Материал: 001-ЛБ-УСТАНОВКА ДОМЕННЫХ СЛУЖБ ACTIVE DIRECTORY

УСТАНОВКА ДОМЕННЫХ

СЛУЖБ ACTIVE DIRECTORY

Занятие №1

Учебные Вопросы:

1.Установка системы Windows Server

2.Выполнение послеустановочных задач настройки

3.Установка леса Windows Server

Практическая часть - представлена применительно к Windows Server 2008R2.

Особенности практической реализации для Windows Server 2012R2 (2016) приведены в Приложении 1.

Теоретическая часть – обобщенная. Попрошу с ней крепко разобраться!!!

УСТАНОВКА ДОМЕННЫХ СЛУЖБ ACTIVE DIRECTORY

Компонент Active Directory Domain Services (AD DS) и связанные с ним службы формируют основу корпоративных сетей Microsoft Windows. Они хранят данные о подлинности пользователей, компьютеров и служб, а, следовательно, их можно использовать для проверки подлинности пользователя или компьютера. Кроме того, указанные средства предоставляют пользователям и компьютерам механизм получения доступа к ресурсам предприятия.

Данное занятие посвящено созданию нового леса Active Directory с одним доменом на одном контроллере домена. В ее практических упражнениях представлен процесс создания домена UIB.com, который будет использоваться и в последующих лабораторных и практических занятиях.

Для выполнения упражнений данного занятия вам понадобятся следующие аппаратные и программные средства:

Компьютер, который должен соответствовать минимальным требованиям системы Windows Server 2008 - потребуется не менее 512 Мбайт памяти, 10 Гбайт свободного пространства на жестком диске и процессор х86 с минимальной тактовой частотой 1 ГГц или процессор х64 с минимальной тактовой частотой 1,4 ГГц.

Можно также использовать виртуальные машины, соответствующие тем же требованиям.

В учебных целях, в специализированной аудитории 308, будем пользоваться именно виртуальными машинами.

1. УСТАНОВКА ДОМЕННЫХ СЛУЖБ ACTIVE DIRECTORY

Доменные службы Active Directory (Active Directory Domain Services, AD DS)

обеспечивают идентификацию и доступ (Identity and Access, IDA) для корпоративных сетей. На этом занятии рассмотрим AD DS и другие роли Active Directory, поддерживаемые в системе Windows Server. Также обсудим Диспетчер сервера (Server Manager), с помощью которого можно конфигурировать роли сервера, а также усовершенствованный Мастер установки доменных служб Active Directory (Active Directory Domain Services Installation Wizard). Здесь также описаны ключевые концепции IDA и Active Directory.

Изучив материал этого занятия, вы должны уметь:

1.Описать роль идентификации и доступа в корпоративной сети.

2.Понимать связь между службами Active Directory.

3.Конфигурировать контроллер домена с ролью Доменные службы Active Directory (AD DS) посредством интерфейса системы Windows.

1.1 СТРУКТУРА ACTIVE DIRECTORY, ИДЕНТИФИКАЦИЯ И ДОСТУП

Как известно, структура Active Directory обеспечивает идентификацию и доступ IDA для корпоративных сетей Windows. Решение IDA необходимо для поддержки безопасности корпоративных ресурсов, в том числе файлов, электронной почты, приложений и баз данных. Инфраструктура IDA должна выполнять следующие задачи.

1.Хранение информации о пользователях, группах, компьютерах и других объектах идентификации Объект идентификации (identity) — это представление сущности, выполняющей какие-то действия в корпоративной сети. Предположим, что пользователь открывает документы в общей папке на сервере. Они защищены разрешениями списка контроля доступа (Access Control List, ACL). Доступом к документам управляет подсистема безопасности сервера, который, сравнивая объект идентификации пользователя с объектами в списке ACL, предоставляет или запрещает пользователю доступ. Поскольку компьютеры, группы, службы и другие объекты тоже выполняют определенные действия в сети, они должны быть представлены объектами идентификации. Среди информации об объекте идентификации, которая хранится, есть свойства, уникальным образом идентифицирующие объект, например имя пользователя либо идентификатор безопасности (Security Identifier, SID), а также пароль объекта идентификации. Таким образом, хранилище объектов идентификации является одним из компонентов инфраструктуры IDA. В хранилище данных Active Directory, которое также называется каталогом, хранятся объекты идентификации. Самим хранилищем управляет контроллер домена — сервер, играющий роль AD DS.

2.Проверка подлинности объекта идентификации Сервер не предоставляет пользователю доступа к документу, пока не будет подтверждена подлинность объекта идентификации, представленного в запросе доступа. Чтобы подтвердить подлинность объекта, пользователь указывает секретную информацию, известную только ему и инфраструктуре IDA. Эти данные сравниваются с информацией в хранилище объектов идентификации во время процесса, который называется проверкой подлинности.

3.Управление доступом Инфраструктура IDA обеспечивает защиту конфиденциальных данных, например информации в документе. Доступ к конфиденциальным данным должен контролироваться в соответствии с политиками предприятия. Списки управления доступом ACL документа отражают политику безопасности, состоящую из разрешений, в которых для отдельных объектов идентификации указаны уровни доступа. В данном примере функции контроля доступа в инфраструктуре IDA выполняет подсистема безопасности на сервере.

4.Обеспечение данных аудита Предприятию может потребоваться отслеживать изменения и действия, выполняемые в инфраструктуре IDA, поэтому решение IDA должно обеспечить механизм управления аудитом.

Службы AD DS представляют не единственный компонент IDA, поддерживаемый в системе Windows Server. Начиная с версии Windows Server 2008 корпорация Microsoft

объединила множество ранее разделенных компонентов в интегрированную платформу IDA. Сама структура Active Directory теперь включает пять технологий, назначение которых очевидно из их названий (см. рис. 1.1). Эти технологии полностью реализуют идентификацию и доступ IDA.

Кратко рассмотрим указанные технологии.

1.Доменные службы Active Directory (Active Directory Domain Services) —

Идентификация. Описанные ранее доменные службы AD DS предоставляют центральный репозиторий для управления идентификацией в организации. Они проверяют подлинность

иавторизацию в сети, а также поддерживают управление объектами с помощью групповой политики. Кроме того, службы AD DS обеспечивают управление информацией и общим доступом к службам, помогая пользователям находить в каталоге различные компоненты: файловые серверы, принтеры, группы и других пользователей. По этой причине AD DS часто называют службой каталогов сетевой операционной системы. Службы AD DS представляют основную технологию Active Directory, поэтому они должны быть развернуты в каждой сети с операционной системой Windows Server.

2.Службы облегченного доступа к каталогам (Active Directory Lightweight Directory Services) - Приложения Роль AD LDS является, по сути, независимой версией службы Active Directory. Ее называют также Режимом приложений Active Directory (Active Directory Application Mode, ADAM). Она обеспечивает поддержку приложений каталогов. Компонент AD LDS фактически является поднабором AD DS, поскольку оба компонента основаны на одном коде ядра. Каталог AD LDS хранит и реплицирует только данные приложений. Его часто используют приложения, которым необходимо хранилище каталогов, но не требуется реплицировать информацию на все контроллеры доменов. Кроме того, службы AD LDS дают возможность развернуть настраиваемую схему для поддержки приложения без модификации схемы AD DS. Роль AD LDS облегченная. Она поддерживает множество хранилищ данных в одной системе, чтобы каждое приложение можно было развернуть с собственным каталогом, схемой, назначенным облегченным протоколом доступа к каталогам LDAP (Lightweight Directory Access Protocol), портами SSL

ижурналом событий приложения. Роль AD LDS не зависит от служб AD DS, поэтому ее можно использовать в автономной среде либо рабочей группе. Однако в доменных средах эта роль может использоваться службами AD DS для проверки принципалов безопасности системы Windows (пользователей, групп и компьютеров). Кроме того, роль AD LDS можно применять для реализации служб проверки подлинности в открытых сетях (например, в

экстрасети). При использовании данной роли в такой ситуации угроза безопасности меньше, чем при использовании AD DS.

3.Службы сертификации Active Directory (Active Directory Certificate Services) — Доверие Организации могут использовать службы сертификации AD CS в инфраструктуре открытых ключей PKI (Public Key Infrastructure), чтобы создать центр сертификации для выдачи цифровых сертификатов, которые привязывают объект идентификации пользователя, устройства либо службы к соответствующему частному ключу. Сертификаты можно использовать для проверки подлинности пользователей, компьютеров и веб-приложений, поддержки проверки подлинности смарт-карт, а также для поддержки таких приложений: защищенных беспроводных сетей, виртуальных частных сетей VPN (Virtual Private Network), протоколов для обеспечения защиты данных (IPsec), шифрующей файловой системы EFS (Encrypting File System), цифровых подписей и многих других. Службы AD CS предоставляют эффективный и безопасный способ выдачи сертификатов и управления ими. С их помощью можно делать это для внешних сообществ.

Втаких случаях следует связать службы AD CS с каким-нибудь известным внешним центром сертификации (СА), который подтвердит вашу подлинность. Роль AD CS предназначена для создания «островков доверия» в ненадежном мире, поэтому она должна использовать надежные процессы, которые подтверждают, что подлинность всех персон и компьютеров, получивших сертификат, тщательно проверена и подтверждена. Во внутренних сетях службы AD CS можно интегрировать со службами AD DS, чтобы пользователи и компьютеры автоматически получали сертификаты.

4.Службы управления правами Active Directory (Active Directory Rights Management Services) — Целостность. Хотя сервер Windows может запрещать и разрешать доступ к документу на основе списка контроля доступа ACL, можно несколькими способами следить за дальнейшими операциями с документом и его содержимым после открытия документа пользователем. Службы управления правами Active Directory (AD RMS) предоставляют технологию защиты информации, с помощью которой можно реализовать шаблоны устойчивых политик использования, задающих разрешенное и неавторизованное применение в сети, вне ее, а также внутри и вне периметра брандмауэра. Например, для пользователей можно сконфигурировать шаблон, который разрешает читать документ, но запрещает печатать и копировать его содержимое. Таким образом, можно гарантировать целостность генерируемых данных, защитить интеллектуальную собственность и контролировать операции, выполняемые с документами организации. Для роли AD RMS необходим домен Active Directory с контроллерами, где установлены версия системы не ниже Windows 2000 Server с пакетом обновлений Service Pack 3 (SP3), веб-сервер IIS, сервер баз данных типа Microsoft SQL Server 2008, клиент AD RMS (он доступен в центре загрузок Microsoft, а также по умолчанию включен в версии Windows Vista и Windows Server 2008), а также обозреватель или приложение RMS, например Microsoft Internet Explorer, Microsoft Office, Microsoft Word, Microsoft Outlook или Microsoft PowerPoint. В службах AD RMS может использоваться роль AD CS для вложения сертификатов в документы, а также роль AD DS для управления доступом.

5.Службы федерации Active Directory (Active Directory Federation Services) — Партнерские отношения С помощью служб AD FS организация может расширить инфраструктуру IDA на множестве платформ, включая среды Windows и другие, а также обеспечить для доверенных партнеров защиту прав идентификации и доступа вне периметра безопасности. В среде федерации организации поддерживают и контролируют собственные объекты идентификации, однако могут также безопасно проектировать объекты и принимать их из других организаций. Пользователи проходят проверку подлинности в одной сети, но могут получать доступ к ресурсам в другой. Этот процесс называется единым входом SSO (Single Sign-On). Роль AD FS поддерживает партнерские отношения, поскольку она дает различным организациям возможность получать общий