Планирование развертывания Active Directory

Цель лекции: Определить порядок развертывания службы каталога, дать представление о начальном этапе планирования Active Directory - проектировании структуры леса и доменной структуры.

Развертывание службы каталога Active Directory требует планирования и проектирования. Мы приведем краткий обзор процесса планирования, через который необходимо пройти, прежде чем начать развертывание Active Directory. Самый главный вопрос - сколько лесов требуется для сети организации. Затем обсуждается разбиение лесов на домены и планирование доменного пространства имен. При подготовке вариантов развертывания Active Directory необходимо спланировать структуру доменов (корневой домен и дерево доменов), а также пространство имен DNS для возможности создания доменной иерархии.

Кроме того, необходимо выработать подход по размещению объектов в организационных подразделениях, что подразумевает определение механизма разделения ресурсов компании по организационным подразделениям, а также анализ внешних условий, применяемых к их иерархии. После создания структуры организационных единиц для каждого домена необходимо сконфигурировать сайты.

Указанные действия позволяют учесть разветвленную структуру компании при развертывании единой инфраструктуры Active Directory.

План-график развертывания

Основные вехи в плане-графике развертывания Active Directory

• Формирование проектной группы.
• Инициация проекта, согласование плана работ, ролей и ответственности.
• Обследование существующей инфраструктуры:
  • Обследование существующей структуры Active Directory.
  • Обследование инфраструктуры (приложения, использующие Active Directory).
  • Формализация результатов обследования.
• Планирование структуры Active Directory:
  • Анализ требований заказчика к построению инфраструктуры Active Directory.
  • Планирование деревьев (леса) и доменов.
  • Планирование топологии сайтов.
  • Разработка архитектуры PKI.
  • Планирование политики резервного копирования.
  • Планирование системы мониторинга на период опытной эксплуатации.
  • Формализация и разработка технического задания.
• Развертывание тестовой среды, тестирование миграции:
  • Определение перечня приложений, подлежащих тестированию.
  • Определение аппаратной конфигурации тестового стенда.
  • Определение набора ресурсов Active Directory для миграции (для каждого приложения).
  • Развертывание репрезентативной копии боевой среды.
  • Верификация идентичности тестовой среды промышленной среде.
  • Развертывание спроектированной структуры Active Directory в тестовой среде.
  • Проведение тестовой миграции.
  • Деинсталляция копии боевой среды.
  • Верификация корректности проведенной миграции.
  • Формирование проектной документации (типовая процедура миграции).
• Развертывание структуры Active Directory корневого домена и центрального офиса.
  • Информирование пользователей.
  • Развертывание спроектированной структуры Active Directory.
  • Проведение миграции.
  • Наблюдение в период адаптации.
  • Доработка типовой процедуры миграции по результатам развертывания.
  • Обучение администраторов.
• Тиражирование решения на филиалы организации.
• Доработка и сдача документации.

Анализ существующей инфраструктуры

В первую очередь определяется географическая модель организации, то есть определяются следующие составляющие.

• Локальная модель.
• Региональная модель.
• Национальная модель.
• Международная модель.
• Филиалы.
• Дочерние компании.

На основании данной информации создается карта территориального размещения организации и проводится анализ топологии существующей сети. Для сбора сведений об информационных потоках в организации анализируется текущая модель администрирования и существующие процессы в организации.

Планирование структуры Active Directory

Первый шаг в планировании структуры Active Directory - определение лесов и доменов. Более подробная информация о вариантах построения лесов и вариантах определения доменной структуры приведена в следующей лекции.

Проектирование структуры леса

Самое главное решение, которое необходимо принять на раннем этапе разработки Active Directory, - сколько лесов потребуется. Развертывание единственного леса означает, что будет возможно простое совместное использование ресурсов и доступ к информации в пределах компании. Использование единственного леса для большой корпорации требует высокой степени доверия между разнообразными и, возможно, разъединенными деловыми подразделениями. В конечном счете количество развертываемых лесов зависит от того, что является наиболее важным для компании: легкость совместного использования информации в пределах всех доменов леса или поддержка полностью автономного и изолированного управления частями структуры каталога.

Для более успешного проектирования структуры лесов службы Active Directory необходимо привлечение бизнес-заказчиков, которые являются основными потребителями услуг, обеспечиваемых ИТ-инфраструктурой. Эти задачи касаются вопросов доступности информации, безопасности, простоты управления и практичности. Менеджеры обычно включаются в принятие решений, которые не могут быть изменены сразу после развертывания. Среди этих решений - вопрос о том, сколько лесов и доменов требуется сети и сколько должно быть развернуто доменных пространств имен.

Лес Active Directory предназначен для того, чтобы быть отдельным самодостаточным модулем. Внутри леса должна быть реализована возможность совместно использовать информацию и сотрудничать с другими пользователями из того же самого подразделения. Проектируя самый высокий уровень инфраструктуры Active Directory, необходимо решить, нужно ли развертывать один лес или несколько. Каждый лес является интегрированным модулем, потому что он включает следующие составляющие [ 13 ] :

• Глобальный каталог. Лес имеет один глобальный каталог (GC). Каталог GC облегчает поиск объектов в любом домене леса и вход на любой домен леса независимо от того, на каком домене зарегистрирована учетная запись пользователя.
• Раздел конфигурации каталога. Все контроллеры домена совместно используют один и тот же раздел конфигурации каталога. Эта информация нужна для оптимизации репликации информации в пределах леса, для хранения приложений и информации Active Directory, поддерживающей приложения, и для совместного использования информации с помощью раздела приложений каталога.
• Доверительные отношения. Все домены в лесу связаны двусторонними транзитивными доверительными отношениями. Не существует никакой опции, позволяющей изменить это.

В то время как служба Active Directory облегчает совместное использование информации, она предписывает множество ограничений, которые требуют, чтобы различные подразделения в компании сотрудничали различными способами [ 13 ] .

• Одна схема. Все домены в лесу используют одну схему. Это обстоятельство, как будто, упрощает дело, но оно может быть одной из причин развертывания нескольких лесов в компании. Если одно подразделение решает развертывать приложение, которое изменяет схему, то это оказывает воздействие на все подразделения. Каждая модификация схемы должна быть проверена для гарантии того, что она не находится в противоречии с другими изменениями схемы. Это потребует значительного времени и усилий.
• Централизованное управление. Развертывание единственного леса означает, что некоторые компоненты сетевого управления должны быть централизованы. Например, единственная группа, обладающая правом изменять схему, - это группа Schema Admins (администраторы схемы). Единственная группа, обладающая правом добавлять и удалять домены из леса, - это группа Enterprise Admins (администраторы предприятия). Группа Enterprise Admins автоматически добавляется к домену локальной группы Administrators (администраторы) на каждом контроллере домена в лесу.
• Политика управления изменениями. Поскольку изменения леса могут затрагивать каждый домен и должны выполняться только централизованно, требуется четкая политика управления изменениями.
• Доверенные администраторы. Развертывание одного леса требует определенной степени доверия администраторам всех доменов. Любой администратор, обладающий правами управления контроллером домена, может сделать такие изменения, которые затронут весь лес. Это означает, что все администраторы доменов должны быть высокодоверенными людьми.

Обдумывая вопрос, касающийся количества развертываемых лесов, необходимо оценить каждый из этих факторов для определения потребностей организации, в которой планируется внедрение Active Directory.