Материал: Развертывание доменных служб в небольшой организации

Развертывание доменных служб в небольшой организации

Департамент образования, науки и молодежной политики

 по Воронежской области

Государственное бюджетное профессиональное образовательное учреждение Воронежской области

«Павловский Техникум»

ДИПЛОМНЫЙ ПРОЕКТ

Тема: «Развертывание доменных служб в небольшой организации.»

Дипломник: Игнатенко Алексей Иванович

Руководитель проекта: Погудаев Сергей Викторович

Рецензент: ________________________________________

г. Павловск 2018 г.

Содержание

ВВЕДЕНИЕ………………………………………………………………………..6

ГЛАВА 1.ПОНЯТИЕACTIVEDIRECTORY……………………………...….7

1.2ОПИСАНИЕ ЛОГИЧЕСКОЙ СТРУКТУРЫ ACTIVE DIRECTORY....8

1.3. ОПИСАНИЕ ДОВЕРИТЕЛЬНЫХ ОТНОШЕНИЙ В ACTIVE DIRECTORY И ФЕЗИЧЕСКАЯ СТРУКТУРА СЕТИ ……………………..…12

ГЛАВА 2 РАЗВЕРТЫВАНИЕ ACTIVE DIRECTORY НА ПРЕДРИЯТИЕ..20

2.1КРАТКАЯ ХАРАКТЕРИСТИКА ПРЕДПРИЯТИЯ ………………….20

2.2 ОПИСАНИЕ РАЗВЕРТЫВАНИACTIVE DIRECTORYНА ПРЕДРИЯТИЕ.......................................................................................................21

2.3 ОПИСАНИЕ ПОДКЛЕЧЕНИЕ РАБОЧИХ СТАННЦИЙ К ДОМЕНУ …………………………………………………………………………………….39

2.4 ОПИСАНИЕ РАЗГРОНИЧЕНИЕ ПРАВ ПОЛЬЗОВАТЕЛЕ ………...42

2.5 СХЕМА СЕТИ ...………………………………………………………...45

2.6 БЕЗОПАСНОСТЬ ЖИЗНЕДЕЯТЕЛЬНОСТИ И ОХРАНА ТРУДА....................................................................................................................45

2.7 ЭКОНОМИЧЕСКИЕ ЗАТРАТЫ …..…...……………...………………….53

ЗАКЛЮЧЕНИЕ ……....................…………………………………………........54

СПИСОК ИСПОЛЬЗУЕМОЙ ЛИТЕРАТУРЫ ……………....……………….56

ВВЕДЕНИЕ.

Тема дипломной работы –Развертывание доменных служб в небольшой организации.

Цель работы – Основная цель: построить сеть с разграничением прав пользователей на основе  Active Directory и обеспечить отказоустойчивость системы, улучшить защиту файлов и каталогов от несанкционированного доступа.

Реализация предложенного проекта позволит быстро получать доступ к локальным данным и защитить от несанкционированного доступа к данным. Разграничить права пользователей и групп в локальной сети. Облегчение работы администратора и пользователей

С внедрением на предприятии данного проекта система хранение и доступа к файлам станут более отказоустойчивыми и безопасными для доступа.

ГЛАВА 1.ПОНЯТИЕ ACTIVE DIRECTORY

1.1.   Понятие Active Directory.

Active Directory («Активный каталог», AD) — службы каталогов корпорации Microsoft для операционных систем группы Windows Server. Изначально создавалась, как LDAP-совместимая реализация службы каталогов, однако, начиная с Windows Server 2008, включает возможности интеграции с другими службами авторизации, выполняя для них интегрирующую и объединяющую роль. Позволяет администраторам использовать групповые политики для обеспечения единообразия настройки пользовательской рабочей среды, разворачивать программное обеспечение на множестве компьютеров через групповые политики или посредством System Center Configuration Manager (ранее — Microsoft Systems Management Server), устанавливать обновления операционной системы, прикладного и серверного программного обеспечения на всех компьютерах в сети, используя Службу обновления Windows Server. Хранит данные и настройки среды в централизованной базе данных. Сети Active Directory могут быть различного размера: от нескольких десятков до нескольких миллионов объектов.

Представление решения состоялось в 1999 году, впервые продукт был выпущен вместе с Windows 2000 Server, а затем развит в рамках выпуска Windows Server 2003. Впоследствии новые версии продукта вошли в Windows Server 2003 R2, Windows Server 2008 и Windows Server 2008 R2 и переименован в Active Directory Domain Services. Ранее служба каталогов называлась NT Directory Service (NTDS), это название до сих пор можно встретить в некоторых исполняемых файлах.

В отличие от версий Windows до Windows 2000, которые использовали в основном протокол NetBIOS для сетевого взаимодействия, служба Active Directory интегрирована с DNS и работает только поверх TCP/IP. Для аутентификации по умолчанию используется протокол Kerberos. Если клиент или приложение не поддерживает Kerberos-аутентификацию, используется протокол NTLM.

Для разработчиков программного обеспечения предоставляется программный интерфейс доступа к службам Active Directory — ADSI.

1.2.            Описание логической структуры Active Directory

Логическая структура Active Directory не базируется на физическом местонахождении серверов или сетевых соединениях в пределах домена. Это позволяет структурировать домены, отталкиваясь не от требований физической сети, а от административных и организационных требований.

Поскольку Active Directory отделяет логическую структуру сетевых ресурсов от физической структуры самой сети, рассмотрение Active Directory целесообразно построить по тому же принципу. Логические компоненты структуры Active Directory включают:

•        объекты;

•        домены;

•        деревья;

•        леса;

•        организационные единицы

Ресурсы хранятся в Active Directory как объекты. Объекты хранятся в Active Directory в виде иерархической структуры контейнеров и под контейнеров, упрощающей поиск, доступ и управление. Объект на самом деле представляет собой просто набор атрибутов. Например, объект пользователя (user object) состоит из таких атрибутов, как имя, пароль, телефонный номер, сведения о членстве в группах и т. д. Атрибуты, образующие объект, определяются классом объекта. В частности, класс пользователя описывает атрибуты, из которых состоит объект пользователя.

Классы помогают классифицировать объекты по сходным характеристикам. Все объекты пользователей относятся к классу Users. Когда создается новый объект, он автоматически наследует атрибуты от своего класса. Microsoft определяет исходный набор классов объектов (и атрибутов, которые они описывают), используемых Active Directory. Конечно, поскольку Active Directory расширяема, администраторы и приложения могут модифицировать доступные классы объектов и атрибуты, определенные в этих классах, в Active Directory Schema. Классы и атрибуты, определяемые ими, собирательно называются Active Directory Schema в терминологии баз данных схема (schema) это структура таблиц и полей, а также их взаимосвязи. Active Directory Schema можно считать набором данных (классов объектов), определяющим то, как организована и хранится реальная информация (атрибуты объекта) в каталоге.

Как и любые другие объекты, схема защищается списками управления доступом (access control lists, ACL), которые контролируются подсистемой защиты Windows. Пользователи и приложения с соответствующими разрешениями могут читать и даже модифицировать эту схему.

Базовая организационная структура в сетевой модели - домен. Домен представляет административную единицу (administrative boundary). Компьютеры, пользователи и другие объекты внутри домена делят общую базу данных защиты (security database).

Домены позволяют администраторам разделять сеть на зоны безопасности (security boundaries). Кроме того, администраторы из разных доменов могут устанавливать свои модели защиты. Таким образом, модель защиты одного домена может быть изолирована от моделей защиты других доменов. Домены в основном предназначены для логического деления сети в соответствии с внутренней структурой организации. В достаточно крупных организациях, где есть более одного домена, обычно имеются подразделения, отвечающие за поддержку и защиту своих ресурсов.

Домен Windows Server также представляет пространство имен, которое соответствует системе именования, давно привычной большинству администраторов сетей - DNS, применяемой в Интернете. При создании домену присваивается имя, отвечающее структуре, принятой в DNS.

Например, полное доменное имя (fully qualified domain name, FQDN) сервера msnews в домене microsoft.com выглядело бы так: msnews.microsoft.com. сеть домен программа windows

Несколько доменов организуется в иерархическую структуру, называемую деревом (tree). На самом деле, даже если в организации лишь один домен, у вас все равно имеется дерево. Первый домен, созданный в дереве, является корневым. Следующий домен считается дочерним по отношению к корневому. Это позволяет создавать в дереве множество доменов. Пример дерева показан на (рис.1) Здесь microsoft.com первый домен, созданный в Active Directory, поэтому он считается корневым доменом

Рис. 1. Дерево

Единственное дерево достаточно для тех организаций, которые пользуются одним пространством имен DNS. Но для организаций, где задействовано несколько пространств имен DNS, одного дерева мало. Вот здесь и применяется такая концепция, как лес.

Лес - это группа из одного или более деревьев доменов, которые не образуют непрерывного пространства имен, но могут совместно использовать общую схему и глобальный каталог. В сети всегда есть минимум один лес, и он создается, когда в сети устанавливается первый компьютер с поддержкой Active Directory (контроллер домена). Первый домен в лесу, называемый корневым доменом леса (forest root domain), играет особую роль, так как на нем хранится схема, и он управляет именованием доменов для целого леса. Его нельзя удалить из леса, не удалив сам лес. Кроме того, в иерархии доменов леса нельзя создать домен, который находился бы над корневым.

На (рис. 2) показан пример леса с двумя деревьями. У каждого дерева в лесу свое пространство имен. В данном случае microsoft.com это одно дерево, а contoso.com другое. Оба дерева находятся в лесу с именем microsoft.com.

Рис. 2. Деревья в лесу используют одну схему, но разные пространства имен

Лес является крайней границей Active Directory каталог не может охватывать более одного леса. Однако вы можете создать несколько лесов, а затем создать доверительные отношения между нужными доменами в этих лесах; это позволяет предоставлять доступ к ресурсам и учетным записям, которые находятся вне данного леса.

Организационные единицы (organizational units, OU) позволяют разделять домен на зоны административного управления, т. е. создавать единицы административного управления внутри домена. В основном это дает возможность делегировать административные задачи в домене. До появления Active Directory домен был наименьшим контейнером, которому вы могли бы назначить административные разрешения. То есть, передать группе администраторов контроль над конкретным ресурсом было затруднительно или вообще невозможно, не предоставив им широких полномочий во всем домене.

OU служит контейнером, в который можно поместить какие-либо ресурсы домена. После этого вы назначаете административные разрешения самой OU. Обычно структура OU соответствует функциональной или бизнес структуре организации. Например, в сравнительно небольшой организации с единственным доменом можно было бы создать отдельные OU для отделов этой организации.

OU поддерживают вложение (создание OU внутри другой OU), что обеспечивает более широкие возможности в управлении ресурсами. Однако чрезмерно сложная структура OU внутри домена имеет свои недостатки. Ведь чем проще структура, тем легче реализация этой структуры и управление ею. Также учтите, что, начиная примерно с 12-го уровня вложения OU, возникают серьезные проблемы с производительностью.

1.3.   Описание доверительных отношений в Active Directory и физической структура сети.

Поскольку домены разграничивают зоны безопасности, специальный механизм, называемый доверительными отношениями (trustrelationships), позволяет объектам в одном домене [доверяемом (trusteddomain)] обращаться к ресурсам в другом [доверяющем (trustingdomain)].

WindowsServer2008 R2 поддерживает шесть типов доверительных отношений: в доверие к родительскому и дочернему доменам (parentandchildtrusts), а доверие к корневому домену дерева (tree-roottrusts), доверие к внешнему домену (externaltrusts);

· доверие к сокращению (shortcuttrusts);

· доверие к сфере (realmtrusts);

· доверие к лесу (foresttrusts).

Доверие к родительскому и дочернему доменам, а также к корневому домену дерева

ActiveDirectory автоматически выстраивает транзитивные двусторонние доверительные отношения между родительскими и дочерними доменами в дереве доменов. При создании дочернего домена доверительные отношения автоматически формируются между дочерним доменом и его родителем. Эти отношения двусторонние, т.е. запросы на доступ к ресурсам могут поступать от одного из данных доменов к другому и наоборот. Иначе говоря, оба домена доверяют друг другу.

Доверие также является транзитивным, т. е. контроллеры доверяемого домена пересылают запросы на аутентификацию контроллерам доверяющих доменов. В данном примере транзитивные, двусторонние доверительные отношения существуют между доменами А и В. Поскольку домен А доверяет домену В, а домен В - домену С, то домен А автоматически доверяет домену С.

Двусторонние транзитивные доверительные отношения автоматически создаются и между корневыми доменами деревьев в одном лесу. В WindowsServer2008r2 в большинстве случаев мы можем полагаться на автоматически устанавливаемые типы доверительных отношений. Но бывают ситуации, где нам понадобятся другие типы доверительных отношений.