Понятийный аппарат и административные задачи Active Directory, страница 3

В семействе Windows Server 2003 Active Directory поддерживает следующие формы доверительных отношений:

r  Корневое доверительное отношение. Корневое доверительное отношение(tree-root trust) устанавливается неявно при введении в лес нового корневого домена дерева. К при­меру, на рис. 5 корневое доверительное отношение устанавливается между доме­ном А и доменом 1 во время введения последнего (он исполняет роль корневого домена дерева) в лес. Доверительное отношение этого типа связывает создаваемый (но­вый корневой) домен дерева и существующий корневой домен леса. Такое отношение может быть установлено только между корневыми доменами двух деревьев одного леса. Оно характеризуется транзитивностью и двусторонностью.

r  Родительски-дочернее доверительное отношение. Родительски-дочернее доверительное отношение(parent-child trust) устанавливается неявно при создании в дереве нового дочернего домена. К примеру, на рис. 5 родительски-дочернее доверительное от­ношение устанавливается между доменом 1 и доменом 2 в момент появления в дере­ве последнего. В процессе установки Active Directory автоматически устанавливает доверительное отношение между новым доменом, с одной стороны, и доменом, ко­торый непосредственно предшествует первому в иерархии пространств имен, с дру­гой (к примеру, uk.microsoft.comсоздается как дочерний по отношению к microsoft.comдомен). Таким образом, вводимый в состав дерева домен оказывается в доверитель­ных отношениях со всеми остальными доменами этого дерева. В результате все объекты всех доменов дерева оказываются доступными для остальных доменов того
же дерева. Этот тип доверительных отношений также характеризуется транзитивно­стью и двусторонностью.

Рисунок 5. Структура доменов с корневыми и родительски-дочерними доверительными отношениями

r  Сокращенное доверительное отношение. Сокращенное доверительное отношение(shortcut trust) явно устанавливается системным администратором между двумя до­менами в составе леса. Оно помогает повысить оперативность регистрации пользователей, которая в случае логической удаленности двух доменов в рамках иерархии леса или дерева серьезно замедляется. Этот тип отношений характеризуется транзитивностью. Что же касается направленности, то сокращенное доверительное отношение может быть как односторонним, так и двусторонним.

r  Внешнее доверительное отношение. Внешнее доверительное отношение(external trust) явно устанавливается системным администратором между доменами Windows Server 2003, расположенными в разных лесах, или между доменом Windows Server 2003, с одной стороны, и доменом, чей контроллер управляется Windows NT 4 или более ранней версией этой операционной системы, с другой. Потребность в нем возникает тогда, когда пользователям становится нужен доступ к ресурсам, расположенным в домене, управляемом Windows NT 4 или находящемся в отдельном лесу, который не позволяет установить межлесных доверительных отношений. Характеризуется нетранзитивностью. Бывает как односторонним, так и двусторонним.

r  Доверительное отношение между лесами. Доверительное отношение между лесами (forest trust) явно устанавливается системным администратором между двумя корне­выми доменами леса. Оно предусматривает возможность транзитивного доверия всех доменов одного леса всем доменам другого леса. На отношения, установленные между тремя и более лесами, транзитивность не распространяется. Предположим, например, что лес А доверяет лесу В, а лес В доверяет лесу С. Доверительные отноше­ния между лесами А и С при этом не устанавливаются. Отношения между двумя лесами транзитивны и могут быть как односторонними, так и двусторонними. Доверительные отношения между лесами возможны только для тех лесов, которые находятся в режиме работы Windows Server 2003.

r  Доверительное отношение между доменом и сферой. Доверительное отношение между доменом и сферой(realm trust) явно устанавливается системным администратором между сферой, не находящейся под управлением Windows Kerberos, и доменом Windows Server 2003. Обеспечивает способность к взаимодействию доменов Windows Server 2003 и сфер, применяемых в различных реализациях Kerberos 5. Может быть транзитивным или нетранзитивным, односторонним или двусторонним.