SlideShare a Scribd company logo

Projektowanie struktur Active Directory

•
•
Wydawnictwo Helion
Wydawnictwo Helion

Active Directory jest złożoną bazą danych i nieodłącznym elementem architektury sieciowej Windows 2000. Pozwala organizacjom skutecznie udostępniać i zarządzać informacjami dotyczącymi zasobów sieciowych i użytkowników. Active Directory gra rolę węzła integrującego ze sobą systemy i pozwalającego na konsolidację zarządzania nimi. W niniejszej książce zawarliśmy doświadczenia nabyte przy implementacji AD: * Planowanie instalacji AD w terminie i w ramach zaplanowanego budżetu. * Interakcja AD z innymi usługami sieciowymi: DNS, DHCP, RIS, RRAS i WINS. * Korzystanie z obiektów zasad grup, praw użytkownika, FSMO i mechanizmów delegowania kontroli. * Unikanie pułapek w strategiach migracji korzystających z narzędzi migracji Active Directory. * Administracyjne i polityczne aspekty migracji do AD W książce Projektowanie struktur Active Directory ponadto znajdziemy: * Przejrzysty opis AD. * Wyjaśnienie, dlaczego udane wdrożenie Active Directory wymaga starannego zaplanowania. * Kilka przykladów pomyślnych implementacji AD. * Sposoby tworzenia solidnych podstaw dla planowania i implementacji Active Directory.

TechnologyBusiness
1 of 39
Download to read offline
IDZ DO PRZYK£ADOWY ROZDZIA£ SPIS TRE CI Projektowanie struktur Active Directory KATALOG KSI¥¯EK Autor: Neall Allcot T³umaczenie: Adam Jarczyk KATALOG ONLINE ISBN: 83-7197-794-8 Tytu³ orygina³u: Understanding & Designing ZAMÓW DRUKOWANY KATALOG Your Active Directory Infrastructure Format: B5, stron: 294 TWÓJ KOSZYK DODAJ DO KOSZYKA Active Directory jest z³o¿on¹ baz¹ danych i nieod³¹cznym elementem architektury sieciowej Windows 2000. Pozwala organizacjom skutecznie udostêpniaæ i zarz¹dzaæ informacjami dotycz¹cymi zasobów sieciowych i u¿ytkowników. Active Directory gra CENNIK I INFORMACJE rolê wêz³a integruj¹cego ze sob¹ systemy i pozwalaj¹cego na konsolidacjê zarz¹dzania nimi. W niniejszej ksi¹¿ce zawarli my do wiadczenia nabyte przy implementacji AD: ZAMÓW INFORMACJE • Planowanie instalacji AD w terminie i w ramach zaplanowanego bud¿etu. O NOWO CIACH • Interakcja AD z innymi us³ugami sieciowymi: DNS, DHCP, RIS, RRAS i WINS. • Korzystanie z obiektów zasad grup, praw u¿ytkownika, FSMO i mechanizmów ZAMÓW CENNIK delegowania kontroli. • Unikanie pu³apek w strategiach migracji korzystaj¹cych z narzêdzi migracji Active Directory. CZYTELNIA • Administracyjne i polityczne aspekty migracji do AD W ksi¹¿ce Projektowanie struktur Active Directory ponadto znajdziemy: FRAGMENTY KSI¥¯EK ONLINE • Przejrzysty opis AD. • Wyja nienie, dlaczego udane wdro¿enie Active Directory wymaga starannego zaplanowania. • Kilka przykladów pomy lnych implementacji AD. • Sposoby tworzenia solidnych podstaw dla planowania i implementacji Active Directory. Wydawnictwo Helion ul. Chopina 6 44-100 Gliwice tel. (32)230-98-63 e-mail: helion@helion.pl
Spis treści O Autorach ...................................................................................... 11 Wprowadzenie ................................................................................. 13 Do kogo skierowana jest ta ksią ka?.................................................................................13 Konwencje stosowane w tej ksią ce .................................................................................14 Rozdział 1. Wprowadzenie do Windows 2000 i Active Directory .......................... 15 Przegląd wersji Windows 2000.........................................................................................15 Windows 2000 Professional .......................................................................................16 Windows 2000 Server.................................................................................................16 Windows 2000 Advanced Server................................................................................16 Windows 2000 Datacenter Server ..............................................................................17 Czym jest Active Directory w Windows 2000?................................................................17 Definicja Active Directory..........................................................................................18 Komplementarne składniki Active Directory .............................................................20 Korzyści płynące z u ywania Active Directory..........................................................24 Podsumowanie ..................................................................................................................25 W praktyce ........................................................................................................................26 Rozdział 2. Novell NDS i Windows NT 4.0 Directory Services ................................. 29 Novell NetWare i NDS .....................................................................................................29 Historia NetWare...............................................................................................................30 NetWare 3.x ................................................................................................................30 NetWare 4.x ................................................................................................................31 NetWare 5.x ................................................................................................................31 Wprowadzenie do NDS.....................................................................................................31 Struktura NDS i topologia replikacji ..........................................................................32 Obiekty NDS: [Root] ..................................................................................................32 Topologia replikacji usługi NDS ................................................................................38 NDS kontra Active Directory............................................................................................40 Wystawcy zabezpieczeń .............................................................................................40 Partycjonowanie replikacji..........................................................................................40 Windows NT 4.0 Directory Services ................................................................................41 Domeny.......................................................................................................................41 Role serwerów w Windows NT..................................................................................41 Relacje zaufania ..........................................................................................................43 Rozmiary bazy danych katalogu .......................................................................................44 Modele domen...................................................................................................................45 Pojedyncza domena ....................................................................................................45 Model z pojedynczą domeną główną..........................................................................45
6 Projektowanie struktur Active Directory Model wielu domen głównych....................................................................................46 Model pełnego zaufania..............................................................................................46 Podsumowanie ..................................................................................................................47 W praktyce ........................................................................................................................47 Rozdział 3. Składniki Active Directory ................................................................ 49 Przestrzeń nazw domen.....................................................................................................49 Dopuszczalne nazwy DNS..........................................................................................51 Przestrzenie nazw: wewnętrzna i zewnętrzna.............................................................51 Domeny .............................................................................................................................53 Obszary administracyjne.............................................................................................54 Zasady zabezpieczeń domeny.....................................................................................54 Tworzenie domen........................................................................................................54 Tworzenie większej liczby domen..............................................................................55 Drzewa ..............................................................................................................................56 Tworzenie drzew.........................................................................................................57 Lasy ...................................................................................................................................57 Tworzenie lasów .........................................................................................................58 Lokacje Active Directory ..................................................................................................59 Tworzenie lokacji........................................................................................................60 Podsumowanie ..................................................................................................................62 W praktyce ........................................................................................................................62 Rozdział 4. Planowanie Active Directory............................................................. 65 Zagadnienia migracji.........................................................................................................66 Modernizacja domeny do Windows 2000 ..................................................................66 Migracja równoległa ...................................................................................................70 Domeny w trybie mieszanym i macierzystym............................................................72 Migracja serwerów......................................................................................................73 Migracja klientów .......................................................................................................75 Migracja u ytkowników i grup...................................................................................76 Zagadnienia administracyjne.............................................................................................77 Ró nice administracyjne pomiędzy Windows NT i 2000 ..........................................77 Jaką rolę grają OU?.....................................................................................................79 Delegowanie kontroli..................................................................................................81 Bezpieczeństwo...........................................................................................................83 Zasady grup.................................................................................................................85 Zagadnienia bezpieczeństwa .............................................................................................87 Dostęp do Active Directory ........................................................................................87 Zarządzanie AD ..........................................................................................................89 Udziały i drukarki w AD.............................................................................................89 Przeszukiwanie AD.....................................................................................................90 Zagadnienia instalacji........................................................................................................90 Wykorzystanie usługi instalacji zdalnej......................................................................90 Instalowanie oprogramowania poprzez GPO .............................................................91 Zagadnienia polityczne .....................................................................................................91 Zagadnienia administracyjne ......................................................................................92 Zagadnienia przestrzeni nazw domen.........................................................................92 Dostęp do zawartości katalogu ...................................................................................93 Problemy ze schematem .............................................................................................94 Zagadnienia handlu i dostępu na skalę światową .......................................................94 Podsumowanie ..................................................................................................................95 W praktyce ........................................................................................................................95
Spis treści 7 Rozdział 5. Współpraca z innymi usługami sieciowymi ........................................ 97 System nazw domen (DNS) ..............................................................................................97 Strefy DNS..................................................................................................................99 Stosowanie serwerów DNS spoza Windows 2000 ...................................................101 Instalowanie serwera DNS........................................................................................101 Protokół dynamicznej konfiguracji hosta (DHCP) .........................................................106 Wymiana wiadomości w DHCP ...............................................................................107 Zakresy DHCP ..........................................................................................................108 Opcje DHCP .............................................................................................................108 Instalowanie serwera DHCP .....................................................................................108 Autoryzacja serwera DHCP w Active Directory ......................................................109 Tworzenie zakresów .................................................................................................110 Dynamiczny DNS: współdziałanie usług DNS i DHCP.................................................111 Usługi instalacji zdalnej (RIS) ........................................................................................113 Wymogi RIS .............................................................................................................114 Instalacja i konfiguracja RIS.....................................................................................114 Autoryzacja serwera RIS w Active Directory ..........................................................115 Wstępne przygotowanie komputerów.......................................................................115 Podsumowanie ................................................................................................................116 W praktyce ......................................................................................................................116 Rozdział 6. Tworzenie składników w Active Directory ....................................... 119 Zarządzanie u ytkownikami i komputerami w Active Directory ...................................119 Domyślna konfiguracja Active Directory...........................................................................120 Obiekty Active Directory ................................................................................................120 Czym są jednostki organizacyjne? ..................................................................................121 Tworzenie jednostek organizacyjnych......................................................................122 Rozmieszczanie OU w Active Directory..................................................................125 Planowanie jednostek organizacyjnych ....................................................................126 Zarządzanie kontami u ytkowników ..............................................................................126 Typy nazw logowania ...............................................................................................127 Modyfikacje kont u ytkowników .............................................................................128 Tworzenie szablonów u ytkowników.......................................................................130 Podstawowe właściwości kont u ytkowników.........................................................130 Szczegóły profilu ......................................................................................................133 Szczegóły dotyczące katalogu macierzystego ..........................................................133 Szczegóły dotyczące dostępu zdalnego ....................................................................134 Szczegóły dotyczące serwera terminali ....................................................................135 Lokalizacja u ytkowników w Active Directory .......................................................138 Wprowadzenie do grup ...................................................................................................139 Typy grup..................................................................................................................139 Zasięg grup................................................................................................................140 Tworzenie grup .........................................................................................................140 Podstawowe właściwości grup .................................................................................141 Mo liwości zagnie d ania grup................................................................................143 Lokalizacja grup w Active Directory........................................................................143 Planowanie grup........................................................................................................143 Komputery w Active Directory.......................................................................................144 Tworzenie obiektów komputerów ............................................................................144 Podstawowe właściwości obiektu komputera...........................................................145 Lokalizacja w Active Directory ................................................................................147 Komputery zarządzane..............................................................................................147
8 Projektowanie struktur Active Directory Korzystanie z drukarek w Active Directory....................................................................148 Publikowanie drukarki ..............................................................................................148 Bezpieczeństwo drukarek w Active Directory .........................................................150 Planowanie rozmieszczenia drukarek .......................................................................150 Korzystanie z udostępnionych folderów .........................................................................151 Tworzenie udziału.....................................................................................................151 Bezpieczeństwo udziałów w Active Directory .........................................................151 Planowanie udziałów ................................................................................................152 Zastosowanie kontaktów w Active Directory .................................................................152 Tworzenie kontaktu ..................................................................................................152 Podstawowe właściwości kontaktów........................................................................153 Planowanie kontaktów ..............................................................................................155 Podsumowanie ................................................................................................................156 W praktyce ......................................................................................................................156 Rozdział 7. Obsługa środowiska Active Directory.............................................. 159 Elastyczne pojedyncze wzorce operacji (FSMO) ...........................................................159 Czym są FSMO? .......................................................................................................160 Gdzie powinniśmy rozmieścić FSMO? ....................................................................161 Planowanie FSMO ....................................................................................................161 Delegowanie kontroli ......................................................................................................162 Korzystanie z kreatora ..............................................................................................162 Przeglądanie wyników delegowania.........................................................................165 Usuwanie oddelegowanych uprawnień.....................................................................166 Obiekty zasad grup (GPO) ..............................................................................................167 Czym są GPO?..........................................................................................................168 Tworzenie zasad grup ...............................................................................................168 Stosowanie GPO do u ytkowników i komputerów ..................................................169 Składniki zasad grup .................................................................................................169 Edycja zasad grup .....................................................................................................172 Bezpieczeństwo zasad grup ......................................................................................172 Stosowanie zasad grup w Active Directory ..............................................................173 Własne zasady grup ..................................................................................................175 Ustawianie praw u ytkowników .....................................................................................176 Skrypty ............................................................................................................................177 Host skryptów systemu Windows.............................................................................177 ADSI .........................................................................................................................178 Współpraca z innymi systemami.....................................................................................179 Klienty starszego typu (Windows 9x i Windows NT Workstation) .........................179 Serwery i domeny Windows NT 4............................................................................180 NetWare i NDS .........................................................................................................181 Services for Unix ......................................................................................................183 Podsumowanie ................................................................................................................184 W praktyce ......................................................................................................................184 Rozdział 8. Planowanie migracji i dostępne narzędzia ....................................... 187 Przygotowanie do migracji..............................................................................................187 Serwery: modernizacja i zastępowanie sprzętu ........................................................188 Analiza projektu Active Directory............................................................................188 Modernizacja bezpośrednia czy restrukturyzacja domeny? .....................................189 Tryb mieszany czy macierzysty? ..............................................................................189 Porządki po migracji .................................................................................................192 Modernizacja bezpośrednia.............................................................................................193
Spis treści 9 Restrukturyzacja domeny................................................................................................194 Modernizacja i restrukturyzacja................................................................................194 Restrukturyzacja równoległa ....................................................................................195 Narzędzie migracji usługi Active Directory....................................................................197 Kreator raportów.......................................................................................................198 Kreator migracji u ytkowników ...............................................................................201 Kreator migracji kont grup........................................................................................204 Narzędzie migracji usługi Active Directory wersja 2...............................................209 ClonePrincipal.................................................................................................................210 Zalety ClonePrincipal ...............................................................................................210 Wady ClonePrincipal ................................................................................................212 MoveTree ........................................................................................................................213 Zalety MoveTree.......................................................................................................213 Wymogi wstępne MoveTree.....................................................................................214 Netdom ............................................................................................................................215 Zarządzanie kontami komputerów............................................................................215 Zarządzanie relacjami zaufania.................................................................................215 Przystawka MMC ADSI Edit..........................................................................................216 Pakiet narzędzi NetIQ Migration Suite ...........................................................................216 NetIQ NetWare Migrator..........................................................................................217 Server Consolidator ..................................................................................................217 Migration Assessor ...................................................................................................217 Exchange Migrator....................................................................................................217 Dodatkowe narzędzia ......................................................................................................240 Aelita Controlled Migration Suite ............................................................................241 FastLane Migrator i Server Consolidator .................................................................241 Migracja komputerów biurkowych .................................................................................241 Migracja NetWare ...........................................................................................................242 Podsumowanie ................................................................................................................242 W praktyce ......................................................................................................................243 Istniejące środowisko domen Windows NT 4.0. ......................................................243 Plan migracji .............................................................................................................243 Narzędzia migracji ....................................................................................................244 Rozdział 9. Rozwiązywanie problemów z AD ..................................................... 245 Tryby pracy domeny .......................................................................................................246 Tryb mieszany...........................................................................................................246 Tryb macierzysty ......................................................................................................247 Co nie ulega zmianie?...............................................................................................249 Replikacja katalogu i plików...........................................................................................249 Replikacja Active Directory .....................................................................................249 Usługa replikacji plików (FRS) ................................................................................257 Zasady grup .....................................................................................................................260 Jak poznać, e dzieje się coś złego?..........................................................................260 Reguły stosowania zasad grup ..................................................................................261 Zamiana i scalanie zasad grup ..................................................................................262 Przydatne narzędzia ..................................................................................................263 Zmiany wprowadzane w zasadach grup ...................................................................265 Instalacja oprogramowania .............................................................................................268 Wybór pakietów do instalacji ...................................................................................269 Kto ma prawa do instalacji?......................................................................................269 Jak sprawdzić, co poszło nie tak? .............................................................................269 Podsumowanie ................................................................................................................271
10 Projektowanie struktur Active Directory Rozdział 10. .NET i nowa generacja Windows..................................................... 273 Inicjatywa .NET ..............................................................................................................273 .NET Experiences .....................................................................................................274 Klienty.......................................................................................................................275 Usługi........................................................................................................................275 Serwery .....................................................................................................................275 Narzędzia ..................................................................................................................276 Następne pokolenie Windows.........................................................................................276 Windows XP .............................................................................................................277 Windows .NET Server ..............................................................................................279 Podsumowanie ................................................................................................................281 Skorowidz ...................................................................................... 283
Rozdział 4. Planowanie Active Directory W poprzednich rozdziałach przedstawiliśmy, czym jest usługa Active Directory, czym ró ni się od podobnych produktów i jak jest zorganizowana. Niniejszy rozdział zajmuje się ró nymi zagadnieniami, które musimy rozwa yć podczas planowania i implemen- towania AD w organizacji. Najwa niejszą sprawą dotyczącą tych zagadnień, jest to, i większość z nich jest jedynie w niewielkim stopniu związana ze stroną techniczną. Problemy wynikają z uwarunkowań politycznych, organizacyjnych i komunikacyjnych, które, jeśli nie zostaną prawidłowo zrozumiane i potraktowane, mogą doprowadzić do drastycznych rozbie ności pomiędzy projektem AD a faktycznym środowiskiem pracy. Mo emy pogrupować problemy na ró ne sposoby, jednak dla naszych celów najwygod- niejszy będzie następujący podział: Zagadnienia migracji — problemy związane z implementacją, które mogą mieć wpływ na strategie WINS, DHCP, OU, u ytkowników i grup. Zagadnienia administracyjne — problemy eksploatacyjne, które mogą wpływać na struktury OU, GPO, u ytkowników i grup. Zagadnienia bezpieczeństwa — zagadnienia dostępu i ochrony danych, które mogą oddziaływać na struktury OU, grup i GPO. Zagadnienia instalacji — problemy organizacyjne i techniczne, które mogą wpłynąć na plan migracji i procedury instalowania serwerów i stacji roboczych. Zagadnienia organizacyjne — zasady prawne i związane z komunikacją, które mogą oddziaływać na plany wdra ania, projekt zabezpieczeń, projekt dostępu i zasady zarządzania. Wszelkie porady zawarte w tym rozdziale sprowadzają się do następującego stwierdzenia: nale y poznać środowisko przed rozpoczęciem projektowania. Nie wystarczy zrozumienie zagadnień związanych z rozmieszczeniem komputerów; musimy wiedzieć te , jak sieć jest administrowana, jak u ytkownicy wykonują swoje zadania i jak nale ałoby poprawić sieć, by lepiej słu yła u ytkownikom. Dopiero wtedy mo emy zacząć zastanawiać się nad projektem.
66 Projektowanie struktur Active Directory Zagadnienia migracji Na początku procesu planowania AD powinniśmy zatrzymać się i dobrze i uwa nie przyjrzeć się istniejącemu środowisku. Czy na pewno rozumiemy, co w nim się dzieje? Czy wiemy, jakimi komputerami dysponujemy? Ile zwykle przychodzi zgłoszeń blokady konta? Jak często usługa WINS nie potrafi poprawnie rozwiązać nazwy? Ile grup posia- damy i jak są one u ywane? Czy musimy zachować wszystkie istniejące domeny, czy te powinniśmy część z nich scalić, aby uprościć zarządzanie? Na jakich zasadach ustalana jest przynale ność do grup? Lista pytań, jakie mo emy zadać, jest niemal nieograniczona. Ka da odpowiedź jest frag- mentem zbioru danych, który pozwoli zdecydować o sposobie migracji do Active Directory. Mówiąc w skrócie, decyzja ta obejmuje następujące zagadnienia: Jak du ą część nakładów pracy administracyjnej chcemy przenieść do nowego środowiska? W jakim stopniu istniejąca architektura zaspokaja potrzeby firmy? Jak wiele musimy zmienić, by wykorzystać nową funkcjonalność Windows 2000? Czy łatwiej będzie zreorganizować istniejące środowisko, czy te zbudować nowe od podstaw? Aby móc odpowiedzieć na te pytania, musimy znać dostępne opcje. Wobec tego skon- centrujemy się na konsekwencjach ka dej z nich, wymienionych poni ej: Modernizacja czy migracja równoległa — wybór pomiędzy modernizacją istniejącego środowiska a zbudowaniem nowego i przejściem do niego. Tryb mieszany czy macierzysty — wybór pomiędzy szybkim a stopniowym przeniesieniem całości do środowiska zabezpieczeń Windows 2000. Modernizacja serwera, odtworzenie serwera czy przeniesienie do nowej domeny — wybór pomiędzy modernizacją serwera do Windows 2000, stworzeniem od zera lub przeniesieniem bez zmian do nowej domeny Windows 2000. Modernizacja, reinstalacja czy przeniesienie klienta do domeny — wybór pomiędzy modernizacją klientów do Windows 2000, zbudowaniem systemów od zera lub przeniesieniem w obecnej postaci do nowej domeny Windows 2000. Utworzenie czy migracja u ytkowników i grup — wybór pomiędzy zało eniem wszystkich kont u ytkowników i grup na nowo a przeniesieniem istniejących u ytkowników i grup za pomocą odpowiedniego narzędzia. Gdy zrozumiemy konsekwencje ka dego wyboru, wówczas mo emy podjąć rozsądne decyzje o tym, jak, co z naszych zasobów i kiedy migrować do Windows 2000. Modernizacja domeny do Windows 2000 Jedną z pierwszych decyzji do podjęcia jest wybór, czy zmodernizować bie ącą strukturę domen czy te zbudować równoległą Active Directory i przenieść do niej u ytkowników i zasoby. Ten podrozdział omawia za i przeciw modernizacji; następny przedstawi proces migracji równoległej.
Rozdział 4. ♦ Planowanie Active Directory 67 Podczas migracji z modernizacją nale y kolejno: 1. Wybrać po jednym BDC z ka dej domeny głównej i odłączyć od sieci. To będzie nasz „zapasowy” serwer chroniący bazę danych na wypadek, gdyby wydarzyło się coś bardzo złego. 2. Zmodernizować PCD domen głównych. 3. Zmodernizować serwery infrastruktury (DHCP, WINS i DNS) domen głównych. 4. Zmodernizować BDC w domenach głównych. 5. Zmodernizować PDC w domenach zasobów (jeśli istnieją). 6. Zmodernizować BDC w domenach zasobów. 7. Zmodernizować serwery członkowskie we wszystkich domenach. Więcej informacji o szczegółowej procedurze migracji zawiera rozdział 8., „Planowanie migracji i dostępne narzędzia”. Postępując w ten sposób, zachowamy bazy danych kont, grupy, ustawienia zabezpieczeń, ustawienia systemów plików i strukturę domen. Zmniejsza to ryzyko przypadkowego przeoczenia ustawień u ytkowników, co uniemo liwiłoby im wykonywanie swoich zadań. Ponadto zachowamy stare standardy nazewnicze i ustawień IP; serwery będą dalej funk- cjonować pod oryginalnymi nazwami i adresami, co wyeliminuje potrzebę rekonfiguracji klienckich stacji roboczych, aplikacji i usług. Ogólnie mówiąc, ta metoda zdecydowanie ogranicza nakłady pracy potrzebne do skonfigurowania nowej Active Directory. Ale czy na pewno? Tak, zachowaliśmy wszystkie stare konta. Co więcej, zachowaliśmy wszystkie stare identyfikatory SID, co oznacza, e nadal posiadamy uprzednie prawa dostępu, lecz odziedziczyliśmy te wszystkie pomyłki i błędy popełnione w starych domenach. Teraz, zamiast móc poprawnie zbudować nowe środowisko, musimy skon- trolować i ewentualnie zmienić stare ustawienia. Co wa niejsze, mamy niemal pewność, i zachowane środowisko nie skorzysta z nowych mo liwości organizacyjnych i zabezpieczeń systemu Windows 2000. Musimy teraz planować, jak zmienić posiadany system w coś, co będzie korzystać z nowych mo liwości. W niektórych przypadkach jest to niemal niemo liwe. Dodatkowo migracja przez modernizację bardzo utrudnia usprawnienie usług infra- struktury. Aby zyskać organizacyjnie na modernizacji, powinniśmy pozostawić dla większości usług (WINS, DHCP, a ewentualnie nawet DNS) taką samą podstawową konfigurację, jakiej u ywaliśmy dotychczas. Oznacza to, e w celu poprawy konfiguracji będziemy musieli zaplanować dodatkowe kroki i brać pod uwagę dodatkowe ryzyko. Proszę porównać to ze scenariuszem modernizacji równoległej, w którym zarządzanie tymi zadaniami i zarządzanie ryzykiem są wbudowane w sam projekt. Pozostają te do rozwa enia problemy logistyczne. Po rozpoczęciu modernizacji ist- niejącej infrastruktury NT wycofanie się mo e być bardzo trudne. Administratorzy muszą zostać bardzo szybko przyuczeni do wykonywania podstawowych zadań związanych z zarządzaniem u ytkownikami. Serwery muszą zostać zmodernizowane, aby spełniały
68 Projektowanie struktur Active Directory nowe wymagania sprzętowe. Je eli dział informatyczny jest scentralizowany, a sieć rozproszona, wówczas ktoś będzie musiał wybrać się do ka dej lokalizacji, aby zmo- dernizować lokalne serwery. W ka dym scenariuszu modernizacji przez zastąpienie czeka nas pewien okres eks- ploatacji środowiska mieszanego Windows 2000/NT. Mo e to spowodować bardzo zło one interakcje, zwłaszcza, jeśli dysponujemy większą liczbą domen głównych zawie- rających konta u ytkowników. Dodatkowo, pracownicy pomocy technicznej pierwszego i drugiego poziomu muszą rozumieć i śledzić stan środowiska, które mo e zmieniać się codziennie. Pracownicy ci potrzebują aktualnych informacji dotyczących przenoszonych kont, zmian w zabezpieczeniach i wszelkich innych zmian w środowisku mających wpływ na społeczność u ytkowników. Musimy te pomyśleć o tym, jakich narzędzi u ywać do obsługi sieci. Jeśli chcemy zmienić zestawy narzędzi (na przykład zastosować nowe narzędzia kopii zapasowych lub nowy pakiet zarządzania środkami przedsiębiorstwa), jak mamy dokonać zmiany? Czy zostawimy stary pakiet w spokoju i zainstalujemy nowy na przeniesionych serwe- rach? Czy najpierw zainstalujemy nowy pakiet w starym środowisku (o ile w ogóle będzie działać), a następnie dokonamy modernizacji do Windows 2000? Rozwa ając te wszystkie pytania, musimy wziąć pod uwagę następujące korzyści, jakie daje modernizacja środowiska: Zachowana zostaje baza danych kont, łącznie z identyfikatorami SID. Oznacza to, e nie musimy odtwarzać kont u ytkowników, grup i komputerów nale ących do domeny. Zachowany zostaje system plików na wszystkich serwerach. Dzięki temu nie musimy ponownie ustawiać zabezpieczeń dla partycji NTFS i udziałów. Zachowane zostają istniejące konwencje nazewnicze i adresów IP. Oznacza to, e u ytkownicy nie muszą ponownie przypisywać drukarek i udziałów. Co więcej, administrator nie ma potrzeby resetowania adresów podstawowych usług infrastruktury, takich jak DDNS i WINS. Zredukowany jest zakres interakcji zabezpieczeń pomiędzy platformami. Dzięki temu maleje ryzyko wystąpienia powa nych błędów zabezpieczeń podczas migracji, poniewa większość lub całość informacji o zabezpieczeniach jest przechowywana w środowisku Windows 2000. Musimy te wziąć pod uwagę ujemne strony opcji modernizacji: Błędy popełnione w pierwotnym środowisku pozostają. Oznacza to, e chcąc „posprzątać” środowisko, będziemy musieli radzić sobie z błędami ju istniejącymi, zamiast zaczynać od zera. Pojawiają się ró nice w ustawieniach zabezpieczeń serwerów. Ustawienia dla zmodernizowanych serwerów i stacji roboczych są inne ni dla systemów zainstalowanych od podstaw. Przede wszystkim, zmodernizowane komputery obowiązuje kilka ograniczeń dotyczących zabezpieczania plików systemowych i ustawień Rejestru, co mo e doprowadzić do niezgodności pomiędzy tym, co wydaje się nam, e instalujemy, a tym, co w rzeczywistości otrzymamy. Problem ten mo e zostać rozwiązany za pomocą narzędzia Security Configuration Manager.
Rozdział 4. ♦ Planowanie Active Directory 69 Występują logistyczne, techniczne i proceduralne problemy, gdy trzeba scentralizować w jeden system kilka katalogów o własnych zabezpieczeniach (np. domeny NT, Novella i Kerberosa w systemie UNIX). W migracji poprzez modernizację, gdy chcemy skoncentrować zabezpieczenia, musimy najpierw przeanalizować i udokumentować zmodernizowane środowisko, a następnie zdefiniować na potrzeby konwersji właściwe relacje. Mo e to okazać się bardziej czasochłonne ni proste zdefiniowanie stanu idealnego i wykorzystanie posiadanych danych do przejścia do niego. Pojawia się konieczność równoległego korzystania z dwóch narzędzi. Oznacza to, e musimy najpierw zastosować w istniejącym środowisku nowe narzędzia. W przeciwnym razie zwiększamy ryzyko błędów w administracji podczas etapu migracji. Gdy zdecydujemy się na modernizację, musimy dodatkowo odpowiedzieć na następujące pytania: Która domena (jeśli mamy więcej ni jedną) będzie modernizowana? Jak, kiedy i kto będzie modernizować kontrolery domen i serwery znajdujące się w terenie? Jak, kiedy i kto będzie łączyć i optymalizować domeny? Jak, kto i kiedy będzie modernizować kolejki drukowania, serwery intranetowe, serwery aplikacji, zabezpieczenia plików i grupy? Jakie kryteria zostaną wzięte pod uwagę przy analizie istniejących to samości zabezpieczeń (kont u ytkowników, grup lokalnych, grup globalnych itp.) do ustalenia, które to samości zachować, a które zmienić? Jak będzie wyglądać komunikacja z działem obsługi technicznej, pozwalająca zapewnić społeczności u ytkowników pomoc podczas migracji? Nasze środowisko skutecznie migrować przez modernizację, jeśli: Posiadamy niewielką liczbę (zwykle poni ej 15) rozrzuconych geograficznie lokalizacji serwerów i uwierzytelniania. Istniejące środowisko jest dobrze zorganizowane, udokumentowane i zawiera małą liczbę innych katalogów. Właśnie przeszliśmy cykl gruntownej modernizacji sprzętu. Dobrze znamy posiadane narzędzia słu ące do odzyskiwania środowiska po awarii i mo emy zapewnić, e będą one działać poprawnie w mieszanym środowisku. Jeśli nakłady pracy związane z problemami są większe ni korzyści płynące z migracji przez modernizację (zastąpienie), wówczas warto rozwa yć inne opcje. Następny punkt zajmuje się drugą z dwóch podstawowych opcji — migracją równoległą.
70 Projektowanie struktur Active Directory Migracja równoległa Niektóre organizacje po przeanalizowaniu ście ki migracji przez modernizację stwier- dzają, e jest ona pełna problemów. Mo e logistyka jest zbyt trudna. Mo e stosowanych jest kilka systemów katalogowych, które trzeba połączyć w jeden. Mo e po prostu lepiej jest uniknąć prac porządkowych związanych z modernizacją starego środowiska i rozpo- cząć od zera. Na potrzeby niniejszej ksią ki mo na przyjąć, e migracja równoległa to taka, w której: 1. Tworzymy nową domenę, drzewo i las Windows 2000. 2. Decydujemy, jak ma wyglądać nowe środowisko. 3. Decydujemy, które informacje nale y przenieść ze starego środowiska do nowego. 4. Tworzymy odwzorowanie starego środowiska na nowe. 5. Przenosimy u ytkowników, grupy, pliki i serwery zgodnie z odwzorowaniem. Więcej informacji o szczegółowej procedurze migracji zawiera rozdział 8. Inaczej mówiąc, tworzymy dziewicze środowisko, do którego migrujemy dane tak, jak nam pasuje. Taka procedura daje szereg korzyści: kontrolę nad danymi, kontrolę nad tempem migracji, zdolność do utworzenia odpowiednich standardów oraz zdolność do wyegzekwowania zgodności z tymi standardami. Wymienione zalety rozwiązują, niemal punkt po punkcie, problemy występujące w migracji przez modernizację. Na przykład, pomoc techniczna wcią potrzebuje dokładnych informacji o tym, którzy u ytkownicy i które zasoby są zaplanowane do migracji. Jednak e w migracji równo- ległej rozgraniczenie jest znacznie wyraźniejsze — część z nich istnieje tylko w nowym środowisku, część nie jest przeznaczona w ogóle do przeniesienia, zaś wszystko inne posiada zaplanowane daty migracji. Interakcje mogą być o wiele prostsze; mają zdecydo- wanie wyraźniejsze granice. Podobna analiza sprawdza się dla pozostałych punktów. Poniewa w migracji równoległej dysponujemy dwoma odrębnymi środowiskami, mamy znacznie wyraźniej określone grani- ce pomiędzy procedurami obsługi technicznej, wersjami narzędzi i usługami infrastruktury. Wszystko, co mo e stać się niejasne w migracji przez modernizację, w migracji rów- noległej jest bardziej zrozumiałe. Musimy zarazem bardziej rozwa nie decydować, kiedy, jak i dlaczego mamy zmie- niać skrypty logowania, odwzorowania drukarek i dokonywać innych podobnych czynności. Modernizacja równoległa stanowi klasyczny proces instalowania infra- struktury, w którym u ytkownicy przenoszą się ze starszego środowiska do nowego, czasem diametralnie odmiennego. Zwiększa to ilość zapytań i komentarzy ze strony u ytkowników, co mo e zwiększyć nakłady czasu poświęcone na zarządzanie pro- jektem w ramach procesu instalacji.
Rozdział 4. ♦ Planowanie Active Directory 71 Musimy te zdać sobie sprawę z faktu, e migracja równoległa „od podstaw” jest niemal idealnym rozwiązaniem dla scalenia kilku katalogów związanych z zabezpie- czeniami w jeden. Na potrzeby analizy weźmy pod uwagę mieszane środowisko sys- temów Novell i NT. Jeśli bezpośrednio zmodernizujemy Windows NT do Windows 2000, będziemy musieli: 1. Określić idealny stan dla Windows 2000. 2. Ustalić stan obecny. 3. Określić odwzorowanie Windows NT na stan idealny. 4. Określić odwzorowanie Novella na stan idealny. 5. Zmodyfikować Windows NT tak, by zbli yć się do stanu idealnego. 6. Zaktualizować Windows NT do Windows 2000. 7. Przenieść dane zabezpieczeń z Novella do Windows 2000. Jeśli stosujemy migrację równoległą od zera, zamiast tego będziemy musieli: 1. Określić stan idealny. 2. Ustalić odwzorowanie Windows NT na stan idealny. 3. Określić odwzorowanie Novella na stan idealny. 4. Migrować odpowiednie dane zabezpieczeń z Novella lub Windows NT, zale nie od tego, które będą lepsze, do środowiska Windows 2000. Drugim faktem, jaki musimy wziąć pod uwagę, jest ten, i jedną z podstawowych ko- rzyści migracji przez modernizację (zachowanie SID) mo emy uzyskać za pomocą niemal wszystkich istniejących narzędzi migracji. Ka da domena działająca w trybie macierzystym posiada dla ka dego obiektu atrybut 5+&JKUVQT[, który pozwala nowo utworzonym obiektom posiadać ten sam SID co obiekt, z którego została dokonana migracja. Gdy zastanawiamy się nad wyborem migracji równoległej, musimy pamiętać o nastę- pujących korzyściach z niej płynących: Tworzymy wyraźną granicę pomiędzy starym i nowym środowiskiem. Powoduje to mniejszą liczbę interakcji w migrowanym środowisku, prowadząc do aktualizacji bardziej przejrzystej i łatwiejszej do kontrolowania. Zachowujemy (stosując odpowiednie narzędzia) SID przenoszonego obiektu. Oznacza to, e mo emy migrować dane i ustawienia zabezpieczeń stosunkowo bezkarnie, odkładając porządki na późniejszy termin. Mamy bardzo szczegółową kontrolę nad tym, kiedy przenosić zasoby i u ytkowników do nowego środowiska. Jest to szczególnie wa ne w du ych organizacjach lub w organizacjach mających szczególne wymagania prawne i związane z kontrolami. Otrzymujemy dziewicze środowisko, do którego mo emy przenieść kilka istniejących dostawców zabezpieczeń, wybierając ten system, który najlepiej spełnia nasze potrzeby.
72 Projektowanie struktur Active Directory Musimy te wziąć pod uwagę podstawową wadę modernizacji równoległej, którą jest zapotrzebowanie na znaczące ilości nowego sprzętu. Jeśli modernizacja do Windows 2000 zbiega się ze standardowym okresem odświe ania zasobów sprzętowych, wówczas jest to mniejszym problemem. Jeśli jednak zamierzamy zakupić nowe serwery poza harmonogramem modernizacji sprzętu w celu obsługi Active Directory i innych usług Windows 2000, wówczas powinniśmy dokonać powa nej analizy zysku i kosztów. Proszę te zdać sobie sprawę, e po przyjęciu opcji modernizacji równoległej musimy odpowiedzieć na poni sze pytania: Jak będziemy podczas migracji monitorować i zarządzać interakcjami pomiędzy istniejącym środowiskiem (środowiskami) i domeną Windows 2000? Firma przez jakiś czas będzie korzystać z dwóch systemów, co bez właściwego planowania mo e wystawić ją na niedopuszczalne ryzyko. Jak chcemy odwzorować dane zabezpieczeń z wszystkich istniejących środowisk? Jak będziemy zarządzać skryptami logowania, drukarkami, udostępnionymi plikami i wspólnymi zasobami, które mogą ulec zmianie podczas migracji i mogą (jak w przypadku skryptów logowania) wymagać kilku wersji? Nasze środowisko jest dobrym kandydatem do modernizacji równoległej, jeśli: Zbli a się lub właśnie trwa cykl odświe ania zasobów sprzętowych. Stosujemy kilka środowisk udostępniających zabezpieczenia, które chcemy skonsolidować w jedną domenę. Z powodów technicznych nie mo emy bezpośrednio zmodernizować domeny. Dysponujemy du ą liczbą lokalizacji fizycznych i potrzebujemy dodatkowej kontroli nad migracją, jaką mo e nam dać dziewicze środowisko. Jeśli mo emy sobie na nią pozwolić, migracja równoległa daje wiele korzyści. Proszę jednak zdać sobie sprawę, e przejście z migracji przez modernizację na migrację równoległą mo e być trudne i wyjątkowo kosztowne. Unikniemy tej pułapki, rozwa nie analizując dostępne opcje przed rozpoczęciem projektu i trzymając się podjętej decyzji przez cały okres przejściowy. Domeny w trybie mieszanym i macierzystym Jedną z najwa niejszych kwestii, jakie pojawiają się podczas projektowania Active Directory, a co za tym idzie, która stanowi największe źródło nieporozumień, jest ró nica pomiędzy domenami funkcjonującymi w trybie mieszanym i macierzystym. Ludzie pytają: „Czy powinniśmy przejść na tryb macierzysty?”, traktując to jak swojego rodzaju mistyczną podró , która, gdy ją ju podejmą, zaprowadzi ich do ziemi obiecanej. Rzeczywiste pytanie, jakie nale y zadać w związku z przejściem w tryb macierzysty, nie brzmi „czy”, lecz „kiedy”. Ka dy prędzej czy później przechodzi w tryb macierzysty; musimy raczej podjąć decyzję, na jakim etapie migracji zaplanować przejście, a nie czy przechodzić w ogóle.
Rozdział 4. ♦ Planowanie Active Directory 73 Wyjaśnijmy najpierw nieporozumienia. Przejście w tryb macierzysty: Nie aktywuje obiektów zasad grup. Nie zapewnia lepszej replikacji. Nie optymalizuje rozmiarów bazy danych AD. Nie uniemo liwia logowania ze starszych wersji klientów. Nie uniemo liwia stosowania starszych aplikacji. Nie zmienia sposobu, w jaki AD współpracuje z innymi systemami Kerberosa. Tryb macierzysty w zamian za to: Aktywuje część obiektów w katalogu. Pozwala na stosowanie grup uniwersalnych. Pozwala AD na ignorowanie baz danych SAM, omijając dzięki temu ich ograniczenia. Jeśli planujemy migrację przez modernizację, powinniśmy rozwa nie zaplanować przejście w tryb macierzysty. Mo emy przełączyć domenę w ten tryb dopiero po zmo- dernizowaniu do Windows 2000 wszystkich kontrolerów domeny (PDC i wszystkich BDC). W przeciwnym razie mo emy mieć do czynienia z klientami nie mogącymi się w ogóle zalogować do domeny, poniewa kontroler domeny usiłujący dokonać uwierzytel- nienia nie będzie mógł ju otrzymywać aktualizacji z aktywnych baz danych zabezpieczeń. Jeśli planujemy migrację równoległą, wówczas powinniśmy przejść w tryb macierzysty najszybciej, jak tylko się da. Pozostawienie katalogu w trybie mieszanym spowoduje, i większość istniejących narzędzi do migracji (jeśli nawet nie wszystkie) nie będzie w stanie migrować u ytkowników do naszej nowej, ślicznej struktury Active Directory. Migracja serwerów Przy planowaniu strategii migracji serwerów mo emy je podzielić na cztery kategorie: przeznaczone do zastąpienia, do konsolidacji, do modernizacji i do przeniesienia bez zmian. Ka da z kategorii jest przy projektowaniu i planowaniu traktowana nieco inaczej. Powinniśmy zasadniczo zastąpić serwery, których nie da się zmodernizować do Windows 2000. Mo e są zbyt stare i nie damy rady rozbudować ich do poziomu minimalnych wymogów sprzętowych, a mo e skończyła się na nie gwarancja, więc nie chcemy eks- ploatować systemu bez zabezpieczenia. Niezale nie od powodów, gdy zastępujemy serwer, musimy: 1. Mieć całkowitą pewność, i znamy usługi świadczone przez dany serwer. 2. Zapewnić dostępność tych usług podczas migracji. 3. Upewnić się, czy usługi działają poprawnie w nowym miejscu.
74 Projektowanie struktur Active Directory 4. Zastąpić serwer, przetestować i włączyć nowy serwer do środowiska produkcyjnego. 5. Zlikwidować stary serwer. Powinniśmy konsolidować serwery wykorzystywane w zbyt małym stopniu oraz takie, których koszty utrzymania przekraczają pewną ustaloną wartość. Są to zwykle prze- starzałe serwery, które i tak musielibyśmy zmodernizować lub zastąpić, lecz stopień ich wykorzystania jest na tyle niski, e nie usprawiedliwia zakupu nowego. Przygotowując się do konsolidacji kilku serwerów musimy: 1. Zidentyfikować poziom wykorzystania ka dego serwera. 2. Upewnić się, czy serwer docelowy jest w stanie obsłu yć sumę obcią enia tych serwerów. 3. Upewnić się, czy wzorce dostępu do ró nych konsolidowanych usług nie wchodzą w konflikty. Na przykład, często trudno jest stabilnie skonsolidować usługi pocztowe i bazy danych na pojedynczej platformie Wintel. 4. Zaplanować konsolidację na okres nie będący krytyczny dla biznesu. 5. Dokładnie przetestować konsolidację. Połączenie ró nych usług w jednym komputerze mo e wprowadzić nietypowe wzorce wykorzystania powodujące niestabilność. 6. Po dokonaniu konsolidacji monitorować serwer przez okres przynajmniej jednego kwartału. 7. Zlikwidować stary serwer. Ogólnie mówiąc, powinniśmy modernizować serwery na gwarancji, łatwe w rozbudowie do wymaganego poziomu, wykazujące rozsądne poziomy wykorzystania i nie świad- czące usług wymagających starszego środowiska. Przygotowując się do modernizacji serwera, musimy: 1. Zweryfikować, czy wszystkie usługi świadczone przez serwer (aplikacje, bazy danych i tak dalej) są kompatybilne z Windows 2000. 2. Przygotować i przetestować aktualizacje usług niezgodnych z Windows 2000. 3. Zaplanować modernizację na normalne godziny serwisowania. 4. Zmodernizować sprzęt w serwerze, system operacyjny i usługi do Windows 2000 i zgodnych z nim wersji oprogramowania. Proszę pamiętać, e zło oność migracji przez modernizację nie wynika z systemu opera- cyjnego, lecz z usług świadczonych przez serwer. Zwłaszcza planowanie przeniesienia baz danych i oprogramowania ERP (planowanie zasobów przedsiębiorstwa) mo e zająć miesiące, a po przeniesieniu mo emy poświęcić kolejne miesiące na monitorowanie serwera, by upewnić się, e wszystko poszło dobrze. Przenoszone są przede wszystkim serwery nie uczestniczące w zabezpieczeniach domeny (jako PDC lub BDC) i obsługujące aplikacje krytyczne dla firmy, a nie posiadające wersji zgodnej z Windows 2000. Wysiłek związany z wycofywaniem krytycznego dla firmy oprogramowania typu legacy (przestarzałego) mo e być większy ni wło ony w cały projekt Windows 2000. Przygotowując się do przeniesienia serwera, musimy:
Rozdział 4. ♦ Planowanie Active Directory 75 1. Upewnić się, czy stare oprogramowanie nie posiada adnych zale ności od innych serwerów, które modernizujemy, konsolidujemy lub zastępujemy. 2. Zaplanować modernizację na standardowe godziny przeznaczone na serwis. 3. Usunąć serwer ze starej domeny. 4. Przyłączyć serwer do nowej domeny. 5. Sprawdzić, czy ustawienia zabezpieczeń serwera są prawidłowe dla funkcji serwera. 6. Monitorować serwer i stare oprogramowanie przez przynajmniej kwartał od chwili migracji. 7. Przenieść zadania obsługi i monitorowania serwera na personel obsługi technicznej po uznaniu migracji za zakończoną powodzeniem. Faktyczny harmonogram i kolejność migracji serwerów zale y od rozmiarów organi- zacji, składu i umiejętności zespołu związanego z projektem oraz od naszej zdolności do szybkiego i dokładnego oszacowania środowiska. Największe ryzyko przekroczenia harmonogramu pochodzi od aplikacji krytycznych dla funkcjonowania przedsiębiorstwa i przestarzałych; ryzyko to mo emy zmniejszyć tylko przez utworzenie i wdro enie planu szczegółowych i stosunkowo czasochłonnych testów. Migracja klientów Migrowanie serwerów jest łatwe, poniewa zasadniczo dobrze wiemy, gdzie się znajdują, co się w nich mieści i jak firma je wykorzystuje. Migracja komputerów klienckich to całkiem inna sprawa. Logistyka znajdowania, identyfikacji, szacowania, rejestrowania, sortowania, planowania harmonogramu, a na koniec faktycznej migracji komputerów klienckich mo e bez trudno- ści zająć większość czasu poświęconego na projekt Windows 2000. Zagadnienia te nie mieszczą się w zakresie niniejszej ksią ki. Nas interesuje ustalenie, jak postąpić ze wszystkimi klientami, gdy ju ustalimy, gdzie są, czym są, kto ich u ywa i do czego. Ogólnie mówiąc, mo emy klienty podzielić na trzy kategorie: przeznaczone do zastąpienia, przeznaczone do modernizacji, pozostawione bez zmian. Klienty przeznaczone do zastąpienia to zwykle te, które są zbyt stare na modernizację do poziomu minimalnych wymogów sprzętowych lub przeznaczone do rychłego zło- mowania z uwagi na politykę księgową (odświe enie dzier awy lub bud etowanie kapitałowe). W przypadku takich komputerów musimy rozwa yć logistykę identyfi- kowania, przenoszenia i wycofywania starego sprzętu, jak równie wpływ, jaki ma na u ytkownika przydział nowej stacji roboczej. Mo emy zapanować nad niebezpie- czeństwami instalacji przez wstępne przygotowanie nowego sprzętu, skonfigurowanie i przetestowanie przed przydzieleniem go u ytkownikowi.
76 Projektowanie struktur Active Directory Klienty przeznaczone do modernizacji spełniają minimalne wymagania sprzętowe (czasami po zakupie dodatkowego sprzętu), lub z powodów księgowych, nie są zapla- nowane do wymiany w ciągu roku. W przypadku takich klientów musimy szczególnie rozwa nie zaplanować czas modernizacji, metodę instalacji i metody przywracania klienta. Jednym z największych wyzwań w całym projekcie jest w istocie przeniesienie wszystkich ustawień indywidualnych i danych klientów ze starego systemu do nowego. Klienty pozostawione bez zmian to zwykle te, które obsługują przestarzałe aplikacje absolutnie niezbędne u ytkownikowi. Jeśli nie da się znaleźć innego rozwiązania, wówczas u ytkownik musi otrzymać nowy PC. Czasami, gdy grupa u ytkowników potrzebuje aplikacji tylko od czasu do czasu i to nie równocześnie, mo emy pozostawić pojedynczą starą stację roboczą dla grupy u ytkowników, co uwolni nas od odpowiedzialności za utrzymanie kilku starych, niezgodnych ze specyfikacjami komputerów. Migracja użytkowników i grup Z punktu widzenia planowania i projektowania jednym z najbardziej zło onych zadań, jakie musimy przemyśleć, jest to, jak, kiedy i dlaczego powinniśmy migrować konta u ytkowników i grup. Ten problem mo e bez trudu sparali ować proces analizy. Istnieją dosłownie setki czynników, jakie powinniśmy wziąć pod uwagę, oraz chyba tysiące wa- riacji na podstawowe tematy. Zamiast omawiać godzinami ka dą mo liwość i odmianę, proszę na chwilę zatrzymać się i przemyśleć, co trzeba tu zaplanować: Jeśli modernizujemy domenę, musimy ustalić, jak zmodyfikować istniejące grupy, by pasowały do obecnego projektu. Jeśli dokonujemy migracji równoległej, musimy ustalić odwzorowania pomiędzy starą i nową strukturą grup. W obu przypadkach niezbędna będzie mapa zmian. Ten dokument mówi, co usunąć, co skonsolidować z czym, co utworzyć, a co po prostu przenieść. Sam proces migracji infor- macji z wykorzystaniem mapy zmian powinien odbyć się przed rozpoczęciem lub po zakończeniu migracji. Dokonanie tej pracy podczas migracji mo e spowodować nie- przewidywalne zmiany w dostępie pracowników do zasobów, więc nie jest zalecane. Podczas tworzenia mapy zmian proszę zwrócić szczególną uwagę na: Konta usług i konta administracyjne u ywane w roli kont usług. W Windows 2000 mogą one wymagać innych uprawnień ni te, do których jesteśmy przyzwyczajeni. Konta z uprawnieniami do logowania jedynie do określonych komputerów lub w określonych porach dnia. Jeśli zmieniamy komputer kliencki lub parametry robocze konta, wówczas nieumyślnie zmieniamy zasady zabezpieczeń. Grupy mające dostęp do więcej ni jednego zasobu (poprzez uprawnienia do plików lub udziałów). Grupy takie mogą dysponować większym zakresem uprawnień, ni nam się wydaje; nale yta staranność w tym miejscu zaoszczędzi w przyszłości mnóstwa telefonów do pomocy technicznej.
Rozdział 4. ♦ Planowanie Active Directory 77 Jak ju mówiliśmy, zagadnienia związane z migracją mają wpływ na logistykę i na plany zmian. Proszę nie ignorować podczas planowania Active Directory stwarzanych przez nie trudności i mo liwości. Zagadnienia administracyjne Zza horyzontu migracji wyłania się mityczny stan zwany stanem produkcyjnym. Serwery szumią sobie spokojnie, a u ytkownicy pracują radośnie w ochronnej klatce stworzonej przez wydział informatyczny. Zabezpieczenia chronią skutecznie dane przed niepowoła- nym dostępem. U ytkownicy nigdy nie blokują swoich kont ani nie zapominają haseł. Gdy to złudzenie ju się rozwieje, czeka nas brutalna rzeczywistość — ktoś musi za- rządzać zaprojektowaną przez nas Active Directory. Najprawdopodobniej będziemy to my. Wobec tego Czytelnik musi dokładnie wiedzieć, co oznacza zarządzanie siecią i brać to pod uwagę w swoim projekcie. Aby jak najwięcej wynieść z lektury tego podrozdziału, proszę rozwa yć: Ró nice pomiędzy NT i Windows 2000 — zmiany w systemie operacyjnym, które zmieniają sposób myślenia o administrowaniu. Role jednostek organizacyjnych (OU) — jak ułatwić zadania administracyjne za pomocą OU. Jak i kiedy delegować kontrolę — jak wykorzystać mo liwość oddelegowania kontroli nad określonymi obiektami katalogowymi w celu uproszczenia administracji. Bezpieczeństwo (kto i kiedy) — porównanie potrzeb dostępu z ryzykiem związanym z przyznaniem tego dostępu. Zasady grup — ile i do czego je stosować. Usiłując zrozumieć te zagadnienia, mo emy zaprojektować katalog, który nie tylko ładnie wygląda na papierze, lecz będzie mo na równie go obsługiwać. Te dwa warunki nie muszą wykluczać się wzajemnie. Różnice administracyjne pomiędzy Windows NT i 2000 Na pierwszy rzut oka ten punkt mo e wydać się bezu yteczny. W końcu wiemy ju , e Windows 2000 ró ni się od Windows NT. Jakby nie było, to jeden z głównych powodów, dla których zdecydowaliśmy się na ten projekt... Niech i tak będzie, lecz przyda się poświęcić minutę na wyraźne określenie ró nic pomiędzy Windows 2000 i Windows NT z punktu widzenia administratora. Dobra zna- jomość tych ró nic pozwoli podjąć rozsądne decyzje dotyczące tego, jak wykorzystać te ró nice w przyszłości.
78 Projektowanie struktur Active Directory Pierwsza i najwa niejsza ró nica, jaką musimy wziąć pod uwagę, jest najmniej oczywista. W Windows NT nie mo emy zmusić komputera do korzystania z lokalnego kontrolera domeny w środowisku IP. W Windows 2000 komputery wykorzystują dane lokacji, aby znaleźć najbli szy dostępny kontroler w celu zalogowania się. Dlaczego jest to wa ne? W bazie danych kont typu multimaster (jak w Windows 2000) zmiany nie są propagowane automatycznie. Oznacza to, e musimy albo dokonać zmian w bazie danych poło onej najbli ej u ytkownika, albo kazać u ytkownikom zaczekać na zmiany w ustawieniach konta. Jeśli uszkodzenie bazy danych powoduje problemy z logowaniem, wówczas w celu zdiagnozowania problemu musimy zalogować się do systemu sprawiającego kłopoty. Musimy uwa ać na usługę replikacji plików (FRS — File Replication Service), poniewa rejestruje ona błędy, gdy nie mo e prawidłowo zsynchronizować się z kontrolerem domeny. Mo e to pomóc w diagnozowaniu problemów związanych z zasadami grup i błędami w skryptach logowania, które naprawiliśmy (jak nam się wydawało). Proszę zwrócić uwagę, e replikacja pomiędzy lokacjami jest procesem zaplanowa- nym według harmonogramu. Dla większości procedur (jak np. zmiana przynale ności do grup) harmonogram decyduje, kiedy zmiany dokonane w danej lokacji mają zostać rozpropagowane do innych dołączonych lokacji. Jeśli w naszej sieci istnieją trasy re- plikacji z wieloma przeskokami, wówczas replikacja zmian w całym środowisku mo- e zająć tyle czasu, ile potrwa replikacja przez najdłu szą trasę. Proszę te zdać sobie sprawę, e przynale ność do grupy jest propagowana jako pojedyn- czy blok danych. Oznacza to, e gdy jeden administrator zmieni członkostwo w grupie foo z komputera w Wielkiej Brytanii, a drugi dokona zmian w tej samej grupie z kom- putera w USA, wówczas jedna z informacji zostanie nadpisana. Weźmy pod uwagę wpływ modelu multimaster na odzyskiwanie kontrolerów domeny. Jeśli katalog nie uległ uszkodzeniu, wówczas w małych organizacjach (powiedzmy, e do 10 000 obiektów) zwykle łatwiej będzie pozwolić kontrolerowi domeny na re- plikację bazy danych AD zamiast ją odtwarzać. W du ej organizacji musimy bardziej uwa ać na procedury tworzenia i przywracania kopii zapasowych, poniewa odebranie pełnej replikacji mo e zająć więcej czasu, ni mo emy pozwolić. Weźmy jeszcze pod uwagę wpływ narzędzi takich jak Taskpad na nasz model admi- nistrowania. Odrobina rozwa nego planowania pozwoli nam wyposa yć pracowników obsługi technicznej pierwszego stopnia w zbudowane specjalnie dla nich narzędzia, zapewniające im mo liwości niezbędne, a ograniczające te uprawnienia, których obsługa mieć nie powinna. Na przykład, mo emy zbudować Taskpad dający administratorowi dostęp jedynie do zmiany haseł u ytkowników, co pozwoli mu wykonywać obowiązki słu bowe bez konieczności stosowania przystawki MMC U ytkownicy i komputery usługi Active Directory.
Rozdział 4. ♦ Planowanie Active Directory 79 Co więcej, powinniśmy planować zmiany tak, jak myślimy o skryptach logowania. W tej chwili mo emy tworzyć skrypty uruchamianie przy załączaniu i wyłączaniu komputerów oraz przy logowaniu i wylogowywaniu u ytkownika. Po zespoleniu tego z mo liwościami Visual Basica i ADSI, otrzymamy niemal nieograniczone mo liwości konfiguracji. Łatwo pogubić się we wszystkich tych zmianach. Opcje dokonywania zmian są prawie nieograniczone. Jeśli chcemy wdro yć Windows 2000 w czasie choćby zbli onym do czasu ycia produktu, to musimy ograniczyć zakres początkowej migracji. Z doświadczenia wynika, e najlepszym ograniczeniem zakresu zmian administracyjnych jest na początek próba odtworzenia istniejącej funkcjonalności. Proszę przenieść skrypty, zapoznać się z narzędziami administracyjnymi i uwa ać, by nie przekroczyć począt- kowych mo liwości. Dopiero, gdy nauczymy się duplikować oryginalną funkcjonalność, mo emy zabrać się za problemy w istniejącym środowisku. Na przykład, gdy mamy po- wa ny problem z niemo liwością zmiany haseł u ytkowników przez pomoc techniczną bez przyznania pracownikowi uprawnień administratora domeny, wówczas rozwa ymy naprawę tego problemu. Po skopiowaniu funkcjonalności i rozwiązaniu problemów mo emy przejść do implementowania ulepszeń w zarządzaniu. Jaką rolę grają OU? Jednym z najnowszych wynalazków w zestawie narzędzi administracyjnych Microsoftu jest jednostka organizacyjna (OU — Organizational Unit). OU są logicznymi konte- nerami na obiekty katalogowe; mo emy je zagnie d ać praktycznie w nieskończoność i wykorzystywać do reprezentowania prawie wszystkiego, co sobie wyobrazimy. Pytanie brzmi: co mamy z nimi począć? Mo emy grupować u ytkowników i komputery na niemal tyle sposobów, ile jest firm i projektantów sieci. Wygląda na to, e nie istnieje jedyna słuszna odpowiedź. I prawdę mówiąc, nie istnieje jednoznaczna odpowiedź na pytanie o najlepszą struk- turę OU. Są jednak e dostępne wytyczne, z których pomocą mo emy najefektywniej wykorzystać OU. Pierwszą i najwa niejszą regułą, o której musimy pamiętać przy projektowaniu OU, jest unikanie nadmiernej komplikacji schematu. Nie istnieje teoretyczny limit, jak głęboko mo emy zagnie d ać OU. Mo emy zejść 10, 20 lub nawet 30 poziomów w dół, zanim zobaczymy kolejny obiekt. Jednak e w praktyce powinniśmy pilnować, by nie zejść zbyt głęboko poni ej trzeciego poziomu. Głębiej reguły sortowania obiektów w poszczególnych OU stają się bardzo zło one. Powinniśmy te bardzo uwa ać na wybór OU. Poniewa stanowi ona logiczny zbiór komputerów, grup i u ytkowników, powinniśmy zadać sobie pytanie: „Jaką rolę speł- nia ta jednostka organizacyjna?”. Jeśli nie potrafimy znaleźć dobrej odpowiedzi na to pytanie, wówczas najprawdopodobniej powinniśmy usunąć OU z projektu. OU nadają się doskonale do tworzenia obszarów ustawień konfiguracji, zasad zabezpie- czeń i specjalnych grup. Na przykład, niektóre firmy u ywają OU dla serwerów WWW, serwerów plików i serwerów aplikacji. Inne stosują OU dla komputerów wymagających
80 Projektowanie struktur Active Directory dostępu do zasobów sieciowych, lecz mających zdecydowanie inne potrzeby funkcjonalne ni pozostałe stacje robocze (jak np. PC gromadzący w czasie rzeczywistym dane ze sprzętu laboratoryjnego i publikujący te dane w sieci). Za dobre przyzwyczajenie przy projektowaniu uznaje się unikanie tzw. „kontenerów” OU — pustych OU, których jedynym zadaniem jest przechowywanie innych OU. Weźmy na przykład jednostkę organizacyjną o nazwie Kraje, w której znajdą się OU USA, Francja i Japonia. OU Kraje jest typowym kontenerem. Jaką funkcję spełnia? Czy naprawdę jej potrzebujemy? Nie znaczy to, że takie OU są bezwzględnie złe. Każdy kontener powinien przejść ten sam proces uzasadnienia jak każda inna OU. Jeśli musimy za pomocą kontenera zorganizować dużą liczbę OU, to potrzeba taka pojawi się podczas tworzenia projektu stosunkowo szybko. OU dobre są te do wyznaczania stref kontroli w obrębie firmy. Im bardziej przedsię- biorstwo jest zdecentralizowane (z wyboru, ograniczeń prawnych lub konieczności politycznej), tym więcej musi istnieć OU do delegowania kontroli. W całkowicie zdecen- tralizowanej organizacji działu informatycznego mo e nawet okazać się potrzebnych więcej geograficznych jednostek organizacyjnych. Czynniki, jakie musimy rozwa yć przy projektowaniu struktury OU, są następujące: Czy struktura działu informatycznego jest scentralizowana czy zdecentralizowana? Jakie są granice administracyjne (obszary kontroli) organizacji? Jak wiele ról funkcjonalnych odgrywają serwery? Przykładami ról są serwery WWW, aplikacji oraz plików i drukowania. Jak wiele kategorii ról funkcjonalnych mo emy stworzyć dla stacji roboczych? Przykłady to: komputery biurkowe, laptopy, zdalne stacje robocze i sprzęt gromadzący dane. Czy organizacja dysponuje stacjami roboczymi, serwerami lub u ytkownikami wymagającymi wyłączenia z ogólnego schematu zabezpieczeń domeny, GPO i organizacji? Do przykładów nale ą: zarząd, pracownicy pomocy technicznej i administratorzy sieci. Czy istnieją administracyjne, finansowe lub prawne potrzeby wydzielenia części u ytkowników lub komputerów? Do przykładów zaliczają się pracownicy kontraktowi, konta zablokowane i stacje robocze z ograniczeniami (miejsce na stacje robocze o wyjątkowo rygorystycznych wymogach bezpieczeństwa). Jak struktura OU wpłynie na wszelkie aplikacje, które w przyszłości będą korzystać z Active Directory? Na przykład, czy istnieją jakieś specjalne zale ności w obrębie aktualizacji pakietu ERP, o których powinniśmy wiedzieć? Pytania te zmuszają do bardzo dokładnego przeanalizowania, do czego zamierzamy wykorzystać poszczególne OU. Im bardziej szczegółowo odpowiemy na te pytania, z tym większym prawdopodobieństwem nasz projekt będzie dobrze dopasowany do środowiska i przyszłych potrzeb administracyjnych.
Rozdział 4. ♦ Planowanie Active Directory 81 Delegowanie kontroli Jedną z najbardziej reklamowanych mo liwości Active Directory jest zdolność do szczegółowego przydziału praw administracyjnych, nawet do poszczególnych atrybutów obiektu. Jest to ogromny postęp w stosunku do epoki Windows NT, gdy przydział ograni- czonych praw administracyjnych stanowił prawdziwe wyzwanie. Odrobina planowania pozwoli przydzielić u ytkownikom prawa do modyfikowania własnych danych osobistych. Mo emy przyznać sekretarce prawa do zmiany danych adresowych dowolnego u ytkownika w danym dziale. Mo emy dać pracownikom pomocy technicznej prawo do zmiany haseł u ytkowników, nie przyznając im równo- cześnie prawa do dodawania stacji roboczych do domeny. Ka demu mo emy przydzielić prawo do czegokolwiek, absolutnie czegokolwiek! Czy to nie jest fascynujące? Lecz na początek proszę pomyśleć, co dokładnie trzeba delegować i jak tego dokonać. Jest to jedna z tych mo liwości, które wymagają bardzo dokładnej analizy, zanim zaczniemy rozdawać uprawnienia wszystkim osobom, które ich mogą potrzebować. Pierwsze pytanie jest najtrudniejsze: Co musimy oddelegować? Warto sformułować to pytanie inaczej, by spojrzeć na problem z pewnej perspektywy: Do jakich istotnych, osobistych, poufnych lub związanych z bezpieczeństwem danych chcemy przyznać dostęp? To jest realne pytanie, jakie sobie musimy zadać. Gdy delegujemy komuś kontrolę nad atrybutem, wówczas dajemy tej osobie mo liwość zmiany tego atrybutu. Nadajemy te bezpośrednio prawa administracyjne i prawne do dostępu i kontroli nad tymi danymi. Musimy te zwracać uwagę na kontrolę nad zmianami w jednostce informatycznej. Jak zamierzamy wykorzystać integralność danych i nadzór nad zmianami w środowisku? Jaki wpływ będą miały te zmiany na integralność danych u ywanych przez przedsię- biorstwo? Na co powinniśmy zwrócić szczególna uwagę? Po tym wstępie spójrzmy na ró ne role pracowników w typowej organizacji działu infor- matycznego, którym potrzebne są uprawnienia do wykonywania określonych funkcji: Poziom 1. (pomoc techniczna) — bezpośredni kontakt z u ytkownikiem. Pracownicy zmieniają hasła i konta, weryfikują przynale ność do grup, rozwiązują problemy z eksploatacją, porządkują kolejki drukowania, stosują podstawowe narzędzia do rozwiązywania problemów ze źle działającym sprzętem i oprogramowaniem oraz pomagają u ytkownikom w odnajdowaniu zasobów. Poziom 2. (bezpośrednia obsługa komputerów biurkowych i serwerów) — pracownicy nale ący do tego poziomu współdziałają z przedstawicielami poziomu 1. i społecznością u ytkowników. Pracują z u ytkownikami nad rozwiązaniem problemów le ących poza zakresem uprawnień grupy pracowników poziomu 1. lub wymagających więcej czasu, ni osoby te mogą poświęcić problemowi. Potrzebują dostępu administracyjnego do określonego sprzętu
82 Projektowanie struktur Active Directory i uprawnień takich, jakie posiada poziom 1. Większość pracowników musi równie mieć mo liwość dodawania stacji roboczych do domeny oraz mo liwość tworzenia skrzynek pocztowych. Poziom 3. (zaawansowane wsparcie techniczne) — te osoby rozwiązują zło one problemy dotyczące u ytkowników lub całego systemu. Muszą mieć mo liwość wykonywania zło onych testów, analizy określonych danych i odczytu dowolnej części zabezpieczeń i informacji katalogowych, aby móc zidentyfikować potencjalne błędy. Większość pracowników technicznych poziomu 3. ma uprawnienia do zmiany przynale ności do grup, zmiany haseł i dodawania oraz usuwania serwerów z domeny. Eksploatacja — osoby zajmujące się procesami wewnętrznymi utrzymującymi funkcjonowanie infrastruktury informatycznej. Monitorują one i zarządzają serwerami, drukarkami, systemami plików, oprogramowaniem przedsiębiorstwa, dystrybucją aplikacji itp. Są zwykle odpowiedzialni za kopie zapasowe, utrzymanie kont, utrzymanie serwerów i oprogramowania oraz, czasem, za telekomunikację i tworzenie zabezpieczeń. W zale ności od stopnia fragmentacji tych funkcji mo emy potrzebować kilku poziomów zabezpieczeń „eksploatacyjnych” i przydzielać określone prawa tylko pracownikom potrzebującym ich. Architektura — ta grupa zajmuje się tworzeniem wartości handlowej poprzez integrację ludzi, procesów i technologii. Potrzebuje zwykle dostępu do danych dotyczących wykorzystania sprzętu, dzienników błędów i do przeglądania całej struktury katalogu. Architekci nie muszą potrzebować dostępu do wa nych danych osobistych (np. adresów). Testerzy oprogramowania — współpracują z grupą architektów nad zapewnieniem, eby oprogramowanie potrzebne firmie było bezpieczne i obsługiwane przez środowisko. Potrzebują dość szerokiego dostępu do katalogu, serwerów i stacji roboczych, lecz dostęp ten mo na łatwo ograniczyć do odrębnego środowiska testowego lub pojedynczej jednostki organizacyjnej. Programiści — mają zwykle specjalne potrzeby, wynikające z u ywanego środowiska aplikacji. Poniewa budują i testują aplikacje, więc zazwyczaj potrzebują szerokiego dostępu i sporych uprawnień, aby zajmować się problemami z kodem. Poniewa dobrze prowadzony projekt programistyczny w bardziej widoczny sposób przynosi zyski ni projekt infrastruktury, programiści zwykle otrzymują szeroki dostęp do środowiska produkcyjnego, chyba e zanim go za ądają, zostaną im zapewnione rozsądne warunki pracy. Proszę zwrócić uwagę na to, e większość organizacji, tworząc opisy stanowisk, łączy te role. Na przykład, nierzadko spotkamy pomoc techniczną łączącą funkcje poziomu 1. i eksploatacji. Takie zazębianie się kompetencji mo e być powodem konfliktów pomiędzy poszczególnymi członkami zespołu, jeśli nie będzie zapewniony odpowiedni standard zarządzania, lecz to jest temat na osobną ksią kę. Gdy mamy do czynienia ze zdecentralizowaną organizacją, wówczas mno ymy i zwięk- szamy się liczba liczba pracowników grających określone role oraz zło oność interakcji pomiędzy nimi. Musimy bardzo rozwa nie wyznaczać strefy kontroli ka dej części organi- zacji i bezwzględnie wymuszać utrzymywanie tych stref. W przeciwnym razie przytłoczą nas trudności w zarządzaniu katalogiem i problemy z zapewnieniem spójności danych.
Rozdział 4. ♦ Planowanie Active Directory 83 Na szczęście Microsoft udostępnia dobre narzędzie pomagające rozdzielanie stref kontroli (nawet w zdecentralizowanej organizacji). Wprawdzie, teoretycznie, mo na ręcznie przypisywać uprawnienia do ka dego atrybutu, lecz większość administratorów wykorzystuje Kreator delegowania kontroli, który jest bezpośrednio powiązany z OU. Co?! Jeśli to prawda, to po co był nam ten cały nudny opis ról i funkcji pracowników? Mo emy po prostu rozdawać uprawnienia za pomocą kreatora i tyle. No có , sposób po- działu uprawnień związanych z zabezpieczeniami ma bardzo du o wspólnego z tym, jak zbudujemy strukturę OU. Załó my, na przykład, e pomoc techniczna ma szeroki dostęp do serwerów plików i dru- kowania, lecz adnego dostępu do serwerów WWW, Exchange i aplikacji. Pracownicy pomocy technicznej mogą dodawać u ytkowników do grup, zmieniać hasła i odbloko- wywać konta. Nie mogą jednak dodawać u ytkowników, komputerów i grup do domeny oraz nie mają praw do modyfikacji danych u ytkowników. W takim scenariuszu mogą nam być potrzebne OU dla u ytkowników, grup, serwerów plików i drukowania, serwerów WWW, serwerów Exchange i serwerów aplikacji. W tym przypadku mo emy stosować kreator do szczegółowej kontroli dostępu pracowników grupy pomocy technicznej do ka dej jednostki organizacyjnej i zawartych w niej obiektów. Gdy więc zaczynamy rozwa ać implikacje delegowania kontroli, musimy brać pod uwagę następujące zagadnienia: Jaki jest poziom wa ności danych, do których mo emy przyznać dostęp? Jak będziemy nadzorować zmiany danych katalogowych? Jaki dostęp jest właściwy dla poszczególnych ról w organizacji? Jak te zagadnienia wpływają na projekt jednostek organizacyjnych? Proszę zawsze pamiętać, że delegowanie uprawnień jest tylko częściowo funkcją działu informatycznego. W większym stopniu jest to zagadnienie biznesowe — kto ma uzasadnione potrzeby dostępu do określonych informacji i kogo należy wyłączyć z do- stępu do tej informacji ze względu na funkcjonowanie biznesu. Bezpieczeństwo Mamy pełne prawo twierdzić, e dział informatyczny istnieje, by chronić integralność danych organizacji. Istotnie, w wielu organizacjach jest to podstawowa funkcja działu informatycznego. Gdy dane firmy zostaną stracone, zniszczone lub uszkodzone, koszty mogą wynosić miliony dolarów i tysiące straconych roboczogodzin. Poniewa firmy stają się coraz ściślej połączone ze sobą, niepoprawne dane przekazane od jednego ogniwa łańcucha dostaw do innego mogą zniszczyć cały proces obejmujący wiele przedsiębiorstw, prowadząc do katastrofalnych skutków w wielu firmach. Pamiętając o tym, powinniśmy podchodzić do bezpieczeństwa danych i katalogu z naj- większą ostro nością. Jest to jedna z najwa niejszych funkcji, jakie mo emy zapewniać, i powinna być ona traktowana z odpowiedzialnością.
84 Projektowanie struktur Active Directory Przy tym powa nym tonie dobrą wiadomością jest to, e mamy do dyspozycji szereg jasno sprecyzowanych reguł, których mo emy się trzymać, aby chronić u ytkowników przed nadmiernymi szkodami: Stosuj zasadę minimalnego dostępu. Twórz procedury nadzoru i rejestracji. Równowa potrzebę ograniczeń i potrzeby pracowników. Zawsze zdobywaj odpowiednie upowa nienia. Obejmij schematem zabezpieczeń plany przywracania danych i ciągłości działania firmy. Zasada minimalnego dostępu mówi, i u ytkownik powinien otrzymać dostęp jedynie do danych i usług, które są mu w uzasadniony sposób potrzebne do wykonywania obo- wiązków słu bowych. Dostęp do reszty danych jest zakazany, niezale nie od politycz- nej lub organizacyjnej pozycji u ytkownika. W Windows 2000 mo emy zastosować zasadę minimalnego dostępu, tworząc z OU linie funkcjonalne i zapewniając przez to, aby jedynie zasoby przeznaczone do powszech- nego wykorzystania w przedsiębiorstwie posiadały w profilach zabezpieczeń przypisaną im grupę U ytkownicy domeny, oraz rozwa nie kontrolując, które grupy mają dostęp do poszczególnych zasobów. Kontrola doskonała pozwala na doskonałą ochronę. Niestety aden schemat zabezpieczeń nie jest idealny. Organizacje informatyczne są projektowane, budowane i obsługiwane przez ludzi i dla ludzi. Oznacza to, e błędy mogą się zdarzać. Jedynym sposobem identyfikacji i naprawiania pomyłek jest utworzenie jasnych procedur nadzoru i rejestracji dla tworzenia wystawców zabezpieczeń (tworzenia kont u ytkowników), dostępu do zabezpieczonych zasobów (dzienniki pomyślnych i nie- udanych prób dostępu) i dla zmian w zasadach zabezpieczeń (dodawanie osoby do grupy). Szczegółowość i częstość kontroli informacji muszą być dostosowane do zdolności działu informatycznego do rozsądnego przetwarzania danych. Niewiele daje groma- dzenie setek megabajtów szczegółowych danych, których nikt nie czyta. Musimy zasto- sować kilka zdroworozsądkowych reguł, aby ograniczyć powódź danych, z jaką mo emy się spotkać: W pierwszej kolejności monitoruj punkty dostępu do wa nych danych. Monitoruj grupy mające dostęp do tych punktów. Kontroluj zakładanie u ytkowników i grup. Pozwalaj tylko zaufanym administratorom nadawać uprawnienia do wyznaczonych zabezpieczonych udziałów. Oprócz monitorowania pozostaje jeszcze jeden element układanki dostępu do danych, który musimy przemyśleć: jak bardzo ostro ni powinniśmy być? Moglibyśmy zamknąć zabezpieczane dane w sejfie, wrzucić sejf do kadzi z betonem, a całość do najbli szej rzeki. Wprawdzie dane byłyby bezpieczne, lecz nikt nie mógłby ich u yć do wytworzenia jakiejkolwiek wartości.
Projektowanie struktur Active Directory
Projektowanie struktur Active Directory
Projektowanie struktur Active Directory
Projektowanie struktur Active Directory
Projektowanie struktur Active Directory
Projektowanie struktur Active Directory
Projektowanie struktur Active Directory
Projektowanie struktur Active Directory
Projektowanie struktur Active Directory
Projektowanie struktur Active Directory
Projektowanie struktur Active Directory
Projektowanie struktur Active Directory

Recommended

Oracle Discoverer
Oracle DiscovererOracle Discoverer
Oracle Discoverer
Wydawnictwo Helion
 
Po prostu Access 2003 PL
Po prostu Access 2003 PLPo prostu Access 2003 PL
Po prostu Access 2003 PL
Wydawnictwo Helion
 
JBuilder i bazy danych
JBuilder i bazy danychJBuilder i bazy danych
JBuilder i bazy danych
Wydawnictwo Helion
 
PHP, Microsoft IIS i SQL Server. Projektowanie i programowanie baz danych
PHP, Microsoft IIS i SQL Server. Projektowanie i programowanie baz danychPHP, Microsoft IIS i SQL Server. Projektowanie i programowanie baz danych
PHP, Microsoft IIS i SQL Server. Projektowanie i programowanie baz danych
Wydawnictwo Helion
 
Oracle. Projektowanie rozproszonych baz danych
Oracle. Projektowanie rozproszonych baz danychOracle. Projektowanie rozproszonych baz danych
Oracle. Projektowanie rozproszonych baz danych
Wydawnictwo Helion
 
Access 2003 PL. Kurs
Access 2003 PL. KursAccess 2003 PL. Kurs
Access 2003 PL. Kurs
Wydawnictwo Helion
 
Access 2003 PL dla każdego
Access 2003 PL dla każdegoAccess 2003 PL dla każdego
Access 2003 PL dla każdego
Wydawnictwo Helion
 
MySQL. Podstawy
MySQL. PodstawyMySQL. Podstawy
MySQL. Podstawy
Wydawnictwo Helion
 

Recommended

Oracle Discoverer
Oracle DiscovererOracle Discoverer
Oracle Discoverer
Wydawnictwo Helion
 
Po prostu Access 2003 PL
Po prostu Access 2003 PLPo prostu Access 2003 PL
Po prostu Access 2003 PL
Wydawnictwo Helion
 
JBuilder i bazy danych
JBuilder i bazy danychJBuilder i bazy danych
JBuilder i bazy danych
Wydawnictwo Helion
 
PHP, Microsoft IIS i SQL Server. Projektowanie i programowanie baz danych
PHP, Microsoft IIS i SQL Server. Projektowanie i programowanie baz danychPHP, Microsoft IIS i SQL Server. Projektowanie i programowanie baz danych
PHP, Microsoft IIS i SQL Server. Projektowanie i programowanie baz danych
Wydawnictwo Helion
 
Oracle. Projektowanie rozproszonych baz danych
Oracle. Projektowanie rozproszonych baz danychOracle. Projektowanie rozproszonych baz danych
Oracle. Projektowanie rozproszonych baz danych
Wydawnictwo Helion
 
Access 2003 PL. Kurs
Access 2003 PL. KursAccess 2003 PL. Kurs
Access 2003 PL. Kurs
Wydawnictwo Helion
 
Access 2003 PL dla każdego
Access 2003 PL dla każdegoAccess 2003 PL dla każdego
Access 2003 PL dla każdego
Wydawnictwo Helion
 
MySQL. Podstawy
MySQL. PodstawyMySQL. Podstawy
MySQL. Podstawy
Wydawnictwo Helion
 
Po prostu Access 2002/XP PL
Po prostu Access 2002/XP PLPo prostu Access 2002/XP PL
Po prostu Access 2002/XP PL
Wydawnictwo Helion
 
SQL. Od podstaw
SQL. Od podstawSQL. Od podstaw
SQL. Od podstaw
Wydawnictwo Helion
 
Access 2002. Tworzenie baz danych
Access 2002. Tworzenie baz danychAccess 2002. Tworzenie baz danych
Access 2002. Tworzenie baz danych
Wydawnictwo Helion
 
SQL. Leksykon kieszonkowy
SQL. Leksykon kieszonkowySQL. Leksykon kieszonkowy
SQL. Leksykon kieszonkowy
Wydawnictwo Helion
 
Oracle Database 10g. Nowe możliwości
Oracle Database 10g. Nowe możliwościOracle Database 10g. Nowe możliwości
Oracle Database 10g. Nowe możliwości
Wydawnictwo Helion
 
MySQL. Opis języka
MySQL. Opis językaMySQL. Opis języka
MySQL. Opis języka
Wydawnictwo Helion
 
ABC Access 2007 PL
ABC Access 2007 PLABC Access 2007 PL
ABC Access 2007 PL
Wydawnictwo Helion
 
Wprowadzenie do baz danych
Wprowadzenie do baz danychWprowadzenie do baz danych
Wprowadzenie do baz danych
Wydawnictwo Helion
 
Windows Server 2003. Podręcznik administratora
Windows Server 2003. Podręcznik administratoraWindows Server 2003. Podręcznik administratora
Windows Server 2003. Podręcznik administratora
Wydawnictwo Helion
 
Relacyjne bazy danych
Relacyjne bazy danychRelacyjne bazy danych
Relacyjne bazy danych
Wydawnictwo Helion
 
Praktyczny kurs SQL
Praktyczny kurs SQLPraktyczny kurs SQL
Praktyczny kurs SQL
Wydawnictwo Helion
 
Oracle9i. Podręcznik administratora baz danych
Oracle9i. Podręcznik administratora baz danychOracle9i. Podręcznik administratora baz danych
Oracle9i. Podręcznik administratora baz danych
Wydawnictwo Helion
 
Delphi 7 i bazy danych
Delphi 7 i bazy danychDelphi 7 i bazy danych
Delphi 7 i bazy danych
Wydawnictwo Helion
 
Oracle Database 10g RMAN. Archiwizacja i odzyskiwanie danych
Oracle Database 10g RMAN. Archiwizacja i odzyskiwanie danychOracle Database 10g RMAN. Archiwizacja i odzyskiwanie danych
Oracle Database 10g RMAN. Archiwizacja i odzyskiwanie danych
Wydawnictwo Helion
 
Bazy danych SQL. Teoria i praktyka
Bazy danych SQL. Teoria i praktykaBazy danych SQL. Teoria i praktyka
Bazy danych SQL. Teoria i praktyka
Wydawnictwo Helion
 
Access 2002/XP PL dla każdego
Access 2002/XP PL dla każdegoAccess 2002/XP PL dla każdego
Access 2002/XP PL dla każdego
Wydawnictwo Helion
 
Windows Server 2008. Infrastruktura klucza publicznego (PKI)
Windows Server 2008. Infrastruktura klucza publicznego (PKI)Windows Server 2008. Infrastruktura klucza publicznego (PKI)
Windows Server 2008. Infrastruktura klucza publicznego (PKI)
Wydawnictwo Helion
 
Java Data Objects
Java Data ObjectsJava Data Objects
Java Data Objects
Wydawnictwo Helion
 
Zarządzanie zasobami. Wzorce projektowe
Zarządzanie zasobami. Wzorce projektoweZarządzanie zasobami. Wzorce projektowe
Zarządzanie zasobami. Wzorce projektowe
Wydawnictwo Helion
 
Po prostu Outlook 2003 PL
Po prostu Outlook 2003 PLPo prostu Outlook 2003 PL
Po prostu Outlook 2003 PL
Wydawnictwo Helion
 
Projektowanie oprogramowania. Wstęp do programowania i techniki komputerowej
Projektowanie oprogramowania. Wstęp do programowania i techniki komputerowejProjektowanie oprogramowania. Wstęp do programowania i techniki komputerowej
Projektowanie oprogramowania. Wstęp do programowania i techniki komputerowej
Wydawnictwo Helion
 
ABC ochrony komputera przed atakami hakera
ABC ochrony komputera przed atakami hakeraABC ochrony komputera przed atakami hakera
ABC ochrony komputera przed atakami hakera
Wydawnictwo Helion
 

More Related Content

What's hot

Po prostu Access 2002/XP PL
Po prostu Access 2002/XP PLPo prostu Access 2002/XP PL
Po prostu Access 2002/XP PL
Wydawnictwo Helion
 
SQL. Od podstaw
SQL. Od podstawSQL. Od podstaw
SQL. Od podstaw
Wydawnictwo Helion
 
Access 2002. Tworzenie baz danych
Access 2002. Tworzenie baz danychAccess 2002. Tworzenie baz danych
Access 2002. Tworzenie baz danych
Wydawnictwo Helion
 
SQL. Leksykon kieszonkowy
SQL. Leksykon kieszonkowySQL. Leksykon kieszonkowy
SQL. Leksykon kieszonkowy
Wydawnictwo Helion
 
Oracle Database 10g. Nowe możliwości
Oracle Database 10g. Nowe możliwościOracle Database 10g. Nowe możliwości
Oracle Database 10g. Nowe możliwości
Wydawnictwo Helion
 
MySQL. Opis języka
MySQL. Opis językaMySQL. Opis języka
MySQL. Opis języka
Wydawnictwo Helion
 
ABC Access 2007 PL
ABC Access 2007 PLABC Access 2007 PL
ABC Access 2007 PL
Wydawnictwo Helion
 
Wprowadzenie do baz danych
Wprowadzenie do baz danychWprowadzenie do baz danych
Wprowadzenie do baz danych
Wydawnictwo Helion
 
Windows Server 2003. Podręcznik administratora
Windows Server 2003. Podręcznik administratoraWindows Server 2003. Podręcznik administratora
Windows Server 2003. Podręcznik administratora
Wydawnictwo Helion
 
Relacyjne bazy danych
Relacyjne bazy danychRelacyjne bazy danych
Relacyjne bazy danych
Wydawnictwo Helion
 
Praktyczny kurs SQL
Praktyczny kurs SQLPraktyczny kurs SQL
Praktyczny kurs SQL
Wydawnictwo Helion
 
Oracle9i. Podręcznik administratora baz danych
Oracle9i. Podręcznik administratora baz danychOracle9i. Podręcznik administratora baz danych
Oracle9i. Podręcznik administratora baz danych
Wydawnictwo Helion
 
Delphi 7 i bazy danych
Delphi 7 i bazy danychDelphi 7 i bazy danych
Delphi 7 i bazy danych
Wydawnictwo Helion
 
Oracle Database 10g RMAN. Archiwizacja i odzyskiwanie danych
Oracle Database 10g RMAN. Archiwizacja i odzyskiwanie danychOracle Database 10g RMAN. Archiwizacja i odzyskiwanie danych
Oracle Database 10g RMAN. Archiwizacja i odzyskiwanie danych
Wydawnictwo Helion
 
Bazy danych SQL. Teoria i praktyka
Bazy danych SQL. Teoria i praktykaBazy danych SQL. Teoria i praktyka
Bazy danych SQL. Teoria i praktyka
Wydawnictwo Helion
 
Access 2002/XP PL dla każdego
Access 2002/XP PL dla każdegoAccess 2002/XP PL dla każdego
Access 2002/XP PL dla każdego
Wydawnictwo Helion
 
Windows Server 2008. Infrastruktura klucza publicznego (PKI)
Windows Server 2008. Infrastruktura klucza publicznego (PKI)Windows Server 2008. Infrastruktura klucza publicznego (PKI)
Windows Server 2008. Infrastruktura klucza publicznego (PKI)
Wydawnictwo Helion
 
Java Data Objects
Java Data ObjectsJava Data Objects
Java Data Objects
Wydawnictwo Helion
 
Zarządzanie zasobami. Wzorce projektowe
Zarządzanie zasobami. Wzorce projektoweZarządzanie zasobami. Wzorce projektowe
Zarządzanie zasobami. Wzorce projektowe
Wydawnictwo Helion
 
Po prostu Outlook 2003 PL
Po prostu Outlook 2003 PLPo prostu Outlook 2003 PL
Po prostu Outlook 2003 PL
Wydawnictwo Helion
 

What's hot (20)

Po prostu Access 2002/XP PL
Po prostu Access 2002/XP PLPo prostu Access 2002/XP PL
Po prostu Access 2002/XP PL
 
SQL. Od podstaw
SQL. Od podstawSQL. Od podstaw
SQL. Od podstaw
 
Access 2002. Tworzenie baz danych
Access 2002. Tworzenie baz danychAccess 2002. Tworzenie baz danych
Access 2002. Tworzenie baz danych
 
SQL. Leksykon kieszonkowy
SQL. Leksykon kieszonkowySQL. Leksykon kieszonkowy
SQL. Leksykon kieszonkowy
 
Oracle Database 10g. Nowe możliwości
Oracle Database 10g. Nowe możliwościOracle Database 10g. Nowe możliwości
Oracle Database 10g. Nowe możliwości
 
MySQL. Opis języka
MySQL. Opis językaMySQL. Opis języka
MySQL. Opis języka
 
ABC Access 2007 PL
ABC Access 2007 PLABC Access 2007 PL
ABC Access 2007 PL
 
Wprowadzenie do baz danych
Wprowadzenie do baz danychWprowadzenie do baz danych
Wprowadzenie do baz danych
 
Windows Server 2003. Podręcznik administratora
Windows Server 2003. Podręcznik administratoraWindows Server 2003. Podręcznik administratora
Windows Server 2003. Podręcznik administratora
 
Relacyjne bazy danych
Relacyjne bazy danychRelacyjne bazy danych
Relacyjne bazy danych
 
Praktyczny kurs SQL
Praktyczny kurs SQLPraktyczny kurs SQL
Praktyczny kurs SQL
 
Oracle9i. Podręcznik administratora baz danych
Oracle9i. Podręcznik administratora baz danychOracle9i. Podręcznik administratora baz danych
Oracle9i. Podręcznik administratora baz danych
 
Delphi 7 i bazy danych
Delphi 7 i bazy danychDelphi 7 i bazy danych
Delphi 7 i bazy danych
 
Oracle Database 10g RMAN. Archiwizacja i odzyskiwanie danych
Oracle Database 10g RMAN. Archiwizacja i odzyskiwanie danychOracle Database 10g RMAN. Archiwizacja i odzyskiwanie danych
Oracle Database 10g RMAN. Archiwizacja i odzyskiwanie danych
 
Bazy danych SQL. Teoria i praktyka
Bazy danych SQL. Teoria i praktykaBazy danych SQL. Teoria i praktyka
Bazy danych SQL. Teoria i praktyka
 
Access 2002/XP PL dla każdego
Access 2002/XP PL dla każdegoAccess 2002/XP PL dla każdego
Access 2002/XP PL dla każdego
 
Windows Server 2008. Infrastruktura klucza publicznego (PKI)
Windows Server 2008. Infrastruktura klucza publicznego (PKI)Windows Server 2008. Infrastruktura klucza publicznego (PKI)
Windows Server 2008. Infrastruktura klucza publicznego (PKI)
 
Java Data Objects
Java Data ObjectsJava Data Objects
Java Data Objects
 
Zarządzanie zasobami. Wzorce projektowe
Zarządzanie zasobami. Wzorce projektoweZarządzanie zasobami. Wzorce projektowe
Zarządzanie zasobami. Wzorce projektowe
 
Po prostu Outlook 2003 PL
Po prostu Outlook 2003 PLPo prostu Outlook 2003 PL
Po prostu Outlook 2003 PL
 

Viewers also liked

Projektowanie oprogramowania. Wstęp do programowania i techniki komputerowej
Projektowanie oprogramowania. Wstęp do programowania i techniki komputerowejProjektowanie oprogramowania. Wstęp do programowania i techniki komputerowej
Projektowanie oprogramowania. Wstęp do programowania i techniki komputerowej
Wydawnictwo Helion
 
ABC ochrony komputera przed atakami hakera
ABC ochrony komputera przed atakami hakeraABC ochrony komputera przed atakami hakera
ABC ochrony komputera przed atakami hakera
Wydawnictwo Helion
 
ABC sieci komputerowych
ABC sieci komputerowychABC sieci komputerowych
ABC sieci komputerowych
Wydawnictwo Helion
 
TCP/IP dla każdego
TCP/IP dla każdegoTCP/IP dla każdego
TCP/IP dla każdego
Wydawnictwo Helion
 
Visual Basic .NET. Księga eksperta
Visual Basic .NET. Księga ekspertaVisual Basic .NET. Księga eksperta
Visual Basic .NET. Księga eksperta
Wydawnictwo Helion
 
ActionScript. Przewodnik encyklopedyczny
ActionScript. Przewodnik encyklopedycznyActionScript. Przewodnik encyklopedyczny
ActionScript. Przewodnik encyklopedyczny
Wydawnictwo Helion
 
BeStCAD dla AutoCAD-a 2002 LT
BeStCAD dla AutoCAD-a 2002 LTBeStCAD dla AutoCAD-a 2002 LT
BeStCAD dla AutoCAD-a 2002 LT
Wydawnictwo Helion
 
Język C. Programowanie
Język C. ProgramowanieJęzyk C. Programowanie
Język C. Programowanie
Wydawnictwo Helion
 
XSLT dla każdego
XSLT dla każdegoXSLT dla każdego
XSLT dla każdego
Wydawnictwo Helion
 
mod_perl. Podręcznik programisty
mod_perl. Podręcznik programistymod_perl. Podręcznik programisty
mod_perl. Podręcznik programisty
Wydawnictwo Helion
 

Viewers also liked (10)

Projektowanie oprogramowania. Wstęp do programowania i techniki komputerowej
Projektowanie oprogramowania. Wstęp do programowania i techniki komputerowejProjektowanie oprogramowania. Wstęp do programowania i techniki komputerowej
Projektowanie oprogramowania. Wstęp do programowania i techniki komputerowej
 
ABC ochrony komputera przed atakami hakera
ABC ochrony komputera przed atakami hakeraABC ochrony komputera przed atakami hakera
ABC ochrony komputera przed atakami hakera
 
ABC sieci komputerowych
ABC sieci komputerowychABC sieci komputerowych
ABC sieci komputerowych
 
TCP/IP dla każdego
TCP/IP dla każdegoTCP/IP dla każdego
TCP/IP dla każdego
 
Visual Basic .NET. Księga eksperta
Visual Basic .NET. Księga ekspertaVisual Basic .NET. Księga eksperta
Visual Basic .NET. Księga eksperta
 
ActionScript. Przewodnik encyklopedyczny
ActionScript. Przewodnik encyklopedycznyActionScript. Przewodnik encyklopedyczny
ActionScript. Przewodnik encyklopedyczny
 
BeStCAD dla AutoCAD-a 2002 LT
BeStCAD dla AutoCAD-a 2002 LTBeStCAD dla AutoCAD-a 2002 LT
BeStCAD dla AutoCAD-a 2002 LT
 
Język C. Programowanie
Język C. ProgramowanieJęzyk C. Programowanie
Język C. Programowanie
 
XSLT dla każdego
XSLT dla każdegoXSLT dla każdego
XSLT dla każdego
 
mod_perl. Podręcznik programisty
mod_perl. Podręcznik programistymod_perl. Podręcznik programisty
mod_perl. Podręcznik programisty
 

Similar to Projektowanie struktur Active Directory

100 sposobów na serwery Windows
100 sposobów na serwery Windows100 sposobów na serwery Windows
100 sposobów na serwery Windows
Wydawnictwo Helion
 
Oracle9i. Administrowanie bazami danych od podstaw
Oracle9i. Administrowanie bazami danych od podstawOracle9i. Administrowanie bazami danych od podstaw
Oracle9i. Administrowanie bazami danych od podstaw
Wydawnictwo Helion
 
Oracle9i. Przewodnik dla początkujących
Oracle9i. Przewodnik dla początkującychOracle9i. Przewodnik dla początkujących
Oracle9i. Przewodnik dla początkujących
Wydawnictwo Helion
 
Access w biurze i nie tylko
Access w biurze i nie tylkoAccess w biurze i nie tylko
Access w biurze i nie tylko
Wydawnictwo Helion
 
Bazy danych i MySQL. Od podstaw
Bazy danych i MySQL. Od podstawBazy danych i MySQL. Od podstaw
Bazy danych i MySQL. Od podstaw
Wydawnictwo Helion
 
SQL Server 2005. Wyciśnij wszystko
SQL Server 2005. Wyciśnij wszystkoSQL Server 2005. Wyciśnij wszystko
SQL Server 2005. Wyciśnij wszystko
Wydawnictwo Helion
 
Oracle Database 10g. Kompendium administratora
Oracle Database 10g. Kompendium administratoraOracle Database 10g. Kompendium administratora
Oracle Database 10g. Kompendium administratora
Wydawnictwo Helion
 
100 sposobów na Access
100 sposobów na Access100 sposobów na Access
100 sposobów na Access
Wydawnictwo Helion
 
Access 2007 PL. Kurs
Access 2007 PL. KursAccess 2007 PL. Kurs
Access 2007 PL. Kurs
Wydawnictwo Helion
 
Microsoft SQL Server 2005. Podręcznik programisty
Microsoft SQL Server 2005. Podręcznik programistyMicrosoft SQL Server 2005. Podręcznik programisty
Microsoft SQL Server 2005. Podręcznik programisty
Wydawnictwo Helion
 
Java w komercyjnych usługach sieciowych. Księga eksperta
Java w komercyjnych usługach sieciowych. Księga ekspertaJava w komercyjnych usługach sieciowych. Księga eksperta
Java w komercyjnych usługach sieciowych. Księga eksperta
Wydawnictwo Helion
 
Delphi 2007 dla WIN32 i bazy danych
Delphi 2007 dla WIN32 i bazy danychDelphi 2007 dla WIN32 i bazy danych
Delphi 2007 dla WIN32 i bazy danych
Wydawnictwo Helion
 
Windows Server 2003. Wysoko wydajne rozwiązania
Windows Server 2003. Wysoko wydajne rozwiązaniaWindows Server 2003. Wysoko wydajne rozwiązania
Windows Server 2003. Wysoko wydajne rozwiązania
Wydawnictwo Helion
 
SQL Server 2005
SQL Server 2005SQL Server 2005
SQL Server 2005
Wydawnictwo Helion
 
SQL. Szybki start
SQL. Szybki startSQL. Szybki start
SQL. Szybki start
Wydawnictwo Helion
 
Transact-SQL. Czarna księga
Transact-SQL. Czarna księgaTransact-SQL. Czarna księga
Transact-SQL. Czarna księga
Wydawnictwo Helion
 

Similar to Projektowanie struktur Active Directory (16)

100 sposobów na serwery Windows
100 sposobów na serwery Windows100 sposobów na serwery Windows
100 sposobów na serwery Windows
 
Oracle9i. Administrowanie bazami danych od podstaw
Oracle9i. Administrowanie bazami danych od podstawOracle9i. Administrowanie bazami danych od podstaw
Oracle9i. Administrowanie bazami danych od podstaw
 
Oracle9i. Przewodnik dla początkujących
Oracle9i. Przewodnik dla początkującychOracle9i. Przewodnik dla początkujących
Oracle9i. Przewodnik dla początkujących
 
Access w biurze i nie tylko
Access w biurze i nie tylkoAccess w biurze i nie tylko
Access w biurze i nie tylko
 
Bazy danych i MySQL. Od podstaw
Bazy danych i MySQL. Od podstawBazy danych i MySQL. Od podstaw
Bazy danych i MySQL. Od podstaw
 
SQL Server 2005. Wyciśnij wszystko
SQL Server 2005. Wyciśnij wszystkoSQL Server 2005. Wyciśnij wszystko
SQL Server 2005. Wyciśnij wszystko
 
Oracle Database 10g. Kompendium administratora
Oracle Database 10g. Kompendium administratoraOracle Database 10g. Kompendium administratora
Oracle Database 10g. Kompendium administratora
 
100 sposobów na Access
100 sposobów na Access100 sposobów na Access
100 sposobów na Access
 
Access 2007 PL. Kurs
Access 2007 PL. KursAccess 2007 PL. Kurs
Access 2007 PL. Kurs
 
Microsoft SQL Server 2005. Podręcznik programisty
Microsoft SQL Server 2005. Podręcznik programistyMicrosoft SQL Server 2005. Podręcznik programisty
Microsoft SQL Server 2005. Podręcznik programisty
 
Java w komercyjnych usługach sieciowych. Księga eksperta
Java w komercyjnych usługach sieciowych. Księga ekspertaJava w komercyjnych usługach sieciowych. Księga eksperta
Java w komercyjnych usługach sieciowych. Księga eksperta
 
Delphi 2007 dla WIN32 i bazy danych
Delphi 2007 dla WIN32 i bazy danychDelphi 2007 dla WIN32 i bazy danych
Delphi 2007 dla WIN32 i bazy danych
 
Windows Server 2003. Wysoko wydajne rozwiązania
Windows Server 2003. Wysoko wydajne rozwiązaniaWindows Server 2003. Wysoko wydajne rozwiązania
Windows Server 2003. Wysoko wydajne rozwiązania
 
SQL Server 2005
SQL Server 2005SQL Server 2005
SQL Server 2005
 
SQL. Szybki start
SQL. Szybki startSQL. Szybki start
SQL. Szybki start
 
Transact-SQL. Czarna księga
Transact-SQL. Czarna księgaTransact-SQL. Czarna księga
Transact-SQL. Czarna księga
 

More from Wydawnictwo Helion

Tworzenie filmów w Windows XP. Projekty
Tworzenie filmów w Windows XP. ProjektyTworzenie filmów w Windows XP. Projekty
Tworzenie filmów w Windows XP. Projekty
Wydawnictwo Helion
 
Blog, więcej niż internetowy pamiętnik
Blog, więcej niż internetowy pamiętnikBlog, więcej niż internetowy pamiętnik
Blog, więcej niż internetowy pamiętnik
Wydawnictwo Helion
 
Pozycjonowanie i optymalizacja stron WWW. Ćwiczenia praktyczne
Pozycjonowanie i optymalizacja stron WWW. Ćwiczenia praktycznePozycjonowanie i optymalizacja stron WWW. Ćwiczenia praktyczne
Pozycjonowanie i optymalizacja stron WWW. Ćwiczenia praktyczne
Wydawnictwo Helion
 
E-wizerunek. Internet jako narzędzie kreowania image'u w biznesie
E-wizerunek. Internet jako narzędzie kreowania image'u w biznesieE-wizerunek. Internet jako narzędzie kreowania image'u w biznesie
E-wizerunek. Internet jako narzędzie kreowania image'u w biznesie
Wydawnictwo Helion
 
Microsoft Visual C++ 2008. Tworzenie aplikacji dla Windows
Microsoft Visual C++ 2008. Tworzenie aplikacji dla WindowsMicrosoft Visual C++ 2008. Tworzenie aplikacji dla Windows
Microsoft Visual C++ 2008. Tworzenie aplikacji dla Windows
Wydawnictwo Helion
 
Co potrafi Twój iPhone? Podręcznik użytkownika. Wydanie II
Co potrafi Twój iPhone? Podręcznik użytkownika. Wydanie IICo potrafi Twój iPhone? Podręcznik użytkownika. Wydanie II
Co potrafi Twój iPhone? Podręcznik użytkownika. Wydanie II
Wydawnictwo Helion
 
Makrofotografia. Magia szczegółu
Makrofotografia. Magia szczegółuMakrofotografia. Magia szczegółu
Makrofotografia. Magia szczegółu
Wydawnictwo Helion
 
Windows PowerShell. Podstawy
Windows PowerShell. PodstawyWindows PowerShell. Podstawy
Windows PowerShell. Podstawy
Wydawnictwo Helion
 
Java. Efektywne programowanie. Wydanie II
Java. Efektywne programowanie. Wydanie IIJava. Efektywne programowanie. Wydanie II
Java. Efektywne programowanie. Wydanie II
Wydawnictwo Helion
 
JavaScript. Pierwsze starcie
JavaScript. Pierwsze starcieJavaScript. Pierwsze starcie
JavaScript. Pierwsze starcie
Wydawnictwo Helion
 
Ajax, JavaScript i PHP. Intensywny trening
Ajax, JavaScript i PHP. Intensywny treningAjax, JavaScript i PHP. Intensywny trening
Ajax, JavaScript i PHP. Intensywny trening
Wydawnictwo Helion
 
PowerPoint 2007 PL. Seria praktyk
PowerPoint 2007 PL. Seria praktykPowerPoint 2007 PL. Seria praktyk
PowerPoint 2007 PL. Seria praktyk
Wydawnictwo Helion
 
Excel 2007 PL. Seria praktyk
Excel 2007 PL. Seria praktykExcel 2007 PL. Seria praktyk
Excel 2007 PL. Seria praktyk
Wydawnictwo Helion
 
Access 2007 PL. Seria praktyk
Access 2007 PL. Seria praktykAccess 2007 PL. Seria praktyk
Access 2007 PL. Seria praktyk
Wydawnictwo Helion
 
Word 2007 PL. Seria praktyk
Word 2007 PL. Seria praktykWord 2007 PL. Seria praktyk
Word 2007 PL. Seria praktyk
Wydawnictwo Helion
 
Serwisy społecznościowe. Budowa, administracja i moderacja
Serwisy społecznościowe. Budowa, administracja i moderacjaSerwisy społecznościowe. Budowa, administracja i moderacja
Serwisy społecznościowe. Budowa, administracja i moderacja
Wydawnictwo Helion
 
AutoCAD 2008 i 2008 PL
AutoCAD 2008 i 2008 PLAutoCAD 2008 i 2008 PL
AutoCAD 2008 i 2008 PL
Wydawnictwo Helion
 
Bazy danych. Pierwsze starcie
Bazy danych. Pierwsze starcieBazy danych. Pierwsze starcie
Bazy danych. Pierwsze starcie
Wydawnictwo Helion
 
Inventor. Pierwsze kroki
Inventor. Pierwsze krokiInventor. Pierwsze kroki
Inventor. Pierwsze kroki
Wydawnictwo Helion
 
Serwer SQL 2008. Administracja i programowanie
Serwer SQL 2008. Administracja i programowanieSerwer SQL 2008. Administracja i programowanie
Serwer SQL 2008. Administracja i programowanie
Wydawnictwo Helion
 

More from Wydawnictwo Helion (20)

Tworzenie filmów w Windows XP. Projekty
Tworzenie filmów w Windows XP. ProjektyTworzenie filmów w Windows XP. Projekty
Tworzenie filmów w Windows XP. Projekty
 
Blog, więcej niż internetowy pamiętnik
Blog, więcej niż internetowy pamiętnikBlog, więcej niż internetowy pamiętnik
Blog, więcej niż internetowy pamiętnik
 
Pozycjonowanie i optymalizacja stron WWW. Ćwiczenia praktyczne
Pozycjonowanie i optymalizacja stron WWW. Ćwiczenia praktycznePozycjonowanie i optymalizacja stron WWW. Ćwiczenia praktyczne
Pozycjonowanie i optymalizacja stron WWW. Ćwiczenia praktyczne
 
E-wizerunek. Internet jako narzędzie kreowania image'u w biznesie
E-wizerunek. Internet jako narzędzie kreowania image'u w biznesieE-wizerunek. Internet jako narzędzie kreowania image'u w biznesie
E-wizerunek. Internet jako narzędzie kreowania image'u w biznesie
 
Microsoft Visual C++ 2008. Tworzenie aplikacji dla Windows
Microsoft Visual C++ 2008. Tworzenie aplikacji dla WindowsMicrosoft Visual C++ 2008. Tworzenie aplikacji dla Windows
Microsoft Visual C++ 2008. Tworzenie aplikacji dla Windows
 
Co potrafi Twój iPhone? Podręcznik użytkownika. Wydanie II
Co potrafi Twój iPhone? Podręcznik użytkownika. Wydanie IICo potrafi Twój iPhone? Podręcznik użytkownika. Wydanie II
Co potrafi Twój iPhone? Podręcznik użytkownika. Wydanie II
 
Makrofotografia. Magia szczegółu
Makrofotografia. Magia szczegółuMakrofotografia. Magia szczegółu
Makrofotografia. Magia szczegółu
 
Windows PowerShell. Podstawy
Windows PowerShell. PodstawyWindows PowerShell. Podstawy
Windows PowerShell. Podstawy
 
Java. Efektywne programowanie. Wydanie II
Java. Efektywne programowanie. Wydanie IIJava. Efektywne programowanie. Wydanie II
Java. Efektywne programowanie. Wydanie II
 
JavaScript. Pierwsze starcie
JavaScript. Pierwsze starcieJavaScript. Pierwsze starcie
JavaScript. Pierwsze starcie
 
Ajax, JavaScript i PHP. Intensywny trening
Ajax, JavaScript i PHP. Intensywny treningAjax, JavaScript i PHP. Intensywny trening
Ajax, JavaScript i PHP. Intensywny trening
 
PowerPoint 2007 PL. Seria praktyk
PowerPoint 2007 PL. Seria praktykPowerPoint 2007 PL. Seria praktyk
PowerPoint 2007 PL. Seria praktyk
 
Excel 2007 PL. Seria praktyk
Excel 2007 PL. Seria praktykExcel 2007 PL. Seria praktyk
Excel 2007 PL. Seria praktyk
 
Access 2007 PL. Seria praktyk
Access 2007 PL. Seria praktykAccess 2007 PL. Seria praktyk
Access 2007 PL. Seria praktyk
 
Word 2007 PL. Seria praktyk
Word 2007 PL. Seria praktykWord 2007 PL. Seria praktyk
Word 2007 PL. Seria praktyk
 
Serwisy społecznościowe. Budowa, administracja i moderacja
Serwisy społecznościowe. Budowa, administracja i moderacjaSerwisy społecznościowe. Budowa, administracja i moderacja
Serwisy społecznościowe. Budowa, administracja i moderacja
 
AutoCAD 2008 i 2008 PL
AutoCAD 2008 i 2008 PLAutoCAD 2008 i 2008 PL
AutoCAD 2008 i 2008 PL
 
Bazy danych. Pierwsze starcie
Bazy danych. Pierwsze starcieBazy danych. Pierwsze starcie
Bazy danych. Pierwsze starcie
 
Inventor. Pierwsze kroki
Inventor. Pierwsze krokiInventor. Pierwsze kroki
Inventor. Pierwsze kroki
 
Serwer SQL 2008. Administracja i programowanie
Serwer SQL 2008. Administracja i programowanieSerwer SQL 2008. Administracja i programowanie
Serwer SQL 2008. Administracja i programowanie
 

Projektowanie struktur Active Directory

  • 1. IDZ DO PRZYK£ADOWY ROZDZIA£ SPIS TRE CI Projektowanie struktur Active Directory KATALOG KSI¥¯EK Autor: Neall Allcot T³umaczenie: Adam Jarczyk KATALOG ONLINE ISBN: 83-7197-794-8 Tytu³ orygina³u: Understanding & Designing ZAMÓW DRUKOWANY KATALOG Your Active Directory Infrastructure Format: B5, stron: 294 TWÓJ KOSZYK DODAJ DO KOSZYKA Active Directory jest z³o¿on¹ baz¹ danych i nieod³¹cznym elementem architektury sieciowej Windows 2000. Pozwala organizacjom skutecznie udostêpniaæ i zarz¹dzaæ informacjami dotycz¹cymi zasobów sieciowych i u¿ytkowników. Active Directory gra CENNIK I INFORMACJE rolê wêz³a integruj¹cego ze sob¹ systemy i pozwalaj¹cego na konsolidacjê zarz¹dzania nimi. W niniejszej ksi¹¿ce zawarli my do wiadczenia nabyte przy implementacji AD: ZAMÓW INFORMACJE • Planowanie instalacji AD w terminie i w ramach zaplanowanego bud¿etu. O NOWO CIACH • Interakcja AD z innymi us³ugami sieciowymi: DNS, DHCP, RIS, RRAS i WINS. • Korzystanie z obiektów zasad grup, praw u¿ytkownika, FSMO i mechanizmów ZAMÓW CENNIK delegowania kontroli. • Unikanie pu³apek w strategiach migracji korzystaj¹cych z narzêdzi migracji Active Directory. CZYTELNIA • Administracyjne i polityczne aspekty migracji do AD W ksi¹¿ce Projektowanie struktur Active Directory ponadto znajdziemy: FRAGMENTY KSI¥¯EK ONLINE • Przejrzysty opis AD. • Wyja nienie, dlaczego udane wdro¿enie Active Directory wymaga starannego zaplanowania. • Kilka przykladów pomy lnych implementacji AD. • Sposoby tworzenia solidnych podstaw dla planowania i implementacji Active Directory. Wydawnictwo Helion ul. Chopina 6 44-100 Gliwice tel. (32)230-98-63 e-mail: helion@helion.pl
  • 2. Spis treści O Autorach ...................................................................................... 11 Wprowadzenie ................................................................................. 13 Do kogo skierowana jest ta ksią ka?.................................................................................13 Konwencje stosowane w tej ksią ce .................................................................................14 Rozdział 1. Wprowadzenie do Windows 2000 i Active Directory .......................... 15 Przegląd wersji Windows 2000.........................................................................................15 Windows 2000 Professional .......................................................................................16 Windows 2000 Server.................................................................................................16 Windows 2000 Advanced Server................................................................................16 Windows 2000 Datacenter Server ..............................................................................17 Czym jest Active Directory w Windows 2000?................................................................17 Definicja Active Directory..........................................................................................18 Komplementarne składniki Active Directory .............................................................20 Korzyści płynące z u ywania Active Directory..........................................................24 Podsumowanie ..................................................................................................................25 W praktyce ........................................................................................................................26 Rozdział 2. Novell NDS i Windows NT 4.0 Directory Services ................................. 29 Novell NetWare i NDS .....................................................................................................29 Historia NetWare...............................................................................................................30 NetWare 3.x ................................................................................................................30 NetWare 4.x ................................................................................................................31 NetWare 5.x ................................................................................................................31 Wprowadzenie do NDS.....................................................................................................31 Struktura NDS i topologia replikacji ..........................................................................32 Obiekty NDS: [Root] ..................................................................................................32 Topologia replikacji usługi NDS ................................................................................38 NDS kontra Active Directory............................................................................................40 Wystawcy zabezpieczeń .............................................................................................40 Partycjonowanie replikacji..........................................................................................40 Windows NT 4.0 Directory Services ................................................................................41 Domeny.......................................................................................................................41 Role serwerów w Windows NT..................................................................................41 Relacje zaufania ..........................................................................................................43 Rozmiary bazy danych katalogu .......................................................................................44 Modele domen...................................................................................................................45 Pojedyncza domena ....................................................................................................45 Model z pojedynczą domeną główną..........................................................................45
  • 3. 6 Projektowanie struktur Active Directory Model wielu domen głównych....................................................................................46 Model pełnego zaufania..............................................................................................46 Podsumowanie ..................................................................................................................47 W praktyce ........................................................................................................................47 Rozdział 3. Składniki Active Directory ................................................................ 49 Przestrzeń nazw domen.....................................................................................................49 Dopuszczalne nazwy DNS..........................................................................................51 Przestrzenie nazw: wewnętrzna i zewnętrzna.............................................................51 Domeny .............................................................................................................................53 Obszary administracyjne.............................................................................................54 Zasady zabezpieczeń domeny.....................................................................................54 Tworzenie domen........................................................................................................54 Tworzenie większej liczby domen..............................................................................55 Drzewa ..............................................................................................................................56 Tworzenie drzew.........................................................................................................57 Lasy ...................................................................................................................................57 Tworzenie lasów .........................................................................................................58 Lokacje Active Directory ..................................................................................................59 Tworzenie lokacji........................................................................................................60 Podsumowanie ..................................................................................................................62 W praktyce ........................................................................................................................62 Rozdział 4. Planowanie Active Directory............................................................. 65 Zagadnienia migracji.........................................................................................................66 Modernizacja domeny do Windows 2000 ..................................................................66 Migracja równoległa ...................................................................................................70 Domeny w trybie mieszanym i macierzystym............................................................72 Migracja serwerów......................................................................................................73 Migracja klientów .......................................................................................................75 Migracja u ytkowników i grup...................................................................................76 Zagadnienia administracyjne.............................................................................................77 Ró nice administracyjne pomiędzy Windows NT i 2000 ..........................................77 Jaką rolę grają OU?.....................................................................................................79 Delegowanie kontroli..................................................................................................81 Bezpieczeństwo...........................................................................................................83 Zasady grup.................................................................................................................85 Zagadnienia bezpieczeństwa .............................................................................................87 Dostęp do Active Directory ........................................................................................87 Zarządzanie AD ..........................................................................................................89 Udziały i drukarki w AD.............................................................................................89 Przeszukiwanie AD.....................................................................................................90 Zagadnienia instalacji........................................................................................................90 Wykorzystanie usługi instalacji zdalnej......................................................................90 Instalowanie oprogramowania poprzez GPO .............................................................91 Zagadnienia polityczne .....................................................................................................91 Zagadnienia administracyjne ......................................................................................92 Zagadnienia przestrzeni nazw domen.........................................................................92 Dostęp do zawartości katalogu ...................................................................................93 Problemy ze schematem .............................................................................................94 Zagadnienia handlu i dostępu na skalę światową .......................................................94 Podsumowanie ..................................................................................................................95 W praktyce ........................................................................................................................95
  • 4. Spis treści 7 Rozdział 5. Współpraca z innymi usługami sieciowymi ........................................ 97 System nazw domen (DNS) ..............................................................................................97 Strefy DNS..................................................................................................................99 Stosowanie serwerów DNS spoza Windows 2000 ...................................................101 Instalowanie serwera DNS........................................................................................101 Protokół dynamicznej konfiguracji hosta (DHCP) .........................................................106 Wymiana wiadomości w DHCP ...............................................................................107 Zakresy DHCP ..........................................................................................................108 Opcje DHCP .............................................................................................................108 Instalowanie serwera DHCP .....................................................................................108 Autoryzacja serwera DHCP w Active Directory ......................................................109 Tworzenie zakresów .................................................................................................110 Dynamiczny DNS: współdziałanie usług DNS i DHCP.................................................111 Usługi instalacji zdalnej (RIS) ........................................................................................113 Wymogi RIS .............................................................................................................114 Instalacja i konfiguracja RIS.....................................................................................114 Autoryzacja serwera RIS w Active Directory ..........................................................115 Wstępne przygotowanie komputerów.......................................................................115 Podsumowanie ................................................................................................................116 W praktyce ......................................................................................................................116 Rozdział 6. Tworzenie składników w Active Directory ....................................... 119 Zarządzanie u ytkownikami i komputerami w Active Directory ...................................119 Domyślna konfiguracja Active Directory...........................................................................120 Obiekty Active Directory ................................................................................................120 Czym są jednostki organizacyjne? ..................................................................................121 Tworzenie jednostek organizacyjnych......................................................................122 Rozmieszczanie OU w Active Directory..................................................................125 Planowanie jednostek organizacyjnych ....................................................................126 Zarządzanie kontami u ytkowników ..............................................................................126 Typy nazw logowania ...............................................................................................127 Modyfikacje kont u ytkowników .............................................................................128 Tworzenie szablonów u ytkowników.......................................................................130 Podstawowe właściwości kont u ytkowników.........................................................130 Szczegóły profilu ......................................................................................................133 Szczegóły dotyczące katalogu macierzystego ..........................................................133 Szczegóły dotyczące dostępu zdalnego ....................................................................134 Szczegóły dotyczące serwera terminali ....................................................................135 Lokalizacja u ytkowników w Active Directory .......................................................138 Wprowadzenie do grup ...................................................................................................139 Typy grup..................................................................................................................139 Zasięg grup................................................................................................................140 Tworzenie grup .........................................................................................................140 Podstawowe właściwości grup .................................................................................141 Mo liwości zagnie d ania grup................................................................................143 Lokalizacja grup w Active Directory........................................................................143 Planowanie grup........................................................................................................143 Komputery w Active Directory.......................................................................................144 Tworzenie obiektów komputerów ............................................................................144 Podstawowe właściwości obiektu komputera...........................................................145 Lokalizacja w Active Directory ................................................................................147 Komputery zarządzane..............................................................................................147
  • 5. 8 Projektowanie struktur Active Directory Korzystanie z drukarek w Active Directory....................................................................148 Publikowanie drukarki ..............................................................................................148 Bezpieczeństwo drukarek w Active Directory .........................................................150 Planowanie rozmieszczenia drukarek .......................................................................150 Korzystanie z udostępnionych folderów .........................................................................151 Tworzenie udziału.....................................................................................................151 Bezpieczeństwo udziałów w Active Directory .........................................................151 Planowanie udziałów ................................................................................................152 Zastosowanie kontaktów w Active Directory .................................................................152 Tworzenie kontaktu ..................................................................................................152 Podstawowe właściwości kontaktów........................................................................153 Planowanie kontaktów ..............................................................................................155 Podsumowanie ................................................................................................................156 W praktyce ......................................................................................................................156 Rozdział 7. Obsługa środowiska Active Directory.............................................. 159 Elastyczne pojedyncze wzorce operacji (FSMO) ...........................................................159 Czym są FSMO? .......................................................................................................160 Gdzie powinniśmy rozmieścić FSMO? ....................................................................161 Planowanie FSMO ....................................................................................................161 Delegowanie kontroli ......................................................................................................162 Korzystanie z kreatora ..............................................................................................162 Przeglądanie wyników delegowania.........................................................................165 Usuwanie oddelegowanych uprawnień.....................................................................166 Obiekty zasad grup (GPO) ..............................................................................................167 Czym są GPO?..........................................................................................................168 Tworzenie zasad grup ...............................................................................................168 Stosowanie GPO do u ytkowników i komputerów ..................................................169 Składniki zasad grup .................................................................................................169 Edycja zasad grup .....................................................................................................172 Bezpieczeństwo zasad grup ......................................................................................172 Stosowanie zasad grup w Active Directory ..............................................................173 Własne zasady grup ..................................................................................................175 Ustawianie praw u ytkowników .....................................................................................176 Skrypty ............................................................................................................................177 Host skryptów systemu Windows.............................................................................177 ADSI .........................................................................................................................178 Współpraca z innymi systemami.....................................................................................179 Klienty starszego typu (Windows 9x i Windows NT Workstation) .........................179 Serwery i domeny Windows NT 4............................................................................180 NetWare i NDS .........................................................................................................181 Services for Unix ......................................................................................................183 Podsumowanie ................................................................................................................184 W praktyce ......................................................................................................................184 Rozdział 8. Planowanie migracji i dostępne narzędzia ....................................... 187 Przygotowanie do migracji..............................................................................................187 Serwery: modernizacja i zastępowanie sprzętu ........................................................188 Analiza projektu Active Directory............................................................................188 Modernizacja bezpośrednia czy restrukturyzacja domeny? .....................................189 Tryb mieszany czy macierzysty? ..............................................................................189 Porządki po migracji .................................................................................................192 Modernizacja bezpośrednia.............................................................................................193
  • 6. Spis treści 9 Restrukturyzacja domeny................................................................................................194 Modernizacja i restrukturyzacja................................................................................194 Restrukturyzacja równoległa ....................................................................................195 Narzędzie migracji usługi Active Directory....................................................................197 Kreator raportów.......................................................................................................198 Kreator migracji u ytkowników ...............................................................................201 Kreator migracji kont grup........................................................................................204 Narzędzie migracji usługi Active Directory wersja 2...............................................209 ClonePrincipal.................................................................................................................210 Zalety ClonePrincipal ...............................................................................................210 Wady ClonePrincipal ................................................................................................212 MoveTree ........................................................................................................................213 Zalety MoveTree.......................................................................................................213 Wymogi wstępne MoveTree.....................................................................................214 Netdom ............................................................................................................................215 Zarządzanie kontami komputerów............................................................................215 Zarządzanie relacjami zaufania.................................................................................215 Przystawka MMC ADSI Edit..........................................................................................216 Pakiet narzędzi NetIQ Migration Suite ...........................................................................216 NetIQ NetWare Migrator..........................................................................................217 Server Consolidator ..................................................................................................217 Migration Assessor ...................................................................................................217 Exchange Migrator....................................................................................................217 Dodatkowe narzędzia ......................................................................................................240 Aelita Controlled Migration Suite ............................................................................241 FastLane Migrator i Server Consolidator .................................................................241 Migracja komputerów biurkowych .................................................................................241 Migracja NetWare ...........................................................................................................242 Podsumowanie ................................................................................................................242 W praktyce ......................................................................................................................243 Istniejące środowisko domen Windows NT 4.0. ......................................................243 Plan migracji .............................................................................................................243 Narzędzia migracji ....................................................................................................244 Rozdział 9. Rozwiązywanie problemów z AD ..................................................... 245 Tryby pracy domeny .......................................................................................................246 Tryb mieszany...........................................................................................................246 Tryb macierzysty ......................................................................................................247 Co nie ulega zmianie?...............................................................................................249 Replikacja katalogu i plików...........................................................................................249 Replikacja Active Directory .....................................................................................249 Usługa replikacji plików (FRS) ................................................................................257 Zasady grup .....................................................................................................................260 Jak poznać, e dzieje się coś złego?..........................................................................260 Reguły stosowania zasad grup ..................................................................................261 Zamiana i scalanie zasad grup ..................................................................................262 Przydatne narzędzia ..................................................................................................263 Zmiany wprowadzane w zasadach grup ...................................................................265 Instalacja oprogramowania .............................................................................................268 Wybór pakietów do instalacji ...................................................................................269 Kto ma prawa do instalacji?......................................................................................269 Jak sprawdzić, co poszło nie tak? .............................................................................269 Podsumowanie ................................................................................................................271
  • 7. 10 Projektowanie struktur Active Directory Rozdział 10. .NET i nowa generacja Windows..................................................... 273 Inicjatywa .NET ..............................................................................................................273 .NET Experiences .....................................................................................................274 Klienty.......................................................................................................................275 Usługi........................................................................................................................275 Serwery .....................................................................................................................275 Narzędzia ..................................................................................................................276 Następne pokolenie Windows.........................................................................................276 Windows XP .............................................................................................................277 Windows .NET Server ..............................................................................................279 Podsumowanie ................................................................................................................281 Skorowidz ...................................................................................... 283
  • 8. Rozdział 4. Planowanie Active Directory W poprzednich rozdziałach przedstawiliśmy, czym jest usługa Active Directory, czym ró ni się od podobnych produktów i jak jest zorganizowana. Niniejszy rozdział zajmuje się ró nymi zagadnieniami, które musimy rozwa yć podczas planowania i implemen- towania AD w organizacji. Najwa niejszą sprawą dotyczącą tych zagadnień, jest to, i większość z nich jest jedynie w niewielkim stopniu związana ze stroną techniczną. Problemy wynikają z uwarunkowań politycznych, organizacyjnych i komunikacyjnych, które, jeśli nie zostaną prawidłowo zrozumiane i potraktowane, mogą doprowadzić do drastycznych rozbie ności pomiędzy projektem AD a faktycznym środowiskiem pracy. Mo emy pogrupować problemy na ró ne sposoby, jednak dla naszych celów najwygod- niejszy będzie następujący podział: Zagadnienia migracji — problemy związane z implementacją, które mogą mieć wpływ na strategie WINS, DHCP, OU, u ytkowników i grup. Zagadnienia administracyjne — problemy eksploatacyjne, które mogą wpływać na struktury OU, GPO, u ytkowników i grup. Zagadnienia bezpieczeństwa — zagadnienia dostępu i ochrony danych, które mogą oddziaływać na struktury OU, grup i GPO. Zagadnienia instalacji — problemy organizacyjne i techniczne, które mogą wpłynąć na plan migracji i procedury instalowania serwerów i stacji roboczych. Zagadnienia organizacyjne — zasady prawne i związane z komunikacją, które mogą oddziaływać na plany wdra ania, projekt zabezpieczeń, projekt dostępu i zasady zarządzania. Wszelkie porady zawarte w tym rozdziale sprowadzają się do następującego stwierdzenia: nale y poznać środowisko przed rozpoczęciem projektowania. Nie wystarczy zrozumienie zagadnień związanych z rozmieszczeniem komputerów; musimy wiedzieć te , jak sieć jest administrowana, jak u ytkownicy wykonują swoje zadania i jak nale ałoby poprawić sieć, by lepiej słu yła u ytkownikom. Dopiero wtedy mo emy zacząć zastanawiać się nad projektem.
  • 9. 66 Projektowanie struktur Active Directory Zagadnienia migracji Na początku procesu planowania AD powinniśmy zatrzymać się i dobrze i uwa nie przyjrzeć się istniejącemu środowisku. Czy na pewno rozumiemy, co w nim się dzieje? Czy wiemy, jakimi komputerami dysponujemy? Ile zwykle przychodzi zgłoszeń blokady konta? Jak często usługa WINS nie potrafi poprawnie rozwiązać nazwy? Ile grup posia- damy i jak są one u ywane? Czy musimy zachować wszystkie istniejące domeny, czy te powinniśmy część z nich scalić, aby uprościć zarządzanie? Na jakich zasadach ustalana jest przynale ność do grup? Lista pytań, jakie mo emy zadać, jest niemal nieograniczona. Ka da odpowiedź jest frag- mentem zbioru danych, który pozwoli zdecydować o sposobie migracji do Active Directory. Mówiąc w skrócie, decyzja ta obejmuje następujące zagadnienia: Jak du ą część nakładów pracy administracyjnej chcemy przenieść do nowego środowiska? W jakim stopniu istniejąca architektura zaspokaja potrzeby firmy? Jak wiele musimy zmienić, by wykorzystać nową funkcjonalność Windows 2000? Czy łatwiej będzie zreorganizować istniejące środowisko, czy te zbudować nowe od podstaw? Aby móc odpowiedzieć na te pytania, musimy znać dostępne opcje. Wobec tego skon- centrujemy się na konsekwencjach ka dej z nich, wymienionych poni ej: Modernizacja czy migracja równoległa — wybór pomiędzy modernizacją istniejącego środowiska a zbudowaniem nowego i przejściem do niego. Tryb mieszany czy macierzysty — wybór pomiędzy szybkim a stopniowym przeniesieniem całości do środowiska zabezpieczeń Windows 2000. Modernizacja serwera, odtworzenie serwera czy przeniesienie do nowej domeny — wybór pomiędzy modernizacją serwera do Windows 2000, stworzeniem od zera lub przeniesieniem bez zmian do nowej domeny Windows 2000. Modernizacja, reinstalacja czy przeniesienie klienta do domeny — wybór pomiędzy modernizacją klientów do Windows 2000, zbudowaniem systemów od zera lub przeniesieniem w obecnej postaci do nowej domeny Windows 2000. Utworzenie czy migracja u ytkowników i grup — wybór pomiędzy zało eniem wszystkich kont u ytkowników i grup na nowo a przeniesieniem istniejących u ytkowników i grup za pomocą odpowiedniego narzędzia. Gdy zrozumiemy konsekwencje ka dego wyboru, wówczas mo emy podjąć rozsądne decyzje o tym, jak, co z naszych zasobów i kiedy migrować do Windows 2000. Modernizacja domeny do Windows 2000 Jedną z pierwszych decyzji do podjęcia jest wybór, czy zmodernizować bie ącą strukturę domen czy te zbudować równoległą Active Directory i przenieść do niej u ytkowników i zasoby. Ten podrozdział omawia za i przeciw modernizacji; następny przedstawi proces migracji równoległej.
  • 10. Rozdział 4. ♦ Planowanie Active Directory 67 Podczas migracji z modernizacją nale y kolejno: 1. Wybrać po jednym BDC z ka dej domeny głównej i odłączyć od sieci. To będzie nasz „zapasowy” serwer chroniący bazę danych na wypadek, gdyby wydarzyło się coś bardzo złego. 2. Zmodernizować PCD domen głównych. 3. Zmodernizować serwery infrastruktury (DHCP, WINS i DNS) domen głównych. 4. Zmodernizować BDC w domenach głównych. 5. Zmodernizować PDC w domenach zasobów (jeśli istnieją). 6. Zmodernizować BDC w domenach zasobów. 7. Zmodernizować serwery członkowskie we wszystkich domenach. Więcej informacji o szczegółowej procedurze migracji zawiera rozdział 8., „Planowanie migracji i dostępne narzędzia”. Postępując w ten sposób, zachowamy bazy danych kont, grupy, ustawienia zabezpieczeń, ustawienia systemów plików i strukturę domen. Zmniejsza to ryzyko przypadkowego przeoczenia ustawień u ytkowników, co uniemo liwiłoby im wykonywanie swoich zadań. Ponadto zachowamy stare standardy nazewnicze i ustawień IP; serwery będą dalej funk- cjonować pod oryginalnymi nazwami i adresami, co wyeliminuje potrzebę rekonfiguracji klienckich stacji roboczych, aplikacji i usług. Ogólnie mówiąc, ta metoda zdecydowanie ogranicza nakłady pracy potrzebne do skonfigurowania nowej Active Directory. Ale czy na pewno? Tak, zachowaliśmy wszystkie stare konta. Co więcej, zachowaliśmy wszystkie stare identyfikatory SID, co oznacza, e nadal posiadamy uprzednie prawa dostępu, lecz odziedziczyliśmy te wszystkie pomyłki i błędy popełnione w starych domenach. Teraz, zamiast móc poprawnie zbudować nowe środowisko, musimy skon- trolować i ewentualnie zmienić stare ustawienia. Co wa niejsze, mamy niemal pewność, i zachowane środowisko nie skorzysta z nowych mo liwości organizacyjnych i zabezpieczeń systemu Windows 2000. Musimy teraz planować, jak zmienić posiadany system w coś, co będzie korzystać z nowych mo liwości. W niektórych przypadkach jest to niemal niemo liwe. Dodatkowo migracja przez modernizację bardzo utrudnia usprawnienie usług infra- struktury. Aby zyskać organizacyjnie na modernizacji, powinniśmy pozostawić dla większości usług (WINS, DHCP, a ewentualnie nawet DNS) taką samą podstawową konfigurację, jakiej u ywaliśmy dotychczas. Oznacza to, e w celu poprawy konfiguracji będziemy musieli zaplanować dodatkowe kroki i brać pod uwagę dodatkowe ryzyko. Proszę porównać to ze scenariuszem modernizacji równoległej, w którym zarządzanie tymi zadaniami i zarządzanie ryzykiem są wbudowane w sam projekt. Pozostają te do rozwa enia problemy logistyczne. Po rozpoczęciu modernizacji ist- niejącej infrastruktury NT wycofanie się mo e być bardzo trudne. Administratorzy muszą zostać bardzo szybko przyuczeni do wykonywania podstawowych zadań związanych z zarządzaniem u ytkownikami. Serwery muszą zostać zmodernizowane, aby spełniały
  • 11. 68 Projektowanie struktur Active Directory nowe wymagania sprzętowe. Je eli dział informatyczny jest scentralizowany, a sieć rozproszona, wówczas ktoś będzie musiał wybrać się do ka dej lokalizacji, aby zmo- dernizować lokalne serwery. W ka dym scenariuszu modernizacji przez zastąpienie czeka nas pewien okres eks- ploatacji środowiska mieszanego Windows 2000/NT. Mo e to spowodować bardzo zło one interakcje, zwłaszcza, jeśli dysponujemy większą liczbą domen głównych zawie- rających konta u ytkowników. Dodatkowo, pracownicy pomocy technicznej pierwszego i drugiego poziomu muszą rozumieć i śledzić stan środowiska, które mo e zmieniać się codziennie. Pracownicy ci potrzebują aktualnych informacji dotyczących przenoszonych kont, zmian w zabezpieczeniach i wszelkich innych zmian w środowisku mających wpływ na społeczność u ytkowników. Musimy te pomyśleć o tym, jakich narzędzi u ywać do obsługi sieci. Jeśli chcemy zmienić zestawy narzędzi (na przykład zastosować nowe narzędzia kopii zapasowych lub nowy pakiet zarządzania środkami przedsiębiorstwa), jak mamy dokonać zmiany? Czy zostawimy stary pakiet w spokoju i zainstalujemy nowy na przeniesionych serwe- rach? Czy najpierw zainstalujemy nowy pakiet w starym środowisku (o ile w ogóle będzie działać), a następnie dokonamy modernizacji do Windows 2000? Rozwa ając te wszystkie pytania, musimy wziąć pod uwagę następujące korzyści, jakie daje modernizacja środowiska: Zachowana zostaje baza danych kont, łącznie z identyfikatorami SID. Oznacza to, e nie musimy odtwarzać kont u ytkowników, grup i komputerów nale ących do domeny. Zachowany zostaje system plików na wszystkich serwerach. Dzięki temu nie musimy ponownie ustawiać zabezpieczeń dla partycji NTFS i udziałów. Zachowane zostają istniejące konwencje nazewnicze i adresów IP. Oznacza to, e u ytkownicy nie muszą ponownie przypisywać drukarek i udziałów. Co więcej, administrator nie ma potrzeby resetowania adresów podstawowych usług infrastruktury, takich jak DDNS i WINS. Zredukowany jest zakres interakcji zabezpieczeń pomiędzy platformami. Dzięki temu maleje ryzyko wystąpienia powa nych błędów zabezpieczeń podczas migracji, poniewa większość lub całość informacji o zabezpieczeniach jest przechowywana w środowisku Windows 2000. Musimy te wziąć pod uwagę ujemne strony opcji modernizacji: Błędy popełnione w pierwotnym środowisku pozostają. Oznacza to, e chcąc „posprzątać” środowisko, będziemy musieli radzić sobie z błędami ju istniejącymi, zamiast zaczynać od zera. Pojawiają się ró nice w ustawieniach zabezpieczeń serwerów. Ustawienia dla zmodernizowanych serwerów i stacji roboczych są inne ni dla systemów zainstalowanych od podstaw. Przede wszystkim, zmodernizowane komputery obowiązuje kilka ograniczeń dotyczących zabezpieczania plików systemowych i ustawień Rejestru, co mo e doprowadzić do niezgodności pomiędzy tym, co wydaje się nam, e instalujemy, a tym, co w rzeczywistości otrzymamy. Problem ten mo e zostać rozwiązany za pomocą narzędzia Security Configuration Manager.
  • 12. Rozdział 4. ♦ Planowanie Active Directory 69 Występują logistyczne, techniczne i proceduralne problemy, gdy trzeba scentralizować w jeden system kilka katalogów o własnych zabezpieczeniach (np. domeny NT, Novella i Kerberosa w systemie UNIX). W migracji poprzez modernizację, gdy chcemy skoncentrować zabezpieczenia, musimy najpierw przeanalizować i udokumentować zmodernizowane środowisko, a następnie zdefiniować na potrzeby konwersji właściwe relacje. Mo e to okazać się bardziej czasochłonne ni proste zdefiniowanie stanu idealnego i wykorzystanie posiadanych danych do przejścia do niego. Pojawia się konieczność równoległego korzystania z dwóch narzędzi. Oznacza to, e musimy najpierw zastosować w istniejącym środowisku nowe narzędzia. W przeciwnym razie zwiększamy ryzyko błędów w administracji podczas etapu migracji. Gdy zdecydujemy się na modernizację, musimy dodatkowo odpowiedzieć na następujące pytania: Która domena (jeśli mamy więcej ni jedną) będzie modernizowana? Jak, kiedy i kto będzie modernizować kontrolery domen i serwery znajdujące się w terenie? Jak, kiedy i kto będzie łączyć i optymalizować domeny? Jak, kto i kiedy będzie modernizować kolejki drukowania, serwery intranetowe, serwery aplikacji, zabezpieczenia plików i grupy? Jakie kryteria zostaną wzięte pod uwagę przy analizie istniejących to samości zabezpieczeń (kont u ytkowników, grup lokalnych, grup globalnych itp.) do ustalenia, które to samości zachować, a które zmienić? Jak będzie wyglądać komunikacja z działem obsługi technicznej, pozwalająca zapewnić społeczności u ytkowników pomoc podczas migracji? Nasze środowisko skutecznie migrować przez modernizację, jeśli: Posiadamy niewielką liczbę (zwykle poni ej 15) rozrzuconych geograficznie lokalizacji serwerów i uwierzytelniania. Istniejące środowisko jest dobrze zorganizowane, udokumentowane i zawiera małą liczbę innych katalogów. Właśnie przeszliśmy cykl gruntownej modernizacji sprzętu. Dobrze znamy posiadane narzędzia słu ące do odzyskiwania środowiska po awarii i mo emy zapewnić, e będą one działać poprawnie w mieszanym środowisku. Jeśli nakłady pracy związane z problemami są większe ni korzyści płynące z migracji przez modernizację (zastąpienie), wówczas warto rozwa yć inne opcje. Następny punkt zajmuje się drugą z dwóch podstawowych opcji — migracją równoległą.
  • 13. 70 Projektowanie struktur Active Directory Migracja równoległa Niektóre organizacje po przeanalizowaniu ście ki migracji przez modernizację stwier- dzają, e jest ona pełna problemów. Mo e logistyka jest zbyt trudna. Mo e stosowanych jest kilka systemów katalogowych, które trzeba połączyć w jeden. Mo e po prostu lepiej jest uniknąć prac porządkowych związanych z modernizacją starego środowiska i rozpo- cząć od zera. Na potrzeby niniejszej ksią ki mo na przyjąć, e migracja równoległa to taka, w której: 1. Tworzymy nową domenę, drzewo i las Windows 2000. 2. Decydujemy, jak ma wyglądać nowe środowisko. 3. Decydujemy, które informacje nale y przenieść ze starego środowiska do nowego. 4. Tworzymy odwzorowanie starego środowiska na nowe. 5. Przenosimy u ytkowników, grupy, pliki i serwery zgodnie z odwzorowaniem. Więcej informacji o szczegółowej procedurze migracji zawiera rozdział 8. Inaczej mówiąc, tworzymy dziewicze środowisko, do którego migrujemy dane tak, jak nam pasuje. Taka procedura daje szereg korzyści: kontrolę nad danymi, kontrolę nad tempem migracji, zdolność do utworzenia odpowiednich standardów oraz zdolność do wyegzekwowania zgodności z tymi standardami. Wymienione zalety rozwiązują, niemal punkt po punkcie, problemy występujące w migracji przez modernizację. Na przykład, pomoc techniczna wcią potrzebuje dokładnych informacji o tym, którzy u ytkownicy i które zasoby są zaplanowane do migracji. Jednak e w migracji równo- ległej rozgraniczenie jest znacznie wyraźniejsze — część z nich istnieje tylko w nowym środowisku, część nie jest przeznaczona w ogóle do przeniesienia, zaś wszystko inne posiada zaplanowane daty migracji. Interakcje mogą być o wiele prostsze; mają zdecydo- wanie wyraźniejsze granice. Podobna analiza sprawdza się dla pozostałych punktów. Poniewa w migracji równoległej dysponujemy dwoma odrębnymi środowiskami, mamy znacznie wyraźniej określone grani- ce pomiędzy procedurami obsługi technicznej, wersjami narzędzi i usługami infrastruktury. Wszystko, co mo e stać się niejasne w migracji przez modernizację, w migracji rów- noległej jest bardziej zrozumiałe. Musimy zarazem bardziej rozwa nie decydować, kiedy, jak i dlaczego mamy zmie- niać skrypty logowania, odwzorowania drukarek i dokonywać innych podobnych czynności. Modernizacja równoległa stanowi klasyczny proces instalowania infra- struktury, w którym u ytkownicy przenoszą się ze starszego środowiska do nowego, czasem diametralnie odmiennego. Zwiększa to ilość zapytań i komentarzy ze strony u ytkowników, co mo e zwiększyć nakłady czasu poświęcone na zarządzanie pro- jektem w ramach procesu instalacji.
  • 14. Rozdział 4. ♦ Planowanie Active Directory 71 Musimy te zdać sobie sprawę z faktu, e migracja równoległa „od podstaw” jest niemal idealnym rozwiązaniem dla scalenia kilku katalogów związanych z zabezpie- czeniami w jeden. Na potrzeby analizy weźmy pod uwagę mieszane środowisko sys- temów Novell i NT. Jeśli bezpośrednio zmodernizujemy Windows NT do Windows 2000, będziemy musieli: 1. Określić idealny stan dla Windows 2000. 2. Ustalić stan obecny. 3. Określić odwzorowanie Windows NT na stan idealny. 4. Określić odwzorowanie Novella na stan idealny. 5. Zmodyfikować Windows NT tak, by zbli yć się do stanu idealnego. 6. Zaktualizować Windows NT do Windows 2000. 7. Przenieść dane zabezpieczeń z Novella do Windows 2000. Jeśli stosujemy migrację równoległą od zera, zamiast tego będziemy musieli: 1. Określić stan idealny. 2. Ustalić odwzorowanie Windows NT na stan idealny. 3. Określić odwzorowanie Novella na stan idealny. 4. Migrować odpowiednie dane zabezpieczeń z Novella lub Windows NT, zale nie od tego, które będą lepsze, do środowiska Windows 2000. Drugim faktem, jaki musimy wziąć pod uwagę, jest ten, i jedną z podstawowych ko- rzyści migracji przez modernizację (zachowanie SID) mo emy uzyskać za pomocą niemal wszystkich istniejących narzędzi migracji. Ka da domena działająca w trybie macierzystym posiada dla ka dego obiektu atrybut 5+&JKUVQT[, który pozwala nowo utworzonym obiektom posiadać ten sam SID co obiekt, z którego została dokonana migracja. Gdy zastanawiamy się nad wyborem migracji równoległej, musimy pamiętać o nastę- pujących korzyściach z niej płynących: Tworzymy wyraźną granicę pomiędzy starym i nowym środowiskiem. Powoduje to mniejszą liczbę interakcji w migrowanym środowisku, prowadząc do aktualizacji bardziej przejrzystej i łatwiejszej do kontrolowania. Zachowujemy (stosując odpowiednie narzędzia) SID przenoszonego obiektu. Oznacza to, e mo emy migrować dane i ustawienia zabezpieczeń stosunkowo bezkarnie, odkładając porządki na późniejszy termin. Mamy bardzo szczegółową kontrolę nad tym, kiedy przenosić zasoby i u ytkowników do nowego środowiska. Jest to szczególnie wa ne w du ych organizacjach lub w organizacjach mających szczególne wymagania prawne i związane z kontrolami. Otrzymujemy dziewicze środowisko, do którego mo emy przenieść kilka istniejących dostawców zabezpieczeń, wybierając ten system, który najlepiej spełnia nasze potrzeby.
  • 15. 72 Projektowanie struktur Active Directory Musimy te wziąć pod uwagę podstawową wadę modernizacji równoległej, którą jest zapotrzebowanie na znaczące ilości nowego sprzętu. Jeśli modernizacja do Windows 2000 zbiega się ze standardowym okresem odświe ania zasobów sprzętowych, wówczas jest to mniejszym problemem. Jeśli jednak zamierzamy zakupić nowe serwery poza harmonogramem modernizacji sprzętu w celu obsługi Active Directory i innych usług Windows 2000, wówczas powinniśmy dokonać powa nej analizy zysku i kosztów. Proszę te zdać sobie sprawę, e po przyjęciu opcji modernizacji równoległej musimy odpowiedzieć na poni sze pytania: Jak będziemy podczas migracji monitorować i zarządzać interakcjami pomiędzy istniejącym środowiskiem (środowiskami) i domeną Windows 2000? Firma przez jakiś czas będzie korzystać z dwóch systemów, co bez właściwego planowania mo e wystawić ją na niedopuszczalne ryzyko. Jak chcemy odwzorować dane zabezpieczeń z wszystkich istniejących środowisk? Jak będziemy zarządzać skryptami logowania, drukarkami, udostępnionymi plikami i wspólnymi zasobami, które mogą ulec zmianie podczas migracji i mogą (jak w przypadku skryptów logowania) wymagać kilku wersji? Nasze środowisko jest dobrym kandydatem do modernizacji równoległej, jeśli: Zbli a się lub właśnie trwa cykl odświe ania zasobów sprzętowych. Stosujemy kilka środowisk udostępniających zabezpieczenia, które chcemy skonsolidować w jedną domenę. Z powodów technicznych nie mo emy bezpośrednio zmodernizować domeny. Dysponujemy du ą liczbą lokalizacji fizycznych i potrzebujemy dodatkowej kontroli nad migracją, jaką mo e nam dać dziewicze środowisko. Jeśli mo emy sobie na nią pozwolić, migracja równoległa daje wiele korzyści. Proszę jednak zdać sobie sprawę, e przejście z migracji przez modernizację na migrację równoległą mo e być trudne i wyjątkowo kosztowne. Unikniemy tej pułapki, rozwa nie analizując dostępne opcje przed rozpoczęciem projektu i trzymając się podjętej decyzji przez cały okres przejściowy. Domeny w trybie mieszanym i macierzystym Jedną z najwa niejszych kwestii, jakie pojawiają się podczas projektowania Active Directory, a co za tym idzie, która stanowi największe źródło nieporozumień, jest ró nica pomiędzy domenami funkcjonującymi w trybie mieszanym i macierzystym. Ludzie pytają: „Czy powinniśmy przejść na tryb macierzysty?”, traktując to jak swojego rodzaju mistyczną podró , która, gdy ją ju podejmą, zaprowadzi ich do ziemi obiecanej. Rzeczywiste pytanie, jakie nale y zadać w związku z przejściem w tryb macierzysty, nie brzmi „czy”, lecz „kiedy”. Ka dy prędzej czy później przechodzi w tryb macierzysty; musimy raczej podjąć decyzję, na jakim etapie migracji zaplanować przejście, a nie czy przechodzić w ogóle.
  • 16. Rozdział 4. ♦ Planowanie Active Directory 73 Wyjaśnijmy najpierw nieporozumienia. Przejście w tryb macierzysty: Nie aktywuje obiektów zasad grup. Nie zapewnia lepszej replikacji. Nie optymalizuje rozmiarów bazy danych AD. Nie uniemo liwia logowania ze starszych wersji klientów. Nie uniemo liwia stosowania starszych aplikacji. Nie zmienia sposobu, w jaki AD współpracuje z innymi systemami Kerberosa. Tryb macierzysty w zamian za to: Aktywuje część obiektów w katalogu. Pozwala na stosowanie grup uniwersalnych. Pozwala AD na ignorowanie baz danych SAM, omijając dzięki temu ich ograniczenia. Jeśli planujemy migrację przez modernizację, powinniśmy rozwa nie zaplanować przejście w tryb macierzysty. Mo emy przełączyć domenę w ten tryb dopiero po zmo- dernizowaniu do Windows 2000 wszystkich kontrolerów domeny (PDC i wszystkich BDC). W przeciwnym razie mo emy mieć do czynienia z klientami nie mogącymi się w ogóle zalogować do domeny, poniewa kontroler domeny usiłujący dokonać uwierzytel- nienia nie będzie mógł ju otrzymywać aktualizacji z aktywnych baz danych zabezpieczeń. Jeśli planujemy migrację równoległą, wówczas powinniśmy przejść w tryb macierzysty najszybciej, jak tylko się da. Pozostawienie katalogu w trybie mieszanym spowoduje, i większość istniejących narzędzi do migracji (jeśli nawet nie wszystkie) nie będzie w stanie migrować u ytkowników do naszej nowej, ślicznej struktury Active Directory. Migracja serwerów Przy planowaniu strategii migracji serwerów mo emy je podzielić na cztery kategorie: przeznaczone do zastąpienia, do konsolidacji, do modernizacji i do przeniesienia bez zmian. Ka da z kategorii jest przy projektowaniu i planowaniu traktowana nieco inaczej. Powinniśmy zasadniczo zastąpić serwery, których nie da się zmodernizować do Windows 2000. Mo e są zbyt stare i nie damy rady rozbudować ich do poziomu minimalnych wymogów sprzętowych, a mo e skończyła się na nie gwarancja, więc nie chcemy eks- ploatować systemu bez zabezpieczenia. Niezale nie od powodów, gdy zastępujemy serwer, musimy: 1. Mieć całkowitą pewność, i znamy usługi świadczone przez dany serwer. 2. Zapewnić dostępność tych usług podczas migracji. 3. Upewnić się, czy usługi działają poprawnie w nowym miejscu.
  • 17. 74 Projektowanie struktur Active Directory 4. Zastąpić serwer, przetestować i włączyć nowy serwer do środowiska produkcyjnego. 5. Zlikwidować stary serwer. Powinniśmy konsolidować serwery wykorzystywane w zbyt małym stopniu oraz takie, których koszty utrzymania przekraczają pewną ustaloną wartość. Są to zwykle prze- starzałe serwery, które i tak musielibyśmy zmodernizować lub zastąpić, lecz stopień ich wykorzystania jest na tyle niski, e nie usprawiedliwia zakupu nowego. Przygotowując się do konsolidacji kilku serwerów musimy: 1. Zidentyfikować poziom wykorzystania ka dego serwera. 2. Upewnić się, czy serwer docelowy jest w stanie obsłu yć sumę obcią enia tych serwerów. 3. Upewnić się, czy wzorce dostępu do ró nych konsolidowanych usług nie wchodzą w konflikty. Na przykład, często trudno jest stabilnie skonsolidować usługi pocztowe i bazy danych na pojedynczej platformie Wintel. 4. Zaplanować konsolidację na okres nie będący krytyczny dla biznesu. 5. Dokładnie przetestować konsolidację. Połączenie ró nych usług w jednym komputerze mo e wprowadzić nietypowe wzorce wykorzystania powodujące niestabilność. 6. Po dokonaniu konsolidacji monitorować serwer przez okres przynajmniej jednego kwartału. 7. Zlikwidować stary serwer. Ogólnie mówiąc, powinniśmy modernizować serwery na gwarancji, łatwe w rozbudowie do wymaganego poziomu, wykazujące rozsądne poziomy wykorzystania i nie świad- czące usług wymagających starszego środowiska. Przygotowując się do modernizacji serwera, musimy: 1. Zweryfikować, czy wszystkie usługi świadczone przez serwer (aplikacje, bazy danych i tak dalej) są kompatybilne z Windows 2000. 2. Przygotować i przetestować aktualizacje usług niezgodnych z Windows 2000. 3. Zaplanować modernizację na normalne godziny serwisowania. 4. Zmodernizować sprzęt w serwerze, system operacyjny i usługi do Windows 2000 i zgodnych z nim wersji oprogramowania. Proszę pamiętać, e zło oność migracji przez modernizację nie wynika z systemu opera- cyjnego, lecz z usług świadczonych przez serwer. Zwłaszcza planowanie przeniesienia baz danych i oprogramowania ERP (planowanie zasobów przedsiębiorstwa) mo e zająć miesiące, a po przeniesieniu mo emy poświęcić kolejne miesiące na monitorowanie serwera, by upewnić się, e wszystko poszło dobrze. Przenoszone są przede wszystkim serwery nie uczestniczące w zabezpieczeniach domeny (jako PDC lub BDC) i obsługujące aplikacje krytyczne dla firmy, a nie posiadające wersji zgodnej z Windows 2000. Wysiłek związany z wycofywaniem krytycznego dla firmy oprogramowania typu legacy (przestarzałego) mo e być większy ni wło ony w cały projekt Windows 2000. Przygotowując się do przeniesienia serwera, musimy:
  • 18. Rozdział 4. ♦ Planowanie Active Directory 75 1. Upewnić się, czy stare oprogramowanie nie posiada adnych zale ności od innych serwerów, które modernizujemy, konsolidujemy lub zastępujemy. 2. Zaplanować modernizację na standardowe godziny przeznaczone na serwis. 3. Usunąć serwer ze starej domeny. 4. Przyłączyć serwer do nowej domeny. 5. Sprawdzić, czy ustawienia zabezpieczeń serwera są prawidłowe dla funkcji serwera. 6. Monitorować serwer i stare oprogramowanie przez przynajmniej kwartał od chwili migracji. 7. Przenieść zadania obsługi i monitorowania serwera na personel obsługi technicznej po uznaniu migracji za zakończoną powodzeniem. Faktyczny harmonogram i kolejność migracji serwerów zale y od rozmiarów organi- zacji, składu i umiejętności zespołu związanego z projektem oraz od naszej zdolności do szybkiego i dokładnego oszacowania środowiska. Największe ryzyko przekroczenia harmonogramu pochodzi od aplikacji krytycznych dla funkcjonowania przedsiębiorstwa i przestarzałych; ryzyko to mo emy zmniejszyć tylko przez utworzenie i wdro enie planu szczegółowych i stosunkowo czasochłonnych testów. Migracja klientów Migrowanie serwerów jest łatwe, poniewa zasadniczo dobrze wiemy, gdzie się znajdują, co się w nich mieści i jak firma je wykorzystuje. Migracja komputerów klienckich to całkiem inna sprawa. Logistyka znajdowania, identyfikacji, szacowania, rejestrowania, sortowania, planowania harmonogramu, a na koniec faktycznej migracji komputerów klienckich mo e bez trudno- ści zająć większość czasu poświęconego na projekt Windows 2000. Zagadnienia te nie mieszczą się w zakresie niniejszej ksią ki. Nas interesuje ustalenie, jak postąpić ze wszystkimi klientami, gdy ju ustalimy, gdzie są, czym są, kto ich u ywa i do czego. Ogólnie mówiąc, mo emy klienty podzielić na trzy kategorie: przeznaczone do zastąpienia, przeznaczone do modernizacji, pozostawione bez zmian. Klienty przeznaczone do zastąpienia to zwykle te, które są zbyt stare na modernizację do poziomu minimalnych wymogów sprzętowych lub przeznaczone do rychłego zło- mowania z uwagi na politykę księgową (odświe enie dzier awy lub bud etowanie kapitałowe). W przypadku takich komputerów musimy rozwa yć logistykę identyfi- kowania, przenoszenia i wycofywania starego sprzętu, jak równie wpływ, jaki ma na u ytkownika przydział nowej stacji roboczej. Mo emy zapanować nad niebezpie- czeństwami instalacji przez wstępne przygotowanie nowego sprzętu, skonfigurowanie i przetestowanie przed przydzieleniem go u ytkownikowi.
  • 19. 76 Projektowanie struktur Active Directory Klienty przeznaczone do modernizacji spełniają minimalne wymagania sprzętowe (czasami po zakupie dodatkowego sprzętu), lub z powodów księgowych, nie są zapla- nowane do wymiany w ciągu roku. W przypadku takich klientów musimy szczególnie rozwa nie zaplanować czas modernizacji, metodę instalacji i metody przywracania klienta. Jednym z największych wyzwań w całym projekcie jest w istocie przeniesienie wszystkich ustawień indywidualnych i danych klientów ze starego systemu do nowego. Klienty pozostawione bez zmian to zwykle te, które obsługują przestarzałe aplikacje absolutnie niezbędne u ytkownikowi. Jeśli nie da się znaleźć innego rozwiązania, wówczas u ytkownik musi otrzymać nowy PC. Czasami, gdy grupa u ytkowników potrzebuje aplikacji tylko od czasu do czasu i to nie równocześnie, mo emy pozostawić pojedynczą starą stację roboczą dla grupy u ytkowników, co uwolni nas od odpowiedzialności za utrzymanie kilku starych, niezgodnych ze specyfikacjami komputerów. Migracja użytkowników i grup Z punktu widzenia planowania i projektowania jednym z najbardziej zło onych zadań, jakie musimy przemyśleć, jest to, jak, kiedy i dlaczego powinniśmy migrować konta u ytkowników i grup. Ten problem mo e bez trudu sparali ować proces analizy. Istnieją dosłownie setki czynników, jakie powinniśmy wziąć pod uwagę, oraz chyba tysiące wa- riacji na podstawowe tematy. Zamiast omawiać godzinami ka dą mo liwość i odmianę, proszę na chwilę zatrzymać się i przemyśleć, co trzeba tu zaplanować: Jeśli modernizujemy domenę, musimy ustalić, jak zmodyfikować istniejące grupy, by pasowały do obecnego projektu. Jeśli dokonujemy migracji równoległej, musimy ustalić odwzorowania pomiędzy starą i nową strukturą grup. W obu przypadkach niezbędna będzie mapa zmian. Ten dokument mówi, co usunąć, co skonsolidować z czym, co utworzyć, a co po prostu przenieść. Sam proces migracji infor- macji z wykorzystaniem mapy zmian powinien odbyć się przed rozpoczęciem lub po zakończeniu migracji. Dokonanie tej pracy podczas migracji mo e spowodować nie- przewidywalne zmiany w dostępie pracowników do zasobów, więc nie jest zalecane. Podczas tworzenia mapy zmian proszę zwrócić szczególną uwagę na: Konta usług i konta administracyjne u ywane w roli kont usług. W Windows 2000 mogą one wymagać innych uprawnień ni te, do których jesteśmy przyzwyczajeni. Konta z uprawnieniami do logowania jedynie do określonych komputerów lub w określonych porach dnia. Jeśli zmieniamy komputer kliencki lub parametry robocze konta, wówczas nieumyślnie zmieniamy zasady zabezpieczeń. Grupy mające dostęp do więcej ni jednego zasobu (poprzez uprawnienia do plików lub udziałów). Grupy takie mogą dysponować większym zakresem uprawnień, ni nam się wydaje; nale yta staranność w tym miejscu zaoszczędzi w przyszłości mnóstwa telefonów do pomocy technicznej.
  • 20. Rozdział 4. ♦ Planowanie Active Directory 77 Jak ju mówiliśmy, zagadnienia związane z migracją mają wpływ na logistykę i na plany zmian. Proszę nie ignorować podczas planowania Active Directory stwarzanych przez nie trudności i mo liwości. Zagadnienia administracyjne Zza horyzontu migracji wyłania się mityczny stan zwany stanem produkcyjnym. Serwery szumią sobie spokojnie, a u ytkownicy pracują radośnie w ochronnej klatce stworzonej przez wydział informatyczny. Zabezpieczenia chronią skutecznie dane przed niepowoła- nym dostępem. U ytkownicy nigdy nie blokują swoich kont ani nie zapominają haseł. Gdy to złudzenie ju się rozwieje, czeka nas brutalna rzeczywistość — ktoś musi za- rządzać zaprojektowaną przez nas Active Directory. Najprawdopodobniej będziemy to my. Wobec tego Czytelnik musi dokładnie wiedzieć, co oznacza zarządzanie siecią i brać to pod uwagę w swoim projekcie. Aby jak najwięcej wynieść z lektury tego podrozdziału, proszę rozwa yć: Ró nice pomiędzy NT i Windows 2000 — zmiany w systemie operacyjnym, które zmieniają sposób myślenia o administrowaniu. Role jednostek organizacyjnych (OU) — jak ułatwić zadania administracyjne za pomocą OU. Jak i kiedy delegować kontrolę — jak wykorzystać mo liwość oddelegowania kontroli nad określonymi obiektami katalogowymi w celu uproszczenia administracji. Bezpieczeństwo (kto i kiedy) — porównanie potrzeb dostępu z ryzykiem związanym z przyznaniem tego dostępu. Zasady grup — ile i do czego je stosować. Usiłując zrozumieć te zagadnienia, mo emy zaprojektować katalog, który nie tylko ładnie wygląda na papierze, lecz będzie mo na równie go obsługiwać. Te dwa warunki nie muszą wykluczać się wzajemnie. Różnice administracyjne pomiędzy Windows NT i 2000 Na pierwszy rzut oka ten punkt mo e wydać się bezu yteczny. W końcu wiemy ju , e Windows 2000 ró ni się od Windows NT. Jakby nie było, to jeden z głównych powodów, dla których zdecydowaliśmy się na ten projekt... Niech i tak będzie, lecz przyda się poświęcić minutę na wyraźne określenie ró nic pomiędzy Windows 2000 i Windows NT z punktu widzenia administratora. Dobra zna- jomość tych ró nic pozwoli podjąć rozsądne decyzje dotyczące tego, jak wykorzystać te ró nice w przyszłości.
  • 21. 78 Projektowanie struktur Active Directory Pierwsza i najwa niejsza ró nica, jaką musimy wziąć pod uwagę, jest najmniej oczywista. W Windows NT nie mo emy zmusić komputera do korzystania z lokalnego kontrolera domeny w środowisku IP. W Windows 2000 komputery wykorzystują dane lokacji, aby znaleźć najbli szy dostępny kontroler w celu zalogowania się. Dlaczego jest to wa ne? W bazie danych kont typu multimaster (jak w Windows 2000) zmiany nie są propagowane automatycznie. Oznacza to, e musimy albo dokonać zmian w bazie danych poło onej najbli ej u ytkownika, albo kazać u ytkownikom zaczekać na zmiany w ustawieniach konta. Jeśli uszkodzenie bazy danych powoduje problemy z logowaniem, wówczas w celu zdiagnozowania problemu musimy zalogować się do systemu sprawiającego kłopoty. Musimy uwa ać na usługę replikacji plików (FRS — File Replication Service), poniewa rejestruje ona błędy, gdy nie mo e prawidłowo zsynchronizować się z kontrolerem domeny. Mo e to pomóc w diagnozowaniu problemów związanych z zasadami grup i błędami w skryptach logowania, które naprawiliśmy (jak nam się wydawało). Proszę zwrócić uwagę, e replikacja pomiędzy lokacjami jest procesem zaplanowa- nym według harmonogramu. Dla większości procedur (jak np. zmiana przynale ności do grup) harmonogram decyduje, kiedy zmiany dokonane w danej lokacji mają zostać rozpropagowane do innych dołączonych lokacji. Jeśli w naszej sieci istnieją trasy re- plikacji z wieloma przeskokami, wówczas replikacja zmian w całym środowisku mo- e zająć tyle czasu, ile potrwa replikacja przez najdłu szą trasę. Proszę te zdać sobie sprawę, e przynale ność do grupy jest propagowana jako pojedyn- czy blok danych. Oznacza to, e gdy jeden administrator zmieni członkostwo w grupie foo z komputera w Wielkiej Brytanii, a drugi dokona zmian w tej samej grupie z kom- putera w USA, wówczas jedna z informacji zostanie nadpisana. Weźmy pod uwagę wpływ modelu multimaster na odzyskiwanie kontrolerów domeny. Jeśli katalog nie uległ uszkodzeniu, wówczas w małych organizacjach (powiedzmy, e do 10 000 obiektów) zwykle łatwiej będzie pozwolić kontrolerowi domeny na re- plikację bazy danych AD zamiast ją odtwarzać. W du ej organizacji musimy bardziej uwa ać na procedury tworzenia i przywracania kopii zapasowych, poniewa odebranie pełnej replikacji mo e zająć więcej czasu, ni mo emy pozwolić. Weźmy jeszcze pod uwagę wpływ narzędzi takich jak Taskpad na nasz model admi- nistrowania. Odrobina rozwa nego planowania pozwoli nam wyposa yć pracowników obsługi technicznej pierwszego stopnia w zbudowane specjalnie dla nich narzędzia, zapewniające im mo liwości niezbędne, a ograniczające te uprawnienia, których obsługa mieć nie powinna. Na przykład, mo emy zbudować Taskpad dający administratorowi dostęp jedynie do zmiany haseł u ytkowników, co pozwoli mu wykonywać obowiązki słu bowe bez konieczności stosowania przystawki MMC U ytkownicy i komputery usługi Active Directory.
  • 22. Rozdział 4. ♦ Planowanie Active Directory 79 Co więcej, powinniśmy planować zmiany tak, jak myślimy o skryptach logowania. W tej chwili mo emy tworzyć skrypty uruchamianie przy załączaniu i wyłączaniu komputerów oraz przy logowaniu i wylogowywaniu u ytkownika. Po zespoleniu tego z mo liwościami Visual Basica i ADSI, otrzymamy niemal nieograniczone mo liwości konfiguracji. Łatwo pogubić się we wszystkich tych zmianach. Opcje dokonywania zmian są prawie nieograniczone. Jeśli chcemy wdro yć Windows 2000 w czasie choćby zbli onym do czasu ycia produktu, to musimy ograniczyć zakres początkowej migracji. Z doświadczenia wynika, e najlepszym ograniczeniem zakresu zmian administracyjnych jest na początek próba odtworzenia istniejącej funkcjonalności. Proszę przenieść skrypty, zapoznać się z narzędziami administracyjnymi i uwa ać, by nie przekroczyć począt- kowych mo liwości. Dopiero, gdy nauczymy się duplikować oryginalną funkcjonalność, mo emy zabrać się za problemy w istniejącym środowisku. Na przykład, gdy mamy po- wa ny problem z niemo liwością zmiany haseł u ytkowników przez pomoc techniczną bez przyznania pracownikowi uprawnień administratora domeny, wówczas rozwa ymy naprawę tego problemu. Po skopiowaniu funkcjonalności i rozwiązaniu problemów mo emy przejść do implementowania ulepszeń w zarządzaniu. Jaką rolę grają OU? Jednym z najnowszych wynalazków w zestawie narzędzi administracyjnych Microsoftu jest jednostka organizacyjna (OU — Organizational Unit). OU są logicznymi konte- nerami na obiekty katalogowe; mo emy je zagnie d ać praktycznie w nieskończoność i wykorzystywać do reprezentowania prawie wszystkiego, co sobie wyobrazimy. Pytanie brzmi: co mamy z nimi począć? Mo emy grupować u ytkowników i komputery na niemal tyle sposobów, ile jest firm i projektantów sieci. Wygląda na to, e nie istnieje jedyna słuszna odpowiedź. I prawdę mówiąc, nie istnieje jednoznaczna odpowiedź na pytanie o najlepszą struk- turę OU. Są jednak e dostępne wytyczne, z których pomocą mo emy najefektywniej wykorzystać OU. Pierwszą i najwa niejszą regułą, o której musimy pamiętać przy projektowaniu OU, jest unikanie nadmiernej komplikacji schematu. Nie istnieje teoretyczny limit, jak głęboko mo emy zagnie d ać OU. Mo emy zejść 10, 20 lub nawet 30 poziomów w dół, zanim zobaczymy kolejny obiekt. Jednak e w praktyce powinniśmy pilnować, by nie zejść zbyt głęboko poni ej trzeciego poziomu. Głębiej reguły sortowania obiektów w poszczególnych OU stają się bardzo zło one. Powinniśmy te bardzo uwa ać na wybór OU. Poniewa stanowi ona logiczny zbiór komputerów, grup i u ytkowników, powinniśmy zadać sobie pytanie: „Jaką rolę speł- nia ta jednostka organizacyjna?”. Jeśli nie potrafimy znaleźć dobrej odpowiedzi na to pytanie, wówczas najprawdopodobniej powinniśmy usunąć OU z projektu. OU nadają się doskonale do tworzenia obszarów ustawień konfiguracji, zasad zabezpie- czeń i specjalnych grup. Na przykład, niektóre firmy u ywają OU dla serwerów WWW, serwerów plików i serwerów aplikacji. Inne stosują OU dla komputerów wymagających
  • 23. 80 Projektowanie struktur Active Directory dostępu do zasobów sieciowych, lecz mających zdecydowanie inne potrzeby funkcjonalne ni pozostałe stacje robocze (jak np. PC gromadzący w czasie rzeczywistym dane ze sprzętu laboratoryjnego i publikujący te dane w sieci). Za dobre przyzwyczajenie przy projektowaniu uznaje się unikanie tzw. „kontenerów” OU — pustych OU, których jedynym zadaniem jest przechowywanie innych OU. Weźmy na przykład jednostkę organizacyjną o nazwie Kraje, w której znajdą się OU USA, Francja i Japonia. OU Kraje jest typowym kontenerem. Jaką funkcję spełnia? Czy naprawdę jej potrzebujemy? Nie znaczy to, że takie OU są bezwzględnie złe. Każdy kontener powinien przejść ten sam proces uzasadnienia jak każda inna OU. Jeśli musimy za pomocą kontenera zorganizować dużą liczbę OU, to potrzeba taka pojawi się podczas tworzenia projektu stosunkowo szybko. OU dobre są te do wyznaczania stref kontroli w obrębie firmy. Im bardziej przedsię- biorstwo jest zdecentralizowane (z wyboru, ograniczeń prawnych lub konieczności politycznej), tym więcej musi istnieć OU do delegowania kontroli. W całkowicie zdecen- tralizowanej organizacji działu informatycznego mo e nawet okazać się potrzebnych więcej geograficznych jednostek organizacyjnych. Czynniki, jakie musimy rozwa yć przy projektowaniu struktury OU, są następujące: Czy struktura działu informatycznego jest scentralizowana czy zdecentralizowana? Jakie są granice administracyjne (obszary kontroli) organizacji? Jak wiele ról funkcjonalnych odgrywają serwery? Przykładami ról są serwery WWW, aplikacji oraz plików i drukowania. Jak wiele kategorii ról funkcjonalnych mo emy stworzyć dla stacji roboczych? Przykłady to: komputery biurkowe, laptopy, zdalne stacje robocze i sprzęt gromadzący dane. Czy organizacja dysponuje stacjami roboczymi, serwerami lub u ytkownikami wymagającymi wyłączenia z ogólnego schematu zabezpieczeń domeny, GPO i organizacji? Do przykładów nale ą: zarząd, pracownicy pomocy technicznej i administratorzy sieci. Czy istnieją administracyjne, finansowe lub prawne potrzeby wydzielenia części u ytkowników lub komputerów? Do przykładów zaliczają się pracownicy kontraktowi, konta zablokowane i stacje robocze z ograniczeniami (miejsce na stacje robocze o wyjątkowo rygorystycznych wymogach bezpieczeństwa). Jak struktura OU wpłynie na wszelkie aplikacje, które w przyszłości będą korzystać z Active Directory? Na przykład, czy istnieją jakieś specjalne zale ności w obrębie aktualizacji pakietu ERP, o których powinniśmy wiedzieć? Pytania te zmuszają do bardzo dokładnego przeanalizowania, do czego zamierzamy wykorzystać poszczególne OU. Im bardziej szczegółowo odpowiemy na te pytania, z tym większym prawdopodobieństwem nasz projekt będzie dobrze dopasowany do środowiska i przyszłych potrzeb administracyjnych.
  • 24. Rozdział 4. ♦ Planowanie Active Directory 81 Delegowanie kontroli Jedną z najbardziej reklamowanych mo liwości Active Directory jest zdolność do szczegółowego przydziału praw administracyjnych, nawet do poszczególnych atrybutów obiektu. Jest to ogromny postęp w stosunku do epoki Windows NT, gdy przydział ograni- czonych praw administracyjnych stanowił prawdziwe wyzwanie. Odrobina planowania pozwoli przydzielić u ytkownikom prawa do modyfikowania własnych danych osobistych. Mo emy przyznać sekretarce prawa do zmiany danych adresowych dowolnego u ytkownika w danym dziale. Mo emy dać pracownikom pomocy technicznej prawo do zmiany haseł u ytkowników, nie przyznając im równo- cześnie prawa do dodawania stacji roboczych do domeny. Ka demu mo emy przydzielić prawo do czegokolwiek, absolutnie czegokolwiek! Czy to nie jest fascynujące? Lecz na początek proszę pomyśleć, co dokładnie trzeba delegować i jak tego dokonać. Jest to jedna z tych mo liwości, które wymagają bardzo dokładnej analizy, zanim zaczniemy rozdawać uprawnienia wszystkim osobom, które ich mogą potrzebować. Pierwsze pytanie jest najtrudniejsze: Co musimy oddelegować? Warto sformułować to pytanie inaczej, by spojrzeć na problem z pewnej perspektywy: Do jakich istotnych, osobistych, poufnych lub związanych z bezpieczeństwem danych chcemy przyznać dostęp? To jest realne pytanie, jakie sobie musimy zadać. Gdy delegujemy komuś kontrolę nad atrybutem, wówczas dajemy tej osobie mo liwość zmiany tego atrybutu. Nadajemy te bezpośrednio prawa administracyjne i prawne do dostępu i kontroli nad tymi danymi. Musimy te zwracać uwagę na kontrolę nad zmianami w jednostce informatycznej. Jak zamierzamy wykorzystać integralność danych i nadzór nad zmianami w środowisku? Jaki wpływ będą miały te zmiany na integralność danych u ywanych przez przedsię- biorstwo? Na co powinniśmy zwrócić szczególna uwagę? Po tym wstępie spójrzmy na ró ne role pracowników w typowej organizacji działu infor- matycznego, którym potrzebne są uprawnienia do wykonywania określonych funkcji: Poziom 1. (pomoc techniczna) — bezpośredni kontakt z u ytkownikiem. Pracownicy zmieniają hasła i konta, weryfikują przynale ność do grup, rozwiązują problemy z eksploatacją, porządkują kolejki drukowania, stosują podstawowe narzędzia do rozwiązywania problemów ze źle działającym sprzętem i oprogramowaniem oraz pomagają u ytkownikom w odnajdowaniu zasobów. Poziom 2. (bezpośrednia obsługa komputerów biurkowych i serwerów) — pracownicy nale ący do tego poziomu współdziałają z przedstawicielami poziomu 1. i społecznością u ytkowników. Pracują z u ytkownikami nad rozwiązaniem problemów le ących poza zakresem uprawnień grupy pracowników poziomu 1. lub wymagających więcej czasu, ni osoby te mogą poświęcić problemowi. Potrzebują dostępu administracyjnego do określonego sprzętu
  • 25. 82 Projektowanie struktur Active Directory i uprawnień takich, jakie posiada poziom 1. Większość pracowników musi równie mieć mo liwość dodawania stacji roboczych do domeny oraz mo liwość tworzenia skrzynek pocztowych. Poziom 3. (zaawansowane wsparcie techniczne) — te osoby rozwiązują zło one problemy dotyczące u ytkowników lub całego systemu. Muszą mieć mo liwość wykonywania zło onych testów, analizy określonych danych i odczytu dowolnej części zabezpieczeń i informacji katalogowych, aby móc zidentyfikować potencjalne błędy. Większość pracowników technicznych poziomu 3. ma uprawnienia do zmiany przynale ności do grup, zmiany haseł i dodawania oraz usuwania serwerów z domeny. Eksploatacja — osoby zajmujące się procesami wewnętrznymi utrzymującymi funkcjonowanie infrastruktury informatycznej. Monitorują one i zarządzają serwerami, drukarkami, systemami plików, oprogramowaniem przedsiębiorstwa, dystrybucją aplikacji itp. Są zwykle odpowiedzialni za kopie zapasowe, utrzymanie kont, utrzymanie serwerów i oprogramowania oraz, czasem, za telekomunikację i tworzenie zabezpieczeń. W zale ności od stopnia fragmentacji tych funkcji mo emy potrzebować kilku poziomów zabezpieczeń „eksploatacyjnych” i przydzielać określone prawa tylko pracownikom potrzebującym ich. Architektura — ta grupa zajmuje się tworzeniem wartości handlowej poprzez integrację ludzi, procesów i technologii. Potrzebuje zwykle dostępu do danych dotyczących wykorzystania sprzętu, dzienników błędów i do przeglądania całej struktury katalogu. Architekci nie muszą potrzebować dostępu do wa nych danych osobistych (np. adresów). Testerzy oprogramowania — współpracują z grupą architektów nad zapewnieniem, eby oprogramowanie potrzebne firmie było bezpieczne i obsługiwane przez środowisko. Potrzebują dość szerokiego dostępu do katalogu, serwerów i stacji roboczych, lecz dostęp ten mo na łatwo ograniczyć do odrębnego środowiska testowego lub pojedynczej jednostki organizacyjnej. Programiści — mają zwykle specjalne potrzeby, wynikające z u ywanego środowiska aplikacji. Poniewa budują i testują aplikacje, więc zazwyczaj potrzebują szerokiego dostępu i sporych uprawnień, aby zajmować się problemami z kodem. Poniewa dobrze prowadzony projekt programistyczny w bardziej widoczny sposób przynosi zyski ni projekt infrastruktury, programiści zwykle otrzymują szeroki dostęp do środowiska produkcyjnego, chyba e zanim go za ądają, zostaną im zapewnione rozsądne warunki pracy. Proszę zwrócić uwagę na to, e większość organizacji, tworząc opisy stanowisk, łączy te role. Na przykład, nierzadko spotkamy pomoc techniczną łączącą funkcje poziomu 1. i eksploatacji. Takie zazębianie się kompetencji mo e być powodem konfliktów pomiędzy poszczególnymi członkami zespołu, jeśli nie będzie zapewniony odpowiedni standard zarządzania, lecz to jest temat na osobną ksią kę. Gdy mamy do czynienia ze zdecentralizowaną organizacją, wówczas mno ymy i zwięk- szamy się liczba liczba pracowników grających określone role oraz zło oność interakcji pomiędzy nimi. Musimy bardzo rozwa nie wyznaczać strefy kontroli ka dej części organi- zacji i bezwzględnie wymuszać utrzymywanie tych stref. W przeciwnym razie przytłoczą nas trudności w zarządzaniu katalogiem i problemy z zapewnieniem spójności danych.
  • 26. Rozdział 4. ♦ Planowanie Active Directory 83 Na szczęście Microsoft udostępnia dobre narzędzie pomagające rozdzielanie stref kontroli (nawet w zdecentralizowanej organizacji). Wprawdzie, teoretycznie, mo na ręcznie przypisywać uprawnienia do ka dego atrybutu, lecz większość administratorów wykorzystuje Kreator delegowania kontroli, który jest bezpośrednio powiązany z OU. Co?! Jeśli to prawda, to po co był nam ten cały nudny opis ról i funkcji pracowników? Mo emy po prostu rozdawać uprawnienia za pomocą kreatora i tyle. No có , sposób po- działu uprawnień związanych z zabezpieczeniami ma bardzo du o wspólnego z tym, jak zbudujemy strukturę OU. Załó my, na przykład, e pomoc techniczna ma szeroki dostęp do serwerów plików i dru- kowania, lecz adnego dostępu do serwerów WWW, Exchange i aplikacji. Pracownicy pomocy technicznej mogą dodawać u ytkowników do grup, zmieniać hasła i odbloko- wywać konta. Nie mogą jednak dodawać u ytkowników, komputerów i grup do domeny oraz nie mają praw do modyfikacji danych u ytkowników. W takim scenariuszu mogą nam być potrzebne OU dla u ytkowników, grup, serwerów plików i drukowania, serwerów WWW, serwerów Exchange i serwerów aplikacji. W tym przypadku mo emy stosować kreator do szczegółowej kontroli dostępu pracowników grupy pomocy technicznej do ka dej jednostki organizacyjnej i zawartych w niej obiektów. Gdy więc zaczynamy rozwa ać implikacje delegowania kontroli, musimy brać pod uwagę następujące zagadnienia: Jaki jest poziom wa ności danych, do których mo emy przyznać dostęp? Jak będziemy nadzorować zmiany danych katalogowych? Jaki dostęp jest właściwy dla poszczególnych ról w organizacji? Jak te zagadnienia wpływają na projekt jednostek organizacyjnych? Proszę zawsze pamiętać, że delegowanie uprawnień jest tylko częściowo funkcją działu informatycznego. W większym stopniu jest to zagadnienie biznesowe — kto ma uzasadnione potrzeby dostępu do określonych informacji i kogo należy wyłączyć z do- stępu do tej informacji ze względu na funkcjonowanie biznesu. Bezpieczeństwo Mamy pełne prawo twierdzić, e dział informatyczny istnieje, by chronić integralność danych organizacji. Istotnie, w wielu organizacjach jest to podstawowa funkcja działu informatycznego. Gdy dane firmy zostaną stracone, zniszczone lub uszkodzone, koszty mogą wynosić miliony dolarów i tysiące straconych roboczogodzin. Poniewa firmy stają się coraz ściślej połączone ze sobą, niepoprawne dane przekazane od jednego ogniwa łańcucha dostaw do innego mogą zniszczyć cały proces obejmujący wiele przedsiębiorstw, prowadząc do katastrofalnych skutków w wielu firmach. Pamiętając o tym, powinniśmy podchodzić do bezpieczeństwa danych i katalogu z naj- większą ostro nością. Jest to jedna z najwa niejszych funkcji, jakie mo emy zapewniać, i powinna być ona traktowana z odpowiedzialnością.
  • 27. 84 Projektowanie struktur Active Directory Przy tym powa nym tonie dobrą wiadomością jest to, e mamy do dyspozycji szereg jasno sprecyzowanych reguł, których mo emy się trzymać, aby chronić u ytkowników przed nadmiernymi szkodami: Stosuj zasadę minimalnego dostępu. Twórz procedury nadzoru i rejestracji. Równowa potrzebę ograniczeń i potrzeby pracowników. Zawsze zdobywaj odpowiednie upowa nienia. Obejmij schematem zabezpieczeń plany przywracania danych i ciągłości działania firmy. Zasada minimalnego dostępu mówi, i u ytkownik powinien otrzymać dostęp jedynie do danych i usług, które są mu w uzasadniony sposób potrzebne do wykonywania obo- wiązków słu bowych. Dostęp do reszty danych jest zakazany, niezale nie od politycz- nej lub organizacyjnej pozycji u ytkownika. W Windows 2000 mo emy zastosować zasadę minimalnego dostępu, tworząc z OU linie funkcjonalne i zapewniając przez to, aby jedynie zasoby przeznaczone do powszech- nego wykorzystania w przedsiębiorstwie posiadały w profilach zabezpieczeń przypisaną im grupę U ytkownicy domeny, oraz rozwa nie kontrolując, które grupy mają dostęp do poszczególnych zasobów. Kontrola doskonała pozwala na doskonałą ochronę. Niestety aden schemat zabezpieczeń nie jest idealny. Organizacje informatyczne są projektowane, budowane i obsługiwane przez ludzi i dla ludzi. Oznacza to, e błędy mogą się zdarzać. Jedynym sposobem identyfikacji i naprawiania pomyłek jest utworzenie jasnych procedur nadzoru i rejestracji dla tworzenia wystawców zabezpieczeń (tworzenia kont u ytkowników), dostępu do zabezpieczonych zasobów (dzienniki pomyślnych i nie- udanych prób dostępu) i dla zmian w zasadach zabezpieczeń (dodawanie osoby do grupy). Szczegółowość i częstość kontroli informacji muszą być dostosowane do zdolności działu informatycznego do rozsądnego przetwarzania danych. Niewiele daje groma- dzenie setek megabajtów szczegółowych danych, których nikt nie czyta. Musimy zasto- sować kilka zdroworozsądkowych reguł, aby ograniczyć powódź danych, z jaką mo emy się spotkać: W pierwszej kolejności monitoruj punkty dostępu do wa nych danych. Monitoruj grupy mające dostęp do tych punktów. Kontroluj zakładanie u ytkowników i grup. Pozwalaj tylko zaufanym administratorom nadawać uprawnienia do wyznaczonych zabezpieczonych udziałów. Oprócz monitorowania pozostaje jeszcze jeden element układanki dostępu do danych, który musimy przemyśleć: jak bardzo ostro ni powinniśmy być? Moglibyśmy zamknąć zabezpieczane dane w sejfie, wrzucić sejf do kadzi z betonem, a całość do najbli szej rzeki. Wprawdzie dane byłyby bezpieczne, lecz nikt nie mógłby ich u yć do wytworzenia jakiejkolwiek wartości.