Материал: Книга Active directory
• Занятие 2 |
Настройка глобального каталога и разделов каталогов приложений |
5 3 3 |
ципалов безопасности (пользователи, компьютеры или группы безопасности). Поскольку они р е п л и ц и р у ю т с я лишь по мере надобности, разделы каталога приложений обеспечивают преимущества отказоустойчивости, доступности и производительности, о п т и м и з и р у я трафик репликации.
Самый простой способ понять концепцию разделов каталога приложений — проанализировать его р а з д е л ы , поддерживаемые DNS-сервером Microsoft. Когда создается зона, интегрированная в Active Directory, записи DNS реплицируются между D N S - с е р в е р а м и с помощью раздела каталога приложений. Раздел и его объекты DNS - записей реплицируются лишь на те контроллеры домена, которые в ы п о л н я ю т роль DNS-серверов.
Разделы каталога приложений в лесу можно просмотреть с помощью оснастки Редактирование A D S I ( A D S I Edit). Щелкните правой кнопкой мыши корневой узел оснастки и выполните команду Подключение к (Connect То). В раскрывающемся списке Выберите известный контекст именования (Select A Well Known Naming C o n t e x t ) выберите контекст Конфигурация (Configuration) и щелкните О К . Разверните контейнер Конфигурация (Configuration) и папку, представляющую раздел конфигурации, а затем выберите в дереве консоли папку CN=Partitions. На панели сведений будут отображены разделы хранилища данных AD DS (рис. 11-9).
! 1 |
|
|
|
|
|
|
|
|
-lalxi |
|
|
Консоль Действие |
Вид Справка |
|
|
|
|
|
|
|
|||
|
•И *Fnl |
- - I B i |
_JS |
1 |
|
|
|
|
|||
|
|
|
|
|
|||||||
|
Редактцхюание ADSI |
Иля |
|
|
|
|
Имя раздела катапога |
| Класс |
j Различающееся ипя |
|
|
|
Ц Конф»гурацця [SERVERQLcor |
Щ CN -20D6l90b-f 24c-tf79-b63DC..• -DomahDr.sZones,DC -ccntoso,...aossRef |
CN =2006190b-f 24:-4 I |
||||||||
|
В , CN =Conftgura bon ,DC - |
con CN-24d68d38-ea76-«3bb-92... DC =»ForestDns2ones,DC -con toso,DaossRef... |
CN"24d63d33-ea76-s j |
||||||||
|
CN-OispUiySoeafiers ; |
ffjCN«852a 1852-9eec-4445-97...DC-partitionO 1,DC -contoso,DC -comaossRef |
CN =8S2a l852-9eec-4 j |
||||||||
|
CN-€xtended-R»ghts |
QCN-CONTOSO |
|
DC-con toso,DC-ccm |
aossRef |
CN-CONTOSO,CN-P<; |
|||||
|
J CN-ForestUpdates |
i'^CN-Enterprise Configuration |
CN=Con figuration,DC -antoso.DC... aossRef |
CN «Enterprise Config ] |
|||||||
|
.'j CN-LostAndFoundCcn; |
Щ CN «Enterprise Sdiema |
|
CN-Schema,CN-Configu.-ation,DC-.. aossRef |
CN Enterprise Schermj |
||||||
|
. j CN -NTDS Quotas |
|
|
|
|
|
|
|
|
|
|
|
CN-Pantons |
|
|
|
|
|
|
|
|
|
|
|
CN^hysicai Locations |
|
|
|
|
|
|
|
|
|
|
|
J CN "Services |
|
|
|
|
|
|
|
|
|
|
|
CN-Sites |
|
|
|
|
|
|
|
|
|
|
|
j CN-WelKnown Securit- |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|||
Рис. 11-9. Разделы в |
лесу contoso.com |
|
|
|
|
|
|||||
Обратите внимание на два раздела приложений ForestDnsZones и DomainDnsZones (см. рис. 11-9). Большинство разделов создаются приложениями, которым они необходимы. В качестве примеров можно привести DNS и интерфейс прикладного программирования д л я телефонии TAPI (Telephony Application Programming Interface). Ч л е н ы группы Администраторы предприятия (Enterprise Admins) также могут вручную создавать разделы каталога приложений с помощью утилиты Ntdsutil.exe.
Раздел приложений может быть добавлен в любом месте соответствующего именного пространства леса. Например, разделы DNS с отличительными именами DC=DomainDnsZones,DC=contoso,DC=com добавлены как дочерние разделы в раздел домена DC=contoso,DC=com . Раздел приложений также может являться дочерним разделом еще одного раздела приложений пли новым деревом в лесу.
534 |
Сайты и репликация |
Глава 11 |
К СВЕДЕНИЮ Разделы каталога приложений |
|
|
Более |
подробную информацию о разделах каталога п р и л о ж е н и й |
м о ж н о найти по |
азресу http^/iechne(2Miarisoft.com/Wmdou^erver/en/library/e 763e6fJaf1f?1033-mspx.
Впринципе для управления разделом каталога приложения, его данными
ирепликацией можно использовать средства этого приложения. Например, при простом добавлении интегрированной зоны Active Directory в DNS-сервер выполняется автоматическая настройка контроллера домена для получения реплики раздела DomainDns. С помощью таких инструментов, как Ntdsutil.exe
иLdp.exe. можно непосредственно управлять разделами каталога приложений.
К СВЕДЕНИЮ Управление разделами каталога приложений
Более подробную информацию о разделах каталога п р и л о ж е н и й м о ж н о найти по адресу hap://iechnet2jmcmsoft.com/\VindowsServer/en/library/920d6995-9ee9-46a 7-9d1b- 320e65c02d1a ЮЗЗлорх.
Важно систематизировать разделы каталога приложений до того, как будет удален контроллер домена. Если он управляет разделом каталога приложений, вы должны оценить назначение раздела, требуется ли он для всех приложений и является ли последней репликой, поскольку в таком случае удаление контроллера домена приведет к полной потере всей информации раздела. Хотя мастер установки доменных служб Active Directory предлагает удалить разделы каталога приложений, все же рекомендуется выполнять это вручную.
К СВЕДЕНИЮ Разделы каталога приложений и удаление контроллера домена
Более подробную информацию о разделах каталога |
п р и л о ж е н и й и у д а л е н и и конт- |
роллера домена можно найти по адресу |
http://technet2.microsoft.com/WindowsServer/ |
en/library/1572d8a2-622c-4879-bb0b-76e26c4001291033.mspx.
Практические занятия. Репликация и разделы каталога
В приведенных далее упражнениях предлагается отконфигурировать репликацию глобального каталога и проанализировать разделы каталога приложения DNS. Прежде чем приступить к выполнению этих упражнений, нужно выполнить упражнения занятия 1.
Упражнение 1. Настройка сервера глобального каталога
Первый контроллер домена в лесу является сервером глобального каталога. Вам нужно разместить серверы GC в дополнительных местах для поддержки запросов каталога, входа и таких приложений, как Exchange Server. Необходимо отконфигурировать SERVER02 для управления репликой частичного набора атрибутов GC.
1.Войдите на машину SERVER01 как Администратор (Administrator).
2.Откройте оснастку Active Directory — сайты и службы (Active Directory Sites And Services).
• Занятие 2 |
Настройка глобального каталога и разделов каталогов приложений |
535 |
|
|
3.Разверните сайт BRANCH1, папку Servers и откройте контейнер SERVER02.
4.Щелкните правой кнопкой мыши элемент NTDS Settings под SERVER02 в дереве консоли и выполните команду Свойства (Properties).
5.Установите флажок Глобальный каталог (Global Catalog) и щелкните ОК.
Упражнение 2. Настройка кэширования универсального членства в группах
Всайтах без серверов GC пользователи не всегда имеют возможность войти
всеть, если контроллер домена не может связаться с сервером GC в еще одном сайте. Чтобы такая ситуация не возникла в вашей среде, сайт можно отконфигурировать для кэширования членства в универсальных группах. В этом упражнении предлагается создать сайт филиала и отконфигурировать его для кэширования членства в универсальных группах.
1.Щелкните правой кнопкой мыши контейнер Sites и выполните команду Создать сайт (New Site).
2.В поле Имя (Name) введите имя BRANCH2.
3.Выберите объект связи сайтов FEFAULTIPSITELINK.
4.Щелкните ОК.
При выполнении этих действий в производственной среде потребовалось бы создать хотя бы один объект подсети, связанный с сайтом, и установить контроллер домена в сайте BRANCH2.
5.В дереве консоли выберите сайт BRANCH2.
6.На панели сведений щелкните правой кнопкой мыши NTDS Site Settings и выполните команду Свойства (Properties).
7.На вкладке Параметры сайта (Site Settings) установите флажок Разрешить кэширование членства в универсальных группах (Enable Universal Group Membership Caching).
8.Щелкните ОК.
Упражнение 3. Анализ разделов каталога приложений
Теперь нужно просмотреть раздел каталога приложений DomainDnsZine с помощью оснастки Редактирование ADSI (ADSI Edit).
1.Откройте оснастку Редактирование ADSI (ADSI Edit) в программной группе Администрирование (Administrative Tools).
2.Щелкните правой кнопкой мыши корневой узел оснастки и выполните команду Подключение к (Connect То).
3.В раскрывающемся списке Выберите известный контекст именования (Select A Well Known Naming Context) выберите контекст Конфигурация (Configuration) и щелкните ОК.
4.В дереве консоли выберите контейнер Конфигурация (Configuration) и разверните его.
5.В дереве консоли выберите и разверните контейнер CN=Configuration, DC-com.
6.В дереве консоли выберите раздел CN= Partitions.
| 559 Сайты и репликация |
Глава 11 |
|
7. Запомните имя D C - D o m a i n D n s Z o n e s . D O c o n t o s o . D O c o m |
раздела |
Do- |
mainDnsZones. |
|
|
8 Щ е л к н и т е правой к н о п к о й м ы ш и узел Редактирование ADSI ( A D S I |
Edit) |
|
и выполните к о м а н д у П о д к л ю ч е н и е к ( C o n n e c t Т о ) . |
|
|
9. Щелкните опцию Выберите нлн введите различаемое и м я или контекст именования (Select Or Type A Distinguished Name Or Naming Context) .
10. В |
к о м б и н и р о в а н н о е |
п о л е |
в в е д и т е |
и м я |
DC-DomainDnsZones,DC=contoso, |
DC-сот. Щелкните ОК.
11.В дереве консоли выберите элемент Контекст именования по умолчанию (Default Naming Context) и разверните его.
12. Выберите и разверните контейнер D C - D o m a i n D n s Z o n e s , D C - c o n t o s o , DC-com.
13.Выберите и разверните контейнер C N - M i c r o s o f t D N S .
14.Выберите контейнер DC-contoso.com.
15.Проанализируйте объекты в этом контейнере. Сравните их с записями DNS домена contoso.com.
Резюме
•Глобальный каталог (Global Catalog, GC), называемый также частичным набором атрибутов (Partial Attribute Set), содержит копию каждого объекта в лесу с ограниченным набором атрибутов объекта.
•Серверы GC повышают производительность запросов каталога, поддерживают вход и предоставляют данные д л я таких приложений, как Exchange Server.
» Первый контроллер домена в лесу является сервером глобального каталога. Контроллер домена можно отконфигурировать как сервер GC с помощью команды Dcpromo.exe, мастера установки доменных служб Active Directory или оснастки Active Directory — сайты и службы (Active Directory Sites And Services) после установки контроллера домена.
•Если сайт не содержит сервер GC, д л я него можно отконфигурировать кэширование членства в универсальных группах (Universal Group Membership Caching, UGMC), чтобы запросы входа пользователей не отклонялись в случае недоступности сервера глобального каталога.
•Разделы каталога приложений уникальны, поскольку их можно реплицировать на конкретные контроллеры доменов в лесу. З о н ы DNS, интегриро-
ванные в Active Directory, хранятся в разделах приложений . ,
Закрепление материала
Следующие вопросы м о ж н о и с п о л ь з о в а т ь д л я п р о в е р к и з н а н и й , п о л у ч е н н ы х н а
ятии 1. Э ти |
вопросы с о д е р ж а т с я и на с о п р о в о д и т е л ь н о м |
к о м п а к т - д и с к е . |
||
п р й т а ш |
Г |
" ^ |
— |
|
правил"2 Э™ |
В0П Р°СЫ с пояснениями, почему тот или иной |
вариант является |
||
и и и л и |
неправильным, |
вы найдете в разделе «Ответы» |
в конце книги. |
|
Занятие 2 Управление множеством доменов и доверительными связями 560 |
5 3 7 |
Настройка репликации |
1. Филиал подключен к центру данных через медленное нестабильное соединение. Вам нужно, чтобы контроллер домена в филиале выполнял проверку подлинности пользователей в случае недоступности сервера глобального каталога. Что необходимо отконфигурировать?
A. Контроллер домена только д л я чтения. Б. Раздел каталога п р и л о ж е н и й .
B. Р е п л и к а ц и ю между сайтами.
Г.Кэширование членства в универсальных группах.
2.Вы работаете администратором в компании Contoso, Ltd. Лес Contoso состоит из трех доменов, в каждом из которых расположено по четыре контроллера. Вы в ы п о л н я е т е подготовку к удалению контроллера в корневом домене леса, но не хотите навсегда уничтожить разделы Active Directory. Какие из следующих разделов Active Directory могут существовать только на этом контроллере домена? (Укажите все варианты.)
A.Схема.
Б. Конфигурация . B. Домеи.
Г.Ч а с т и ч н ы й набор атрибутов.
Д. Раздел каталога п р и л о ж е н и й .
3. Необходимо о т к о н ф и г у р и р о в а т ь все существующие контроллеры доменов в лесу как серверы глобального каталога. Какие инструменты можно использовать д л я в ы п о л н е н и я этой задачи? (Укажите все варианты.)
A.Dcpromo.exe.
Б. Мастер установки доменных служб Active Directory (Active Directory Domain Services Installation Wizard).
B.Оснастка Active Directory — сайты и службы (Active Directory Sites And Services).
Г. Оснастка Active Directory — пользователи и компьютеры (Active Directory Users And Computers) .
Д. Оснастка Active Directory — домены и доверие (Active Directory Domain And Trusts).
Занятие 3. Настройка репликации
На занятии 1 речь шла о создании объектов сайтов и подсетей, позволяющих Active Directory и клиентам локализовать службы проверки подлинности и доступа к каталогам, а также планировать размещение контроллеров доменов. На занятии 2 вы конфигурировали серверы GC и разделы каталога приложений, то есть управляли репликацией между контроллерами домена. На этом занятии мы поговорим о том, как и когда выполняется репликация, выясним, почему конфигурация Active Directory поддерживает эффективную репликацию и зачем модифицировать эту конфигурацию при необходимости оптимизировать репликацию на основе топологии сети.