Tw-city.info

IT Новости
0 просмотров
Рейтинг статьи
1 звезда2 звезды3 звезды4 звезды5 звезд
Загрузка...

Домен и контроллер домена

Что такое контроллер домена

Администратор 26 Сентябрь 2014 Просмотров: 13875

Что такое контроллер домена

Контроллер домена обеспечивает централизованное управление сетевыми устройствами, то есть доменами. В контроллере хранится вся информация с учетных записей и параметров пользователей сети. Это параметры безопасности, локальной политики и многие другие. Это, своего рода, сервер, который полностью контролирует определенную сеть или сетевую группу. Контроллер домена — это, своего рода, набор специального программного обеспечения, которое осуществляет запуск различных служб Active Directory. Контроллеры работают под управлением определенных операционных систем, таких как Windows server 2003. Мастер установки Active Drive позволяет создавать контроллеры доменов.

В операционной системе Windows NT, как основной сервер, используется основной контроллер домена. Другие используемые серверы используются как резервные контроллеры. Основные контроллеры PDС могут решать различные задачи, связанные с членством пользователей в группах, создание и изменение паролей, добавление пользователей и многие другие. После чего данные передаются на дополнительные контроллеры BDC.

В качестве контроллера домена может использоваться программное обеспечение Samba 4, если установлена операционная система Unix. Это ПО также поддерживает и другие операционные системы, такие как windows 2003, 2008, 2003 R2 и 2008 R2. Каждая из операционных систем при необходимости может расширяться в зависимости от конкретных требований и параметров.

Применение контроллеров домена

Используются контроллеры доменов многими организациями, в которых расположены компьютеры, подключенные между собой и в сеть. В контроллерах хранятся данные каталогов и осуществляется контроль входа и выхода пользователей в систему, а также управление взаимодействием между ними.

Организациям, использующим контроллер домена, необходимо решить то, какое количество их будет использоваться, распланировать архивирование данных, физическую безопасность, обновление сервера и другие необходимые задачи.

Если компания или организация небольшая и в ней используется всего одна доменная сеть, то достаточно использовать два контролера, которые способны обеспечить высокую стабильность, отказоустойчивость и высокий уровень доступности сети. В сетях, которые делятся на определенное количество сайтов, на каждом из них устанавливается по одному контроллеру, что позволяет добиться необходимой работоспособности и надежности. Благодаря использованию контроллеров на каждом сайте, можно значительно упростить вход пользователей в систему и сделать его более быстрым.

Сетевой трафик можно оптимизировать, чтобы это сделать, необходимо установить время обновлений репликации тогда, когда нагрузка на сеть будет минимальной. Настройка репликации позволит значительно упростить работу и сделать ее более производительной.

Добиться максимальной производительности в работе контроллера можно в том случае, если домен будет являться глобальным каталогом, что позволит запрашивать любые объекты по конкретному весу. При этом важно помнить, что включение глобального каталога влечет за собой значительное увеличение трафика репликации.

Контроллер домена хозяина лучше не включать, если используется больше одного контроллера домена. При использовании контроллера домена очень важно заботиться о безопасности, потому как он становится достаточно доступным для злоумышленников, желающих завладеть необходимыми для обмана данными.

Особенности установки дополнительных контроллеров домена

Для того чтобы добиться более высокой надежности в работе необходимых сетевых служб, необходима установка дополнительных контроллеров домена. В результате, можно добиться значительно более высокой стабильности, надежности и безопасности в работе. Быстродействие сети в таком случае станет значительно выше, что является очень важным параметром для организаций, которые используют контроллер домена.

Для того чтобы контроллер домена работал правильно, необходимо произвести некоторые подготовительные работы. Первое, что нужно сделать, это проверить параметры TCP/IP, они должны быть правильно установлены для сервера. Важнее всего проверить DNS имена на сопоставления.

Для безопасной работы контроллера домена необходимо использовать файловую систему NTFS, обеспечивающую более высокую безопасность в сравнении с файловыми системами FAT 32. Для установки на сервере нужно создать один раздел в файловой системе NTFS, на котором будет находиться системный том. Также обязательно необходим доступ к DNS серверу с сервера. Служба DNS устанавливается на этом или дополнительном сервере, который должен поддерживать ресурсные записи.

Для того чтобы правильно настроить контроллер домена, можно использовать Мастер настройки, с помощью которого можно добавлять выполнение определенных ролей. Для этого нужно будет зайти в раздел администрирование через панель управления. В качестве роли сервера необходимо указать контроллер домена.

Контроллер доменов на сегодняшний день является незаменимым для сетей и сайтов, которыми пользуются различные организации, учреждения и компании во всех сферах деятельности человека. Благодаря ему, обеспечивается высокая производительность в работе и безопасность, которая в компьютерных сетях имеет особое значение. Роль контроллера домена очень важна, потому как он позволяет осуществлять управление областями домена, построенными на компьютерных сетях. В каждой операционной системе есть определенные нюансы, связанные с работой контроллеров домена, но принцип и его назначение везде одинаковое, поэтому разобраться с настройками не так сложно, как может показаться в самом начале. Тем не менее, очень важно, чтобы настройкой контроллеров домена занимались специалисты, чтобы в конечном итоге получить высокую производительность и безопасность во время работы.

Для чего нужен контроллер домена на чтение (RODC)? Установка и настройка RODC в Windows Server 2016

Впервые функционал контроллера домена, доступного только на чтение ( RODC — read-only domain controller), был представлен в Windows Server 2008. Основная задача, которую преследует технологией RODC, возможность безопасной установки собственного контролера домена в удаленных филиалах и офисах, в которых сложно обеспечить физическую защиту сервера с ролью DC. Контроллер домена RODC содержит копию базы Active Directory, доступную только на чтение. Это означает, что никто, даже при получении физического доступа к такому контроллеру домена, не сможет изменить данные в AD (в том числе сбросить пароль администратора домена ).

В это статье мы рассмотрим основные особенности использования и процедуру установки нового контроллера домена RODC на базе Windows Server 2016.

Особенности контроллера домена RODC

Основные отличия RODC от обычных контроллером домена, доступных для записи (RWDC)

  • Контроллер домена RODC хранит копию базы AD, доступную только для чтения. Соответственно, клиенты такого контролера домена не могут вносить в нее изменения.
  • RODC не реплицирцирует данные AD и папку SYSVOL на другие контроллеры домена (RWDC).
  • Контроллер RODC хранит полную копию базы AD, за исключением хэшей паролей объектов AD и других атрибутов, содержащих чувствительную информацию. Этот набор атрибутов называется Filtered Attribute Set (FAS) . Сюда относятся такие атрибуты, как ms-PKI-AccountCredentials, ms-FVE-RecoveryPassword, ms-PKI-DPAPIMasterKeys и т.д. В случае необходимости в этот набор можно добавить и другие атрибуты, например при использовании LAPS , в него следует добавить атрибут ms-MCS-AdmPwd.
  • При получении контроллером RODC запроса на аутентификацию от пользователя, он перенаправляет этот запрос на RWDC контроллер.
  • Контроллер RODC может кэшировать учетные данные некоторых пользователей (это ускоряет скорость авторизации и позволяет пользователям авторизоваться на контроллере домена, даже при отсутствии связи с полноценным DC).
  • На контроллеры домена RODC можно давать административный доступ обычным пользователям (например, техническому специалисту филиала).
Читать еще:  Добавить контроллер домена в существующий домен

Требования, которые должны быть выполнены для разворачивания Read-Only Domain Controller.

  • На сервере должен быть назначен статический IP
  • Файервол должен быть отключен или корректно настроен для прохождения трафика между DC и доступа от клиентов
  • В качестве DNS сервера должен быть указан ближайший RWDC контроллер

Установка RODC из графического интерфейса Server Manager

Откройте консоль Server Manager и добавьте роль Active Directory Domain Services (согласитесь с установкой всех дополнительных компонентов и средств управления).

На этапе указания настроек нового DC, укажите что нужно добавить новый контроллер домена в существующий домен ( Add a domain controller to an existing domain ), укажите имя домена и, если необходимо, данные учетной записи пользователя с правами администратора домена.

Выберите, что нужно установить роль DNS сервера, глобального каталога (GC) и RODC. Далее выберите сайт, в котором будет находится новый контролер и пароль для доступа в DSRM режиме.

Active Directory: контроллеры доменов

Контроллеры доменов являются серверами, поддерживающими работу Active Directory. Каждый контроллер домена имеет собственную копию базы данных Active Directory, поддерживающую запись. Контроллеры домена выступают в роли центрального компонента безопасности в домене.

Все операции безопасности и проверки учетных записей выполняются на контроллере домена. Каждый домен должен иметь как минимум один контроллер домена. Для обеспечения устойчивости к ошибкам рекомендуется для каждого домена устанавливать как минимум два контроллера домена.

В операционной системе Windows NT запись в базу данных поддерживал только один контроллер домена, то есть для создания и изменения параметров учетных записей пользователей необходимо было подключение к контроллеру домена.

Такой контроллер назывался первичным контроллером домена (Primary Domain Controller — PDC). Начиная с операционной системы Windows 2000 архитектура контроллеров доменов была изменена таким образом, чтобы обеспечить возможность обновления базы данных Active Directory на любом контроллере домена. После обновления базы данных на одном контроллере домена, изменения реплицировались на все остальные контроллеры.

Хотя все контроллеры домена поддерживают запись в базу данных, они не идентичны. В доменах и лесах Active Directory существуют задачи, которые выполняются определенными контроллерами домена. Контроллеры домена с дополнительными обязанностями известны как хозяева операций (operation masters). В некоторых материалах компании Microsoft такие системы называются Flexible Single-Master Operations (FSMO). Многие верят, что термин FSMO использовался так долго только из-за того, что произнесенная аббревиатура звучит очень смешно.

Существует пять ролей хозяев операций. По умолчанию все пять ролей выдаются первому контроллеру домена в лесу Active Directory. Три роли хозяев операций используются на уровне доменов и назначаются первому контроллеру домена в созданном домене. Утилиты Active Directory, которые рассматриваются далее, позволяют передавать роли хозяев операций от одного контроллера другому контроллеру домена. Кроме этого, можно заставить контроллер домена принять на себя определенную роль хозяина операции.

Существует две роли хозяев операций, которые работают на уровне леса.

  • Хозяин именования домена (Domain naming master) — к этим хозяевам операций необходимо обращаться каждый раз, когда в пределах иерархии доменов леса вносятся изменения в именование. Задачей хозяина именования домена заключается в обеспечении уникальности имен доменов в пределах леса. Эта роль хозяина операций должна быть доступна при создании новых доменов, удалении доменов или переименовании доменов
  • Хозяин схемы (Schema master) — роль хозяина схемы принадлежит единственному контроллеру домена в пределах леса, на котором можно вносить изменения в схему. Как только изменения внесены, они реплицируются на все остальные контроллеры домена в пределах леса. В качестве примера необходимости внесения изменений в схему можно рассмотреть установку программного продукта Microsoft Exchange Server. При этом в схему вносятся изменения, позволяющие администратору одновременно управлять учетными записями пользователей и почтовыми ящиками

Каждая из ролей на уровне леса может принадлежать только одному контроллеру домена в пределах леса. То есть, можно использовать один контроллер в роли хозяина именования домена, а второй контроллер в роли хозяина схемы. Кроме этого, обе роли можно назначить одному контроллеру домена. Такое распределение ролей используется по умолчанию.

Каждый домен в пределах леса имеет контроллер домена, выполняющий каждую из ролей уровня домена.

  • Хозяин относительных идентификаторов (RID master) — хозяин относительных идентификаторов отвечает за назначение относительных идентификаторов. Относительные идентификаторы являются уникальной частью идентификатора безопасности (Security ID — SID), который используется для определения объекта безопасности (пользователя, компьютера, группы и т.д.) в пределах домена. Одной из главных задач хозяина относительных идентификаторов является удаление объекта из одного домена и добавление объекта в другой домен при перемещении объектов между доменами.
  • Хозяин инфраструктуры (Infrastructure master) — задачей хозяина инфраструктуры является синхронизация членства в группах. При внесении изменений в состав групп, хозяин инфраструктуры сообщает об изменениях всем остальным контроллерам домена.
  • Эмулятор первичного контроллера домена (PDC Emulator) — эта роль используется для эмуляции первичного контроллера домена Windows NT 4 для поддержки резервных контроллеров домена Windows NT 4. Еще одной задачей эмулятора первичного контроллера домена является предоставление центральной точки администрирования изменений в паролях пользователей, а также политик блокирования пользователей.
Читать еще:  Понижение контроллера домена до рядового сервера

Слово «политики» достаточно часто используется в этом разделе для ссылки на объекты групповых политик (group policy objects — GPO). Объекты групповых политик являются одной из главных полезных особенностей Active Directory и рассматриваются в соответствующей статье, ссылка на которую представлена ниже.

Добавление дополнительного контроллера домена в существующий домен AD

Как вы знаете, службы Active Directory Domain Services (AD DS) устанавливаются на сервере, который называется контроллер домена (DC). В активный каталог домена AD можно добавить десятки дополнительных контроллеров для балансировки нагрузки, отказоустойчивости, уменьшения нагрузки на WAN каналы и т.д. Все контроллеры домена должны содержать одинаковую базу учетных записей пользователей, учетных записей компьютеров, групп и других объектов LDAP каталога.

Для корректной работы всем контроллерам домена необходимо синхронизироваться и копировать информацию между собой. Когда вы добавляете новый контроллер домена в существующий домен, контроллеры домена должны автоматически синхронизировать данные между собой. Если новый контроллер домена и существующий DC находятся в одном сайте, они могут легко реплицировать данные между собой. Если новый DC находится на удаленном сайте, то автоматическая репликация не так эффективна. Поскольку репликация будет идти через медленные (WAN каналы), которые как правило стоят дорого и скорость передачи данных по ним не велика.

В этой статье мы покажем, как добавить дополнительный контроллер домена в существующий домен Active Directory (Установка домена AD на примере Windows 2016).

Добавление дополнительного контроллера домена в существующий домен AD

Прежде всего, нам нужно установить роль Active Directory Domain Services на сервере, который будет новым DC.

Установка роли ADDS

Прежде всего, откройте консоль Server Manager. Когда откроется Server Manager, нажмите «Add roles and features», чтобы открыть консоль установки ролей сервера.

Пропустите страницу «Before you Begin». Выберите «Role-based or featured-based installation» нажмите кнопку «Next». На странице «Server Selection» снова нажмите кнопку «Next».

Выберите роль Active Directory Domain Services. В открывшемся окне нажмите кнопку «Add Features», чтобы добавить необходимые инструменты управления Active Directory Management Tools.

Когда процесс установки будет завершен, перезагрузите сервер, войдите в систему под администратором и выполните следующие действия.

Настройка дополнительного контроллера домена

Теперь в мастере установки ролей нажмите ссылку «Promote this server to a domain controller».

Выберите «Add a domain controller to an existing domain», ниже укажите имя вашего домена AD. Если вы авторизованы под обычным пользователем, вы можете изменить учетные данные на администратора домена. Нажмите кнопку «Select», откроется новое окно, выберите имя вашего домена и нажмите «Ok», затем «Next».

На странице Domain Controller Options, можно выбрать, что нужно установить роль DNS-сервера на вашем DC. Также выберите роль Global Catalog. Введите пароль администратора для режима DSRM и подтвердите его, затем нажмите кнопку «Next».

На странице Additional options укажите сервер, с которым вы хотите выполнить первоначальную репликацию базы Active Directory ( с указанного сервера будет скопирована схема и все объекты каталога AD). Вы можете сделать снимок (snapshot) текущего состояния Active Directory на одном из контроллеров домена и применить его на новой машине. После этого база AD этого сервера будет представлять собой точную копию имеющегося контроллера домена. Подробнее о функции Install From Media (IFM) – установки нового DC с носителя в одной из следующих статей (https://vmblog.ru/razvertyvanie-kontrollera-domena-s-pomoshhyu-install-from-media-ifm/):

На страницах «Paths and Review options» нам ничего не придется настраивать, пропустите их, нажав кнопку «Next». На странице «Prerequisite», если вы видите какую-либо ошибку, проверьте и выполните все указанные требования, затем нажмите кнопку «Install».

Настройка репликации между новым и имеющимся контроллером домена

Мы почти закончили, теперь проверим и запустим репликацию между первичным DC (DC01.vmblog.ru) и новым DC (DC02.vmblog.ru). При копировании информации между этими двумя контроллерами домена данные базы Active Directory будут скопированы из DC01.vmblog.ru в DC02.vmblog.ru. После завершения процесса все данные корневого контроллера домена появятся на новом контроллере домена.

В «Server Manager» выберите вкладку «Tools» затем пункт «Active directory sites and services».

В левой панели разверните вкладку Sites -> Default-First-Site-Name -> Servers. Оба новых DC находятся в одном сайте AD (это подразумевает, что они находятся в одной подсети, либо сетях, соединенных высокоскоростным каналом связи). Затем выберите имя текущего сервера, на котором вы сейчас работаете, затем нажмите «NTDS Settings». В моем случае DC01 является корневым контроллером домена, в данный момент консоль запущена на DC02, который будет дополнительным контроллером домена.

Щелкните правой кнопкой мыши по элементу с именем «automatically generated». Нажмите «Replicate now». Появится предупреждение о запуске репликации между корневым контроллером домена и новым контроллером домена.

Сделайте то же самое для DC01. Разверните вкладку DC01 и нажмите «NTDS Settings». Щелкните правой кнопкой мыши на «automatically generated», затем нажмите «Replicate now». Оба сервера реплицируются друг с другом, и все содержимое DC01 будет скопировано в DC02.

Итак, мы закончили! Вы успешно добавили новый DC и принудительно запустили репликацию между двумя контроллерами домена.

Контроллер домена — Domain controller

На Серверы Microsoft , контроллер домена ( DC ) является компьютер — сервер , который отвечает на запросы аутентификации безопасности (вход в систему , проверки прав доступа и т.д.) в пределах домена Windows . Домен является понятие , введенное в Windows NT , посредством которого пользователь может быть предоставлен доступ к ряду ресурсов компьютера с использованием одного имени пользователя и пароля комбинации.

содержание

история

С Windows NT 4 сервера , один контроллер домена на домен был настроен в качестве основного контроллера домена (PDC); все остальные контроллеры домена были резервные контроллеры домена (BDC).

Читать еще:  Что такое контроллер домена

Из-за критического характера ОМР, передовая практика диктуется, что PDC должен быть посвящен исключительно к услугам домена, а не используется для файлов, печати или служб приложений, которые могут замедлить или врезаться в систему. Некоторые сетевые администраторы приняли дополнительный шаг, имеющий специальную BDC онлайн с явной целью, чтобы быть доступны для продвижения, если PDC не удалось.

BDC может аутентифицировать пользователей в домене, но все обновления домена (новые пользователи, измененные пароли, членство в группах и т.д.) могут быть сделаны только через PDC, который затем распространять эти изменения на все резервные контроллеры домена в домене. Если PDC был недоступен (или не может связаться с пользователем с просьбой об изменении), обновление потерпит неудачу. Если PDC был постоянно недоступен (например, если машина не удалась), существующий BDC может быть повышен, чтобы быть PDC.

Windows 2000 и более поздние версии введены Active Directory ( «AD»), которая в значительной степени устранена концепции PDC и BDC в пользу мульти-мастер репликации . Тем не менее, есть еще несколько ролей , которые только один контроллер домена может выполнять, называется Гибкая одиночная мастер операция ролей. Некоторые из этих ролей должны быть заполнены одним DC для каждого домена, в то время как другие требуют только одного DC за AD леса . Если сервер выполняет одну из этих ролей теряются, домен все еще может функционировать, и если сервер не будет доступен снова, администратор может назначить альтернативный DC , чтобы взять на себя роль в процессе , известном как «заедание» роль.

Первичный контроллер домена

В Windows NT 4, один постоянный ток служит в качестве основного контроллера домена (PDC). Другие, если они существуют, как правило, резервный контроллер домена (BDC). PDC, как правило, обозначают как «первый». «Диспетчер пользователей для доменов» это утилита для сохранения информации пользователей / групп. Он использует базу данных безопасности домена на первичном контроллере. PDC имеет мастер копию базы данных учетных записей, которые он может получать доступ и изменять. Компьютеры BDC есть копия этой базы данных, но эти копии только для чтения. PDC будет реплицировать свою базу данных учетных записей на серверах BDC на регулярной основе. В BDCs существует для того, чтобы обеспечить резервное копирование на PDC, а также может быть использован для аутентификации пользователей входа в сеть. Если PDC должен потерпеть неудачу, один из резервных контроллеров домена может быть повышен занять свое место. PDC, как правило, будет первым контроллером домена, который был создан, если он не был заменен рекламируемый НМТ.

эмуляция PDC (контроллер домена Primary)

В современных версиях Windows, домены были дополнены использованием Active Directory услуг. В доменах Active Directory, концепция первичных и вторичных отношений контроллера домена больше не применяется. PDC эмуляторы держат счета базы данных и средства администрирования. В результате, большая нагрузка может замедлить работу системы. Служба DNS может быть установлена на вторичном эмуляторе машины , чтобы уменьшить нагрузку на эмулятор PDC. Те же правила применяются; только один PDC , может существовать на домене, но несколько серверов репликации все еще может быть использован.

  • В PDC мастер — эмулятора действует вместо PDC , если есть Windows NT 4.0 Контроллеры домена (BDC) , остающиеся в пределах области, действуя в качестве источника для их репликации.
  • Мастер PDC эмулятор получает льготную репликацию изменений паролей в домене. Как изменения пароля потребуется время для репликации на всех контроллерах домена в домене Active Directory, то PDC мастер Эмулятор получает уведомление об изменениях пароля немедленно, и если попытка входа терпит неудачу на другой контроллер домена, что контроллер домена пересылает запрос на вход к PDC мастер-эмулятор, прежде чем отвергнуть его.
  • Главный эмулятор PDC также служит в качестве машины , к которой все контроллеры домена в домене будет синхронизировать свои часы. Это, в свою очередь, должно быть выполнено с возможностью синхронизации с внешним NTP источника времени.

самба

PDC добросовестно воссоздан на Samba эмуляции Microsoft в SMB системы клиент / сервер. Samba имеет возможность эмулировать домен NT 4.0, а также современный Active Directory Domain Services на Linux машине.

контроллер домена резервного копирования

В Windows NT 4 доменов, контроллер домена резервного копирования (BDC) представляет собой компьютер, который имеет копию базы данных учетных записей. В отличии от базы данных учетных записей на контроллере домена баз данные BDC является только для чтения копии. При внесении изменений в базу данных мастера-счетах на PDC, то PDC раздвигает обновления вплоть до серверов BDC. Эти дополнительные контроллеры домена существуют для обеспечения отказоустойчивости. Если PDC не удается, то он может быть заменен на BDC. При таких обстоятельствах, администратор способствует BDC быть новой PDC. BDCs также может проверять подлинность запросов на вход в систему пользователя и взять часть нагрузки аутентификации от PDC.

Когда Windows 2000 был выпущен, домен NT , как найти в NT 4 и более ранних версиях была заменена Active Directory . В доменах Active Directory работает в основном режиме, концепция PDC и BDC не существует. В этих областях, все контроллеры домена считаются равными. Побочный эффект этого изменения является потерей способности создавать «только для чтения» контроллера домена. Windows Server 2008 повторно эту возможность.

Номенклатура

Windows Server может быть один из трех видов: Active Directory «контроллеры домена» (те, которые обеспечивают идентичность и аутентификацию), Справочник «рядовые сервера» Активные (те, которые предоставляют бесплатные услуги, такие как хранилища файлов и схему) и рабочая группа Windows «автономный серверы». Термин «Directory Server Active» иногда используется Microsoft, как синоним «контроллер домена», но этот термин не рекомендуется.

Ссылка на основную публикацию
Adblock
detector