آشنايي با زيرساخت‌هاي Active Directory در Windows Server 2003
گردآورنده : آناهيتا سنندجي ناشر : مشورت
1— مقدمه
چکيده
يک دايرکتوري (Directory) مجموعهاي ذخيره‌شده از اطلاعات درباره‌ي اشيايي است که به نوعي با يکديگر مرتبطند. يک سرويس دايرکتوري (Directory Service) تمامي‌اطلاعاتي را که براي استفاده و مديريت اين اشيا لازم است، در يک محل متمرکز ذخيره نموده و بدين ترتيب نحوه‌ي يافتن و مديريت اين منابع را تسهيل مي‌بخشد. يک Directory Service زمينه‌اي را فراهم مي‌آورد تا دسترسي به منابع در سطح شبکه به بهترين نحو ممکن سازمان يابد . کاربران و مديران ممکن است که نام دقيق يک شئ مورد نياز را ندانند، اما با دانستن يک يا چند ويژگي از يک شئ و با استفاده از Directory Service مي‌توانند ليستي از اشيا با ويژگي مورد نظر خود را جستجو کنند.
در اين بخش به معرفي سرويس Active Directory در Windows Server 2003 پرداخته و به صورت مقدماتي با خصوصيات، اشيا موجود و اجزاي آن (فيزيکي و منطقي) آشنا مي‌شويم.
کلمات کليدي: Active Directory، Domain يا دامنه، Tree يا درخت، Forest يا جنگل، Organizational Units يا واحدهاي سازماني، Domain Controller، و سايت.
آشنايي با سرويس دايرکتوري موجود در ويندوز سرور 2003 (Active Directory)
Active Directory يک سرويس دايرکتوري بوده که در Windows Server 2003 قرار داده شده است. Active Directory شامل يک دايرکتوري بوده که اطلاعات مربوط به شبکه را ذخيره مي‌کند، علاوه بر آن داراي تمامي سرويس‌هايي است که اطلاعات را قابل استفاده کرده و در دسترس قرار مي‌دهد.
Active Directory ويژگي‌هاي زير را ارائه مي‌کند:
. ذخيره‌ي متمرکز داده (Centralized data store)
. مقياس پذيري (Scalability)
. قابليت توسعه (Extensibility)
. قابليت مديريت (Manageability)
. ستفاده و تمرکز بر سيستم نام‌گذاري دامنه (Integration with Domain Name System)
. مديريت تنظيمات سرويس گيرنده (Client configuration management)
. مديريت بر مبناي سياست (Policy-based administration)
. تکرار اطلاعات (Replication of information)
. شناسايي ايمن و انعطاف پذير (Flexible, secure authentication and authorization)
. برنامه‌ها و زيرساختارهاي مبتني بر دايرکتوري
Directory-enable applications and infrastructures))
. تطبيق با ساير سرويس‌هاي دايرکتوري
(Interoperability with other directory services)
. ترافيک رمزگذاري شده و امضا شده LDAP (Signed and encrypted LDAP traffic)
اشياي موجود در Active Directory
هر داده‌اي که در Active Directory ذخيره مي‌شود، به صورت اشيايي (Objects) متفاوت سازمان مي‌يابد. يک شئ مجموعه مجزايي از صفات است که منابع شبکه را مشخص مي‌کند. صفات (Attributes)، خصوصيات اشياي موجود در يک دايرکتوري را شامل مي‌شود. به عنوان نمونه صفات يک User account (حساب کاربر) مي‌تواند شامل نام، نام خانوادگي و نام Log on براي آن کاربر باشد. در حالي که صفات يک computer account ممکن است که شامل نام و مشخصات آن شئ باشد.
بعضي از اشيا ، که از آنها به نام Container ياد مي‌شود ، خود دربردارنده اشيايي ديگرند. به عنوان مثال يک domain، خود يکcontainer است که مي‌تواند شامل اشيايي مانند حساب کاربران و کامپيوترها باشد. در شکل 1 پوشه‌ي کاربران، يکcontainer بوده که داراي اشياي مربوط به حساب کاربران است.
اجزاي Active Directory
براي ايجاد يک ساختار دايرکتوري، اجزاي زيادي مورد نياز است. اين اجزا به دو دسته‌ي منطقي و فيزيکي تقسيم مي‌شوند.
اجزاي منطقي عبارتند از :
•دامنه‌ها (Domains)
•واحدهاي سازماني (Organizational Units)
•درخت‌ها (Trees)
•جنگل‌ها (Forests)
اجزاي فيزيکي که ساختار فيزيکي Active Directory را شکل مي‌دهند عبارتند از :
•سايت‌ها (Physical Subnets)
•Domain Controllerها (DC)
ساختار منطقي
در Active Directory، مي‌توان منابع را به صورت يک ساختار منطقي سازمان داد (ساختاري که منعکس کننده‌ي مدل‌هاي سازماني باشد). گروه‌بندي منطقي منابع اين امکان را فراهم مي‌آورد تا يک منبع با استفاده از نامش به سادگي پيدا شود و اين امر ما را از يادآوري محل فيزيکي منبع بي‌نياز مي‌سازد. در شکل 2 رابطه‌ي domainها، OUها، treeها و forestها ديده مي‌شود.
1. دامنه Domain
هسته‌ي اصلي ساختار منطقي در Active Directory، domain يا دامنه بوده که قادر به ذخيره‌ي ميليون‌ها شئ است. تماميdomainها در دو ويژگي زير مشترکند.
•تمام اشياي شبکه در يک Domain قرار دارند و هر Domain اطلاعات مربوط به همان Domain را داراست.
•Domain يک محدوده‌ي امنيتي است. دسترسي به اشياي Domainها از طريق ليست‌هاي کنترل دسترسي يا ACL (Access Control List) ميسر مي‌شود. ACLها شامل مجوزهايي هستند که مرتبط با اشياي مورد نظر است. اين مجوزها بيان مي‌دارند که کدام يک از کاربران مي‌توانند به‌يک شي دسترسي داشته باشند و اين دسترسي از چه نوع و در چه سطحي است. در خانواده‌ي Windows Server 2003، اشيا شامل فايل‌ها، پوشه‌ها، اشتراکات، چاپگرها و ساير اشياي Active Directory است. اين نکته مي‌بايست در نظر گرفته شود که هيچ يک از تنظيمات و سياست‌هاي امنيتي مانند اختيارات مديريتي، سياست‌هاي امنيتي و ACLها نمي‌توانند از يک Domain به Domain ديگر تغيير يابند. اين امر بدان معنا است که‌يک مدير در سطح يک Domain تنها داراي اختياراتي است که وي را محدود به وضع سياست‌ها در همان Domain مي‌کند.
سطح عملياتي دامنه (Domain Functional Level) که تحت عنوان حالت دامنه (Domain Mode) در Windows 2003 شناخته مي‌شود، ويژگي‌هاي خاصي را در پهنه دامنه (Domain-Wide) و در محيط شبکه فراهم مي‌آورد.
چهار سطح عملياتي دامنه وجود دارد:
•Windows 2000 mixed
•Windows 2000 native
•Windows 2003 interim
•Windows Server 2003
سطح عملياتي “Windows 2000 mixed” به‌يک DC با سيستم عامل Windows Server 2003 اجازه مي‌دهد تا با ساير DCها در همان Domain که داراي سيستم عامل‌هاي Windows NT4 ، Windows 2000 و Windows server 2003 هستند ارتباط داشته باشند.
سطح عملياتي “Windows 2000 native”، تنها امکان ارتباط DCهاي Windows 2003 با Windows 2000 را فراهم مي‌آورد.
سطح عملياتي “Windows 2003 interim” ارتباط DCهاي Windows Server 2003 با DCهاي NT4 را ممکن مي‌سازد.
سطح عملياتي “Windows Server 2003” تنها DCهاي 2003 را با يکديگر مرتبط مي‌سازد.
تنها در زماني مي‌توان سطح عملياتي يک Domain را بالا برد که تماميDomain Controllerها در آن Domain نسخه‌هاي مناسبي از Windows را اجرا کنند. به عنوان نمونه اگر سطح عملياتي Domain “Windows Server 2003” باشد، در اين صورت مي‌بايست که تماميDCها در اين Domain داراي سيستم عامل windows server 2003 باشند.
2. Organization Units)OUs) واحدهاي سازماني
OU خود يک container بوده که اشياي يک دامنه (Domain) را در گروه‌هاي مديريتي سازمان دهي مي‌کند. يک OU براي اعمال و اجراي وظايف مديريتي (مانند مديريت منابع و کاربران) به کار رفته و مي‌تواند شامل اشيايي مانند حساب‌هاي کاربران، گروه‌ها، کامپيوترها، چاپگرها، برنامه‌ها، فايل‌هاي به اشتراک گذاشته شده و حتي ساير OUها از همان domain باشد. ساختار سلسله مراتبي يک OU در يک domain مستقل از ساختار سلسله مراتبي OU در domainهاي ديگر است. مي‌توان با اضافه کردن يک OU در داخل OU ديگر (nesting)، مديريتي سلسله مراتبي را سازمان داد. در شکل 3، domain با نام microsoft.com منعکس کننده‌ي سازماني بوده که داراي سه OU است : US،Orders و Disp.
Orders و Disp در واحد سازماني (OU) US آشيانه‌اي شده‌اند.به صورت پيش‌فرض تمامي‌اشياي فرزند (OUهاي Disp وOrder) مجوزهاي خود را از والدين به ارث مي‌برند (US OU). ايجاد مجوز در سطوح بالاتر و استفاده از امکانات وراثت، وظايف مديريتي را کاهش مي‌دهد.
3. درخت‌ها Trees
يک درخت(Tree)، سازمان دهي يا گروه‌بندي منطقي يک يا چند دامنه بوده که از طريق ايجاد يا اضافه کردن چند دامنه‌ي فرزند (Child Domain) به دامنه‌ي پدر (Parent Domain) فعلي به وجود مي‌آيد. دامنه‌ها در يک درخت، داراي يک فضاي اسمي(Contiguous Namespace) يا ساختار نامي سلسله مراتبي مشترک هستند. بر اساس استانداردهاي DNS، نام يک دامنه‌ي فرزند، ترکيبي از نام خود دامنه‌ي فرزند به همراه نام دامنه‌ي پدر است. در شکل 4 Domain با نام microsoft.com به عنوان دامنه‌ي والد، و Domainهاي us.microsoft.com و uk.microsoft.com دامنه‌هاي فرزند آن هستند. علاوه بر آن خود دامنه‌ي uk.microsoft.com داراي يک دامنه‌ي فرزند با نام sls.uk.microsoft.com است (به روند دنباله‌وار نام دامنه‌ها دقت کنيد).
4. جنگل‌ها Forests
يک جنگل (Forest) دسته‌بندي يا سازماندهي سلسله مراتبي از يک يا چند درخت (Domain Tree) کاملاً مستقل و مجزا از هم است. يک جنگل داراي ويژگي‌هايي است:
- <LI style="TEXT-ALIGN: justify">درخت‌ها در يک جنگل با توجه به دامنه‌هايشان، داراي ساختار نامي‌متفاوت هستند.
- دامنه‌ها در يک جنگل به صورتي کاملاً مستقل از هم عمل مي‌کنند، ولي يک جنگل امکان ارتباط در تمامي‌سازمان را برقرار مي‌سازد.
در شکل 5 دو درخت microsoft.com و msn.com از يک جنگل ديده مي‌شوند. مي‌توان مشاهده کرد که فضاي نامي‌در هر درخت دنباله‌وار است.
سطح عملياتي جنگل (Forest Functional Level)، ويژگي‌هاي خاصي را در سطح جنگل و در محيط شبکه فراهم مي‌آورد(Forest-wide Active Directory Features) .
سه سطح دسترسي جنگل وجود دارد:
•Windows 2000 ( پيش فرض )
•Windows 2003 interim
•Windows Server 2003
سطح عملياتي “Windows 2000” به يک DC با سيستم عامل Windows Server 2003 اجازه مي‌دهد تا با ساير DCها در شبکه که داراي سيستم عامل‌هاي Windows NT4 ،Windows 2000 وWindows Server 2003 هستند ارتباط داشته باشد.
سطح عملياتي “Windows 2003 interim” ارتباط DCهاي Windows Server 2003 با DCهاي ويندوز NT4 و ويندوز سرور 2003 را ممکن مي‌سازد.
سطح عملياتي “Windows Server 2003” تنها DCهاي 2003 را با يکديگر مرتبط مي‌سازد.
تنها در زماني مي‌توان سطح عملياتي يک Forest را بالا برد که تماميDomain Controllerها در آن جنگل نسخه‌هاي مناسبي از Windows را اجرا کنند. به عنوان نمونه اگر سطح عملياتي “Windows Domain Server 2003” باشد، در اين صورت مي‌بايست که تماميDCها در اين جنگل داراي سيستم عامل windows server 2003 باشند.
ساختار فيزيکي
1.سايت‌ها (Sites)
يک سايت اجتماع يک يا چند زير شبکه (IP (Subnet است که به وسيله‌ي يک اتصال فيزيکي مطمئن و سريع به هم مرتبط شده‌اند تا بتوان تا آنجا که ممکن است در جهت بهبود ترافيک شبکه اقدام کرد. سايت‌ها تنها شامل اشياي کامپيوتري و ارتباطي هستند که به منظور تنظيم چگونگي تکرار در سايت (Replication) به کار گرفته شده‌اند. همان گونه که در شکل 6 نشان داده شده است، يک دامنه مجزا مي‌تواند شامل يک يا بيش از يک سايت (از لحاظ جغرافيايي) باشد، و يک سايت مجزا مي‌تواند شامل حساب‌هاي کاربران و کامپيوترهايي باشد که متعلق به چندين دامنه هستند.
2.(Domain Controller )DC
يک Domain Controller کامپيوتري است که داراي سيستم عامل Windows Server باشد و يک نسخه از دايرکتوري دامنه (Local Domain Database) يا replica را در خود ذخيره کند. هر دامنه مي‌تواند بيش از يک Domain Controller داشته باشد. يک Domain Controller تنها مي‌تواند به‌يک دامنه سرويس دهد. يک DC وظيفه‌ي شناسايي کاربراني را که تلاش براي log on به دامنه دارند، را بر عهده دارد. علاوه بر آن سياست‌هاي امنيتي براي يک دامنه را نيز تنظيم و حفظ مي‌کند.
2— مقدمه (ادامه)
در ادامه‌ي مطالب بيان شده، در اين بخش با مفاهيم پايه در Active Directory آشنا مي‌شويم.
کلمات کليدي: تکرار يا Replication،Replica ، Partition، Global Catalog، سياست‌هاي گروهي يا Group Policies، و ارتباطات مطمئن يا Trust Relationships
درک مفاهيم Active Directory
در خانواده‌ي ويندوز سرور 2003، با مفاهيم جديدي در ارتباط با Active Directory روبرو مي‌شويم. اين مفاهيم شامل موارد زير است :
•تکرار (Replication)
•ارتباطات مطمئن (Trust Relationships)
•سياست‌هاي گروهي (Group Policies)
انعكاس ياReplication
کاربران و سرويس‌ها مي‌بايست در هر زماني و از هر کامپيوتري در domain، به اطلاعات دايرکتوري دسترسي داشته باشند. انعكاس (Replication) اين امر را تضمين مي‌نمايد که هر تغييري در يک domain controller در ساير DCها از همان domain نيز منعکس مي‌شود. اطلاعات دايرکتوري در domain controllerهاي داخل و بين سايت‌ها تکرار مي‌شود.
چه اطلاعاتي تکرار مي‌شود ؟
آنچه که در دايرکتوري ذخيره مي‌شود (در فايل Ntds.dit) به صورت منطقي به چهار دسته تقسيم مي‌شود. به هر يک از اين دسته‌هاي اطلاعاتي، لفظ directory partition اطلاق مي‌گردد. يک پارتيشن دايرکتوري را با عنوان متن نامي (naming context) نيز مي‌شناسند. دايرکتوري داراي پارتيشن‌هاي زير است:
- Schema Partition : اين پارتيشن اشيايي را مشخص مي‌سازد که مي‌توانند در دايرکتوري ساخته شوند. علاوه بر آن، اين پارتيشن ويژگي‌ها و صفات اين اشيا را نيز مشخص مي‌سازد. اين اطلاعات و داده‌ها در کل يک forest مشترک بوده و در تماميDCهاي موجود در يک forest تکرار مي‌شود.
- Configuration Partition : اين پارتيشن ساختار منطقي چيدمان Active Directory را بيان مي‌دارد و شامل داده‌هايي درباره‌ي ساختار domain و يا توپولوژي تکرار است. اين داده‌ها نيز در تماميdomainهاي موجود در يک forest مشترک بوده و در تماميDCهاي موجود در آن جنگل تکرار مي‌شوند.
- Domain Partition : اين پارتيشن تمامي‌اشياي موجود در يک domain را تعريف مي‌کند. اين داده‌ها و اطلاعات مخصوص به‌يک domain بوده و منحصر به فرد در همان domain است و بنابراين در ديگر domainهاي موجود در يک forest تکرار نخواهد شد.
- Application Directory Partition : اين پارتيشن شامل اطلاعات پوياي کاربردي است. ذخيره‌ي اين اطلاعات در اين پارتيشن موجب کنترل حوزه‌ي تکرار و محل نسخه‌هاي تکرار (replica) مي‌گردد و اين امر کوچکترين تأثير نامطلوبي در کارائي شبکه را به دنبال نخواهد داشت. اين پارتيشن مي‌تواند هر نوع شي را دارا باشد (به غير از اشياي امنيتي که شامل کاربران گروه‌ها و کامپيوترها مي‌باشد.) بدين ترتيب داده مي‌تواند به صورتي مشخص به DCهايي هدايت شود که براي کارهاي مديريتي در نظر گرفته شده‌اند و اين امر ترافيک غير ضروري تکرار (Replication) را کاهش مي‌دهد.
يک Domain Controller موارد زير را ذخيره کرده و تکرار مي‌نمايد :
•داده‌ي موجود در schema partition در سطح forest
•داده‌ي موجود در configuration partition به تماميdomainها در سطح يک forest
•داده‌ي موجود در domain partition (تمامي‌اشياي دايرکتوري و مشخصات آنها) براي همان domain. اين داده‌ها در تماميdomain controllerهاي اضافي موجود در آن domain تکرار خواهد شد. به منظور يافتن بهينه‌ي اطلاعات ، بخشي از نسخه‌ي تکرار (replica) که شامل صفاتي از تمام اشيايي است که به صورتي دائمي‌در domain مورد استفاده قرار مي‌گيرند، در کاتالوگ سراسري (Global Catalog) نيز تکرار مي‌گردد. کاتالوگ سراسري محلي مرکزي براي نگهداري اطلاعات در مورد اشيا در يک درخت يا جنگل است.
يک global catalog اطلاعات زير را ذخيره و تکرار مي‌نمايد :
•داده‌هاي موجود در schema partition براي يک forest
•داده‌هاي موجود در configuration partition براي تماميdomainها در يک forest
•بخشي از replica که شامل صفاتي از تمام اشياي دايرکتوري است که معمولا در يک forest مورد استفاده قرار مي‌گيرند ( اين اطلاعات تنها بين Global Catalogها تکرار مي‌شود).
•تماميreplica که شامل کل صفات تمام اشياي دايرکتوري در domainهايي است که کاتالوگ سراسري در آن قرار دارد.
اطلاعات چگونه منعكس مي‌شود؟
Active Directory اطلاعات را به دو صورت منعكس مي‌کند : intrasite (در داخل يک سايت) و intersite (بين سايت‌ها) .
انعكاس در داخل سايت (Intrasite Replication)
در داخل يک سايت، سرويسي از ويندوز سرور 2003 تحت عنوان Knowledge Consistency checker که به اختصار آن را KCC مي‌ناميم، به صورت خودکار يک توپولوژي براي تکرار در ميان domain controllerها در همان دامنه و با استفاده از يک ساختار حلقه ايجاد مي‌کند. KCC يک پروسه‌ي خودکار است که در تماميDCها اجرا مي‌شود. توپولوژي اعمال شده مسيري براي به روز رساني‌هاي دايرکتوري فراهم مي‌آورد تا از يک DC به DC ديگر جريان يابد و اين انتقال تا زماني ادامه مي‌يابد که DCهاي موجود در يک سايت به روزرساني‌هاي دايرکتوري را دريافت نمايند . KCC تصميم مي‌گيرد که کدام يک از سرورها براي انجام عمل انعكاس با يکديگر مناسب‌تر هستند و ساير DCها را به عنوان شرکاي انعكاس آنها در نظر مي‌گيرد. اين تصميم‌گيري بر اساس مواردي چون نحوه‌ي اتصال، سابقه‌ي انعكاس موفق و بر مبناي تطابق با نسخه‌هاي انعكاس جزئي و يا کامل است. هر DC مي‌تواند بيش از يک شريک براي انعكاس داشته باشد. بعد از آن KCC اشياي ارتباطي را مي‌سازد که ارتباط ميان شرکاي انعكاس را نمايش خواهد داد.
ساختار حلقه تضمين مي‌کند که حداقل دو مسير انعكاس از يک DC به DC ديگر وجود دارد. به همين دليل اگر يکي از DCها از کار بيفتد، عمل انعكاس (Replication) به ساير DCها ادامه خواهد يافت. شکل 7 توپولوژي انعكاس در داخل سايت را نشان مي‌دهد.
KCC توپولوژي انعكاس در داخل سايت را هر پانزده دقيقه‌يکبار بررسي کرده و از کارکرد آن اطمينان حاصل مي‌کند. با اضافه‌يا خارج کردن يک DC از شبکه، KCC توپولوژي انعكاس را مجددا پيکربندي مي‌کند تا اين تغييرات در آن منعکس شود.
هنگامي‌که بيش از هفت Domain controller به‌يک سايت اضافه مي‌شوند، KCC اشياي ارتباط اضافي را در ساختار حلقه دخيل مي‌کند تا اين اطمينان حاصل شود که اگر تغييري در هر يک از DCها ايجاد شود، هيچ يک از DCها بيش از سه Hop (گام) از DC ديگر فاصله نداشته باشند. اين ارتباطات بهينه به صورت تصادفي ايجاد مي‌شوند و الزامي‌براي ساخت آنها در هر DC نيست. شکل 8 اين مورد را نشان مي‌دهد.
انعكاس بين سايت‌ها (Intersite Replication)
به منظور اطمينان از برقراري انعكاس ميان سايت‌ها، مي‌بايست که سايت‌ها به صورت دستي و از طريق ايجاد اتصالات سايتي (Site Link) به هم مرتبط شوند. اتصالات سايتي ارتباطات شبکه را نشان داده و وقوع انعكاس را ممکن مي‌سازند. يک KCC مجزا در يک سايت تمامي‌ارتباطات ميان سايت‌ها را برقرار مي‌سازد. اين امر در شکل 9 نشان داده شده است.
رابطه اعتماد Trust Relationship
يک Trust، اتصالي ميان دو دامنه است که در آن دامنه‌ي اعتماد کننده (trusting domain)، اطلاعات مربوط به دسترسي و شناسايي را از دامنه‌ي مورد اعتماد (trusted domain) کسب مي‌کند.دو دامنه وجود دارند که موجب برقراري يک رابطه‌ي مطمئن و يا يک trust مي‌شوند: دامنه‌ي اعتماد کننده (trusting) و دامنه‌ي مورد اعتماد (trusted). دامنه‌ي اعتماد کننده دامنه‌اي است که منابع را در اختيار داشته و به ساير دامنه‌ها براي استفاده از اين منابع اعتماد دارد. دامنه‌ي مورد اعتماد در حقيقت استفاده کننده از منابع است. اين مسئله در شکل زير بهتر نمود مي‌يابد.
trustها ويژگي‌هاي زير را دارا هستند:
•چگونگي ايجاد (Method of creation): trustها مي‌توانند به صورت صريحexplicitly)) يا تلويحي (implicitly) ساخته شوند. هيچ trustي نمي‌تواند به هر دو صورت ساخته شود.
•ترانهادگي (Transitivity): يک trust ترانهاده يعني آنکه اگر Domain A به Domain B و Domain B به Domain C اعتماد يا trust دارد، آنگاه Domain A نيز به Domain C اعتماد مي‌كند. يک trust غير ترانهاده يعني آن که اگر Domain A به Domain B و Domain B به Domain C اعتماد يا trust دارد، بين Domain A و Domain C هيچ ارتباط مطمئن يا Trust برقرار نيست.
•جهت (direction): trustها مي‌توانند يک طرفه(one-way) يا دو طرفه(two-way) باشند. در يک اعتماد يک طرفهDomain A به Domain B trust دارد. در يک trust دو طرفه اگر Domain A به Domain B اعتماد داشته باشد، آنگاه Domain B نيز به Domain A اعتماد دارد.
•ويندوز سرور 2003 از انواع trustهايي که در زير آمده است پشتيباني مي‌کند.
•Tree-root trust
•Parent-child trust
•Shortcut trust
•External trust
•Forest Trust
•Realm Trust
Parent-Child trust با ايجاد يک درخت و به صورت اتوماتيک ميان تمامي‌دامنه‌هاي موجود در آن درخت به وجود مي‌آيد. با اضافه شدن يک دامنه‌ي جديد به‌يک درخت، پروسه‌ي ايجاد اتوماتيک Trust صورت مي‌پذيرد. اين نوع trust دو طرفه و ترانهاده است.
Tree-Root Trust نيز به صورت اتوماتيک و با اضافه شدن يک درخت به ساختار جنگل (a new root tree) برقرار مي‌شود شکل زير اين Trustها را نشان مي‌دهد. اين نوع trust نيز دو طرفه و داراي خاصيت ترانهادگي است.
سياست‌هاي گروهي (Group Policies)
سياست‌هاي گروهي مجموعهاي از تنظيمات براي کاربران و کامپيوتر‌هاست که مي‌تواند به کامپيوترها سايت‌ها، دامنه‌هاو OUها اعمال گردد تا بدين ترتيب عملکرد کاربران بهتر مشخص گردد. GPOها مجموعهاي از سياست‌هاي گروهي تنظيم شده است. براي معلوم کردن تنظيمات desktop براي گروهي از کاربران مشخص، اشياي سياست گروهي (Group Policy Objects or GPOs) ساخته مي‌شوند. هر کامپيوتر با سيستم عامل ويندوز داراي يک GPO داخلي بوده (Local GPO) و علاوه بر آن مي‌تواند با يک سري از سياست‌هاي غير محلي (مبتني بر Active Directory) مرتبط گردد. GPOهاي غير محلي بر GPO داخلي اولويت مي‌يابند. GPOهاي غير محلي يا به کاربران (بدون در نظر گرفتن کامپيوتري که به آن Log on مي‌کنند) و يا به کامپيوترها (بدون در نظر گرفتن کاربري که به آن log on مي‌کنند) اعمال مي‌گردد و مربوط به اشياي خاص Active Directory (دامنه‌ها، سايت‌ها و OUها) است. اين نوع از سياست‌ها به صورت سلسله مراتبي و از گروه با کمترين محدوديت (Site) به گروه با بيشترين محدوديت (OU) اعمال مي‌شود. در حقيقت چگونگي و ترتيب اعمال به صورتي که در زير آمده ، است:
1.Local GPO: هر سيستم عامل ويندوز تنها داراي يک سياست گروهي است که به صورت محلي ذخيره شده است.
2.GPOs linked to sites: هر GPO که به‌يک سايت مرتبط باشد در مرحله‌ي بعد اعمال مي‌شود. اين اعمال براي تمامي‌سياست‌هاي مرتبط با يک سايت همزمان صورت مي‌گيرد و مدير يک شبکه تعيين کننده‌ي ترتيب اعمال است.
3.GPOs Linked to Domains: اولويت اعمال اين دسته از سياست‌ها نسبت به دو مورد اول بيشتر است. اما اولويت اعمال چندين سياست مربوط به‌يک دامنه را مدير شبکه تعيين مي‌کند.
4.GPOs linked to OUs: GPOهايي که در بالاي ساختار سلسله مراتبي يک OU قرار دارند زودتر اعمال مي‌شوند. پس از آن GPOهاي مربوط به OUهاي فرزند اعمال شده و در نهايت GPOهاي مربوط به OU شامل کاربران و کامپيوترها اعمال مي‌شود. در هر سطح از OU مي‌توان بيش از چند GPO را اعمال نمود (حتي مي‌توان هيچ GPO را اعمال نکرد).
شکل زير چگونگي اعمال سياست گروهي براي دو OU ي نمونه‌ي Server و marketing را نشان مي‌دهد.
براي دريافت فايل pdf اينجا كليك كنيد.
مراجع :
•Planning , Implementing and Maintaining a Microsoft Windows Server 2003 Active Directory Infrastructure : Jill Spealman, Kurt Hudson and Melissa Craft
•Active Directory for Microsoft Windows Server 2003 : Mike Mulcare , Stan Reimar
•Microsoft Encyclopedia of Networking, Second Edition : Mitch Tulloch , Ingrid Tulloch
