Një kontrollues domeni është një server që ekzekuton sistemin operativ Windows Server me të instaluar Shërbimet e Domainit të Drejtorisë Active. Ky artikull do të shqyrtojë shkurtimisht qëllimin e një kontrolluesi të domenit, funksionet e tij dhe rëndësinë e konfigurimit të duhur.
Qëllimi
Për të mos hyrë në shumë terma teknikë, kontrolluesit e domenit janë serverë që mbështesin funksionimin e Active Directory. Ata ruajnë informacione rreth llogarive të përdoruesve dhe kompjuterëve që janë anëtarë të domenit, skemës dhe kopjen e tyre të shkruajtshme të bazës së të dhënave Active Directory. Për më tepër, kontrollorët e domenit veprojnë si një komponent qendror i sigurisë në një domen. Një organizatë e tillë ju lejon të konfiguroni në mënyrë fleksibël politikat e sigurisë brenda rrjetit të korporatës, si dhe të lejoni, ose anasjelltas, të ndaloni grupe të caktuara përdoruesish që të kenë akses në burime të caktuara.
Funksionet kryesore të një kontrolluesi të domenit:
- Ruajtja e një kopjeje të plotë të informacionit të Active Directory në lidhje me një domen specifik, administrimi dhe kopjimi i këtij informacioni tek kontrollorët e tjerë të përfshirë në këtë domen;
- Replikimi i informacionit të drejtorisë që lidhet me të gjitha objektet në domenin e Active Directory;
- Zgjidhja e konflikteve të riprodhimit kur i njëjti atribut u ndryshua në kontrollues të ndryshëm përpara se të inicializohej replikimi.
Përfitimet e Biznesit
Përparësitë e një sistemi të centralizuar të bazuar në kontrolluesit e domenit:
- Baza e të dhënave e vetme për vërtetim. Kontrolluesi i domenit ruan të gjitha llogaritë në një bazë të dhënash të vetme dhe çdo kompjuter që bashkohet me domenin i qaset kontrolluesit të domenit për t'u kyçur. Ndarja e përdoruesve në grupe të përshtatshme e bën më të lehtë organizimin e aksesit të shpërndarë në dokumente dhe aplikacione. Kështu, kur shfaqet një punonjës i ri, mjafton të krijoni një llogari për të në grupin e duhur dhe punonjësi automatikisht do të ketë akses në të gjitha burimet dhe pajisjet e nevojshme të rrjetit. Kur një punonjës largohet, mjafton të bllokosh llogarinë e tij për të revokuar të gjitha akseset.
- Pika e vetme e menaxhimit të politikave. Kontrolluesi i domenit ju lejon të shpërndani llogaritë e kompjuterit dhe përdoruesve sipas njësive organizative dhe të aplikoni politika të ndryshme grupi për to, duke përcaktuar cilësimet dhe cilësimet e sigurisë për një grup kompjuterësh dhe përdoruesish (për shembull, aksesi në printerët e rrjetit, një grup aplikacionesh të kërkuara, shfletues cilësimet, etj.). Kështu, kur një kompjuter ose përdorues i ri shtohet në domen, ai automatikisht do të marrë të gjitha cilësimet dhe akseset e përcaktuara për një departament të caktuar.
- Siguria. Konfigurimi fleksibël i procedurave të vërtetimit dhe autorizimit, së bashku me menaxhimin e centralizuar, mund të rrisë ndjeshëm sigurinë e infrastrukturës së IT brenda organizatës. Përveç kësaj, kontrolluesi i domenit është i instaluar fizikisht në një vend të veçantë të mbrojtur nga aksesi i jashtëm.
- Integrim i thjeshtuar me shërbime të tjera. Përdorimi i një kontrolluesi domeni si një pikë e vetme vërtetimi i lejon përdoruesit të përdorin të njëjtën llogari kur punojnë me mjete dhe shërbime shtesë (p.sh. shërbimet e postës, programet e zyrës, serverët proxy, lajmëtarët e çastit, etj.).
Vendosja
Një kontrollues domeni i bazuar në Shërbimet e Domainit të Active Directory është një element kyç i infrastrukturës së TI-së që siguron kontrollin e aksesit, si dhe mbrojtjen e të dhënave brenda organizatës. Funksionimi i jo vetëm vetë kontrolluesit të domenit, por edhe Active Directory në tërësi (për shembull, shpërndarja e politikave të sigurisë dhe rregullat e aksesit) varet nga konfigurimi i saktë i kontrolluesit të domenit, i cili nga ana tjetër ndikon në funksionimin e të gjitha shërbimeve të lidhura. dhe shërbimet, dhe gjithashtu përcakton nivelin e sigurisë.
Kjo është arsyeja pse, nëse kompania juaj planifikon të optimizojë procedurat për aksesin në burimet e korporatës, të përmirësojë sigurinë dhe të thjeshtojë detyrat rutinë administrative duke kaluar në menaxhimin e centralizuar, specialistët e IT Svit do të ndihmojnë në zgjidhjen e çështjeve të planifikimit të duhur të strukturës së një rrjeti korporativ të shkallëzuar dhe komponentët e tij, si dhe konfigurimin dhe vendosjen e mëtejshme të kontrolluesit të domenit në këtë rrjet.
Kontrollorët e domenit që ekzekutojnë Windows Server 2003 ruajnë informacionin e direktoriumit dhe menaxhojnë ndërveprimet e domenit të përdoruesit, duke përfshirë proceset e hyrjes së përdoruesit, vërtetimin dhe kërkimet e drejtorive. Kontrolluesit e domenit krijohen duke përdorur magjistarin e instalimit të drejtorisë aktive.
Në Windows NT Server, për besueshmëri, krijohet një kontrollues domeni në lidhje me kontrolluesin kryesor të domenit, kontrolluesin e domenit rezervë. Të gjithë janë të barabartë në Windows 2000 dhe Windows Server 2003.
Windows NT
Në rrjetet Windows NT, një server u përdor si kontrolluesi kryesor i domenit (PDC), dhe të gjithë serverët e tjerë vepruan si kontrollues të domenit rezervë (BDC).
BDC mund të vërtetonte përdoruesit në domen, por të gjitha përditësimet në domen (shtimi i përdoruesve të rinj, ndryshimi i fjalëkalimeve, anëtarësimet në grup, etj.) mund të kryheshin vetëm përmes PDC, i cili më pas u përhap në të gjithë kontrolluesit e domenit rezervë. Me PDC-në e padisponueshme, përditësimet nuk mund të kryheshin. Nëse PDC-ja nuk ishte e disponueshme përgjithmonë, BDC-ja ekzistuese mund të promovohej në rolin e PDC-së.
Windows 2000
Windows 2000 dhe më vonë prezantuan Active Directory (AD), i cili praktikisht eliminoi konceptin e kontrolluesve të domenit primar dhe rezervë në favor të mjeshtrave të shumëfishtë të riprodhimit (modeli i replikimit peer-to-peer). (anglisht)).
Megjithatë, ka disa role që janë instaluar si parazgjedhje në DC-në e parë në rrjet. Ato quhen operacione Flexible single-master (FSMO). Disa nga këto role janë përgjegjëse për domenin, të tjerët për pyllin e domeneve. Nëse një server që kryen një nga këto role nuk është i disponueshëm, domeni vazhdon të funksionojë. Në rast se serveri nuk është i disponueshëm gjatë gjithë kohës, një tjetër DC mund të marrë përsipër rolin e kontrolluesit (një proces i njohur si "role capture").
Windows Server 2008 dhe më vonë mund të përdoret si një kontrollues i domenit vetëm për lexim (RODC). Përditësimi i informacionit mbi to është i mundur përmes përsëritjes nga DC të tjera.
Samba 4.0/4.1
Në sistemet e ngjashme me Unix, Samba 4.x mund të veprojë si një kontrollues domeni, mbështet skemat pyjore të domenit Windows 2003, 2003, R2, 2008, 2008 R2, të cilat nga ana tjetër mund të zgjerohen, mund të përdoren si një RODC.
Instalimi i një kontrolluesi domeni është një pjesë e rëndësishme e një rrjeti kompjuterik, në fakt, kontrolli i funksionimit të tij. Detyra e tij kryesore është të fillojë shërbimin e rëndësishëm Active Directory. Punon me një qendër kryesore të shpërndarjes - Kerberos.
Parashikon gjithashtu punë në sisteme të pajtueshme me Unix. Në to, paketa e softuerit Samba vepron si një kontrollues.
Kontrolluesi i domenit shërben për të krijuar një rrjet lokal në të cilin përdoruesit mund të identifikohen me emrin e tyre dhe me kredencialet e tyre. Ata duhet ta bëjnë këtë në të gjithë kompjuterët. Gjithashtu, instalimi i një kontrolluesi domeni siguron përcaktimin e të drejtave të aksesit në rrjet dhe menaxhimin e sigurisë së tij. Me të, ju mund të menaxhoni në mënyrë qendrore të gjithë rrjetin, gjë që është shumë e rëndësishme.
Kontrollorët e domenit mund të ekzekutojnë gjithashtu Windows Server 2003. Në këtë mënyrë, ata ruajnë të gjitha të dhënat e drejtorisë, menaxhojnë operacionet e përdoruesit dhe domenit, kontrollojnë hyrjen e përdoruesit, vërtetojnë direktorinë etj. Të gjitha ato mund të krijohen duke përdorur Instaluesin Active Directory. Mund të funksionojë gjithashtu në Windows NT. Këtu, në mënyrë që ai të funksionojë më me besueshmëri, krijohet një kontrollues shtesë. Do të lidhet me kontrolluesin kryesor.
Kishte një server në rrjetin Windows NT. Mund të përdoret për të operuar kontrolluesin kryesor të domenit, ose PDC. Të gjithë serverët e tjerë funksionuan si ndihmës. Për shembull, ata mund të kontrollojnë të gjithë përdoruesit, të ruajnë dhe verifikojnë fjalëkalimet dhe operacione të tjera të rëndësishme. Por në të njëjtën kohë, ata nuk mund të shtonin përdorues të rinj në server, ata gjithashtu nuk mund të ndryshonin fjalëkalimet dhe të ngjashme, domethënë, konfigurimi i kontrolluesit të domenit ishte më pak i larmishëm. Këto operacione mund të kryheshin vetëm duke përdorur PDC. Ndryshimet e bëra në to më pas mund të përhapen në të gjitha domenet e gatishmërisë. Nëse serveri kryesor nuk ishte i disponueshëm, atëherë domeni rezervë nuk mund të promovohej në nivelin primar.
Sidoqoftë, mund të konfiguroni një kontrollues domeni, rrjet dhe të ngrini nivelin e domenit në çdo kompjuter dhe në shtëpi. Kjo mençuri është e lehtë për t'u mësuar vetë. Të gjitha mjetet e nevojshme për këtë ndodhen në Panelin e Kontrollit - Shto ose Hiq Programet - Instalo Komponentët e Sistemit. Vërtetë, do të duhet të punoni me ta duke instaluar fillimisht një disk OS në kompjuterin tuaj. Ju mund të rrisni rolin e një kompjuteri duke përdorur vijën e komandës duke futur komandën dcpromo në të.
Për më tepër, një kontrollues domeni mund të kontrollohet me ndihmën e shërbimeve të specializuara që në të vërtetë funksionojnë në një mënyrë të automatizuar, domethënë, ato ju lejojnë të merrni informacionin e nevojshëm pas fillimit të programit dhe të rregulloni funksionimin e kontrollorëve pas kryerjes së diagnostikimit. Për shembull, mund të përdorni mjetin Ntdsutil.exe, i cili ofron mundësinë për t'u lidhur me një kontrollues domeni të sapo instaluar për të testuar aftësinë për t'iu përgjigjur një pyetjeje nga LDAP. Po kështu, me ndihmën e këtij softueri, është e mundur të përcaktohet nëse kontrolluesi ka informacion në lidhje me vendndodhjen e roleve FSMO në domenin e tij.
Ka disa mënyra më të thjeshta që do t'ju lejojnë të diagnostikoni funksionimin përkatës të kontrollorëve. Në veçanti, mund të shkoni te HKEY _LOCAL _MACHINE \SYSTEM \ CurrentControlSet \Services (çelësi i regjistrit) dhe të kërkoni atje nënçelsin NTDS, prania e të cilit tregon performancën normale të funksioneve të kontrolluesit të domenit. Ekziston një metodë për futjen e llogarive neto në vijën e komandës, dhe atje, nëse kompjuteri është një kontrollues domeni, do të shihni BACKUP ose PRIMARY në linjën e roleve të kompjuterit, vlera të tjera janë të disponueshme në kompjuterë të thjeshtë.
Familjet Windows
Kur organizoni rrjete në OS të familjes Windows, koncepti i një kontrolluesi të domenit përfshin të ashtuquajturin server, domethënë kompjuterin kryesor ose qendror në rrjet, nga i cili kontrollohet funksionimi i shërbimeve të ndryshme të drejtorive, dhe bazën e të dhënave. të të njëjtave drejtori është gjithashtu i vendosur. Ndër të tjera, serveri (kontrolluesi i domenit) ruan cilësimet që lidhen me llogaritë e të gjithë përdoruesve, si dhe cilësimet e sigurisë. Në rastin e fundit, ne po flasim ekskluzivisht për Natyrisht, kompjuteri pritës ruan informacionin e nevojshëm në lidhje me politikat, grupore dhe lokale.
Nëse serveri i parë është i instaluar në ndonjë organizatë, atëherë, natyrisht, si faqja ashtu edhe pylli i parë krijohen menjëherë, dhe Active Directory instalohet pa dështuar. Kontrolluesi i domenit, i cili është konfiguruar të funksionojë nën sistemin operativ, ruan të dhënat dhe rregullon ndërveprimin midis domenit dhe përdoruesit. Në këtë rast, vendosja e një domeni në rrjetin lokal kryhet me përdorimin e drejtpërdrejtë të Active Directory si magjistar instalimi.
Kontrolluesi i domenit për Unix OS
Në këtë rast, organizimi i serverit për Linux/Unix OS është plotësisht i pajtueshëm me standardet e kërkuara.Të gjitha funksionalitetet e nevojshme dhe të lidhura sigurohen nga paketa softuerike Samba (mund të gjendet edhe në faqen e internetit www.samba.org, si dhe si OpenLDAP (përkatësisht www.openldap.org) Siç e dinë të gjithë, avantazhi themelor ndaj Windows-it të famshëm është se ai shpërndahet pa pagesë dhe, në përputhje me rrethanat, organizata nuk ka nevojë të shpenzojë fonde të mjaftueshme për të instaluar një kontrolluesi i domenit, le të themi, nën Windows Server 2003. Licenca për këtë produkti softuer kërkohet ligjërisht për t'u blerë dhe vendosja e një domeni në një rrjet lokal nuk është problem.
Ndryshoni domenin për faqen e një organizate
Përveç faktit që shumica dërrmuese e organizatave kanë një rrjet lokal, por një aspekt tjetër domethënës i zgjidhjes është aftësia për të hyrë në internet nga çdo kompjuter, duke përfshirë vizitën në faqen e internetit të kompanisë, e cila në një farë mënyre është fytyra e organizatës. . Por ndonjëherë mund të ketë nevojë për të kryer një detyrë të tillë si transferimi i një siti në një domen tjetër. Siç tregon praktika, dy arsye kryesore mund të kontribuojnë në marrjen e një vendimi të tillë: e para është blerja e një emri domaini më tërheqës për klientët dhe vizitorët; e dyta është futja e të vjetrës në listat e zeza të motorëve të ndryshëm të kërkimit.
Për të zgjidhur detyrën me humbje minimale, kryesisht tek vizitorët, rekomandohet përdorimi i një operacioni të tillë si ngjitja e një domeni. Vlen të përmendet se ngjitja duhet të përdoret vetëm në raste të jashtëzakonshme, pasi ky operacion është mjaft i gjatë dhe, më e rëndësishmja, mjaft nervoz, megjithëse, duhet theksuar, nuk është i vështirë nga pikëpamja teknike.
Sipas shumicës dërrmuese të ekspertëve, mënyra më efektive për të kryer një operacion të tillë si transferimi i një siti në një domen tjetër është i ashtuquajturi parkim i domenit në formën e një pasqyre. Aspekti kryesor pozitiv në këtë situatë mund të konsiderohet se përdoruesit praktikisht nuk e vërejnë ngjitjen. E vetmja gjë që mund t'ju duhet të lini lajmet për ndryshimin e adresës për klientët e rregullt, në mënyrë që ata të mund të bëjnë ndryshime në faqeshënuesit e shfletuesit të tyre. E vetmja gjë që duhet mbajtur parasysh në këtë situatë është nevoja për të përdorur lidhje relative për të mos lëvizur nga domeni në domen.
Për të mos hyrë në shumë terma teknikë, kontrolluesit e domenit janë serverë që mbështesin funksionimin e Active Directory. Ata ruajnë informacione rreth llogarive të përdoruesve dhe kompjuterëve që janë anëtarë të domenit, skemës dhe kopjen e tyre të shkruajtshme të bazës së të dhënave Active Directory. Për më tepër, kontrollorët e domenit veprojnë si një komponent qendror i sigurisë në një domen. Një organizatë e tillë ju lejon të konfiguroni në mënyrë fleksibël politikat e sigurisë brenda rrjetit të korporatës, si dhe të lejoni, ose anasjelltas, të ndaloni grupe të caktuara përdoruesish që të kenë akses në burime të caktuara.
Funksionet kryesore të një kontrolluesi të domenit:
- Ruajtja e një kopjeje të plotë të informacionit të Active Directory në lidhje me një domen specifik, administrimi dhe kopjimi i këtij informacioni tek kontrollorët e tjerë të përfshirë në këtë domen;
- Replikimi i informacionit të drejtorisë që lidhet me të gjitha objektet në domenin e Active Directory;
- Zgjidhja e konflikteve të riprodhimit kur i njëjti atribut u ndryshua në kontrollues të ndryshëm përpara se të inicializohej replikimi.
Përfitimet e Biznesit
Përparësitë e një sistemi të centralizuar të bazuar në kontrolluesit e domenit:
- Baza e të dhënave e vetme për vërtetim. Kontrolluesi i domenit ruan të gjitha llogaritë në një bazë të dhënash të vetme dhe çdo kompjuter që bashkohet me domenin i qaset kontrolluesit të domenit për t'u kyçur. Ndarja e përdoruesve në grupe të përshtatshme e bën më të lehtë organizimin e aksesit të shpërndarë në dokumente dhe aplikacione. Kështu, kur shfaqet një punonjës i ri, mjafton të krijoni një llogari për të në grupin e duhur dhe punonjësi automatikisht do të ketë akses në të gjitha burimet dhe pajisjet e nevojshme të rrjetit. Kur një punonjës largohet, mjafton të bllokosh llogarinë e tij për të revokuar të gjitha akseset.
- Pika e vetme e menaxhimit të politikave. Kontrolluesi i domenit ju lejon të shpërndani llogaritë e kompjuterit dhe përdoruesve sipas njësive organizative dhe të aplikoni politika të ndryshme grupi për to, duke përcaktuar cilësimet dhe cilësimet e sigurisë për një grup kompjuterësh dhe përdoruesish (për shembull, aksesi në printerët e rrjetit, një grup aplikacionesh të kërkuara, shfletues cilësimet, etj.). Kështu, kur një kompjuter ose përdorues i ri shtohet në domen, ai automatikisht do të marrë të gjitha cilësimet dhe akseset e përcaktuara për një departament të caktuar.
- Siguria. Konfigurimi fleksibël i procedurave të vërtetimit dhe autorizimit, së bashku me menaxhimin e centralizuar, mund të rrisë ndjeshëm sigurinë e infrastrukturës së IT brenda organizatës. Përveç kësaj, kontrolluesi i domenit është i instaluar fizikisht në një vend të veçantë të mbrojtur nga aksesi i jashtëm.
- Integrim i thjeshtuar me shërbime të tjera. Përdorimi i një kontrolluesi domeni si një pikë e vetme vërtetimi i lejon përdoruesit të përdorin të njëjtën llogari kur punojnë me mjete dhe shërbime shtesë (p.sh. shërbimet e postës, programet e zyrës, serverët proxy, lajmëtarët e çastit, etj.).
Vendosja
Një kontrollues domeni i bazuar në Shërbimet e Domainit të Active Directory është një element kyç i infrastrukturës së TI-së që siguron kontrollin e aksesit, si dhe mbrojtjen e të dhënave brenda organizatës. Funksionimi i jo vetëm vetë kontrolluesit të domenit, por edhe Active Directory në tërësi (për shembull, shpërndarja e politikave të sigurisë dhe rregullat e aksesit) varet nga konfigurimi i saktë i kontrolluesit të domenit, i cili nga ana tjetër ndikon në funksionimin e të gjitha shërbimeve të lidhura. dhe shërbimet, dhe gjithashtu përcakton nivelin e sigurisë. Zgjidhni zhvilluesit më të mirë në seksion.
