| Новые программы oszone.net |  |
ВведениеВ каждой организации при проектировании службы каталогов Active Directory, вам нужно уделить особое внимание разработке структуры подразделений, назначению ролей владельцев подразделений, а также созданию подразделений учетных записей и ресурсов. Подразделения, или организационные единицы (англ. Organization Unit, OU) предназначены для упрощения администрирования доменных служб Active Directory путем сокращения масштаба. По сути, подразделения позволяют вам обеспечить автономность администрирования и предоставляют средства управления видимостью объектов в Active Directory. Помимо этого, они обеспечивают изоляцию администраторов данных и тот факт, что владельцы подразделений управляют поддеревом объектов, не лишает владельца леса возможности полностью контролировать все поддеревья. Стоит обратить внимание на то, что структура подразделений является уникальной только для домена, а не для леса и, учитывая то, что домен может содержать миллионы объектов, управление таким количеством объектов без возможности их организации в логические группы может значительно усложнить вам работу. Подразделения позволяют вам создавать иерархическую структуру внутри домена, представляя собой объекты-контейнеры, которые могут содержать объекты службы каталогов таких типов, как: компьютеры, пользователи, группы, контакты, принтеры, общие папки, inetOrgPerson, а также другие подразделения. Каждое подразделение в домене должно иметь своего владельца, который по существу является диспетчером данных, и управляет поддеревом объектов в доменных службах Active Directory. Владельцы подразделений могут создавать новые поддеревья и делегировать администрирование подразделений в этих поддеревьях. Как я упомянул выше, подразделения в большинстве случаев делятся на подразделения учетных записей и подразделения ресурсов. Подразделения учетных записей содержит объекты учетных записей пользователей, групп отдела, а также их компьютеров. Иногда администраторы разбивают подразделения учетных записей на подразделения, содержащие группы, подразделения, которые содержат пользовательские учетные записи, а также специальные подразделения для удаленных пользователей. В свою очередь, владелец леса обязан создать структуру подразделений, позволяющую управлять этими объектами, а затем передать управление структурой владельцу подразделения. В том случае, если вы развернете новый домен Active Directory, вам нужно будет и в этом домене создать подразделение учетных записей для последующей передачи управления ими. Многие администраторы при планировании подразделений учетных записей создают еще подразделения рабочих станций, которые содержат объекты компьютеров ваших пользователей, тем самым позволяя добавлять в подразделения учетных записей только объекты пользователей и групп. Подразделения ресурсов содержит ресурсы, привязанные к отделу, которые могут включать такие объекты, как локальные группы домена, принтеры, общие папки, серверы, а также учетные записи, необходимые для управления этими ресурсами. В этом случае, владелец леса также должен создать структуру подразделения, позволяющую управлять этими ресурсами и передать управление этой структурой владельцу подразделения. Проектирование подразделений ресурсов следует тщательно продумывать и создавать только по мере необходимости. В свою очередь, если определенная группа пользователей и ресурсов работает с отдельным проектом или приложением, для которого требуется уникальная система управления, которая называется подразделениями приложений и проектов. В этом случае обычно создается структура подразделений, после чего в этом подразделении группируются подразделения пользователей, ресурсов и компьютеров. В процессе создания структуры подразделений важной частью является документирование дизайна списка подразделений, которые будут созданы. В такой документ вам следует вносить список и назначение каждого подразделения, тип каждого подразделения, сведения о его владельце, родительское подразделение, а также происхождение подразделения. На каждом уровне подразделения вам нужно задокументировать делегируемые права, если подразделения используются для делегирования административных задач. Еще важным моментом является документирование конфигурации групповых политик, которые привязываются к каждой единице подразделений. К счастью для многих администраторов, для проектирования всех подразделений не существует единого сценария и существует множество моделей, которые могут послужить базисом для создания вашей уникальной структуры подразделений. В этой статье вы узнаете о разнообразных концепциях структуры подразделений, а также о назначении делегирования администрирования с помощью объектов подразделений. Модели структуры подразделенийНе стоит забывать о том, что в первую очередь подразделения создаются для таких целей как применение групповой политики, ограничение видимости объектов и делегирования администрирования. В большинстве случаев системные администраторы стараются распределить подразделения согласно физической структуре отделов компании, что в некоторых случаях может оказаться неэффективным решением. Иерархия подразделений может и не совпадать с иерархией отделов вашей компании. Например, создав подразделения, которые будут соответствовать разграничению административных обязанностей, вы сможете управлять полномочиями администраторов. Вы можете создать подразделение, в которое будут входить все учетные записи серверов и администраторов этих серверов и, после чего, настроить параметры безопасности текущего подразделения таким образом, чтобы к нему имели доступ только администраторы данных соответствующей группы. Также обратите внимание на то, что если вы хотите применять объекты групповых политик к определенным пользователям, вам нужно всех этих пользователей поместить в конкретное подразделение, а затем применить к подразделению групповую политику. В свою очередь, структура подразделений Active Directory конечным пользователям не видна, так как она является рабочим средством администраторов служб и данных и легко поддается изменениям. Количество уровней подразделений может быть бесконечным, но для эффективного управления вашими подразделениями, не стоит создавать более десяти уровней, так как управление такой структурой окажется очень сложным. Вы можете на каждом уровне создавать неограниченное количество подразделений, что позволит вам наиболее эффективно применять групповую политику к определенной группе пользователей или ресурсов. Таким образом, предварительный анализ корпоративной структуры и организационной модели считается отличной стартовой точкой для проектирования подразделений. И если в вашей компании предусмотрена автономия подразделений или офисы размещены в географически разных точках, все это вам нужно отразить в структуре подразделений организации. Существует несколько распространенных моделей иерархии подразделений, которые описаны в следующих подразделах.
Географическая модельГеографические модели подразделений структурируются в виде иерархии с учетом постоянного географического местонахождения. Например, верхний уровень подразделений, как правило, создается на базе континента. Второй – на базе стран, третий – на базе еще меньших географических образований, таких как области или города.
Организационная модельОрганизационная модель имеет структуру, подобную предыдущей модели, но при этом первый уровень может представлять основные подразделения предприятия, такие как маркетинговый, финансовый; другие уровни – меньшие группы, в границах данного предприятия.
Объектная модельОбъектная модель характерна для структур, в которых подразделения образовываются на основе классов объектов, таких как учетные записи пользователей, групп, компьютеров, принтеров.
Модель на основании проектовВ данной модели структура подразделений разрабатывается на основе корпоративных проектов.
Административная модельАдминистративная модель иерархии создается на основе административной модели предприятия. Например, на первом уровне размещается центральный офис с использованием информационных технологий, а на втором уровне – его ИТ-подразделения.
Делегирование администрирования с помощью подразделенийПосле того как вы определились с моделью структуры подразделений, перед вами встанет задача группирования объектов с целью их администрирования. Одной из важнейших причин создания подразделений является предоставление возможности делегирования административных задач. Именно при помощи подразделений вы можете делегировать отдельным пользователям или группам администрирование таких объектов, как учетные записи пользователей и компьютеров. Одни предприятия делегируют администрирование каждого размещения в отдельности, а другие – лишь особые административные задачи. Например, организации с множеством размещений и локальными системными администраторами могут в каждом сайте делегировать администрирование каждого размещения. Доменные службы позволяют управлять с высокой гибкостью теми административными задачами, которые доступны для делегирования, то есть, компания поручает одному или двум администраторам в каждом подразделении задачу сброса паролей и изменения данных пользовательских учетных записей в конкретном подразделении. А второй группе администраторов может быть предоставлена возможность создания и удаления учетных записей пользователей в том же подразделении. Кроме этого, отдельной группе могут быть предоставлены все возможности управления всеми объектами данного подразделения. Эти разрешения могут передаваться по наследству, то есть распространяться на дочерние подразделения. Некоторые подразделения и контейнеры создаются по умолчанию и управляются администраторами служб. Для передачи управления объектами в каталоге, удобно создавать из таких объектов дополнительные подразделения и, соответственно, передавать управления ими администраторам данных. Все эти возможности должны предусматриваться при создании структуры подразделений и делегировании административного доступа. При этом может быть предоставлен практически любой уровень административного доступа – как полный, включая создание дочерних структур и делегирование полномочий другим администраторам, так и предоставления особых (отдельных) полномочий. Делегирование администрирования контейнеров и подразделений по умолчаниюПри установке доменных служб Active Directory, каждый домен получает стандартный набор контейнеров и подразделений, который состоит из:
Параметры групповой политики используются для изменения и управления конфигурации рабочих мест. При этом пользователи получают стандартную конфигурацию рабочего места, включая автоматическую установку набора приложений. Параметры групповой политики применяются также для настройки параметров безопасности. При планировании структуры подразделения рекомендуется группировать объекты, в которых применяются одни и те же параметры групповых политик. По умолчанию все параметры групповой политики наследуются от родительских подразделений Делегирование администрирования подразделений учетных записей и подразделений ресурсовСтруктура подразделений учетных записей является поддеревом подразделений учетных записей всех типов, которые требуют независимого управления. При необходимости делегировать группам и компьютерам структуру подразделений учетных записей, администраторам данных нужно создать и изменить соответствующие объекты пользователей, групп и компьютеров. Группам, управляющим дочерними подразделениями, предоставляется полный контроль только над определенным классом объектов, за управление которыми они отвечают. Типы групп для передачи управления связаны с положением учетных записей в соответствии со структурой подразделений. В том случае, если все учетные записи административных пользователей находятся в одном домене, для делегирования необходимо создавать глобальные группы. При наличие отдела, управляющего всеми своими учетными записями и охватывающего несколько регионов имеет смысл создать группу администраторов данных, отвечающих за учетные записи в нескольких доменах. Если учетные записи администраторов данных находятся в одном домене, а структуры подразделений в разных доменах, то управление структурами подразделений целесообразно осуществлять в каждом домене отдельно. Если администраторы учётных записей, которым передается управление структурой подразделений, относятся к разным доменам – есть необходимость использовать универсальную группу, в которую входят пользователи из разных доменов и, соответственно, управление также можно передавать в несколько доменов. Делегирование администрирования подразделений ресурсов Подразделение ресурсов позволяет управлять доступом к ресурсам, в котором владелец создает учетные записи компьютеров для присоединенных к домену серверов и содержит файловые ресурсы общего доступа, базы данных и принтеры. Для управления доступом ресурсов, владелец подразделения создает группы для их управления. Подразделение ресурсов может находиться на уровень ниже корня домена или быть дочерним подразделением в административной иерархии подразделений. У подразделений ресурсов отсутствуют стандартные дочерние подразделения. Владельцу подразделения ресурсов принадлежат объекты подразделений, но не сам контейнер подразделения. Для каждого подразделения ресурсов в домене создается глобальная группа, которая полностью управляет объектами групп и компьютеров, содержащихся в подразделении, но не самим контейнером. Управлять объектами учетных записей, но при этом не быть администратором компьютера, владельцу подразделения позволяет размещение учетных записей подразделения ресурсов. Владелец леса может добавлять владельцев подразделений ресурсами в группу администраторы, применив групповую политику «Группы с ограниченным доступом».
Комментарии посетителей
Комментарии отключены. С вопросами по статьям обращайтесь в форум.
|
|
