Материал: Книга Active directory

Изучив материалы этого занятия, вы сможете:

У Определить назначение пяти отдельных мастеров операций в лесах Active Directory.

^Идентифицировать контроллеры домена, играющие роли мастеров операций.

SПланировать размещение ролей мастеров операций.

УПереносить и отзывать роли мастеров операций.

Продолжительность занятия — около 45 мин.

Мастеры операций

В любой реплицируемой базе данных некоторые изменения должны производиться одной и только одной репликой, поскольку выполнять их всем равноправным участникам непрактично. Среда Active Directory не исключение. Некий ограниченный набор операций нельзя выполнять в различных местах одновременно, а можно только на одном контроллере в домене или лесу. Для этих операций и контроллеров домена, которые их выполняют, используется множество терминов:

• мастеры, или хозяева операций",

• роли мастеров операций; и отдельные роли мастеров;

•маркеры операций;

*роли мастеров операций FSMO (Flexible Single Master Operations).

Независимо от используемого термина суть не меняется. Один контроллер домена выполняет функцию, и в течение этого времени другие контроллеры домена не выполняют эту функцию.

Д е жа вк>

Если вы работали администратором во времена Microsoft Windows NT 4.0, то можете провести некоторую аналогию между мастерами операций и главными контроллерами домена (Primary Domain Controller) в Windows NT. Однако отдельные операции мастеров соответствуют характеристикам любой реплицируемой базы данных, и операции мастеров Active Directory значительно отличаются от контроллеров P D C в Windows NT 4.0.

•Все контроллеры домена Active Directory могут выполнять отдельные операции мастеров. Контроллер домена, выполняющий операцию, является текущим владельцем маркера операции.

•Маркер операции и соответственно роль можно без труда перенести на еще один контроллер домена без перезагрузки.

•Чтобы уменьшить угрозу появления отдельных точек сбоев, маркеры операций можно распределить среди множества контроллеров домена.

17 3ак. 3399

Доменные службы AD DS содержат пять ролей мастеров операций. Для целого леса предусмотрены две роли:

•именование доменов;

•схема.

В каждом домене предусмотрены три роли:

•относительный идентификатор RID (Relative Identifier);

•инфраструктура;

•эмулятор PDC.

Впоследующих подразделах все эти роли детально описаны. Таким образом,

влесу с одним доменом есть пять мастеров операций. В лесу с двумя доменами есть восемь мастеров операций, поскольку три мастера операции реализуются отдельно в каждом из двух доменов.

СОВЕТ К ЭКЗАМЕНУ

Запомните список мастеров операций домеиа и леса. Вам наверняка попадутся вопросы, связанные с применением ролей к лесу и домену. Экзаменационные вопросы представляют собой сценарии, где можно запутаться с выбором ответа. Поэтому при прочтении экзаменационных вопросов всегда спрашивайте себя: какие знания на самом деле проверяются этим вопросом? Иногда в сценариях требуются более простые ответы, чем кажется на первый взгляд.

Роли мастеров операций уровня леса

Мастер схемы и мастер именования доменов должны быть уникальными в лесу. Каждую роль играет только один контроллер домена во всем лесу.

Роль мастера именования доменов

Роль именования доменов используется при добавлении и удалении доменов в лесу. При добавлении или удалении домена должен быть доступен мастер именования доменов, иначе при выполнении операции возникнет ошибка.

Роль мастера схемы

Контроллер домена, содержащий роль мастера схемы, отвечает за внесение всех изменений в схему леса. Все остальные контроллеры домена содержат реплики схемы только для чтения. Модификацию схемы или установку приложения, модифицирующего схему, рекомендуется выполнять на контроллере домена, управляющего ролью мастера схемы. В противном случае чтобы внести в схему изменения, их необходимо переслать мастеру схемы.

Роли мастеров операций уровня домена

Каждый домен поддерживает три отдельных мастера операций: RID, инфра-1 структуру и PDC-эмулятор. Каждую роль в домене играет только один кон-| троллер. I

Роль мастера RID

Мастер RID участвует в генерировании идентификаторов безопасности (SID) для таких принципалов безопасности, как пользователи, группы и компьютеры. Идентификатор SID принципала безопасности должен быть уникальным. Поскольку учетные записи, а следовательно, и SID-идентификаторы может создавать любой контроллер домена, необходим механизм, гарантирующий уникальность SID-идентификаторов, генерируемых контроллером домена. Контроллеры домена Active Directory генерируют SID-идентификаторы, назначая SID-идентификатору домена уникальный относительный RID-идентификатор. Мастер RID домена выделяет каждому контроллеру в домене пулы уникальных RID-идентификаторов. Таким образом, каждый контроллер домена может гарантировать уникальность SID-идентификаторов.

Если вам знакома концепция выделения области IP-адресов серверу DHCP (Dynamic Host Configuration Protocol) для назначения адресов клиентов, вы можете провести параллель между этой концепцией и мастером RID, который выделяет пулы RIDидентификаторов контроллерам домена для создания SID-идентификаторов.

Роль мастера инфраструктуры

В среде из множества доменов объекты в одних доменах часто ссылаются на объекты в других. Например, в группу могут входить члены из другого домена. Ее многозначный атрибут member содержит отличительные имена каждого члена. При перемещении или переименовании члена из другого домена мастер инфраструктуры домена группы соответствующим образом обновляет атрибут member группы.

Мастер инфраструктуры — это что-то вроде устройства, отслеживающего членов группы из других доменов. При перемещении или переименовании этих членов в другом домене мастер инфраструктуры определяет изменения и вносит соответствующие поправки в членство в группах.

Фантомы каталога

Хотя на сертификационном экзамене вам не потребуется «препарировать внутренности» мастера инфраструктуры, такие знания помогут при работе в производственной среде. При добавлении члена из другого домена в группу вашего домена к атрибуту member группы прикрепляется отличительное имя нового члена. Однако ваш домен не всегда имеет доступ к контроллеру домена члена группы, поэтому Active Directory создает объект-фантом, представляющий члена группы. Объект-фантом содержит только SID-идентификатор члена, отличительное имя DN (Distinguished Name) и глобальный уникальный идентификатор (GUID). В случае перемещения или переименования члена группы в его домене GUID-идентнфикатор члена не меняется, зато меняется его имя DN.

(см. след. стр.)