Материал: Книга Active directory

Компания Contoso, Ltd работает с несколькими старыми приложениями. Недавно менеджеры Contoso приняли решение перейти на Доменные службы Active Directory (Active Directory Domain Services) и технологии Windows Server 2008. Поэтому они считают нужным переместить старые приложения в экземпляры служб Active Directory облегченного доступа к каталогам (Active Directory Lightweight Directory Services).

Вы как потенциальный администратор AD LDS внутри организации должны помочь решить некоторые специфические вопросы, связанные с предварительными реквизитами экземпляров. В частности, менеджерам необходима следующая информация.

1.Где следует хранить файлы каждого экземпляра?

2.Как именовать каждый экземпляр?

3.Какие порты должны использоваться для подключения к экземплярам?

4.Следует ли использовать раздел каталогов приложений и почему?

5.Каким образом запускать каждый экземпляр?

Практические задания

Чтобы успешно справиться с заданиями сертификационного экзамена, выполните следующие упражнения.

Работа с экземплярами AD LDS

Поскольку эта глава посвящена лишь одной теме сертификационного экзамена, сфокусируйтесь на трех ключевых задачах для подготовки к экзамену: установка роли сервера AD LDS, настройка экземпляра AD L D S и получение доступа к экземпляру AD LDS с помощью административных инструментов.

• Упражнение 1 На сервере (виртуальном и л и ф и з и ч е с к о м ) с системой Windows Server 2008 Standard Edition или Windows Server 2008 Enterprise Edition установите роль сервера AD LDS. Этот сервер должен быть не контроллером домена, а рядовым сервером домена Active Directory.

•Упражнение 2 Создайте экземпляр AD LDS с именем MyADLDSInstance, но сначала подготовьте предварительные реквизиты. Выберите для экземпляра порты 50010 и 50011. Создайте внутри экземпляра раздел приложения и назначьте ему учетную запись службы. Д л я управления экземпляром используйте группу безопасности AD DS и включите в эту группу свою учетную запись. Сохраните экземпляр на диске данных отдельно от диска с операционной системой. В процессе создания экземпляра импортируйте в него все файлы LDIF.

•Упражнение 3 После создания экземпляра попрактикуйтесь в подключении и работе с ним. Используйте следующие инструменты:

а оснастку Схема Active Directory (Active Directory Schema); •

аоснастку Active Directory — сайты и службы (Active Directory Sites And Services);

т р е н и р о в о ч н ы х тестов. Проверка з н а н и й выполняется или только по одной теме с е р т и ф и к а ц и о н н о г о э к з а м е н а 7 0 - 6 4 0 , и л и по всем экзаменационным темам. Т е с т и р о в а н и е м о ж н о о р г а н и з о в а т ь т а к и м образом, чтобы оно проводилось как э к з а м е н , л и б о н а с т р о и т ь на р е ж и м обучения . В последнем случае вы сможете

Подробнее о пробном экзамене рассказано во введении к данной книге.

Службы сертификации Active Directory и инфраструктура открытых ключей

применяют практически в каждой компании . О р г а н и з а ц и и м о г у т и с п о л ь з о в а т ь

(Secure Sockets Layer, SSL) и даже д л я п о д п и с к и на э л е к т р о н н у ю почту и иден - тификации самих себя в веб-средах.

Для сертификатов PKI необходимо создать и к о н т р о л и р о в а т ь и н ф р а с т р у к -

предпочтение реализации собственных и н ф р а с т р у к т у р и у п р а в л е н и ю и м и .

Однако инфраструктуры P K I основаны не т о л ь к о на п р о г р а м м н о м обеспечении. Поскольку сертификаты P K I п р е д н а з н а ч е н ы д л я и д е н т и ф и к а ц и и себя в среде, необходимо реализовать а д м и н и с т р а т и в н ы е процессы, г а р а н т и р у ю щ и е четкую идентификацию лица с п о м о щ ь ю с е р т и ф и к а т а . П р е д о с т а в и в сертифи - каты всем сотрудникам в организации, вы задействуете инструмент, гарантиру - ющий подлинность каждого из них. Таким образом, и н ф р а с т р у к т у р ы открытых ключей предназначены для обеспечения д о в е р и я в н е н а д е ж н ы х средах.

Клиенты

Рис. 15-1. Службы сертификации Active Directory могут предоставлять возможности проверки подлинности и авторизации внутри и вне сети организации

[. 7 3 2 Службы сертификации Active Directory Глава 15

Например, при переходе на веб-сайт с помощью протокола H T T P S (Secure Hypertext Transfer Protocol) с сертификатом SSL этот сертификат гарантирует, что вы попадете именно на тот сайт, который собирались посетить. С е р т и ф и к а т

обозреватели, как Microsoft Internet Explorer и Firefox, уже содержат список доверенных центров сертификации, которые у п р а в л я ю т процессом с е р т и ф и - кации (рис. 15-2).

You have certificates on file that identify these certificate authorities:

Рис. 15-2. Такие браузеры, как Internet Explorer и Firefox, содержат список доверенных центров сертификации

Server 2008 это обновление управляется параметром, г р у п п о в о й п о л и т и к и , который по умолчанию отключен. В предыдущих версиях операционной системы Windows обновление Доверенные корневые сертификаты (Trusted Root Certificates) являлось компонентом Windows, доступ к которому м о ж н о было получить через панель управления.

К СВЕДЕНИЮ Поддержка сертификатов в Windows Vista

Информацию о поддержке сертификатов в Windows Vista можно найти по адресу http://technet2.microsoft.com/WindowsVista/en/library/5b350eae-8b08-4f2c-a09e- a17b1c93f3d01033.mspx?mfr=true, а список доверенных корневых сертификатов в Windows — по адресу http://support.microsoft.com/kb/931125.

При выдаче собственных сертификатов (не из внешних центров сертификации) на компьютеры пользователей, которые будут их применять, необходимо включить вашу организацию в качестве доверенного центра сертификации. Это