Довірчі домени мережі Windows NT, Детальна інформація

Перш ніж розповідати про довірчі домени ОС Windows NT, необхідно ознайомитись з моделями побудови мереж на базі цієї ОС, оскільки поняття “довірчі домени" не можливо розуміти без хоча б уяви про моделі побудови мереж.

Мережеві моделі:

Робочі групи і домени

У мережах NT основі Windows NT використовуються дві моделі побудови мереж: модель робочих груп (workgroup model) і доменна модель(domain model). Ми розглянемо їх відмінності і поговоримо про довірчі відносини (trust relationships) між доменами, що дозволяють спростити управління великою мережею з безліччю доменів.

Модель робочих груп

Робоча група (workgroup) це організаційна одиниця, що являє собою набір згрупованих разом комп'ютерів. Робочі групи дозволяють об'єднувати робочі станції, що не входять в домен (domain). У кожного комп'ютера з Windows NT є своя база облікових записів і своя політика захисту.

Адміністрування робочої групи аналогічно адмініструванню одного комп'ютера. Всі адміністративні дії, що виконуються застосовуються тільки до однієї робочої станції.

Навіщо ж така організація потрібна, що вона дає? Відповідь проста. З позиції користувача, це простий спосіб візуального групування комп'ютерів при перегляді доступних мережевих ресурсів. Користувачеві легше здійснювати доступ до комп'ютерів в своїй групі на екрані вони зібрані в одному місці. При цьому незалежно від того, скільки реально комп'ютерів у відділі або підрозділі, користувач має справу тільки з цією групою і не тратить час на пошуки потрібного.

Окрема робоча станція на основі Windows NT окремий випадок робочої групи, що складається з одного комп'ютера. При цьому може навіть не бути постійних зв'язків даної робочої станції з іншими комп'ютерами. Це не самий популярний спосіб роботи в Windows NT, але іноді виникає необхідність в індивідуальному захисті кожної робочої станції. На відміну від інших операційних систем (на зразок MS-DOS або OS/2) окремий комп'ютер Windows NT володіє вбудованою процедурою реєстрації і контролю доступу.

Доменна модель

По мірі зростання управління робочою групою ускладнюється внаслідок повної децентралізації баз облікових записів і засобів захисту. Для забезпечення надійного захисту і спрощення управління мережею Windows NT Server пропонує доменну модель захисту.

Доменом називається сукупність комп'ютерів, що характеризується наявністю загальної бази облікових записів користувачів і єдиної політики захисту. Централізовані засоби управління обліковими записами користувачів політикою захисту дозволяють адміністратору ефективно підтримувати захист системи в рамках відділу, підрозділу і всього підприємства.

У кожного домена є своє унікальне ім'я, яке відображає або його функціональне призначення (скажемо. DEVELOPERS_DOM), або місцезнаходження (MOSCOW_EAST), або щось, зрозуміле користувачу (на зразок MASTER_DOM1). Російські(українські) символи в імені домена використати не можна, оскільки це може викликати проблеми сумісності.

Довірчі відносини

У доменній моделі захист реалізовується з допомогою Windows NT Server встановленням довірчих відносин. Так називається зв'язок між доменами, що дозволяє користувачам одного домена дізнатися про користувачів і ресурси іншого. У довірчих відносинах беруть участь довіряючий домен (trusting domain) і доверюваний домен (trusted domain). Довіряючий домен розпізнає облікові записи всіх користувачів і груп користувачів довірюваного домена. Ці облікові записи можна вмістити в локальні групи довіряючого домена для призначення ним прав і привілеїв.

Довірчі відносини дозволяють користувачеві, що має обліковий запис в одному домені, здійснювати доступ до ресурсів всієї мережі.

Довірчі відносини - це, по суті, адміністративні і комунікаційні зв'язки. Коли вони встановлені, користувачі одного домена мoжуть звертатися до ресурсів іншого. І все ж в більшій мірі такі відносини засіб адміністрування, а не параметр, що привласнюється системою користувачеві і їх треба розглядати з точки зору адміністрування облікових записів, але не як можливість використання ресурсів.

Довірчі відносини спрощують адміністрування мережі шляхом об'єднання двох і більше доменів в один адміністративний вузол. Допустимо, при наявності чотирьох доменов стандартна схема передбачає чотири різні бази SAM з роздільним адмініструванням. Встановивши ж між доменами довір'я, ви обійдетеся однією базою і невеликою кількістю груп.

4

H

a

o

\необхідно, щоб до складу мережі входив Windows NT Server.

Типи довірчих відносин

Існує два типи довірчих відносин між доменами: односторонні (one-way trust) і двосторонні (two-way trust):

При односторонніх користувачі тільки одного домена (довірюваного) мають доступ до ресурсів іншого (що довіряє).

При двосторонніх обидва домена є і довіряючими, і довірюваними. У користувачів будь-якого з доменів є доступ до ресурсів іншого домена.

Між декількома доменами можуть встановлюватися множинні довірчі відносини. Наприклад, декілька доменов можуть довіряти одному (в якому зберігаються облікові записи всіх користувачів), або один домен може довіряти відразу декільком доменам, при цьому будь-які відносини довір'я можуть бути як двосторонніми, так і односторонніми.

Надалі на малюнках довірчі відносини означаються стрілками. Домени, на які вони вказують, довірювані (в них зберігаються облікові записи). А виходити стрілки будуть від довіряючих доменов (в них знаходяться ресурси). Образно кажучи, стрілки вказують на "людей", яким можна довіряти.

Довірчі відносини можна представити так. Допустимо, ви зібралися у відрядження, а вдома у вас квіти, які треба поливати. Ви даєте сусіду ключі від квартири. У Вашу відсутність він безперешкодно входить до Вас в будинок. поливає квіти, дивиться телевізор і т.п. Ви ж позбавлені можливості без його дозволу попасти в його квартиру свого-то ключа він вам не давав!