I 5 6 8 |
Домены и леса |
Глава 12 |
Функциональный уровень леса следует повышать только в том случае, если в лес не будут добавляться новые домены с более низкими ф у н к ц и о н а л ь н ы м и уровнями. После повышения функционального уровня нельзя выполнить откат и вернуться к предыдущему режиму работы леса.
СОВЕТ К ЭКЗАМЕНУ
Запомните функциональность, добавляемую на каждом функциональном уровне домена и леса. Особое внимание уделите возможностям, затрагивающим администраторов.
Практические занятия. Повышение функциональных уровней домена и леса
В приведенных далее упражнениях предлагается повысить функциональные уровни домена и леса. Для того чтобы выполнить упражнения, необходимо подготовить хотя бы один контроллер в новом домене нового леса с полной установкой Windows Server 2008. Потребуется новый сервер с именем SERVERTST, полной установкой Windows Server 2008 и следующей конфигурацией:
•имя компьютера: SERVERTST;
•1Ру4-адрес: 10.0.0.111;
•маска подсети: 255.255.255.0;
•основной шлюз: 10.0.0.1;
•DNS-сервер: 10.0.0.111.
Выполните команду Dcpromo.exe и создайте новый лес с новым доменом tailspintoys.com. Назначьте режим работы леса Windows 2000 и функциональ - ный уровень домена Windows 2000 (основной). Установите DNS на сервере. Появится предупреждение о том, что серверу назначен динамический IP-ад- рес. Щелкните Да (Yes). В открывшемся окне с сообщением о невозможности создания делегирования DNS также щелкните кнопку Да (Yes). Инструкции по установке Windows Server 2008 и созданию контроллера в новом домене нового леса приведены на занятии 1 в первой главе.
Вдомене tailspintoys.com создайте два подразделения первого уровня Кли-
•енты и Кадры.
Упражнение 1. Попытка использовать о т к л ю ч е н н ы е ф у н к ц и и
В этом упражнении необходимо использовать возможности, поддерживаемые на более высоких уровнях домена.
1.Войдите на машину SERVERTST как Администратор (Administrator).
2.Откройте окно командной строки.
3. Введите команду redircmp.exe "ou=KJiueumbi,dc=tailspintoys,dc=com "и нажмите клавишу Enter.
Появится сообщение о неудачном перенаправлении. Причина состоит в том, что домен пока еще не работает на функциональном уровне Windows Server 2003.
Занятие 2 |
Управление множеством доменов и доверительными связям |
|
5 6 9 |
4.Введите команду redirusr.exe "ou=Kadpbi,dc=tailspintoys,dc=com " и нажмите клавишу Enter.
Появится сообщение о неудачном перенаправлении. Причина состоит в том, что домен пока еще не работает на функциональном уровне Windows Server 2003.
5.Откройте оснастку Active Directory — пользователи и компьютеры (Active Directory Users And Computers) .
6. Щ е л к н и т е меню Вид (View) и установите флажок Дополнительные компоненты (Advanced Features).
7 |
. В к о н т е й н е р е U s e r s д в а ж д ы щ е л к н и т е |
учетную |
запись Администратор |
|
|
(Administrator) . |
|
|
|
8 |
. Перейдите на вкладку Редактор атрибутов (Attribute Editor). |
|||
9. Л о к а л и з у й т е |
атрибут lastLogonTimestamp. |
Обратите |
внимание на то, что |
|
|
значение д л я |
него не задано. |
|
|
У п р а ж н е н и е 2 . П о в ы ш е н и е ф у н к ц и о н а л ь н о г о уровня домена
В этом у п р а ж н е н и и требуется повысить функциональный уровень домена tailspintoys.com.
1.Откройте оснастку Active Directory — домены и доверие (Active Directory Domains And Trusts).
2. Щ е л к н и т е правой кнопкой м ы ш и домен tailspintoys.com и выполните команду Изменение режима работы домена (Raise Domain Functional Level).
3. В раскрывающемся списке Выберите режим работы домена (Select An Available Domain Functional Level) выберите уровень Windows Server 2003.
4. Щ е л к н и т е кнопку Изменить (Raise), а затем OK, чтобы подтвердить из- |
|
менение. П о я в и т с я сообщение об успешном повышении функционального |
|
уровня домена. |
|
5. Щелкните |
О К . |
I У п р а ж н е н и е 3. |
Т е с т и р о в а н и е ф у н к ц и о н а л ь н о г о уровня домена |
W i n d o w s Server |
2 0 0 8 |
Теперь нужно проверить доступность ранее отключенной функциональности.
1. |
Выйдите и вновь войдите в систему как администратор домена. |
2. |
Откройте окно командной строки. |
3. |
Введите команду redircmp.exe "ou=KJiueitmhi,dc=tailspintoys,dc=com"и нажми- |
|
те клавишу Enter. |
Появится сообщение об успешном перенаправлении.
4.Введите команду redirusr.exe "ou=Kadpbi,dc=tailspintoys,dc=com"it нажмите клавишу Enter.
Появится сообщение об успешном перенаправлении.
5.Откройте оснастку Active Directory — пользователи и компьютеры (Active Directory Users And Computers).
I 5 7 2 |
Домены и леса |
Глава 12 |
Выделенный корневой контроллер д о м е н а
На начальном этапе использования Active Directory рекомендовалось создавать выделенный корневой домен леса. В главах 1 - 1 0 говорилось, что корневой домен леса является первым доменом в лесу. Назначение выделенного корневого домена состоит в администрировании инфраструктуры леса. По умолчанию он содержит одного хозяина операций леса. Корневой домен также содержит уязвимые группы, такие как Администраторы предприятия (Enterprise Admins) и Администраторы схемы (Schema Admins), которые могут оказывать влияние на весь лес. Теория заключалась в том, что выделенный корневой домен леса повышает безопасность этих функций уровня леса. Выделенный контроллер домена также не устареет и обеспечит более простую передачу владения. В соответствии с этими старыми рекомендациями один глобальный дочерний домен содержит все объекты: пользователи, группы, компьютеры и т. д. Пример такой структуры показан на рис. 12-3.
Рис. 12-3. Пример корневого домена леса
Лес из одного домена
ПРИМЕЧАНИЕ |
Новые рекомендации относительно леса из одного домена |
На многих предприятиях больше не создается выделенный корневой домен, поскольку рекомендуется проектировать лес из одного домена. Универсального дизайна для каждой организации не существует, поэтому следует, проанализировать характеристики предприятия в соответствии с критерием дизайна, описанным далее на этом занятии.