Попытка познания концепции Active Directory

Active Directory - что это вообще такое? Периодически такой вопрос задают инженерам. Или у инженеров возникает такой вопрос. Его полезно задать самому себе, дабы это такая вещь, которую, как ни странно, далеко не все могут внятно объяснить в силу неясного осознания самой концепции.
Ниже приведена моя собственная попытка осознания вышеупомянутой технологии. Ни в коем случае не претендует на абсолютную правильность и праведность, а представляет именно мою проекцию сознания в данном вопросе :) (Подкреплено http://technet.microsoft.com и незабвенным курсом 70-297)
***

Любая организация обладает определенным набором ресурсов – финансовых, технических, сырьевых, человеческих и т.д. Для эффективного и удобного пользования ресурсами необходима их структуризация и наличие полной информации о них, а также средства управления ими.

Служба каталогов – средство представления структуры ресурсов организации в виде иерархического описания сущностей. Сущности (объекты) обладают определенными свойствами и функциями, по которым они группируются в классы. Типы ресурсов, классы и определяемые ими атрибуты, а также их взаимосвязи описываются схемой службы каталогов.

ИТ-инфраструктура предприятия включает в себя такие ресурсы как аппаратные платформы (серверы, рабочие станции…), приложения, человеческие ресурсы (персонал)

ИТ-инфраструктура предприятия нуждается в службе каталогов для обеспечения централизации информации о ресурсах, стандартизации этой информации, управления свойствами ресурсов, правами доступа к ним, поиска по ресурсам. Служба каталогов должна обеспечивать прозрачность физической структуры сети и ресурсов – пользователи и администраторы службы каталогов должны иметь возможность пользоваться и управлять ресурсами, не зная, где они находятся и каким образом подключены к сети. Служба каталогов должна обладать масштабируемостью, а именно – без издержек и дополнительных затрат на администрирование допускать значительный рост сети и ресурсов. Необходима также расширяемость – то есть возможность расширения набора информации, хранимого в каталоге. Кроме того, служба каталогов должна обеспечивать безопасность хранимой информации для защиты от несанкционированного доступа.

Организацией ISO были определены стандарты служб протоколов – DAP и LDAP, последняя получила широкое распространение и стала стандартным протоколом служб каталогов в Интернете. Active Directory – реализация службы каталогов для сети под управлением ОС Windows Server 2000\2003\2008, соответствующая стандартам LDAP.

Active Directory представляет собой централизованную службу каталогов с базой данных сетевых ресурсов. База данных может быть разбита на разделы и распределена по доменам сети для обеспечения оперативного доступа к данным из любой точки сети, сохраняя возможность управлять ей как единой. AD расширяема – набор информации о ресурсах, хранимый в каталоге, можно расширить в соответствии с индивидуальными потребностями. Кроме того, согласно вышеописанным требованиям к службе каталогов, Active Directory обеспечивает прозрачность обращения к ресурсам и их администрирование, так как абстрагирует логику сети и ресурсов от их физической структуры.

Службы Active Directory устанавливаются и работают на серверах под управлением ОС Windows Server 2000\2003\2008 (контроллеры домена). Базовая организационная структура и административная единица Active Directory – домен, члены которого (серверы и рабочие станции) делят между собой общую базу данных безопасности и пространство имен. Каждый домен может быть разделен на организационные единицы – зоны административного управления внутри домена, позволяющие делегировать административные задачи для этих групп, не предоставляя таких полномочий в рамках всего домена.

Организационная структура уровня выше домена – деревья, в которые организуются несколько доменов. Деревья объединяются в лес, который является крайней границей организационной структуры Active Directory.