Активные директории

Степан Ильин aka Step

Хакер, номер #074, стр. 074-018-3

Глобальное администрирование

Самый главный конек AD – это единое администрирование. В Active Directory отсутствует понятие главного и резервного контроллеров доменов. Все контроллеры выполняют одни и те же функции, и все они равны между собой. Администратор может сделать изменения на любом из них, и эти изменения тут же будут отображены на всех остальных. Это называется репликацией доменов.

Вся инфа хранится централизованно, хотя и синхронизируется между разными доменами, и это дает великолепную возможность глобального администрирования. Использование службы Active Directory освобождает администраторов от ручной конфигурации каждой из машин. Если, например, нужно изменить права доступа к какому-то из объектов, то эти изменения можно производить сразу для всей сети.

В средних и корпоративных сетях эта возможность здорово избавляет от головной боли. Особенно если учитывать, что Active Directory имеет целый ряд интуитивно понятных администраторских утилит, в частности, знакомую всем консоль управления. Утилита поддерживает drag’n’drop, поэтому вкупе с объектным подходом AD можно админить сеть одной только мышкой. Я иногда сам удивляюсь, насколько толково специалисты Microsoft подошли к этому вопросу. Реальная ситуация: сижу дома, звонят с работы и требуют срочно приехать, так как в одной из бухгалтерий сломался принтер и нужно перевести всю ее работу на другой сетевой. Зачем ехать? Буквально несколькими кликами мышки я подключил к каталогу бухгалтеров нужный принтер соседнего отдела, и… вуаля! Готово! Необходимые драйверы и ассоциации на компьютерах этого отдела установились автоматически.

Со стороны, конечно, может показаться, что я несколько перехваливаю технологию. И знаешь, возможно, это действительно так. Объясняю почему. На этапе установки Active Directory – это далеко не послушная девушка, выполняющая все прихоти и желания, а капризная девчонка, которая всегда норовит сделать все по-своему. И я не шучу. Прежде чем вся система AD нормально заработала, мне пришлось изрядно попыхтеть и провести не одну ночь на работе. Именно ночь, потому как остановка работы всей локальной сети днем – непозволительная роскошь.

Изящные приемы админов

С точки зрения удобства администрирования, в крупной локалке предпочтительнее создать дерево доменов, в каждом из которых наладить групповую политику с дифференцированными правами доступа. Active Directory такой подход поддерживает на все 100%. Разрешения поступают сверху вниз по дереву, при этом пользователи не только получают возможность читать свои разрешения с контроллера домена, но и при соответствующей привилегии могут сами создавать новых пользователей и назначать им права.