доменов, которые не должны включаться в леса Active Directory, пространства имен DNS, существующих в организации, и перечня существующих доменных имен организации, зарегистрированных в сети Интернет.
· Для планирования сайтов Active Directory - информация о существующей структуре сайтов, о топологии сети, о каналах связи и их пропускной способности.
· Для планирования переноса текущей структуры сетевых сервисов на платформу Active Directory - информация о топологии используемых сетевых сервисов DHCP, WINS, DNS.
· Для обеспечения возможности резервного восстановления данных во время миграции - схема резервного копирования информации.
· Для определения возможной расширяемости решения - исследование возможных вариантов изменения схемы при росте организации или ее реорганизации, определение области Active Directory (исследование подразделений, включая удаленные филиалы организации, необходимых для включения в Active Directory).
· Для планирования миграции приложений, использующих Active Directory - список приложений, связанных с Active Directory, и возможных ограничений, накладываемых ими на структуру Active Directory, определение механизмов идентификации пользователей.
