Definování doménových struktur a domén služby AD DS

Doménová struktura služby AD DS je kolekce jednoho nebo více stromů služby AD DS, které obsahují jednu nebo více domén služby AD DS. Domény ve sdílené složce doménové struktury:

• Společný kořen.
• Společné schéma.
• Globální katalog.

Doména SLUŽBY AD DS je logický kontejner pro správu objektů, jako jsou:

• Uživatelé
• Skupiny
• Počítače

Co je doménová struktura SLUŽBY AD DS?

Doménová struktura je kontejner nejvyšší úrovně ve službě AD DS. Každá doménová struktura je kolekce jednoho nebo více stromů domény, které sdílejí společné schéma adresáře a globální katalog. Doménový strom je kolekce jedné nebo více domén, které sdílejí souvislý obor názvů. Kořenová doména doménové struktury je první doména, kterou vytvoříte v doménové struktuře.

Kořenová doména doménové struktury obsahuje objekty, které neexistují v jiných doménách v doménové struktuře. Vzhledem k tomu, že tyto objekty vždy vytváříte na prvním řadiči domény, může doménová struktura obsahovat pouze jednu doménu s jedním řadičem domény nebo se může skládat z několika domén napříč několika stromy domény.

Následující obrázek se zobrazí Contoso.com jako kořenová doména doménové struktury. Pod sebou jsou dvě domény, Adatum.com v samostatném stromu a Seattle.Contoso.com jako podřízený prvek Contoso.com.

V kořenové doméně doménové struktury existují následující objekty:

• Role hlavního schématu.
• Role hlavního názvového serveru domény.
• Skupina Enterprise Admins
• Skupina Schema Admins

Doménová struktura služby AD DS se často popisuje takto:

• Hranice zabezpečení. Ve výchozím nastavení nemají žádní uživatelé mimo doménovou strukturu přístup k žádným prostředkům v doménové struktuře. Kromě toho všechny domény v doménové struktuře automaticky důvěřují ostatním doménám v doménové struktuře. To usnadňuje přístup k prostředkům pro všechny uživatele v doménové struktuře bez ohledu na doménu, do které patří.
• Hranice replikace. Doménová struktura služby AD DS je hranice replikace pro oddíly konfigurace a schématu v databázi služby AD DS. Proto organizace, které chtějí nasadit aplikace s nekompatibilními schématy, musí nasadit další doménové struktury. Doménová struktura je také hranicí replikace globálního katalogu. Globální katalog umožňuje najít objekty z libovolné domény v doménové struktuře.

V každé doméně existují následující objekty (včetně kořenové struktury):

• Role hlavního serveru RID.
• Role hlavního serveru infrastruktury.
• Role hlavního emulátoru primárního řadiče domény.
• Skupina Domain Admins.

Co je doména SLUŽBY AD DS?

Doména služby AD DS je logický kontejner pro správu uživatelů, počítačů, skupin a dalších objektů. Databáze SLUŽBY AD DS ukládá všechny doménové objekty a každý řadič domény ukládá kopii databáze.

Následující obrázek zobrazuje doménu SLUŽBY AD DS. Obsahuje uživatele, počítače a skupiny.

Nejčastěji používané objekty jsou popsány v následující tabulce:

Doména služby AD DS se často popisuje takto:

• Hranice replikace. Když provedete změny libovolného objektu v doméně, řadič domény, ve kterém došlo ke změně, replikuje tuto změnu do všech ostatních řadičů domény v doméně. Pokud v doménové struktuře existuje více domén, replikují se do jiných domén jenom podmnožina změn. Služba AD DS používá model replikace s více hlavními servery, který umožňuje každému řadiči domény provádět změny objektů v doméně.
• Jednotka pro správu. Doména služby AD DS obsahuje účet správce a skupinu Domain Admins. Ve výchozím nastavení je účet Správce členem skupiny Domain Admins a skupina Domain Admins je členem každé místní skupiny Administrators počítačů připojených k doméně. Ve výchozím nastavení mají členové skupiny Domain Admins úplnou kontrolu nad každým objektem v doméně.

Doména služby AD DS poskytuje:

• Ověřování. Pokaždé, když se počítač připojený k doméně spustí nebo se uživatel přihlásí k počítači připojenému k doméně, služba AD DS ho ověří. Ověřování ověřuje, že počítač nebo uživatel má správnou identitu ve službě AD DS, a to ověřením přihlašovacích údajů.
• Autorizace Systém Windows používá k určení, jestli mají ověření uživatelé přistupovat k prostředkům pomocí autorizačních technologií a technologií řízení přístupu.

Co jsou vztahy důvěryhodnosti?

Vztahy důvěryhodnosti služby AD DS umožňují přístup k prostředkům ve složitém prostředí SLUŽBY AD DS. Když nasadíte jednu doménu, můžete snadno udělit přístup k prostředkům v rámci domény uživatelům a skupinám z domény. Při implementaci více domén nebo doménových struktur byste měli zajistit, aby byly zavedeny odpovídající vztahy důvěryhodnosti, aby byl zajištěn stejný přístup k prostředkům.

V doménové struktuře AD DS s více doménami se obousměrné přechodné vztahy důvěryhodnosti generují automaticky mezi doménami služby AD DS, aby mezi všemi doménami služby AD DS existovala cesta důvěryhodnosti.

Můžete nasadit jiné typy vztahů důvěryhodnosti. Následující tabulka popisuje hlavní typy důvěryhodnosti.

Když nastavíte vztahy důvěryhodnosti mezi doménami ve stejné doménové struktuře, mezi doménovými strukturami nebo s externí sférou, Windows Server vytvoří důvěryhodný objekt domény pro ukládání informací o důvěryhodnosti, jako je tranzitivita a typ, ve službě AD DS. Windows Server ukládá tento důvěryhodný objekt domény do systémového kontejneru ve službě AD DS.

Definování organizačních jednotek

Organizační jednotky je objekt kontejneru v rámci domény, pomocí kterého můžete konsolidovat uživatele, počítače, skupiny a další objekty. Objekty zásad skupiny (GPO) můžete propojit přímo s organizační jednotky, abyste mohli spravovat uživatele a počítače obsažené v organizační jednotky. Můžete také přiřadit manažera organizační jednotky a přidružit oddíl MODELU COM+ k organizační jednotky.

Nové organizační jednotky ve službě AD DS můžete vytvořit pomocí:

• Centrum správy služby Active Directory.
• Uživatelé a počítače služby Active Directory.
• Centrum pro správu Systému Windows.
• Windows PowerShell s modulem Active Directory PowerShell.

Proč vytvářet organizační jednotky?

Existují dva důvody vytvoření organizační jednotky:

• Chcete-li konsolidovat objekty, aby bylo snazší je spravovat použitím objektů zásad skupiny na kolektivní. Když přiřadíte objekty zásad skupiny organizačnímu objektu, použijí se nastavení pro všechny objekty v organizační jednotky. Objekty zásad skupiny jsou zásady, které správci vytvářejí za účelem správy a konfigurace nastavení pro počítače nebo uživatele. Objekty zásad skupiny nasadíte tak, že je propojíte s organizačními procesory, doménami nebo lokalitami.
• Delegování správy objektů v organizační jednotce. Oprávnění ke správě můžete přiřadit organizační jednotky a delegovat tak řízení této organizační jednotky uživateli nebo skupině v rámci služby AD DS, a to kromě skupiny Domain Admins.

Organizační jednotky můžete použít k reprezentaci hierarchických logických struktur v rámci vaší organizace. Můžete například vytvořit organizační jednotky, které představují oddělení ve vaší organizaci, zeměpisné oblasti v rámci vaší organizace nebo kombinaci obou oddělení a geografických oblastí. Organizační jednotky můžete použít ke správě konfigurace a používání uživatelských, skupinových a počítačových účtů na základě modelu organizace.

Co jsou obecné kontejnery?

Služba AD DS obsahuje několik předdefinovaných kontejnerů nebo obecných kontejnerů, jako jsou uživatelé a počítače. Tyto kontejnery ukládají systémové objekty nebo fungují jako výchozí nadřazené objekty do nových objektů, které vytvoříte. Nezaměňujte tyto obecné objekty kontejneru s organizačními objekty. Hlavním rozdílem mezi organizačními procesory a kontejnery jsou možnosti správy. Kontejnery mají omezené možnosti správy. Objekt zásad skupiny například nemůžete použít přímo u kontejneru.

Při instalaci služby AD DS se ve výchozím nastavení vytvoří organizační jednotka řadiče domény a několik obecných objektů kontejneru. Služba AD DS primárně používá některé z těchto výchozích objektů, které jsou ve výchozím nastavení také skryté. Ve výchozím nastavení se zobrazí následující objekty:

• Doména. Nejvyšší úroveň hierarchie organizace domény.
• Integrovaný kontejner. Kontejner, který ukládá několik výchozích skupin.
• Kontejner počítačů. Výchozí umístění pro nové účty počítačů, které vytvoříte v doméně.
• Kontejner cizích objektů zabezpečení. Výchozí umístění důvěryhodných objektů z domén mimo místní doménu služby AD DS, kterou přidáte do skupiny v místní doméně služby AD DS.
• Kontejner účtů spravovaných služeb Výchozí umístění pro účty spravovaných služeb. Služba AD DS poskytuje automatickou správu hesel v účtech spravovaných služeb.
• Kontejner Uživatelé Výchozí umístění pro nové uživatelské účty a skupiny, které vytvoříte v doméně. Kontejner Users také obsahuje správce, účty hostů pro doménu a některé výchozí skupiny.
• Organizační jednotka řadičů domény Výchozí umístění pro účty počítačů řadičů domény. Toto je jediná organizační jednotky, která se nachází v nové instalaci služby AD DS.

Při výběru rozšířených funkcí můžete zkontrolovat několik kontejnerů. Následující tabulka popisuje objekty, které jsou ve výchozím nastavení skryté.

Použití hierarchického návrhu

Administrativní potřeby organizace určují návrh hierarchie organizačních jednotek. Geografická, funkční, zdrojová nebo uživatelská klasifikace můžou mít vliv na návrh. Bez ohledu na pořadí by hierarchie měla co nejúčelněji a flexibilně spravovat prostředky služby AD DS. Pokud například potřebujete určitým způsobem nakonfigurovat všechny počítače správců IT, můžete všechny počítače seskupit do organizační jednotky a pak přiřadit objekt zásad skupiny ke správě těchto počítačů.

Můžete také vytvářet organizační jednotky v jiných organizačních jednotkách. Vaše organizace může mít například více poboček, z nichž každý má vlastního správce IT, který zodpovídá za správu uživatelských a počítačových účtů. Každá kancelář může mít navíc různá oddělení s různými požadavky na konfiguraci počítače. V této situaci můžete vytvořit organizační jednotky pro každou kancelář a pak v rámci každého z těchto organizačních jednotek vytvořit organizační jednotky pro správce IT a organizační jednotky pro každé z ostatních oddělení.

I když neexistuje žádný limit počtu úrovní ve struktuře organizační jednotky, omezte strukturu organizační jednotky na hloubku maximálně 10 úrovní, abyste zajistili možnosti správy. Většina organizací používá k zjednodušení správy pět úrovní nebo méně.