Обеспечение персонифицированного доступа к информации для первого сервера DSfW в новом дереве eDirectory

Этот сценарий состоит из задач, указанных ниже. Выберите задачу, чтобы просмотреть подробную информацию о ней.

Предварительная проверка перед обеспечением персонифицированного доступа

В рамках этой задачи проверяется состояние серверов, чтобы гарантировать их готовность к обеспечению персонифицированного доступа.

В ходе предварительной проверки перед обеспечением персонифицированного доступа выполняется фоновая проверка работоспособности и состояния системы, чтобы избежать неактуальности состояния. Если состояние системы не проверяется, это может привести к необратимым сбоям в работе системы. Это означает, что проверка работоспособности крайне важна.

В рамках проверки работоспособности выполняются действия, указанные ниже.

  • Выполнятся проверка того, запущены ли на удаленном сервере сервисы, важные для установки (например, Kerberos, Samba и NMB).

  • Выполняется проверка того, активен ли сервис DNS на сервере, настроенном в качестве DNS-сервера.

  • Выполняется проверка того, активны ли все серверы, входящие в кольцо реплик, и синхронизировано ли время между ними.

  • Проверяется версия eDirectory на сервере, на котором выполняется установка (она должна быть не ниже версии 8.8 с пакетом обновления 2).

  • В сценарии с назначением имен сервер проверяется на предмет того, не содержит ли он существующих объектов, характерных для DSfW.

  • Инициируется очистка удаленных объектов на удаленном сервере.

Конфигурация DNS и WINS

В рамках этой задачи выполняется настройка системы DNS и WINS на сервере DSfW. DSfW использует DNS как сервис определения расположения, благодаря которому компьютеры могут найти контроллеры домена. Также можно настроить сервер DSfW в качестве сервера WINS. WINS — это сервер имен и сервис для имен компьютеров NetBIOS. Он предоставляет сопоставленные с IP-адресами имена NetBIOS для клиентских рабочих станций в различных подсетях.

В рамках настройки DNS выполняются указанные ниже задачи.

  • Для домена настраиваются зоны прямого просмотра, позволяющие разрешать запросы по поиску доменных имен.

  • Для домена настраиваются зоны обратного просмотра, позволяющие разрешать запросы по сопоставлению имен DNS с IP-адресами.

  • Создаются записи ресурсов типов NS, SRV, A, PTR.

  • Ссылки на зоны добавляются на DNS-сервер, в объект группы DNS и объект локатора DNS.

    В настоящее время сервер DSfW тесно связан с системой Novell® DNS и требует наличия хотя бы одного DNS-сервера на контроллере домена, однако планируется обеспечить поддержку любого DNS-сервера, поддерживающего безопасные обновления DNS.

По умолчанию DNS-сервер настроен на первом контроллере домена в лесу. Для любого дополнительного котроллера домена в лесу можно использовать существующий DNS-сервер в лесу или настроить этот сервер в качестве DNS-сервера. Перед настройкой какого-либо дополнительного контроллера домена в данном домене убедитесь, что запись сервера имен в файле /etc/resolv.conf указывает на DNS-сервер, используемый в первом контроллере домена.

В рамках настройки WINS выполняются указанные ниже задачи.

  • Создана запись DNS в соответствующем объекте зоны.

  • Файл /etc/samba/smb.conf обновляется параметрами, которые требуются для работы сервисов Samba как сервера WINS.

  • Процесс nmb перезапускается.

При выполнении операции постпроверки для задачи проверяется, созданы ли записи DNS и файлы данных, соответствующие WINS.

Создание разделов домена

В рамках этой задачи для домена создаются разделы.

Раздел содержит полную информацию обо всех объектах домена. Эта информация реплицируется на контроллерах домена в том же домене.

ПРИМЕЧАНИЕ.Эта задача не выполняется в сценарии с назначением имен.

Настройка подключаемых модулей SLAPI

В рамках этой задачи загружаются подключаемые модули SLAPI. Подключаемые модули SLAPI предназначены для поддержания работы информационной модели Active Directory. Это позволяет обеспечить готовность платформы SLAPI к моменту добавления данных, характерных для доменов.

В ходе настройки выполняются задачи, указанные ниже.

  • Атрибуты и классы сопоставляются между Active Directory и объектами схемы eDirectory.

  • Обновляется сервер NLDAP, загружаются подключаемые модули SLAPI.

  • Выполняется проверка того, загружен ли подключаемый модуль NAD.

Добавление объектов домена

В рамках этой задачи добавляются объекты домена, содержащие информацию о конкретном домене в разделе домена.

Раздел домена выполняет репликацию данных только на контроллерах в пределах собственного домена. Кроме того, создаются контейнеры для конфигурации и разделы схемы, разбиение которых выполняется позднее.

Создание разделов конфигурации

В рамках этой задачи выполняется разбиение контейнера конфигурации (cn=configuration), созданного задачей добавления объектов домена. Раздел конфигурации содержит данные о физической структуре и конфигурации леса (например, топологии сайта).

В случае установки дочернего домена реплика контейнера конфигурации добавляется на локальный сервер.

Раздел конфигурации специфичен для леса, и по умолчанию реплику получает первый контроллер каждого домена. Дополнительный контроллер домена получает реплику этого раздела, если в средстве YaST на этапе установки была выбрана опция Реплицировать разделы схемы и конфигурации.

Создание разделов схемы

В рамках этой задачи выполняется разбиение контейнера схемы (cn=schema), созданного при выполнении задачи добавления объектов домена.

Раздел схемы содержит определение атрибутов и классов объектов в пределах леса. При наличии дочернего домена или дополнительного контроллера домена реплика контейнера схемы добавляется на локальный сервер.

Раздел конфигурации специфичен для леса, и по умолчанию реплику получает первый контроллер каждого домена. Дополнительный контроллер домена получает реплику этого раздела, если в средстве YaST на этапе установки была выбрана опция Реплицировать разделы схемы и конфигурации.

Добавление объектов конфигурации

В рамках этой задачи добавляются объекты разделов конфигурации и схемы.

Она помогает обеспечивать соответствие информационной модели Active Directory.

Назначение прав

В рамках этой задачи настраиваются права доступа к каталогам для домена и администратора домена, для которых выполняется обеспечение персонифицированного доступа.

При этом выполняются следующие действия:

  • формируются действующие списки управления доступом;

  • импортируются списки управления доступом с суперправами NDS® и задаются права администратора на уровне контейнера;

  • импортируются списки управления доступом администратора NDS.

Настройка узлов

Это задача разделяет на части объект контроллера домена (mSDS:Server), который представлен объектом контейнера в eDirectory. Этот объект контроллера домена расположен в cn=Servers,cn=<sitename>,cn=Sites,cn=Configuration,dc=<domain name>

В ходе выполнения этой задачи выполняются действия, которые перечислены ниже.

  • Предварительные проверки среды DSfW перед созданием разделов объекта.

  • Создание разделов объекта контроллера домена.

  • Постпроверки среды DSfW после создания разделов объекта.

Перезапуск сервисов DSfW

В рамках этой задачи выполняется перезапуск сервисов с учетом зависимостей.

Перезапуск необходим для того, чтобы изменения вступили в силу. При выполнении этой задачи перезапускаются следующие сервисы:

  1. ndsd (eDirectory);

  2. novell-named (DNS);

  3. nscd (демон кэша сервера имен);

  4. rpcd (RPC-сервер);

  5. Xad-krb5kdc (Kerberos);

  6. xad-kpasswdd (Kpassword);

  7. xadsd (демон XAD);

  8. nmb (NMB-сервер, поиск NETBIOS);

  9. winbind (winbind);

  10. smb (Samba);

  11. sshd (SSH);

  12. rsyncd (rsync).

После перезапуска сервисов домен переходит в рабочее состояние. Однако прежде чем он будет готов к использованию, необходимо выполнить еще ряд задач.

Установка учетных данных для учетных записей

В рамках этой задачи выполняется установка пароля и применение протокола Kerberos к учетным записям администратора и krbgt и гостевой учетной записи.

Включение протокола Kerberos

В DSfW Kerberos является основным протоколом обеспечения безопасности для аутентификации в домене. Механизм аутентификации Kerberos выдает билеты для доступа к сетевым сервисам.

В частности, при выполнении этой задачи обновляется файл krb5.conf, а участнику системы защиты с правами администратора отправляется билет.

Это приводит к внесению изменений в файлы политики Kerberos, хранящиеся в каталоге sysvol. В результате возникает необходимость синхронизационного обновления eDirectory, которое выполняется с помощью утилиты gpo2nmas.

Очистка

В рамках этой задачи изменяется конфигурация таких сервисов, как sshd, rsync и krb5. При этом настраиваются политики sysvol, групповые политики синхронизируются с NMAS™, а также добавляется запись crontab для последующей синхронизации политик.

В рамках этой задачи удаляются файлы, записанные на диск при частичной или неудачной установке. Кроме того, удаляются временные каталоги и файлы контрольных точек, созданные в ходе обеспечения персонифицированного доступа к информации.

Дополнительную информацию см. в Юридическая информация.