Этот сценарий состоит из задач, указанных ниже. Выберите задачу, чтобы просмотреть подробную информацию о ней.
В рамках этой задачи проверяется состояние серверов, чтобы гарантировать их готовность к обеспечению персонифицированного доступа.
В ходе предварительной проверки перед обеспечением персонифицированного доступа выполняется фоновая проверка работоспособности и состояния системы, чтобы избежать неактуальности состояния. Если состояние системы не проверяется, это может привести к необратимым сбоям в работе системы. Это означает, что проверка работоспособности крайне важна.
В рамках проверки работоспособности выполняются действия, указанные ниже.
Выполнятся проверка того, запущены ли на удаленном сервере сервисы, важные для установки (например, Kerberos, Samba и NMB).
Выполняется проверка того, активен ли сервис DNS на сервере, настроенном в качестве DNS-сервера.
Выполняется проверка того, активны ли все серверы, входящие в кольцо реплик, и синхронизировано ли время между ними.
Проверяется версия eDirectory на сервере, на котором выполняется установка (она должна быть не ниже версии 8.8 с пакетом обновления 2).
В сценарии с назначением имен сервер проверяется на предмет того, не содержит ли он существующих объектов, характерных для DSfW.
Инициируется очистка удаленных объектов на удаленном сервере.
В рамках этой задачи выполняется настройка системы DNS и WINS на сервере DSfW. DSfW использует DNS как сервис определения расположения, благодаря которому компьютеры могут найти контроллеры домена. Также можно настроить сервер DSfW в качестве сервера WINS. WINS — это сервер имен и сервис для имен компьютеров NetBIOS. Он предоставляет сопоставленные с IP-адресами имена NetBIOS для клиентских рабочих станций в различных подсетях.
В рамках настройки DNS выполняются указанные ниже задачи.
Для домена настраиваются зоны прямого просмотра, позволяющие разрешать запросы по поиску доменных имен.
Для домена настраиваются зоны обратного просмотра, позволяющие разрешать запросы по сопоставлению имен DNS с IP-адресами.
Создаются записи ресурсов типов NS, SRV, A, PTR.
Ссылки на зоны добавляются на DNS-сервер, в объект группы DNS и объект локатора DNS.
В настоящее время сервер DSfW тесно связан с системой Novell® DNS и требует наличия хотя бы одного DNS-сервера на контроллере домена, однако планируется обеспечить поддержку любого DNS-сервера, поддерживающего безопасные обновления DNS.
По умолчанию DNS-сервер настроен на первом контроллере домена в лесу. Для любого дополнительного котроллера домена в лесу можно использовать существующий DNS-сервер в лесу или настроить этот сервер в качестве DNS-сервера. Перед настройкой какого-либо дополнительного контроллера домена в данном домене убедитесь, что запись сервера имен в файле /etc/resolv.conf указывает на DNS-сервер, используемый в первом контроллере домена.
В рамках настройки WINS выполняются указанные ниже задачи.
Создана запись DNS в соответствующем объекте зоны.
Файл /etc/samba/smb.conf обновляется параметрами, которые требуются для работы сервисов Samba как сервера WINS.
Процесс nmb перезапускается.
При выполнении операции постпроверки для задачи проверяется, созданы ли записи DNS и файлы данных, соответствующие WINS.
В рамках этой задачи для домена создаются разделы.
Раздел содержит полную информацию обо всех объектах домена. Эта информация реплицируется на контроллерах домена в том же домене.
ПРИМЕЧАНИЕ.Эта задача не выполняется в сценарии с назначением имен.
В рамках этой задачи загружаются подключаемые модули SLAPI. Подключаемые модули SLAPI предназначены для поддержания работы информационной модели Active Directory. Это позволяет обеспечить готовность платформы SLAPI к моменту добавления данных, характерных для доменов.
В ходе настройки выполняются задачи, указанные ниже.
Атрибуты и классы сопоставляются между Active Directory и объектами схемы eDirectory.
Обновляется сервер NLDAP, загружаются подключаемые модули SLAPI.
Выполняется проверка того, загружен ли подключаемый модуль NAD.
В рамках этой задачи добавляются объекты домена, содержащие информацию о конкретном домене в разделе домена.
Раздел домена выполняет репликацию данных только на контроллерах в пределах собственного домена. Кроме того, создаются контейнеры для конфигурации и разделы схемы, разбиение которых выполняется позднее.
В рамках этой задачи выполняется разбиение контейнера конфигурации (cn=configuration), созданного задачей добавления объектов домена. Раздел конфигурации содержит данные о физической структуре и конфигурации леса (например, топологии сайта).
В случае установки дочернего домена реплика контейнера конфигурации добавляется на локальный сервер.
Раздел конфигурации специфичен для леса, и по умолчанию реплику получает первый контроллер каждого домена. Дополнительный контроллер домена получает реплику этого раздела, если в средстве YaST на этапе установки была выбрана опция
.В рамках этой задачи выполняется разбиение контейнера схемы (cn=schema), созданного при выполнении задачи добавления объектов домена.
Раздел схемы содержит определение атрибутов и классов объектов в пределах леса. При наличии дочернего домена или дополнительного контроллера домена реплика контейнера схемы добавляется на локальный сервер.
Раздел конфигурации специфичен для леса, и по умолчанию реплику получает первый контроллер каждого домена. Дополнительный контроллер домена получает реплику этого раздела, если в средстве YaST на этапе установки была выбрана опция
.В рамках этой задачи добавляются объекты разделов конфигурации и схемы.
Она помогает обеспечивать соответствие информационной модели Active Directory.
В рамках этой задачи настраиваются права доступа к каталогам для домена и администратора домена, для которых выполняется обеспечение персонифицированного доступа.
При этом выполняются следующие действия:
формируются действующие списки управления доступом;
импортируются списки управления доступом с суперправами NDS® и задаются права администратора на уровне контейнера;
импортируются списки управления доступом администратора NDS.
Это задача разделяет на части объект контроллера домена (mSDS:Server), который представлен объектом контейнера в eDirectory. Этот объект контроллера домена расположен в cn=Servers,cn=<sitename>,cn=Sites,cn=Configuration,dc=<domain name>
В ходе выполнения этой задачи выполняются действия, которые перечислены ниже.
Предварительные проверки среды DSfW перед созданием разделов объекта.
Создание разделов объекта контроллера домена.
Постпроверки среды DSfW после создания разделов объекта.
В рамках этой задачи выполняется перезапуск сервисов с учетом зависимостей.
Перезапуск необходим для того, чтобы изменения вступили в силу. При выполнении этой задачи перезапускаются следующие сервисы:
ndsd (eDirectory);
novell-named (DNS);
nscd (демон кэша сервера имен);
rpcd (RPC-сервер);
Xad-krb5kdc (Kerberos);
xad-kpasswdd (Kpassword);
xadsd (демон XAD);
nmb (NMB-сервер, поиск NETBIOS);
winbind (winbind);
smb (Samba);
sshd (SSH);
rsyncd (rsync).
После перезапуска сервисов домен переходит в рабочее состояние. Однако прежде чем он будет готов к использованию, необходимо выполнить еще ряд задач.
В рамках этой задачи выполняется установка пароля и применение протокола Kerberos к учетным записям администратора и krbgt и гостевой учетной записи.
В DSfW Kerberos является основным протоколом обеспечения безопасности для аутентификации в домене. Механизм аутентификации Kerberos выдает билеты для доступа к сетевым сервисам.
В частности, при выполнении этой задачи обновляется файл krb5.conf, а участнику системы защиты с правами администратора отправляется билет.
Это приводит к внесению изменений в файлы политики Kerberos, хранящиеся в каталоге sysvol. В результате возникает необходимость синхронизационного обновления eDirectory, которое выполняется с помощью утилиты gpo2nmas.
В рамках этой задачи изменяется конфигурация таких сервисов, как sshd, rsync и krb5. При этом настраиваются политики sysvol, групповые политики синхронизируются с NMAS™, а также добавляется запись crontab для последующей синхронизации политик.
В рамках этой задачи удаляются файлы, записанные на диск при частичной или неудачной установке. Кроме того, удаляются временные каталоги и файлы контрольных точек, созданные в ходе обеспечения персонифицированного доступа к информации.
Дополнительную информацию см. в Юридическая информация.