Az Active Directory

Az Active Directory a Windows 2000 Server operációs rendszer által használt címtárszolgáltatás, amely a Windows 2000 elosztott hálózatok alapját képezi.

  • Feladatlisták
  • Megszokott feladatok végrehajtásának új módjai
  • Gyakorlati tanácsok
  • Útmutató
  • Fogalmak
  • Hibaelhárítás


Feladatlisták

  • Feladatlista: Tartományvezérlő telepítése
  • Feladatlista: Tag hozzáadása csoporthoz
  • Feladatlista: Csoport létrehozása
  • Feladatlista: Csoport frissítése
  • Feladatlista: Hely konfigurálása
  • Feladatlista: Helyek közötti replikáció optimalizálása
  • Feladatlista: A séma bővítése előtt


Feladatlista: Tartományvezérlő telepítése

Lépés | Hivatkozás
Tekintse át az Active Directory alapfogalmait. | Active Directory – áttekintés
Tanulmányozza a tartományvezérlők szerepkörének ismertetését. | Tartományvezérlők
Tekintse át a többtartományos hálózat tartományvezérlőinek telepítésével kapcsolatos fogalmakat. | Tartományfák és erdők használatának ismertetése
Tekintse át, hogy miként történik a címtáradatok tartományvezérlők közötti replikációja. | A replikáció működése
Tanulmányozza a Windows 2000 korábbi verzióival kompatibilis biztonsági szinteket. | Tartományvezérlők előléptetése
Tekintse át a Tartománynévrendszer (DNS) fogalmait. | A DNS meghatározása
Tanulmányozza, hogy miként megy végbe az Active Directory és a DNS integrációja. | Integráció a Tartománynévrendszerrel (DNS)
Azonosítsa a DNS-névteret. Ha a hálózat Internetes jelenlétet igényel, ellenőrizze, hogy van-e regisztrált Internet tartományneve. | Névtér tervezése a Tartománynévrendszerhez (DNS)
Ellenőrizze, hogy a számítógépnek van-e Windows 2000 NTFS-partíciója. | Feladatlista: Új lemez hozzáadása
Ellenőrizze, hogy a TCP/IP protokoll helyesen lett-e a számítógépre telepítve. | Feladatlista: A TCP/IP telepítése és konfigurálása
Ellenőrizze, hogy van-e a hálózaton elérhető DNS-kiszolgáló. Ha nincs, akkor telepítse a Windows 2000 DNS szolgáltatását egy másik Windows 2000 számítógépre, vagy az Active Directory telepítő varázsló telepíti és konfigurálja azt a tartományvezérlő számítógépen. | A DNS-integráció ismertetése; Feladatlista: A DNS üzembe helyezése az Active Directoryhoz
Telepítse a tartományvezérlőt. | Tartományvezérlő telepítése


Feladatlista: Tag hozzáadása csoporthoz

Lépés Hivatkozás
Mielőtt tagokat adna valamely csoporthoz, tanulmányozza a csoporttagság fontosabb fogalmait: hogyan befolyásolják a felhasználó bejelentkezési eljárását a biztonsági és címzési csoportok, illetve, hogyan kell használni a beépített csoportokat. Csoportok
Csoporttípusok
Beépített és előre definiált csoportok
Tagok csoporthoz való hozzáadásához használja a megfelelő felügyeleti eszközt.
  • Ha a helyi munkaállomáshoz vagy tagkiszolgáló-csoporthoz tagot kíván hozzáadni, használja a Számítógép-kezelés beépülő modul Helyi felhasználók és csoportok alkalmazását.
  • Windows 2000 tartományban az Active Directory - felhasználók és számítógépek alkalmazásával adhat valamely tartományhoz, globális vagy univerzális csoporthoz tagokat.


Feladatlista: Csoport létrehozása

Lépés | Hivatkozás
Új csoport létrehozása előtt a csoporttípusokkal, valamint a csoportokkal való munkavégzéssel kapcsolatos legfontosabb fogalmak áttekintése. Csoportok
Csoporttípusok
A csoportok ismertetése
A létrehozandó csoport típusának (biztonsági vagy címzési csoport) meghatározása. | A csoportok ismertetése
A csoporthoz hozzárendelni kívánt hatókör (tartományszintű helyi, globális, univerzális) meghatározása. | A csoportok ismertetése
A csoport létrehozásához használja a megfelelő felügyeleti eszközt.
  • Ha helyi munkaállomáson vagy tagkiszolgálón kíván csoportot létrehozni, használja a Számítógép-kezelés beépülő modul Helyi felhasználók és csoportok beépülő modulját.
  • Ha Windows 2000 tartományban kíván csoportot létrehozni, használja az Active Directory – felhasználók és számítógépek eszközt.


Feladatlista: Csoport frissítése

Lépés | Hivatkozás
Windows NT 4.0 tartományvezérlő, önálló kiszolgáló vagy munkaállomás frissítése előtt tekintse át a csoportokra vonatkozó legfontosabb fogalmakat. | Csoportok
Tekintse át az univerzális, globális és tartományon belüli helyi hatókörökről szóló témaköröket. | Csoportok konvertálása a Windows 2000 rendszerhez Csoporthatókörök
Tanulmányozza a munkaállomások és az önálló kiszolgálók csoportjaira vonatkozó információkat. | Tartományüzemmódok és csoportok A Windows 2000 Professional operációs rendszerben és önálló kiszolgálókon működő csoportok
Tekintse át a beépített és az előre definiált csoportokra vonatkozó információkat. | Beépített és előre definiált csoportok


Feladatlista: Hely konfigurálása

Lépés | Hivatkozás
Hozzon létre egy új helyet. | Hely létrehozása
Rendeljen egy alhálózatot a helyhez. | Alhálózat társítása hellyel
Csatlakoztassa a helyet. | Helyhivatkozás létrehozása, Hely hozzáadása helyhivatkozáshoz
Jelöljön ki egy másik licencelő számítógépet. | Másik licencelő számítógép kijelölése
Szabja testre replikációs beállításokkal a replikációs folyamatot. | Feladatlista: Helyek közötti replikáció optimalizálása


Feladatlista: Helyek közötti replikáció optimalizálása

Lépés | Hivatkozás
Helyhivatkozások létrehozása | Helyhivatkozás létrehozása
Helyhivatkozási költség konfigurálása | Helyhivatkozási költség konfigurálása; Helyhivatkozási replikáció rendelkezésre állásának konfigurálása
Kössön össze minden helyhivatkozást vagy hozzon létre helyhivatkozás-hidakat | Minden helyhivatkozás összekötése; Helyhivatkozás-híd létrehozása
Telepítsen SMTP-t minden olyan tartományvezérlőre, amelyik SMTP-t használ a replikációhoz. | A Programok telepítése/törlése eszköz – áttekintés
Telepítsen vállalati hitelesítő szervezetet (CA), ha valamelyik helye SMTP-t fog használni. | A hitelesítő szervezet telepítése és konfigurálása


Feladatlista: A séma bővítése előtt

Lépés | Hivatkozás
Gondosan tervezze meg a kívánt módosításokat. | A Microsoft webhelyén található (angol nyelvű) Active Directory Programmer's Guide (Programozói kézikönyv) dokumentáció (http://www.microsoft.com/)
Győződjön meg róla, hogy a módosítások valóban szükségesek. | Mikor célszerű bővíteni a sémát?
Legyen pontosan tisztában a sémabővítés során felmerülő kérdésekkel. | A séma bővítésével kapcsolatos kérdések
Ismerje meg pontosan, hogy miként kell kezelni az új objektumokat és attribútumokat. | A séma bővítésével kapcsolatos kérdések
Határozza meg minden új sémaobjektum pontos nevét. | Sémaobjektumnevek
Igényeljen minden új sémaobjektumhoz új objektumazonosítót. | Érvényes objektumazonosítók igénylése
Legyen tisztában az egyedi főkiszolgáló-műveletekkel. | Egyedi főkiszolgáló-műveletek
Csatlakozzon a Sémagazdák csoporthoz. | Tag hozzáadása a Sémagazdák csoporthoz
Telepítse az Active Directory sémája beépülő modult. | Az Active Directory sémája beépülő modul telepítése
Keresse meg a séma fő tartományvezérlőjét. | A séma fő tartományvezérlőjének azonosítása
Engedélyezze a sémamódosításokat a használandó számítógépen. | Sémabővítés engedélyezése a számítógépnek
Ellenőrizze, hogy a korábbi sémamódosításokat teljes mértékben replikálta-e a rendszer az összes tartományvezérlőre. | Active Directory támogatóeszközök
Ha lehetséges, az ellenőrizetlen sémamódosításokat elszigetelt erdőben tesztelje. |
Tekintse át még egyszer a sémabővítésekre vonatkozó tudnivalókat. | A séma bővítése; a Microsoft webhelyén található Active Directory Programmer's Guide (Programozói kézikönyv) dokumentáció (http://www.microsoft.com/)


Megszokott feladatok végrehajtásának új módjai

A következő táblázat felsorolja az Active Directory felügyeleti eszközeinek általános feladatait, illetve bemutatja, hogy miként használhatók ezek a Windows 2000 operációs rendszerben. A korábbi Windows NT Server operációs rendszer felhasználói megtalálják a táblázatban azt is, hogy ezeket a feladatokat hol lehetett végrehajtani a Windows NT Server 4.0 operációs rendszerben.

Feladat | Windows NT 4.0 rendszerben | Windows 2000 rendszerben
Tartományvezérlő telepítése | Windows telepítő | Active Directory telepítő varázsló További információt a Tartományvezérlő telepítése című témakörben talál.
Felhasználói fiókok kezelése | Felhasználókezelő | Active Directory – felhasználók és számítógépek További információt a Felhasználói fiókok kezelése című témakör nyújt.
Csoportok kezelése | Felhasználókezelő | Active Directory – felhasználók és számítógépek További információt a Csoportok kezelése című témakör tartalmaz.
Számítógépfiókok kezelése | Kiszolgálókezelő | Active Directory – felhasználók és számítógépek Bővebb tájékoztatást a Számítógépfiókok kezelése című témakörben talál.
Számítógép hozzáadása tartományhoz | Kiszolgálókezelő | Active Directory – felhasználók és számítógépek Bővebb tájékoztatást a Számítógépfiókok kezelése című témakörben talál.
Meghatalmazotti kapcsolatok létrehozása és kezelése | Felhasználókezelő | Active Directory – tartományok és meghatalmazások További információt az Active Directory – tartományok és meghatalmazások című témakör nyújt.
Fiókrend kezelése | Felhasználókezelő | Active Directory – felhasználók és számítógépek További információt a Fiókházirendek című rész tartalmaz.
Felhasználói engedélyek kezelése | Felhasználókezelő | Active Directory – felhasználók és számítógépek Azon tartomány vagy szervezeti egység csoportházirend-objektumának módosítása, amely azt a számítógépet tartalmazza, amelyre a felhasználói engedélyek vonatkoznak. További információt a Munkavégzés csoportházirend-objektumokkal című rész tartalmaz.
Naplórend kezelése | Felhasználókezelő | Active Directory – felhasználók és számítógépek A Tartománykezelők szervezeti egységhez rendelt csoportházirend-objektum módosítása. Bővebb felvilágosításért olvassa el a Munkavégzés csoportházirend-objektumokkal című témakörben foglaltakat.


Gyakorlati tanácsok

  • Ne rendszergazdai engedélyekkel jelentkezzen be! Normál felhasználóként jelentkezzen be, és használja a Futtatás mint parancsot, ha felügyeleti feladatot akar végrehajtani.

    A Futtatás mint parancsot használva rendszergazdai engedélyekkel teljesíthet felügyeleti feladatokat, normál felhasználóként bejelentkezve. Létrehozhat parancsikont is eszközök rendszergazdai engedélyekkel történő futtatásához.

    • További információ:

    • Miért ne rendszergazdaként futtassa számítógépét?
    • A Futtatás mint parancs használata egy program rendszergazdai engedélyekkel történő futtatásához
    • Parancsikon létrehozása a Futtatás mint parancs paramétereivel

    A Futtatás mint parancs részletes leírását lásd: Run as.

  • Minden olyan földrajzi körzetet, amely gyors hozzáférést igényel a legfrissebb címtári információkhoz, helyként kell létrehozni.

    Az Active Directory aktuális információihoz azonnali hozzáférést igénylő körzet külön helyként való létrehozásával hozzájuthat az igényeinek megfelelő erőforrásokhoz.

    További információ a Helyek létrehozása című témakörben található.

  • Helyezzen minden helyre legalább egy tartományvezérlőt, és minden hely legalább egy tartományvezérlőjét definiálja globális katalógusként.

    Azok a helyek, amelyeknek nincs saját tartományvezérlőjük és legalább egy globális katalógusuk, a címtár-információk megszerzésében más helyektől függenek, és kevésbé hatékonyak.

    További információt a Globális katalógus engedélyezése és letiltása című témakörben talál.

  • Minden helyhivatkozást tegyen tranzitívvé és hagyja figyelmen kívül a replikáció-ütemezéseket.

    A tranzitív helyhivatkozások maximalizálják a helyek közötti elérhető kapcsolatokat, illetve azt az időt, amíg ezek a kapcsolatok használhatók.

    További információt a Ütemezés figyelmen kívül hagyása részben talál.

  • Létesítsen elsődleges támaszpont-kiszolgálót, ha tűzfalat használ, vagy ha egy számítógépet ki akar jelölni a helyek közötti replikáció számára.

    A támaszpont-kiszolgáló a tűzfalon kívüli helyekkel való kommunikációban proxykiszolgálóként funkcionál.

    Minden helyet társítani kell legalább egy alhálózattal és legalább egy helyhivatkozással, ahhoz hogy használható legyen.

    További információ:

    • Alhálózat hellyel való társítása
    • Hely felvétele helyhivatkozásba


Útmutató

  • Tartományvezérlők kezelése
  • Felhasználói fiókok kezelése
  • Számítógépfiókok kezelése
  • Csoportok kezelése
  • Szervezeti egységek kezelése
  • Közzétett erőforrások kezelése
  • Tartományok és meghatalmazások felügyelete
  • Kiszolgáló-beállítások konfigurálása
  • Hely-beállítások konfigurálása
  • Replikáció konfigurálása
  • Séma kezelése


Tartományvezérlők kezelése

  • Tartományvezérlő telepítése
  • Tartományvezérlő lefokozása
  • Tartományvezérlő keresése
  • Másik tartomány kezelése
  • Tartomány kezelése másik tartományvezérlővel
  • Vezérlés delegálása
  • Tartományvezérlők tulajdonságainak módosítása
  • Egyedi főkiszolgáló-műveletek kezelése


Tartományvezérlő telepítése

  1. Kattintson a Start gombra, mutasson a Programok pontra, a Felügyeleti eszközök pontra, végül kattintson A kiszolgáló konfigurálása parancsra.
  2. Az Active Directory telepítő varázsló indításához kattintson az Active Directory, majd az Indítsa el hivatkozásra.
  3. Kövesse az Active Directory telepítő varázsló utasításait.

Megjegyzések

  • Az Active Directory telepítő varázsló megnyitásához kattintson a Start gombra, majd a Futtatás parancsra, és a Megnyitás mezőbe írja be a dcpromo parancsot.
  • Ezt a műveletet nem hajthatja végre Windows Professional operációs rendszert használó számítógépeken, mivel azok nem lehetnek tartományvezérlők. A kiszolgáló konfigurálása menüelem és a dcpromo parancs Windows Professional operációs rendszert használó számítógépeken nem alkalmazható.
  • Tartományvezérlő telepítésekor el kell döntenie, hogy alkalmazza-e a korábbi Windows verziójú operációs rendszerekkel kompatibilis rendszerbiztonságot. További információt a Tartományvezérlők előléptetése című témakörben talál.
  • Az Active Directory telepítő varázsló használata előtt
    • tekintse át a Feladatlista: Tartományvezérlő telepítése oldalon leírtakat.
    • szerezze be a tartomány létrehozásához szükséges azonosító adatokat – az azonosító adatok a következők: valamely felhasználói fiók bejelentkezési neve, a fiók jelszava és a tartománynév; a felhasználói fióknak elegendő felügyeleti jogosultsággal kell rendelkeznie tartományvezérlő létrehozásához
    • döntse el, hogy milyen típusú tartományvezérlőt kíván létrehozni (már létező tartomány újabb tartományvezérlőjét vagy új tartomány tartományvezérlőjét).

      Ha új tartomány tartományvezérlőjét hozza létre, el kell döntenie, hogy a tartomány egy erdő első tartománya, egy létező erdő új tartományfájának első tartománya, illetve egy létező tartományfa egyik gyermektartománya lesz-e. A tartományokról, a tartományfákról és az erdőkről a Kapcsolódó témakörök hivatkozásra kattintva talál további információt.

  • Azonosítsa a tartomány DNS-nevét.

Kapcsolódó témakörök


Tartományvezérlő lefokozása

  1. A tartományvezérlőn kattintson a Start gombra, majd a Futtatás parancsra.
  2. A Megnyitás mezőbe írja be a dcpromo parancsot.
  3. Kövesse az Active Directory telepítő varázsló utasításait.

Megjegyzések

  • Ha az adott tartományvezérlő globális katalógus, akkor egy másik globális katalógust kell hozzáférhetővé tenni a felhasználók számára a tartományvezérlő lefokozása előtt. A tartományvezérlők globális katalóguskiszolgálóként való konfigurálására vonatkozó további információért kattintson a Kapcsolódó témakörök hivatkozásra.
  • Ha a tartományvezérlő egy vagy több műveleti főkiszolgálói szerepet is betölt, akkor a műveleti főkiszolgáló szerepet a tartományvezérlőt lefokozása előtt adja át egy másik tartományvezérlőnek. A műveleti főkiszolgálók elhelyezéséről, illetve a műveleti főkiszolgálói szerepek átadására vonatkozó további információért kattintson a Kapcsolódó témakörök hivatkozásra.
  • Ha a tartomány gyermektartományokkal rendelkezik, akkor nem törölhető. Ha a tartományvezérlő a tartomány utolsó tartományvezérlője, akkor lefokozása egyúttal a tartománynak az erdőből való eltávolítását is jelenti. Ha ez a tartomány az erdő utolsó tartománya, akkor a tartományvezérlő lefokozásakor az erdő törlésre kerül.

Kapcsolódó témakörök


Tartományvezérlő keresése

  1. Nyissa meg az Active Directory – felhasználók és számítógépek ablakot.
  2. Kattintson a konzolfán a jobb gombbal bármelyik tartománycsomópontra vagy mappára, majd a Keresés parancsra.
  3. A Keresés menüben kattintson a Számítógépek parancsra, majd a Szerep lapon a Tartományvezérlő elemre.

  4. Ha tudja, hogy melyik mappa tartalmazza a tartományvezérlőt, akkor a Hely mezőben kattintson a mappára.

    Ha az egész címtárban kíván keresni, akkor a Hely mezőben kattintson a Teljes könyvtár elemre.

  5. Kattintson a Keresés gombra.

Megjegyzések

  • A Speciális lapon további beállítások megadásával teheti hatékonyabbá a keresést.
  • Számítógép kereséséhez használhatja az eszköztáron lévő Objektumok keresése az Active Directoryban gombot is.

Kapcsolódó témakörök


Másik tartomány kezelése

  1. Nyissa meg az Active Directory – felhasználók és számítógépek ablakot.
  2. A konzolfán a jobb gombbal kattintson az Active Directory – tartományok és meghatalmazások csomópontra, majd a Kapcsolódás tartományhoz pontra.

  3. Írja be a tartomány nevét,

    vagy kattintson a Tallózás gombra, és jelölje ki a tartományt a listából.

Megjegyzések

  • A kiválasztott tartomány kezeléséhez megfelelő engedélyekkel kell rendelkeznie.
  • Megfelelő engedélyekkel a Futtatás mint parancs segítségével használja az Active Directory felügyeleti eszközeit. További információért kattintson a Kapcsolódó témakörök hivatkozásra.

Kapcsolódó témakörök


Tartomány kezelése másik tartományvezérlővel

  1. Nyissa meg az Active Directory – felhasználók és számítógépek ablakot.
  2. A konzolfán a jobb gombbal kattintson az Active Directory – tartományok és meghatalmazások csomópontra, majd a Kapcsolódás tartományhoz pontra.

  3. Kattintson a listában valamelyik tartományvezérlőre.

    Vagy a Név megváltoztatása mezőbe írja be a tartományvezérlő nevét.

Megjegyzések

  • Alapértelmezés szerint a tartományvezérlők a Tartományvezérlők mappában kerülnek telepítésre első konfigurálásuk során.

Kapcsolódó témakörök


Vezérlés delegálása

  1. Nyissa meg az Active Directory – felhasználók és számítógépek ablakot.
  2. A konzolfán kattintson duplán a tartománycsomópontra.
  3. A konzolfán a jobb gombbal kattintson arra a mappára, amelynek a vezérlését egy másik felhasználónak vagy csoportnak kívánja delegálni.
  4. A Vezérlés delegálása parancsra kattintva indítsa el a Vezérlés delegálása varázslót.
  5. Kövesse a Vezérlés delegálása varázsló utasításait.

Megjegyzések

  • Delegálhatja egyes tartományok vagy szervezeti egységek felügyeleti vezérlését olyan rendszergazdáknak, akik csak az adott tartományért vagy szervezeti egységért felelősek. További információért kattintson a Kapcsolódó témakörök hivatkozásra.

Kapcsolódó témakörök


Tartományvezérlők tulajdonságainak módosítása

  1. Nyissa meg az Active Directory – felhasználók és számítógépek ablakot.
  2. A konzolfán kattintson duplán a tartománycsomópontra.
  3. A konzolfán kattintson a tartományvezérlőt tartalmazó mappára.
  4. A jobb oldali ablaktáblában kattintson a jobb gombbal a módosítani kívánt tartományvezérlőre, majd kattintson a Tulajdonságok parancsra.

    A következő tulajdonságlapok jelennek meg:

    • Általános
    • Operációs rendszer
    • Tagság
    • Hely
    • Kezeli
  5. Kattintson arra a lapra, amely a módosítani kívánt tulajdonságot tartalmazza.

Megjegyzések

  • Alapértelmezés szerint a tartományvezérlők a Tartományvezérlők mappába kerülnek.
  • Bizonyos tulajdonságok hozzárendelése automatikusan megtörténik, amikor a számítógép a tartományhoz kapcsolódik, illetve amikor bekapcsolják. A rendszergazda ezeket a tulajdonságokat (például Név, Szerepkör és Operációs rendszer) nem módosíthatja.
  • A speciális tulajdonságok megjelenítésekor további tulajdonságlapok tűnnek fel.

Kapcsolódó témakörök


Egyedi főkiszolgáló-műveletek kezelése

  • A relatív azonosítók főkiszolgálójának azonosítása
  • A PDC-emulátor azonosítása
  • Az infrastruktúrakezelő főkiszolgáló azonosítása
  • Tartománynév-kiosztási főkiszolgáló azonosítása
  • A séma fő tartományvezérlőjének azonosítása
  • A relatív azonosítók főkiszolgálója szerepkör átadása
  • A PDC-emulátor szerepkör átadása
  • Az infrastruktúrakezelő főkiszolgáló szerepkör átadása
  • A tartománynév-kiosztási főkiszolgáló szerepkör átadása
  • A séma fő tartományvezérlője szerepkör átadása
  • A relatív azonosítók főkiszolgálója szerepkör elvétele
  • A PDC-emulátor szerepkör elvétele
  • Az infrastruktúrakezelő főkiszolgáló szerepkör elvétele
  • A tartománynév-kiosztási főkiszolgáló szerepkör elvétele
  • A séma fő tartományvezérlője szerepkör elvétele


A relatív azonosítók főkiszolgálójának azonosítása

  1. Nyissa meg az Active Directory – felhasználók és számítógépek ablakot.
  2. Kattintson jobb gombbal az Active Directory - felhasználók és számítógépek elemre, majd ballal a Műveleti főkiszolgáló parancsra.
  3. A relatív azonosítók főkiszolgálójának neve a RID lap Műveleti főkiszolgáló mezőjében látható.

Megjegyzések

  • Minden tartomány rendelkezik relatív azonosítók főkiszolgálójával. Másik tartomány relatív azonosítók főkiszolgálójának azonosításához a Műveleti főkiszolgáló parancsra kattintás előtt jelölje ki a kérdéses tartományt.

Kapcsolódó témakörök


A PDC-emulátor azonosítása

  1. Nyissa meg az Active Directory – felhasználók és számítógépek ablakot.
  2. Kattintson jobb gombbal az Active Directory - felhasználók és számítógépek elemre, majd ballal a Műveleti főkiszolgáló parancsra.
  3. A PDC lapon a Műveleti főkiszolgáló mezőben látható az aktuális PDC-emulátor neve.

Megjegyzések

  • Minden tartomány rendelkezik PDC-emulátorral. Másik tartomány PDC-emulátorának azonosításához a Műveleti főkiszolgáló parancsra kattintás előtt jelölje ki a kérdéses tartományt.

Kapcsolódó témakörök


Az infrastruktúrakezelő főkiszolgáló azonosítása

  1. Nyissa meg az Active Directory - felhasználók és számítógépek ablakot.
  2. Kattintson jobb gombbal az Active Directory - felhasználók és számítógépek elemre, majd ballal a Műveleti főkiszolgáló parancsra.
  3. Az Infrastruktúra lap Műveleti főkiszolgáló mezőjében látható az aktuális infrastruktúrakezelő főkiszolgáló neve.

Megjegyzések

  • Minden tartomány rendelkezik infrastruktúrakezelő főkiszolgálóval. Másik tartomány infrastruktúrakezelő főkiszolgálójának azonosításához a Műveleti főkiszolgáló parancsra kattintás előtt jelölje ki a kérdéses tartományt.

Kapcsolódó témakörök


Tartománynév-kiosztási főkiszolgáló azonosítása

  1. Nyissa meg az Active Directory - tartományok és meghatalmazások ablakot.
  2. Kattintson jobb gombbal az Active Directory - tartományok és meghatalmazások elemre, majd ballal a Műveleti főkiszolgáló parancsra.
  3. Az aktuális tartománynév-kiosztási főkiszolgáló nevét a Tartománynév-kiosztási műveleti főkiszolgáló mezőben láthatja.

Megjegyzések

  • Minden erdőben csak egy tartománynév-kiosztási főkiszolgáló lehet. Másik erdő tartománynév-kiosztási főkiszolgálójának azonosításához a Műveleti főkiszolgáló parancsra kattintás előtt jelölje ki a kérdéses erdőt.

Kapcsolódó témakörök


A séma fő tartományvezérlőjének azonosítása

  1. Nyissa meg az Active Directory sémája alkalmazást.
  2. Kattintson jobb gombbal a konzolfa Active Directory sémája elemére, majd ballal a Műveleti főkiszolgáló parancsra.
  3. Az aktuális tartománynév-kiosztási főkiszolgáló neve az Aktuális műveleti főkiszolgáló csoportban jelenik meg.

Megjegyzések

  • Ha az Active Directory sémája beépülő modul nem érhető el a gépen, telepítse a Windows 2000 Felügyeleti eszközeit a Windows 2000 Server CD-lemezről, és adja hozzá a sémát egy MMC konzolhoz. További információért kattintson a Kapcsolódó témakörök hivatkozásra.
  • Minden erdőben csak egy séma fő tartományvezérlője működhet. Másik erdő sémája fő tartományvezérlőjének azonosításához a Műveleti főkiszolgáló parancsra kattintás előtt jelölje ki a kérdéses erdőt.

Kapcsolódó témakörök


A relatív azonosítók főkiszolgálója szerepkör átadása

  1. Nyissa meg az Active Directory – felhasználók és számítógépek ablakot.
  2. A konzolfán kattintson jobb gombbal arra a tartományvezérlő-csomópontra, amely a relatív azonosítók új főkiszolgálója lesz, majd ballal a Kapcsolódás tartományhoz parancsra.
  3. Írja be a tartomány nevét vagy a Tallózás gombra kattintva jelölje ki a tartományt a listáról.
  4. Kattintson jobb gombbal a konzolfa Active Directory – felhasználók és számítógépek elemére, majd ballal a Műveleti főkiszolgáló parancsra.
  5. Kattintson a RID fül Módosítás gombjára.

Megjegyzés

Kapcsolódó témakörök


A PDC-emulátor szerepkör átadása

  1. Nyissa meg az Active Directory – felhasználók és számítógépek ablakot.
  2. A konzolfán kattintson jobb gombbal arra a tartományvezérlő-csomópontra, amely az új PDC-emulátor lesz, majd ballal a Kapcsolódás tartományhoz parancsra.
  3. Írja be a tartomány nevét vagy a Tallózás gombra kattintva jelölje ki a tartományt a listáról.
  4. Kattintson jobb gombbal a konzolfa Active Directory – felhasználók és számítógépek elemére, majd ballal a Műveleti főkiszolgáló parancsra.
  5. Kattintson a PDC lap Módosítás gombjára.

Megjegyzés

Kapcsolódó témakörök


Az infrastruktúrakezelő főkiszolgáló szerepkör átadása

  1. Nyissa meg az Active Directory – felhasználók és számítógépek ablakot.
  2. A konzolfán kattintson jobb gombbal arra a tartományvezérlő-csomópontra, amely az új infrastruktúrakezelő főkiszolgáló lesz, majd ballal a Kapcsolódás tartományhoz parancsra.
  3. Írja be a tartomány nevét vagy a Tallózás gombra kattintva jelölje ki a tartományt a listáról.
  4. Kattintson jobb gombbal a konzolfa Active Directory – felhasználók és számítógépek elemére, majd ballal a Műveleti főkiszolgáló parancsra.
  5. Kattintson az Infrastruktúra lap Módosítás gombjára.

Megjegyzés

Kapcsolódó témakörök


A tartománynév-kiosztási főkiszolgáló szerepkör átadása

  1. Nyissa meg az Active Directory – tartományok és meghatalmazások ablakot.
  2. A konzolfán kattintson jobb gombbal arra a tartományvezérlő-csomópontra, amely az új tartománynév-kiosztási főkiszolgáló lesz, majd ballal a Kapcsolódás tartományhoz parancsra.
  3. Írja be a tartomány nevét vagy a Tallózás gombra kattintva jelölje ki a tartományt a listáról.
  4. Kattintson jobb egérgombbal a konzolfa Active Directory – tartományok és meghatalmazások elemére, majd ballal a Műveleti főkiszolgáló parancsra.
  5. Kattintson a Módosítás gombra.

Megjegyzés

Kapcsolódó témakörök


A séma fő tartományvezérlője szerepkör átadása

  1. Nyissa meg az Active Directory sémája alkalmazást.
  2. Kattintson jobb gombbal a konzolfa Active Directory sémája elemére, majd ballal a Tartományvezérlő váltása parancsra.
  3. Jelölje be a Bármelyik tartományvezérlő választógombot, így az Active Directory saját maga választja ki a séma új fő tartományvezérlőjét.
    Bejelölheti a Megadott nevű választógombot is, majd adja meg a séma új fő tartományvezérlőjének nevét.
  4. Kattintson jobb gombbal a konzolfa Active Directory sémája elemére, majd ballal a Műveleti főkiszolgáló parancsra.
  5. Kattintson a Módosítás gombra.

Megjegyzés

  • Ha az Active Directory sémája beépülő modul nem érhető el a gépen, telepítse a Windows 2000 Felügyeleti eszközeit a Windows 2000 Server CD-lemezről, és adja hozzá a sémát egy MMC konzolhoz. További információt a Kapcsolódó témakörök hivatkozásara kattintva kaphat.

Kapcsolódó témakörök


A relatív azonosítók főkiszolgálója szerepkör elvétele

  1. Kattintson a Start gombra, majd a Futtatás parancsra, és a Megnyitás mezőbe írja be a cmd parancsot.
  2. A parancssorba írja be az ntdsutil parancsot.
  3. Az ntdsutil parancs után jobbra írja be a roles parancsot.
  4. A megjelenő fsmo maintenance parancs után írja be a connections parancsot.
  5. A server connections parancs után gépelje be a connect to server parancsot, majd a teljesen minősített tartománynevet.
  6. A server connections parancs után írja be a quit parancsot.
  7. A megjelenő fsmo maintenance parancs után gépelje be a seize RID master parancsot.
  8. Az fsmo maintenance parancsot követően írja be a quit parancsot.
  9. A megjelenő ntdsutil parancs után gépelje be a quit parancsot.

Figyelem!

  • A relatív azonosítók főkiszolgálója szerepkör elvétele drasztikus lépés. Ezt csak akkor tegye meg, ha az aktuális műveleti főkiszolgálót soha többé nem csatlakoztatja újra a hálózathoz.

Megjegyzés

  • A relatív azonosítók főkiszolgálója szerepkör elvétele előtt az Active Directory Repadmin támogatóeszköze segítségével ellenőrizze, hogy az új műveleti főkiszolgáló kapott-e frissítést a szerepkör előző tulajdonosától, majd távolítsa el az aktuális műveleti főkiszolgálót a hálózatról. Az egyedi főkiszolgáló-műveletekről és az Active Directory támogatóeszközeiről a Kapcsolódó témakörök hivatkozásra kattintva talál további információt.

Kapcsolódó témakörök


A PDC-emulátor szerepkör elvétele

  1. Kattintson a Start gombra, majd a Futtatás parancsra, és a Megnyitás mezőbe írja be a cmd parancsot.
  2. A parancssorba írja be az ntdsutil parancsot.
  3. Az ntdsutil parancs után jobbra írja be a roles parancsot.
  4. A megjelenő fsmo maintenance parancs után írja be a connections parancsot.
  5. A server connections parancs után gépelje be a connect to server parancsot, majd a teljesen minősített tartománynevet.
  6. A server connections parancs után írja be a quit parancsot.
  7. Az fsmo maintenance parancsot követően írja be a seize PDC parancsot.
  8. Az fsmo maintenance parancsot követően írja be a quit parancsot.
  9. A megjelenő ntdsutil parancs után gépelje be a quit parancsot.

Megjegyzések

  • A fő PDC-emulátor szerepkör elvétele előtt válassza le a műveleti főkiszolgálót a hálózatról, és ellenőrizze, hogy az új műveleti főkiszolgáló működik-e, és naprakész adatokat tartalmaz-e.
  • Ha az eredeti PDC-emulátor ismét működik, visszaadhatja a szerepkört az eredeti tartományvezérlőnek. Az egyedi főkiszolgáló-műveletekről a Kapcsolódó témakörök hivatkozásra kattintva talál további információt.

Kapcsolódó témakörök


Az infrastruktúrakezelő főkiszolgáló szerepkör elvétele

  1. Kattintson a Start gombra, majd a Futtatás parancsra, és a Megnyitás mezőbe írja be a cmd parancsot.
  2. A parancssorba írja be az ntdsutil parancsot.
  3. Az ntdsutil parancs után jobbra írja be a roles parancsot.
  4. A megjelenő fsmo maintenance parancs után írja be a connections parancsot.
  5. A server connections parancs után gépelje be a connect to server parancsot, majd a teljesen minősített tartománynevet.
  6. A server connections parancs után írja be a quit parancsot.
  7. A megjelenő fsmo maintenance parancs után gépelje be a seize infrastructure master parancsot.
  8. Az fsmo maintenance parancsot követően írja be a quit parancsot.
  9. A megjelenő ntdsutil parancs után gépelje be a quit parancsot.

Megjegyzések

  • Az infrastruktúrakezelő főkiszolgáló szerepkör elvétele előtt válassza le a műveleti főkiszolgálót a hálózatról, és ellenőrizze, hogy az új műveleti főkiszolgáló működik-e, és naprakész adatokat tartalmaz-e.
  • Ha az eredeti infrastruktúrakezelő főkiszolgáló ismét működik, visszaadhatja szerepkörét. Az egyedi főkiszolgáló-műveletekről a Kapcsolódó témakörök hivatkozásra kattintva talál további információt.

Kapcsolódó témakörök


A tartománynév-kiosztási főkiszolgáló szerepkör elvétele

  1. Kattintson a Start gombra, majd a Futtatás parancsra, és a Megnyitás mezőbe írja be a cmd parancsot.
  2. A parancssorba gépelje be az ntdsutil parancsot.
  3. Az ntdsutil parancs után jobbra írja be a roles parancsot.
  4. A megjelenő fsmo maintenance parancs után írja be a connections parancsot.
  5. A server connections parancs után gépelje be a connect to server parancsot, majd a teljesen minősített tartománynevet.
  6. A server connections parancs után írja be a quit parancsot.
  7. A megjelenő fsmo maintenance parancs után gépelje be a seize domain naming master parancsot.
  8. Az fsmo maintenance parancsot követően írja be a quit parancsot.
  9. A megjelenő ntdsutil parancs után gépelje be a quit parancsot.

Figyelem!

  • A tartománynév-kiosztási főkiszolgáló szerepkör elvétele drasztikus lépés. Ezt csak akkor tegye meg, ha az aktuális műveleti főkiszolgálót soha többé nem csatlakoztatja újra a hálózathoz.

Megjegyzés

  • A tartománynév-kiosztási főkiszolgáló szerepkör elvétele előtt válassza le a műveleti főkiszolgálót a hálózatról, és ellenőrizze, hogy az új műveleti főkiszolgáló működik-e, és naprakész adatokat tartalmaz-e. Az egyedi főkiszolgáló-műveletekről a Kapcsolódó témakörök hivatkozásra kattintva talál további információt.

Kapcsolódó témakörök


A séma fő tartományvezérlője szerepkör elvétele

  1. Kattintson a Start gombra, majd a Futtatás parancsra, és a Megnyitás mezőbe írja be a cmd parancsot.
  2. A parancssorba írja be az ntdsutil parancsot.
  3. Az ntdsutil parancs után jobbra írja be a roles parancsot.
  4. A megjelenő fsmo maintenance parancs után írja be a connections parancsot.
  5. A server connections parancs után gépelje be a connect to server parancsot, majd a teljesen minősített tartománynevet.
  6. A server connections parancs után írja be a quit parancsot.
  7. A megjelenő fsmo maintenance parancs után gépelje be a seize schema master parancsot.
  8. Az fsmo maintenance parancsot követően írja be a quit parancsot.
  9. A megjelenő ntdsutil parancs után gépelje be a quit parancsot.

Figyelem!

  • A séma fő tartományvezérlője szerepkör elvétele drasztikus lépés. Ezt csak akkor tegye meg, ha az aktuális műveleti főkiszolgálót soha többé nem csatlakoztatja újra a hálózathoz.

Megjegyzés

  • A séma fő tartományvezérlője szerepkör elvétele előtt válassza le a műveleti főkiszolgálót a hálózatról, és ellenőrizze, hogy az új műveleti főkiszolgáló naprakész adatokkal működik-e. Az egyedi főkiszolgáló-műveletekről a Kapcsolódó témakörök hivatkozásra kattintva talál további információt.

Kapcsolódó témakörök


Felhasználói fiókok kezelése

  • Felhasználói fiók hozzáadása
  • Felhasználói fiók másolása
  • Felhasználói fiók letiltása
  • Letiltott felhasználói fiók engedélyezése
  • Felhasználói fiók törlése
  • Felhasználói fiók keresése
  • Nevek keresése
  • Felhasználói fiók tulajdonságainak módosítása
  • Felhasználói fiók áthelyezése
  • Felhasználói fiók átnevezése
  • Felhasználói jelszó alaphelyzetbe állítása
  • Felhasználó elsődleges csoportjának beállítása


Felhasználói fiók hozzáadása

  1. Nyissa meg az Active Directory – felhasználók és számítógépek ablakot.
  2. A konzolfán kattintson duplán a tartománycsomópontra.
  3. A jobb oldali ablaktáblán kattintson a jobb gombbal arra a szervezeti egységre, amelyikhez a felhasználót hozzá kívánja adni, mutasson az Új pontra, majd kattintson a Felhasználó parancsra.
  4. Az Utónév mezőbe írja be a felhasználó utónevét.
  5. A Monogram mezőbe írja be a felhasználó nevének kezdőbetűit.
  6. A Vezetéknév mezőbe írja be a felhasználó vezetéknevét.
  7. A Teljes név mező tartalmát tetszés szerint megváltoztathatja.
  8. A Bejelentkezési név mezőbe írja be azt a nevet, amellyel majd a felhasználó bejelentkezik, a legördülő listán pedig kattintson arra az UPN-utótagra, amely a felhasználó nevét követi majd (az @ jel után).

    Ha a felhasználó más néven jelentkezik be a Windows NT, Windows 98 vagy Windows 95 operációs rendszert futtató számítógépekről, akkor ennek a névnek megfelelően módosítsa a Bejelentkezési név (Windows 2000 előtti rendszer) mezőben megjelenő felhasználói nevet.

  9. A Jelszó és a Jelszó megerősítése mezőbe írja be a felhasználó jelszavát.
  10. Válassza ki a jelszó megfelelő beállításait.

Megjegyzések

  • Felhasználó hozzáadásához használhatja az eszköztáron lévő Új felhasználó létrehozása gomb gombot is.
  • A felhasználói fiók létrehozása után a felhasználói fiók további adatainak megadásával módosítsa a felhasználói fiók tulajdonságait.
  • Bármely korábban már létrehozott felhasználói fiók másolásával is létrehozhat új felhasználói fiókot. További információért kattintson a Kapcsolódó témakörök hivatkozásra.
  • Ha egy újonnan létrehozott felhasználói fiók neve megegyezik egy régebben megszüntetett fiók nevével, akkor az új fiók nem kapja meg automatikusan a régi engedélyeit és csoporttagságait, mivel minden fiók egyedi adatvédelmi leíróval rendelkezik. Törölt felhasználói fiók másolásakor minden engedélyt és csoporttagságot kézzel kell újra létrehoznia.

Kapcsolódó témakörök


Felhasználói fiók másolása

  1. Nyissa meg az Active Directory – felhasználók és számítógépek ablakot.
  2. Kattintson a konzolfa Felhasználók elemére.

    Helye:

    • Active Directory – felhasználók és számítógépek
    • tartománycsomópont
    • Felhasználók

    A keresett felhasználói fiókot tartalmazó mappára is kattinthat.

  3. A jobb oldali ablaktáblában kattintson a jobb gombbal a másolni kívánt felhasználói fiókra, majd kattintson a Másolás parancsra.
  4. Az Utónév mezőbe írja be a felhasználó utónevét.
  5. A Vezetéknév mezőbe írja be a felhasználó vezetéknevét.
  6. A Teljes név mező tartalmát kezdőbetűk hozzáadásával vagy a vezetéknév és az utónév felcserélésével módosíthatja.
  7. A Bejelentkezési név mezőbe írja be azt a nevet, amellyel majd a felhasználó bejelentkezik, a legördülő listán pedig kattintson arra az UPN-utótagra, amely a felhasználó nevét követi majd (az @ jel után).

    Ha a felhasználó más néven jelentkezik be a Windows NT, Windows 98 vagy Windows 95 operációs rendszert futtató számítógépekről, akkor ennek a névnek megfelelően módosítsa a Bejelentkezési név (Windows 2000 előtti rendszer) mezőben megjelenő felhasználói nevet.

  8. A Jelszó és a Jelszó megerősítése mezőbe írja be a felhasználó jelszavát.
  9. Válassza ki a jelszó megfelelő beállításait.
  10. Ha a másolt felhasználói fiók le volt tiltva, A fiók tiltott parancsra kattintva engedélyezze az új fiókot.

Megjegyzések

  • A felhasználói fiók létrehozása után a felhasználói fiók további adatainak megadásával módosítsa a felhasználói fiók tulajdonságait.

Kapcsolódó témakörök


Felhasználói fiók letiltása

  1. Nyissa meg az Active Directory – felhasználók és számítógépek ablakot.
  2. Kattintson a konzolfa Felhasználók elemére.

    Helye:

    • Active Directory – felhasználók és számítógépek
    • tartománycsomópont
    • Felhasználók

    A keresett fiókot tartalmazó mappára is kattinthat.

  3. A részleteket megjelenítő ablaktáblában a jobb gombbal kattintson a felhasználóra.
  4. Kattintson a Fiók tiltása parancsra.

Megjegyzések

  • A felhasználói fiók letiltása akkor alkalmazható biztonsági eszközként, ha egy felhasználó belépését a fiók törlése nélkül kívánja megakadályozni.
  • Ha közös csoporttagsággal rendelkező letiltott felhasználói fiókokat hoz létre, akkor ezek a további létrehozandó felhasználói fiókok sablonjai lehetnek. További információért kattintson a Kapcsolódó témakörök hivatkozásra.

Kapcsolódó témakörök


Letiltott felhasználói fiók engedélyezése

  1. Nyissa meg az Active Directory – felhasználók és számítógépek ablakot.
  2. Kattintson a konzolfa Felhasználók elemére.

    Helye:

    • Active Directory – felhasználók és számítógépek
    • tartománycsomópont
    • Felhasználók

    A keresett fiókot tartalmazó mappára is kattinthat.

  3. A jobb oldali ablaktáblán a jobb gombbal kattintson a felhasználóra, majd kattintson a Fiók engedélyezése parancsra.

Megjegyzés

Kapcsolódó témakörök


Felhasználói fiók törlése

  1. Nyissa meg az Active Directory – felhasználók és számítógépek ablakot.
  2. Kattintson a konzolfa Felhasználók elemére.

    Helye:

    • Active Directory – felhasználók és számítógépek
    • tartománycsomópont
    • Felhasználók

    A kívánt felhasználói fiókot tartalmazó mappára is kattinthat.

  3. A jobb gombbal kattintson a felhasználói fiókra, majd kattintson a Törlés parancsra.

Megjegyzések

  • Egy fiók törlésével az összes hozzá tartozó engedély és csoporttagság is megszűnik. Mivel minden fiók egyedi adatvédelmi leíróval rendelkezik, egy korábban törölt felhasználói fiók nevének felhasználásával létrehozott új felhasználói fiók nem kapja meg automatikusan a korábban törölt fiók engedélyeit és csoporttagságait. Törölt felhasználói fiók másolásakor minden engedélyt és csoporttagságot kézzel kell újra létrehoznia.

Kapcsolódó témakörök


Felhasználói fiók keresése

  1. Nyissa meg az Active Directory – felhasználók és számítógépek ablakot.
  2. Ha a teljes tartományban kíván keresni, akkor a jobb gombbal kattintson a tartománycsomópontra, majd kattintson a Keresés parancsra.

    Ha tudja, hogy melyik szervezeti egységben található a felhasználó, akkor a konzolfán kattintson a jobb gombbal a szervezeti egységre, majd kattintson a Keresés parancsra.

  3. A Név mezőbe írja be a keresendő felhasználó nevét.
  4. Kattintsunk a Keresés gombra.

Megjegyzések

  • A Speciális lapon további beállítások megadásával teheti hatékonyabbá a keresést.
  • Felhasználó kereséséhez használhatja az eszköztáron lévő Objektumok keresése gomb gombot is.

Kapcsolódó témakörök


Nevek keresése

  1. Nyissa meg az Active Directory – felhasználók és számítógépek ablakot.
  2. Ha a teljes tartományban kíván keresni, akkor a jobb gombbal kattintson a tartománycsomópontra, majd kattintson a Keresés parancsra.

    Ha tudja, hogy melyik szervezeti egységben található a keresett személy, akkor kattintson jobb gombbal a szervezeti egységre, majd kattintson a Keresés parancsra.

  3. A Felhasználók, kapcsolattartók és csoportok lapon a Név mezőbe írja be a keresett nevet.
  4. Kattintsunk a Keresés gombra.

Megjegyzések

  • A Speciális lapon további beállítások megadásával teheti hatékonyabbá a keresést.
  • Név kereséséhez használhatja az eszköztáron lévő Objektumok keresése az Active Directoryban gombot is.

Kapcsolódó témakörök


Felhasználói fiók tulajdonságainak módosítása

  1. Nyissa meg az Active Directory – felhasználók és számítógépek ablakot.
  2. Kattintson a konzolfa Felhasználók elemére.

    Helye:

    • Active Directory – felhasználók és számítógépek
    • tartománycsomópont
    • Felhasználók

    A keresett fiókot tartalmazó mappára is kattinthat.

  3. Kattintson a jobb gombbal a felhasználói fiókra, majd kattintson a Tulajdonságok parancsra.

Megjegyzés

Kapcsolódó témakörök


Felhasználói fiók áthelyezése

  1. Nyissa meg az Active Directory – felhasználók és számítógépek ablakot.
  2. Kattintson a konzolfa Felhasználók elemére.

    Helye:

    • Active Directory – felhasználók és számítógépek
    • tartománycsomópont
    • Felhasználók

    A keresett fiókot tartalmazó mappára is kattinthat.

  3. A jobboldali ablaktáblán kattintson a jobb gombbal az áthelyezni kívánt felhasználóra, majd kattintson az Áthelyezés parancsra.
  4. Az Áthelyezés párbeszédpanelen kattintson arra a mappára, amelybe a felhasználói fiókot át szeretné helyezni.

Megjegyzések

  • Az Active Directory – felhasználók és számítógépek segítségével a felhasználói fiókok tartományok között nem mozgathatók. Ha egy felhasználói fiókot másik tartományba szeretne áthelyezni, használja az Active Directory támogatási eszközeinek egyikét, a Movetree eszközt. További információért kattintson a Kapcsolódó témakörök hivatkozásra.

Kapcsolódó témakörök


Felhasználói fiók átnevezése

  1. Nyissa meg az Active Directory – felhasználók és számítógépek ablakot.
  2. Kattintson a konzolfa Felhasználók elemére.

    Helye:

    • Active Directory – felhasználók és számítógépek
    • tartománycsomópont
    • Felhasználók

    A kívánt felhasználói fiókot tartalmazó mappára is kattinthat.

  3. A jobb oldali ablaktáblán kattintson a jobb gombbal a felhasználói fiókra, majd kattintson az Átnevezés parancsra.
  4. Írja be az új nevet.

    Vagy a DELETE, majd az ENTER billentyű megnyomásával jelenítse meg a Felhasználó átnevezése párbeszédpanelt.

  5. A Felhasználó átnevezése párbeszédpanelen a Név mezőbe írja be a felhasználói nevet.
  6. Az Utónév mezőbe írja be a felhasználó utónevét.
  7. A Vezetéknév mezőbe írja be a felhasználó vezetéknevét.
  8. A Megjelenítendő név mezőbe írja be a felhasználó azonosítására szolgáló nevet.
  9. A Bejelentkezési név mezőbe írja be azt a nevet, amellyel majd a felhasználó bejelentkezik, a legördülő listán pedig kattintson arra az UPN-utótagra, amely ezt a nevet követi majd (az @ jel után).

    Ha a felhasználó más néven jelentkezik be a Windows NT, Windows 98 vagy Windows 95 operációs rendszert futtató számítógépekről, akkor ezt az eltérő felhasználói nevet írja be A Windows 2000 előtt használt bejelentkezési név mezőbe.

Megjegyzés

Kapcsolódó témakörök


Felhasználói jelszó alaphelyzetbe állítása

  1. Nyissa meg az Active Directory – felhasználók és számítógépek ablakot.
  2. Kattintson a konzolfa Felhasználók elemére.

    Helye:

    • Active Directory – felhasználók és számítógépek
    • tartománycsomópont
    • Felhasználók

    A keresett fiókot tartalmazó mappára is kattinthat.

  3. A jobb oldali ablaktáblán kattintson a jobb gombbal arra a felhasználóra, amelyiknek a jelszavát alaphelyzetbe szeretné állítani, majd kattintson a Jelszó alaphelyzetbe állítása parancsra.
  4. Írja be a jelszót, majd ismételt beírásával erősítse meg azt.
  5. Ha azt szeretné, hogy a felhasználó megváltoztassa a jelszót következő bejelentkezés során, akkor jelölje be a A felhasználónak a következő bejelentkezéskor meg kell változtatnia a jelszavát jelölőnégyzetet.

Megjegyzések

  • A felhasználói fiókkal hitelesített szolgáltatást alaphelyzetbe kell állítani, ha a szolgáltatáshoz tartozó felhasználói fiók jelszava megváltozott.

Kapcsolódó témakörök


Felhasználó elsődleges csoportjának beállítása

  1. Nyissa meg az Active Directory – felhasználók és számítógépek ablakot.
  2. A konzolfán kattintson duplán a tartománycsomópontra, majd kattintson a Felhasználók pontra.

    Helye:

    • Active Directory – felhasználók és számítógépek
    • tartománycsomópont
    • Felhasználók

    A kívánt felhasználói fiókot tartalmazó mappára is kattinthat.

  3. A jobb oldali ablaktáblán kattintson a jobb gombbal a módosítani kívánt felhasználóra, majd kattintson a Tulajdonságok parancsra.
  4. A Tagság lapon kattintson arra a csoportra, amelyet a felhasználó elsődleges csoportjává kíván tenni, majd kattintson az Elsődleges csoport beállítása parancsra.

Megjegyzések

  • A elsődleges felhasználói csoport csak azokra a felhasználókra vonatkozik, akik a Servces for Macintosh szolgáltatáson keresztül lépnek be a hálózatba, vagy akik POSIX-kompatibilis alkalmazásokat futtatnak. Ha nem használja ezeket a szolgáltatásokat, akkor nem szükséges az alapértelmezett Tartományfelhasználók csoportot meódosítania.
  • Ha nem a Tartományfelhasználók csoportot állítja be elsődleges csoportként, akkor romolhat a teljesítmény, mivel a tartomány összes felhasználója tagja a Tartományfelhasználók csoportnak. Ha a felhasználó elsődleges csoportja másik csoportra van beállítva, akkor előfordulhat, hogy a tagok száma meghaladja a megengedett maximális értéket.

Kapcsolódó témakörök


Számítógépfiókok kezelése

  • Számítógépfiók hozzáadása
  • Számítógépfiók hozzáadása csoporthoz
  • Számítógépfiók törlése
  • Számítógépfiók keresése
  • Számítógép felügyelete
  • Számítógépfiók tulajdonságainak módosítása
  • Számítógépfiók áthelyezése
  • Számítógépfiók visszaállítása alaphelyzetbe
  • Számítógépfiók letiltása
  • Számítógépfiók engedélyezése
  • Eltérő DNS-nevek használatának engedélyezése a számítógép számára


Számítógépfiók hozzáadása

  1. Nyissa meg az Active Directory – felhasználók és számítógépek ablakot.
  2. Kattintson a konzolfa Számítógépek elemére.

    Helye:

    • Active Directory – felhasználók és számítógépek
    • tartománycsomópont
    • Számítógépek

    Vagy kattintson arra a tárolóra, amelyhez a számítógépet hozzá szeretné adni.

  3. A jobb gombbal kattintson a konzolfa Számítógépek elemére, vagy arra a tárolóra, amelyhez a számítógépet hozzá szeretné adni, mutasson az Új pontra, majd kattintson a Számítógép parancsra.
  4. Írja be a számítógép nevét.

Fontos

  • Az Alapértelmezett tartományházirend beállítások csak a Tartománygazdák csoport tagjai számára engedélyezik számítógépfiók hozzáadását egy tartományhoz. Kattintson a Módosítás gombra, ha újabb felhasználónak vagy csoportnak kívánja engedélyezni számítógép hozzáadását a tartományhoz.

Megjegyzések

  • Ha egy számítógép teljes számítógépnevét és a számítógéphez tartozó tartományt szeretné megjeleníteni, kattintson a jobb gombbal az asztalon a Sajátgép ikonra, kattintson a Tulajdonságok parancsra, majd a Hálózati azonosítás fülre.
  • Ezen kívül két további lehetőség létezik, amelyekkel egy felhasználó vagy csoport számára engedélyezheti, hogy számítógépet adjon hozzá a tartományhoz: Csoportházirend-objektum felhasználásával rendelheti hozzá a számítógép hozzáadásához való jogot, illetve ha szervezeti egység tagjai számára kíván számítógépobjektum-létrehozási engedélyt adni, ezt az engedélyt a felhasználóhoz vagy a csoporthoz kell hozzárendelni.

Kapcsolódó témakörök


Számítógépfiók hozzáadása csoporthoz

  1. Nyissa meg az Active Directory – felhasználók és számítógépek ablakot.
  2. Kattintson a konzolfa Számítógépek elemére.

    Helye:

    • Active Directory – felhasználók és számítógépek
    • tartománycsomópont
    • Számítógépek

    Vagy kattintson a számítógépet tartalmazó mappára.

  3. A jobb oldali ablaktáblán a jobb gombbal kattintson a számítógépre, majd kattintson a Tulajdonságok parancsra.
  4. A Tagság lapon kattintson a Hozzáadás gombra.
  5. Kattintson arra a csoportra, amelyikhez a számítógépet hozzá kívánja adni, majd kattintson a Hozzáadás gombra.

    Ha több csoporthoz kívánja hozzáadni a számítógépet, nyomja le a CTRL billentyűt, majd kattintson azokra a csoportokra, amelyekhez a számítógépet hozzá kívánja adni, végül kattintson a Hozzáadás gombra.

Megjegyzések

  • Úgy is hozzáadhat számítógépet egy csoporthoz, hogy kijelöli a hozzáadandó számítógépet, majd az eszköztáron a Hozzáadás csoporthoz gombra kattint, ezután pedig kattintson arra a csoportra, amelyhez hozzá szeretné adni a számítógépet.
  • Ha egy számítógépet hozzáad egy csoporthoz, akkor ezzel engedélyeket adhat a csoport összes számítógépfiókjának, és lehetővé teheti a szűrést a csoport összes fiókján a Csoportházirend beállításai alapján.

Kapcsolódó témakörök


Számítógépfiók törlése

  1. Nyissa meg az Active Directory – felhasználók és számítógépek ablakot.
  2. Kattintson a konzolfa Számítógépek elemére.

    Helye:

    • Active Directory – felhasználók és számítógépek
    • tartománycsomópont
    • Számítógépek

    Vagy kattintson a számítógépet tartalmazó mappára.

  3. A jobb oldali ablaktáblán a jobb gombbal kattintson a kívánt számítógépre, majd kattintson a Törlés parancsra.

Megjegyzés

Kapcsolódó témakörök


Számítógépfiók keresése

  1. Nyissa meg az Active Directory – felhasználók és számítógépek ablakot.
  2. Ha a teljes tartományban kíván keresni, akkor a jobb gombbal kattintson a tartománycsomópontra, majd kattintson a Keresés parancsra.

    Ha tudja, hogy melyik szervezeti egységben található a számítógép, akkor kattintson a jobb gombbal a szervezeti egységre, majd kattintson a Keresés parancsra.

  3. A Keresés ablakban kattintson a Számítógépek gombra.
  4. A Név mezőbe írja be a keresett számítógép nevét.

  5. Ha csak tartományvezérlőket keres, akkor a Szerepkör mezőben válassza a Tartományvezérlő elemet.

    Ha csak munkaállomásokat és (nem tartományvezérlőként működő) kiszolgálókat keres, akkor a Szerepkör mezőben válassza a Munkaállomások és kiszolgálók parancsot.

  6. Kattintson a Keresés gombra.

Megjegyzések

  • A Speciális lapon további beállítások megadásával teheti hatékonyabbá a keresést.
  • Számítógép kereséséhez használhatja az eszköztáron lévő Objektumok keresése az Active Directoryban gombot is.

Kapcsolódó témakörök


Számítógép felügyelete

  1. Nyissa meg az Active Directory – felhasználók és számítógépek ablakot.
  2. Kattintson a konzolfa Számítógépek elemére.

    Helye:

    • Active Directory – felhasználók és számítógépek
    • tartománycsomópont
    • Számítógépek

    Vagy kattintson a felügyelni kívánt számítógépet tartalmazó tárolóra.

  3. A jobb oldali ablaktáblában a jobb gombbal kattintson a számítógépre, majd kattintson a Kezelés parancsra.

Megjegyzések

  • Ez a műveletsor elindítja a Számítógépkezelő beépülő modult, amellyel helyi és távoli számítógépek felügyeletét végezheti. Ahhoz, hogy a számítógép tulajdonságait megjeleníthesse vagy módosíthassa a konzol segítségével, rendszergazdai jogokkal és engedélyekkel kell rendelkeznie.

Kapcsolódó témakörök


Számítógépfiók tulajdonságainak módosítása

  1. Nyissa meg az Active Directory – felhasználók és számítógépek ablakot.
  2. Kattintson a konzolfa Számítógépek elemére.

    Helye:

    • Active Directory – felhasználók és számítógépek
    • tartománycsomópont
    • Számítógépek

    Vagy arra a tárolóra, amely azt a számítógépet tartalmazza, melynek tulajdonságait módosítani szeretné.

  3. A jobb oldali ablaktáblán a jobb gombbal kattintson a számítógépre, majd kattintson a Tulajdonságok parancsra.

Megjegyzés

Kapcsolódó témakörök


Számítógépfiók áthelyezése

  1. Nyissa meg az Active Directory – felhasználók és számítógépek ablakot.
  2. Kattintson a konzolfa Számítógépek elemére.

    Helye:

    • Active Directory – felhasználók és számítógépek
    • tartománycsomópont
    • Számítógépek

    Vagy kattintson arra a mappára, amelyben az áthelyezni kívánt számítógép található.

  3. A jobb oldali ablaktáblában a jobb gombbal kattintson a számítógépre, majd kattintson az Áthelyezés parancsra.
  4. Az Áthelyezés párbeszédpanelen kattintson a tartománycsomópontra.
  5. Kattintson arra a mappára, ahová a számítógépet szeretné áthelyezni, majd kattintson az OK gombra.

Megjegyzés

  • Az Active Directory – felhasználók és számítógépek nem tudja a számítógépeket a tartományok között mozgatni. Ha egy számítógépfiókot tartományok között szeretne mozgatni, használja az Active Directory egyik támogatási eszközét, a Movetree eszközt. További információért kattintson a Kapcsolódó témakörök hivatkozásra.

Kapcsolódó témakörök


Számítógépfiók visszaállítása alaphelyzetbe

  1. Nyissa meg az Active Directory – felhasználók és számítógépek ablakot.
  2. Kattintson a konzolfa Számítógépek elemére.

    Helye:

    • Active Directory – felhasználók és számítógépek
    • tartománycsomópont
    • Számítógépek

    Vagy kattintson arra a tárolóra, amely az alaphelyzetbe állítani kívánt számítógépet tartalmazza.

  3. A jobb oldali ablaktáblán kattintson jobb gombbal a számítógépre, majd kattintson a Fiók alapállapotba hozása parancsra.

Megjegyzések

  • Ha egy számítógépfiókot alaphelyzetbe állít, akkor a számítógép kapcsolata megszakad a tartománnyal, ezért újra kell csatlakoztatni hozzá.

Kapcsolódó témakörök


Számítógépfiók letiltása

  1. Nyissa meg az Active Directory – felhasználók és számítógépek ablakot.
  2. Kattintson a konzolfa Számítógépek elemére.

    Helye:

    • Active Directory – felhasználók és számítógépek
    • tartománycsomópont
    • Számítógépek

    Vagy kattintson arra a mappára, amelyben a letiltani kívánt számítógép található.

  3. A jobb oldali ablaktáblán a jobb gombbal kattintson a kívánt számítógépre, majd kattintson a Fiók tiltása parancsra.

Megjegyzések

  • Ha a számítógépfiókot letiltja, akkor megszakítja a számítógép kapcsolatát a tartománnyal, és a számítógép nem lesz hitelesíthető a tartományban.

Kapcsolódó témakörök


Számítógépfiók engedélyezése

  1. Nyissa meg az Active Directory – felhasználók és számítógépek ablakot.
  2. Kattintson a konzolfa Számítógépek elemére.

    Helye:

    • Active Directory – felhasználók és számítógépek
    • tartománycsomópont
    • Számítógépek

    Vagy kattintson az engedélyezni kívánt számítógépet tartalmazó mappára.

  3. A jobb oldali ablaktáblán a jobb gombbal kattintson a kívánt számítógépre, majd kattintson a Fiók engedélyezése parancsra.

Megjegyzés

Kapcsolódó témakörök


Eltérő DNS-nevek használatának engedélyezése a számítógép számára

  1. Nyissa meg az Active Directory - felhasználók és számítógépek ablakot.
  2. Kattintson jobb gombbal a konzolfa Active Directory - felhasználók és számítógépek elemére, majd ballal a Kapcsolódás tartományhoz parancsra.
  3. A Tartomány mezőbe írja be a tartománynevet vagy kattintson a Tallózás gombra, és keresse meg azt a tartományt, amelyikben engedélyezni kívánja a számítógépeknek, hogy eltérő DNS-nevet használjanak. Ezt követően kattintson az OK gombra.
  4. Kattintson jobb gombbal az Active Directory - felhasználók és számítógépek elemre, mutasson a Nézet pontra, és kattintson a Speciális lehetőségek parancsra.
  5. A jobb gombbal kattintson a tartomány nevére, majd ballal a Tulajdonságok parancsra.
  6. Kattintson a Biztonság lap Hozzáadás gombjára, az EREDETI SAJÁT listaelemre, majd a Hozzáadás, végül pedig az OK gombra.
  7. Kattintson a Speciális gombra, majd az EREDETI SAJÁT listaelemre, végül pedig a Megjelenítés/Szerkesztés gombra.
  8. Kattintson a Tulajdonságok lap Alkalmazás listájának Számítógép objektum elemére.
  9. Kattintson az Engedélyek lista Írás: dNSHostName elemére, és jelölje be az elem Engedélyezés oszlopba tartozó jelölőnégyzetét.

Vigyázat!

  • Az alapbeállítás szerinti biztonsági eljárást a fentiek szerint megváltoztatva lehetővé válik, hogy a kijelölt tartományhoz csatlakoztatott számítógépet rosszindulatú felhasználó vezérelje, és az egyszerű szolgáltatásnév (SPN) attribútum segítségével saját azonosítására más nevet használjon.

Megjegyzés

  • Az eljárás lehetővé teszi, hogy a számítógépnek 15 bájtnál hosszabb DNS-neve legyen.

Kapcsolódó témakörök


Csoportok kezelése

  • Csoport hozzáadása
  • Tag hozzáadása csoporthoz
  • Csoport típusának konvertálása
  • Csoporthatókör megváltoztatása
  • Csoport törlése
  • Csoport keresése
  • Adott felhasználó csoportjának keresése
  • Csoport tulajdonságainak módosítása
  • Tag eltávolítása csoportból
  • Csoport átnevezése


Csoport hozzáadása

  1. Nyissa meg az Active Directory – felhasználók és számítógépek ablakot.
  2. A konzolfán kattintson duplán a tartománycsomópontra.
  3. Kattintson a jobb gombbal arra a mappára, amelyhez hozzá szeretné adni a csoportot, mutasson az Új pontra, majd kattintson a Csoport parancsra.
  4. Írja be az új csoport nevét.

    Alapértelmezés szerint az itt megadott név egyben az új csoport korábbi Windows verziókban használatos neve is lesz.

  5. Kattintson a megfelelő Csoporthatókörök elemre.
  6. Kattintson a megfelelő Csoporttípus lehetőségre.

Megjegyzések

  • Új csoportot úgy is hozzáadhat, hogy kijelöli a mappát, amelyhez a csoportot hozzá kívánja adni, majd az eszköztáron lévő Új csoport létrehozása gombra kattint.
  • Ha létrehozott csoport tartománya vegyes üzemmódú, akkor csak Tartományon belüli vagy Globális hatókörű biztonsági csoportot választhat. További információért kattintson a Kapcsolódó témakörök hivatkozásra.

Kapcsolódó témakörök


Tag hozzáadása csoporthoz

  1. Nyissa meg az Active Directory – felhasználók és számítógépek ablakot.
  2. A konzolfán kattintson duplán a tartománycsomópontra.
  3. Kattintson arra a mappára, amelyikben az a csoport található, amelyhez tagot kíván hozzáadni.
  4. A jobb oldali ablaktáblán a jobb gombbal kattintson a csoportra, majd kattintson a Tulajdonságok parancsra.
  5. Kattintson a Tagok fülre, majd a Hozzáadás gombra.
  6. A Keresési hely nyílra kattintva jelenítse meg azokat a tartományokat, amelyekből felhasználókat és számítógépeket adhat hozzá a csoporthoz, majd kattintson a hozzáadni kívánt felhasználókat és számítógépeket tartalmazó tartományra.
  7. Kattintson a hozzáadni kívánt felhasználókra és számítógépekre, majd a Hozzáadás gombra.

Megjegyzések

  • A felhasználókon és számítógépeken kívül egy adott csoportnak személyek, illetve más csoportok is a tagjai lehetnek.
  • Úgy is hozzáadhat tagokat egy csoporthoz, hogy kiválasztja a hozzáadni kívánt tagokat, majd az eszköztáron a Kiválasztott objektumok hozzáadása gomb gombra. Ezután kattintson arra a csoportra, amelyikhez hozzá kívánja adni a tagokat.

Kapcsolódó témakörök


Csoport típusának konvertálása

  1. Nyissa meg az Active Directory – felhasználók és számítógépek ablakot.
  2. A konzolfán kattintson duplán a tartománycsomópontra.
  3. Kattintson a csoportot tartalmazó mappára.
  4. A jobb oldali ablaktáblán a jobb gombbal kattintson a csoportra, majd kattintson a Tulajdonságok parancsra.
  5. Az Általános lapon a Csoport típusa mezőben kattintson a csoporttípusra.

Megjegyzések

  • A csoportokkal kapcsolatos további információért kattintson a Kapcsolódó témakörök hivatkozásra.

Kapcsolódó témakörök


Csoporthatókör megváltoztatása

  1. Nyissa meg az Active Directory – felhasználók és számítógépek ablakot.
  2. Kattintson duplán a konzolfa tartomány-csomópontjára.
  3. Kattintson a csoportot tartalmazó mappára.
  4. A jobb oldali ablaktáblán a jobb gombbal kattintson a csoportra, majd kattintson a Tulajdonságok parancsra.
  5. Az Általános lapon, a Csoporthatókörök területen kattintson a csoport hatókörére.

Megjegyzés

  • A csoportokkal és a csoportok hatókörével kapcsolatos további információért kattintson a Kapcsolódó témakörök hivatkozásra.

Kapcsolódó témakörök


Csoport törlése

  1. Nyissa meg az Active Directory – felhasználók és számítógépek ablakot.
  2. A konzolfán kattintson duplán a tartománycsomópontra.
  3. Kattintson a csoportot tartalmazó mappára.
  4. A jobb oldali ablaktáblán kattintson a jobb gombbal a kívánt csoportra, majd kattintson a Törlés parancsra.

Megjegyzések

  • A Windows 2000 által automatikusan létrehozott helyi csoportok, mint például a Rendszergazdák és a Fiókfelelősök, alapértelmezés szerint a Beépített mappába kerülnek. Az olyan közös globális csoportok, mint a Tartománygazdák és Tartomány felhasználói, alapértelmezés szerint a Felhasználók mappába kerülnek. Az új csoportok bármelyik mappához hozzáadhatók, illetve bárhová áthelyezhetők. Ajánlatos ezeket egy, a szervezeti egység számára kialakított mappában tárolni.

Kapcsolódó témakörök


Csoport keresése

  1. Nyissa meg az Active Directory – felhasználók és számítógépek ablakot.
  2. A konzolfán a jobb gombbal kattintson a tartomány-csomópontra, majd kattintson a Keresés parancsra.
  3. A Felhasználók, kapcsolattartók és csoportok lapon a Név mezőbe írja be a keresett csoport nevét.
  4. Kattintson a Keresés gombra.

Megjegyzések

  • A Windows 2000 által automatikusan létrehozott helyi csoportok, mint például a Rendszergazdák és a Fiókfelelősök, alapértelmezés szerint a Beépített mappába kerülnek. Az olyan közös globális csoportok, mint a Tartománygazdák és Tartomány felhasználói, alapértelmezés szerint a Felhasználók mappába kerülnek. Új csoportokat bármely mappához hozzáadhatók vagy bárhová áthelyezhetők. Ajánlatos ezeket egy, a szervezeti egység számára kialakított mappában tárolni.
  • A Speciális lapon további beállítások megadásával teheti hatékonyabbá a keresést.
  • Csoport kereséséhez használhatja az eszköztáron található Objektumok keresése gombot is.

Kapcsolódó témakörök


Adott felhasználó csoportjának keresése

  1. Nyissa meg az Active Directory – felhasználók és számítógépek ablakot.
  2. Kattintson a konzolfa Felhasználók elemére.

    Helye:

    • Active Directory – felhasználók és számítógépek
    • tartománycsomópont
    • Felhasználók

    A kívánt felhasználói fiókot tartalmazó mappára is kattinthat.

  3. A jobb oldali ablaktáblán kattintson a jobb gombbal a felhasználói fiókra, majd kattintson a Tulajdonságok parancsra.
  4. Kattintson a Tagság fülre.

Megjegyzések

  • A Windows 2000 által automatikusan létrehozott helyi csoportok, mint például a Rendszergazdák és a Fiókfelelősök, alapértelmezés szerint a Beépített mappába kerülnek. Az olyan közös globális csoportok, mint a Tartománygazdák és Tartományfelhasználók, alapértelmezés szerint a Felhasználók mappába kerülnek. Az új csoportok bármelyik mappához hozzáadhatók, illetve bárhová áthelyezhetők. Ajánlatos ezeket egy, a szervezeti egység számára kialakított mappában tárolni.

Kapcsolódó témakörök


Csoport tulajdonságainak módosítása

  1. Nyissa meg az Active Directory – felhasználók és számítógépek ablakot.
  2. A konzolfán kattintson duplán a tartománycsomópontra.
  3. Kattintson a csoportot tartalmazó mappára.
  4. A jobb oldali ablaktáblán a jobb gombbal kattintson a csoportra, majd kattintson a Tulajdonságok parancsra.

Megjegyzés

Kapcsolódó témakörök


Tag eltávolítása csoportból

  1. Nyissa meg az Active Directory – felhasználók és számítógépek ablakot.
  2. A konzolfán kattintson duplán a tartománycsomópontra.
  3. Kattintson a csoportot tartalmazó mappára.
  4. A jobb oldali ablaktáblán a jobb gombbal kattintson a csoportra, majd kattintson a Tulajdonságok parancsra.
  5. Kattintson a Tagok fülre.
  6. Kattintson az eltávolítani kívánt tagokra, majd az Eltávolítás gombra.

Megjegyzések

  • A Windows 2000 által automatikusan létrehozott helyi csoportok, mint például a Rendszergazdák és a Fiókfelelősök, alapértelmezés szerint a Beépített mappába kerülnek. Az olyan közös globális csoportok, mint a Tartománygazdák és Tartomány felhasználói, alapértelmezés szerint a Felhasználók mappába kerülnek. Új csoportokat bármely mappához hozzáadhatók vagy bárhová áthelyezhetők. Ajánlatos ezeket egy, a szervezeti egység számára kialakított mappában tárolni.

Kapcsolódó témakörök


Csoport átnevezése

  1. Nyissa meg az Active Directory – felhasználók és számítógépek ablakot.
  2. A konzolfán kattintson duplán a tartománycsomópontra.
  3. Kattintson arra a mappára, amelyben a csoport található.
  4. A jobb oldali ablaktáblán kattintson a jobb gombbal a csoportra, majd kattintson az Átnevezés parancsra.
  5. Írja be a csoport új nevét.

Megjegyzések

  • A Windows 2000 által automatikusan létrehozott helyi csoportok, mint például a Rendszergazdák és a Fiókfelelősök, alapértelmezés szerint a Beépített mappába kerülnek. Az olyan közös globális csoportok, mint a Tartománygazdák és Tartományfelhasználók, alapértelmezés szerint a Felhasználók mappába kerülnek. Az új csoportok bármelyik mappához hozzáadhatók, illetve bárhová áthelyezhetők. Ajánlatos ezeket egy, a szervezeti egység számára kialakított mappában tárolni.

Kapcsolódó témakörök


Szervezeti egységek kezelése

  • Szervezeti egység hozzáadása
  • Szervezeti egység vezérlésének delegálása
  • Szervezeti egység törlése
  • Szervezeti egység keresése
  • Szervezeti egység tulajdonságainak módosítása
  • Szervezeti egység áthelyezése
  • Szervezeti egység átnevezése


Szervezeti egység hozzáadása

  1. Nyissa meg az Active Directory – felhasználók és számítógépek ablakot.
  2. A konzolfán kattintson duplán a tartománycsomópontra.
  3. A jobb gombbal kattintson arra a tartománycsomópontra vagy mappára, amelyhez a szervezeti egységet hozzá szeretné adni.
  4. Mutasson az Új pontra, majd kattintson a Szervezeti egység parancsra.
  5. Írja be a szervezeti egység nevét.

Megjegyzések

  • Új szervezeti egységet úgy is hozzáadhat, hogy arra a tartománycsomópontra vagy mappára kattint, amelyhez a szervezeti egységet hozzá szeretné adni, majd az eszköztáron az Új szervezeti egység létrehozása gombra kattint.

Kapcsolódó témakörök


Szervezeti egység vezérlésének delegálása

  1. Nyissa meg az Active Directory – felhasználók és számítógépek ablakot.
  2. A konzolfán kattintson duplán a tartománycsomópontra.
  3. A jobb oldali ablaktáblán kattintson a jobb gombbal a szervezeti egységre, majd a Vezérlés delegálása parancsra kattintva indítsa el a Vezérlés delegálása varázslót.
  4. Kövesse a Vezérlés delegálása varázsló utasításait.

Megjegyzés

Kapcsolódó témakörök


Szervezeti egység törlése

  1. Nyissa meg az Active Directory – felhasználók és számítógépek ablakot.
  2. A konzolfán kattintson duplán a tartománycsomópontra.
  3. A jobb oldali ablaktáblán kattintson a jobb gombbal a szervezeti egységre, majd kattintson a Törlés parancsra.

Fontos

  • Objektumokat tartalmazó szervezeti egység törlésekor a rendszer megkérdezi, hogy az összes szervezeti egységet és az azokban lévő objektumokat is törölni kívánja-e. Ha igennel válaszol, akkor törli a szervezeti egységet az összes benne található objektummal együtt.

Megjegyzés

Kapcsolódó témakörök


Szervezeti egység keresése

  1. Nyissa meg az Active Directory – felhasználók és számítógépek ablakot.
  2. A konzolfán a jobb gombbal kattintson a tartomány-csomópontra, majd kattintson a Keresés parancsra.
  3. A Keresés listában kattintson a Szervezeti egységek elemre.
  4. Írja be a keresett szervezeti egység nevét, és kattintson a Keresés gombra.

Megjegyzések

  • A Speciális lapon további beállítások megadásával teheti hatékonyabbá a keresést.
  • Szervezeti egységek kereséséhez használhatja az eszköztáron található Objektumok keresése gombot is.

Kapcsolódó témakörök


Szervezeti egység tulajdonságainak módosítása

  1. Nyissa meg az Active Directory – felhasználók és számítógépek ablakot.
  2. A konzolfán kattintson duplán a tartománycsomópontra.
  3. A jobb oldali ablaktáblán kattintson a jobb gombbal a szervezeti egység mappára, majd kattintson a Tulajdonságok parancsra.

Megjegyzés

Kapcsolódó témakörök


Szervezeti egység áthelyezése

  1. Nyissa meg az Active Directory – felhasználók és számítógépek ablakot.
  2. A konzolfán kattintson duplán a tartománycsomópontra.
  3. A jobb oldali ablaktáblán kattintson a jobb gombbal a szervezeti egységre, majd kattintson az Áthelyezés parancsra.
  4. Az Áthelyezés párbeszédpanelen kattintson arra a mappára, amelybe a szervezeti egységet át kívánja helyezni.

Megjegyzések

  • Az Active Directory – felhasználók és számítógépek eszközzel a szervezeti egységeket csak tartományon belül tudja áthelyezni. Ha a szervezeti egységeket tartományok között szeretné mozgatni, használja a Movetree eszközt. A Movetree eszközzel és az Active Directory egyéb támogatási eszközeivel kapcsolatos további információért kattintson a Kapcsolódó témakörök hivatkozásra

Kapcsolódó témakörök


Szervezeti egység átnevezése

  1. Nyissa meg az Active Directory – felhasználók és számítógépek ablakot.
  2. A konzolfán kattintson duplán a tartománycsomópontra.
  3. A jobb oldali ablaktáblán kattintson a jobb gombbal az átnevezni kívánt szervezeti egységre.
  4. Kattintson az Átnevezés parancsra, majd írja be az új nevet.

Megjegyzés

Kapcsolódó témakörök


Közzétett erőforrások kezelése

  • Egyéni keresés végrehajtása
  • Megosztott mappa keresése
  • Nyomtató keresése
  • Megosztott mappa közzététele
  • Windows NT nyomtató közzététele


Egyéni keresés végrehajtása

  1. Nyissa meg az Active Directory - felhasználók és számítógépek ablakot.
  2. Kattintson a konzolfán jobb gombbal a tartománycsomópontra, majd ballal a Keresés parancsra.
  3. A Keresés listában válassza az Egyéni keresés elemet.
  4. Kattintson a Mező gombra, mutasson a keresendő objektumra, majd kattintson az objektum azon attribútumára, amelyhez keresési értéket kíván rendelni.
  5. A Feltétel listában válassza ki a keresési feltételt.
  6. Az Érték mezőbe írja be azt az attribútumértéket, amelyre a keresés alkalmazni fogja a feltételt.
  7. A keresési feltételt a Hozzáadás gombra kattintva adhatja az egyéni kereséshez.
  8. Az összes kívánt keresési feltétel hozzáadásához ismételje meg a 4-7. lépéseket.
  9. Kattintson a Keresés most gombra.

Megjegyzések

  • A Speciális lapon LDAP-szintaxist használó lekérdezést adhat meg. Az LDAP protokollról a Kapcsolódó témakörök hivatkozásra kattintva talál további információt.
  • Keresést az eszköztáron lévő Objektumok keresése az Active Directoryban gombra kattintva is indíthat.

Kapcsolódó témakörök


Megosztott mappa keresése

  1. Nyissa meg az Active Directory – felhasználók és számítógépek ablakot.
  2. A konzolfán a jobb gombbal kattintson a tartomány-csomópontra, majd kattintson a Keresés parancsra.
  3. A Keresés listán kattintson a Megosztott mappák pontra.
  4. A Megosztott mappák lapon a Név mezőbe írja be a keresett mappa nevét.
  5. Kattintson a Keresés gombra.

Megjegyzések

  • A Speciális lapon további beállítások megadásával teheti hatékonyabbá a keresést.
  • Megosztott mappák kereséséhez használhatja az eszköztáron az Objektumok keresése gombot is.

Kapcsolódó témakörök


Nyomtató keresése

  1. Nyissa meg az Active Directory – felhasználók és számítógépek ablakot.
  2. A konzolfán a jobb gombbal kattintson a tartomány-csomópontra, majd kattintson a Keresés parancsra.
  3. A Keresés listán kattintson a Nyomtatók pontra.
  4. A Nyomtatók lapon a Név mezőbe írja be a keresett nyomtató nevét.
  5. Kattintson a Keresés gombra.

Megjegyzések

  • Valamely tulajdonsággal rendelkező nyomtató kereséséhez használhatja a Tulajdonságok lapot, a keresés hatékonyságát növelő beállításokat pedig a Speciális lapon adhat meg.
  • Nyomtató kereséséhez használhatja az eszköztáron az Objektumok keresése gombot is.

Kapcsolódó témakörök


Megosztott mappa közzététele

  1. Nyissa meg az Active Directory – felhasználók és számítógépek ablakot.
  2. A konzolfán kattintson duplán a tartománycsomópontra.
  3. Kattintson a jobb gombbal arra a mappára, amelyikhez hozzá szeretné adni a megosztott mappát, mutasson az Új pontra, és kattintson a Megosztott mappák parancsra.
  4. Írja be a mappa nevét.
  5. Írja be azt az UNC-nevet, amelyet szeretne közzétenni a könyvtárban.

Megjegyzés

Kapcsolódó témakörök


Windows NT nyomtató közzététele

  1. Nyissa meg az Active Directory – felhasználók és számítógépek ablakot.
  2. A konzolfán kattintson duplán a tartománycsomópontra.
  3. A konzolfán a jobb gombbal kattintson arra mappára, amelyben a nyomtatót közzé kívánja tenni, mutasson az Új pontra, majd kattintson a Nyomtató parancsra.
  4. Írja be azt az UNC-nevet, amelyet szeretne közzétenni a könyvtárban.

Megjegyzések

  • A Windows NT nyomtatót az Active Directoryban való közzététel előtt kell telepíteni. Windows NT nyomtató telepítéséhez kattintson a Start menü Beállítások pontjára, majd kattintson a Nyomtatók parancsra.
  • A Windows 2000 nyomtatókat a rendszer automatikusan közzéteszi az Active Directoryban. A Windows 2000 nyomtatókiszolgálók telepítéséről és közzétételéről további információt a Nyomtatás című témakörben talál.

Kapcsolódó témakörök


Tartományok és meghatalmazások felügyelete

  • Egyszerű felhasználónév utótagjának hozzáadása
  • Tartomány üzemmódjának módosítása
  • Explicit tartománymeghatalmazás létrehozása
  • Meghatalmazás ellenőrzése
  • Meghatalmazás visszavonása


Egyszerű felhasználónév utótagjának hozzáadása

  1. Nyissa meg az Active Directory – tartományok és meghatalmazások ablakot.
  2. A jobb gombbal kattintson a konzolfa Active Directory – tartományok és meghatalmazások elemére, majd kattintson a Tulajdonságok parancsra.
  3. Az UPN-utótagok lapon a tartományhoz adjon meg egy alternatív egyszerű felhasználónév (UPN) utótagot, majd kattintson a Hozzáadás gombra.
  4. Újabb alternatív egyszerű felhasználónév utótagok hozzáadásához ismételje meg a 3. lépést.

Megjegyzések

  • Az Active Directory – tartományok és meghatalmazások megfelelő engedélyekkel történő használatához kattintson a Futtatás mint gombra. További tájékoztatásért kattintson a Kapcsolódó témakörök hivatkozásra.

Kapcsolódó témakörök


Tartomány üzemmódjának módosítása

  1. Nyissa meg az Active Directory – tartományok és meghatalmazások ablakot.
  2. Az egér jobb gombjával kattintson arra a tartománycsomópontra, melynek felügyeletét szeretné ellátni, majd kattintson a Tulajdonságok parancsra.
  3. Az Általános lapon kattintson a Mód váltása, majd az Igen gombra.

Vigyázat!

  • Ne változtassa meg a tartománymódot, ha már rendelkezik, vagy ha rendelkezni fog Windows NT 4.0 tartományvezérlővel. Az üzemmódot vegyes üzemmódról csak natív üzemmódra tudja átállítani. A natív üzemmódban működő tartomány már nem állítható vissza vegyes üzemmódra.

Megjegyzések

  • A tartomány-üzemmódokkal kapcsolatos további információért kattintson a Kapcsolódó témakörök hivatkozásra.

Kapcsolódó témakörök


Explicit tartománymeghatalmazás létrehozása

  1. Nyissa meg az Active Directory – tartományok és meghatalmazások ablakot.
  2. A konzolfán az egér jobb gombjával kattintson a felügyelni kíván tartomány tartománycsomópontjára, majd kattintson a Tulajdonságok parancsra.
  3. Kattintson a Meghatalmazások fülre.
  4. Attól függően, hogy mit szeretne, kattintson az Meghatalmazott tartományok vagy az Meghatalmazó tartományok beállításra, majd a Hozzáadás gombra.
  5. Ha a hozzáadni kívánt tartomány Windows 2000 tartomány, írja be a teljes DNS-nevét.

    Ha viszont a tartomány a Windows korábbi verzióját futtatja, akkor a tartomány nevét írja be.

  6. Írja be a meghatalmazás jelszavát, majd ismételje meg.
  7. Ismételje meg ugyanezt az eljárást az explicit meghatalmazotti kapcsolatban részt vevő másik tartomány esetében is.

Megjegyzések

  • A jelszót a meghatalmazó és a meghatalmazott tartománynak egyaránt el kell fogadnia.
  • A Futtatás mint parancs segítségével felügyelheti azokat a tartományokat, amelyekre éppen nincs bejelentkezve. A Futtatás mint paranccsal kapcsolatos további információért kattintson a Kapcsolódó témakörök hivatkozásra.
  • A meghatalmazásokkal kapcsolatos további információért kattintson a Kapcsolódó témakörök hivatkozásra.

Kapcsolódó témakörök


Meghatalmazás ellenőrzése

  1. Nyissa meg az Active Directory – tartományok és meghatalmazások ablakot.
  2. Kattintson a konzolfán az egér jobb gombjával az ellenőrizni kívánt meghatalmazásban szereplő valamelyik tartománycsomópontra, majd ballal a Tulajdonságok parancsra.
  3. Kattintson a Meghatalmazások fülre.
  4. A Meghatalmazott tartományok vagy a Meghatalmazó tartományok listán kattintson a visszavonni kívánt meghatalmazásra, majd a Szerkesztés gombra.
  5. Kattintson az Ellenőrzés gombra.

Megjegyzések

  • A Futtatás mint parancs segítségével felügyelheti azokat a tartományokat, amelyekre éppen nincs bejelentkezve. A Futtatás mint paranccsal kapcsolatos további információért kattintson a Kapcsolódó témakörök hivatkozásra.

Kapcsolódó témakörök


Meghatalmazás visszavonása

  1. Nyissa meg az Active Directory – tartományok és meghatalmazások ablakot.
  2. Kattintson a konzolfán az egér jobb gombjával az ellenőrizni kívánt meghatalmazásban szereplő valamelyik tartománycsomópontra, majd ballal a Tulajdonságok parancsra.
  3. Kattintson a Meghatalmazások fülre.
  4. A Meghatalmazott tartományok vagy a Meghatalmazó tartományok listán kattintson a visszavonni kívánt meghatalmazásra, majd az Eltávolítás gombra.
  5. Ismételje meg az eljárást a meghatalmazásban érintett másik tartománnyal is.

Megjegyzések

  • A Futtatás mint parancs segítségével felügyelheti azokat a tartományokat, amelyekre éppen nincs bejelentkezve. A Futtatás mint paranccsal kapcsolatos további információért kattintson a Kapcsolódó témakörök hivatkozásra.
  • Egy adott erdő két tartománya között nem lehetséges az alapértelmezett kétirányú meghatalmazás visszavonása, az explicit módon létrehozott közvetlen meghatalmazások viszont törölhetők.

Kapcsolódó témakörök


Kiszolgáló-beállítások konfigurálása

  • Kiszolgáló-objektum létrehozása
  • Lekérdezési szabályok kiválasztása
  • Globális katalógus engedélyezése vagy letiltása
  • Elsődleges támaszpont-kiszolgáló kijelölése
  • Tartományvezérlő helyek közötti áthelyezése
  • Nem működő kiszolgáló törlése egy helyről
  • Csatlakozás erdőhöz
  • Csatlakozás tartományvezérlőhöz
  • A replikációs topológia ellenőrzése
  • A szolgáltatás-csomópont feltárása


Kiszolgálóobjektum létrehozása

  1. Nyissa meg az Active Directory – helyek és szolgáltatások ablakot.
  2. A konzolfán kattintson duplán arra a helyre, ahol az új tartományvezérlő kiszolgálóobjektumot szeretné elhelyezni.

    3. Helye:

    • Active Directory – helyek és szolgáltatások
    • Helyek
    • az a hely, ahol az új kiszolgálóobjektumot szeretné elhelyezni
  3. Kattintson a jobb gombbal a Kiszolgálók elemre, mutasson az Új pontra, majd kattintson a Kiszolgáló parancsra.
  4. A Név mezőbe írja be az új kiszolgálóobjektum nevét.

Megjegyzések

  • Az Active Directory – helyek és szolgáltatások csak olyan számítógépről használható, amely rendelkezik hozzáféréssel egy Windows 2000 tartományhoz. Az Active Directory – helyek és szolgáltatások minden Windows 2000 tartományvezérlőn telepítve van. Ha az Active Directory – Helyek és szolgáltatások eszközt olyan számítógépről szeretné használni, amely nem tartományvezérlő (a Windows 2000 Professional operációs rendszert futtatja), telepítse a számítógépen a Windows 2000 felügyeleti eszközeit.
  • A kiszolgálóobjektumok tartományvezérlők vagy tagkiszolgálók lehetnek. Egy kiszolgálóobjektum létrehozása nem azonos egy tartományvezérlő telepítésével.

Kapcsolódó témakörök


Lekérdezési szabályok kiválasztása

  1. Nyissa meg az Active Directory – helyek és szolgáltatások ablakot.
  2. A konzolfán kattintson arra a tartományvezérlőre, amelynek lekérdezési szabályait módosítani kívánja.

    Helye:

    • Active Directory – helyek és szolgáltatások
    • Helyek
    • az a hely, amely azt a tartományvezérlőt tartalmazza, amelynek lekérdezési szabályait módosítani kívánja
    • Kiszolgálók
    • az a tartományvezérlő, amelynek lekérdezési szabályait módosítani kívánja
  3. A jobb oldali ablaktáblán kattintson a jobb gombbal az NTDS beállítások pontra, majd a Tulajdonságok parancsra.
  4. A Lekérdezési szabályok legördülő listából válasszon egy szabályt.

Megjegyzések

  • Az Active Directory – helyek és szolgáltatások csak olyan számítógépről használható, amely rendelkezik hozzáféréssel egy Windows 2000 tartományhoz. Az Active Directory – helyek és szolgáltatások minden Windows 2000 tartományvezérlőn telepítve van. Ha az Active Directory – helyek és szolgáltatások eszközt olyan számítógépen szeretné használni, amely nem tartományvezérlő (a Windows 2000 Professional operációs rendszert futtatja), telepítse a Windows 2000 felügyeleti eszközeit.

Kapcsolódó témakörök


Globális katalógus engedélyezése és letiltása

  1. Nyissa meg az Active Directory – helyek és szolgáltatások ablakot.
  2. A konzolfán kattintson duplán a globális katalógust tartalmazó tartományvezérlőre.

    Helye:

    • Active Directory – helyek és szolgáltatások
    • Helyek
    • az a hely, ahol a globális katalógust tartalmazó tartományvezérlő található
    • Kiszolgálók
    • a globális katalógust tartalmazó tartományvezérlő
  3. Kattintson a jobb gombbal az NTDS beállítások pontra, majd kattintson a Tulajdonságok parancsra.
  4. Jelölje be a Globális katalógus jelölőnégyzetet.

Figyelem!

  • Ezt a beállítást csak akkor alkalmazza, ha biztos benne, hogy ez a hálózat szempontjából hasznos lesz. Ez a beállítás csak akkor lehet hasznos, ha a hálózat több tartományt tartalmaz, de még ekkor is elég egyetlen globális katalógust telepíteni egy helyre.

Megjegyzések

  • Az Active Directory – helyek és szolgáltatások csak olyan számítógépről használható, amely rendelkezik hozzáféréssel egy Windows 2000 tartományhoz. Az Active Directory – helyek és szolgáltatások minden Windows 2000 tartományvezérlőn telepítve van. Ha az Active Directory – Helyek és szolgáltatások eszközt olyan számítógépről szeretné használni, amely nem tartományvezérlő (a Windows 2000 Professional operációs rendszert futtatja), telepítse a számítógépen a Windows 2000 felügyeleti eszközeit.
  • A ügyfeleknek a bejelentkezéshez hozzá kell férniük a globális katalógushoz, ezért legalább egy globális katalógusnak minden helyen kell lennie ahhoz, hogy a helyek segítségével létesített hálózati forgalom előnyei kihasználhatók legyenek.

Kapcsolódó témakörök


Elsődleges támaszpont-kiszolgáló kijelölése

  1. Nyissa meg az Active Directory – helyek és szolgáltatások ablakot.
  2. A konzolfán kattintson a jobb gombbal arra tartományvezérlőre, amelyet elsődleges támaszpont-kiszolgálóvá kíván előléptetni, majd kattintson a Tulajdonságok parancsra.

    3. Helye:

    • Active Directory – helyek és szolgáltatások
    • Helyek
    • az elsődleges támaszpont-kiszolgálóvá előléptetni kívánt tartományvezérlőt tartalmazó hely
    • Kiszolgálók
    • az elsődleges támaszpont-kiszolgálóvá előléptetni kívánt tartományvezérlő
  3. Kattintson arra a helyközi átvitelre (akár többre is), amely(ek) elsődleges támaszpont-kiszolgálója lesz a számítógép, majd kattintson a Hozzáadás gombra.

Megjegyzések

  • Az Active Directory – helyek és szolgáltatások csak olyan számítógépről használható, amely rendelkezik hozzáféréssel egy Windows 2000 tartományhoz. Az Active Directory – helyek és szolgáltatások minden Windows 2000 tartományvezérlőn telepítve van. Ha az Active Directory – Helyek és szolgáltatások eszközt olyan számítógépről szeretné használni, amely nem tartományvezérlő (a Windows 2000 Professional operációs rendszert futtatja), telepítse a számítógépen a Windows 2000 felügyeleti eszközeit.
  • Elsődleges támaszpont kiszolgálót egy vagy több (például IP és SMTP) protokollhoz is létesíthet.

Kapcsolódó témakörök


Tartományvezérlő helyek közötti áthelyezése

  1. Nyissa meg az Active Directory – helyek és szolgáltatások ablakot.
  2. A konzolfán kattintson a jobb gombbal arra a tartományvezérlőre, amelyet másik helyre szeretne áthelyezni, majd kattintson az Áthelyezés parancsra.

    3. Helye:

    • Active Directory – helyek és szolgáltatások
    • Helyek
    • az áthelyezni kívánt tartományvezérlőt tartalmazó hely
    • Kiszolgálók
    • az áthelyezni kívánt tartományvezérlő
  3. A Kiszolgáló áthelyezése párbeszédpanelen kattintson arra a helyre, ahová a tartományvezérlőt át szeretné helyezni.

Megjegyzések

  • Az Active Directory – helyek és szolgáltatások csak olyan számítógépről használható, amely rendelkezik hozzáféréssel egy Windows 2000 tartományhoz. Az Active Directory – helyek és szolgáltatások minden Windows 2000 tartományvezérlőn telepítve van. Ha az Active Directory – Helyek és szolgáltatások eszközt olyan számítógépről szeretné használni, amely nem tartományvezérlő (a Windows 2000 Professional operációs rendszert futtatja), telepítse a számítógépen a Windows 2000 felügyeleti eszközeit.
  • Ezzel az eljárással kiszolgálókat és tartományvezérlőket is áthelyezhet más helyekre.

Kapcsolódó témakörök


Nem működő kiszolgáló törlése

  1. Nyissa meg az Active Directory – helyek és szolgáltatások ablakot.
  2. A konzolfán kattintson a jobb gombbal a törölni kívánt kiszolgálóra, majd kattintson a Törlés parancsra.

    3. Helye:

    • Active Directory – helyek és szolgáltatások
    • Helyek
    • a törlendő kiszolgálót tartalmazó hely
    • Kiszolgálók
    • a törlendő kiszolgáló

Megjegyzések

  • Az Active Directory – helyek és szolgáltatások csak olyan számítógépről használható, amely rendelkezik hozzáféréssel egy Windows 2000 tartományhoz. Az Active Directory – helyek és szolgáltatások minden Windows 2000 tartományvezérlőn telepítve van. Ha az Active Directory – Helyek és szolgáltatások eszközt olyan számítógépről szeretné használni, amely nem tartományvezérlő (a Windows 2000 Professional operációs rendszert futtatja), telepítse a számítógépen a Windows 2000 felügyeleti eszközeit.
  • Csak akkor használja ezt az eljárást, ha a kiszolgálót végleg szeretné eltávolítani az adott helyről. Ha később újra szeretné aktiválni a kiszolgálót, akkor a kiszolgáló helyett inkább csak annak NTDS beállításait törölje. Amikor újra a hálózathoz csatlakoztatja a kiszolgálót, az Active Directory automatikusan létrehozza az új NTDS beállításokat, és a kiszolgálót a megfelelő módon beilleszti a replikációs topológiába.

Kapcsolódó témakörök


Csatlakozás erdőhöz

  1. Nyissa meg az Active Directory – helyek és szolgáltatások ablakot.
  2. Kattintson a jobb gombbal az Active Directory – helyek és szolgáltatások pontra, majd a Csatlakozás erdőhöz parancsra.
  3. A Gyökértartomány mezőbe írja be az erdő gyökértartományának nevét. Ez az erdőben létrehozott első tartományfa gyökértartománya.

Megjegyzések

  • Az Active Directory – helyek és szolgáltatások csak olyan számítógépről használható, amely rendelkezik hozzáféréssel egy Windows 2000 tartományhoz. Az Active Directory – helyek és szolgáltatások minden Windows 2000 tartományvezérlőn telepítve van. Ha az Active Directory – helyek és szolgáltatások eszközt olyan számítógépen szeretné használni, amely nem tartományvezérlő (a Windows 2000 Professional operációs rendszert futtatja), telepítse a Windows 2000 felügyeleti eszközeit.
  • Az Active Directory – helyek és szolgáltatások egyetlen erdőt jelenít meg. Váltson másik erdőre, ha az Active Directory – helyek és szolgáltatások beállításait másik erdőhöz kívánja konfigurálni, illetve ha másik erdőt kíván megjeleníteni.

Kapcsolódó témakörök


Csatlakozás tartományvezérlőhöz

  1. Nyissa meg az Active Directory – helyek és szolgáltatások ablakot.
  2. Kattintson a jobb gombbal az Active Directory – helyek és szolgáltatások pontra, majd a Kapcsolódás tartományvezérlőhöz parancsra.
  3. A Tartomány mezőbe írja be tartomány nevét, vagy kattintson a Tallózás gombra, és az elérhető tartományok listájában jelöljön ki egy tartományt.

Megjegyzések

  • Az Active Directory – helyek és szolgáltatások csak olyan számítógépről használható, amely rendelkezik hozzáféréssel egy Windows 2000 tartományhoz. Az Active Directory – helyek és szolgáltatások minden Windows 2000 tartományvezérlőn telepítve van. Ha az Active Directory – helyek és szolgáltatások eszközt olyan számítógépen szeretné használni, amely nem tartományvezérlő (a Windows 2000 Professional operációs rendszert futtatja), telepítse a Windows 2000 felügyeleti eszközeit.
  • Az Active Directory – helyek és szolgáltatások eszköz a címtári adatok egyetlen példányát jeleníti meg és konfigurálja. Válasszon másik tartományvezérlőt, ha azt szeretné, hogy az Active Directory – helyek és szolgáltatások eszköz annak az adatait jelenítse meg, illetve módosítsa.

Kapcsolódó témakörök


A replikációs topológia ellenőrzése

  1. Nyissa meg az Active Directory – helyek és szolgáltatások ablakot.
  2. A konzolfán kattintson duplán arra a kiszolgálóra, amelyet a replikációs topológia ellenőrzésére kíván használni.

    3. Helye:

    • Active Directory – helyek és szolgáltatások
    • Helyek
    • az a hely, amely azt a tartományvezérlőt tartalmazza, amelynek replikációs topológiáját ellenőrizni kívánja
    • Kiszolgálók
    • a replikációs topológia ellenőrzéséhez használni kívánt kiszolgáló
  3. Kattintson a jobb gombbal az NTDS beállítások pontra, mutasson a Minden feladat pontra, majd kattintson a Replikációs topológia ellenőrzése parancsra.

Megjegyzések

  • Az Active Directory futtat egy folyamatot, ami mérlegeli a helyek közötti kapcsolatok költségeit, ellenőrzi, hogy a korábban elérhető tartományvezérlők továbbra is elérhetők-e, nincsenek-e új elérhető tartományvezérlők, majd ezen információk alapján ad hozzá vagy távolít el kapcsolati objektumokat a hatékony replikációs topológia létrehozásához. Ez a folyamat nem érinti a kézzel létrehozott kapcsolati objektumokat.
  • Az Active Directory – helyek és szolgáltatások csak olyan számítógépről használható, amely rendelkezik hozzáféréssel egy Windows 2000 tartományhoz. Az Active Directory – helyek és szolgáltatások minden Windows 2000 tartományvezérlőn telepítve van. Ha az Active Directory – helyek és szolgáltatások eszközt olyan számítógépen szeretné használni, amely nem tartományvezérlő (a Windows 2000 Professional operációs rendszert futtatja), telepítse a Windows 2000 felügyeleti eszközeit.

Kapcsolódó témakörök


A szolgáltatás-csomópont feltárása

  1. Nyissa meg az Active Directory – helyek és szolgáltatások ablakot.
  2. Kattintson az Active Directory – helyek és szolgáltatások csomópontra, mutasson a Nézet pontra, és kattintson a Szolgáltatás-csomópont megjelenítése parancsra.

Megjegyzések

  • Az Active Directory – helyek és szolgáltatások csak olyan számítógépről használható, amely rendelkezik hozzáféréssel egy Windows 2000 tartományhoz. Az Active Directory – helyek és szolgáltatások minden Windows 2000 tartományvezérlőn telepítve van. Ha az Active Directory – Helyek és szolgáltatások eszközt olyan számítógépről szeretné használni, amely nem tartományvezérlő (a Windows 2000 Professional operációs rendszert futtatja), telepítse a számítógépen a Windows 2000 felügyeleti eszközeit.
  • A Szolgáltatás-csomópont megjelenítése lehetőség állandó beállítás.

Kapcsolódó témakörök


Helybeállítások konfigurálása

  • Hely létrehozása
  • Hely átnevezése
  • Alhálózat létrehozása
  • Alhálózat társítása hellyel
  • Hely törlése
  • Alhálózat törlése
  • Másik licencelő számítógép kiválasztása
  • Vezérlés delegálása


Hely létrehozása

  1. Nyissa meg az Active Directory – helyek és szolgáltatások ablakot.
  2. Kattintson a jobb gombbal a Helyek mappára, majd kattintson az Új hely parancsra.
  3. A Név mezőbe írja be az új hely nevét.
  4. Kattintson egy helyhivatkozás-objektumra, majd az OK gombra.
  5. Társítson egy alhálózatot az újonnan létrehozott helyhez. További információért kattintson a Kapcsolódó témakörök hivatkozásra.
  6. Helyezzen át egy tartományvezérlőt egy létező helyről az új helyre, vagy telepítsen új tartományvezérlőt. További információért kattintson a Kapcsolódó témakörök hivatkozásra.
  7. Ha nem az automatikusan kijelölt, hanem egy bizonyos licencelő számítógépet szeretne használni, válassza ki azt. További információért kattintson a Kapcsolódó témakörök hivatkozásra.
  8. Delegálja a hely vezérlését. További információért kattintson a Kapcsolódó témakörök hivatkozásra.

Megjegyzések

  • Az Active Directory – helyek és szolgáltatások csak olyan számítógépről használható, amely rendelkezik hozzáféréssel egy Windows 2000 tartományhoz. Az Active Directory – helyek és szolgáltatások minden Windows 2000 tartományvezérlőn telepítve van. Ha az Active Directory – Helyek és szolgáltatások eszközt olyan számítógépről szeretné használni, amely nem tartományvezérlő (a Windows 2000 Professional operációs rendszert futtatja), telepítse a számítógépen a Windows 2000 felügyeleti eszközeit.

Kapcsolódó témakörök


Hely átnevezése

  1. Nyissa meg az Active Directory – helyek és szolgáltatások ablakot.
  2. Kattintson duplán a Helyek mappára.
  3. Kattintson a jobb gombbal az átnevezni kívánt helyre, majd kattintson az Átnevezés parancsra, és írja be az új nevet.

Megjegyzések

  • Az Active Directory – helyek és szolgáltatások csak olyan számítógépről használható, amely rendelkezik hozzáféréssel egy Windows 2000 tartományhoz. Az Active Directory – helyek és szolgáltatások minden Windows 2000 tartományvezérlőn telepítve van. Ha az Active Directory – Helyek és szolgáltatások eszközt olyan számítógépről szeretné használni, amely nem tartományvezérlő (a Windows 2000 Professional operációs rendszert futtatja), telepítse a számítógépen a Windows 2000 felügyeleti eszközeit.

Kapcsolódó témakörök


Alhálózat létrehozása

  1. Nyissa meg az Active Directory – helyek és szolgáltatások ablakot.
  2. Kattintson duplán a konzolfa Helyek elemére.
  3. Kattintson a jobb gombbal az Alhálózatok pontra, majd kattintson az Új alhálózat parancsra.
  4. A Cím mezőben adja meg az alhálózat címét.
  5. A Maszk mezőben adja meg azt az alhálózati maszkot, amely leírja az adott hely alhálózatába tartozó címtartományt.
  6. Válassza ki azt a helyet, amelyhez ezt az alhálózatot hozzá kívánja rendelni, majd kattintson az OK gombra.

Megjegyzések

  • Az Active Directory – helyek és szolgáltatások csak olyan számítógépről használható, amely rendelkezik hozzáféréssel egy Windows 2000 tartományhoz. Az Active Directory – helyek és szolgáltatások minden Windows 2000 tartományvezérlőn telepítve van. Ha az Active Directory – Helyek és szolgáltatások eszközt olyan számítógépről szeretné használni, amely nem tartományvezérlő (a Windows 2000 Professional operációs rendszert futtatja), telepítse a számítógépen a Windows 2000 felügyeleti eszközeit.
  • Az alhálózati tartományhoz tartozó minden IP cím érvényes bejegyzés.

Kapcsolódó témakörök


Alhálózat társítása hellyel

  1. Nyissa meg az Active Directory – helyek és szolgáltatások ablakot.
  2. A konzolfán kattintson a jobb gombbal arra az alhálózatra, amellyel a helyet társítani szeretné, majd kattintson a Tulajdonságok parancsra.

    3. Helye:

    • Active Directory – helyek és szolgáltatások
    • Helyek
    • Alhálózatok
    • alhálózat
  3. A Hely listában kattintson arra a helyre, amellyel az alhálózatot társítani szeretné.

Megjegyzések

  • Az Active Directory – helyek és szolgáltatások csak olyan számítógépről használható, amely rendelkezik hozzáféréssel egy Windows 2000 tartományhoz. Az Active Directory – helyek és szolgáltatások minden Windows 2000 tartományvezérlőn telepítve van. Ha az Active Directory – helyek és szolgáltatások eszközt olyan számítógépen szeretné használni, amely nem tartományvezérlő (a Windows 2000 Professional operációs rendszert futtatja), telepítse a Windows 2000 felügyeleti eszközeit.

Kapcsolódó témakörök


Hely törlése

  1. Nyissa meg az Active Directory – helyek és szolgáltatások ablakot.
  2. Kattintson duplán a konzolfa Helyek elemére.
  3. A jobb gombbal kattintson a hely tárolójára, majd kattintson a Törlés parancsra.

Figyelem!

  • A hely a Tároló objektumok közé tartozik, vagyis a hely törlésével a helyhez tartozó valamennyi címtár objektumot törli.

Megjegyzések

  • Az Active Directory – helyek és szolgáltatások csak olyan számítógépről használható, amely rendelkezik hozzáféréssel egy Windows 2000 tartományhoz. Az Active Directory – helyek és szolgáltatások minden Windows 2000 tartományvezérlőn telepítve van. Ha az Active Directory – Helyek és szolgáltatások eszközt olyan számítógépről szeretné használni, amely nem tartományvezérlő (a Windows 2000 Professional operációs rendszert futtatja), telepítse a számítógépen a Windows 2000 felügyeleti eszközeit.
  • Az Alapertelmezett-elso-hely-neve hely nem törölhető.

Kapcsolódó témakörök


Alhálózat törlése

  1. Nyissa meg az Active Directory – helyek és szolgáltatások ablakot.
  2. A konzolfán kattintson a jobb gombbal a törölni kívánt alhálózatra, majd kattintson a Törlés parancsra.

    3. Helye:

    • Active Directory – helyek és szolgáltatások
    • Helyek
    • Alhálózatok
    • a törölni kívánt alhálózat

Megjegyzések

  • Az Active Directory – helyek és szolgáltatások csak olyan számítógépről használható, amely rendelkezik hozzáféréssel egy Windows 2000 tartományhoz. Az Active Directory – helyek és szolgáltatások minden Windows 2000 tartományvezérlőn telepítve van. Ha az Active Directory – Helyek és szolgáltatások eszközt olyan számítógépről szeretné használni, amely nem tartományvezérlő (a Windows 2000 Professional operációs rendszert futtatja), telepítse a számítógépen a Windows 2000 felügyeleti eszközeit.

Kapcsolódó témakörök


Másik licencelő számítógép kiválasztása

  1. Nyissa meg az Active Directory – helyek és szolgáltatások ablakot.
  2. A konzolfán kattintson a konfigurálni kívánt helyre.

    Helye:

    • Active Directory – helyek és szolgáltatások
    • Helyek
    • hely
  3. A jobb oldali ablaktáblában kattintson a jobb gombbal az Licencelő hely beállításai pontra, majd kattintson a Tulajdonságok parancsra.
  4. Másik licencelő számítógép kiválasztásához kattintson a Módosítás gombra.

Megjegyzések

  • Az Active Directory – helyek és szolgáltatások csak olyan számítógépről használható, amely rendelkezik hozzáféréssel egy Windows 2000 tartományhoz. Az Active Directory – helyek és szolgáltatások minden Windows 2000 tartományvezérlőn telepítve van. Ha az Active Directory – Helyek és szolgáltatások eszközt olyan számítógépről szeretné használni, amely nem tartományvezérlő (a Windows 2000 Professional operációs rendszert futtatja), telepítse a számítógépen a Windows 2000 felügyeleti eszközeit.
  • A legjobb teljesítmény érdekében a hely licencelő számítógépének ugyanazon a helyen kell lennie. Az Active Directory mindegyik helyhez automatikusan konfigurál licencelő számítógépet. A licencelő számítógépnek nem kell feltétlenül tartományvezérlőnek lennie.

Kapcsolódó témakörök


Vezérlés delegálása

  1. Nyissa meg az Active Directory – helyek és szolgáltatások ablakot.
  2. Kattintson a jobb gombbal arra a tárolóra, amelynek a vezérlését delegálni kívánja, majd a Vezérlés delegálása parancsra kattintva indítsa el a Vezérlés delegálása varázslót.
  3. Kövesse a Vezérlés delegálása varázsló utasításait.

Megjegyzések

  • Az Active Directory – helyek és szolgáltatások csak olyan számítógépről használható, amely rendelkezik hozzáféréssel egy Windows 2000 tartományhoz. Az Active Directory – helyek és szolgáltatások minden Windows 2000 tartományvezérlőn telepítve van. Ha az Active Directory – Helyek és szolgáltatások eszközt olyan számítógépről szeretné használni, amely nem tartományvezérlő (a Windows 2000 Professional operációs rendszert futtatja), telepítse a számítógépen a Windows 2000 felügyeleti eszközeit.
  • Az Active Directory – helyek és szolgáltatások segítségével delegálhatja az Alhálózatok, a Helyközi átvitelek, a Helyek és a Kiszolgáló tárolók vezérlését. Egy objektum vezérlésének delegálása révén meghatározhatja, hogy ki kapjon engedélyt az objektum és az objektum gyermekobjektumainak eléréséhez vagy módosításához.

Kapcsolódó témakörök


A replikáció beállítása

  • Helyhivatkozás létrehozása
  • Helyhivatkozás törlése
  • Helyhivatkozás-híd létrehozása
  • Helyhivatkozás-híd törlése
  • Helyhivatkozási replikáció rendelkezésre állásának konfigurálása
  • Helyhivatkozás költségének beállítása
  • Helyhivatkozási replikáció gyakoriságának beállítása
  • Ütemezések figyelmen kívül hagyása
  • Az összes helyhivatkozás összekötése
  • Hely hozzáadása helyhivatkozáshoz
  • Kapcsolatok manuális hozzáadása és konfigurálása
  • Replikáció kezdeményezése egy adott kapcsolaton keresztül


Helyhivatkozás létrehozása

  1. Nyissa meg az Active Directory – helyek és szolgáltatások ablakot.
  2. A konzolfán a jobb gombbal kattintson arra a helyközi átviteli protokollra, amelyet a helyhivatkozásnak alkalmaznia kell, majd kattintson az Új helyhivatkozás parancsra.

    3. Helye:

    • Active Directory – helyek és szolgáltatások
    • Helyek
    • Helyközi átvitelek
    • az a helyközi átviteli protokoll, amelyet a helyhivatkozásnak használnia kell
  3. A Név mezőbe írja be azt a nevet, amelyet a hivatkozásnak szeretne adni.
  4. Kattintson két vagy három összekapcsolni kívánt helyre, majd kattintson a Hozzáadás gombra.
  5. Állítsa be a helyhivatkozás költségét, az ütemezést és a replikáció gyakoriságát. További információért kattintson a Kapcsolódó témakörök hivatkozásra.

Figyelem!

  • Ha SMTP protokollt használó helyhivatkozást hoz létre, akkor vállalati hitelesítő szervezettel kell rendelkeznie (vállalati CA), az SMTP protokollnak pedig minden olyan tartományvezérlőn telepítve kell lennie, amely a helyhivatkozást használja.

Megjegyzések

  • Az Active Directory – helyek és szolgáltatások csak olyan számítógépről használható, amely rendelkezik hozzáféréssel egy Windows 2000 tartományhoz. Az Active Directory – helyek és szolgáltatások minden Windows 2000 tartományvezérlőn telepítve van. Ha az Active Directory – Helyek és szolgáltatások eszközt olyan számítógépről szeretné használni, amely nem tartományvezérlő (a Windows 2000 Professional operációs rendszert futtatja), telepítse a számítógépen a Windows 2000 felügyeleti eszközeit.
  • Két vagy több hely közötti helyhivatkozás létrehozása a replikációs topológia befolyásolásának egyik eszköze. Helyhivatkozás létrehozásával információt ad az Active Directory számára arról, hogy mely kapcsolatok elérhetők, melyeket részesítse elsőbbségben, és mekkora a használható sávszélesség. Az Active Directory ezen információk alapján választja ki a legjobb replikációs teljesítményt biztosító időpontokat és kapcsolatokat.

Kapcsolódó témakörök


Helyhivatkozás törlése

  1. Nyissa meg az Active Directory – helyek és szolgáltatások ablakot.
  2. A konzolfán kattintson arra a helyközi átviteli mappára, amely a törölni kívánt helyhivatkozást tartalmazza.

    3. Helye:

    • Active Directory – helyek és szolgáltatások
    • Helyek
    • Helyközi átvitelek
    • a törölni kívánt helyhivatkozást tartalmazó helyközi átviteli mappa
  3. A jobb oldali ablaktáblában kattintson a jobb gombbal a törölni kívánt helyhivatkozásra, majd kattintson a Törlés parancsra.

Megjegyzések

  • Az Active Directory – helyek és szolgáltatások csak olyan számítógépről használható, amely rendelkezik hozzáféréssel egy Windows 2000 tartományhoz. Az Active Directory – helyek és szolgáltatások minden Windows 2000 tartományvezérlőn telepítve van. Ha az Active Directory – Helyek és szolgáltatások eszközt olyan számítógépről szeretné használni, amely nem tartományvezérlő (a Windows 2000 Professional operációs rendszert futtatja), telepítse a számítógépen a Windows 2000 felügyeleti eszközeit.

Kapcsolódó témakörök


Helyhivatkozás-híd létrehozása

  1. Nyissa meg az Active Directory – helyek és szolgáltatások ablakot.
  2. A konzolfán a jobb gombbal kattintson arra a helyközi átviteli mappára, amelyhez új helyhivatkozás-hidat kíván létrehozni, majd kattintson az Új helyhivatkozás-híd parancsra.

    3. Helye:

    • Active Directory – helyek és szolgáltatások
    • Helyek
    • Helyközi átvitelek
    • az a helyközi átvitel, amelyhez új helyhivatkozás-hidat kíván létrehozni
  3. A Név mezőbe írja be a helyhivatkozás-híd nevét.
  4. Kattintson két vagy három összekapcsolni kívánt hivatkozásra, majd kattintson a Hozzáadás gombra.

Megjegyzések

  • Az Active Directory – helyek és szolgáltatások csak olyan számítógépről használható, amely rendelkezik hozzáféréssel egy Windows 2000 tartományhoz. Az Active Directory – helyek és szolgáltatások minden Windows 2000 tartományvezérlőn telepítve van. Ha az Active Directory – Helyek és szolgáltatások eszközt olyan számítógépről szeretné használni, amely nem tartományvezérlő (a Windows 2000 Professional operációs rendszert futtatja), telepítse a számítógépen a Windows 2000 felügyeleti eszközeit.
  • Ha a Minden helyhivatkozás összekötése beállítás engedélyezve van, akkor ez az eljárás felesleges és hatástalan.
  • Két vagy több hely közötti helyhivatkozás létrehozása a replikációs topológia befolyásolásának egyik eszköze. Helyhivatkozás létrehozásával információt ad az Active Directory számára arról, hogy mely kapcsolatok elérhetők, melyeket részesítse elsőbbségben, és mekkora a használható sávszélesség. Az Active Directory ezen információk alapján választja ki a legjobb replikációs teljesítményt biztosító időpontokat és kapcsolatokat.

Kapcsolódó témakörök


Helyhivatkozás-híd törlése

  1. Nyissa meg az Active Directory – helyek és szolgáltatások ablakot.
  2. A konzolfán kattintson a helyközi átviteleknek arra a mappájára, amely a törölni kívánt helyhivatkozás-hidat tartalmazza.

    3. Helye:

    • Active Directory – helyek és szolgáltatások
    • Helyek
    • Helyközi átvitelek
    • a törölni kívánt helyhivatkozás-hidat tartalmazó helyközi átviteli mappa
  3. A jobb oldali ablaktáblában kattintson a jobb gombbal a törölni kívánt helyhivatkozás-hídra, majd kattintson a Törlés parancsra.

Megjegyzések

  • Az Active Directory – helyek és szolgáltatások csak olyan számítógépről használható, amely rendelkezik hozzáféréssel egy Windows 2000 tartományhoz. Az Active Directory – helyek és szolgáltatások minden Windows 2000 tartományvezérlőn telepítve van. Ha az Active Directory – Helyek és szolgáltatások eszközt olyan számítógépről szeretné használni, amely nem tartományvezérlő (a Windows 2000 Professional operációs rendszert futtatja), telepítse a számítógépen a Windows 2000 felügyeleti eszközeit.

Kapcsolódó témakörök


Helyhivatkozási replikáció rendelkezésre állásának konfigurálása

  1. Nyissa meg az Active Directory – helyek és szolgáltatások ablakot.
  2. A konzolfán kattintson a helyek közötti átvitelek mappájára, amely azt a helyhivatkozást tartalmazza, amelynek az ütemezését be kívánja állítani,

    3. Helye:

    • Active Directory – helyek és szolgáltatások
    • Helyek
    • Helyek közti átvitelek
    • a helyek közötti átvitelek mappája, amely azt a helykapcsolódást tartalmazza, amelynek az ütemezését be kívánja állítani.
  3. A részletek ablaktáblában kattintson jobb gombbal a helyhivatkozásra, amelynek ütemezését be kívánja állítani, majd kattintson a Tulajdonságok parancsra.
  4. Kattintson az Ütemezés módosítása gombra.
  5. Válassza ki az időblokkot, amelyre a beállítás érvényes lesz, majd kattintson az ehhez az időblokkhoz kívánt replikációs gyarkoriságra: Nincs meghatározva, Óránként, Óránként kétszer, vagy Óránként négyszer.

Megjegyzések

  • Az Active Directory – helyek és szolgáltatások eszköz csak olyan számítógépről használható, amely hozzáfér egy Windows 2000 tartományhoz. Az Active Directory – helyek és szolgáltatások minden Windows 2000 tartományvezérlőn telepítve van. Az Active Directory – helyek és szolgáltatások eszköz olyan számítógépen történő használatához, amely nem tartományvezérlő, például Windows 2000 Professional operációs rendszert használ, telepítse a Windows 2000 felügyeleti eszközöket.
  • Mivel az SMTP aszinkron működésű, általában nem veszi figyelembe az ütemezést. Ezért ne konfiguráljon helyhivatkozási replikációt SMTP helyeken, kivéve ha a helyhivatkozások ütemezett kapcsolatot használnak, vagy ha az SMTP várólista nincs ütemezve, és az információcsere közvetlenül két kiszolgáló között történik, és nem köztes kiszolgálókon keresztül, mint például egy Ethernet gerinchálózat esetén.

Kapcsolódó témakörök


Helyhivatkozás költségének beállítása

  1. Nyissa meg az Active Directory – helyek és szolgáltatások ablakot.
  2. A konzolfán kattintson arra a helyközi átviteli mappára, amely a konfigurálni kívánt hivatkozástípust tartalmazza.

    3. Helye:

    • Active Directory – helyek és szolgáltatások
    • Helyek
    • Helyközi átvitelek
    • a helyközi átvitelek azon mappája, amely a konfigurálni kívánt hivatkozástípust tartalmazza
  3. A jobb oldali ablaktáblában kattintson a jobb gombbal arra a helyhivatkozásra, melynek költségét szeretné megadni, majd kattintson a Tulajdonságok parancsra.
  4. A Költség mezőbe írja be a replikáció költségét.

Megjegyzések

  • Az Active Directory – helyek és szolgáltatások csak olyan számítógépről használható, amely rendelkezik hozzáféréssel egy Windows 2000 tartományhoz. Az Active Directory – helyek és szolgáltatások minden Windows 2000 tartományvezérlőn telepítve van. Ha az Active Directory – helyek és szolgáltatások eszközt olyan számítógépen szeretné használni, amely nem tartományvezérlő (a Windows 2000 Professional operációs rendszert futtatja), telepítse a Windows 2000 felügyeleti eszközeit.
  • Mivel a költség a helyhivatkozás-hidat alkotó hivatkozások költségeinek összegéből adódik, ezek a költségek nem alkalmazhatók a helyhivatkozás-hidakhoz. A költségeket csak helyhivatkozásokra alkalmazhatja.

Kapcsolódó témakörök


Helyhivatkozási replikáció gyarkoriságának beállítása

Helyhivatkozási replikáció gyakoriságának beállítása

  1. Nyissa meg az Active Directory – helyek és szolgáltatások ablakot.
  2. A konzolfán kattintson a helyek közötti átvitelre, amely a konfigurálni kívánt helyhivatkozást tartalmazza.

    3. Helye:

    • Active Directory – helyek és szolgáltatások
    • Helyek
    • Helyek közti átvitelek
    • a helyhivatkozáshoz konfigurálandó helyek közötti átvitel
  3. A jobb oldali ablaktáblán kattintson jobb gombbal a helykapcsolódásra, amelynek a replikációs gyakoriságát meg kívánja adni, majd kattintson a Tulajdonságok parancsra.
  4. A Replikáció minden mezőbe, írja be a replikációk közötti időt percben.

Megjegyzések

  • Az Active Directory – helyek és szolgáltatások eszköz csak olyan számítógépről használható, amely hozzáfér egy Windows 2000 tartományhoz. Az Active Directory – helyek és szolgáltatások minden Windows 2000 tartományvezérlőn telepítve van. Az Active Directory – helyek és szolgáltatások eszköz olyan számítógépen történő használatához, amely nem tartományvezérlő, például Windows 2000 Professional operációs rendszert használ, telepítse a Windows 2000 felügyeleti eszközöket.
  • A Replikáció minden érték, a 15 legközelebbi többszörösére lesz kerekítve, a 15 és 10 800 (egy hét) közötti tartományban.

Kapcsolódó témakörök


Ütemezések figyelmen kívül hagyása

  1. Nyissa meg az Active Directory – helyek és szolgáltatások ablakot.
  2. A jobb gombbal kattintson a konzolfán arra a helyközi átviteli protokollra, amely a figyelmen kívül hagyni kívánt helyhivatkozás-ütemezéseket tartalmazza, majd kattintson a Tulajdonságok parancsra.

    3. Helye:

    • Active Directory – helyek és szolgáltatások
    • Helyek
    • Helyközi átvitelek
    • a figyelmen kívül hagyni kívánt helyhivatkozás-ütemezéseket tartalmazó helyközi átviteli protokoll
  3. Jelölje be az Ütemezések figyelmen kívül hagyása jelölőnégyzetet.

Megjegyzések

  • Az Active Directory – helyek és szolgáltatások csak olyan számítógépről használható, amely rendelkezik hozzáféréssel egy Windows 2000 tartományhoz. Az Active Directory – helyek és szolgáltatások minden Windows 2000 tartományvezérlőn telepítve van. Ha az Active Directory – Helyek és szolgáltatások eszközt olyan számítógépről szeretné használni, amely nem tartományvezérlő (a Windows 2000 Professional operációs rendszert futtatja), telepítse a számítógépen a Windows 2000 felügyeleti eszközeit.

Kapcsolódó témakörök


Az összes helyhivatkozás összekötése

  1. Nyissa meg az Active Directory – helyek és szolgáltatások ablakot.
  2. Kattintson duplán a Helyek mappára, majd kattintson duplán a Helyközi átvitelek mappára.
  3. Kattintson a jobb gombbal a helyközi átvitelek megfelelő mappájára (például az IP vagy az SMTP mappára), majd kattintson a Tulajdonságok parancsra.
  4. Jelölje be a Minden helyhivatkozás összekötése jelölőnégyzetet.

Megjegyzések

  • Az Active Directory – helyek és szolgáltatások csak olyan számítógépről használható, amely rendelkezik hozzáféréssel egy Windows 2000 tartományhoz. Az Active Directory – helyek és szolgáltatások minden Windows 2000 tartományvezérlőn telepítve van. Ha az Active Directory – helyek és szolgáltatások eszközt olyan számítógépen szeretné használni, amely nem tartományvezérlő (a Windows 2000 Professional operációs rendszert futtatja), telepítse a Windows 2000 felügyeleti eszközeit.
  • Ha az összes helyhivatkozás összekötésével tűzfalak különböző oldalain lévő helyek között hoz létre kapcsolatokat, akkor replikációs hiba keletkezik, ha a tűzfal csak bizonyos tartományvezérlők között engedélyezi csomagok áthaladását.

Kapcsolódó témakörök


Hely hozzáadása helyhivatkozáshoz

  1. Nyissa meg az Active Directory – helyek és szolgáltatások ablakot.
  2. A konzolfán kattintson arra a helyek közötti átviteli mappára, amely azt a helyhivatkozást tartalmazza, amelyhez a helyet hozzá kívánja adni.

    3. Helye:

    • Active Directory – helyek és szolgáltatások
    • Helyek
    • Helyközi átvitelek
    • az a helyközi átviteli mappa, amely azt a helyhivatkozást tartalmazza, amelyhez a helyet hozzá kívánja adni
  3. A jobb oldali ablaktáblában kattintson a jobb gombbal arra a helyhivatkozásra, amelyhez a helyet hozzá kívánja adni, majd kattintson a Tulajdonságok parancsra.
  4. Kattintson arra helyre, amelyet hozzá szeretne adni az adott helyhivatkozáshoz, majd kattintson a Hozzáadás gombra.

Megjegyzések

  • Az Active Directory – helyek és szolgáltatások csak olyan számítógépről használható, amely rendelkezik hozzáféréssel egy Windows 2000 tartományhoz. Az Active Directory – helyek és szolgáltatások minden Windows 2000 tartományvezérlőn telepítve van. Ha az Active Directory – helyek és szolgáltatások eszközt olyan számítógépen szeretné használni, amely nem tartományvezérlő (a Windows 2000 Professional operációs rendszert futtatja), telepítse a Windows 2000 felügyeleti eszközeit.

Kapcsolódó témakörök


Kapcsolatok manuális hozzáadása és konfigurálása

  1. Nyissa meg az Active Directory – helyek és szolgáltatások ablakot.
  2. A konzolfán kattintson arra a tartományvezérlőre, amelyhez a kapcsolatot kézzel kívánja hozzáadni, illetve konfigurálni.

    3. Helye:

    • Active Directory – helyek és szolgáltatások
    • Helyek
    • az a hely, amelyhez manuálisan kíván kapcsolatot hozzáadni, illetve konfigurálni
    • Kiszolgálók
    • az a tartományvezérlő, amelyhez manuálisan kíván kapcsolatot hozzáadni, illetve konfigurálni
  3. Kattintson a jobb gombbal az NTDS beállítások pontra, majd kattintson az Új Active Directory kapcsolat parancsra.
  4. A Tartományvezérlő keresése párbeszédpanelen kattintson a kapcsolatobjektumba beágyazni kívánt tartományvezérlőre.
  5. Az Új objektumkapcsolat párbeszédpanelen adja meg az új kapcsolatobjektum nevét.

Megjegyzések

  • Az Active Directory – helyek és szolgáltatások csak olyan számítógépről használható, amely rendelkezik hozzáféréssel egy Windows 2000 tartományhoz. Az Active Directory – helyek és szolgáltatások minden Windows 2000 tartományvezérlőn telepítve van. Ha az Active Directory – Helyek és szolgáltatások eszközt olyan számítógépről szeretné használni, amely nem tartományvezérlő (a Windows 2000 Professional operációs rendszert futtatja), telepítse a számítógépen a Windows 2000 felügyeleti eszközeit.
  • Az Active Directory általában automatikusan hozza létre és törli a kapcsolatokat. Csak akkor hozzon létre kapcsolatot manuálisan, ha biztos benne, hogy ez a kapcsolat szükséges, és ha szeretné mindaddig fenntartani, amíg manuálisan meg nem szünteti.

Kapcsolódó témakörök


Replikáció kezdeményezése egy adott kapcsolaton keresztül

  1. Nyissa meg az Active Directory – helyek és szolgáltatások ablakot.
  2. A konzolfán kattintson duplán annak a helynek a tartományvezérlőjére, amely a címtári adatok replikálásához használni kívánt kapcsolatot tartalmazza.

    3. Helye:

    • Active Directory – helyek és szolgáltatások
    • Helyek
    • az a hely, amely a címtári adatok replikálásához használni kívánt kapcsolatot tartalmazza
    • Kiszolgálók
    • a címtári adatok replikálásához használni kívánt kapcsolatot tartalmazó hely tartományvezérlője
  3. Kattintson a konzolfa NTDS beállítások elemére.
  4. A jobb oldali ablaktáblában kattintson a jobb gombbal a címtári információ replikálásához használni kívánt kapcsolatra, majd kattintson a Replikáció most parancsra.

Megjegyzések

  • Az Active Directory – helyek és szolgáltatások csak olyan számítógépről használható, amely rendelkezik hozzáféréssel egy Windows 2000 tartományhoz. Az Active Directory – helyek és szolgáltatások minden Windows 2000 tartományvezérlőn telepítve van. Ha az Active Directory – Helyek és szolgáltatások eszközt olyan számítógépről szeretné használni, amely nem tartományvezérlő (a Windows 2000 Professional operációs rendszert futtatja), telepítse a számítógépen a Windows 2000 felügyeleti eszközeit.

Kapcsolódó témakörök


Sémakezelés

  • Az Active Directory sémája beépülő modul telepítése
  • Tag hozzáadása a Sémagazdák csoporthoz
  • Tag eltávolítása a Sémagazdák csoportból
  • Sémaengedélyek módosítása
  • Osztálydefiníció megtekintése
  • Attribútumdefiníció megtekintése
  • Attribútum hozzáadása a globális katalógushoz
  • Attribútum indexelése az Active Directoryban
  • Sémabővítés engedélyezése a számítógépnek
  • Osztály vagy attribútum inaktiválása
  • A séma újra betöltése


Az Active Directory sémája beépülő modul telepítése

  1. Jelentkezzen be rendszergazdaként.
  2. Helyezze be a Windows 2000 Server CD-lemezt a meghajtóba, majd kattintson a Tallózás ezen a CD-n parancsra.
  3. Kattintson duplán először az I386 mappára, majd az Adminpak ikonra, és kövesse a Windows 2000 felügyeleti eszközök telepítő varázsló utasításait.
  4. Kattintson a Start menü Futtatás parancsára, és a Megnyitás mezőbe írja be az mmc /a parancsot, majd kattintson az OK gombra.
  5. Kattintson a Konzol menü Beépülő modul hozzáadása/eltávolítása parancsára, majd a Hozzáadás gombra.
  6. A Beépülő modul oszlopban kattintson duplán az Active Directory sémája listaelemre, majd egyszer a Bezárás gombra.
  7. Ha nincs több hozzáadandó beépülő modul, kattintson az OK gombra.
  8. A konzol mentéséhez kattintson a Konzol menü Mentés parancsára.

Figyelem!

  • Az Active Directory sémájának módosítása speciális ismereteket igénylő művelet – elvégzését gyakorlott programozók vagy rendszergazdák végezhetik. Az Active Directory sémája módosításáról a Microsoft magyar és angol nyelvű webhelyén található Active Directory Programmer's Guide útmutatóban talál részletes felvilágosítást (http://msdn.microsoft.com/developer/windows2000/adsi/actdirguide.asp).

Kapcsolódó témakörök


Tag hozzáadása a Sémagazdák csoporthoz

  1. Nyissa meg az Active Directory – felhasználók és számítógépek ablakot.
  2. Kattintson a konzolfán duplán a megfelelő tartománycsomópontra, majd a Felhasználók mappára.

    A keresett felhasználót tartalmazó mappára is kattinthat.

  3. A jobb oldali ablaktáblában kattintson jobb gombbal a hozzáadni kívánt felhasználói fiókra, majd ballal a Tulajdonságok parancsra.
  4. Kattintson A következő csoportok tagja fülre, majd a Hozzáadás gombra.
  5. A Csoportok kijelölése párbeszédpanelen kattintson a Sémagazdák elemre, majd a Hozzáadás gombra.

Megjegyzések

  • Felhasználókat és számítógépeket úgy is hozzáadhat egy adott csoporthoz, hogy kijelöli a hozzáadandó felhasználókat vagy számítógépeket, és az eszköztáron található Kijelölt objektumok hozzáadása gombra, majd arra a csoportra kattint, amelyhez hozzá kívánja adni őket.

Kapcsolódó témakörök


Tag eltávolítása a Sémagazdák csoportból

  1. Nyissa meg az Active Directory - felhasználók és számítógépek ablakot.
  2. Kattintson a konzolfán duplán a megfelelő tartománycsomópontra, majd a Felhasználók mappára.
  3. A jobb oldali ablaktáblában kattintson jobb gombbal a Sémagazdák csoportra, majd ballal a Tulajdonságok parancsra.
  4. A Tagok lapon kattintson a törölni kívánt tagokra, majd az Eltávolítás gombra.

Megjegyzés

Kapcsolódó témakörök


Sémaengedélyek módosítása

  1. Nyissa meg az Active Directory sémája alkalmazást.
  2. Kattintson jobb gombbal a konzolfa Active Directory sémája elemére, majd ballal az Engedélyek parancsra.
  3. A Biztonság lapon jelölje ki azt a csoportot, amelynek engedélyeit módosítani kívánja.
  4. Az Engedélyek listában jelölje be a módosítani kívánt engedélyek mellett található Engedélyezés vagy Megtagadás jelölőnégyzeteket.

Megjegyzés

  • Ha az Active Directory sémája beépülő modul nem érhető el a gépen, telepítse a Windows 2000 felügyeleti eszközeit a Windows 2000 Server CD-lemezről, és adja hozzá a sémát egy MMC konzolhoz. További információért kattintson a Kapcsolódó témakörök hivatkozásra.

Kapcsolódó témakörök


Osztálydefiníció megtekintése

  1. Nyissa meg az Active Directory sémája alkalmazást.
  2. Kattintson duplán a konzolfa Osztályok elemére.
  3. A konzolfán kattintson jobb gombbal arra az osztályra, amelynek definícióját meg kívánja tekinteni, majd bal gombbal a Tulajdonságok parancsra.

Megjegyzés

  • Ha az Active Directory sémája beépülő modul nem érhető el a gépen, telepítse a Windows 2000 Felügyeleti eszközeit a Windows 2000 Server CD-lemezről, és adja hozzá a sémát egy MMC konzolhoz. További információt a Kapcsolódó témakörök hivatkozásra kattintva talál.

Kapcsolódó témakörök


Attribútumdefiníció megtekintése

  1. Nyissa meg az Active Directory sémája alkalmazást.
  2. Kattintson a konzolfa Attribútumok elemére.
  3. A jobb oldali ablaktáblában kattintson jobb gombbal arra az attribútumra, amelynek definícióját meg kívánja tekinteni, majd kattintson a Tulajdonságok parancsra.

Megjegyzés

  • Ha az Active Directory sémája beépülő modul nem érhető el a gépen, telepítse a Windows 2000 Felügyeleti eszközeit a Windows 2000 Server CD-lemezről, és adja hozzá a sémát egy MMC konzolhoz. További tudnivalókért kattintson a Kapcsolódó témakörök hivatkozásaira.

Kapcsolódó témakörök


Attribútum hozzáadása a globális katalógushoz

  1. Nyissa meg az Active Directory sémája alkalmazást.
  2. Kattintson a konzolfa Attribútumok elemére.
  3. A jobb oldali ablaktáblában kattintson jobb gombbal a globális katalógusba replikálni kívánt attribútumra, majd ballal a Tulajdonságok parancsra.
  4. Jelölje be az Attribútum replikációja a globális katalógusban jelölőnégyzetet.

Megjegyzések

  • Ha az Active Directory sémája beépülő modul nem érhető el a gépen, telepítse a Windows 2000 Felügyeleti eszközeit a Windows 2000 Server CD-lemezről, és adja hozzá a sémát egy MMC konzolhoz. További információért kattintson a Kapcsolódó témakörök hivatkozásra.
  • Új attribútum globális katalógushoz adásakor a rendszer az erdő összes tartományának minden tartományadatát szinkronizálja. Nagy, többtartományos erdőben ez a szinkronizálás jelentős hálózati forgalommal járhat.

Kapcsolódó témakörök


Attribútum indexelése az Active Directoryban

  1. Nyissa meg az Active Directory sémája alkalmazást.
  2. Kattintson a konzolfa Attribútumok elemére.
  3. A jobb oldali ablaktáblában kattintson jobb gombbal a globális katalógusban indexelni kívánt attribútumra, majd ballal a Tulajdonságok parancsra.
  4. Jelölje be Az attribútum indexelése az Active Directoryban jelölőnégyzetet.

Megjegyzés

  • Ha az Active Directory sémája beépülő modul nem érhető el a gépen, telepítse a Windows 2000 Felügyeleti eszközeit a Windows 2000 Server CD-lemezről, és adja hozzá a sémát egy MMC konzolhoz. További információt a Kapcsolódó témakörök hivatkozásra kattintva talál.

Kapcsolódó témakörök


Sémabővítés engedélyezése a számítógépnek

  1. Nyissa meg az Active Directory sémája alkalmazást.
  2. Kattintson jobb gombbal a konzolfa Active Directory sémája elemére, majd ballal a Műveleti főkiszolgáló parancsra.
  3. Jelölje be A séma módosítható ezen a tartományvezérlőn jelölőnégyzetet.

Megjegyzés

  • Ha az Active Directory sémája beépülő modul nem érhető el a gépen, telepítse a Windows 2000 Felügyeleti eszközeit a Windows 2000 Server CD-lemezről, és adja hozzá a sémát egy MMC konzolhoz. További tudnivalókért kattintson a Kapcsolódó témakörök hivatkozásaira.

Kapcsolódó témakörök


Osztály vagy attribútum inaktiválása

  1. Nyissa meg az Active Directory sémája alkalmazást.
  2. Attól függően, hogy osztályt vagy attribútumot akar-e inaktiválni, a következők egyikét kell tennie:
    • Osztály inaktiválásához kattintson duplán a konzolfa Osztályok elemére, majd kattintson jobb gombbal az inaktiválni kívánt osztályra, végül bal gombbal a Tulajdonságok parancsra.
    • Attribútum inaktiválásához kattintson duplán a konzolfa Attribútumok elemére, majd jobbal az inaktiválni kívánt attribútumra, végül ballal a Tulajdonságok parancsra.
  3. Az Általános lapon jelölje be az Osztály inaktiválása vagy az Attribútum inaktiválása jelölőnégyzetet.

Megjegyzés

  • Ha az Active Directory sémája beépülő modul nem érhető el a gépen, telepítse a Windows 2000 felügyeleti eszközöket a Windows 2000 Server CD-lemezről, és adja hozzá a sémát egy MMC konzolhoz. További információt a Kapcsolódó témakörök hivatkozásra kattintva talál.

Kapcsolódó témakörök


A séma újra betöltése

  1. Nyissa meg az Active Directory sémája alkalmazást.
  2. Kattintson jobb gombbal a konzolfa Active Directory sémája elemére, majd ballal a Séma újra betöltése parancsra.

Megjegyzés

  • Ha az Active Directory sémája beépülő modul nem érhető el a gépen, telepítse a Windows 2000 Felügyeleti eszközeit a Windows 2000 Server CD-lemezről, és adja hozzá a sémát egy MMC konzolhoz. További tudnivalókért kattintson a Kapcsolódó témakörök hivatkozásaira.

Kapcsolódó témakörök


Fogalmak

A rész tartalma:

  • Active Directory – áttekintés
  • Az Active Directory ismertetése
  • Az Active Directory megtervezése
  • Az Active Directory használata
  • Forrásanyagok


Active Directory – áttekintés

Az Active Directory a Windows 2000 Server operációs rendszer címtárszolgáltatása, amely a hálózati objektumokra vonatkozó adatokat tárol, és egyszerűen hozzáférhetővé és felhasználhatóvá teszi azokat a rendszergazdák és felhasználók számára. Az Active Directory strukturált adattárolása segítségével a címtáradatokat logikusan, hierarchikusan rendszerezheti.

Az Active Directory integrált rendszerbiztonsági szolgáltatása tartalmazza a bejelentkezési azonosítást, illetve az objektumokhoz való hozzáférés szabályozását. A rendszergazdák egyetlen bejelentkezéssel kezelhetik a címtáradatokat a teljes hálózaton, a hitelesített hálózati felhasználók pedig a hálózaton bárhol hozzáférhetnek az erőforrásokhoz. A felügyeleti rendszer alapját képező házirend megkönnyíti a legbonyolultabb hálózat felügyeletét is.

  • Az Active Directory használatának előnyei
  • Bevezetés az Active Directory használatába


Az Active Directory használatának előnyei

Az Active Directory a következő szolgáltatásokat nyújtja:

  • Adatbiztonság
  • Házirendeken alapuló felügyelet
  • Bővíthetőség
  • Méretezhetőség
  • Adatok replikációja
  • Integráció a Tartománynévrendszerrel (DNS)
  • Együttműködés más címtárszolgáltatásokkal
  • Rugalmas lekérdezés


Adatbiztonság

A rendszerbiztonság az Active Directory szerves része. A hozzáférés-ellenőrzés nem csupán a címtárobjektumokhoz határozható meg, hanem minden objektum minden tulajdonságához külön-külön. További információt a Biztonság című témakörben talál.

Az Active Directory biztosítja a biztonsági házirendek tárolását és alkalmazásuk hatókörét. A biztonsági házirend tartalmazhat adott fiókra vonatkozó információkat is, például tartományszintű jelszó-korlátozásokat vagy bizonyos tartományi erőforrásokra vonatkozó engedélyeket. A biztonsági házirendek a csoportházirend-beállításokon keresztül valósíthatók meg. További információt a Csoportházirend című témakörben talál.


Házirendeken alapuló felügyelet

Az Active Directory szolgáltatás adattárolóból és egy logikus, hierarchikusan felépített adatszerkezetből áll. Logikai szerkezetként környezetek hierarchiáját nyújtja házirendek alkalmazásához, címtárként pedig az adott környezetekhez rendelt házirendeket (ún. csoportházirend-objektumokat) tárolja. A csoportházirend-objektumok olyan számítógépes szabályok gyűjteményei, amelyek (az objektumok által meghatározott környezettől függően) meghatározzák

  • a címtárobjektumokhoz és tartomány-erőforrásokhoz való hozzáférést
  • a felhasználók számára hozzáférhető tartományi erőforrásokat (például alkalmazásokat), valamint
  • azt, hogy ezek a tartományi erőforrások miként vannak konfigurálva.

Egy adott csoportházirend-objektum meghatározhatja például, hogy mely alkalmazásokat használhat egy felhasználó a számítógépén akkor, ha bejelentkezik, azt, hogy hány felhasználó csatlakozhat a Microsoft SQL Server rendszerhez akkor, amikor az elindul egy adott kiszolgálón, illetve azt, hogy milyen dokumentumokhoz és szolgáltatásokhoz férhetnek hozzá a felhasználók, ha más osztályra vagy csoportba helyezik át őket. A csoportházirend-objektumok lehetővé teszik, hogy sok felhasználó vagy számítógép helyett kis számú házirenddel dolgozzon. Az Active Directory biztosítja, hogy a megfelelő környezetben alkalmazza a csoportházirend-beállításokat, akár a teljes szervezeten, akár bizonyos szervezeti egységeken belül.

A házirendekkel kapcsolatban további információt a Csoportházirend témakörben talál. Az Active Directory azon környezeteiről, amelyekre csoportházirend-beállítások adhatók meg, A Csoportházirend ismertetése című témakör nyújt bővebb felvilágosítást.


Bővíthetőség

Az Active Directory bővíthető, ami azt jelenti, hogy a rendszergazdák új objektumosztályokat adhatnak hozzá a sémához, illetve a már létező objektumosztályokhoz új attribútumokat rendelhetnek.

A felhasználó-objektumokhoz hozzáadhat például egy vásárlást jelző attribútumot, majd minden felhasználó vásárlási attribútumának korlátját a felhasználói fiókkal együtt tárolhatja.

Az objektumok és attribútumok hozzáadása többféleképpen is lehetséges: az Active Directory sémája segítségével, az Active Directory Service Interfaces (ADSI) parancsfájljai útján, illetve az LDIFDE vagy a CSVDE parancssori segédprogramok használatával. További információt Az Active Directory sémája –áttekintés, a Címtáradatok importálása és exportálása, valamint a Fejlesztői felületek című témakörökben talál.


Méretezhetőség

Az Active Directory egy vagy több tartományt tartalmaz: mindegyikben egy vagy több tartományvezérlő található. Ez lehetővé teszi a címtár bármilyen hálózati igényhez való méretezését. Több tartományt tartományfába, több tartományfát pedig erdőbe rendezhet.

A címtár a sémát és a konfigurációs adatokat a címtár összes tartományvezérlőjéhez eljuttatja. Ezt az információt a tartomány első tartományvezérlője tárolja, majd replikálja a tartomány összes többi tartományvezérlőjére. Ha a címtár egyetlen tartományként van konfigurálva, akkor a további tartományvezérlők hozzáadása átméretezi a címtárat anélkül, hogy a további tartományok által igényelt felügyeleti többlettevékenységre szükség lenne.

További tartományok hozzáadásával a címtárat feloszthatja különböző házirendi környezetekre, és nagy mennyiségű erőforrások és objektumok tárolására méretezheti át. További információt A tartományok ismertetése című témakörben talál.


Adatok replikációja

A replikáció adathozzáférést, hibatűrést, terheléselosztást és nagyobb sebességet biztosít a címtárnak. Az Active Directory több főkiszolgálós replikációt használ, így az összes tartományvezérlőn frissítheti a címtárat, nemcsak az egyetlen elsődleges tartományvezérlőn. A több főkiszolgálós replikációs folyamat nagyobb hibatűrést eredményez, mert egy tartományvezérlő leállása után is folytatódik a replikáció.

Bár a felhasználók a több főkiszolgálós replikáció miatt nem érzékelik, tulajdonképpen a címtár egyetlen példányát frissítik. Ha valamely tartományvezérlőn címtáradat jön létre vagy változik meg, az új vagy megváltozott adatot a rendszer elküldi a tartomány összes tartományvezérlőjéhez, így címtáradataik mindig frissítettek lesznek.

A tartományvezérlőknek mindig friss címtáradatokra van szükségük, de a hatékonyság érdekében a frissítések azokra az időpontokra korlátozódnak, amikor új vagy megváltozott címtáradat van a rendszerben. A címtáradatok tartományvezérlők közötti megkülönböztetés nélküli küldése és fogadása bármely hálózatot gyorsan túlterheli. Az Active Directory kialakításának és működésének köszönhetően csak a megváltozott címtáradatokat replikálja.

A több főkiszolgálós replikáció alkalmazásakor bármikor előfordulhat, hogy pontosan ugyanolyan címtári változás történjen egyszerre több tartományvezérlőn. Az Active Directory működése azt is lehetővé teszi, hogy nyomon kövesse és kezelje az ellentmondásos címtárváltozásokat, és majdnem minden ellentmondást automatikusan feloldjon.

Egy adott tartományban több tartományvezérlő alkalmazásával jobb hibatűrés és terheléselosztás érhető el. Ha a tartomány egyik tartományvezérlője lassú, leáll vagy meghibásodik, másik tartományvezérlők biztosíthatják a megfelelő címtári hozzáférést, mivel ugyanazokkal a címtáradatokkal rendelkeznek.

A tartományvezérlőkről a Tartományvezérlők című témakörben talál további információt. A replikációról A replikáció működése című témakör nyújt bővebb felvilágosítást.


Integráció a Tartománynévrendszerrel (DNS)

Az Active Directory a Tartománynévrendszert (DNS) használja. A DNS szabványos Internetes szolgáltatás, amely a könnyen olvasható állomásneveket (például sajátgép.microsoft.com) numerikus IP-címmé fordítja le, valamint lehetővé teszi az azonosítást és a TCP/IP-hálózatokon futó folyamatokhoz történő csatlakozást is.

A DNS tartománynevei a DNS hierarchikus elnevezési szerkezetén, egy fordított fastruktúrán alapulnak, amelynek kiindulópontja egyetlen gyökértartomány: ez alatt szülőtartományok és gyermektartományok (ágak és levelek) lehetnek. A gyermek.szülő.microsoft.com nevű tartomány például egy "gyermek" nevű tartományt azonosít, amely a "szülő" nevű tartomány gyermektartománya, ez utóbbi viszont a microsoft.com gyökértartomány gyermektartománya.

Egy adott DNS-tartomány minden számítógépét egyértelműen azonosítja DNS-beli teljesen minősített tartományneve. A gyermek.szülő.microsoft.com tartományban lévő számítógép teljesen minősített tartományneve számítógép_neve.gyermek.szülő.microsoft.com lenne. A DNS szolgáltatásról A DNS ismertetése című témakör nyújt további felvilágosítást.

Az Active Directory és a DNS a következő módon működik együtt:

  1. Az Active Directory és a DNS egyforma hierarchikus szerkezettel rendelkezik.

    2. Habár különállóak, és különböző célokra eltérő módon hozták őket létre, egy adott szervezet DNS- és Active Directory névterei azonos szerkezettel rendelkeznek. A microsoft.com tartomány egyben DNS- és Active Directory tartomány is.

  2. A DNS-zónák az Active Directoryban tárolhatók.

    3. Ha a Windows 2000 operációs rendszer DNS szolgáltatását használja, az elsődleges zónafájlokat más Active Directory tartományvezérlők felé történő replikáció céljából az Active Directoryban tárolhatja. További információt Az Active Directory integrálása című témakörben talál.

  3. Az Active Directory ügyfelei a tartományvezérlők kereséséhez a DNS-t használják.

    4. Egy adott tartomány tartományvezérlőjének megkereséséhez az Active Directory ügyfelek DNS-kiszolgálójukról kérdezik le a szükséges erőforrás-rekordokat. Bővebb tájékoztatást az Active Directory ügyfelek című témakör nyújt.

Az Active Directory és a DNS integrálásáról A DNS-integráció ismertetése című témakörben olvashat részletesen.

Ha nem telepített még DNS szolgáltatást, olvassa el A tervezés alapvető szempontjai című témakörben foglaltakat.


Együttműködés más címtárszolgáltatásokkal

Az Active Directory szabványos címtárhozzáférési protokollokon alapul, mint például a Lightweight Directory Access Protocol (LDAP) 3-as verziója vagy a Name Service Provider Interface (NSPI), tehát képes más címtárszolgáltatókkal együttműködni, feltéve, hogy azok ugyanezeket a protokollokat használják.

Az LDAP az Active Directoryból az adatok lekérdezésére és beolvasására használt címtár-hozzáférési protokoll. Mivel az LDAP széles körben elterjedt szabványos címtárszolgáltatási protokoll, segítségével olyan programok fejleszthetők, amelyekkel címtáradatok oszthatók meg az Active Directory és az LDAP protokollt támogató más címtárszolgáltatások között.

Az Active Directory támogatja a Microsoft Exchange 4.0 és 5.x ügyfelek által használt NSPI protokollt, és így kompatibilis az Exchange címtárral is.


Rugalmas lekérdezés

A felhasználók és a rendszergazdák a Start menü Hálózati helyek pontja alatt található Keresés parancsot vagy az Active Directory – felhasználók és számítógépek eszközt használhatják a hálózathoz kapcsolódó objektumok tulajdonságaik alapján történő gyors kereséséhez. Például, megkereshet egy felhasználót az utóneve, a vezetékneve, az e-mail címe, a szobaszáma, vagy a felhasználói fiókjának más tulajdonságai alapján. Az adatkeresés optimalizálását a globális katalógus biztosítja. További információt a Globális katalógus című témakörben talál.

Bizonyos adatok keresésével kapcsolatban további információt a Címtáradatok keresése című témakör tartalmaz.


Bevezetés az Active Directory használatába

A címtár a hálózati objektumok adatainak tárolására szolgáló hierarchikus struktúra. A címtárszolgáltatások (mint például az Active Directory) biztosítják a címtáradatok tárolását, és hozzáférhetővé teszik azokat a hálózat felhasználóinak és rendszergazdáinak. Az Active Directory tárolja például a felhasználói fiókok adatait (neveket, jelszavakat, telefonszámokat stb.), és lehetővé teszi ugyanazon hálózat hitelesített felhasználóinak, hogy hozzáférjenek ezekhez az információkhoz.

Az Active Directory használata előtt tanulmányozza át az alábbi témaköröket:

  • Címtárszolgáltatás
  • Tartományok – áttekintés
  • Bevezetés a tartományfák és erdők használatába
  • Tartománymeghatalmazások
  • Szervezeti egységek
  • Active Directory – helyek és szolgáltatások – áttekintés
  • Csoportok
  • Az Active Directory sémája – áttekintés
  • Kiszolgálói szerepkörök


Címtárszolgáltatás

Az Active Directory címtárszolgáltatás a következő funkciókkal rendelkezik:

  • Adattároló, más kifejezéssel címtár, amely az Active Directory objektumainak adatait tárolja. Ezek az objektumok rendszerint megosztott erőforrások, azaz kiszolgálók, fájlok, nyomtatók, valamint a hálózat felhasználói és számítógépfiókjai. Az Active Directory adattároló funkciójáról a Címtár adattároló című témakörben talál további információt.
  • Szabályok készlete, más szóval séma, amely meghatározza a címtárban lévő objektumok és attribútumok osztályait, az objektumokra vonatkozó megkötéseket és korlátokat, valamint nevük formátumát. A sémával kapcsolatos alapvető tudnivalókat Az Active Directory sémája – áttekintés című témakörben találja.
  • Globális katalógus a címtár összes objektumának adataival. Segítségével a felhasználók és rendszergazdák megkereshetik a címtáradatokat függetlenül attól, hogy ténylegesen a címtár melyik tartománya tartalmazza azokat. A globális katalógusról a Globális katalógus című témakörben olvashat részletesen.
  • Lekérdezési és indexelési rendszer, amellyel a hálózati felhasználók és alkalmazások objektumokat és azok tulajdonságait tehetik közzé, illetve kereshetik meg. A címtárlekérdezésekről a Címtáradatok keresése című témakörben tájékozódhat.
  • Replikációs szolgáltatás, amely a címtáradatokat terjeszti a hálózaton. A tartomány összes tartományvezérlője részt vesz a replikációban, és tartalmazza a tartományára vonatkozó címtáradatok összességét. A címtáradatok bármilyen módosítását a rendszer a tartomány összes tartományvezérlőjére replikálja. Az Active Directoryval kapcsolatos replikációról A replikáció célja és módszerei című témakör nyújt bővebb tájékoztatást.
  • A biztonsági alrendszerrel való integráció a biztonságos hálózati bejelentkezési folyamat biztosításához, valamint a címtáradatok lekérdezése és módosítása hozzáférés-ellenőrzéséhez. Az Active Directory biztonságáról a Biztonsági modell című témakörben talál további felvilágosítást.
  • Az Active Directory lehetőségeinek hálózaton keresztüli teljes kiaknázásához az Active Directoryhoz hozzáférő számítógépnek a megfelelő ügyfél szoftvert kell használnia. Ha a számítógépen nem fut Active Directory ügyfélszoftver, a címtár Windows NT címtárként jelenik meg. Az ügyfélszoftverekről az Active Directory ügyfelek című témakör nyújt bővebb felvilágosítást.


Tartományok – áttekintés

A tartományok biztonsági határt definiálnak. A címtár egy vagy több tartományt tartalmaz, mindegyik más tartományok felé mutató saját biztonsági házirenddel és meghatalmazotti kapcsolatokkal rendelkezik. A tartományok használata több szempontból is előnyös:

  • A biztonsági házirendek és a beállítások (például felügyeleti engedélyek és hozzáférés-ellenőrzési listák) nem nyúlnak át egyik tartományból a másikba.
  • A felügyeleti hatáskörök tartományok vagy szervezeti egységek részére történő delegálása kiküszöböli, hogy a szükségesnél több rendszergazdának legyen teljes felügyeleti hatásköre.
  • A tartományok segítségével a hálózat nagyobb mértékben tükrözheti a vállalati szervezet felépítését.
  • A tartományok csak a saját magukon belüli objektumokról tárolnak adatokat. A címtár ilyetén felosztásával az Active Directory szolgáltatást nagyon sok objektum kezeléséhez igazíthatja.

A tartományok a replikáció egységeit képezik. Egy adott tartomány minden tartományvezérlője fogad módosításokat, és azokat a tartomány többi tartományvezérlőjére replikálja.

Egyetlen tartomány több földrajzi területet, más néven helyet is lefedhet. Egyetlen tartomány alkalmazásával jelentősen egyszerűsítheti a felügyeletet.

A tartományokról A tartományok ismertetése, a Tartomány- és fióknév-kiosztás, valamint a Tartományszerkezet megtervezése című témakörökben talál további információt.


Bevezetés a tartományfák és erdők használatába

Több tartomány erdőt épít fel. A tartományokat ezenkívül hierarchikus szerkezetbe is foglalhatja, ezeket tartományfáknak nevezik.

Tartományfák

Egy adott tartományfa első tartományát gyökértartománynak hívják. Ugyanezen tartományfa többi tartományai a gyermektartományok. A tartományfán közvetlenül valamely tartomány felett található másik tartományt a gyermektartomány szülőtartományának hívják.

Szülő- és gyermektartomány-kapcsolatok

A közös gyökértartománnyal rendelkező tartományok összefüggő névteret alkotnak. Ez azt jelenti, hogy egy gyermektartomány tartományneve magából a gyermektartomány nevéből, valamint a szülőtartomány hozzáadott nevéből áll. Az ábrán a gyermek.microsoft.com nevű gyermektartomány a microsoft.com tartomány gyermektartománya, és egyben az unoka.gyermek.microsoft.com tartomány szülőtartománya. A microsoft.com tartomány a gyermek.microsoft.com tartomány szülőtartománya, és egyben a tartományfa gyökértartománya is.

Az adott tartományfa Windows 2000 tartományai kétirányú, tranzitív meghatalmazotti kapcsolatokkal kapcsolódnak egymáshoz. Mivel a kapcsolatok kétirányúak és tranzitívak, egy tartományfán vagy erdőben újonnan létrehozott tartomány azonnal meghatalmazotti kapcsolatokkal rendelkezik a tartományfa vagy erdő összes többi tartományához. Az ilyen meghatalmazotti kapcsolatok lehetővé teszik, hogy a rendszer a felhasználót egyetlen bejelentkezési eljárással a tartományfa vagy erdő összes tartományában hitelesítse. Ez nem jelenti azonban azt, hogy a hitelesített felhasználónak automatikusan bármely tartományban engedélyei is lennének. Mivel a tartományok biztonsági határokként is működnek, az engedélyek hozzárendelése tartományonként történik.

Erdők

Egy erdő több tartományfából áll. Az erdő tartományfái nem alkotnak összefüggő névteret. A microsoft.com és a microsoftazsia.com tartomány egyaránt rendelkezhet egy-egy "nevek" nevű gyermektartománnyal – ebben az esetben e tartományok nevei nevek.microsoft.com, illetve nevek.microsoftazsia.com lesznek, amelyek nem alkotnak összefüggő névteret.

Három tartományfát tartalmazó erdő

Gyökértartománya azonban az erdőnek is van: az erdő gyökértartománya az erdőben létrehozott első tartomány. Az összes tartományfa gyökértartománya tranzitív meghatalmazással kapcsolódik az erdő gyökértartományához. Az ábrán a microsoft.com az erdő gyökértartománya. A másik két tartományfa gyökértartományai (a microsofteuropa.com, illetve a microsoftazsia.com) tranzitív meghatalmazással kapcsolódnak a microsoft.com tartományhoz. Ez azért fontos, hogy meghatalmazotti kapcsolatot lehessen létrehozni az erdő összes tartományfája között. További információt a Tartománymeghatalmazások című témakörben talál.

Az erdő összes tartományfájának minden Windows 2000 tartománya rendelkezik a következő jellemzőkkel:

  • tranzitív meghatalmazotti kapcsolatok léteznek a tartományok között
  • tranzitív meghatalmazotti kapcsolatok vannak a tartományfák között
  • közös sémával rendelkeznek
  • közösek konfigurációs adataik, és
  • közös a globális katalógusuk.

A tartományfák és erdők együttes használata megfelelő rugalmasságot biztosít az összefüggő, illetve nem összefüggő névkiosztás alkalmazásához. Ez akkor hasznos például, ha egy vállalat önálló részlegei saját DNS-nevet kívánnak fenntartani.

A tartományfák és erdők használatáról a Tartományfák és erdők használatának ismertetése című témakör nyújt bővebb felvilágosítást.


Tartománymeghatalmazások

A tartománymeghatalmazás olyan kapcsolat két tartomány között, amely lehetővé teszi, hogy az egyik tartomány felhasználóit a másik tartomány egyik tartományvezérlője hitelesítse. Tartománymeghatalmazás kizárólag két tartomány között jöhet létre: a meghatalmazó és a meghatalmazott tartomány között.

Egyszerű tartománymeghatalmazás

Az első ábrán a meghatalmazásokat a meghatalmazott felé mutató nyíl jelöli.

A Windows régebbi verzióiban a meghatalmazások csak a két résztvevő tartományra korlátozódtak, és a meghatalmazotti kapcsolat egyirányú volt. A Windows 2000 esetében minden meghatalmazás tranzitív és kétirányú. A meghatalmazotti kapcsolat mindkét tartománya automatikusan meghatalmazza egymást.

Tranzitív meghatalmazások egy tartomány fastruktúrájában

Az ábrán látható, hogy ha az A jelű tartomány meghatalmazza a B jelűt, a B jelű tartomány pedig meghatalmazza a C jelűt, akkor a C jelű tartomány felhasználói (a megfelelő engedélyek birtokában) hozzáférhetnek az A jelű tartomány erőforrásaihoz is.

A tartománymeghatalmazásokról további információt a Tartománymeghatalmazások ismertetése és az Explicit tartománymeghatalmazások című részek tartalmaznak.

Megjegyzés

  • Amikor egy tartományvezérlő hitelesít egy felhasználót, akkor ez nem jelenti azt, hogy a felhasználó a tartomány erőforrásaihoz is hozzáférhet. Ezt a hozzáférést kizárólag a meghatalmazó tartomány rendszergazdája által a felhasználónak megadott jogok és engedélyek szabályozzák. További információ a Hitelesítés című részben található.


Szervezeti egységek

Az egyik leghasznosabb tartományon belüli címtárobjektum a szervezeti egység. A szervezeti egységek az Active Directory szolgáltatás tárolói, amelyekbe felhasználókat, csoportokat, számítógépeket, illetve más szervezeti egységeket helyezhet. Szervezeti egység nem tartalmazhat másik tartományba tartozó objektumokat.

A szervezeti egység a legkisebb olyan egység, amelyez csoportházirend-beállításokat rendelhet, illetve amelyikhez felügyeleti hatókört delegálhat. Szervezeti egységek használatával olyan tartományon belüli tárolókat hozhat létre, amelyek a szervezet hierarchikus, logikus felépítését követik. Ez lehetővé teszi a fiókok és erőforrások konfigurálásának és használatának olyan felügyeletét, amely a vállalat szervezeti felépítésén alapul. A csoportházirend-beállításokról a Csoportházirend című témakör tartalmaz további információt.

Szervezeti egységek tartományon belüli hierarchiája

Mint ahogyan az ábrán is látható, a szervezeti egységek más szervezeti egységeket is tartalmazhatnak. A tárolók hierarchiája szükség szerint bővíthető úgy is, hogy az a vállalat szervezeti hierarchiáját tükrözze a tartományon belül. A szervezeti egységek használatával minimalizálható a hálózat tartományainak száma.

Szervezeti egységek használatával bármilyen méretű felügyeleti modellt definiálhat. A felhasználóknak delegálhatja egy tartomány összes szervezeti egységének felügyeletét vagy a tartomány csak egyetlen szervezeti egységét is. Az adott szervezeti egység rendszergazdájának nem szükséges, hogy felügyeleti engedélye legyen a tartomány más szervezeti egységei fölött. A felügyelet ellenőrzésének delegálásával kapcsolatos további információt a Felügyelet delegálása témakörben talál.

A szervezeti egységekről a Szervezeti egységek szerkezetének megtervezése és a Felügyelet delegálása című témakörök nyújtanak bővebb tájékoztatást.


Active Directory – helyek és szolgáltatások – áttekintés

Az Active Directory több főkiszolgálós replikációt alkalmaz, amely a Windows 2000 erdő bármely tartományvezérlője számára lehetővé teszi a kérelmek kiszolgálását, beleértve a címtár felhasználók részéről történő módosítását is.

Ha viszonylag kisebb, és megfelelő kapcsolattal rendelkező számítógépekből álló hálózattal rendelkezik, akkor a tartományvezérlő tetszőlegesen kiválasztható. Nagy kiterjedésű hálózat (WAN) esetében viszont nem lenne célszerű, ha a Sydney-ben lévő felhasználóknak telefonos kapcsolaton keresztül kellene hitelesíttetniük magukat a New York-i tartományvezérlőkön. Az Active Directory – helyek és szolgáltatások a helyek használatával fokozhatja a legtöbb hálózat címtárszolgáltatásainak hatékonyságát.

A hálózat fizikai szerkezetéről a felhasználók az Active Directory – helyek és szolgáltatások használatával szerezhetnek adatokat az Active Directory szolgáltatásban közzétett helyek alapján. Az Active Directory ezen információk alapján dönt a címtáradatok replikációjának és a szolgáltatáskérelmek kezelésének módjáról.

A számítógépek az egyes helyekhez az alhálózatban vagy több alhálózatból álló csoportban elfoglalt helyük alapján vannak hozzárendelve. Az alhálózatok a hálózati elemeket csoportosítják, hasonló módon ahhoz, ahogyan a postai irányítószámok sorolják célszerű csoportokba a levélcímeket. Az alhálózatok úgy vannak kialakítva, hogy megkönnyítsék a hálózati kapcsolatokra vonatkozó fizikai adatok címtárba küldését. Az összes számítógép egy vagy több megfelelően összekapcsolt alhálózatba való csoportosítása szintén támogatja azt az alapelvet, amely szerint egy adott hely minden számítógépének jó kapcsolattal kell rendelkeznie, mivel az egy alhálózaton belül található számítógépek általában jobb összeköttetéssel rendelkeznek, mint a hálózat tetszőlegesen kiválasztott számítógépeinek halmaza.

A helyek használata a következő előnyökkel jár:

  • Hitelesítés Ha az ügyfél egy tartományfiók használatával jelentkezik be, a bejelentkezési folyamat először olyan tartományvezérlőket keres, amelyek ugyanazon a helyen találhatók, mint az ügyfél. Az ügyfél oldalán a tartományvezérlők használatára tett kísérlet során előbb a hálózati forgalom tulajdonságainak meghatározására kerül sor, ami fokozza a hitelesítés hatékonyságát.

  • Replikáció A címtáradatok replikációja történhet az egyes helyeken belül, illetve a helyek között is. Az Active Directory gyakrabban replikálja az adatokat egy helyen belül, mint a helyek között. Ez ellensúlyozza azt a tényt, hogy a címtári adatok napra készen tartását a rendelkezésre álló hálózati sávszélesség korlátozza.

    A helyek kapcsolódási módját meghatározó helyhivatkozások használatával az egyéni igényeknek megfelelően állítható be, hogy az Active Directory hogyan replikálja az adatokat. Az Active Directory a helyek kapcsolódási adatai alapján hatékony replikációt és hibatűrést biztosító kapcsolatobjektumokat hoz létre.

    Ehhez meg kell adni egy helyhivatkozás költségét, a hivatkozás elérhetőségének időpontját és a hivatkozás használatának módját. Az Active Directory szolgáltatás ezek alapján dönti el, hogy mely helyhivatkozásokat használja az adatok replikációjához. Ha a replikáció ütemezését egyedi módon úgy állítja be, hogy a replikáció végrehajtása adott időben történjen (például amikor csekély a hálózati forgalom), akkor ezzel fokozható a replikáció hatékonysága.

    Általában minden tartományvezérlő felhasználható a helyek közötti adatcserére, de lehetőség van a replikáció viselkedésének további szabályozására, ha megad egy támaszpont-kiszolgálót a helyek közötti replikációkhoz. Támaszpont-kiszolgálót akkor kell létrehozni, ha a helyek közötti replikáció végrehajtására nem az éppen elérhető kiszolgálók valamelyikét, hanem egy adott kiszolgálót kíván használni. Támaszpont-kiszolgáló akkor is létesíthető, ha a rendszer proxykiszolgálót használ többek között adatok tűzfalon keresztül történő küldésére és fogadására.

  • Az Active Directory engedélyezett szolgáltatásai Az adatok – például szolgáltatások kötései és konfigurációi – hozzáférése a címtáron keresztül biztosítható, így a hálózati erőforrások felügyelete és használata egyszerűbb és hatékonyabbá tehető. A helyek segítségével optimalizálható és strukturálható a szolgáltatásokra vonatkozó adatok elosztása, így az aktuális adatok felhasználók számára történő hozzáférhetővé tétele és terjesztése a hálózaton hatékonyabbá tehető.


Csoportok

A csoportok az Active Directory vagy egy helyi számítógép olyan objektumai, amelyek felhasználókat, számítógépeket és más csoportokat tartalmazhatnak. A csoportok használatának célja:

  • felhasználók és számítógépek megosztott erőforrásokhoz (például az Active Directory objektumaihoz, azok tulajdonságaihoz, hálózati megosztásokhoz, fájlokhoz, címtárakhoz, nyomtatási várólistákhoz stb.) való hozzáférésének kezelése
  • csoportházirend-beállítások szűrése, valamint
  • elektronikus levelezési címzési listák létrehozása.

A csoportok két fő típusba sorolhatók:

  • biztonsági csoportok és
  • címzési csoportok.

A biztonsági csoportok felhasználók, számítógépek és más csoportok kezelhető egységekbe gyűjtésére szolgálnak. Az erőforrásokra (fájlmegosztás, nyomtatók stb.) szóló engedélyeket célszerűbb biztonsági csoportokhoz rendelni, mint egyéni felhasználókhoz, így az egész csoporthoz egyszerre rendelhető az engedély, és nem szükséges azt minden felhasználóhoz külön hozzárendelni. A csoporthoz rendelt engedélyekkel a csoporthoz hozzáadott összes fiók rendelkezik. Az egyéni felhasználók helyett csoportokra történő hivatkozás egyszerűsíti a hálózat karbantartását és felügyeletét.

A címzési csoportokat csak elektronikus levelezési terjesztési listaként lehet használni, csoportházirend-beállítások szűrésére nem alkalmazhatók. A címzési csoportoknak nincs biztonsági funkciójuk.

A csoportokkal ellentétben a szervezeti egységek az adott tartományon belüli objektumok rendszerezésére szolgálnak, de nem ruháznak tagságot az objektumokra. Egy adott szervezeti egység, illetve a benne lévő objektumok felügyelete egyéni felhasználónak vagy csoportnak delegálható. A szervezeti egységekről a Szervezeti egységek és a Szervezeti egységek szerkezetének megtervezése című témakörökben talál bővebb tájékoztatást.

A csoportházirend-objektumok helyekre, tartományokra vagy szervezeti egységekre alkalmazhatók, csoportokra azonban nem. A csoportházirend-objektumok a felhasználókat és a számítógépeket érintő beállítások gyűjteményei. A csoporttagság használatával az szabályozható, hogy egy adott helyen, tartományban vagy szervezeti egységben melyik csoportházirend-objektum vonatkozik a felhasználókra vagy a számítógépekre. A Csoportházirendről A Csoportházirend ismertetése című témakörben talál további információt.

A csoportokról és azok használatáról A csoportok ismertetése című témakörben olvashat részletesen.


Az Active Directory sémája – áttekintés

Az Active Directory sémája olyan definíciólista, amely az Active Directoryban tárolható objektumok fajtáit, valamint az objektumokkal kapcsolatos információ típusait azonosítja. A definíciók maguk is objektumok, az Active Directory tehát ugyanazokkal az objektumkezelő műveletekkel kezeli őket, mint a címtár többi objektumát.

A sémában két különböző típusú definíció létezik: attribútumok és osztályok. Az attribútumokat és az osztályokat sémaobjektumoknak vagy metaadatoknak is nevezik.

Az attribútumokat az osztályoktól függetlenül definiálják. Mindegyik attribútumot csak egyszer kell definiálni, és több osztályban is használhatók. A "Description" nevű attribútum például több osztályban is használatos, de az egyértelműség kedvéért csak egy helyen van definiálva a sémában.

Az osztályok – más néven objektumosztályok – a létrehozható címtárobjektumokat írják le. Minden osztály attribútumok gyűjteménye. Ha létrehoz egy objektumot, az attribútum tartalmazza az objektumot leíró információkat. A "User" nevű osztály például számos attribútumot tartalmaz, úgy mint "Network Address", "Home Directory" stb. Az Active Directory minden objektuma valamely objektumosztályba tartozik.

Az alapvető osztályok és attribútumok készletét a Windows 2000 Server operációs rendszer tartalmazza. Gyakorlott fejlesztők és hálózati rendszergazdák az új és meglévő osztályokhoz attribútumokat definiálhatnak, így bővítve dinamikusan a sémát. Az Active Directory nem támogatja a sémaobjektumok törlését, viszont az objektumokat inaktiváltként jelölheti meg – ez az eljárás a törlés sok előnyét nyújtja. A séma bővítése speciális ismereteket igénylő művelet, amely negatív következményekkel is járhat. Mielőtt a sémát bármi módon módosítaná, tanulmányozza a Feladatlista: A séma bővítése előtt oldalon leírtakat.

A séma szerkezetét és tartalmát a séma fő tartományvezérlője szerepkört betöltő tartományvezérlő kezeli. A séma másolatát a rendszer az erdő összes tartományvezérlőjére replikálja. A közös séma biztosítja az adatok megbízhatóságát és konzisztenciáját az erdő egész területén. A séma fő tartományvezérlőjéről az Egyedi főkiszolgáló-műveletek című témakörben talál további információt.

Ajánlott az Active Directory sémájának bővítését programozás útján elvégezni – az Active Directory Service Interfaces (ADSI) segítségével. Ennek leírását a Windows 2000 Software Developer's Kit csomagban találja. A séma programozás útján történő bővítéséről a Microsoft webhelyén található (angol nyelvű) Active Directory Programmer's Guide (Programozói kézikönyv) dokumentációban (http://www.microsoft.com/), valamint (az ugyancsak angol nyelvű) The Internet Engineering Task Force (http://www.ietf.org/) webhelyen tájékozódhat.

Fejlesztési vagy tesztelési célból az Active Directory sémája beépülő modul segítségével is megtekintheti vagy módosíthatja az Active Directory sémáját. Ezt az alkalmazást a Windows 2000 Server CD-lemezen találja a Windows 2000 Felügyeleti eszközei között. További információt a Kiszolgálók kezelése távolról című témakörben talál.


Kiszolgálói szerepkörök

A Windows 2000 Server operációs rendszer több szerepkörben is működhet – ezeket a szerepköröket egyszerűen vállalata igényeihez igazíthatja.

A Windows 2000 Server szerepköreiről és a szerepkörök megváltoztatásáról a következő témakörök nyújtanak tájékoztatást:

  • Tartományvezérlők
  • Tagkiszolgálók
  • Önálló kiszolgálók
  • Kiszolgálók szerepköreinek megváltoztatása


Tartományvezérlők

A tartományvezérlők az Active Directory telepítő varázsló által konfigurált Windows 2000 Server operációs rendszert használó számítógépek. Az Active Directory telepítő varázsló olyan elemeket telepít és konfigurál, amelyek az Active Directory címtárszolgáltatást biztosítják a hálózati felhasználók és számítógépek felé. A tartományvezérlők címtáradatokat tárolnak, valamint felhasználók és tartományok közötti kapcsolatokat kezelnek, többek között bejelentkezési eljárásokat, hitelesítéseket és címtárakban történő kereséseket.

Egy adott tartományban egy vagy több tartományvezérlő is lehet. Valamely, helyi hálózatot (LAN) használó kis szervezetnek a jobb hozzáférhetőség és a megfelelőbb hibatűrés biztosítására csak egy tartományra van szüksége (két tartományvezérlővel), míg egy többtelephelyes nagyvállalat ugyanezen előnyök biztosításához minden helyszínen egy vagy több tartományvezérlőt igényel.

Az Active Directory a tartomány összes tartományvezérlője között támogatja a címtáradatok több főkiszolgálós replikációját. Bizonyos változtatásokat azonban nem célszerű több főkiszolgálós eljárással végrehajtani, ezért csak egy tartományvezérlő, a műveleti főkiszolgáló fogad el ilyen változtatási kéréseket. Minden Active Directory erdőben legalább öt különböző műveleti főkiszolgáló szerepkör létezik. Ezeket egy vagy több tartományvezérlőhöz rendelheti. A műveleti főkiszolgálókról az Egyedi főkiszolgáló-műveletek című témakör nyújt általános tájékoztatást.

A Windows 2000 Server tartományvezérlői a Windows NT Server 4.0 tartományvezérlők képességeinek és funkcióinak bővített változatát nyújtják. A Windows 2000 Server több főkiszolgálós replikációja az összes tartományvezérlő címtáradatait szinkronizálja, ezzel biztosítja az adatok konzisztenciáját. A több főkiszolgálós replikációs modell a Windows NT Server 4.0 által használt elsődleges és tartalék tartományvezérlő szerepköröket használó modell továbbfejlesztett változata – a régi modellben még csak az elsődleges tartományvezérlőnek volt olvasható és írható példánya a címtárról.


Tagkiszolgálók

A tartományban kiszolgálóként működő számítógépek tartományvezérlők vagy tagkiszolgálók lehetnek.

A tagkiszolgálókat az alábbiak jellemzik:

  • a Windows 2000 Server rendszert futtatják
  • egy tartomány tagjai, és
  • nem tartományvezérlők.

Mivel nem tartományvezérlő, a tagkiszolgáló nem kezeli a fiókbejelentkezési folyamatokat, nem vesz részt az Active Directory replikálásában, és nem tárol a tartomány biztonsági házirendjére vonatkozó adatokat.

A tagkiszolgálók általában az alábbi szerepeket tölthetik be:

  • fájlkiszolgálók
  • alkalmazáskiszolgálók
  • adatbázis-kiszolgálók
  • webkiszolgálók
  • bizonyítványkiszolgálók
  • tűzfalak, illetve
  • távelérés-kiszolgálók.

Ezek a tagkiszolgálók közös adatvédelmi szolgáltatásokkal rendelkeznek:

  • a tagkiszolgálók alkalmazzák a hely, a tartomány vagy a szervezeti egység számára meghatározott Csoportházirend beállításait.
  • a tagkiszolgálón elérhető erőforrások az elérés vezérléséhez vannak konfigurálva.
  • a tagkiszolgálókon hitelesített felhasználók felhasználói jogosultságokkal rendelkeznek, és
  • a tagkiszolgálók tárolnak egy biztonsági fiókkezelő (SAM) nevű helyi adatbázist, amely a biztonsági fiókokra vonatkozó információkat tartalmazza.

A tartományvezérlőkről a Tartományvezérlők című témakörben talál további információt.


Önálló kiszolgálók

Az önálló kiszolgáló olyan számítógép, amely Windows 2000 Server operációs rendszert használ, de nem tagja egyetlen Windows 2000 tartománynak sem. Ha a Windows 2000 Server operációs rendszert munkacsoport tagjaként telepíti, a kiszolgáló önálló kiszolgálóként fog működni.

Az önálló kiszolgálók erőforrásokat oszthatnak meg a hálózat más számítógépeivel, de nem élvezik az Active Directory nyújtotta előnyöket.


Kiszolgálók szerepköreinek megváltoztatása

Egy adott kiszolgáló a tartományon belül kétféle szerepkörben működhet: tartományvezérlőként vagy tagkiszolgálóként.

A számítógépes környezet változásával együtt szükség lehet a kiszolgáló szerepkörének módosítására is. Az Active Directory telepítő varázslója segítségével tagkiszolgálót tartományvezérlővé léptethet elő, tartományvezérlőt pedig tagkiszolgálóvá fokozhat le.


Az Active Directory ismertetése

Az Active Directory Internet alapú szabványokon alapuló címtár, valamint névhozzárendelési protokollok együttese. Tranzakciók támogatásához adatbázis-kezelőt használ, és különböző alkalmazásfejlesztő-felületi szabványokat támogat. Erről az oldalról a következő témaköröket érheti el:

  • A tartományok ismertetése
  • Tartományfák és erdők használatának ismertetése
  • Tartomány- és fióknév-kiosztás
  • A tartománymeghatalmazások ismertetése
  • Explicit tartománymeghatalmazások
  • Helyek
  • Az Active Directory felhasználói és számítógépfiókjai
  • A Csoportházirend ismertetése
  • A DNS-integráció ismertetése
  • A csoportok ismertetése
  • Active Directory címtárszolgáltatás


A tartományok ismertetése

A tartományok használata számos előnyt biztosít:

  • Objektumok szervezése

    A tartományon belüli szervezeti egységek használata segíti a fiókok és erőforrások tartományon belüli szervezését.

  • Erőforrások és tartományi objektumokat leíró adatok közzététele

    • A felügyeleti és címtárközzétételi követelmények kielégítése érdekében több tartomány használatával méretezheti az Active Directory címtárszolgáltatást.

    Egy adott tartomány csak a benne található objektumokról tárol adatokat, vagyis több tartomány létrehozásával partícionálja vagy szegmentálja a címtárat, így jobban kiszolgálhatja a különböző felhasználók igényeit.

  • Ha valamely tartományra csoportházirend-objektumot alkalmaz, biztonságosabbá teheti az erőforrások és az rendszerbiztonság felügyeletét

    A tartományok házirend-hatóköröket vagy -egységeket határoznak meg. A Csoportházirend meghatározza, hogy a tartományi erőforrások miként hozzáférhetők, konfigurálhatók és használhatók. A házirend csak egy tartományon belül alkalmazható, tartományok között nem. A csoportházirend-objektumok alkalmazásáról a Csoportházirend című témakör nyújt bővebb felvilágosítást.

  • A hatáskörök delegálásával nincs szükség nagyszámú teljes jogosultságokkal rendelkező rendszergazdára

    A hatáskörök delegálása, valamint a csoportházirend-objektumok és a csoporttagságok együttes használata lehetővé teszi, hogy bizonyos rendszergazdákhoz objektumok szervezésének engedélyeit rendelje egy teljes tartományra, illetve egy vagy több tartományon belüli szervezeti egységre vonatkozóan. A felügyeleti ellenőrzés delegálásával kapcsolatban a Felügyelet delegálása című témakör tartalmaz további információt.

    A csoportokról A csoportok ismertetése című témakör nyújt felvilágosítást.

    A tartományok biztonsági határt is jelentenek, vagyis alapértelmezés szerint az adott tartományra vonatkozó felügyeleti engedélyek a tartományra korlátozódnak. Ha egy rendszergazda engedéllyel rendelkezik például biztonsági házirend beállítására egy adott tartományban, egyáltalán nem biztos, hogy ugyanezt a műveletet a címtár valamelyik másik tartományában is elvégezheti.

Tartomány létrehozásához egy vagy több Windows 2000 Server operációs rendszert használó számítógépet tartományvezérlővé kell előléptetnie. A tartományvezérlők biztosítják az Active Directory címtárszolgáltatást a hálózati felhasználók és számítógépek felé, illetve kezelik a felhasználók és tartományok közötti kapcsolatokat, beleértve a bejelentkezési folyamatot, a hitelesítést és a címtárban való keresést is. Minden tartományban legalább egy tartományvezérlőnek kell lennie.

A tartományvezérlőkről a Tartományvezérlők című témakörben talál további információt. Windows 2000 Server operációs rendszert futtató számítógép tartományvezérlővé történő előléptetéséről a Tartományvezérlő telepítése című témakörben tájékozódhat.


Tartományfák és erdők használatának ismertetése

Tartományfa

A címtár minden tartományát DNS-tartománynév azonosítja. Minden tartománynak szüksége van legalább egy tartományvezérlőre. Ha a hálózat több tartományt tesz szükségessé, egyszerűen létrehozhat további tartományokat is.

A közös sémát és globális katalógust használó egy vagy több tartományt együttesen erdőnek nevezik. Ha több tartomány összefüggő DNS-tartományneveket használ – ahogy azt az első ábra szemlélteti –, akkor az ilyen struktúrát tartományfa névvel jelölik.

Ha több tartománynak nem összefüggő DNS-tartományneve van (lásd a második ábrát), akkor e tartományok külön tartományfákat alkotnak az erdőn belül. Az erdő egy vagy több tartományfát tartalmazhat. Az erdő első tartományát az erdő gyökértartományának hívják.

Erdő

Tartományt a tartomány első tartományvezérlője telepítésével hozhat létre. A telepítés folyamán az Active Directory telepítő varázsló az Ön által megadott információk alapján telepíti a tartományvezérlőt, és hozza létre a tartományt a meglévő tartományok és tartományvezérlők környezetében (ha van ilyen). A környezet jelentheti az első tartományt egy új erdőben, az első tartományt egy új tartományfán, illetve egy már létező tartományfa gyermektartományát.

Egy adott tartomány első tartományvezérlőjének telepítése után a nagyobb hibatűrés és a címtár jobb elérhetősége érdekében további tartományvezérlőket telepíthet egy már létező tartományban.

Tartománynév-kiosztás

Az egy tartományfát alkotó tartományok összefüggő névtérrel (más szóval elnevezési hierarchiával) rendelkeznek. A DNS szabványnak megfelelően az adott összefüggő névtér részét képező tartomány teljesen minősített tartományneve a tartomány nevéből, valamint az azután álló szülő- és gyökértartományok nevéből tevődik össze, és az egyes elemek között pont (.) van. Ha egy tartomány NetBIOS-neve például “unoka”, és szülőtartománya a szülő.microsoft.com tartomány, akkor az unoka teljesen minősített tartományneve unoka.szülő.microsoft.com.

Az egy erdőn belül lévő tartományfák Active Directory sémája, címtár-konfigurációja és replikációs információja közös, de nem ugyanazt az összefüggő DNS tartomány-névteret használják.

A tartományfák és erdők kombinációja rugalmas tartománynév-kiosztási lehetőségeket nyújt. A címtárban mind összefüggő, mind nem összefüggő DNS-névterek szerepelhetnek.

Az Active Directoryról és a DNS szolgáltatásról a Tartománynévrendszer (DNS) című témakörben talál további információt.

Meghatalmazotti kapcsolatok

A Windows 2000 operációs rendszert futtató számítógépeken a tartományok közötti fiókhitelesítést a Kerberos V5 biztonsági protokollon alapuló kétirányú, tranzitív meghatalmazások biztosítják.

Egy adott tartományfán új tartomány létrehozásakor az érintkező (gyermek- és szülő-) tartományok között a rendszer automatikusan létrehozza a meghatalmazotti kapcsolatokat. Az adott erdő gyökértartománya és az erdő összes tartományfájának gyökértartománya között a rendszer automatikusan építi fel a meghatalmazotti kapcsolatokat. Mivel ezek a meghatalmazotti viszonyok tranzitívak, a felhasználók vagy számítógépek a tartományfa vagy erdő bármely tartományai között hitelesíthetők.

Ha egy, a Windows korábbi verzióját használó tartományt Windows 2000 tartománnyá frissít, a tartomány és a többi tartomány között meglévő egyirányú meghatalmazotti viszonyok egyirányúak maradnak. Ez a korábbi Windows verziót használó tartomány összes meghatalmazására érvényes. Ha új Windows 2000 tartományt telepít, és meghatalmazotti viszonyt kíván létrehozni egy korábbi Windows verziójú tartománnyal, akkor külső meghatalmazást kell létrehoznia.

A meghatalmazotti kapcsolatokról a Tartománymeghatalmazások című témakörben talál bővebb felvilágosítást. Ha többet szeretne tudni a külső meghatalmazásokról, tanulmányozza a Külső meghatalmazások témakörben leírtakat.


Tartomány- és fióknév-kiosztás

Az Active Directory tartománynév általában azonos a tartomány teljes DNS nevével. A korábbi verziókkal való kompatibilitás érdekében azonban minden tartománynak van egy olyan neve is, amely a Windows 2000 előtti rendszereket futtató számítógépek használhatnak.

A Windows 2000 előtti tartománynév segítségével be lehet jelentkezni egy Windows 2000 tartományba a Windows 2000 előtti operációs rendszereket futtató számítógépekről is, ha a tartománynév\felhasználónév formátumot használja. Ugyanez a formátum használható akkor is, ha Windows 2000 operációs rendszert futtató számítógépekről kíván bejelentkezni Windows 2000 tartományokba. A felhasználók is bejelentkezhetnek Windows 2000 rendszert futtató számítógépekre a felhasználói fiókjukhoz rendelt egyszerű felhasználónevük használatával.

Felhasználói fiókok

Az Active Directory rendszerében minden felhasználó rendelkezik felhasználói bejelentkezési névvel, a Windows korábbi verzióiban használatos felhasználói bejelentkezési névvel (a Biztonsági fiókkezelőben használatos fióknévvel), és egy egyszerű felhasználónév utótaggal. A rendszergazda a felhasználói fiók létrehozásakor adja meg a felhasználó bejelentkezési nevét, és kiválasztja az egyszerű felhasználónév utótagját. Az Active Directory a bejelentkezési név első 20 bájtja alapján javasol egy a Windows 2000 előtti verziókban használható bejelentkezési nevet. Ezt a Windows 2000 előtti rendszerekben használható bejelentkezési nevet a rendszergazdák bármikor módosíthatják.

Az Active Directory rendszerében minden felhasználó rendelkezik egy egyszerű felhasználónévvel, amely megfelel az IETF RFC 822 számú ARPA Internet Text Messages formátumszabvány előírásainak. Az egyszerű felhasználónév a bejelentkezési névből, az @ jelből és az egyszerű felhasználónév utótagból áll.

Megjegyzés

  • Az @ jelet ne adja hozzá se a bejelentkezési névhez, se az UPN-utótaghoz. Az Active Directory ezt automatikusan adja hozzá, amikor létrehozza az egyszerű felhasználónevet. Az egyszerű felhasználónév nem tartalmazhat egynél több @ jelet.

Az egyszerű felhasználónév második része, az UPN-utótag azonosítja azt a tartományt, ahová a felhasználói fiók tartozik. Az UPN-utótag lehet a DNS-tartománynév, az erdő bármelyik tartományának DNS-neve, vagy lehet bármilyen más, a rendszergazda által kizárólag bejelentkezési célra létrehozott név. A bejelentkezési célra létrehozott UPN-utótagnak nem kell érvényes DNS-névnek lennie.

Az Active Directoryban az alapértelmezett UPN-utótag a tartományfa gyökértartományának DNS-neve. A legtöbb esetben ez az Interneten vállalati tartományként regisztrált tartománynév. Más tartománynevek UPN-utótagként való használata biztonságosabbá teheti a bejelentkezést, és egyszerűbbé teheti az erdő más tartományaiba való bejelentkezéshez használt neveket.

Ha például a vállalat sokszintű, osztályok és régiók szerint rendszerezett tartományfát használ, akkor a tartománynevek egészen hosszúak lehetnek. Az alapértelmezett UPN-utótag ebben a tartományban például a következő lehet: ertekesites.nyugatipart.microsoft.com. A tartományban egy felhasználó bejelentkezési neve a következő lehet: felhasznalo@ertekesites.nyugatipart.microsoft.com. A "microsoft" UPN-utótag létrehozásával lehetővé válik, hogy a felhasználók a sokkal egyszerűbb felhasznalo@microsoft.com név használatával jelentkezzenek be. A felhasználói fiókokról további információ az Az Active Directory felhasználói és számítógépfiókjai és az Active Directory objektumnevek című témakörökben található.

UPN-utótagok hozzáadása vagy törlése az Active Directory – tartományok és meghatalmazások eszköz segítségével lehetséges. Az ehhez szükséges utasítások az Egyszerű felhasználónév utótagjának hozzáadása című témakörben találhatók.

Számítógépfiókok

Az Active Directoryban létrehozott számítógépfiókok relatív megkülönböztető névvel, Windows 2000 előtti rendszereket futtató számítógépeken használható számítógépnévvel (a Biztonsági fiókkezelőben használatos fióknévvel), elsődleges DNS utótaggal, DNS állomásnévvel és egyszerű szolgáltatásnévvel rendelkeznek. A számítógépfiók létrehozásakor a rendszergazda adja meg a számítógépnevet. A számítógépnév használatos LDAP relatív megkülönböztető névként is.

Az Active Directory a relatív megkülönböztető név első 15 bájtja alapján javasol egy a Windows 2000 előtti verziókban használható relatív megkülönböztető nevet. Ezt a Windows 2000 előtti rendszerekben használható nevet a rendszergazda bármikor módosíthatja.

Az alapértelmezett elsődleges DNS utótag annak a tartománynak a teljes DNS neve, amelyikhez a számítógép csatlakozik. A DNS állomásnév a relatív megkülönböztető név első 15 karakteréből és az elsődleges DNS utótagból áll. Például a mydomain.microsoft.com tartományhoz csatlakozó és a CN=MyComputer1234567890 relatív megkülönböztető névvel rendelkező számítógép DNS állomásneve mycomputer12345.mydomain.microsoft.com lesz.

További információt az Active Directory objektumnevek és az Az Active Directory felhasználói és számítógépfiókjai című témakörök tartalmaznak.

Az egyszerű szolgáltatásnév a DNS állomásnévből alakul ki. Az egyszerű szolgáltatásnév az ügyfél és egy bizonyos szolgáltatást nyújtó kiszolgáló közötti kölcsönös hitelesítés során használatos. Az ügyfél egy számítógépfiókot annak a szolgáltatásnak az egyszerű szolgáltatásneve alapján találja meg, amelyhez csatlakozni kíván.

A rendszergazdák másképpen is létrehozhatják az egyszerű szolgáltatásneveket. Ez a biztonsági módosítás lehetővé teszi, hogy egy számítógép olyan elsődleges DNS-utótagokat használjon, amelyek eltérnek attól a tartománytól, amelyhez a számítógép csatlakozik. Ugyanez a módosítás teszi lehetővé, hogy az Active Directory szolgáltatásban az egyszerű szolgáltatásnév hosszabb legyen a relatív megkülönböztető név első 15 bájtjánál.

Az így módosított számítógépneveket használó számítógépek helyesen fogják regisztrálni a DNS nevüket, de további eljárás szükséges az Active Directoryban a számítógép-objektum DNS-állomásnévre (dNSHostName) és egyszerű szolgáltatásnévre (servicePrincipalName) vonatkozó attribútumainak helyes regisztrálásához.

Vigyázat!

  • Az alapértelmezett biztonság előbbiek szerint történő megváltoztatásával lehetővé válik, hogy a kiválasztott tartományhoz kapcsolódó számítógépet rosszindulatú felhasználó működtesse, aki az egyszerű szolgáltatásnév attribútum segítségével más néven azonosítsa magát.

További információt az Eltérő DNS-nevek használatának engedélyezése a számítógép számára című témakör tartalmaz.


A tartománymeghatalmazások ismertetése

A tartománymeghatalmazás tartományok közötti olyan kapcsolat, amely lehetővé teszi, hogy valamely tartomány felhasználóit egy másik tartomány tartományvezérlője hitelesítse. A hitelesítési kérelem egy meghatalmazási útvonalat követ.

Meghatalmazási útvonalak

A meghatalmazási útvonal meghatalmazotti kapcsolatok sorozata, amelyet a hitelesítési kérelemnek be kell járnia a tartományok között. Ha egy felhasználó hozzá kíván férni egy másik tartomány adott erőforrásához, a Windows 2000 rendszerbiztonsági szolgáltatásának meg kell határoznia, hogy a meghatalmazó tartomány (az a tartomány, amelyikhez a felhasználó hozzá kíván férni) meghatalmazotti kapcsolatban áll-e a meghatalmazott tartománnyal (a felhasználó bejelentkezési tartományával). Ennek meghatározásához a Windows 2000 biztonsági rendszere meghatalmazási útvonalat hoz létre a meghatalmazó és a meghatalmazott tartomány tartományvezérlője között. A következő ábrán a meghatalmazási útvonalakat a meghatalmazás irányát mutató nyilak jelölik.

Meghatalmazási útvonalak iránya

Minden meghatalmazotti kapcsolat két tartomány között jön létre: a meghatalmazó és a meghatalmazott tartomány között. A tartományi meghatalmazotti kapcsolat jellemzői a következők:

  • egyirányú vagy
  • kétirányú,
  • tranzitív vagy
  • nem tranzitív kapcsolat.

Egyirányú meghatalmazás

Az egyirányú meghatalmazás olyan egyszerű meghatalmazás, ahol A tartomány meghatalmazza B tartományt. Az összes egyirányú kapcsolat nem tranzitív, és minden nem tranzitív meghatalmazás egyirányú. A hitelesítési kérelem csak a meghatalmazó tartományból indulhat a meghatalmazott tartomány felé. Ez azt jelenti, hogy ha A tartománynak egyirányú meghatalmazása van B tartománnyal, és B tartománynak egyirányú meghatalmazása van C tartománnyal, akkor A tartománynak nincs meghatalmazotti kapcsolata C tartománnyal.

Egy adott Windows 2000 tartománynak a következőkkel lehet egyirányú meghatalmazása:

  • más Windows 2000 tartományok másik erdőben
  • Windows NT 4.0 tartományok, és
  • MIT Kerberos V5 tartományok (lásd Kerberos V5 hitelesítés).

Egy adott erdő minden Windows 2000 tartománya tranzitív meghatalmazással van összekötve, így nem lehetséges egyirányú meghatalmazásokat létrehozni egyazon erdő Windows 2000 tartományai között. További információt az Explicit tartománymeghatalmazások című témakörben talál.

Kétirányú meghatalmazás

Az adott Windows 2000 erdőn belül minden meghatalmazás kétirányú tranzitív meghatalmazás.

Ha új gyermektartományt hoz létre, akkor a gyermektartomány és a szülőtartomány között automatikusan kétirányú tranzitív meghatalmazás jön létre. Kétirányú meghatalmazásnál A tartomány meghatalmazza B tartományt, és B tartomány meghatalmazza A tartományt. Ez azt jelenti, hogy a hitelesítési kérelmek mindkét irányban továbbíthatók a két tartomány között.

Kétirányú nem tranzitív meghatalmazás létrehozásához a két érintett tartomány között két egyirányú meghatalmazást kell létrehoznia. További információt az Explicit tartománymeghatalmazások című témakörben talál.

Tranzitív meghatalmazás

Windows 2000 erdőn belül minden tartományi meghatalmazás tranzitív. A tranzitív meghatalmazások mindig kétirányúak. A meghatalmazotti kapcsolat mindkét tartománya meghatalmazza a másikat.

A tranzitív meghatalmazás nem a meghatalmazotti kapcsolat két tartományához kötött. Ha létrehoz egy új gyermektartományt, akkor a szülőtartomány és az új gyermektartomány között automatikusan létrejön egy kétirányú tranzitív meghatalmazás. Ilyen módon a tranzitív meghatalmazások végighaladnak a tartományfán, tranzitív meghatalmazást hozva létre a tartományfa minden tartománya között.

Valahányszor új tartományfát hoz létre egy erdőben, kétirányú tranzitív meghatalmazotti kapcsolat jön létre az erdő gyökértartománya és az új tartomány (az új tartományfa gyökere) között. Ha nem ad gyermektartományokat az új tartományhoz, a meghatalmazási útvonal az új gyökértartomány és az erdő gyökértartománya között jön létre. Ha gyermektartományokat ad az új tartományhoz (létrehozva a tartományfát), a meghatalmazás végighalad a tartományfán a tartományfa gyökeréig, ezáltal kiterjesztve a kezdeti meghatalmazási útvonalat a tartományfa gyökere és az erdő gyökere között. Attól függően, hogy az erdőhöz hozzáadott új tartomány (gyermektartomány nélküli) egyszerű gyökértartomány vagy egy tartományfa, a rendszer kiterjeszti a meghatalmazási útvonalat az erdő gyökértartományán keresztül az erdőben található tetszőleges gyökértartományig. Ennek eredményeként a tranzitív meghatalmazotti kapcsolatok az erdő minden tartományán áthaladnak. A hitelesítési kérelmek követik ezt a meghatalmazási útvonalat, így bármely tartomány fiókja hitelesíthető az erdő bármely másik tartományán. Egyszerű bejelentkezési folyamat végén a megfelelő engedélyekkel rendelkező fiókok hozzáférhetnek az erdő bármelyik tartományához.

A következő ábra azt szemlélteti, hogy a tranzitív meghatalmazotti kapcsolatok hogyan haladnak át az erdő minden tartományán.

Az erdő minden tartományát kétirányú tranzitív meghatalmazási útvonal köti össze.

Az 1. számú tartománynak tranzitív meghatalmazotti kapcsolata van a 2. számú tartománnyal, a 2. számú tartománynak pedig a 3. számú tartománnyal. A 3. számú tartomány felhasználói (a megfelelő engedélyek birtokában) hozzáférhetnek az 1. számú tartomány erőforrásaihoz. Az 1. számú tartománynak tranzitív meghatalmazotti kapcsolata van az A tartománnyal, az A tartomány tartományfája további tartományainak pedig az A tartománnyal. A B tartomány felhasználói így (a megfelelő engedélyek birtokában) hozzáférhetnek a 3. számú tartomány erőforrásaihoz.

Az egy tartományfabeli vagy erdőbeli Windows°2000 tartományok közötti tranzitív meghatalmazásokat explicit módon (manuálisan) is létrehozhatja. A közvetlen meghatalmazások az összetett felépítésű tartományfák vagy erdők meghatalmazási útvonalainak rövidítésére szolgálnak. További információt az Explicit tartománymeghatalmazások című témakörben talál.

Megjegyzés

  • Tranzitív meghatalmazások csak egy erdőn belüli Windows 2000 tartományok között hozhatók létre. A szükségszerű meghatalmazotti folyamatok miatt egy adott Windows 2000 erdőn belül nem lehetséges két tartomány között nem tranzitív meghatalmazotti kapcsolat.

Nem tranzitív meghatalmazás

A nem tranzitív meghatalmazás a meghatalmazotti kapcsolat két tartományához kötött, és nem jut el az erdő egyik további tartományához sem. A nem tranzitív meghatalmazásokat rendszerint explicit módon kell létrehozni (további információt az Explicit tartománymeghatalmazások című témakörben talál).

Megjegyzés

  • A Windows 2000 tartományok és a Windows NT tartományok közötti kapcsolatok mindig nem tranzitív jellegűek. Ha Windows NT rendszerről Windows 2000 rendszerre frissít, az összes létező Windows NT meghatalmazás érintetlen marad. Vegyes üzemmódú környezetben minden Windows NT meghatalmazás nem tranzitív.

A nem tranzitív meghatalmazások alapértelmezés szerint egyirányúak, bár két egyirányú meghatalmazás létrehozásával kétirányú kapcsolatot is létrehozhat. Minden olyan meghatalmazotti kapcsolat nem tranzitív, ahol nem mind a két tartomány Windows 2000 rendszerű.

Összefoglalva, a nem tranzitív meghatalmazás az egyetlen lehetséges meghatalmazotti kapcsolat a következő tartományok között:

  • Windows 2000 tartomány és Windows NT tartomány
  • két különböző erdő Windows 2000 tartománya, valamint
  • Windows 2000 tartomány és MIT Kerberos V5 tartomány (lásd Kerberos V5 hitelesítés).

Meghatalmazási protokollok

A Windows 2000 a felhasználók és az alkalmazások hitelesítését a Kerberos V5 vagy az NTLM protokollok segítségével végzi. A Kerberos V5 protokoll a Windows 2000 operációs rendszert használó számítógépek, illetve a telepített Windows 2000 ügyfélszoftverrel rendelkező számítógépek közötti alapértelmezett protokoll. Ha a tranzakcióban érintett bármely számítógép nem támogatja a Kerberos V5 protokollt, a rendszer az NTLM protokollt használja.

A Kerberos V5 protokoll esetén az ügyfél a fióktartományában lévő valamely tartományvezérlőtől jegyet igényel a meghatalmazott tartomány kiszolgálójához. A jegyet egy, az ügyfél és a kiszolgáló által meghatalmazott közvetítő adja ki. Az ügyfél a meghatalmazott jegyet hitelesítésre bemutatja a meghatalmazó tartomány kiszolgálójának. További információt a Kerberos V5 hitelesítés című témakörben talál.

Ha az ügyfél egy másik tartomány NTML hitelesítést használó tartományában kíván erőforrásokhoz hozzáférni, az erőforrást tartalmazó kiszolgálónak a fiók hitelesítési adatainak ellenőrzéséhez kapcsolatba kell lépnie az ügyfél fiókjának valamely tartományvezérlőjével.


Explicit tartománymeghatalmazások

Az explicit tartománymeghatalmazásokat Ön hozza létre, ellentétben a tartományvezérlő telepítése során automatikusan létrehozottakkal. Explicit meghatalmazásokat az Active Directory – tartományok és meghatalmazások eszköz segítségével tud létrehozni vagy felügyelni. Kétfajta explicit meghatalmazás létezik: külső és közvetlen meghatalmazás A külső meghatalmazások a felhasználó erdőn kívüli tartományban való hitelesítését teszik lehetővé. A közvetlen meghatalmazások összetett erdőkben lerövidítik a meghatalmazási útvonalat.

Külső meghatalmazások

Egyirányú, nem tranzitív meghatalmazás

A külső meghatalmazások erdőn kívüli tartománnyal létesítenek meghatalmazási kapcsolatt. A külső meghatalmazások létrehozásának az az előnye, hogy lehetővé teszik a felhasználó azonosítását olyan tartományban, amely nem tartozik az erdő meghatalmazási útvonalaihoz. Minden külső meghatalmazás egyirányú, és nem tranzitív, mint ahogy az az ábrán is látszik. Egy kétirányú kapcsolat létrehozásához kombinálhat két egyirányú meghatalmazást.

Fontos

  • A vegyes üzemmódú tartományokban a külső meghatalmazásokat mindig törölje a Windows 2000 tartományvezérlőről. A Windows NT 4.0 vagy 3.51 tartományaira vonatkozó külső meghatalmazásokat az erre jogosult rendszergazda törölheti ki a Windows NT 4.0 vagy 3.51 tartományvezérlőin. A Windows NT 4.0 vagy 3.51 tartományvezérlőin azonban csak a kapcsolat meghatalmazotti oldala törölhető. A Windows 2000 tartományban létrehozott meghatalmazói oldalt nem törli a rendszer, és annak ellenére, hogy nem működik, a meghatalmazást az Active Directory – tartományok és meghatalmazások ablak továbbra is kijelzi. A meghatalmazás teljes törléséhez ki kell törölnie a meghatalmazást a meghatalmazó tartomány Windows 2000 tartományvezérlőjéről.

    Ha egy Windows NT 4.0 vagy 3.51 tartományvezérlőről figyelmetlenségből törli ki a külső meghatalmazást, akkor a meghatalmazó tartományban bármelyik Windows 2000 tartományvezérlőről ismét létrehozhatja a meghatalmazást.

Közvetlen meghatalmazások

Mielőtt egy fiók hozzáférési engedélyt kap valamilyen erőforráshoz egy másik tartomány tartományvezérlőjétől, a Windows 2000 operációs rendszernek meg kell vizsgálnia, hogy a kívánt erőforrást tartalmazó tartomány (céltartomány) meghatalmazotti kapcsolatban van-e a fiókot tartalmazó tartománnyal (forrástartomány). Ennek meghatározásához – egy erdőn belüli tartományok esetén – a Windows 2000 meghatalmazási útvonalat keres a forrás- és a céltartomány között. A meghatalmazási útvonal tartományi meghatalmazási kapcsolatok sorozata, amelyeken a Windows 2000 biztonsági rendszere hitelesítési kérelmének át kell haladnia. Egy összetett erdőben valamilyen meghatalmazási útvonal kiszámítása, illetve bejárása hosszú ideig eltarthat. Ezt rövidítheti le a közvetlen meghatalmazásokkal.

A közvetlen meghatalmazások kétirányú, tranzitív meghatalmazások, amelyek lerövidíthetik az útvonalat egy összetett erdőben. Egy erdőn belül a Windows 2000 tartományok közötti közvetlen meghatalmazások explicit módon hozhatók létre. A közvetlen meghatalmazás célja a teljesítmény optimalizálása, azáltal, hogy lerövidíti a Windows 2000 biztonsági rendszer hitelesítési útvonalát. A közvetlen meghatalmazások alkalmazásának leghatékonyabb helye egy erdőn belül két tartományfa között.

Közvetlen meghatalmazások egy Windows 2000 erdőben

Amint az az ábrán látszik, létrehozhat közvetlen meghatalmazást két tartományfa középszintű tartományai között, hogy lerövidítse a meghatalmazási útvonalat egy erdő két Windows 2000 tartománya között, illetve ezzel optimalizálja a Windows 2000 hitelesítési eljárását.

Megjegyzés

  • Szükség esetén létrehozhat egy erdőn belüli tartományok között több közvetlen meghatalmazást is.

Explicit tartománymeghatalmazás létrehozása

Explicit meghatalmazás létrehozásához tudnia kell a tartományok neveit, illetve a maghatalmazások létrehozásához megfelelő jogosultágú felhasználói fiókkal kell rendelkeznie minden tartományban. Minden meghatalmazáshoz tartozik jelszó, amit mindkét tartomány rendszergazdáinak kell tudnia. Az explicit meghatalmazások létrehozásával kapcsolatos utasításokat az Explicit meghatalmazások létrehozása című részben találja.

A tartománymeghatalmazásokról további információt a Tartománymeghatalmazások ismertetése témakörben talál. A hitelesítési eljárásról további információt a Hitelesítés témakörben talál.


Helyek

Helyen belül definiált, több ügyfelelet tartalmazó alhálózat.

Egyszerűen fogalmazva, a helyet úgy lehet elképzelni, mint számítógépek egy vagy több IP-alhálózaton elhelyezkedő csoportját. A meghatározás azért helytálló, mivel a címtáradatok küldése és fogadása miatt egy adott helyen belül a számítógépeknek megfelelő összeköttetéssel kell rendelkezniük, ez pedig az alhálózaton belüli számítógépek jellemző tulajdonsága. Ha egy helyen belül több alhálózat is van, ezeknek az alhálózatoknak ugyanezen okból szintén megfelelő összeköttetéssel kell rendelkezniük. A nagy kiterjedésű hálózatoknak (WAN) több helyet kell tartalmazniuk. Ha nem így történik, a szolgáltatáskérelmek, illetve a címtáradatok replikációjának hatékonysága a WAN hálózaton keresztül nagyon alacsony lesz.

A számítógépek megfelelő összekötéséről a Sávszélesség című témakörben talál további információt.

Milyen kapcsolat van a helyek és a tartományok között?

A helyek a hálózat fizikai felépítését, míg a tartományok a vállalat logikai felépítését követik. A logikai és a fizikai szerkezet egymástól független, ami a következő következményekkel jár:

  • nincs szükségszerű összefüggés a hálózat fizikai szerkezete és a tartománystruktúra között, illetve
  • az Active Directory lehetővé teszi egy helyen több tartomány, illetve egy tartományban több hely használatát is.
    • Különböző helyek egy tartományon belül, illetve különböző tartományok egy helyen belül.
  • Nincs szükség összefüggésre a helyek és a tartományok névterei között sem.

Hogyan használhatók a helyek?

Az Active Directory – helyek és szolgáltatások eszköz lehetővé teszi a helyekre vonatkozó adatok megadását. Az Active Directory ennek alapján határozza meg a rendelkezésre álló hálózati erőforrások legjobb felhasználási módját. A következő műveletek válnak így egyszerűbbé:

  • Szolgáltatáskérelmek

    • Ha egy ügyfél valamilyen szolgáltatást igényel egy tartományvezérlőtől, akkor a kérelem a saját helyén belüli tartományvezérlőhöz jut – amennyiben van ilyen. Az ügyfél felé megfelelő összeköttetéssel rendelkező tartományvezérlő kiválasztása hatékonyabbá teszi a kérelem teljesítését.

  • Replikáció

    • A helyek gördülékenyebbé teszik a címtáradatok replikációját. A címtársémát és a konfigurációs adatokat az egész erdő területén szét kell osztani, a tartományadatokat pedig a tartomány összes tartományvezérlőjéhez el kell juttatni. A replikáció mértékének szándékos és céltudatos csökkentésével a hálózat terhelése számottevően csökkenthető. Az Active Directory gyakrabban replikálja a címtáradatokat helyen belül, mint helyek között. Így a legjobb összeköttetéssel rendelkező tartományvezérlők (amelyeknek a leginkább szükségük van bizonyos címtáradatokra) kapják meg legelőször a replikációkat. Más helyek tartományvezérlői is megkapják az összes címtármódosítást, csak ritkábban; ezzel csökken a hálózati sávszélesség lefoglalásának mértéke.

A nagyszámú ügyfél és a kiszolgáló rendezetlenül kommunikál. Miután helyekre csoportosította őket, az ügyfelek és kiszolgálók sokkal hatékonyabban küldik és fogadják az adatokat.

Ha a hálózat nem tartalmaz helyeket, a tartományvezérlők és ügyfelek közötti adattovábbítás kaotikussá válik. A helyek növelik a hálózat használatának hatékonyságát.

A helytagság eltérően van meghatározva a tartományvezérlők és az ügyfelek számára. Az ügyfél bekapcsolásakor határozza meg, hogy melyik helyhez tartozik, tehát a hely szerinti elhelyezése gyakran dinamikusan frissítődik. A tartományvezérlő hely szerinti besorolását az határozza meg, hogy kiszolgálóobjektuma mely helyhez tartozik a címtárban, így hely szerinti elhelyezése konzisztens lesz – mindaddig, amíg a tartományvezérlő kiszolgálóobjektumát szándékosan át nem helyezik másik helyre. Ha egy tartományvezérlő vagy ügyfél címét egyetlen hely sem tartalmazza, akkor az ügyfél vagy a tartományvezérlő az először létrehozott helyhez (alapértelmezés szerinti első helyhez) tartozik. Ilyenkor az ügyfél vagy a tartományvezérlő minden tevékenységét úgy kezeli a rendszer, mintha az az alapértelmezés szerinti első hely tagja lenne, függetlenül az aktuális IP-címtől vagy alhálózati elhelyezkedéstől. Így minden helyhez állandóan tartozik tartományvezérlő, mivel a legközelebbi tartományvezérlő olyan helyhez rendeli saját magát, amely nem rendelkezik tartományvezérlővel (kivéve ha az alapértelmezés szerinti első hely törölve lett).


Az Active Directory felhasználói és számítógépfiókjai

Az Active Directory felhasználói számítógépfiókjai egy-egy valóságos személyt vagy számítógépet jelölnek. A felhasználói fiókokat és a számítógépfiókokat (valamint a csoportokat) rendszerbiztonsági tagoknak hívják. A rendszerbiztonsági tagok a címtár azon objektumai, amelyekhez a rendszer automatikusan biztonsági azonosítókat rendel. A biztonsági azonosítóval rendelkező objektumok bejelentkezhetnek a hálózatra és hozzáférhetnek a tartomány erőforrásaihoz. A felhasználói és számítógépfiókok az alábbiakra alkalmasak:

  • A felhasználó vagy a számítógép azonosságának hitelesítése
  • Tartomány erőforrásaihoz való hozzáférés engedélyezése vagy letiltása
  • Egyéb rendszerbiztonsági tagok felügyelete
  • A felhasználói vagy számítógépfiókok használatával kapcsolatos események naplózása

A Vállalati rendszergazdák csoporthoz tartozó felhasználói és számítógépfiókok például automatikusan rendelkeznek engedéllyel ahhoz, hogy az erdő összes tartományvezérlőjére bejelentkezzenek.

Felhasználói és számítógépfiókokat az Active Directory – felhasználók és számítógépek segítségével lehet hozzáadni, letiltani, alapállapotba állítani, illetve törölni.

Ha két Windows 2000 tartomány meghatalmazotti viszonyban áll egymással (az egyik egy adott erdőben, a másik pedig az erdőn kívül), akkor a külső tartomány rendszerbiztonsági tagjai engedélyt kaphatnak az erdő erőforrásaihoz való hozzáférésre. Az Active Directory létrehoz egy "külső szereplő" objektumot, amely a meghatalmazott külső tartomány összes rendszerbiztonsági tagját képviseli. Ezek a külső szereplők olyan tartományszintű helyi csoportok tagjaivá válhatnak, amelyek az erdőn kívüli tartományokból származó tagokkal is rendelkezhetnek. A tartománymeghatalmazásokkal kapcsolatban további információt a Tartománymeghatalmazások című témakör tartalmaz.

A külső szereplők címtári objektumait az Active Directory hozza létre, és ezeket nem szabad kézzel módosítani. A külső szereplő objektumokat az Active Directory – felhasználók és számítógépek segítségével jelenítheti meg, ha engedélyezi a Speciális lehetőségek beállítást. A Speciális lehetőségek beállítással kapcsolatban további információt a Speciális lehetőségek megjelenítése című témakör tartalmaz.

Ha két Windows 2000 tartomány meghatalmazotti viszonyban áll egymással (az egyik egy adott erdőben, a másik pedig az erdőn kívül), akkor a külső tartomány rendszerbiztonsági tagjai engedélyt kaphatnak a belső tartomány erőforrásaihoz való hozzáférésre. Az Active Directory létrehoz egy "külső szereplő" objektumot a belső tartományban, amely a meghatalmazott belső tartomány összes szereplőjét képviseli. Ezek a külső szereplők a belső tartomány helyi tartományi csoportjainak tagjaivá válhatnak. (A tartományszintű helyi csoportoknak lehetnek az erdőn kívüli tartományokból származó tagjai is.) A tartománymeghatalmazásokkal kapcsolatban további információt a Tartománymeghatalmazások című témakör tartalmaz.

Az Active Directory felhasználói fiókjai

Az Active Directory felhasználói fiókja lehetővé teszi, hogy a felhasználó olyan azonosító segítségével jelentkezzen be a számítógépekre és tartományokba, amely lehetővé teszi tartomány-erőforrásokhoz való jogszerű hozzáférést. A hálózatra bejelentkező összes felhasználónak saját egyedi felhasználói fiókkal és jelszóval kell rendelkeznie. Bizonyos alkalmazásokban a felhasználói fiókok szolgáltatásfiókként is használhatók.

A Windows 2000 előre meghatározott felhasználói fiókokkal rendelkezik, amelyek lehetővé teszik a bejelentkezést egy Windows 2000 operációs rendszert használó számítógépre. Ezek az előre meghatározott fiókok a következők:

  • Rendszergazda fiók
  • Vendégfiók

Az előre meghatározott fiókok olyan alapértelmezett felhasználói fiókok, amelyek lehetővé teszik, hogy a felhasználók bejelentkezhessenek a helyi számítógépre és hozzáférjenek annak erőforrásaihoz. Ezek a fiókok elsősorban egy helyi számítógépre történő kezdeti belépésre és a gép konfigurálásra szolgálnak. Minden előre meghatározott fiók különböző jogokkal és engedélyekkel rendelkezik. A Rendszergazda fiókhoz tartozik a legtöbb jog és engedély, ugyanakkor a Vendégfiók csak korlátozott jogokkal és lehetőségekkel rendelkezik.

Ha az előre beállított jogokat és engedélyeket nem módosítja vagy tiltja le a hálózat rendszergazdája, akkor azokkal bármelyik felhasználó vagy szolgáltatás bejelentkezhet a hálózatra a rendszergazda vagy a vendég azonosítójával. A felhasználók azonosításának és hitelesítésének biztonsága érdekében az Active Directory – felhasználók és számítógépek segítségével hozzon létre egyedi felhasználói fiókot minden egyes felhasználó számára, aki használni kívánja a hálózatot. Ezután a felhasználói fiókokat (a Rendszergazda fiókot és a Vendégfiókot is) hozzáadhatja a Windows 2000 csoportokhoz a fiókhoz hozzárendelt jogok és engedélyek szabályozására. A hálózat megfelelő fiókjainak és csoportjainak használatával biztosíthatja, hogy a hálózatra bejelentkező felhasználók azonosíthatók legyenek, és csak az engedélyezett erőforrásokhoz férjenek hozzá.

Az Active Directory felhasználói fiókjainak beállításai

Az Active Directory minden felhasználói fiókjának több biztonsági beállítási lehetősége van, amelyek meghatározzák, hogy az adott felhasználói fiókkal bejelentkező személy hogyan azonosítható a hálózaton. Több beállítás vonatkozik a jelszavakra, mint például:

  • A felhasználónak a következő bejelentkezéskor meg kell változtatnia a jelszavát
  • A felhasználó nem változtathatja meg a jelszót
  • A jelszó soha nem jár le
  • Jelszavak tárolása visszafejthető titkosítás használatával

Ezek a beállítások maguktól értetődőek, kivéve a Jelszavak tárolása visszafejthető titkosítás használatával beállítást. Ezt a beállítást abban az esetben válassza, ha a Windows 2000 hálózatra Apple számítógépekről jelentkeztek be felhasználók.

Jelölje be a Tiltott fiók jelölőnégyzetet, ha nem szeretné, hogy a felhasználók az adott fiókkal jelentkezzenek be. Sok rendszergazda használ tiltott fiókokat az általános felhasználói fiókok létrehozását segítő sablonként.

A további beállításokat az Active Directory felhasználói fiókjainak rendszerbiztonsági konfigurációjához használhatja:

  • Intelligenskártyás interaktív bejelentkezés
  • A fiók szerepköre delegálható
  • Bizalmas fiók, nem delegálható
  • DES titkosítástípus használata ehhez a fiókhoz
  • Nem szükséges Kerberos előhitelesítés

Válassza az Intelligens kártyás interaktív bejelentkezés beállítást a nyilvános és személyes kulcsok, jelszavak és más, az adott felhasználói fiókhoz tartozó személyes adatok biztonságos tárolásához. A felhasználó számítógépéhez csatlakoznia kell egy intelligenskártya-olvasónak, és minden felhasználónak rendelkeznie kell személyes azonosítószámra (PIN), hogy bejelentkezhessen a hálózatra.

Válassza A fiók szerepköre delegálható beállítást, ha szeretné megengedni egy felhasználónak, hogy a tartománynévtér egy részére vonatkozó kezelői és felügyeleti jogát másik felhasználónak, csoportnak vagy szervezetnek adhassa át.

A Bizalmas fiók, nem delegálható beállítást akkor válassza, ha a fiók nem jelölhető ki másik fiók által történő delegálásra.

A Nem szükséges Kerberos előhitelesítés beállítást akkor válassza, ha a fiók a Kerberos protokoll egy másik példányát használja. A Kerberos protokoll nem minden példánya alkalmazza ezt a szolgáltatást. A Kerberos kulcskiosztó-központ egy tartományban jegymegadási jegyeket használ hálózati hitelesítésre. A Kerberos protokoll szempontjából lényeges, hogy a Kerberos kulcskiosztó-központ mennyi idő alatt adja ki a jegymegadási jegyeket. A Windows 2000 más időszinkronizálási eljárásokat alkalmaz, így a Kerberos előhitelesítés megfelelően működik.

A DES titkosítástípus használata ehhez a fiókhoz beállítást akkor válassza, ha szüksége van az adattitkosítási szabvány (DES) használatára. A DES többféle titkosítási szintet támogat, többek között az MPPE Standard (40-bit), az MPPE Standard (56-bit), az MPPE Strong (128-bit), az IPSec DES (40-bit), az IPSec 56-bit DES, valamint az IPSec Triple DES (3DES) titkosítási szinteket. A titkosítási típusokkal kapcsolatban további információt a Windows 2000 Súgóban talál.

Számítógépfiókok

Minden Windows 2000 vagy Windows NT operációs rendszert futtató és valamely tartományhoz csatlakozó számítógép rendelkezik számítógépfiókkal. A felhasználói fiókokhoz hasonlóan, a számítógépfiókok is lehetővé teszik a számítógép hálózati csatlakozásának hitelesítését és naplózását, valamint a hálózati erőforrások elérését. A hálózathoz csatlakozó minden számítógépnek saját számítógépfiókkal kell rendelkeznie. A számítógépfiókok is az Active Directory – felhasználók és számítógépek segítségével hozhatók létre.

Megjegyzés

  • A Windows 98 és Windows 95 operációs rendszert futtató számítógépeknek nincsenek a Windows 2000 és Windows NT operációs rendszert futtató számítógépekéhez hasonló speciális biztonsági szolgáltatásai, és nem rendelhetők hozzá Windows 2000 tartományokban lévő számítógépfiókokhoz. Ettől függetlenül bejelentkezhet a hálózatra és használhatja is a Windows 98 és Windows 95 operációs rendszert futtató számítógépeket az Active Directory tartományokban. Bővebb tájékoztatást az Active Directory ügyfelek című témakör nyújt.


A Csoportházirend ismertetése

A Csoportházirend beállításai érintik a számítógép- és a felhasználói fiókokat, és helyekre, tartományokra vagy szervezeti egységekre egyaránt vonatkozhatnak. A Csoportházirend segítségével biztonsági beállításokat konfigurálhat, alkalmazásokat kezelhet, kezelheti az Asztal megjelenését, parancsfájlok hozzárendelését végezheti el, illetve a helyi számítógépek mappáit hálózati helyre irányíthatja át.

Néhány példa a Csoportházirend beállításainak alkalmazására:

  • Beállíthatja egy adott jelszó minimális hosszát, illetve azt a maximális időtartamot, amíg a jelszó érvényes marad – e beállításokat konfigurálhatja az egész tartományra is.
  • A rendszergazdák automatikusan telepíthetnek alkalmazásokat egy adott tartomány bármelyik számítógépén, illetve egy adott hely meghatározott csoportjához rendelt bármelyik számítógépen. Automatikusan telepítheti például a Microsoft Outlook programot a tartomány összes számítógépére, vagy akár a Microsoft Excel alkalmazást egy adott hely Számlázás csoportjához tartozó számítógépekre.
  • Egyedi bejelentkezési és kijelentkezési parancsfájlokat rendelhet a felhasználói fiókokhoz minden szervezeti egységben.
  • Ha egy bizonyos csoport tagjai gyakran használnak különböző számítógépeket, a rendszergazdák mindegyik számítógépen telepíthetik az alkalmazásokat.
  • Bármely felhasználó Dokumentumok mappáját átirányíthatja egy hálózati helyre, így a felhasználók a hálózat bármelyik számítógépéről hozzáférhetnek dokumentumaikhoz.

További információt a Csoportházirend című témakör tartalmaz.


A DNS-integráció ismertetése

A DNS az Active Directory integrált eleme, és ugyanazt a névteret osztják meg, de fontos kiemelni a kettő közötti különbséget.

  • A DNS névhozzárendelési szolgáltatásként működik.

    • A DNS-ügyfelek a DNS-névlekérdezéseket DNS-kiszolgálójukhoz küldik. A DNS-kiszolgáló fogadja a névlekérdezést és hozzárendeli a nevet a megfelelő számítógéphez vagy ügyfélhez, vagy egy másik DNS-kiszolgálótól kéri a hozzárendelést. A DNS működéséhez nem szükséges az Active Directory.

  • Az Active Directory címtárszolgáltatást nyújt.

    • Az Active Directory adatokat biztosít a felhasználóknak és az alkalmazásoknak, valamint szolgáltatásokat az adatok eléréséhez. Az Active Directory ügyfelek a Lightweight Directory Access Protocol (LDAP) használatával küldenek lekérdezéseket az Active Directory kiszolgálóinak. Valamely Active Directory kiszolgáló megkereséséhez az Active Directory ügyfelek a DNS-t kérdezik le. Az Active Directory működéséhez elengedhetetlen a DNS szolgáltatás.

Az Active Directory a DNS-t kereséshez használja: ez a szolgáltatás rendeli az Active Directory tartományainak, helyeinek és szolgáltatásainak neveit IP-címekhez. Az Active Directory ügyfelei az adott Active Directory tartományra való bejelentkezéshez az adott tartomány tartományvezérlőjén futó LDAP-szolgáltatás IP-címét DNS-kiszolgálójukról kérdezik le. Az Active Directory ügyfelei és a DNS közötti kapcsolatról az Active Directory ügyfelek című témakör nyújt bővebb felvilágosítást.

A DNS-kiszolgálók Active Directoryval szemben támasztott követelményei

Az Active Directory megfelelő működéséhez a DNS-kiszolgálóknak támogatniuk kell a 2052. számú RFC-dokumentumban bemutatott SRV-erőforrásrekordokat (lásd a dokumentum A DNS RR for specifying the location of services (DNS SRV) című részét). Az SRV-erőforrásrekordok hozzárendelik a szolgáltatás nevét a szolgáltatást nyújtó kiszolgálóhoz. Az Active Directory ügyfelek és tartományvezérlők a tartományvezérlők IP-címének meghatározásához SRV-rekordokat használnak. Az Active Directory szolgáltatás ugyan nem követeli meg, de ajánlott, hogy a DNS-kiszolgálók támogassák a 2136. számú RFC-dokumentumban ismertetett dinamikus DNS-frissítést (lásd a dokumentum Observations on the use of Components of the Class A Address Space within the Internet című fejezetét).

A Windows 2000 DNS szolgáltatása támogatja mind az SRV-rekordokat, mind a dinamikus frissítéseket. Ha nem Windows 2000 DNS-kiszolgálót használ, ellenőrizze, hogy az támogatja-e az SRV-erőforrásrekordok használatát. Ha nem, frissíteni kell olyan verzióra, amely támogatja az SRV-erőforrásrekordokat. Egy Windows NT Server 4.0 DNS-kiszolgálót legalább a Service Pack 4 csomaggal kell frissítenie ahhoz, hogy az támogassa az SRV-erőforrásrekordokat. Az olyan DNS-kiszolgálókat, amelyek támogatják az SRV-rekordokat, de nem támogatják a dinamikus frissítést, frissítenie kell a Netlogon.dns fájl tartalmával – ezt a fájlt az Active Directory telepítő varázsló hozza létre a Windows 2000 Server tartományvezérlővé történő kinevezésekor. A Netlogon.dns fájl leírását a következő rész tartalmazza.

DNS-kiszolgálók és az Active Directory telepítő varázsló

Az Active Directory telepítő varázsló alapértelmezés szerint olyan mérvadó DNS-kiszolgálót próbál keresni a konfigurált tartományhoz a konfigurált DNS-kiszolgálókat tartalmazó listáról, amely támogatja az SRV-erőforrásrekordok dinamikus frissítését. Ha talál ilyet, a DNS-kiszolgáló a tartományvezérlő újraindítása után a tartományvezérlő összes rekordját automatikusan regisztrálja.

Ha a varázsló nem talál olyan DNS-kiszolgálót, amely támogatná a dinamikus frissítést (vagy mert a DNS-kiszolgáló nem támogatja a dinamikus frissítést, illetve a dinamikus frissítések nem engedélyezettek a tartományon), akkor a következő lépésekkel biztosítja az SRV-erőforrásrekordok kötelező regisztrációját végrehajtó telepítési folyamat elvégzését:

  1. Telepíti a DNS-szolgáltatást a tartományvezérlőn, és automatikusan konfigurálja azt az Active Directory tartományon alapuló zónával.

    2. Ha az erdő első tartományának választott tartományneve például budapest.microsoft.com, akkor az új tartományvezérlő DNS-szolgáltatásának használatához egy budapest.microsoft.com DNS-tartománynév gyökerű zónát ad hozzá és állít be.

  2. Létrejön egy, a megfelelő tartományvezérlő DNS-erőforrásrekordjait tartalmazó szövegfájl.

    3. A Netlogon.dns nevű fájlt a %rendszergyökér%\System32\config mappában hozza létre, amely tartalmazza a tartományvezérlő erőforrásrekordjainak regisztrációjához szükséges összes rekordot. A Netlogon.dns fájlt a Windows 2000 NetLogon szolgáltatása használja, de használható nem Windows 2000 DNS-kiszolgálókon is: segítségével e kiszolgálók támogatják az Active Directoryt.

Ha olyan DNS-kiszolgálót használ, amely támogatja az SRV-erőforrásrekordokat, de nem támogatja a dinamikus frissítést (például UNIX alapú DNS-kiszolgálók, illetve a Windows NT Server 4.0 DNS-kiszolgálói), akkor manuálisan importálhatja a Netlogon.dns rekordjait a megfelelő elsődleges zónafájlokba. Ezzel a megoldással saját kezűleg konfigurálhatja az elsődleges zónát a kiszolgálón az Active Directory támogatásához.


A csoportok ismertetése

Erről az oldalról a következő témaköröket érheti el:

  • Csoporttípusok
  • Csoporthatókörök
  • Beépített és előre definiált csoportok
  • Speciális azonosítók
  • A Windows 2000 Professional operációs rendszerben és önálló kiszolgálókon működő csoportok
  • Csoportok beágyazása
  • Tartományüzemmódok és csoportok
  • A csoportok hatása a hálózati teljesítményre


Csoporttípusok

A Windows 2000 operációs rendszerben két csoporttípus létezik:

  • Biztonsági csoportok
  • Címzési csoportok

A biztonsági csoportok az erőforrások és objektumok engedélyeket meghatározó tulajdonosi hozzáférés-szabályozási listán (DACL) szerepelnek. A biztonsági csoportok elektronikus levelezési címzettként is használhatók. A csoportnak küldött elektronikus levelet a csoport összes tagja megkapja.

Az címzési csoportok nem biztonságengedélyezett csoportok. Nem szerepelhetnek a DACL-listákban sem. A címzési csoportok csak elektronikus levelező alkalmazásokkal (például az Exchange alkalmazással) használhatók elektronikus levelek felhasználócsoportoknak való küldésére. Ha nincs szüksége biztonsági célú csoportra, hozzon létre címzési csoportot biztonsági csoport helyett.

A csoportok felügyeletével kapcsolatos eljárásokról további információt a Csoportok kezelése című témakör tartalmaz.

Megjegyzés

  • Kapcsolatot mind a biztonsági csoportokhoz, mind a címzési csoportokhoz hozzá lehet adni, de ezekhez nem lehet jogokat és engedélyeket hozzárendelni. A csoportban kialakult kapcsolatok részére elektronikus levelek küldhetők.

Biztonsági és címzési csoportok konvertálása

Biztonsági csoportot címzési csoporttá, és címzési csoportot biztonsági csoporttá bármikor lehet konvertálni, ha a tartomány natív üzemmódban működik. Vegyes üzemmódú tartományban nem lehet csoportokat konvertálni.

Az eljárással kapcsolatos további információkat a Csoport típusának konvertálása című témakör tartalmaz.


Csoporthatókörök

Minden biztonsági, illetve címzési csoport rendelkezik hatókörrel, amely megszabja, hogy a csoport a tartományfán illetve az erdőn belül milyen mértékben használható. Három különböző hatókör létezik: az univerzális, a globális és a tartományszintű.

  • Univerzális hatókörű csoport tagjai a tartományfa vagy az erdő bármelyik Windows 2000 tartományából származó fiókok vagy csoportok lehetnek, és a tartományfa vagy az erdő bármelyik tartományában kaphatnak engedélyt. Az univerzális hatókörű csoportokat univerzális csoportoknak nevezik.
  • Globális hatókörű csoport tagjai csak olyan fiókok vagy csoportok lehetnek, amelyek annak a tartománynak tagjai, ahol a csoport definiálva lett. Globális hatókörű csoportnak az erdő bármelyik tartományában adható engedély. A globális hatókörű csoportokat globális csoportoknak nevezik.
  • A tartományszintű hatókörrel rendelkező csoportoknak csak egy Windows 2000 vagy Windows NT tartományszintű helyi csoport vagy fiók lehet a tagja, és csak egy tartományon belüli engedélyek megadására használható. A tartományon belüli hatókörű csoportokat tartományszintű helyi csoportoknak is nevezik.

Több erdő esetén a csak egy erdőben definiált felhasználók nem lehetnek másik erdőben definiált csoportok tagjai, illetve a csak egy erdőben definiált csoportoknak nem lehetnek engedélyeik másik erdőben.

A következő táblázat összefoglalja a különböző csoporthatókörök tulajdonságait.

Univerzális hatókörű csoportok | Globális hatókörű csoportok | Tartományszintű helyi csoportok
Natív üzemmódú tartományok tagjai bármely tartomány fiókjaiból, bármely tartomány globális csoportjaiból, illetve bármely tartomány univerzális csoportjaiból származhatnak. | Natív üzemmódú tartományok tagjai ugyanazon tartomány fiókjai és ugyanazon tartomány globális csoportjai lehetnek. | Natív üzemmódú tartományok tagjai bármely tartomány fiókjaiból származó fiókok, globális csoportok és univerzális csoportok, valamint ugyanabból a tartományból származó tartományi csoportok lehetnek.
Natív üzemmódú tartományokban nem lehet univerzális hatókörű biztonsági csoportokat létrehozni. | Natív üzemmódú tartományok tagjai ugyanabból a tartományból származó fiókok lehetnek. | Natív üzemmódú tartományok tagjai bármely tartományból származó fiókok és globális csoportok lehetnek.
Csoportokat elhelyezhet más csoportokban (ha a tartomány natív módú), és bármely tartományban rendelhet hozzájuk engedélyeket. | Csoportokat elhelyezhet más csoportokban, és bármely tartományban rendelhet hozzájuk engedélyeket. | Csoportokat elhelyezhet más tartományszintű helyi csoportokban, és ugyanabban a tartományban rendelhet hozzájuk engedélyeket.
Nem konvertálható másik csoporthatókörré. | Univerzális hatókörré konvertálható, ha a csoport nem tagja más globális hatókörű csoportnak. | Univerzális hatókörré konvertálható, ha a csoport nem tagja más tartományszintű helyi csoportnak.

Csoporthatókör megváltoztatása

Ha új csoportot hoz létre, az új csoport alapértelmezés szerint –az aktuális tartománymódtól függetlenül – globális hatókörű biztonsági csoportként lesz konfigurálva. Vegyes módú tartományokban a hatókör megváltoztatása nem engedélyezett, de natív módú tartományokban a következő konverziókat lehet végrehajtani:

  • Globális univerzálissá Ez csak akkor engedélyezett, ha a csoport nem tagja másik globális hatókörű csoportnak.
  • Tartományszintű helyi hatókör univerzálissá A konvertált csoportnak azonban nem lehetnek tagjai a tartományszintű helyi csoportok a tagjai.

Az eljárás részleteiről további információt a Csoporthatókör megváltoztatása című témakörben talál.


Beépített és előre definiált csoportok

Tartományvezérlő telepítésekor több alapértelmezett csoport kerül az Active Directory – felhasználók és számítógépek konzol Beépített, illetve Felhasználók mappájába. Ezek a csoportok olyan közös jogosultságokkal és engedélyekkel rendelkező biztonsági csoportok, amelyekkel bizonyos szerepkörök, jogok és engedélyek adhatók az alapértelmezett csoportokba helyezett fiókok és csoportok számára.

A tartományszintű hatókörrel rendelkező alapértelmezett csoportok a Beépített mappában találhatók. Az előre meghatározott globális hatókörű csoportok a Felhasználók mappában vannak. A beépített és az előre definiált csoportok áthelyezhetők a tartomány másik csoport- vagy szervezetiegység-mappájába, de másik tartományba nem.

Beépített csoportok

Az Active Directory – felhasználók és számítógépek eszköz Beépített mappájába helyezett alapértelmezett csoportok a következők:

  • Fiókfelelősök
  • Rendszergazdák
  • Biztonságimásolat-felelősök
  • Vendégek
  • Nyomtatófelelősök
  • Replikátor
  • Kiszolgálófelelősök
  • Felhasználók

Ezeknek a beépített csoportoknak tartományszintű hatókörük van, és elsősorban arra szolgálnak, hogy bizonyos felügyeleti feladattal rendelkező felhasználóknak alapértelmezett engedélykészletet lehessen megadni. Egy tartomány Rendszergazdák csoportja például széleskörű felügyeleti jogokkal rendelkezik a tartomány minden fiókja és erőforrása felett.

A következő táblázat az ilyen jellegű csoportok alapértelmezett jogait ismerteti:

Felhasználói jog | Engedélyezi | Az adott joggal alapértelmezés szerint rendelkező csoportok
Az adott számítógép elérése a hálózatról | Csatlakozás a számítógéphez hálózaton keresztül. | Rendszergazdák, Mindenki, Kiemelt felhasználók
Biztonsági másolat készítése fájlokról és mappákról | Biztonsági másolat készítése fájlokról és mappákról Ez a jog hatálytalanítja a fájlokra és mappákra vonatkozó engedélyeket. | Rendszergazdák, Biztonságimásolat-felelősök
Szülőkönyvtár-jogosultság mellőzése | A mappák közötti átjárás biztosítása akkor is, ha a felhasználónak nincs hozzáférési engedélye a szülőmappához. | Mindenki
Rendszeridő megváltoztatása | A számítógép belső órájának beállítása. | Rendszergazdák, Kiemelt felhasználók
Lapozófájl létrehozása | Nincs hatása. | Rendszergazdák
Hibakeresés programokban | Hibakeresés különböző alacsony szintű objektumokon. | Rendszergazdák
Távirányított rendszerleállítás | Távoli számítógép leállítása. | Rendszergazdák
Ütemezési prioritás növelése | Egy folyamat végrehajtási prioritásának növelése. | Rendszergazdák, Kiemelt felhasználók
Eszközillesztők betöltése és eltávolítása | Eszközillesztők telepítése és eltávolítása. | Rendszergazdák
Helyi bejelentkezés | Bejelentkezés a számítógépre a billentyűzet használatával. | Rendszergazdák, Biztonságimásolat-felelősök, Mindenki, Vendégek, Kiemelt felhasználók és Felhasználók
Naplózás felügyelete | A naplózandó erőforrás-hozzáférés típusának (például fájlhozzáférés) meghatározása, valamint a biztonsági napló megjelenítése és törlése. Ez a jog nem teszi lehetővé a felhasználónak a rendszer naplózási házirendjének beállítását. A Rendszergazdák csoport tagjai bármikor megjeleníthetik és törölhetik a biztonsági naplót. | Rendszergazdák
Belső vezérlőprogram környezeti változóinak módosítása | A hosszú távú RAM memóriájában tárolt rendszerkörnyezeti változók megváltoztatása olyan számítógépeken, amelyek támogatják az ilyen típusú konfigurációt. | Rendszergazdák
Adott folyamat adatainak összegyűjtése | Egy folyamat adatainak összegyűjtése (teljesítményértékelés). | Rendszergazdák, Kiemelt felhasználók
A rendszerteljesítmény adatainak összegyűjtése | Számítógép adatainak összegyűjtése (teljesítményértékelés). | Rendszergazdák
Fájlok és mappák helyreállítása | Fájlok és mappák helyreállítása biztonsági másolatokból. Ez a jog hatálytalanítja a fájl- és könyvtárengedélyeket. | Rendszergazdák, Biztonságimásolat-felelősök
A rendszer leállítása | A Windows 2000 leállítása. | Rendszergazdák, Biztonságimásolat-felelősök, Mindenki, Kiemelt felhasználók és Felhasználók
Fájlok és egyéb objektumok saját tulajdonba vétele | A számítógépen lévő (vagy ahhoz csatolt) fájlok, mappák, nyomtatók és egyéb objektumok birtokba vétele. Ez a jog hatálytalanítja az objektumokat védelmező engedélyeket. A fájlokkal és a mappákkal kapcsolatos engedélyekről további információt A megosztott mappákkal kapcsolatos engedélyek című témakörben talál. | Rendszergazdák

Előre definiált csoportok

Az Active Directory – felhasználók és számítógépek eszköz Felhasználók mappájában a következő előre definiált csoportok találhatók:

  • Csoportnév
  • Bizonyítványkiadók
  • Tartomány rendszergazdái
  • Tartományi számítógépek
  • Tartományvezérlők
  • Tartományi vendégek
  • Tartományfelhasználók
  • Vállalati rendszergazdák
  • Csoportházirend-rendszergazdák
  • Sémagazdák

Ezek a globális hatókörű csoportok a tartomány különböző felhasználói fiókjainak (normál felhasználók, rendszergazdák és vendégek) csoportosítására használhatók. Ezután ezeket a csoportokat elhelyezheti tartományszintű helyi csoportokban az adott, illetve bármely más tartományban.

Alapértelmezés szerint minden létrehozott felhasználói fiók automatikusan a Tartományfelhasználók, minden számítógépfiók pedig a Tartományi számítógépek csoportba kerül. A Tartományfelhasználók és a Tartományi számítógépek csoportok segítségével a tartományban létrehozott összes fiókra hivatkozhat. Például, ha azt szeretné, hogy a tartomány összes felhasználója hozzáférjen egy nyomtatóhoz, a Tartományfelhasználók csoporthoz hozzárendelheti a nyomtatóval kapcsolatos engedélyeket (vagy behelyezheti a Tartományfelhasználók csoportot egy másik, a tartományon belüli csoportba, amelynek van engedélye a nyomtatóhoz). A csoportok használatáról további információt a Csoportok használata című témakörben talál.

Alapértelmezés szerint a Tartományfelhasználók csoport tagja ugyanazon tartomány Felhasználók csoportjának.

A Tartománygazdák csoport tömöríti azokat a felhasználókat, akik széles körű felügyeleti joggal rendelkeznek a tartományban. A Windows 2000 Server egyetlen fiókot sem helyez automatikusan ebbe a csoportba, de ha azt szeretné, hogy egy fiók abszolút felügyeleti joggal rendelkezzen egy tartományban (és esetleg más tartományokban is), akkor a fiókot behelyezheti a Tartománygazdák csoportba. Mivel a Windows 2000 Server támogatja a jogok delegálását, nem kell sok felhasználónak adnia ilyen széles körű felügyeleti jogokat.

Egy tartomány Tartománygazdák csoportja alapértelmezés szerint tagja ugyanazon tartomány Rendszergazdák csoportjának.

A Tartományi vendégek csoport alapértelmezés szerint tagja ugyanazon tartomány Vendégek csoportjának, és automatikusan tartalmazza a tartomány alapértelmezett Vendég felhasználói fiókját.


Speciális azonosítók

A Beépített és a Felhasználók mappában lévő csoportokon kívül a Windows 2000 Server rendszer több speciális azonosítót is tartalmaz. Az egyszerűség kedvéért ezeket az azonosítókat is rendszerint csoportoknak nevezik. Ezek a speciális csoportok nem rendelkeznek meghatározott tagsággal – a körülményektől függően különböző időpontokban különböző felhasználókat képviselhetnek. Ezek a speciális csoportok a következők:

  • Mindenki

    Az összes aktuális hálózati felhasználót jelenti, beleértve a vendégeket és a másik tartománybeli felhasználókat is. Ha egy adott felhasználó bejelentkezik a hálózatra, automatikusan a Mindenki csoport tagja lesz.

  • Hálózat

    Valamely erőforráshoz a hálózaton keresztül pillanatnyilag hozzáférő felhasználók összességét jelenti (ellentétben azokkal a felhasználókkal, akik helyileg jelentkeznek be arra a számítógépre, amelyen az erőforrás található). Ha egy felhasználó a hálózaton keresztül valamely erőforráshoz kapcsolódik, akkor automatikusan a Hálózat csoport tagjává válik.

  • Interaktív

    Azon felhasználók összességét jelöli, akik pillanatnyilag be vannak jelentkezve egy adott számítógépre, és egy, az azon a számítógépen található erőforrást használnak (ellentétben a hálózaton keresztül hozzáférő felhasználókkal). Ha a felhasználó olyan erőforrást használ, amely azon a számítógépén található, amelyikre be van jelentkezve, automatikusan az Interaktív csoport tagja lesz.

Habár a speciális azonosítókhoz erőforrásokhoz való hozzáférést lehetővé tévő engedélyeket rendelhet, tagságukat nem módosíthatja és nem tekintheti meg. Nem észlelhetők akkor sem, amikor csoportfelügyeleti műveletet hajtanak végre, és nem tehetők más csoportok tagjaivá sem. A csoporthatókörök hatálya a speciális azonosítókra nem érvényes. Ha egy felhasználó bejelentkezik vagy egy adott erőforráshoz kapcsolódik, automatikusan a speciális azonosítók tagja lesz.


A Windows 2000 Professional operációs rendszerben és önálló kiszolgálókon működő csoportok

A csoportokkal kapcsolatos funkciók közül néhány – például az univerzális csoportok alkalmazása, a csoportok beágyazása és a biztonsági és címzési csoportok megkülönböztetése – csak az Active Directoryt használó tartományvezérlőkön és tagkiszolgálókon áll rendelkezésre. A Windows 2000 Professional operációs rendszer csoportfiókjai és a Windows 2000 Server önálló kiszolgálók csoportfiókjai a Windows NT 4.0 rendszerben megszokott módon működnek.

  • Csak helyi csoportokat lehet a számítógépen lokálisan létrehozni.
  • A számítógépen létrehozott helyi csoportnak csak az adott számítógépen lehet engedélyeket adni.

A Windows 2000 tartományra csatlakozó, Windows 2000 Professional rendszert futtató számítógép a tartomány további előnyeit is kihasználhatja. Megjelenítheti a tartomány globális és univerzális csoportjait, valamint az erdő többi tartományának globális és univerzális csoportjait is. Ezekhez a csoportokhoz hozzárendelhet a helyi számítógépre vonatkozó engedélyeket, vagy áthelyezheti őket a helyi számítógépcsoportok közé.


Csoportok beágyazása

Az adott csoportot beágyazással egy másik csoport tagjává teheti. A csoportok beágyazásával összevonhatja a csoportok kezelését, ezáltal növelheti az érintett felhasználói fiókok számát, és csökkentheti a csoporttagság módosítása miatt szükséges replikációs adatforgalom nagyságát.

A beágyazási lehetőségek attól függenek, hogy a tartomány natív vagy vegyes üzemmódban működik-e. A natív módú tartományok csoportjai, illetve a vegyes módú tartományok címzési csoportjai tagságának meghatározása a következő:

  • Az univerzális hatókörű csoportok tagjai fiókok, számítógépfiókok, más univerzális hatókörű csoportok, illetve globális hatókörű csoportok bármelyik tartományból származhatnak.
  • A globális hatókörű csoportok tagjai ugyanazon tartománybeli fiókok és ugyanazon tartománybeli más globális hatókörű csoportok lehetnek.
  • A tartományon belüli helyi hatókörű csoportok tagjai bármelyik tartományban lévő fiókok, univerzális hatókörű csoportok, illetve globális hatókörű csoportok lehetnek. Ezenkívül tagjai lehetnek még ugyanabban a tartományban létrehozott más tartományon belüli csoportok is.

A biztonsági csoportok tagsága vegyes üzemmódú tartományokban a következők szerint korlátozott:

  • A globális hatókörű csoportok tagjai csak fiókok lehetnek.
  • A tartományon belüli helyi hatókörű csoportok tagjai globális hatókörű csoportok és fiókok lehetnek.

Vegyes módú tartományokban nem lehet univerzális hatókörű csoportokat létrehozni, mivel az univerzális hatókört csak a Windows 2000 natív módú tartományai támogatják.


Tartományüzemmódok és csoportok

A következő táblázat összefoglalja a tartományüzemmódok csoportokra gyakorolt hatását. További részleteket a Csoporttípusok, a Csoporthatókörök és a Csoportok beágyazása című témakörökben talál.

Natív üzemmódú tartományok | Vegyes üzemmódú tartományok
A biztonsági és a címzési csoportok egyaránt lehetnek univerzális hatókörűek. | Csak a címzési csoportok lehetnek univerzális hatókörűek.
A csoportok teljes beágyazása megengedett. | A biztonsági csoportok esetében a csoportok beágyazása csak azon tartományszintű helyi csoportok esetében lehetséges, amelyek globális hatókörű tagcsoportokkal rendelkeznek (Windows NT 4.0 szabály). Címzési csoportok esetében a csoportok teljes beágyazása megengedett.
A csoportok szabadon konvertálhatók a biztonsági csoportokból címzési csoportokká és viszont. A globális vagy tartományszintű helyi csoportok univerzális hatókörű csoporttá konvertálhatók. | A csoportok nem konvertálhatók.

A csoportok tagjai kapcsolatok és fiókok lehetnek, natív és vegyes üzemmódban egyaránt.


A csoportok hatása a hálózati teljesítményre

Ha egy felhasználó bejelentkezik valamely Windows 2000 tartományba, a Windows 2000 tartományvezérlő meghatározza, hogy a felhasználó melyik csoporthoz tartozik. A Windows 2000 létrehoz egy biztonsági tokent, és a felhasználóhoz rendeli azt. A biztonsági token tartalmazza a felhasználói fiókazonosítót, és felsorolja minden olyan biztonsági csoport biztonsági azonosítóját, amelynek a felhasználó tagja. A csoporttagság a hálózati teljesítményt az alábbiak miatt befolyásolja:

  • a bejelentkezés hosszabb ideig tart
  • a rendszer univerzális hatókörű csoportokat replikál, és
  • a hálózati sávszélességet több művelet veszi igénybe.

A bejelentkezés

A biztonsági token létrehozása egy bizonyos időt vesz igénybe. Ha több biztonsági csoporthoz tartozik a felhasználó, hosszabb időbe telik a biztonsági token létrehozása, vagyis tovább tart a hálózati bejelentkezés. E hatás jelentősége nagy mértékben függ a hálózati sávszélességtől és a bejelentkezést kezelő tartományvezérlő konfigurációjától.

Előfordulhat, hogy elektronikus levelezési elosztási listaként kíván létrehozni egy csoportot, és nem kíván a tagokhoz engedélyeket hozzárendelni. A bejelentkezés gyorsaságának növelése érdekében az ilyen csoportokat címzési csoportként, és ne biztonsági csoportként hozza létre. A felhasználó biztonsági tokenjének létrehozásakor a Windows 2000 rendszer nem veszi figyelembe a címzési csoportokat, így ezzel csökkentheti a token méretét, és rövidebb lesz a létrehozásához szükséges idő.

Univerzális csoportok replikációja

A globális katalógus adatainak változásait a rendszer az erdő összes globális katalógusába replikálja. A globális katalógus az univerzális hatókörű csoportok és azok tagjainak listáját is tartalmazza. Ha egy univerzális hatókörű csoportnak egyetlen tagja is megváltozik, a rendszer az egész csoporttagságot replikálja a tartományfa vagy az erdő összes globális katalógusába.

A globális és a tartományon belüli helyi hatókörű csoportok szintén szerepelnek a globális katalógusban, de nincsenek tagjaik. Ez csökkenti a globális katalógus méretét, és rendkívüli mértékben csökkenti a globális katalógus frissítéséhez szükséges replikációs adatforgalom mértékét. Javíthatja tehát a hálózat teljesítményét, ha a gyakran változó címtárobjektumokat globális vagy tartományon belüli helyi hatókörű csoportba szervezi.

Hálózati sávszélesség

A felhasználó biztonsági tokenjét minden olyan számítógép megkapja, amelyhez a felhasználó kapcsolódik, így a token biztonsági azonosítói és a számítógép erőforrásainak engedélyei összevetéséből eldöntheti, hogy a felhasználó rendelkezik-e engedélyekkel a kérdéses számítógép használatához. A célszámítógép azt is ellenőrzi, hogy a token valamelyik biztonsági azonosítója nem tartozik-e esetleg a számítógép valamelyik helyi csoportjához.

Minél több csoporthoz tartozik az adott felhasználó, annál nagyobb a biztonsági tokenje. Ha a hálózathoz sok felhasználó tartozik, a nagyméretű biztonsági tokenek jelentős hatással lehetnek a hálózati sávszélességre és a tartományvezérlő feldolgozóképességére.

Tegyük fel például, hogy egy adott tartomány 500 fájlmegosztást tartalmaz, és mindegyikre egy tartományi helyi csoport olvasási hozzáférést biztosító engedélye vonatkozik. Ha a legtöbb felhasználó a legtöbb megosztáshoz hozzáféréssel rendelkezik, akkor a legtöbb személynek körülbelül 500 biztonsági azonosítót tartalmaz a tokenje. Ez sok időt vehet igénybe, és jelentős hálózati adatforgalommal jár.


Active Directory címtárszolgáltatás

A rész tartalma:

  • Active Directory objektumnevek
  • Active Directory ügyfelek
  • Címtár adattároló
  • Globális katalógus
  • Címtár-hozzáférési protokoll
  • Egyedi főkiszolgáló-műveletek
  • Replikáció
  • Az Active Directory séma ismertetése


Active Directory objektumnevek

Az Active Directory minden objektuma az Active Directory sémában definiált valamelyik osztály példánya. Minden osztálynak van attribútuma, amely biztosítja

  • az egyes objektumok (valamely osztály egyes példányai) egyedi azonosítását a címtáradat-tárolóban
  • a visszamenőleges kompatibilitást a Windows NT 4.0 és más korábbi verziók biztonsági azonosítóival, valamint
  • az LDAP címtárobjektumok neveire vonatkozó szabványaival való kompatibilitást.

A sémákról, osztályokról és attribútumokról további információt talál Az Active Directory sémája – áttekintés című témakörben.

Az Active Directory minden objektumára több különböző név utalhat. Az Active Directory az objektumok létrehozásakor vagy módosításakor kapott információk alapján minden objektumhoz létrehoz egy relatív megkülönböztető nevet és egy kanonikus nevet. Az egyes objektumokra megkülönböztető nevükkel hivatkozhat: a név az objektum és annak szülő-tárolóobjektumai relatív megkülönböztető nevéből származik.

  • Az LDAP relatív megkülönböztető név egyértelműen meghatározza az objektumot a szülőtárolóban. A "sajátgép" nevű számítógép relatív megkülönböztető neve például CN=sajátgép.
  • Az LDAP megkülönböztető név globálisan egyedi. A "sajátgép" nevű, a "microsoft.com" tartományban és a "szervezeti_egység" nevű szervezeti egységben lévő számítógép megkülönböztető neve például CN=sajátgép, OU=szervezeti_egység, DC=microsoft, DC=com.
  • A kanonikus név ugyanúgy jön létre mint a megkülönböztető név, de más a jelölése. Az előző példában szereplő számítógép kanonikus neve például Microsoft.com/szervezeti_egység/sajátgép lenne.

A rendszerbiztonsági objektumok az Active Directory olyan objektumai, amelyekhez biztonsági azonosító tartozik. Hálózati bejelentkezéshez használhatók, valamint erőforráshoz történő hozzáférés rendelhető hozzájuk. A rendszergazdának egyedi neveket kell adnia az adott tartományon belüli rendszerbiztonsági tag típusú objektumoknak (felhasználói fiókoknak, számítógépfiókoknak és csoportoknak).

Gondolja végig, mi történik, ha új felhasználói fiókot ad a címtárhoz. Meg kell adnia egy hálózati bejelentkezési nevet, a felhasználói fiókot tartalmazó tartomány nevét, valamint más (attribútumoknak nevezett) leíró adatokat is (például vezetéknév, utónév, telefonszám stb.). A címtár az összes adatot rögzíti.

A rendszerbiztonsági tag neve a 2253. számú RFC-dokumentumban definiált speciális LDAP-karaktereken kívül bármilyen Unicode karaktert tartalmazhat. Ezen speciális karakterek a vezető vagy záró szóköz, illetve a # , + " \ < > és ; karakterek.

A rendszerbiztonsági tagok nevének az alábbi követelményeknek kell eleget tenniük:

A fióknév típusa | Maximális méret | Speciális korlátozások
Felhasználói fiók | 20 karakter vagy 20 bájt a karakterkészlettől függően, az önálló karakterek 1 bájtnál többet foglalhatnak el. | A fióknevek nem tartalmazhatnak kizárólag pontokat (.), szóközöket vagy @ karaktereket. A név előtt álló pontot vagy szóközt a rendszer eltávolítja.
Számítógépfiók | 15 karakter vagy 15 bájt a karakterkészlettől függően, az önálló karakterek 1 bájtnál többet foglalhatnak el. | A számítógépfiókok nem tartalmazhatnak csak számokat, pontokat (.) vagy szóközöket. A név előtt álló pontot vagy szóközt a rendszer eltávolítja.
Csoportfiók | 63 karakter vagy 63 bájt a karakterkészlettől függően, az önálló karakterek 1 bájtnál többet foglalhatnak el. | A csoportfiókok nem tartalmazhatnak csak számokat, pontokat (.) vagy szóközöket. A név előtt álló pontot vagy szóközt a rendszer eltávolítja.

Megjegyzés

  • Ha a rendszergazda megváltoztatja az alapértelmezés szerinti adatvédelmi beállításokat, akkor 15 karakternél hosszabb számítógépnév használata is lehetséges. További információt a Tartomány- és fióknév-kiosztás című témakörben talál.

A rendszerbiztonsági tagot létrehozó személy által megadott adatokból az Active Directory a rendszerbiztonsági tag azonosítására szolgáló biztonsági azonosítót és egy globálisan egyedi azonosítót hoz létre. Az Active Directory ezen kívül létrehoz egy, a rendszerbiztonsági tag nevén alapuló LDAP relatív megkülönböztető nevet. Az LDAP megkülönböztető név és a kanonikus név a relatív megkülönböztető névből, valamint a rendszerbiztonsági tag létrehozására használt tartomány és tároló nevéből származik.

Ha az adott szervezetben több tartomány van, különböző tartományokban ugyanazokat a felhasználóneveket és számítógépneveket használhatja. A biztonsági azonosító, a globálisan egyedi azonosító, az LDAP megkülönböztető név és az Active Directory által létrehozott kanonikus név egyértelműen azonosítja az erdő minden felhasználóját, számítógépét vagy csoportját. Ha a rendszerbiztonsági objektumot átnevezi vagy másik tartományba helyezi át, a biztonsági azonosító, az LDAP relatív megkülönböztető név, az LDAP megkülönböztető név és a kanonikus név megváltoznak, de az Active Directory által létrehozott globálisan egyedi azonosító változatlan marad.

Beágyazott tartománystruktúrán belül a rendszerbiztonsági objektumokat (például a felhasználói fiókokat) átnevezheti, áthelyezheti vagy tárolhatja. A felhasználói fiókok neveinek beágyazott tartományi hierarchián belül történő átnevezése, áthelyezése vagy hozzárendelése hatásának csökkentésére az Active Directory a felhasználói bejelentkezési nevek egyszerűsítésére szolgáló eljárással rendelkezik. A felhasználói bejelentkezési nevekről a Tartomány- és fióknév-kiosztás, az Egyszerű felhasználónév utótagjának hozzáadása, valamint Az Active Directory felhasználói és számítógépfiókjai című témakörök nyújtanak további felvilágosítást.


Active Directory ügyfelek

Az Active Directory ügyfél olyan hálózati ügyfélszoftver, amely lehetővé teszi a számítógépeknek, hogy az Active Directoryt használó hálózathoz csatlakozzanak. Egy adott Active Directory ügyfélszoftverrel rendelkező számítógép tartományvezérlőhöz történő kapcsolódással tud bejelentkezni a hálózatra. Ezt követően az ügyfél teljes mértékben kihasználhatja az Active Directory előnyeit.

A következő számítógépek lehetnek Active Directory ügyfelek:

  • Windows 2000 Server vagy Windows 2000 Professional operációs rendszert futtató számítógépek, valamint
  • Windows 98 és Windows 95 operációs rendszert futtató számítógépek kiegészítő Active Directory ügyfélszoftverrel.

Az Active Directory ügyfélszoftver frissítőcsomag formájában található meg a Windows 2000 Server CD-lemez Clients mappájában.

Tartományvezérlő keresése

Az Active Directoryt használó hálózatra való bejelentkezéskor az Active Directory ügyfélnek először egy Active Directory tartományvezérlőt kell keresnie a tartományában. Tartományvezérlő keresésekor az Active Directory ügyfél DNS-névlekérdezést küld saját DNS-kiszolgálójának. Ez a lekérdezés a következőkből áll:

  • a lekérdezés típusa (SRV-rekord), valamint
  • a lekérdezés neve (_ldap._tcp.tartománynév).

A microsoft.com tartományra való bejelentkezéshez például az Active Directory ügyfél SRV típusú DNS-névlekérdezést küld az _ldap.tcp.microsoft.com névre vonatkozóan.

A DNS-kiszolgáló válasza a tartományvezérlők DNS-neveit és IP-címeit tartalmazza. A tartományvezérlők IP-címeit használva az ügyfél megkísérel mindegyik tartományvezérlővel kapcsolatba lépni, hogy kiderítse, azok vajon működnek-e. A bejelentkezési folyamatot az elsőként válaszoló tartományvezérlő fogja végrehajtani.

A folyamat részleteiről, valamint az Active Directory ügyfelek más típusú Active Directory kiszolgálók azonosítására szolgáló lekérdezéseiről a Windows 2000 Resource Kit tájékoztatja.


Címtár adattároló

Az Active Directory címtárszolgáltatás replikált adattárolást alkalmaz. Az adattárolóra gyakran egyszerűen a címtár elnevezéssel hivatkoznak. A címtár objektumokról tartalmaz adatokat: felhasználókról, csoportokról, számítógépekről, tartományokról, szervezeti egységekről és biztonsági házirendekről tárol információt. Ezek az adatok közzétehetők a felhasználók és a rendszergazdák részére.

A címtár a tartományvezérlőkön található, és a hálózati alkalmazások és szolgáltatások által hozzáférhető. Egy adott tartományban egy vagy több tartományvezérlő is lehet. Minden tartományvezérlő tartalmazza a címtár másolatának saját tartományára vonatkozó részét. A módosításokat az a tartományvezérlő replikálja a tartomány, tartományfa vagy erdő többi tartományvezérlőjére, ahol a módosítás történik. A címtár replikációjának köszönhetően (és mert minden tartományvezérlő tartalmazza a címtár egy példányát) a címtár az egész tartomány felhasználóinak és rendszergazdáinak könnyen hozzáférhető.

A címtáradatokat a tartományvezérlő egyik NTFS-partíciójának Ntds.dit nevű fájljában tárolja a rendszer. A címtár a titkos adatokat biztonságosan tárolja, a nyilvános címtáradatokat pedig megosztott rendszerkötetekben, ahonnan azok a tartomány többi tartományvezérlője felé replikálhatók.

A tartományvezérlők között replikált címtáradatoknak három kategóriája létezik:

  • Tartományadatok

    • A tartományadatok a tartományon belüli objektumokról tartalmaznak információkat. Ezek olyan adatok, amelyek rendszerint címtáradatoknak minősülnek, például az elektronikus levelezési kapcsolatok, felhasználói és számítógépfiókok attribútumai, illetve a rendszergazdákat és a felhasználókat érdeklő közzétett erőforrások.

    Ha létrehoz például egy felhasználói fiókot a hálózaton, erről a rendszer egy felhasználói fiókobjektumot és egy attribútumadatot tárol a tartományadatokban. A szervezet címtárobjektumaiban történt változáskor (új objektum létrehozása, objektum törlése vagy egy attribútum megváltozása) a megváltozott adatot a rendszer a tartományadatokban tárolja.

  • Konfigurációs adatok

    • A konfigurációs adatok a címtár topológiáját írják le. A konfigurációs adatok tartalmazzák az összes tartomány, fa és erdő listáját, valamint a tartományvezérlők és globális katalógusok elérhetőségét.

  • Sémaadatok

    • A séma a címtárban tárolható objektumokra vagy attribútumokra vonatkozó összes adat formális meghatározása. A Windows 2000 Server tartalmaz egy, számos objektumtípust alapértelmezés szerint meghatározó sémát, amely például felhasználói és számítógépfiókokat, csoportokat, tartományokat, szervezeti egységeket és biztonsági házirendeket ír le. A rendszergazdák és programozók új típusú objektumok definiálásával bővíthetik ezt a sémát, de létező objektumokhoz is hozzáadhatnak új attribútumokat. A séma objektumait hozzáférés-ellenőrző listák védik: ez a megoldás biztosítja, hogy a sémaobjektumokat csak engedéllyel rendelkező felhasználók változtathassák meg.

    A séma részletesebb leírását Az Active Directory sémája című témakörben találja meg.

Megjegyzés

  • Ha a tartományvezérlő egyben globális katalógus is, akkor az erdő összes többi tartományának címtáradatairól is tartalmaz másolatot. A tartományvezérlőkről a Tartományvezérlők című témakör nyújt bővebb felvilágosítást. A globális katalógusról a Globális katalógus című témakörben olvashat részletesen.


Globális katalógus

A rendszer alapértelmezés szerint automatikusan globális katalógust hoz létre az erdő első tartományvezérlőjén. A globális katalógus a gazdatartomány tekintetében a címtár minden objektumának teljes másolatát, az erdő többi tartománya tekintetében pedig a címtárak minden objektumának részleges másolatát tartalmazza. A másolat részleges, mert az erdő összes objektumáról tartalmaz néhány, de nem minden tulajdonságértéket. A globális katalógusnak két alapvető címtárszerepköre van:

  • lehetővé teszi a hálózati bejelentkezést azáltal, hogy a tartományvezérlőnek elküldi az univerzális csoportok tagságára vonatkozó adatokat bejelentkezési eljárás kezdeményezésekor, illetve
  • lehetővé teszi a címtáradatok keresését, függetlenül attól, hogy az erdő melyik tartománya tartalmazza ténylegesen az adatokat.

Ha egy felhasználó bejelentkezik a hálózatra, a globális katalógus elküldi a bejelentkező fiók univerzáliscsoport-tagsági adatait a tartományvezérlőnek. Ha csak egy tartományvezérlő van a hálózaton, akkor a tartományvezérlő és a globális katalógus funkcióját ugyanaz a kiszolgáló látja el. Ha több tartományvezérlő is található a hálózaton, akkor az arra konfigurált tartományvezérlő tölti be a globális katalógus szerepét. Ha a felhasználói bejelentkezés kezdeményezésekor a globális katalógus nem elérhető, a felhasználó csak helyileg tud bejelentkezni a számítógépre.

Fontos

  • Ha a felhasználó tagja a Tartománygazdák csoportnak, akkor abban az esetben is bejelentkezhet a hálózatra, ha a globális katalógus nem elérhető.

A globális katalógus arra szolgál, hogy a felhasználók és programok által kezdeményezett lekérdezésekre válaszoljon, és tegye mindezt az erdőben bárhol található objektumokkal kapcsolatban maximális sebességgel, valamint minimális hálózati forgalommal. A globális katalógus az erdő összes tartománya objektumairól tartalmaz adatokat, így bármely objektumról való lekérdezés megválaszolható annak a tartománynak a globális katalógusa által, amelyben a lekérdezést kezdeményezték. Ezzel a címtáradatok keresése nem okoz felesleges hálózati forgalmat a tartományhatárokon keresztül.

Az adott szervezet bejelentkezési eljárásokra és keresési lekérdezésekre vonatkozó igényei szerint bármely tartományvezérlőt konfigurálhatja a globális katalógus feladatainak ellátására.

További tartományvezérlők telepítése után az Active Directory – helyek és szolgáltatások eszköz segítségével a globális katalógust alapértelmezés szerinti helyéről másik tartományvezérlőre helyezheti át.

Az Active Directory a címtár összes objektumára vonatkozóan attribútumok egy alapkészletét határozza meg. Minden objektum, valamint azok egyes attribútumainak (például az univerzáliscsoport-tagság) adatai megtalálhatók a globális katalógusban. Az Active Directory sémája segítségével további, a globális katalógusban tárolandó attribútumokat is meghatározhat. Ha azonban új attribútumot ad hozzá a globális katalógushoz, az a globális katalógusban tárolt összes objektumattribútum teljes mértékű szinkronizálását okozza (az erdő összes tartományára vonatkozóan). Nagy, többtartományos erdőben ez az egyszeri szinkronizálás jelentős hálózati adatforgalommal járhat.


Címtár-hozzáférési protokoll

Az Active Directory ügyfeleknek a hálózati bejelentkezés folyamán, illetve megosztott erőforrások keresésekor kommunikálniuk kell az Active Directory eszközt futtató számítógépekkel. A tartományvezérlőkhöz és a globális katalógushoz történő hozzáférés a Lightweight Directory Access Protocol (LDAP) alkalmazásával valósul meg.

Az LDAP protokoll

Az LDAP protokoll a TCP/IP-hálózatokhoz kifejlesztett kommunikációs protokoll. Az LDAP meghatározza, hogy egy adott címtárügyfél hogyan férhet hozzá a címtárkiszolgálóhoz, hogyan végezhet címtárműveleteket, illetve hogyan oszthatja meg a címtáradatokat. Az LDAP-szabványokat az Engineering Task Force (IETF) munkacsoportjai fektetik le. Az Active Directory az LDAP 2-es és 3-as verzióihoz kidolgozott, LDAP-attribútumokra vonatkozó előírásokat és IETF-szabványokat valósítja meg.

Mint ahogy a neve is jelzi, az LDAP a címtárszolgáltatásokhoz való hozzáférést segítő hatékony, más címtárszolgáltatási protokollok bonyolultságát nélkülöző módszer. Az LDAP meghatározza, hogy melyik műveletek hajthatók végre az adatok lekérdezésekor és módosításakor, illetve, hogy miként lehet biztonságosan hozzáférni a címtáradatokhoz. Az LDAP így a címtárobjektumok keresésére és felsorolására, valamint az Active Directory lekérdezésére és felügyeletére használható.

Az LDAP alkalmazhatósága más területeken

Az LDAP nyílt Internet-szabványt képvisel. Az LDAP használatával az Active Directory lehetővé teszi az együttműködést más gyártók címtárszolgáltatásaival is. Az Active Directory LDAP támogatása tartalmaz egy, az LDAP protokollt támogató objektumot, amely az Active Directory Service Interfaces (ADSI) része. Az ADSI támogatja az 1823. számú RFC-dokumentumban lefektetett, C-kötéses LDAP alkalmazásfejlesztői felületeket. Más címtárszolgáltató alkalmazások hozzáférési adatait egyszerűen módosíthatja az Active Directory ADSI és LDAP szolgáltatásai használatával.

Az LDAP protokollról az Internet Engineering Task Force (http://www.ietf.org/) webhelyén talál további információt.


Egyedi főkiszolgáló-műveletek

Az Active Directory támogatja a címtáradatok több főkiszolgálós replikációját, a tartomány összes tartományvezérlője között. Bizonyos változtatásokat azonban nem célszerű több főkiszolgálós eljárással végrehajtani, ezért csak egy tartományvezérlő, a műveleti főkiszolgáló fogad el ilyen változtatási kéréseket.

Mivel a műveleti főkiszolgáló szerep a tartományon vagy erdőn belül átruházható másik tartományvezérlőre, az ilyen szerepeket rugalmas egyedi főkiszolgáló-műveleteknek is nevezik.

Minden Active Directory erdőben öt műveleti főkiszolgálói szerep létezik, melyeket egy vagy több tartományvezérlőhöz lehet hozzárendelni. Egyes szerepeknek minden erdőben meg kell jelenniük. Vannak olyan szerepek, amelyeknek az erdő minden tartományában jelen kell lenniük.

Erdő-szintű műveleti főkiszolgáló szerepkörök

Minden Active Directory erdőnek be kell töltenie a következő szerepköröket:

  • Séma fő tartományvezérlője
  • Tartománynév-kiosztási főkiszolgáló

Ezek a szerepkörök egy erdőben csak egyszer fordulhatnak elő. Ez azt jelenti, hogy az erdőben csak egy fő séma-tartományvezérlő és csak egy tartománynév-kiosztási főkiszolgáló lehet.

Séma fő tartományvezérlője

A séma fő tartományvezérlőjének funkcióját betöltő tartományvezérlő irányítja a séma összes frissítését és módosítását. Ha az erdő sémáját frissíteni kívánja, hozzáférési joggal kell rendelkeznie a séma fő tartományvezérlőjéhez. Egy erdőben mindig csak egy fő séma-tartományvezérlő lehet.

Tartománynév-kiosztási főkiszolgáló

A tartománynév-kiosztási főkiszolgáló szerepet betöltő tartományvezérlő szabályozza az erdőben a tartományok hozzáadását és törlését. Az erdőben egyszerre csak egy tartománynév-kiosztási főkiszolgáló lehet.

Tartomány-szintű műveleti főkiszolgáló szerepkörök

Az erdő minden tartományának be kell töltenie a következő szerepköröket:

  • Relatív azonosítók főkiszolgálója
  • Elsődleges tartományvezérlő- (PDC) emulátor
  • Infrastruktúrakezelő főkiszolgáló.

Ezek a szerepkörök egy tartományban csak egyszer fordulhatnak elő. Vagyis az erdő minden tartománya csak egy relatív azonosító-főkiszolgálóval, egy PDC-emulátorral és egy infrastruktúrakezelő főkiszolgálóval rendelkezhet.

Relatív azonosítók főkiszolgálója

A relatív azonosítók főkiszolgálója relatív azonosító szekvenciákat oszt ki tartománya minden tartományvezérlőjének. Az erdő bármely tartományában egyszerre csak egy tartományvezérlő működhet a relatív azonosítók főkiszolgálójaként.

Amikor egy tartományvezérlő létrehoz egy felhasználót, csoportot vagy számítógépet, hozzárendel egy egyedi biztonsági azonosítót. A biztonsági azonosító összetevői a tartomány biztonsági azonosítója (ez a tartományban létrehozott valamennyi azonosító esetében ugyanaz) és egy relatív azonosító, amely a tartomány összes biztonsági azonosítója esetében egyedi.

Ha egy objektumot tartományok között kíván mozgatni (a Movetree.exe használatával), akkor az áthelyezést az objektumot pillanatnyilag tartalmazó tartomány relatív azonosító-főkiszolgálói szerepet betöltő tartományvezérlőjénél kell kezdeményezni.

PDC-emulátor

Ha a tartományban Windows 2000 ügyfélszoftver nélküli számítógépek, illetve Windows NT tartalék tartományvezérlők (BDC) vannak, akkor a PDC-emulátor elsődleges Windows NT tartományvezérlőként működik. Ennek megfelelően eldolgozza az ügyfelek jelszóváltozásait, és replikálja a frissítéseket a BDC kiszolgálók felé. Az erdő bármely tartományában egyszerre csak egy tartományvezérlő működhet PDC-emulátorként.

Natív üzemmódban működő Windows 2000 tartomány esetén a PDC-emulátor kapja a tartomány többi tartományvezérlője által végrehajtott jelszóváltoztatások elsődleges replikációját. Ha egy jelszó megváltozik, akkor a változásnak a tartomány összes tartományvezérlője felé történő replikálása időbe kerül. Ha egy bejelentkezés hitelesítése hibás jelszó miatt nem sikerül, akkor a tartományvezérlő a bejelentkezés elutasítása előtt a PDC-emulátorhoz továbbítja a hitelesítési kérelmet.

Infrastruktúrakezelő főkiszolgáló

Az infrastruktúrakezelő főkiszolgáló felelős a csoport és a felhasználó közötti referenciák frissítéséért a csoportok tagjainak átnevezése vagy megváltozása esetén. Az erdő bármely tartományában egyszerre csak egy tartományvezérlő működhet infrastruktúrakezelő főkiszolgálóként.

Ha egy csoport egyik tagját átnevezi vagy áthelyezi (és ez a tag nem a csoport tartományában van), akkor átmenetileg úgy tűnhet, hogy a csoportban az adott tag nem található. A csoport tartományának infrastruktúrakezelő főkiszolgálója felelős a csoport frissítéséért, ezért ismeri a tag új nevét vagy elérhetőségét. Az infrastruktúrakezelő főkiszolgáló a frissítéseket több főkiszolgálós replikációval terjeszti.

Nincs biztonsági rés a csoporttag átnevezése és a csoport frissítése közötti időszakban. Csak az adott csoport tagságát éppen figyelemmel kísérő rendszergazda veheti észre az átmeneti ellentmondást.

Az egyedi műveleti főkiszolgálók alapértelmezés szerinti hálózati telepítésével és a hálózati elhelyezésük optimalizálásával kapcsolatban további információt a Műveleti főkiszolgálók elhelyezésének tervezése című témakör tartalmaz. A műveleti főkiszolgáló szerepkör átadásáról A műveleti főkiszolgáló szerepkör átadása témakörben olvashat. A műveleti főkiszolgáló meghibásodása esetén teendőkkel kapcsolatban további információt a A műveleti főkiszolgáló hibáinak kezelése című témakör tartalmaz.


Replikáció

A replikációról további információt talál az alábbi témakörökben:

  • A replikáció célja és módszerei
  • A címtárpartíciók hatása a replikációra
  • A replikáció működése
  • Replikációs beállítások


A replikáció célja és módszerei

A felhasználók és a szolgáltatások bármikor, és az erdő bármelyik számítógépéről hozzá kell, hogy férjenek a címtáradatokhoz. Ennek biztosítása érdekében a címtáradatokon végzett módosításokat, a hozzáadásokat vagy törléseket továbbítani kell a többi tartományvezérlő felé is. Ha többet szeretne tudni arról, hogy a globális katalógusokkal ellentétben a rendszer milyen típusú adatokat replikál a tartományvezérlőkre, tanulmányozza A replikáció működése című témakörben leírtakat.

Ha fiókja jelszavát például a vállalat egri irodájában módosítja, az új jelszónak érvényesnek kell lennie akkor is, ha legközelebb Bécsből jelentkezik be ugyanazzal az azonosítóval. Ez úgy lehetséges, hogy a rendszer az összes tartományvezérlőre replikálja a címtáradatokat, beleértve a bécsi fiók tartományvezérlőjét is. A különböző címtáradatok replikációs célállomásairól és célhelyeiről A replikáció működése című témakör nyújt bővebb felvilágosítást.

A címtáradatokat sok helyre el kell juttatni, viszont ez nem befolyásolhatja hátrányosan az optimális hálózati teljesítményt. Ha a címtáradatok frissítését a rendszer folyamatosan elküldi a tartomány összes tartományvezérlőjének, akkor ez a hálózat erőforrásait nagy mértékben lefoglalja. Habár kapcsolatokat manuálisan is létrehozhat vagy konfigurálhat, illetve replikációt is kezdeményezhet valamelyik kapcsolaton, rendszerint célszerűbb hagynia, hogy a replikáció automatikus optimalizálását az Active Directory adatkonzisztencia-ellenőrzője végezze el. E szolgáltatás működése az Ön által az Active Directory - helyek és szolgáltatások eszköznek megadott, a hálózatra vonatkozó adatokon alapul. További információt a Kapcsolatok manuális hozzáadása és konfigurálása, illetve a Replikáció kezdeményezése egy adott kapcsolaton keresztül című témakörben talál.

A Windows 2000 replikációs módosítások és helyek ellenőrzésével az alábbiak szerint optimalizálja a replikáció folyamatát:

  • az Active Directory időnként újraértékeli, hogy melyik kapcsolatokat használja, és ezáltal optimalizálja a leggyorsabb hálózati összeköttetéseket
  • az Active Directory a módosítások replikációjához több útvonalat használ, ezzel javítva a hibatűrést, és
  • a rendszer minimalizálja a replikációs költségeket azáltal, hogy csak a megváltozott adatokat replikálja.

Helyek közötti replikáció

A hálózati kapcsolatokat helyhivatkozások jelölik. Helyhivatkozások létrehozásával és azok replikációs elérhetőségének, költségének, valamint replikációs gyakoriságának konfigurálásával adatokat szolgáltathat az Active Directory adatkonzisztencia-ellenőrzőjének, amely ezt követően eldönti, hogy milyen kapcsolatobjektumokat hozzon létre a címtáradatok replikálásához. Az Active Directory a helyhivatkozásokkal jelzi, hogy hol kell kapcsolatobjektumot létrehoznia, a kapcsolatobjektumok pedig az aktuális hálózati kapcsolatokat használják a címtáradatok replikálásához. Helyhivatkozások nélkül nem jönnek létre azok a kapcsolatobjektumok, amelyek a hálózati kapcsolatokon keresztül összekötik a helyeket, illetve a tartományvezérlők saját helyeiken elszigetelődnek: nem tudnak saját helyükön kívülre címtárfrissítéseket küldeni vagy másik tartományvezérlőktől címtárfrissítéseket fogadni. Ennek elkerülése végett hozzon létre helyhivatkozásokat a helyek összekapcsolásához.

Hely létrehozásakor bizonyos helyek közötti kapcsolatok engedélyezéséhez több hivatkozást is létesíthet, illetve a meglévő hivatkozások beállításait testre is szabhatja. Egymást átfedő helyhivatkozásokat helyhivatkozáshíddá egyesíthet, illetve megteheti, hogy az összes helyhivatkozást összekapcsolva maximalizálja a helyhivatkozási kapcsolatok hatékonyságát. A helyhivatkozások ilyetén beállítása biztosítja a címtáradatok maradéktalan replikációját.

Helyhivatkozáshidak létrehozásával, illetve az összes helyhivatkozás összekapcsolásával maximalizálhatja a replikáció hatékonyságát, de hiba lép fel abban az esetben, ha olyan tartományvezérlők vannak az adott helyhivatkozáshídban vagy összekötött helyhivatkozásban, amelyek tűzfalon nyúlnak át. Ennek az a magyarázata, hogy az adott helyhivatkozás vagy helyhivatkozáshíd minden tartományvezérlője megpróbálja a címtárfrissítéseket saját helye vagy helyhivatkozása más tartományvezérlőinek elküldeni, így azoknak is, amelyek a tűzfal túloldalán találhatók. Ha ez történik, hiba lép fel, kivéve, ha a küldő tartományvezérlő egyben a tűzfal proxykiszolgálója is. Ezért, ha a tűzfal mindkét oldalán vannak tartományvezérlők, és a tűzfal úgy van konfigurálva, hogy csak bizonyos számítógépek között engedélyezze a csomagok átvitelét, ne helyezzen minden tartományvezérlőt egy helyen belülre, még akkor se, ha megfelelő összeköttetéssel rendelkeznek. Ehelyett helyezze a tűzfal egyik oldalán található összes tartományvezérlőt egy helyhivatkozásba, és nevezze ki a tűzfal proxykiszolgálóját a helyhivatkozás elsődleges támaszpont-kiszolgálójának, így a tűzfal nem fogja akadályozni a replikációt.

A rendszer a helyhivatkozásokat nem hozza létre automatikusan. További információt Az összes helyhivatkozás összekötése című témakörben talál.

Az első tartományvezérlő telepítése után a további tartományvezérlőket automatikusan az első helyéhez adja a rendszer, hacsak a következő három feltétel egyike nem teljesül:

  • másodlagos alapértelmezett helyet jelöl ki az Active Directory - helyek és szolgáltatások eszköz segítségével
  • a tartományvezérlő telepítésekor annak IP-címe egy másik helyen megadott alhálózaton belülre esik: a tartományvezérlő ebben az esetben ehhez a helyhez kerül, vagy
  • egyszer már áthelyezett egy tartományvezérlőt valamely másik helyről arra a helyre, amelyikhez az új tartományvezérlőt hozzáadja – ebben az esetben az új tartományvezérlő arra a helyre kerül, amelyiken az előzőleg áthelyezett tartományvezérlő található.

    • Megjegyzés

    • Tartományvezérlőt rendszerint olyan helyre telepíthet, ahol már van egy vagy több tartományvezérlő. A kivétel a legelsőként telepített tartományvezérlő, amely automatikusan létrehozza az alapértelmezés szerinti első helyet. Első tartományvezérlőt csak az alapértelmezés szerinti első helyen hozhat létre –olyan helyen azonban, ahol már van működő tartományvezérlő, új tartományvezérlőt is létrehozhat, és áthelyezheti azt egy másik helyre. Ebből tehát az következik, hogy az első tartományvezérlő telepítését, illetve az alapértelmezés szerinti első hely létrehozását követően tartományvezérlőket létesíthet ezen a helyen, majd áthelyezheti azokat más helyekre.

Az Active Directory automatikusan létrehozza a helyen belüli kapcsolatokat (kapcsolatobjektumokat), viszont a helyek közötti kapcsolatokat nem generálja automatikusan, hacsak a hely nem egy helyhivatkozás része, és a helyen nem található tartományvezérlő. A kapcsolatobjektumok a replikációhoz szükségesek.

Megjegyzések

  • Az adatkonzisztencia-ellenőrző által automatikusan létrehozott kapcsolatobjektumok adatait (például a leírást) megváltoztathatja, a következő alkalommal azonban, amikor a rendszer az objektumot automatikusan hozza létre, a módosítások elvesznek.
  • Ha vannak elérhető hálózati kapcsolatok, a hálózati kapcsolatoknak megfelelő helyhivatkozások létrehozásához használja az Active Directory - helyek és szolgáltatások eszközt. A helyhivatkozások hozzáadásáról a Helyhivatkozás létrehozása című témakörben talál további információt.

1. példa

Tegyük fel, hogy az adott hálózat helyei Egerben, Szegeden, Zágrábban és Bécsben találhatók.

Helyhivatkozással összekötött négy hely. Sites are in Seattle, Atlanta, Mexico City, and Sydney.Az egri, a szegedi és a zágrábi hely közvetlenül össze van kötve egymással, a bécsi hely pedig a zágrábihoz kapcsolódik. Az egri, a szegedi és a zágrábi hely közvetlenül össze van kötve egymással, a bécsi hely pedig a zágrábihoz kapcsolódik.

A fentiek szerint megvalósított hálózat esetén célszerű a földrajzi határok szerint létrehozni a helyeket, mivel feltehető, hogy egy földrajzi területen belül a számítógépek gyorsabb és megbízhatóbb összeköttetéssel rendelkeznek mint két távoli terület között. Ebben a példában a helyek helyhivatkozáshidakkal vannak összekötve.

  • Eger és Zágráb közvetlenül, valamint Szegeden keresztül is össze van kötve. Ha Eger és Zágráb között az egyik összeköttetés elérhetetlenné válik, a másik még használható a címtáradatok továbbítására. Ez a párhuzamosság megbízhatóbbá teszi a címtáradatok küldését és fogadását. Ebben az esetben, mivel a helyek között több útvonal is létezik, határozza meg a különböző kapcsolatok költségét, hogy a rendszer ez alapján az egyik útvonal használatát előnyben részesíthesse. Határozzon meg magas költséget például az Eger és Zágráb közötti helyhivatkozásra, ha az Eger-Szeged-Zágráb útvonalhoz képest kisebb a rendelkezésre álló sávszélesség.
  • Mivel Bécs sem Egerrel, sem pedig Szegeddel nincs közvetlen kapcsolatban, az egri és a szegedi hely csak a zágrábi helyen keresztül tud címtáradatokat replikálni Bécs felé. Ilyen konfiguráció létrehozásának csak akkor van értelme, ha nincs megbízható kapcsolat Egerből vagy Szegedről Bécs felé.

2. példa

Tételezzük fel, hogy helyhivatkozás köt össze két helyet. Ez a példa összesen hat tartományvezérlőt tartalmaz, közülük kettő támaszpont-kiszolgáló.

Két hely helyhivatkozással összekötve. Mindkét hely több kiszolgálót tartalmaz, közülük egy elsődleges támaszpont-kiszolgáló, ami azt jelenti, hogy elsődlegesen ez hajtja végre a helyek közötti adattovábbítást.
  • A két helyet helyhivatkozáshíd köti össze, amelyhez több hely is tartozhatna. A helyhivatkozáshídon belül van egy vonal, amely a két hely támaszpont-kiszolgálói közötti összeköttetést jelképezi.
  • A támaszpont-kiszolgálók az elsődleges replikációs kiszolgálók, de a hely más tartományvezérlői is konfigurálhatók a címtárváltozások replikálására.
  • Miután a frissítés replikálása a másik hely támaszpont-kiszolgálói felé megtörtént, az adatokat a rendszer helyen belül replikálja a hely többi tartományvezérlőjére. Habár a helyek közötti kezdeti címtárfrissítést csak egyetlen tartományvezérlő kapja meg, az ügyfelek lekérdezéseit az összes tartományvezérlő kiszolgálja.

Helyen belüli replikáció

Helyen belül a címtáradatok gyakran és automatikusan replikálódnak. A tartományvezérlők közötti összeköttetések által alkotott, a címtáradatok replikációjára szolgáló konfigurációt (az úgynevezett replikációs topológiát) az Active Directory szolgáltatás automatikusan hozza létre. Az Active Directory megpróbál olyan topológiát létrehozni, amely legalább két összeköttetést tesz lehetővé minden tartományvezérlő között, így ha egy tartományvezérlő meghibásodik, a többi összeköttetésen keresztül a címtáradatok akkor is eljuthatnak minden tartományvezérlőhöz.

Az Active Directory a hálózat változó állapotának megfelelően automatikusan felméri és pontosítja a replikációs topológiát. Ha valamelyik helyhez hozzáad például egy tartományvezérlőt, a replikációs topológia az új tartományvezérlő hatékony befogadásának megfelelően módosul.


A címtárpartíciók hatása a replikációra

A rendszer a címtáradatokat három kategóriába partícionálja. Mindegyik információkategóriát címtárpartíciónak nevezik, és azok a replikációs folyamat részegységeit jelentik. A címtárpartícióiban található adatok a következőképpen írhatók le:

  • Sémaadatok – Ezek az adatok definiálják a címtárban létrehozható objektumokat, illetve azt, hogy ezek milyen attribútumokkal rendelkezhetnek. Ez az információ az erdő összes tartománya számára közös.
  • Konfigurációs adatok – Ezek az adatok írják le a megvalósított hálózat logikai szerkezetét olyan adatokkal, mint például a tartománystruktúra vagy a replikációs topológia. Ez az információ az erdő összes tartománya számára közös.
  • Tartományadatok – Ezek az adatok jellemzik az adott tartomány összes objektumát. Az adatok tartományfüggők, és egyetlen másik tartományban sem szerepelnek. A globális katalógusban az egész tartományfa vagy erdő területén való információkereséshez az összes tartomány összes objektumának tulajdonságairól szóló információk egy csoportja tárolódik.

A séma- és a konfigurációs adatok módosításait a rendszer az erdő összes tartományvezérlőjére replikálja. Egy bizonyos tartomány összes tartományadatát a rendszer a tartomány összes tartományvezérlőjére replikálja. A globális katalógusba a rendszer az összes tartomány összes objektumát, valamint az erdő összes objektuma tulajdonságainak egy részét replikálja.

A tartományvezérlők a következő adatokat tárolják, illetve replikálják:

  • az erdőre vonatkozó sémaadatokat
  • az erdő összes tartományának konfigurációs adatait, valamint
  • az összes címtárobjektumot és a tartományukra vonatkozó tulajdonságokat. Ezeket az adatokat a rendszer a tartomány összes többi tartományvezérlőjére replikálja.

A tartományvezérlőkről a Tartományvezérlők című témakörben talál további információt.

A globális katalógus tartományvezérlőn helyezkedik el. Minden erdőben legalább egy globális katalógus található. Az erdő első tartományvezérlőjének telepítésekor a kezdeti globális katalógus is automatikusan létrejön. Minden helyen nevezzen ki legalább egy tartományvezérlőt globális katalógusnak, mert a bejelentkezési hitelesítési eljárás teljesítéséhez globális katalógusra van szükség (a globális katalógust a fiók csoporttagságának megállapításához használják).

A globális katalógusok a következő adatokat tárolják, illetve replikálják:

  • az erdőre vonatkozó sémaadatokat
  • az erdő összes tartományának konfigurációs adatait
  • az erdő összes címtárobjektuma (csak a globális katalógusok között replikált) tulajdonságainak egy részét, valamint
  • a globális katalógust tartalmazó tartomány összes címtárobjektumát és azok minden tulajdonságát.

A globális katalógushoz új attribútumok adhatók. Új attribútum globális katalógushoz adásakor a rendszer az erdő összes tartományának minden tartományadatát szinkronizálja. Nagy, többtartományos erdőben ez a szinkronizálás jelentős hálózati forgalommal járhat. További információt az Attribútum hozzáadása a globális katalógushoz és Az Active Directory sémája – áttekintés című témakörökben talál.

A következő ábra azt szemlélteti, hogy miként működik a különböző tartománybeli globális katalógusok között a címtáradatok továbbítása.

Minden globális katalógus rendelkezik az erdőre vonatkozó összes séma- és konfigurációs adattal, a saját tartománya összes címtárobjektumával, valamint ezek minden tulajdonságával, illetve a többi tartomány objektumaival és azok tulajdonságai egy részével.

A globális katalógusról a Globális katalógus című témakör nyújt bővebb felvilágosítást. A globális katalógus elhelyezésével kapcsolatban A globális katalógus és az infrastruktúrakezelő főkiszolgáló című témakörben talál további információt.

A replikáció és a hálózat méretezése

A hálózat bővítésével – az első tartományvezérlő után további tartományvezérlők és több tartomány létrehozásával – a replikálandó címtáradatok is változnak. A hálózat összetettsége a következő módon változik:

  • A tartomány első tartományvezérlője. A tartományvezérlő egyben globális katalógus is, és nincs replikáció.

    Az első tartományvezérlő egyetlen tartományban van. Ez az első tartományvezérlő, így egyben ez a globális katalógus is. Nincs replikáció a tartományvezérlők között, mivel nincs másik tartományvezérlő, amelyikre adatokat lehetne replikálni.

  • Két tartományvezérlő egy tartományon belül. Az egyik tartományvezérlő a globális katalógus. A két tartományvezérlő egymás között replikálja a sémát, a konfigurációs adatokat, illetve minden tartományadatot.

    Ezen az ábrán egy második, globális katalógust nem tartalmazó tartományvezérlőt adtak a hálózathoz. Elkezdődik a két tartományvezérlő közötti közvetlen címtáradat-replikáció. A két tartományvezérlő ugyanazon tartományon belül található, így az összes objektum és a tartományra vonatkozó adatok, valamint az erdő sémája és konfigurációs adatai replikálódnak a két számítógép között.

  • Három tartományvezérlő egy tartományon belül. Az egyik tartományvezérlő a globális katalógus. A három tartományvezérlő egymás között replikálja a sémát, a konfigurációs adatokat, illetve minden tartományadatot.

    Ez az ábra egy harmadik, globális katalógust nem tartalmazó tartományvezérlő hálózathoz adása utáni állapotot szemléltet. A három tartományvezérlő ugyanazon tartományon belül található, így az összes objektum és a tartományra vonatkozó adataik, valamint az erdő sémája és konfigurációs adatai replikálódnak a három számítógép között.

  • Két tartomány, mindegyikük három tartományvezérlővel. Az egyes tartományokon belül a három tartományvezérlő egymás között replikálja a sémát, a konfigurációs adatokat, illetve minden tartományadatot. Az A tartomány egyik tartományvezérlője globális katalógus, és megkapja a B tartomány objektumainak, valamint tulajdonságainak egy részét.

    Megtörténik egy második tartomány hozzáadása. Az új tartomány három tartományvezérlőt tartalmaz, amelyek egyike a globális katalógust tárolja. Mindegyik tartományon belül a három tartományvezérlő egymás között replikálja az összes objektumot és a tartományra vonatkozó információkat, valamint az erdő sémáját és a konfigurációs adatokat. Az erdő egyetlen globális katalógusa az A tartományon belül található, így a B tartomány objektumainak és ezek tulajdonságainak egy része replikálódik az A tartomány globális katalógusára.

  • Két tartomány, mindkettő három tartományvezérlővel. Mindkét tartományban az egyik tartományvezérlő globális katalógus. Az egyes tartományokon belül a három tartományvezérlő egymás között replikálja a sémát, a konfigurációs adatokat, illetve a tartományadatokat. Tartományok között csak a tartományadatok egy része replikálódik a megfelelő globális katalógusra.

    A B tartomány egyik tartományvezérlője a globális katalógus tárolására van konfigurálva. Mindkét tartomány három tartományvezérlőt tartalmaz, és mindkét tartományban az egyik tartományvezérlő a globális katalógust tárolja. Mindegyik tartományon belül a három tartományvezérlő egymás között replikálja az összes objektumot és a tartományra vonatkozó információkat, valamint az erdő sémáját és annak konfigurációs adatait. A két tartomány között az erdő sémája és a konfigurációs adatok, valamint a címtárobjektumok és ezek tulajdonságainak egy része replikálódik a megfelelő (másik tartománybeli) globális katalógusra.


A replikáció működése

Az Active Directory replikációjának illusztrálására gondoljon egy képzeletbeli szervezetre, amelynek egyetlen, több helyet magába foglaló nagy kiterjedésű hálózatot (WAN) lefedő tartománya van. A WAN egy Debrecenben és egy Pécsen található helyből áll, mindegyik egy-egy tartományvezérlővel rendelkezik.

A tartományvezérlők nyomon követik, hogy hány módosítást hajtottak végre saját címtárpéldányukon, valamint, hogy hány módosítást kaptak a replikációs partner-tartományvezérlőktől. Ha a Debrecenben lévő tartományvezérlő azt tapasztalja, hogy nem rendelkezik a pécsi tartományvezérlő összes módosításával, lekérdezheti a pécsi tartományvezérlőről az új (de csakis az új) módosításokat.

Ez megkönnyíti a hálózatról leválasztott tartományvezérlők frissítését, mert egyértelmű, hogy mely címtáradatok módosultak, vagyis mely adatok replikálandók. A módosítások numerikus sorrendben vannak naplózva, nem pedig idő szerint, így nem szükséges az órák szinkronizálása. Kivételt csak az olyan egészen váratlan esetek jelentenek, mint például az ellentmondó módosítások feloldása.

A szükségtelen replikáció elkerülése

Az Active Directory szolgáltatás a címtárban meghatározott, automatikusan vagy kézzel telepített hálózati kapcsolatokon keresztül replikálja az adatokat. Ez megfelelő hibatűrést eredményez, de az Active Directorynak biztosítania kell azt is, hogy egy adott módosítás replikációja különböző összeköttetéseken keresztül többször ne juthasson el valamelyik tartományvezérlőre. Ha a debreceni tartományvezérlő alkalmazott egy, a pécsi tartományvezérlőtől kapott módosítást, akkor a debreceni tartományvezérlőnek jeleznie kell, hogy ezt a módosítást nem kell a módosítás forrására replikálni. Ha ez nem történik meg, a kölcsönös replikációk túlterhelik a hálózatot.

Az Active Directory szolgáltatás úgy kerüli el a szükségtelen replikációt, hogy nyomon követi, mely attribútum változott a frissített objektumban, illetve, hogy hányszor növekedett az objektum Originating Write tulajdonságának értéke. Az Originating Write attribútum értékének növelésével járó módosítás ügyfél általi objektummódosítást jelez, ellentétben az Active Directory által a frissített címtáradatok replikációja során végrehajtott módosítással. Ha a pécsi tartományvezérlő azt tapasztalja, hogy a debreceni címtár valamely objektuma megváltozott, ellenőrzi, hogy a módosítás beállította-e az Originating Write tulajdonságot. Ha nem, akkor nem szükséges a módosítást a pécsi címtárba replikálni.

Ellentmondó módosítások feloldása

Lehetséges, hogy két különböző felhasználó egyazon objektumtulajdonságot módosított, de két különböző tartományvezérlőn. A módosítások már hatályba léptek, de a két módosítás együtt nem hajtható végre. Ebben az esetben mindkét módosítás új módosításként replikálódik, és mindkettő Originating Write tulajdonságának értéke növekszik. Ennek feloldására az ellentmondó módosításokat megkapó tartományvezérlő megvizsgálja az időbélyegzőt, és az újabbat fogadja el. A régebbi módosítást nem veszi figyelembe. Ha az időbélyegző alapján sem lehet dönteni, a nagyobb globálisan egyedi azonosítóval (GUID) rendelkező módosítást fogadja el.

A konfliktusok feloldásáról és a replikációról a Windows 2000 Resource Kit csomagban talál részletes információt.

Helyen belüli és helyközi adattovábbítási formátumok

A helyek közötti címtárfrissítések adattömörítést alkalmaznak a hálózati erőforrások kímélése érdekében. A tömörített adatok gyorsabban továbbíthatók, viszont nagyobb számítási teljesítményt igényelnek az elküldés előtti tömörítés, illetve a fogadás utáni kicsomagolás miatt. A helyen belüli címtárfrissítések a tartományvezérlő számítási teljesítményének csökkentésére optimalizáltak, így ezek nem tömörítettek. A tömörítetlen adattovábbítás nagyobb mértékben igénybe veszi a hálózatot, viszont kisebb a feldolgozásigénye.

A replikációról A replikáció célja és módszerei című témakör nyújt bővebb tájékoztatást.


Replikációs beállítások

A replikációt főleg a támogatott protokollok és a helyhivatkozások konfigurációja határozza meg.

Replikációs protokollok

A címtáradatok továbbítása különböző protokollok (például IP, SMTP) segítségével történik.

  • Replikáció SMTP protokoll használatával – Az SMTP protokollal lebonyolított replikáció csak a helyhivatkozásokon keresztüli (helyek közötti), és nem a helyen belüli replikáció esetén használatos. Tekintettel arra, hogy az SMTP protokoll aszinkron működésű, rendszerint nem veszi figyelembe az ütemezést. Ezért a helyhivatkozás replikációját csak akkor konfigurálja SMTP-helyhivatkozásokra, ha a következő feltételek teljesülnek:

    • a helyhivatkozások ütemezett összeköttetéseket használnak
    • az SMTP-várólista nincs ütemezve, és
    • az adattovábbítás közvetlenül két kiszolgáló között történik, és nem közvetítőn keresztül, mint például egy Ethernet gerinchálózat esetén.

    Ha a hálózat SMTP-összeköttetései teljesítik ezeket a feltételeket, egyeztesse a helyhivatkozás replikációjának ütemezését a hálózat SMTP-összeköttetésének elérhetőségével.

    Ha úgy dönt, hogy SMTP protokollt használ a helyhivatkozásokon, telepítenie kell egy vállalati hitelesítő szervezetet. A hitelesítő szervezet (CA) aláírja a tartományvezérlők között váltott SMTP-üzeneteket, és ezzel biztosítja a címtárfrissítések hitelességét. Az SMTP protokollt alkalmazó replikáció 56 bites titkosítást használ.

    További információt a Hitelesítő szervezet telepítése és beállítása című témakörben talál.

  • Replikáció IP protokoll használatával – Az IP protokoll alapú replikáció távoli eljáráshívást (RPC) használ a helyhivatkozásokon keresztül (helyek között) történő replikációhoz, és helyen belül is. Alapértelmezés szerint az IP alapú replikáció figyelembe veszi a replikációs ütemezéseket, de konfigurálhatja az Active Directory replikációját az ütemezés figyelmen kívül hagyására is.

    Az IP alapú replikációhoz nem szükséges hitelesítő szervezet (CA).

    Bővebb tájékoztatásért olvassa el az Ütemezések figyelmen kívül hagyása című témakörben foglaltakat.

Helyhivatkozás-attribútumok

A rendszer megfelelő működéséhez meg kell, hogy adja az összes helyhivatkozás elérhetőségét, költségét és gyakoriságát. Ez az eljárás része az Active Directory elérhető helyek közötti összeköttetésekről való tájékoztatásának.

  • Replikációs elérhetőség – Konfigurálja a helyhivatkozások replikációs elérhetőségét annak meghatározásához, hogy egy adott helyhivatkozás mikor elérhető a replikációs folyamat számára.

    További információt a Helyhivatkozási replikáció rendelkezésre állásának konfigurálása című témakör nyújt.

  • Költségek – Állítsa be a helyhivatkozások költségét, hogy meghatározhassa minden egyes, elérhető helyek közötti replikációs összeköttetés költségét.

    Ha a hálózat több párhuzamos hálózati összeköttetést tartalmaz, létesítsen minden egyes összeköttetéshez helyhivatkozást, majd rendeljen a sávszélességükkel arányos költséget a helyhivatkozásokhoz. Ha a hálózat tartalmaz például egy nagy sebességű T-1 kapcsolatot, valamint egy telefonos kapcsolatot a T-1 vonal elérhetetlenségének esetére, adjon meg alacsonyabb költséget a T-1 vonalhoz és magasabb költséget a telefonos kapcsolathoz. Az Active Directory mindig költségalapon választ összeköttetést, így ha az elérhető, akkor mindig az olcsóbb összeköttetést fogja választani. A költség nem felel meg valamilyen mértékegységnek, például percnek, csak a többi kapcsolat költségével való összehasonlításra szolgál. Egy adott helyhivatkozás költségének csak más helyhivatkozásokkal összehasonlítva van értelme.

    Elvileg minden ügyfél talál tartományvezérlőt a saját helyén belül. Ha egy hely nem tartalmaz tartományvezérlőt, akkor minden egyes replikációs eljárás alkalmával meg kell becsülni a helyhivatkozás költségét. Ekkor a legközelebbi hely tartományvezérlői szolgálják ki az ezt a tartományt tartalmazó helyet.

    További információt a Sávszélesség és a Helyhivatkozás költségének beállítása című témakörökben talál.

    Egy adott helyhivatkozás-híd költsége az összes, a hidat alkotó helyhivatkozás költségének összege. Ha egy helyhivatkozás-híd például egy három, valamint egy négy egység költségű helyhivatkozást tartalmaz, a helyhivatkozás-híd költsége hét.

  • Replikációs gyakoriság – A helyhivatkozás replikációs gyakoriságának megadásával (amely egy egész szám) meghatározhatja az Active Directory számára, hogy az hány percet várjon, mielőtt egy adott kapcsolatot a replikációs frissítés ellenőrzésére használna. A replikációs intervallum minimum 15 kell, hogy legyen, de nem lehet több, mint 10 800 perc (azaz egy hét). A helyhivatkozásnak minden egyes replikációkor elérhetőnek kell lennie. Ha egy helyhivatkozás a replikációkor ütemezés szerint elérhetetlen, a replikáció nem teljesül.

    További információt a Helyhivatkozás replikációs gyakoriságának konfigurálása című témakörben talál.

Replikáció virtuális magánhálózaton keresztül

A tartományvezérlők összeköttetésének folyamatosan elérhetőnek kell lennie a frissített címtáradatok folyamatos továbbításához. Ha ilyen összeköttetés nem áll rendelkezésre (például kisebb kirendeltségekben), akkor a címtáradatok továbbítása virtuális magánhálózaton (VPN) keresztül is történhet egy Internet-szolgáltató (ISP) igénybevételével. Ha VPN-kapcsolatot használ a más helyek felé irányuló összeköttetéshez, akkor a tartományvezérlők közötti összes replikációnak egyszerre kell megtörténnie, így a művelet befejezése után az összeköttetés megszakítható. Ezt fordított (reciprok) replikációnak hívják.

Ha fordított replikációt használ egy kirendeltség tartományvezérlője és a központi iroda tartományvezérlője között, akkor az Internet-szolgáltatón keresztüli virtuális magánhálózat létrejötte után a kapcsolatot kezdeményező kirendeltség tartományvezérlője lekéri az összes címtárfrissítést a központi hely tartományvezérlőjéről. Ha a kirendeltség tartományvezérlője megkapta az összes frissítést, módosítási értesítést küld a központ tartományvezérlőjének, amely hatására ez utóbbi lekéri az összes módosítást, amit a kirendeltség tartományvezérlője elküld. Az összes címtáradat aktuális, így az Internet-szolgáltatóval létesített kapcsolat megszakad. A replikációra nem kerül sor, ha az összeköttetés nem elérhető. Ez a módszer maximalizálja a címtáradatok továbbításának hatékonyságát, ugyanakkor minimalizálja a kapcsolat idejét, illetve kiküszöböli az időtúllépést. Az utóbbi akkor következne be, ha a központ tartományvezérlője akkor próbálná meg lekérni a kirendeltség tartományvezérlőjéről a módosításokat, amikor a kapcsolat nem elérhető.


Az Active Directory séma ismertetése

Erről az oldalról a következő témaköröket érheti el:

  • Sémamódosítások
  • Sémaobjektumok
  • Sémaobjektumnevek
  • Attribútumdefiníciók
  • Osztálytípusok
  • Osztálydefiníciók
  • Objektumazonosítók
  • A sémagyorsítótár


Sémamódosítások

Ha a séma módosítását tervezi, két kulcsfontosságú tényezőt kell szem előtt tartania:

  • a sémamódosítások globálisak, és
  • a séma bővítése visszafordíthatatlan folyamat (bár egyes attribútumokat módosíthat a létrehozás után).

Az egész erdő közös sémával rendelkezik. A séma egy másolata megtalálható az erdő minden tartományvezérlő számítógépén. Ha bővíti a sémát, akkor azt az egész erdő területén bővíti, mivel a rendszer a séma minden módosítását replikálja az erdő minden tartományának összes tartományvezérlőjére. A séma módosításait és bővítéseit egyetlen tartományvezérlő, a séma fő tartományvezérlője ellenőrzi. A séma fő tartományvezérlőjéről az Egyedi főkiszolgáló-műveletek című témakörben talál további információt.

Ha új osztályt adott a sémához, azt a későbbiekben inaktiválhatja, de nem törölheti. Ha egy osztályt vagy attribútumot inaktivált, akkor abból nem lehet új objektumokat létrehozni. Nem inaktiválhat attribútumot, ha azt aktív osztály tartalmazza. Osztály vagy attribútum inaktiválásáról az Osztály vagy attribútum inaktiválása című témakör nyújt további tájékoztatást.

A sémával kapcsolatos alapvető tudnivalókat Az Active Directory sémája – áttekintés című témakörben találja.


Sémaobjektumok

Kétféle séma objektum létezik: osztályt definiáló osztály-sémaobjektumok, illetve attribútumot definiáló attribútum-sémaobjektumok. A séma minden osztályához tartozik tehát egy osztály-sémaobjektum (amely definiálja az osztályt), a séma minden attribútumához pedig egy attribútum-sémaobjektum: ez utóbbi határozza meg az attribútumot, valamint megkötéseket alkalmaz azon objektumokra, amelyek az attribútumot használó osztály tagjai.

Néhány példa az osztály-sémaobjektumok megkötéseire:

  • kötelező attribútumok listája (Must Contain), amelyet kötelező meghatározni az osztály minden egyes példányához
  • tetszőlegesen megadható attribútumok listája (May Contain), amelyet az osztály minden egyes példányához meghatározhat, valamint
  • hierarchikus szabályok, amelyek meghatározzák az osztály példányaihoz tartozó lehetséges Active Directory szülőobjektumokat (Poss Superiors).

Valamely objektum, amely egy bizonyos objektumosztály példánya, azon objektumosztály Must Contain vagy May Contain listájáról tartalmazhat attribútumokat, amelynek példánya. Az attribútumlistát meg lehet határozni kifejezetten ehhez az osztályhoz, vagy örökölheti azt az osztály valamelyik szülőosztályától.

A sémával kapcsolatos alapvető tudnivalókat Az Active Directory sémája – áttekintés című témakörben találja meg. Az öröklésről, valamint az osztály-sémaobjektumokról az Osztálydefiníciók című témakörben talál részletes tájékoztatást.


Sémaobjektumnevek

Az osztályok és az attribútumok sémaobjektumok. Minden sémaobjektumra többféleképpen hivatkozhat:

  • LDAP-megjelenítési nevével,
  • egyszerű nevével vagy
  • objektumazonosítójával.

LDAP-megjelenítési név

Az Active Directory sémája és a többi Windows 2000 felügyeleti eszköz az objektumok LDAP-megjelenítési nevét jelenítik meg. A programozók és rendszergazdák az LDAP-megjelenítési név alapján hivatkoznak az objektumra a programban. Ez a név garantáltan egyedi az összes objektumra nézve.

Az LDAP-megjelenítési név általában két vagy több szó összetétele. Ha a név több névből tevődik össze, a név egymást követő szavai nagybetűvel kezdődnek. Objektumok LDAP-megjelenítési nevei például a mailAddress és a machinePasswordChangeInterval nevek. Az LDAP protokollról az Internet Engineering Task Force (http://www.ietf.org/) webhelyén talál bővebb felvilágosítást.

Egyszerű név

Az egyszerű név az LDAP-megjelenítési név könnyebben megjegyezhető változata. Ez a név is garantáltan egyedi. Az előző példában használt két attribútum egyszerű neve SMTP-Mail-Address és Machine-Password-Change-Interval.

Objektumazonosító

Egy adott objektum objektumazonosítóját valamely kibocsátó hatóság adja ki, például a Nemzetközi Szabványügyi Hivatal (ISO) vagy az Amerikai Egyesült Államok Szabványügyi Hivatala (ANSI). Az SMTP-Mail-Address attribútum azonosítója például 1.2.840.113556.1.4.786. Minden objektumazonosító garantáltan egyedi.

Sémaobjektum-elnevezési szabályok

A sémaelnevezések szabványosítása érdekében a Microsoft megköveteli a sémabővítést végzőktől, hogy kövessék mind az LDAP-megjelenítési nevek, mind pedig az egyszerű nevek elnevezési szabályait. A sémát bővítő alkalmazások esetében az elnevezési szabályok betartása a Windows 2000 hitelesítés egyik követelménye. Az elnevezési szabályokról a Windows 2000 Logo dokumentum Active Directory című fejezete tartalmaz további információt.

A sémaobjektumok elnevezési szabályairól a Microsoft webhelyén (http://www.microsoft.com/) található Active Directory Programmer's Guide útmutatóban talál részletes felvilágosítást. A sémával kapcsolatos alapvető tudnivalókat Az Active Directory sémája – áttekintés című témakörben találja.


Attribútumdefiníciók

Az attribútumok objektumokat írnak le. Minden attribútumnak saját definíciója van, amely meghatározza, hogy milyen típusú információ adható meg az objektumhoz. A séma minden attribútuma az Attribute-Schema osztályban van definiálva. Ez az osztály azokat az adatokat határozza meg, amelyeket az összes attribútumdefiníciónak tartalmaznia kell.

Egy adott objektumra alkalmazható attribútumok listáját az objektum osztályának összes felettes osztálya, valamint az az osztály határozza meg, amelyiknek az objektum példánya. Az attribútumokat csak egyszer kell meghatározni, de többször felhasználhatók. Ez biztosítja az attribútumot használó valamennyi osztály következetességét.

Ez nem jelenti azt, hogy az attribútum értéke ugyanaz lesz egy bizonyos osztály minden példányára vonatkozóan, de az attribútum definíciója igen. A Description attribútum például egy 0-1024 karakter hosszúságú karakterlánc lehet. Ez azt jelenti, hogy a Description attribútumot tartalmazó összes osztály minden példányának leírása 0-1024 karakter hosszúságú karakterlánc lehet. A karakterlánc tényleges tartalma az összes osztály összes példányára vonatkozóan egyedi lehet.

Az attribútumok egyértékűek vagy többértékűek lehetnek. Az Object-Class attribútum például egy többértékű attribútum, mivel több osztályt sorol fel: az objektum meghatározott osztályát, valamint azokat az osztályokat, amelyekből az osztály származik.

Minden attribútumnak van szintaxisa (írásmódja), amely meghatározza, hogy milyen adatokat tárolhat az attribútum. A megengedett szintaxisok száma rögzített, további szintaxisokat nem lehet hozzáadni. Néhány példa az attribútumszintaxisra:

  • Boolean – értéke igaz vagy hamis
  • Integer – 0 (nulla) és 4 294 967 295 közötti egész szám
  • NumericString – csak számokat tartalmazó karakterlánc.

Az attribútumoknak hosszúsági és tartományi korlátozásai lehetnek. A numerikus szintaxisú attribútumok esetén a tartomány a legnagyobb és a legkisebb értéket határozza meg, míg a karakterszintaxisú attribútumok esetén a legnagyobb és a legkisebb hosszúságot adja meg. Az attribútumok szintaxisáról a Microsoft webhelyén található (angol nyelvű) Active Directory Programmer's Guide (Programozói kézikönyv) dokumentációban tájékozódhat (http://www.microsoft.com/).

Indexelt attribútumok

Az attribútumok indexelhetők. Az indexelés lehetővé teszi, hogy a lekérdezések gyorsabban találják meg az adott attribútummal rendelkező objektumot. Ha indexelésre jelöl ki egy attribútumot, az attribútum összes példánya hozzáadódik az indexhez, nem csak azok a példányok, amelyek egy bizonyos osztály tagjai. Az attribútumok indexelésre való kijelöléséről az Attribútum indexelése az Active Directoryban című témakörben talál további információt.

A globális katalógusban tárolt attribútumok

Attribútumokat a globális katalógus is tartalmazhat. A globális katalógus a teljes erdő összes objektuma attribútumainak egy meghatározott alkészletét tárolja. Az alkalmazások és a felhasználók az objektumokat a globális katalógus alapján kereshetik meg. A következő attribútumokat célszerű a globális katalógusba foglalni:

  • Globally useful – Ez az attribútum olyan objektumok kereséséhez szükséges, amelyek az erdőben bárhol elhelyezkedhetnek. Az attribútumhoz való olvasási hozzáférés akkor is hasznosítható, ha maga az objektum nem hozzáférhető.
  • Not volatile – A globális katalógusban szereplő attribútumokat a rendszer replikálja az erdő összes további globális katalógusába. Ha az attribútum gyakran változik, az jelentős hálózati forgalommal jár.
  • Small – A globális katalógusban szereplő attribútumok replikálódnak az erdő összes további globális katalógusába. Minél kisebb az attribútum, annál kisebb replikációjának hatása. A méret megítélése nagyon szubjektív döntés: ha az attribútum nagyméretű, de ritkán változik, akkor kisebb lesz a hatása a replikációra, mint egy kisebb, de gyakrabban módosuló attribútumnak.

A vállalati szinten gyakran lekérdezett és hivatkozott attribútumokat (például az alkalmazottak neveit és telefonszámait) hasznos lehet a globális katalógusba foglalni. Az adott attribútum globális katalógusba foglalásakor tartsa szem előtt, hogy a gyorsabb lekérdezés gyakoribb replikációval, és a globális katalógusok meghajtóin elfoglalt nagyobb lemezterülettel jár.

A sémák alkalmazásával kapcsolatos alapvető tudnivalókat Az Active Directory sémája – áttekintés című témakörben találja meg. Az attribútumok meghatározásáról a Microsoft webhelyén található (angol nyelvű) Active Directory Programmer's Guide (Programozói kézikönyv) dokumentációban tájékozódhat (http://www.microsoft.com/). Ha attribútumot szeretne a globális katalógusba foglalni, tanulmányozza az Attribútum hozzáadása a globális katalógushoz témakörben leírtakat.


Osztálytípusok

Az Active Directory sémája három típusú osztályt különböztet meg:

  • Szerkezeti osztály – Ez az egyetlen osztálytípus, amelyből ténylegesen létrehozhatók Active Directory objektumok. A szerkezeti osztályok származhatnak szerkezeti, illetve absztrakt osztályokból. Az adott szerkezeti osztály definíciója bármennyi kiegészítő osztályt tartalmazhat.
  • Absztrakt osztály – Az absztrakt osztályok új absztrakt, kiegészítő és szerkezeti osztályok létrehozására szolgáló sablonok.
  • Kiegészítő osztály – A kiegészítő osztály egy attribútumlista. Ha a kiegészítő osztályt hozzáadja egy szerkezeti vagy egy absztrakt osztály definíciójához, azzal egyben hozzáadja a benne található attribútumokat is. Kiegészítő osztályokat származtathat létező kiegészítő vagy absztrakt osztályokból.

Az Active Directory címtár tartalmazhat egy negyedik típusú speciális osztályt, a 88 nevű osztályt is. Jelenleg az osztályokat a három osztály valamelyikébe kell besorolni (szerkezeti, absztrakt vagy kiegészítő). Az 1988-ban kiadott X.500 specifikáció szerinti, 1993 előtt létrehozott osztályok azonban nem szükségszerűen követik a fenti osztályozást. Az 1988-as előírás szerinti osztályok tartoznak a speciális, 88 nevű osztályba.

A sémával kapcsolatos alapvető tudnivalókat Az Active Directory sémája – áttekintés című témakörben találja. Az osztálytípusok meghatározásáról a Microsoft webhelyén található (angol nyelvű) Active Directory Programmer's Guide (Programozói kézikönyv) dokumentációban tájékozódhat (http://www.microsoft.com/).


Osztálydefiníciók

Az Active Directory bármelyik eleme egy bizonyos osztály példánya. Az adott osztály a példányai rendelkezésére álló attribútumokat definiálja. Minden osztály egy felettes osztályból (szülőosztályból) származik. Az osztályok attribútumaikat a felettes osztályuktól öröklik vagy kifejezetten hozzájuk definiálják őket.

Miden osztálydefiníció tartalmazza a következőket:

  • az osztály szülő- (más néven felettes) osztályát meghatározó struktúraszabályokat
  • az osztály példányai lehetséges attribútumainak listáját
  • a kötelező (Must Contain) attribútumokat, valamint
  • a szabadon megadható (May Contain) attribútumokat.

Egy adott osztály definíciójának az Active Directory sémája beépülő modul használatával történő megjelenítéséről az Osztálydefiníció megtekintése című témakörben talál további információt.

Attribútumok örökítése és öröklése

A séma összes osztálya végső soron a legfelső szintű speciális osztályból származnak. A legfelső szintű osztály kivételével az összes osztály más osztály alosztálya. Az örökítés és az öröklés lehetővé teszi új osztályok létező osztályokból való létrehozását. Az eredeti osztály az új osztály szülő- (más néven felettes) osztálya lesz. Az alosztály örökli a felettes osztály attribútumait, beleértve a struktúraszabályokat és a tartalmi szabályokat is. Egy adott osztály több felettes osztály attribútumait is örökölheti.

Az objektumok közötti lehetséges hierarchikus kapcsolatokat a struktúraszabályok határozzák meg. A struktúraszabályokat minden Class Schema objektum Poss Superiors attribútuma fejezi ki teljesen. Ez az attribútum felsorolja az összes olyan lehetséges szülőosztályi objektumot, amelytől ez a bizonyos objektum attribútumokat örökölhet.

A tartalmi szabályok azokat a lehetséges attribútumokat határozzák meg, amelyekkel egy bizonyos osztály példányai rendelkezhetnek. A tartalmi szabályokat a sémadefiníciók Must Contain és May Contain attribútumai fejezik ki minden osztályra vonatkozóan. Egy adott példánynak az összes Must Contain attribútummal rendelkeznie kell, és bármely May Contain attribútumot tartalmazhatja.

Az öröklés rekurzív folyamat: ez azt jelenti, hogy egy alosztály örökölheti összes felettes osztályának attribútumait. Tegyük fel például, hogy a Macska alosztály az Emlős osztály egy alosztálya, az Emlős osztály az Állat osztály egy alosztálya, az Állat osztály pedig a legfelső szintű (Élőlény) osztály egyik alosztálya. Ebben az esetben a Macska alosztály örökölheti az Élőlény, az Állat és az Emlős osztályok összes attribútumát. Ez azt jelenti, hogy a címtár összes olyan objektuma, amely egy adott alosztály példánya, leírható minden felettes osztályától örökölt összes attribútumával.

Létrehozhat például egy új, Eladók nevű osztályt, amely a vállalat értékesítőire vonatkozó információkat határozza meg, beleértve speciális információkat is, például a jutalék mértékét és a terítési útvonalat. Kikötheti, hogy az Eladók nevű osztály a Felhasználók osztály egyik alosztálya. Az Eladók osztály örökli a Felhasználók osztály Must Contain és May Contain attribútumait, valamint a Felhasználók osztály minden felettes osztályának attribútumait, így ezeket nem kell definiálnia az Eladók osztályra vonatkozóan. Csak a jutalékkulcsot és a terítési útvonalat meghatározó attribútumokat kell meghatároznia, amelyek az Eladók osztály összes példányára vonatkozóan egyediek.

Egy adott attribútum definíciójának az Active Directory sémája beépülő modul segítségével történő megtekintéséről az Attribútumdefiníciók megtekintése című témakörben olvashat részletesen. A sémával kapcsolatos alapvető tudnivalókat Az Active Directory sémája – áttekintés című témakörben találja. Az osztálydefiníciók meghatározásáról a Microsoft webhelyén található (angol nyelvű) Active Directory Programmer's Guide (Programozói kézikönyv) dokumentációban tájékozódhat (http://www.microsoft.com/).


Objektumazonosítók

Az objektumazonosító egy olyan szám, amely egyértelműen azonosít egy objektumosztályt vagy attribútumot a címtárban, illetve a címtárak tetszőleges kombinációjában. Az objektumazonosítókat kibocsátó szervezetek határozzák meg, és az azonosítók hierarchikus rendet alkotnak. Az objektumazonosítók egy pontokkal tagolt decimális karakterláncból állnak (például 1.2.3.4).

Az objektumazonosítók a világ összes hálózatán garantáltan egyediek. Biztosítják a különböző alanyok és egyedek által definiált objektumok egyértelmű azonosítását. Az objektumazonosítókat a Nemzetközi Szabványügyi Szervezet (ISO – International Standards Organization), illetve az egyes országokban működő, bejegyzést végző hatóságok adják ki. Az ISO elismeri az egyes országok bejegyzést végző hatóságainak működését, és az illetékes szervezetek listáját az International Standards Organization (http://www.iso.ch/) webhelyén találja meg.

A legtöbb országban létezik hivatalos bejegyzést végző hatóság, amely az objektumazonosítók kiadásáért felelős. Az Egyesült Államokban a bejegyzési tevékenységet az American National Standards Institute (ANSI) nevű szervezet végzi.

Vállalatok vagy magánszemélyek is kaphatnak gyökérobjektum-azonosítót a kiadó hatóságoktól, és ennek segítségével további azonosítókat foglalhatnak le. A Microsoft például az 1.2.840.113556 gyökér-objektumazonosítóval rendelkezik. A gyökérből elágazó ágak kezelését a Microsoft szervezetén belül intézi. Az egyik ilyen ág az Active Directory sémaosztályokhoz, a másik pedig az attribútumokhoz tartozó objektumazonosítók kiosztására szolgál.

A gyökér-objektumazonosító beszerzését követően azt a vállalaton belül igény szerint bővítheti (az objektumazonosító-struktúra korlátai között). A gyökérazonosító további felosztása úgy történik, hogy a kapott gyökérazonosító végére ponttal elválasztva tízes számrendszerbeli számokat ír, majd ezeket a kódokat vállalata részlegeihez vagy osztályaihoz rendeli. Minden részleg vagy osztály továbboszthatja a saját alterét.

Az 1.2.333.444444 számú objektumazonosító-térrel rendelkező vállalat például hozzárendelheti valamelyik részlegéhez az 1.2.333.444444.5 számot. A részleg aztán használhatja az 1.2.333.444444.5.1 számot az általa létrehozott osztályok alapszámaként, az 1.2.333.444444.5.2 számot pedig az általa létrehozott attribútumokhoz. A részleg által létrehozott bármelyik osztály objektumazonosítója 1.2.3.444444.5.1.x lesz, ahol x egy 268 435 455-nél kisebb tízes számrendszerbeli szám.

A gyökér-objektumazonosítókat is az egyes országok bejegyzést végző hatóságai adják ki. Vállalatok nevet is regisztráltathatnak az objektumazonosítóhoz. Mind a gyökérazonosító, mind pedig a név regisztrálása díj ellenében történik. A részletekkel kapcsolatban érdeklődjön a megfelelő bejegyzést végző hatóságánál.

Az 1.2.840.113556.1.5.4 karaktersorozat például egy Active Directorybeli objektumazonosító, és a Beépített tartományosztályt azonosítja. A következőképpen elemezhető:

Szám | Jelentés
1 | A Nemzetközi Szabványügyi Szervezet (ISO) az ANSI számára az 1.2 kódot adta ki.
2 | Az ANSI az Amerikai Egyesült Államok területére az 1.2.840 kódot adta ki.
840 | Az Amerikai Egyesült Államok az 1.2.840.113556 kódot adta ki a Microsoftnak.
113556 | A Microsoft saját szervezetén belül több ágat kezel az 1.2.840.113556 szám alatt.
1 | A Microsoft Active Directory címtára.
5 | Az Active Directory osztályai.
4 | A Beépített tartomány sémaosztály.

A sémával kapcsolatos alapvető tudnivalókat Az Active Directory sémája – áttekintés című témakörben találja. Az objektumazonosítókról a Microsoft webhelyén található (angol nyelvű) Active Directory Programmer's Guide (Programozói kézikönyv) dokumentációban tájékozódhat (http://www.microsoft.com/). Az objektumazonosítók igényléséről az Érvényes objektumazonosítók igénylése című témakör nyújt részletes felvilágosítást.


A sémagyorsítótár

Az Active Directory rendelkezik egy, a sémában aktuálisan megtalálható összes osztály- és attribútumdefiníciós objektumot tartalmazó sémagyorsítótárral. Ez a tartományvezérlő RAM memóriájában található, így gyorsítja a sémakeresési műveleteket.

A tartományvezérlő indításakor a rendszer betölti a merevlemezen található sémaadatokat a memóriában lévő sémagyorsítótárba. Ha módosítja a sémát, az Active Directory öt percen belül frissíti a sémagyorsítótárat a lemez új adataival, de lehetősége van a séma azonnali frissítését is kezdeményezni. További információt A sémagyorsítótár frissítése című témakörben talál.

A séma parancsfájlokkal történő eléréséről a Microsoft webhelyén található (angol nyelvű) Active Directory Programmer's Guide (Programozói kézikönyv) dokumentációban tájékozódhat (http://www.microsoft.com/). A sémával kapcsolatos alapvető tudnivalókat Az Active Directory sémája – áttekintés című témakörben találja.


Az Active Directory megtervezése

Erről az oldalról a következő témaköröket érheti el:

  • Korábbi tartománymodellek frissítésének tervezése
  • A DNS-szerkezet megtervezése
  • A tartományszerkezet megtervezése
  • Mikor szükséges tartományvezérlőt létrehozni?
  • A delegálási modell megtervezése
  • Szervezeti egységek szerkezetének megtervezése
  • Műveleti főkiszolgálók elhelyezésének tervezése
  • Helyszerkezet tervezése
  • Csoportok használata
  • A séma bővítésének megtervezése


Korábbi tartománymodellek frissítésének tervezése

A Windows NT Server rendszert használó vállalatok általában a következő ajánlott tartománymodellek közül használtak egyet vagy többet:

  • Egytartományos modell
  • Főtartományos modell
  • Több főtartományos modell
  • Teljes meghatalmazásos modell

E modellek mindegyike a főtartományok (vagy fióktartományok) és erőforrás-tartományok koncepciójára alapult. A tartománytípusok közötti különbség nem a szoftverbe volt beépítve, hanem a gyakorlati alkalmazás során volt tapasztalható. A főtartományok általában felhasználói és csoportfiókokat tartalmaztak, míg az erőforrás-tartományok hálózati erőforrásokat, például fájlmegosztásokat és nyomtatókat.

Ezekről a tartománymodellekről további információ a Windows NT Server dokumentációjában található.

Ha az aktuális tartománymodell nem egytartományos modell, a Windows 2000 új szolgáltatásai és az Active Directory segítségével csökkenthető a hálózat tartományainak száma. Ennek fő előnyei a következők:

  • Kevesebb tartományt kell kezelni. A Windows 2000 rendszer tartományainak kezelése egyszerűbb, mint a Windows NT tartományoké, mivel a biztonságos tranzitív meghatalmazások csökkentik azoknak a meghatalmazotti kapcsolatoknak a számát, amelyek kezelését kézzel kell elvégezni.
  • Ha az erőforrás-tartományokat és a főtartományt egyetlen tartományba vonja össze úgy, hogy az aktuális tárolóstruktúrát megtartó szervezetiegység-struktúrát alakít ki, akkor az összes fiókot és erőforrást (felhasználókat, számítógépeket, csoportokat, fájlmegosztásokat és nyomtatókat) abban az egyetlen tartományban gyűjtheti össze, ahová logikailag tartoznak. Ez különbözik a régebbi tartománymodellektől, amelyekben az erőforrásokat általában egy erőforrás-tartomány tartalmazta, a felhasználói fiókok pedig egy fióktartományban kaptak helyet.
  • A hardverrel kapcsolatos kiadások potenciális csökkenése. Mivel kevesebb tartomány létezik, kevesebb tartományvezérlő is elegendő.

Az alábbiakban az egyes frissíteni kívánt tartománymodellekhez igazodó frissítési javaslatok következnek.

Egytartományos modell

A Windows 2000 Server rendszerre történő frissítéskor az egytartományos modell az Active Directoryban egyetlen tartományt hoz létre. Az Active Directory sok új szolgáltatását használhatja az egytartományos modellben korábban nem használt funkciók hozzáadására, például a fiókok és erőforrások rendszerezéséhez használatos és a későbbiekben felügyeleti jogokkal felruházható szervezeti egységek hierarchiájának létrehozására.

Főtartományos modell

Amikor egy adott főtartományos modellt az Active Directory szolgáltatásra frissít, a frissítés rendszerint felülről lefelé történik, mivel létre kell hozni egy gyökértartományt. Elsőként a főtartományt kell frissíteni, és ezt követi az erőforrás-tartományok frissítése.

Centralizált felépítésű vállalatok esetében hasznos lehet az egész hálózatot úgy frissíteni, hogy csak egy tartomány létezzen, mivel így a több tartomány kezelésével járó felügyeleti munka mennyisége csökken. A jelenlegi többtartományos szervezeti felépítést megtarthatja a Windows 2000 tartományban is egy szervezetiegység-fa létrehozásával. A szervezetiegység-fa tükrözheti a régi tartománystruktúrát, de további struktúrákat is hozzáadhat a hálózatnak a korábbinál részletesebb szervezéséhez úgy, hogy nincs szükség több felügyeleti munkára a több tartomány és a több meghatalmazotti kapcsolat miatt.

Centralizált vállalat esetén a főtartományos modellről az egyetlen Windows 2000 tartományból álló modellre való áttérés a következő előnyökkel jár:

  • Kevesebb tartományt kell kezelni.
  • Az adatlekérdezés gyorsabb és hatékonyabb, ha a címtárobjektumok egy tartományban vannak.
  • A szervezeti egységekből részletes szervezeti struktúrát hozhat létre anélkül, hogy a felügyeleti munka, például a meghatalmazotti kapcsolatok kezelésével kapcsolatos feladatok mennyisége növekedne.
  • A felügyeleti jogkör egy vagy több szervezeti egységhez való delegálásával átruházhatja a felügyeleti munkát, így a hálózati biztonság csökkenése nélkül teheti azt hatékonyabbá.

Decentralizált szervezet esetén kihasználhatja a tartományfák rugalmasságát, mivel megtarthatja az erőforrás-tartományokat, és nem kell azokat teljes értékű, felhasználókat és erőforrásokat is tartalmazó tartománnyá tenni. Ezzel a módszerrel a felhasználói fiókokat a központi főtartomány helyett abba a tartományba helyezheti, amelyikben a felhasználók által használt erőforrások is találhatók.

Sok szervezetnek hivatali egységeket is kell tartalmaznia a tartománymodellben, amelyeket külön szervezetként kell kezelni úgy, hogy közben fenn kell tartani egy logikus, integrált hálózati felépítést. E vállalatok számára a tartományfákkal rendelkező erdő a jó megoldás.

Több főtartományos modell

Egy vállalatnál valószínűleg az alábbi okok miatt kerül sor egy több főtartományos modell alkalmazására:

  • A hálózat nagy mérete miatt az összes felhasználó és csoport nem fér el egyetlen tartományi adatbázisban.
  • A hálózathoz különböző földrajzi pontokon lévő helyek tartoznak, és minden hely saját felhasználókkal és erőforrásokkal rendelkezik. A helyek közötti kapcsolatok lassúak, ezért nem célszerű a replikációs forgalmat ezeken keresztül bonyolítani.
  • A tartománymodell követi a vállalat felépítését, amelyben az egyes üzleti egységeknek felügyeleti jogra van szükségük saját felhasználóik és erőforrásaik fölött.

Az Active Directory az első és a második feltételt közvetlenül megoldja. Az Active Directory méretezhető, és támogatja a sok tartomány megszüntetését. Ha egy vállalatnál kizárólag a felhasználók nagy száma miatt használják a Windows NT több főtartományos modelljét, akkor ezek a tartományok összevonhatók egyetlen Active Directory tartományba.

Az Active Directory lehetővé teszi a számítógépek földrajzi helyek szerinti rendszerezését, illetve a helyek közötti replikáció kívánság szerinti ütemezését. Ha a kiterjedt helyek közötti csatlakozások elég gyorsak az esetenkénti replikációk kezeléséhez, akkor érdemes lehet egyesíteni a tartományokat. Ha viszont a vállalat felépítése a földrajzi elhelyezkedést is tükrözi, lehet, hogy érdemesebb az egyes tartományokat a különböző helyeken megtartani.

Ha lehetőség van egyetlen (vagy legalábbis kevesebb) tartomány kialakítására, akkor ez a Főtartományos modell című részben ismertetett előnyökkel jár.

Ha a vállalati modell külön főtartományok alkalmazását kívánja meg, akkor az Active Directory előnyeinek kihasználása érdekében minden aktuális főtartományt egy Windows 2000 Server tartományfa gyökértartományaként kell frissíteni. Az erdő bármely tartományában lévő erőforrásokhoz bármelyik hitelesített felhasználó hozzáférhet. Az erdő lehetővé teszi, hogy minden tartományfa közös sémával, konfigurációs környezettel és közös globális katalógussal rendelkezzen. Ezt a tervet akkor érdemes átgondolni, ha az adott vállalat DNS-névtere egynél több gyökérnévvel rendelkezik.

Teljes meghatalmazási modell

A teljes meghatalmazási modellt elsősorban az erősen decentralizált vállalatok alkalmazzák. A Windows NT Server rendszerben ez volt a legrugalmasabb, ugyanakkor a legtöbb karbantartást is igénylő modell.

Az Active Directory használta esetén ennek a függetlenségnek a fenntartásához minden aktuális tartományból tartományfát vagy egy erdőt kell létrehozni. Ha ezt az eljárást alkalmazza, kevesebb lesz a meghatalmazotti kapcsolatokra vonatkozó felügyeleti feladat, mivel az erdő vagy a tartományfa összes tartománya automatikusan a tranzitív meghatalmazotti kapcsolatot alkalmazza.

Csak akkor érdemes külön erdőket kialakítani, ha a vállalat a tartománcsoportok között erőforrásmegosztás nélküli abszolút autonómiát kíván biztosítani.

Az Active Directory a Windows NT Server 4.0 rendszerhez hasonlóan az egyirányú meghatalmazotti kapcsolatokat is támogatja. Egyirányú meghatalmazások külső (erdőn kívüli) tartományokhoz használhatók. Az egyirányú meghatalmazások a külső partnerek közötti kommunikációra szolgálnak, és nem a vállalati hálózatnak képezik az alapját.

Az Active Directory alapul vehető a hálózat centralizációjához és tartományfa vagy tartományfák kialakításához is. Sok vállalatnál a strukturált, logikus hálózatot nem szervezett módon tervezték meg és telepítették, hanem kisebb, Windows NT Server rendszert használó szigetekből alakult ki, amely aztán a Windows NT Server alkalmazásának terjedésével együtt növekedett.


A DNS-szerkezet megtervezése

Mivel az Active Directory és a DNS (tartománynév-rendszer) névtérszerkezete azonos, a névtér megfelelő megtervezése elengedhetetlen az Active Directory zavartalan használatához.

A DNS-névtér tervezéséről és az Active Directroryhoz való viszonyáról a Névtér tervezése a Tartománynévrendszerhez (DNS) című részben talál információt.


A tartományszerkezet megtervezése

A legegyszerűbb tartományszerkezet egyetlen tartományból áll. Tervezéskor érdemes egyetlen tartományból kiindulni, és csak akkor hozzon létre további tartományokat, ha az egytartományos modell már nem felel meg az igényeinek.

Egy tartomány több helyet foghat át, és objektumok millióit tartalmazhatja. A hely és a tartomány struktúrája egymástól független, és rugalmasan alakítható. Egy tartomány átfoghat több földrajzi helyet, egyetlen hely pedig különböző tartományokhoz tartozó felhasználókat és számítógépeket tartalmazhat.

Nem szükséges külön tartományfákat létrehoznia pusztán csak azért, hogy azok a cég szervezeti felépítését tükrözzék. Erre a célra egy tartományon belül szervezeti egységeket használhat. Ezután meghatározhatja a csoportházirendeket, a felhasználói, csoport- és számítógépfiókokat pedig elhelyezheti a szervezeti egységekben. További információt a Szervezeti egységek szerkezetének megtervezése című témakörben talál.

Néhány indok, hogy miért van szükség egynél több tartományra:

  • Az egyes osztályok és részlegek jelszókövetelményei eltérőek
  • Az objektumok nagy száma
  • Különböző internetes tartománynevek
  • A replikáció szigorúbb ellenőrzése
  • Decentralizált hálózatfelügyelet

Több tartomány tervezése

Bár az egytartományos hálózat alkalmazásának sok előnye van, bővítési, biztonsági vagy replikációs elvárások miatt a vállalatnál egynél több tartomány létrehozására is szükség lehet. A címtári adatok tartományvezérlők közötti replikációjának megismerése segítséget nyújt a szervezet számára szükséges tartományok számának megtervezéséhez. A replikációról további információt A replikáció működése című témakör tartalmaz.

Ha a hálózat decentralizált (amelyben a különböző részlegek felügyeletét teljesen önálló, független rendszergazdák végzik), akkor szükség lehet több tartomány alkalmazására. A különálló tartományokban minden rendszergazda-csoport létrehozhatja a többi tartománytól független, saját biztonsági házirendjét. Ezenkívül, nemzetközi szervezetek esetében könnyebb a különböző országok felhasználóinak és erőforrásainak felügyeletét a saját nyelvükön végezni.

Egy erdőn belül az összes tartomány ugyanazt a globális katalógust használja, és a tartományok arra jogosult felhasználói hozzáférhetnek az erdő más tartományainak erőforrásaihoz is.

A tartományfák elsősorban külön névterek létrehozása szempontjából hasznosak. Egy tartományfán belül az összes tartomány összefüggő DNS névtérrel rendelkezik. Ha az aktuális hálózat alkalmas összefüggő DNS névtér használatára, akkor az összes tartományt elhelyezheti egyetlen tartományfában.

Egy erdőn belül több, egyedi tartománynévvel rendelkező szervezetet is elhelyezhet. Az erdő összes tartományfája saját névtérrel rendelkezik. További információt a Tartományfák és erdők használatának ismertetése című témakör tartalmaz.


Mikor szükséges tartományvezérlőt létrehozni?

Egy Windows 2000 Server operációs rendszerű számítógép tartományvezérlővé történő előléptetése során a rendszer tartományt hoz létre vagy egy létező tartományhoz ad további tartományvezérlőket. A tartományvezérlő létrehozásának célja:

  • a hálózat első tartományának létrehozása
  • további tartományok hozzáadása létező erdőhöz
  • a hálózat elérhetőségének és megbízhatóságának növelése, illetve
  • a hálózat helyek közötti teljesítményének javítása.

Windows 2000 tartomány létrehozásához legalább egy tartományvezérlőt létre kell hoznia a tartományban. A tartományvezérlő létrehozása egyben a tartomány létrehozását is jelenti. Tartományvezérlő nélkül nem létezhet tartomány.

Ha úgy dönt, hogy a hálózatban egynél több tartományra van szüksége, minden további tartományban legalább egy tartományvezérlőt létre kell hoznia. Az adott erdő további tartományai lehetnek

  • új gyermektartományok vagy
  • új tartományfa gyökerei.

Akkor hozzon létre új gyermektartományt, ha egy vagy több tartománnyal közös névteret megosztó tartományt kíván létrehozni. Ez azt jelenti, hogy az új tartomány neve tartalmazni fogja a szülőtartomány teljes nevét. Az ertekesites.microsoft.com tartomány például a microsoft.com tartomány gyermektartománya. A tartományfa-struktúra használatával hierarchikusan szervezhet tartományokat a teljes szervezeten belül.

Ha egy tartományfa első tartományát hozza létre, a tartomány neve és az erdő többi tartományának neve egymástól függetlenek lesznek. Akkor hozzon létre új tartományfát, ha saját, egyedi Internetes tartománynevüket megtartó, a vállalat különböző részlegeihez tartozó tartományokat kíván az erdőhöz csatolni.

Ha van már tartományvezérlője egy bizonyos tartományban, a hálózati szolgáltatások elérhetőségének és megbízhatóságának javítása érdekében további tartományvezérlőket adhat hozzá. Ha egy tartományban több tartományvezérlő található, úgy a tartomány akkor is működhet, ha valamelyik tartományvezérlő meghibásodik vagy valamilyen okból le kell azt választani a hálózatról. Több tartományvezérlő használatával a Windows 2000 ügyfelek is egyszerűbben csatlakozhatnak a tartományokhoz a hálózatra való bejelentkezéskor.

Ha a hálózat helyekre van osztva, gyakran tanácsos minden helyre legalább egy tartományvezérlőt helyezni. A hálózati ügyfelek hálózati bejelentkezéskor tartományvezérlővel kell, hogy kapcsolatba lépjenek. Ha az ügyfeleknek lassú hálózati összeköttetésen keresztül kell a tartományvezérlőhöz csatlakozniuk, a kapcsolatfelvétel elfogadhatatlanul hosszú ideig tarthat. Ha minden helyre tartományvezérlőt helyez, a bejelentkezési eljárás kezelése a helyen belül történik, a lassú összeköttetés használata nélkül.


A delegálási modell megtervezése

A hitelesítést a szervezet legalsóbb szintjéhez delegálhatja úgy, hogy minden tartományban létrehozza a szervezeti egységeket tartalmazó fát, majd a szervezeti egység részfájának egyes részein érvényes hitelesítési hatáskört más felhasználókhoz vagy csoportokhoz delegálja.

A felügyeleti hitelesítés delegálásával elkerülhető, hogy olyan személyekre legyen szükség, akik rendszeresen olyan fiókokra jelentkeznek be, amelyek abszolút jogosultsággal rendelkeznek a teljes tartományra. Ezután is lesz az egész tartományra kiterjedő felügyeleti jogokkal rendelkező Rendszergazda fiók, illetve Tartománygazdák csoport, amelyek azonban eseti használatra tarthatók fenn a legmegbízhatóbb rendszergazdákból álló, korlátozott létszámú csoport számára.

Amikor döntést hoz a szervezeti egységek struktúrájáról, illetve arról, hogy az egyes felhasználók melyik szervezeti egységhez tartoznak, figyelembe kell venni a felügyeleti hierarchiát. Például, létrehozhat egy olyan szervezetiegység-fát, amelyben lehetőség van arra, hogy a szervezet egy adott osztálya – például a Humánpolitikai osztály – minden ágának felügyeleti jogát egyetlen felhasználónak adja. Másik lehetőség, hogy a szervezeti egységen belül egy alcsoport – például a Humánpolitikai osztály Személyzeti csoportja – számára delegálja a felügyeleti jogokat. A felügyeleti jogok delegálásának további módja, ha egyetlen személynek delegálja a Humánpolitikai osztály felügyeleti jogait, de a Humánpolitikai osztály szervezeti egységei nem kapnak felügyeleti jogokat.


Szervezeti egységek szerkezetének megtervezése

A tartományon belül hierarchikus szervezeti rendszert alakíthat ki. A szervezeti egységek tartalmazhatnak felhasználókat, csoportokat, számítógépeket, nyomtatókat, megosztott mappákat, valamint más szervezeti egységeket.

A szervezeti egységek címtári tároló objektumok. Ezek az objektumok az Active Directory – felhasználók és számítógépek ablakban mint mappák jelennek meg.

A szervezeti egységek egyszerűbbé teszik az egy tartományban lévő címtári objektumok megjelenítését és felügyeletét. A szervezeti egységek felügyeletét külön-külön delegálhatja adott személyeknek. Ez lehetővé teszi a tartományok felügyeletének elosztását a rendszergazdák között, és a felügyeleti jogkörök szervezését a szervezeti felelősségek elosztásához hasonló módon.

Általában olyan szervezeti egységeket célszerű létrehozni, amelyek tükrözik a cég működési vagy üzleti szerkezetét. Létrehozhat olyan felső szintű szervezeti egységeket, mint például a humánpolitikai, a telephelykezelési vagy a marketing-főosztály. A humánpolitikai főosztályon belül létrehozhat további, alárendelt szervezeti egységeket, például a szociális és a személyzeti osztályokat. A személyzeti osztályon belül is létrehozhat alárendelt szintű szervezeti egységeket, például a belső átszervezéssel és a külső munkaerő-felvétellel foglalkozó csoportokat. Röviden: a szervezeti egységek használata lehetővé teszi a cég szervezetének logikus és átlátható módon való modellezését, illetve megfelelő helyi rendszergazdai jogkörök kialakítását a hierarchia minden szintjén.

Minden tartományon külön hierarchikus szervezetiegység-modell valósítható meg. Ha a cég hálózata több tartományból áll, akkor minden tartományban a többi tartományétól független szervezetiegység-szerkezetet alakíthat ki.

Szervezeti egységek felügyelete

A szervezeti egység a legkisebb egység, amelyhez felügyeleti jogkört rendelhet (a nagyobb egységek a helyek és a tartományok). Ez lehetővé teszi a felhasználók és erőforrások felügyeletének helyi delegálását. Például a nyomtatási várólisták és a fájlerőforrások egy adott szervezeti egységen belüli felügyeletét delegálhatja egy olyan személynek, akinek a felhasználói fiókja abban a szervezeti egységben található. Meghatalmazhat adott személyeket felhasználói fiókok létrehozására és törlésére a szervezeti egységek egy teljes részfáján. További információt a Felügyelet delegálása című témakör tartalmaz.

Házirendek és adatvédelem

A szervezeti egység a legkisebb egység, amelyhez csoportházirendet rendelhet (a nagyobb egységek a helyek és a tartományok). Ez lehetővé teszi, hogy a szervezeti egység vagy annak bármelyik gyermekobjektuma (köztük más szervezeti egységek) számára meghatározza a hozzáférési és erőforrás-használati jogokat, valamint a konfigurációt. További információt a Csoportházirend című témakör tartalmaz.

A szervezeti egységek nem rendszerbiztonsági tagok, és nincsenek tagjaik. Feladatuk kizárólag a címtári objektumok kezelése és tárolása. Célszerű a felhasználók jogait és engedélyeit csoportokhoz való hozzárendeléssel meghatározni. A fiókok felügyeletében az első lépésként a csoporttagságokat kell meghatározni. Ezután használhatja a szervezeti egységeket a csoportobjektumok tárolására és a csoportházirend-beállítások meghatározására.

Tartományok vagy szervezeti egységek

A hálózat egy adott részének felosztásakor el kell döntenie, hogy külön tartományokat, vagy külön szervezeti egységeket kíván-e alkalmazni. Az alábbi ajánlásokat használhatja útmutatóként:

  • Külön tartományokat hozzon létre a hálózatban, ha a cég decentralizált, és a különböző felhasználók és erőforrások felügyeletéért teljesen különálló személyzet felelős.
  • Külön tartományokat hozzon létre a hálózatban, ha a hálózatot egy igen lassú kapcsolat két részre osztja, és ezért ezen keresztül soha nem kíván teljes replikációs forgalmat bonyolítani. (Olyan lassú kapcsolatok esetében, amelyek korlátozott ütemezésben képesek a replikációs forgalom ellátására, több hellyel rendelkező tartományt konfigurálhat.)
  • Külön szervezeti egységeket hozzon létre a tartományban a cég szerkezetének tükrözése céljából.
  • Külön szervezeti egységeket hozzon létre a tartományban, ha kisebb felhasználói csoportok, csoportok és erőforrások felügyeleti jogát kívánja delegálni. A felügyeleti vezérlés delegálása lehet teljes körű (például felhasználók létrehozása, jelszó megváltoztatása), vagy részleges (például nyomtatási várólisták karbantartása).
  • Külön szervezeti egységeket hozzon létre a tartományban, ha várható, hogy a cég szervezeti felépítése a későbbiekben változni fog. Ha lehetséges, szervezze úgy a tartományokat, hogy a továbbiakban minél ritkábban kelljen azokat áthelyezni vagy felosztani.

Ha szervezeti egységeket hoz létre egy tartományban, két típusú hierarchia lehetséges egy tartományfán belül: a tartományok hierarchiája a tartományfán, és a szervezeti egységek hierarchiája a tartományokban.

Ez a kétszintű hierarchia nagy fokú rugalmasságot biztosít a tartományfák felügyelete terén. Tegyük fel, hogy van egy cég, amelynek hálózatát rendszergazdák központi csoportja felügyeli. A példában ez a rendszergazda-csoport mint a cég informatikai (IT) csoportja szerepel. Az IT csoport létrehozhat a cég tartományain belüli fiókokat és erőforrásokat képviselő szervezeti egységeket (minden tartomány rendelkezhet IT szervezeti egységgel, amely tartalmazza a tartomány IT felhasználói fiókjait). A központi IT csoport delegálhatja az adott szervezeti egység felügyeletét minden egyes egységnek, miközben megtartja a szervezeti egységek egésze fölötti felügyeletet.

A logikai szerkezet rugalmassága lehetővé teszi centralizált, decentralizált vagy a kettő kombinációjából álló szervezeti modellen alapuló környezet létrehozását.

A szervezeti egységek szerkezetéről részletes információt a Windows 2000 Resource Kit tartalmaz.


Műveleti főkiszolgálók elhelyezésének tervezése

Kisméretű Active Directory erdőben, ahol csak egy tartomány található egyetlen tartományvezérlővel, ez a tartományvezérlő birtokolja az összes műveleti főkiszolgáló szerepkört. Új erdő első tartományvezérlője létrehozásakor az összes műveleti főkiszolgáló szerepkört automatikusan erre a tartományvezérlőre ruházza a rendszer.

Egy létező erdőben új gyermektartomány vagy új tartományfa gyökértartománya létrehozásakor a tartomány első tartományvezérlője automatikusan megkapja a következő szerepköröket:

  • relatív azonosítók főkiszolgálója
  • elsődleges tartományvezérlő- (PDC) emulátor, és
  • infrastruktúrakezelő főkiszolgáló.

Egy erdőben az adott sémának csak egy fő tartományvezérlője és csak egy tartománynév-kiosztási főkiszolgáló lehet, így ezek a szerepkörök az erdő először létrehozott tartományában maradnak.

Műveleti főkiszolgálók alapértelmezés szerinti elhelyezése többtartományos erdőben.

Az ábra a műveleti főkiszolgálók erdőben történő alapértelmezés szerinti elhelyezését szemlélteti. Az ábrán az A tartomány az erdő elsőként létrehozott tartománya (más néven az erdő gyökértartománya). Ebben található mind a két erdő-szintű műveleti főkiszolgáló szerepkör. A további tartományok mindegyikének első tartományvezérlője rendelkezik a három tartományfüggő szerepkörrel.

A műveleti főkiszolgálók alapértelmezés szerinti elhelyezése megfelelően működik, ha az erdő csak egy helyet és csak néhány tartományvezérlőt tartalmaz. Ha több tartományvezérlőt tartalmaz az erdő, illetve több helyet fed le, a műveleti főkiszolgáló szerepköröket áthelyezheti a tartomány, illetve az erdő másik tartományvezérlőire.

A műveleti főkiszolgáló szerepkörök hozzárendelésének tartományonkénti tervezése

Ha a tartományban csak egy tartományvezérlő található, az kapja az összes tartományi szerepkört. Más esetben válasszon ki két megfelelően összekötött tartományvezérlőt, amelyek közvetlen replikációs partnerek. Az egyik tartományvezérlőt konfigurálja műveleti főkiszolgáló tartományvezérlőnek, a másikat pedig készenléti műveleti főkiszolgáló tartományvezérlőnek. A készenléti műveleti főkiszolgáló tartományvezérlő a műveleti főkiszolgáló tartományvezérlő meghibásodása esetén működik.

Általános tartományok esetén rendelje mind a relatív azonosítók főkiszolgálója, mind az elsődleges tartományvezérlő- (PDC) emulátor szerepkörét a műveleti főkiszolgáló tartományvezérlőhöz. Nagyon nagy méretű tartomány esetén csökkentheti a PDC-emulátor csúcsterhelését, ha ezeket a szerepköröket külön tartományvezérlőkre helyezi, amelyek a készenléti műveleti főkiszolgáló tartományvezérlőnek egyaránt közvetlen replikációs partnerei. Tárolja a két szerepkört egy helyen mindaddig, amíg a műveleti főkiszolgáló tartományvezérlő terhelése nem teszi szükségessé a szétválasztást.

Rendelje az infrastruktúrakezelő főkiszolgáló szerepkört egy olyan tartományvezérlőhöz, amely nem globális katalógus, de megfelelő összeköttetéssel rendelkezik egy – ugyanazon a helyen, de bármely tartományban lévő – globális katalógussal. Ha a műveleti főkiszolgáló tartományvezérlő megfelel ennek a követelménynek, használja azt mindaddig, amíg a terhelés nem teszi szükségessé a szerepkörök szétválasztását.

Az erdő műveleti főkiszolgáló szerepköreinek tervezése

Ha mindegyik tartományban kiosztotta a tartománybeli szerepköröket, szenteljen figyelmet az erdőbeli szerepköröknek. A séma fő tartományvezérlője és a tartománynév-kiosztási főkiszolgáló szerepköröket mindig ugyanahhoz a tartományvezérlőhöz kell rendelni. A legjobb teljesítmény biztosítása érdekében olyan számítógéphez rendelje ezeket a feladatokat, amely megfelelő összeköttetéssel rendelkezik a rendszergazda, illetve a séma frissítéséért és az új tartományok létrehozásáért felelős csoport számítógépeivel. Ezek a műveleti főkiszolgáló szerepkörök nem jelentenek nagy terhelést, ezért a kezelés egyszerűsítése érdekében bízza őket az erdő valamelyik tartományának műveleti főkiszolgáló tartományvezérlőjére.

A hálózatnövekedés figyelembevétele

A hálózat növekedése miatt általában nem szükséges a különböző műveleti főkiszolgáló szerepkörök elhelyezésének megváltoztatása. Ha azonban ki szeretne iktatni egy tartományvezérlőt vagy meg kívánja változtatni valamely tartományvezérlő globáliskatalógus-állapotát, netán csökkenteni akarja a hálózat egyes részei rendelkezésére álló kapcsolatok számát, újra kell gondolnia a tervezési folyamatot, illetve szükség esetén meg kell változtatnia egyes műveleti főkiszolgáló szerepkörök hozzárendelését.

A műveleti főkiszolgálókról az Egyedi főkiszolgáló-műveletek című témakör nyújt általános tájékoztatást. A műveleti főkiszolgáló szerepkör átadásáról A műveleti főkiszolgáló szerepkör átadása témakörben olvashat. Bizonyos körülmények befolyásolhatják a globális katalógus adott tartományvezérlőn való működését, ha a kiszolgáló egyben az infrastruktúrakezelő főkiszolgáló is. Bővebb tájékoztatásért olvassa el A globális katalógus és az infrastruktúrakezelő főkiszolgáló című témakörben foglaltakat.


Helyszerkezet tervezése

Erről az oldalról a következő témaköröket érheti el:

  • Sávszélesség
  • Mikor érdemes egyetlen helyet létesíteni?
  • Mikor kell külön helyeket létrehozni?
  • A tartományvezérlő és a globális katalógus elhelyezése
  • A globális katalógus és az infrastruktúrakezelő főkiszolgáló


Sávszélesség

A sávszélesség a legfontosabb gyakorlati tényező, amely hatással van a hálózat helyközi replikációjára. A helyeket rendszerint alhálózatok határozzák meg, de fontos tisztában lenni azzal, hogy ennek elsődleges oka az álhálózatok közötti tipikusan jó kapcsolat. Ez azt jelenti, hogy az alhálózatok többnyire (nem mindig) hatékony eszközei a helyek meghatározásának.

A hely hatékony rendszerezéséhez figyelembe kell venni a replikációs követelményeket és az alkalmazható kapcsolatokat. Olyan egyensúlyt kell kialakítani, amelyben az egy helyen lévő tartományvezérlők között megfelelő kapcsolat van a gyakori címtári adatcsere kezelésére, és a kiadások vagy a hálózat teljesítményének csökkenése miatt felmerülő költségek a megfelelő szinten maradnak.

A sávszélesség meghatározásakor több alhálózat is kombinálható egyetlen helyen, de egy alhálózatot több hely között is feloszthat, amint az alábbi példákban is látható:

  • Egyetlen nagyobb, egy teljes épületet képviselő alhálózat (172.16.32.0/19) három kisebb, az épület egy-egy szintjét képviselő alhálózatra bontva (172.16.32.128/25, 172.16.33.0/25, és 172.16.33.128/25). A számítógépek, így az alhálózat több tartományvezérlője között is igen rossz a kapcsolat. Hozzon létre több kisebb alhálózatot, amelyek kapcsolati lehetőségei jobbak, mint az egyetlen nagy alhálózat kapcsolatai. A nagyobb hatékonyság érdekében minden alhálózatban legyen egy-egy tartományvezérlő.
  • Több kisebb alhálózat kombinálása kevesebb, de nagyobb alhálózatban [image] Most több olyan alhálózatokkal rendelkezik, amelyek között jó a kapcsolat, vagy kevesebb a tartományvezérlő, mint az alhálózat, azonban több alhálózatot kíván egy helyen belül elhelyezni. Ennek kivitelezéséhez egyetlen helyhez több alhálózatot kell hozzáadni.

Ha további információt szeretne arról, hogy a sávszélesség hogyan befolyásolhatja a helyek és szolgáltatások konfigurálását, olvassa el a Mikor kell külön helyeket létrehozni? című témakört.


Mikor érdemes egyetlen helyet létesíteni?

Amikor a címtár replikációját megtervezi, kezdetben egy helyet tervezzen, majd a sávszélesség és a kapcsolat szabta korlátoknak megfelelően adjon ehhez további helyeket. Ha a hálózat csak egy egyszerű helyi hálózat (LAN), akkor a helystruktúra megtervezése nem okoz gondot. A helyi összeköttetések rendszerint gyorsak, így az egész hálózat állhat egyetlen helyből.

Egy jó kapcsolatokkal rendelkező helyen (például egy egyszerű LAN hálózatban) további helyek is definiálhatók, de ennek potenciális hátrányai lehetnek: emelkedhet a felügyeleti költség, és csökkenhet az adatcsere mértéke a többi jó kapcsolattal rendelkező hely tartományvezérlői között. Ha egy ügyfél tartományvezérlő nélküli helyen működik, akkor az ügyfél azt a tartományvezérlővel rendelkező helyet használja, amelyikkel a legjobb kapcsolattal rendelkezik. A legjobb kapcsolattal rendelkező hely az, amelyiknek a helyhivatkozása a legkisebb költségű.

Ha azt szeretné, hogy egy bizonyos ügyfél egy bizonyos tartományvezérlő-csoportra jelentkezzen be, definiálhatja úgy a helyet, hogy a többi, fizikailag ugyanolyan helyzetű tartományvezérlő helyett csak ezek a tartományvezérlők legyenek az ügyféllel azonos helyen.

Általában gyorsabb és megbízhatóbb az egymáshoz közeli számítógépek közötti kapcsolat. Ha a számítógépek egy alhálózaton belül vannak, akkor valószínű, hogy megfelelő kapcsolat van közöttük, és ugyanazon a helyen találhatók. A fizikai elhelyezkedéstől függetlenül a különböző alhálózatokban lévő számítógépek között is lehet jó kapcsolat, ha elég nagy a sávszélesség. Ilyen esetben az alhálózatok és a fizikai közelség nem feltétlenül meghatározóak a helyhozzárendelés szempontjából.

Megjegyzés

  • Egy többhelyű (egynél több IP-címmel rendelkező) számítógép, amelynek különböző helyekhez tartozó alhálózati címei vannak, nem tartozhat mindegyik helyhez, csak az egyikhez. Célszerű a többhelyű számítógép összes címét ugyanahhoz a helyhez hozzárendelni.


Mikor kell külön helyeket létrehozni?

A külön helyek létrehozása a következő előnyökkel jár:

  • Biztosítja a hálózat partícionált ügyfélhasználatát.
  • Tovább optimalizálja a címtári adatok cseréjét.
  • Az erőforrások, például a konfigurációs adatok centralizálásával megkönnyíti a felügyeletet.
  • Pontosan beállítja a replikációs viselkedést.

Hozzon létre külön helyet saját tartományvezérlővel, ha úgy találja, hogy a tartományvezérlők nem teljesítik elég gyorsan a felhasználói igényeket. A megfelelő gyorsaság mértékének meghatározása a hálózattal szemben támasztott elvárásoktól függ. A nem kielégítő teljesítmény gyakoribb, ha a kialakított rendszer nagy földrajzi területet fed le.

Tegyük fel, hogy egy cég központja Pécsett található, és van egy kirendeltsége Győrben. A helyszínek közötti többféle kapcsolat lehet: lassú, telefonos kapcsolat, 64 kbps sebességű Frame Relay kapcsolat, vagy nagy sebességű kapcsolat.

Először el kell dönteni, hogy a kirendeltségnek egyáltalán szüksége van-e tartományvezérlőre. Ha nincs tartományvezérlője, akkor nem lehet replikációs forgalmat bonyolítani a kirendeltség felé. Az ügyfelek a központ hálózati csatlakozásain keresztül jelentkezhetnek be a hálózatra. Ez akkor elfogadható, ha a hálózati kapcsolat gyors és megbízható. Gyakran előfordul azonban, hogy a távoli tartományvezérlővel létesített kapcsolat viszonylag lassú. Csak kis (legfeljebb 5 számítógépet üzemeltető) kirendeltségek esetében elfogadható, ha a távoli helyen nincs tartományvezérlő, mert a korlátozott teljesítmény csak kevés felhasználót érint hátrányosan. Nagyobb kirendeltségeket célszerűbb külön helyként, egy vagy több helyi tartományvezérlővel konfigurálni.

Ha a tartományvezérlő telepítésének szükségességéről további információt szeretne, olvassa el a Mikor szükséges tartományvezérlőt létrehozni? című témakört.

Ha a replikációt az összes tartományvezérlő között egyszerre kell lebonyolítani, akkor célszerű az összes érintett tartományvezérlőt ugyanahhoz a helyhez hozzárendelni. Ez a replikáció egységes ütemezését eredményezi, de korlátozza a címtár replikációs viselkedésének szabályozási lehetőségeit. Külön helyek létrehozásával a hely feltételeinek megfelelően pontosan beállítható a replikáció. Előfordulhat, hogy a hálózat nagy sebességű alapértelmezett kapcsolattal rendelkezik, de van egy telefonos kapcsolat is arra az esetre, ha a nagy sebességű vonal nem használható. Ha több redundáns hálózati kapcsolat áll rendelkezésre, akkor az Active Directory a költségek alapján dönti el, hogy melyiket használja: az olcsóbbat választja mindaddig, amíg az elérhető. Ha az olcsóbb összeköttetés megszűnik, akkor az Active Directory a másik kapcsolatot választja a megbízhatóság biztosítása érdekében.

Ha jó kapcsolat áll fenn a kiszolgálók és az ügyfélszámítógépek csoportja között, hozzon létre helyeket, az egyes helyeken pedig támaszpont-kiszolgálókat a terhelés kiegyensúlyozása érdekében. Külön helyek létrehozásával eloszthatja az ügyféllekérdezéseket a kiszolgálók között. Még akkor is csökken a replikáció mértéke, ha egy hely gyors összeköttetéssel kapcsolódik a többihez, mivel a hely kiszolgálója vagy a kiszolgálói kezelik a helyhez tartozó felhasználók kérelmeit.

A helyek tervezésekor vegye figyelembe, hogy mely számítógépnek mely tartományvezérlőt kell használnia a bejelentkezés során. Bejelentkezéskor az ügyfél tartományvezérlőt keres saját helyén. A keresés hatékonysága és megbízhatósága érdekében a gyors összeköttetéseket közvetlenül az olcsó helyhivatkozásokhoz kell hozzárendelni a helytopológiában. Az ügyfél-alhálózatok saját helyeikhez való hozzárendelésével hatékony hozzáférés biztosítható erőforrásokhoz az ügyfelek számára, mivel jó kapcsolattal rendelkeznek majd az erőforrásokhoz.

Szükség esetén egy adott hely bármelyik tartományvezérlője működtethető támaszpont-kiszolgálóként. Ha egy vagy több számítógépet jelöl ki elsődleges támaszpont-kiszolgálóként, akkor egyszerre csak egy tartományvezérlő fog támaszpont-kiszolgálóként működni. Bár az Active Directory szolgáltatás kijelöl egy másik elsődleges támaszpont-kiszolgálót arra az esetre, ha az első meghibásodna, azonban az átirányítás ideje alatt egy ideig a helyek közötti replikációra nem kerül sor.

A támaszpont-kiszolgáló meghibásodásából fakadó hátrányok csökkentésére a különösen nagy, és megfelelő kapcsolatokkal rendelkező helyeket célszerű kisebb helyekre felosztani, mert így a támaszpont-kiszolgáló kiesése csak a hibás támaszpont-kiszolgálót tartalmazó helyet és az annak replikációs partnereit tartalmazó helyet vagy helyeket érinti. Egyetlen nagyobb hely esetén sokkal jelentősebb hatással jár, ha a helyek közötti replikáció a támaszpont-kiszolgáló elérhetetlensége miatt marad el. Több kisebb, elérhető hely esetén a helyközi replikációnak az új támaszpont-kiszolgáló kiválasztása miatt történő elmaradása csak egyetlen kisebb helyre korlátozódik. További információt az Elsődleges támaszpont-kiszolgálók használata című témakör tartalmaz.

Helyek közötti hivatkozások használata

Ha több helyet létesít, gondolja át, hogyan történjen a helyek közötti információcsere, majd vizsgálja meg, pontosítsa, illetve egészítse ki a helyhivatkozások aktuális konfigurációját.

A hálózat helyek közötti replikációs topológiájának kiegészítésére létrehozhat helyhivatkozásokat, vagy helyhivatkozásokat kapcsolhat össze egyetlen helyhivatkozás-hídban. Bár egyetlen helyhivatkozás is elég ahhoz, hogy egy helyet más helyekhez kapcsoljon, megbízhatóbb, hibatűrőbb replikációs konfiguráció létrehozása érdekében adjon a hálózathoz további, más helyekhez kapcsolódó helyhivatkozásokat is.

A hálózat helyek közötti replikációs topológiájának kiegészítéséről további információt a Feladatlista: Helyek közötti replikáció optimalizálása, a Helyhivatkozás létrehozása és a Helyhivatkozás-híd létrehozása című témakörök tartalmaznak. A helyhivatkozási lehetőségek (többek között a replikációs elérhetőség, a költség és a gyakoriság) konfigurálásával kapcsolatos további információért kattintson a Replikációs beállítások hivatkozásra.


A tartományvezérlő és a globális katalógus elhelyezése

A globális katalógushoz való hozzáférés szükséges a sikeres bejelentkezéshez. A globális katalógus a csoporttagságok meghatározásához szükséges a bejelentkezési eljárás során. Ha a hálózat tartalmaz lassú vagy megbízhatatlan összeköttetést, akkor annak mindkét oldalán el kell helyezni egy-egy globális katalógust a maximális elérhetőség és hibatűrés biztosítására.

Az Active Directory hálózati forgalmának nagy részét a lekérdezések alkotják: felhasználók, rendszergazdák és programok kérnek adatokat címtári objektumokról. A replikációs forgalmat eredményező címtár-frissítésekre sokkal ritkábban kerül sor. A legjobb hálózati teljesítmény eléréséhez minden helyen helyezzen el legalább egy tartományvezérlőt. Ha minden helyen van tartományvezérlő, akkor minden felhasználó a leggyorsabb kapcsolaton keresztül férhet hozzá egy olyan kiszolgálóhoz, amely lekérdezési kérelmeket kezel.

A hálózat forgalmának optimalizálására úgy konfigurálhatja a lassú kapcsolattal rendelkező helyek tartományvezérlőit, hogy csak csúcsidőn kívül fogadják a címtár-replikációs frissítéseket.

A hálózati teljesítmény akkor legjobb, ha az adott hely tartományvezérlője egyben globális katalógus is. Ekkor a kiszolgáló az egész erdő objektumaira vonatkozó lekérdezéseket is teljesíthet. Azonban ha túl sok tartományvezérlőt állít be globális katalógusként, ezzel megnöveli a hálózat replikációs forgalmát.

Több tartományvezérlőt tartalmazó tartományokban az infrastruktúrakezelő főkiszolgáló szerepet betöltő tartományvezérlő ne legyen globális katalógus. További információt A globális katalógus és az infrastruktúrakezelő főkiszolgáló című részben talál.


A globális katalógus és az infrastruktúrakezelő főkiszolgáló

Az infrastruktúrakezelő főkiszolgáló felelős a saját tartománya objektumai és más tartományok objektumai közötti hivatkozások frissítéséért. Az infrastruktúrakezelő főkiszolgáló saját adatait egy globális katalógus adataival hasonlítja össze. A globális katalógusok replikáció útján rendszeresen kapnak frissítést az összes tartomány objektumairól, így a globális katalógus adatai mindig napra készek. Ha az infrastruktúrakezelő főkiszolgáló elavult adatot talál, akkor a globális katalógustól lekéri a friss adatot. Ezután az infrastruktúrakezelő főkiszolgáló replikálja a frissített adatokat a tartomány többi tartományvezérlője felé.

Fontos

  • Az infrastruktúrakezelő főkiszolgáló szerepét ne a globális katalógust tartalmazó tartományvezérlő töltse be, kivéve, ha csak egyetlen tartományvezérlő van a tartományban. Ha az infrastruktúrakezelő főkiszolgáló és a globális katalógus ugyanazon a tartományvezérlőn van, akkor az infrastruktúrakezelő főkiszolgáló nem működik. Az infrastruktúrakezelő főkiszolgáló sohasem talál elavult adatokat, ezért semmilyen változást nem replikál a tartomány többi tartományvezérlője felé.

    • Ha a tartomány minden tartományvezérlője tartalmazza a globális katalógust, akkor az összes tartományvezérlő rendelkezni fog az aktuális adatokkal, ezért lényegtelen, hogy melyik tartományvezérlő az infrastruktúrakezelő főkiszolgáló.

A műveleti főkiszolgálói szerepekről további információt az Egyedi főkiszolgáló-műveletek című témakör tartalmaz. A műveleti főkiszolgáló szerepkör átadásáról A műveleti főkiszolgáló szerepkör átadása című témakörben olvashat.


Csoportok használata

A csoportstratégiák megtervezése az Active Directory megvalósításának fontos része. Határozza meg a Windows 2000 tartományok számát és üzemmódját (vegyes vagy natív), mielőtt eldöntené, hogy milyen csoportokat hoz létre.

A tartomány-üzemmód meghatározza a használható csoportok típusát és hatókörét. vegyes üzemmódú tartomány csak a tartományszintű helyi és globális hatókörű biztonsági csoportokat támogatja. Nem támogatja a Windows 2000 rendszerrel bevezetett univerzális hatókört. Ha a tartományt átalakította natív üzemmódú tartománnyá, akkor létrehozhat univerzális hatókürű biztonsági csoportokat, illetve létező csoportokat univerzális hatókörűvé kovertálhat.

További információt a következő témakörökben talál:

  • Hol hozhatók létre csoportok?
  • Mikor célszerű tartományon belüli helyi hatókörű csoportokat alkalmazni?
  • Mikor célszerű globális hatókörű csoportokat alkalmazni?
  • Mikor célszerű univerzális hatókörű csoportokat alkalmazni?


Hol hozhatók létre csoportok?

Az Active Directoryban a csoportokat tartományokon belül lehet létrehozni. Csoportok létrehozásához az Active Directory - felhasználók és számítógépek alkalmazása használható. A szükséges engedélyekkel és az Active Directory - felhasználók és számítógépek modul megfelelő használatával a csoportokat az erdő gyökértartományában, az erdő egy másik tartományában, illetve szervezeti egységben hozhatja létre.

A csoportokat a létrehozás tartománya és a csoport hatóköre jellemzi. A csoport hatóköre azt határozza meg, hogy

  • melyik tartományból lehet tagokat hozzáadni, és hogy
  • melyik tartományban érvényesek a csoporthoz rendelt engedélyek.

A csoporthatókörökről a Csoporthatókörök című témakör nyújt bővebb felvilágosítást.

A csoporthoz szükséges felügyelet alapján határozza meg, hogy melyik tartományban vagy szervezeti egységben hozza létre a csoportot. Ha a címtár például külön rendszergazdákkal rendelkező több szervezeti egységet tartalmaz, akkor a szervezeti egységeken belül globális hatókörű csoportokat hozhat létre, így az adott szervezeti egységek rendszergazdái a saját tartományukban felügyelhetik a csoportok tagságát. Ha a csoport feladata szervezeti egységen kívüli hozzáférés ellenőrzése, akkor a szervezeti egységen belüli csoportot beágyazhatja egy univerzális hatókörű csoportba (vagy másik globális hatókörű csoportba), amely ezt követően az erdő más területén használható.

Ha egy natív üzemmódú tartományban szervezeti egységek hierarchikus rendszere található, és a szervezeti egységek felügyelete rendszergazdáknak van delegálva, akkor hatékonyabbnak bizonyulhat globális hatókörű csoportokat egymásba ágyazni. Ha a SZE1 szervezeti egység tartalmazza például a SZE2 és SZE3 szervezeti egységeket, akkor a SZE2 és SZE3 szervezeti egységekben lévő globális hatókörű csoportok tagjai lehetnek a SZE1 szervezeti egységben lévő globális hatókörű csoportnak. A SZE1 szervezeti egységben a rendszergazda SZE1 szervezeti egységbeli csoporttagokat adhat hozzá és törölhet, a SZE2 vagy SZE3 szervezeti egységek rendszergazdái pedig anélkül adhatnak hozzá és törölhetnek SZE2, illetve SZE3 szervezeti egységbeli fiókokat, hogy felügyeleti engedélyeik lennének a SZE1 egységbeli globális hatókörű csoporthoz.

Megjegyzés

  • Csoportokat tartományon belül áthelyezhet, viszont egyik tartományból másikba csak univerzális hatókörű csoportokat helyezhet át. Ha univerzális hatókörű csoportot helyez át egyik tartományból egy másikba, az engedélyek elvesznek, és azokat újra kell definiálni. A tartományok biztonsági határokként működnek.
A csoportok tartományok közötti áthelyezésére szolgáló eszközökről a Windows 2000 Resource Kit csomagban olvashat bővebben.


Mikor célszerű tartományon belüli helyi hatókörű csoportokat alkalmazni?

A tartományon belüli helyi hatókörű csoportok az erőforrásokhoz történő tartományon belüli hozzáférés meghatározását és felügyeletét teszik lehetővé. E csoportok tagjai

  • globális hatókörű csoportok
  • univerzális hatókörű csoportok
  • fiókok
  • más tartományon belüli helyi hatókörű csoportok, illetve
  • a fentiek bármilyen kombinációi lehetnek.

Ha például öt felhasználónak kívánja engedélyezni a hozzáférést egy adott nyomtatóhoz, a nyomtató engedélylistájához mind az öt fiókot hozzáadhatja. Ha az öt felhasználónak később viszont egy másik nyomtatóhoz is hozzáférést kíván engedélyezni, újra kell definiálnia mind az öt fiók engedélyét az új nyomtatóra.

Egy kis tervezéssel úgy egyszerűsítheti az ilyen mindennapos felügyeleti feladatokat, hogy csoportot hoz létre tartományon belüli helyi hatókörrel, és engedélyezi számára a nyomtatóhoz való hozzáférést. Helyezze az öt felhasználót egy globális hatókörű csoportba, majd ezt a csoportot a tartományon belüli helyi hatókörű csoportba. Ha engedélyezni kívánja az öt felhasználónak az új nyomtatóhoz való hozzáférést, megteheti ezt a hozzáférés tartományon belüli helyi hatókörű csoporthoz történő hozzárendelésével. Ennek köszönhetően a globális hatókörű csoport összes tagja hozzáférhet az új nyomtatóhoz.


Mikor célszerű globális hatókörű csoportokat alkalmazni?

Napi karbantartást igénylő címtárobjektumok (például felhasználói és számítógépfiókok) felügyeletére globális hatókörű csoportokat használhat. A globális hatókörű csoportokat a rendszer nem replikálja azok saját tartományán kívül, így egy globális hatókörű csoport fiókjainak gyakori módosítása nem okoz nagy replikációs forgalmat a globális katalógus felé. A csoportokkal és a replikációval kapcsolatban A csoportok hatása a hálózati teljesítményre című témakörben talál további információt.

Habár az engedélyek hozzárendelése csak a hozzárendelési tartományon belül érvényes, ha a megfelelő tartományokban egységes módon globális hatókörű csoportokat alkalmaz, megfelelően kezelheti a hasonló célt szolgáló fiókokra történő hivatkozást. Ez egyszerűbbé és ésszerűbbé teszi a tartományok közötti csoportkezelést. Ha például egy két tartománnyal (Európa és Észak-Amerika) rendelkező hálózaton az Észak-Amerika nevű tartományban található egy GLkönyvelés elnevezésű globális hatókörű csoport, akkor hasznosnak bizonyulhat létrehozni egy GLkönyvelés nevű globális hatókörű csoportot az Európa nevű tartományban is (kivéve, ha Európában nincs könyvelési osztály).


Mikor célszerű univerzális hatókörű csoportokat alkalmazni?

Az univerzális hatókörű csoportok tagsága ne változzon túl gyakran, mert bármilyen módosítás hatására a rendszer a teljes tagságot replikálja az erdő összes globális katalógusába. A csoportokkal és a replikációval kapcsolatban A csoportok hatása a hálózati teljesítményre című témakörben talál további információt.

Több tartomány csoportjainak összevonására univerzális hatókörű csoportot használjon. A fiókokat helyezze globális hatókörű csoportba, és ágyazza ezeket a csoportokat univerzális hatókörű csoportba, így a globális hatókörű csoport tagságának megváltozása nem érinti az univerzális hatókörű csoportot.

Tegyük fel például, hogy egy két tartománnyal (Európa és ÉszakAmerika) rendelkező hálózatot kell felügyelni, és mindkét tartományon belül egy GLkönyvelés nevű globális hatókörű csoport van. Hozzon létre egy Ukönyvelés elnevezésű univerzális hatókörű csoportot, amelynek a két GLkönyvelés csoport (ÉszakAmerika\GLkönyvelés és Európa\GLkönyvelés) legyen a tagja. Az Ukönyvelés csoport ezután bárhol használható a vállalat hálózatán. Az egyes GLkönyvelés csoportok tagságának módosulása nem fogja az Ukönyvelés csoport replikációját okozni.


A séma bővítésének megtervezése

Erről az oldalról a következő témaköröket érheti el:

  • A séma bővítésével kapcsolatos kérdések
  • Mikor célszerű bővíteni a sémát?
  • A séma bővítése előtt
  • Érvényes objektumazonosítók igénylése
  • A séma bővítése
  • Osztály vagy attribútum inaktiválása
  • A sémagyorsítótár frissítése


A séma bővítésével kapcsolatos kérdések

A séma bővítése előtt a következő szempontokat kell figyelembe vennie:

  • a párhuzamosságok kezelése
  • érvénytelen objektumpéldányok kezelése
  • replikációs kérdések, valamint a
  • felügyeleti eszközök bővítése.

A párhuzamosságok kezelése

Ha olyan alkalmazástelepítési eljárást tervez, amely bővíti a sémát, a telepítési eljárás két fázisban kell, hogy történjen: az első fázis a szükséges sémamódosítást hajtja végre, a második fázis pedig ellenőrzi, hogy a módosítások sikeresen megtörténtek-e, és végrehajtja a tényleges alkalmazástelepítést.

Érvénytelen objektumpéldányok kezelése

A séma frissítése érvényteleníthet egy létező objektumot. Tegyük fel például, hogy a My object nevű objektum az Our class nevű osztály egy példánya. Az Our class nevű osztály May-Contain listájában van egy Age attribútum. Mivel a My object objektum az Our class osztály egy példánya, tételezzük fel, hogy a My object objektum is használja az Age attribútumot.

Ha egy sémafrissítés törli az Age attribútumot az Our class osztály May-Contain listájáról, a My object objektum érvénytelen lesz, hiszen a My object objektum olyan Age attribútummal rendelkezik, amely nem egyezik az objektum osztálydefiníciójával.

Ebben az esetben az Active Directory engedélyezi, hogy az érvénytelen objektum a címtárban maradjon, és biztosítja, hogy az ne okozzon semmilyen sémaütközést. Az Active Directory nem törli automatikusan az érvénytelen objektumokat, viszont az érvénytelen Active Directory objektumok megjelennek a lekérdezésekben, és manuálisan törölhetők.

Replikációs kérdések

A séma fő tartományvezérlőjén végrehajtott sémafrissítést a rendszer az erdő összes tartományvezérlőjére replikálja, így a séma konzisztens marad. A replikáció végrehajtása azonban időt vesz igénybe, így átmeneti inkonzisztenciák mégis előfordulhatnak.

Ha új osztályt hoz létre például, és utána azonnal létrehoz egy objektumot is az osztályban, a vonatkozó sémafrissítéseket a rendszer külön küldi el a többi tartományvezérlőnek. Az új objektum frissítése hamarabb érkezhet meg egy adott tartományvezérlőre, mint az új osztály frissítése. Ez hibát okoz, mert az osztály még nem létezik azon a tartományvezérlőn.

Az Active Directory úgy oldja meg azt a problémát, hogy hiba esetén a kezdeményező tartományvezérlő sémájának tárolóobjektumát replikálja, ez pedig azonnali sémagyorsítótár-frissítést kezdeményez a cél-tartományvezérlőn. Ekkor az Active Directory ismét megpróbálja replikálni az új objektum meghiúsult sémafrissítését. Ekkorra a cél-tartományvezérlő sémája már tartalmazza az osztálydefiníciót, így a művelet sikerül.

Felügyeleti eszközök bővítése

A Windows 2000 Server operációs rendszerrel szállított felügyeleti eszközök az alapértelmezés szerinti séma kezelésére használhatók. Az új osztályok és új attribútumok esetleg nem megfelelően jelennek meg ezekben az eszközökben. Az Active Directory felügyeleti eszközei programozással bővíthetők az Ön által megvalósított sémabővítések kezelésére, de ennek kivitelezése csak gyakorlott programozóknak vagy rendszergazdáknak ajánlott.

Az Active Directory felügyeleti eszközeinek bővítéséről, és más, a séma bővítésével kapcsolatos kérdésekről a Microsoft webhelyén található (angol nyelvű) Active Directory Programmer's Guide (Programozói kézikönyv) dokumentációban talál bővebb felvilágosítást (http://www.microsoft.com/). A sémával kapcsolatos alapvető tudnivalókat Az Active Directory sémája – áttekintés című témakörben találja.


Mikor célszerű bővíteni a sémát?

A séma bővítése nagyfokú óvatosságot igénylő művelet, mivel a beavatkozás az egész hálózat működésére hatással lehet. A séma bővítése programozás alkalmazásával ajánlott, de csak akkor, ha feltétlenül szükséges. A nem megfelelő sémamódosítások hibát okozhatnak, és működésképtelenné tehetik a Windows 2000 Server rendszerű számítógépet, esetleg az egész hálózatot.

Csak akkor bővítse a sémát, ha egyik meglévő objektumosztály sem felel meg igényeinek. A sémamódosításokat a rendszer az erdő összes tartományvezérlőjére replikálja. Határozza meg pontosan igényeit, és döntse el, hogy a bővítés elengedhetetlenül fontos-e.

A séma kétféleképpen bővíthető:

  • új alosztály létező osztályból történő létrehozásával – az alosztály tartalmazza a felettes osztály összes attribútumát, valamint az Ön által meghatározott további attribútumokat; ez a legcélszerűbb módszer új attribútumok meglévő osztályhoz történő hozzáadásához; valamint
  • további attribútumok vagy szülők létező osztályhoz adásával.

Új alosztályt akkor származtathat meglévő osztályból, ha

  • a létező osztályhoz további attribútumok szükségesek, de az osztály egyébként megfelel igényeinek
  • nincs szüksége arra, hogy az osztály létező objektumait átalakíthassa az új osztályba (létező sémaobjektumhoz nem lehet alosztályt hozzáadni), illetve
  • az Active Directory sémáját kívánja az objektumok bővített attribútumának kezelésére használni, anélkül, hogy módosítania kelljen az Active Directory sémáját az új osztály befogadására.

Kerülje létező osztály módosítását. Ez csak akkor szükséges, ha egy adott alkalmazáshoz szükséges az osztály létező objektumai bővítésének lehetősége. Ha alkalmazás-specifikus információkat kíván adni például a User objektumhoz, általában bővíteni kell a User osztályt, mivel létező User objektumokat, és nem csak kifejezetten az alkalmazás által létrehozott speciális User objektumokat kell kezelni.

Ha létező osztály új alosztályát hozza létre vagy létező osztályt bővít, szükség van bizonyos eszközök (például az Active Directory – felhasználók és számítógépek eszköz) konfigurálására ahhoz, hogy kezelni tudja az új osztály bővített attribútumainak példányait.

Csak akkor hozzon létre teljesen új osztályt (azaz a legfelső szintű osztály egy alosztályát), ha egyetlen létező osztály sem felel meg igényeinek.

A séma bővítésének megfelelő időpontjáról, valamint az Active Directory felügyeleti eszközeinek sémabővítés kezelését lehetővé tévő módosításáról a Microsoft webhelyén (http://www.microsoft.com/) található Active Directory Programmer's Guide (Programozói kézikönyv) dokumentációban talál további tájékoztatást. A sémával kapcsolatos alapvető tudnivalókat Az Active Directory sémája – áttekintés című témakörben találja.


A séma bővítése előtt

Az Active Directory sémájának módosítása speciális művelet, amelyet csak gyakorlott programozóknak vagy rendszergazdáknak célszerű elvégezniük valamely program segítségével. Az Active Directory sémájának bővítéséről a Microsoft webhelyén található (angol nyelvű) Active Directory Programmer's Guide (Programozói kézikönyv) dokumentáció nyújt részletes felvilágosítást (http://www.microsoft.com/).

Az Active Directory sémája beépülő modul segítségével fejlesztési vagy tesztelési célból lehetőség van a séma módosítására. A legbiztonságosabb megoldás az, ha a sémabővítést egy elszigetelt hálózaton, laboratóriumi környezetben hajtja végre, illetve teszteli. Ezzel elkerülheti a sémamódosítás replikációját az egész erdőre, mielőtt a megfelelő tesztelés megtörténne.

Az Active Directory sémája beépülő modul segítségével akkor módosíthatja a sémát, ha

  1. tagja a Sémagazdák csoportnak
  2. telepíti az Active Directory sémája beépülő modult a séma fő tartományvezérlője szerepkört betöltő számítógépre
  3. bejelöli az Active Directory sémája alkalmazás azon jelölőnégyzetét, amely engedélyezi, hogy az aktuális számítógépről módosítsa a sémát, illetve
  4. leválasztja a séma fő tartományvezérlőjét a hálózatról.

A séma fő tartományvezérlőjének hálózatról történő leválasztása lehetővé teszi, hogy anélkül kísérletezhessen a séma módosításával, hogy az hatással lenne a hálózat többi részére. A séma fő tartományvezérlőjéről és az egyedi főkiszolgáló szerepkörökről az Egyedi főkiszolgáló-műveletek című témakörben talál további információt.

Megjegyzés

  • Ha a séma fő tartományvezérlője elérhetetlen, manuálisan elveheti annak szerepkörét, és átadhatja azt az erdő bármelyik másik tartományvezérlőjének. Lehetséges viszont, hogy a séma régi fő tartományvezérlőjén előzetesen végrehajtott módosítások még nem replikálódtak az újra, és így elvesznek. A séma fő tartományvezérlője szerepkör elvételéről A műveleti főkiszolgáló hibáinak kezelése című témakör nyújt részletes felvilágosítást.


Érvényes objektumazonosítók igénylése

Az objektumazonosító egy olyan szám, amely egyértelműen azonosít egy objektumosztályt vagy attribútumot a címtárban. Az objektumazonosítókat kibocsátó szervezetek határozzák meg, és az azonosítók hierarchikus rendet alkotnak. Az objektumazonosítók egy pontokkal tagolt decimális karakterláncból állnak (például 1.2.3.4).

Az objektumazonosítók a világ összes hálózatán garantáltan egyediek. Biztosítják a különböző alanyok és egyedek által definiált objektumok egyértelmű azonosítását. Az objektumazonosítókat a Nemzetközi Szabványügyi Szervezet (ISO – International Standards Organization), illetve az egyes országokban működő, bejegyzést végző hatóságok adják ki. Az ISO elismeri az egyes országok bejegyzést végző hatóságainak működését, és az illetékes szervezetek listáját az International Standards Organization (http://www.iso.ch/) webhelyén teszi közzé.

A legtöbb országban létezik hivatalos bejegyzést végző hatóság, amely az objektumazonosítók kiadásáért felelős. Az Egyesült Államokban a bejegyzési tevékenységet az American National Standards Institute (ANSI) nevű szervezet végzi.

A gyökér-objektumazonosítókat is az egyes országok bejegyzést végző hatóságai adják ki. Vállalatok nevet is regisztráltathatnak az objektumazonosítóhoz. Mind a gyökérazonosító, mind pedig a név regisztrálása díj ellenében történik. A részletekkel kapcsolatban érdeklődjön a megfelelő bejegyzést végző hatóságánál.

Igényelhet objektumazonosítót a Microsofttól is: küldjön elektronikus levelet az oids@microsoft.com címre, mellékelje a levélben vállalatának névelőtagját, illetve a következő kapcsolattartási információkat:

  • a kapcsolattartó neve
  • a kapcsolattartó címe, illetve
  • a kapcsolattartó telefonszáma.

Vállalata névelőtagjának meghatározásával kapcsolatban a Windows 2000 Logo dokumentum Active Directory fejezetében talál információt. Az objektumazonosítókról az Objektumazonosítók című témakörben, valamint a Microsoft webhelyén található (angol nyelvű) Active Directory Programmer's Guide (Programozói kézikönyv) dokumentációban tájékozódhat (http://www.microsoft.com/). A sémával kapcsolatos alapvető tudnivalókat Az Active Directory sémája – áttekintés című témakörben találja.


A séma bővítése

Az Active Directory sémájának bővítése speciális művelet, amelyet csak gyakorlott programozóknak vagy rendszergazdáknak tanácsos elvégezni. Az Active Directory sémája beépülő modul segítségével fejlesztési vagy tesztelési célból lehetőség van a séma módosítására. A séma módosítása előtt tanulmányozza a Feladatlista: A séma bővítése előtt oldalon, valamint a Microsoft webhelyén található Active Directory Programmer's Guide (Programozói kézikönyv) dokumentációban leírtakat (http://www.microsoft.com/).

A séma háromféleképpen bővíthető:

  • LDAP Data Interchange Format (LDIF) formátumú parancsfájlok segítségével (ez az ajánlott eljárás)
  • programozással, és
  • az Active Directory sémája beépülő modul használatával.

A Microsoft webhelyén található (angol nyelvű) Active Directory Programmer's Guide (Programozói kézikönyv) dokumentációban (http://www.microsoft.com/) részletes tájékoztatást kaphat az Active Directory sémájának bővítésére alkalmas összes módszerről, és parancsfájlokat, valamint példa-programkódokat is tanulmányozhat.

Figyelem!

  • A séma bővítése nagyfokú óvatosságot igénylő művelet, mivel a beavatkozás az egész hálózat működésére hatással lehet. A séma bővítése programon keresztül ajánlott, de csak akkor, ha feltétlenül szükséges. A nem megfelelő sémamódosítások hibát okozhatnak, és működésképtelenné tehetik a Windows 2000 Server rendszerű számítógépet, esetleg az egész hálózatot.

    Ne próbálja meg az Active Directory sémáját bővíteni anélkül, hogy tanulmányozná a Microsoft webhelyén (http://www.microsoft.com/) található Active Directory Programmer's Guide útmutatót.


Osztály vagy attribútum inaktiválása

Az Active Directory nem teszi lehetővé osztályok vagy attribútumok törlését, viszont inaktiválhatja azokat. Az adott osztály vagy attribútum inaktiválását megszüntetésnek is nevezik. Az osztály vagy attribútum inaktiválása nagyban hasonlít a törléshez, de azzal ellentétben könnyen visszaállítható.

Mielőtt inaktiválna egy osztályt, vegye figyelembe a következőket:

  • Csak akkor inaktiválhat egy osztályt, ha az nem alosztálya, nem kiegészítő osztálya, sem pedig szülőosztálya valamelyik létező aktív osztálynak.
  • Ha egy osztály inaktivált állapotban van, nem hozhat létre olyan objektumokat, amelyek ennek az osztálynak példányai. Ha megpróbálja, ugyanolyan hibaüzenetet kap, mintha az osztály soha nem is létezett volna.

Attribútum inaktiválását megelőzően vegye figyelembe a következőket:

  • Csak akkor inaktiválhat egy attribútumot, ha az nincs felsorolva valamelyik aktív osztály System Must Contain, Must Contain, System May Contain vagy May Contain listájában.
  • Ha egy attribútum inaktivált állapotban van, nem használhatja új osztályok definiálására, illetve nem adhatja hozzá létező osztály definíciójához.

Mivel egy inaktivált osztály vagy attribútum továbbra is a séma tagja, nem hozhat létre új osztályt vagy attribútumot olyan egyszerű névvel, objektumazonosítóval, vagy LDAP-megjelenítési névvel, amely egy inaktivált osztály vagy attribútum neve.

Az osztályokat és attribútumokat parancsfájlokkal (ez az ajánlott módszer) vagy az Active Directory sémája beépülő modul használatával inaktiválhatja. Az adott osztály vagy attribútum Active Directory sémája beépülő modul segítségével történő inaktiválásáról az Osztály vagy attribútum inaktiválása című témakör nyújt részletes felvilágosítást. Az osztályok és attribútumok programozás útján történő inaktiválásáról a Microsoft webhelyén található (angol nyelvű) Active Directory Programmer's Guide (Programozói kézikönyv) dokumentációban tájékozódhat (http://www.microsoft.com/).


A sémagyorsítótár frissítése

Minden tartományvezérlőn két másolat található a sémáról, egy a merevlemezen és egy másik a RAM-ban. A RAM-ban található másolat neve sémagyorsítótár. Ez a gyorsítótár másolatot tartalmaz az aktuálisan a sémában található összes osztály- és attribútumobjektumról.

A séma bővítésekor a módosítások azonnal megjelennek a séma fő tartományvezérlőjének merevlemezén lévő sémaadatokban. A teljesítmény javítása céljából azonban az Active Directory körülbelül öt percet vár az utolsó sémamódosítás után, és csak azt követően tölti be azt a sémagyorsítótárba.

Ha az új osztály létrehozásától, illetve egy meglévő módosításától kezdve a frissítés Active Directory által a sémagyorsítótárba másolásáig az új vagy módosított osztályhoz objektumot próbál adni, hibaüzenetet kap. Ez azért van így, mert a séma változásai körülbelül öt percig nem jelennek meg a sémagyorsítótárban.

Ha a késleltetés nem elfogadható, az Active Directory lehetővé teszi az azonnali sémafrissítés kezdeményezését. A sémagyorsítótár azonnali frissítését kezdeményezheti parancsfájlokkal, de az Active Directory sémája beépülő modul segítségével is. A sémagyorsítótár frissítésének indításáról A séma újra betöltése című témakörben talál további információt. A sémagyorsítótár újra betöltését csak egyszer kell kezdeményeznie, ezután a rendszer az összes szükséges sémafrissítést elvégzi.

A sémával kapcsolatos alapvető tudnivalókat Az Active Directory sémája – áttekintés című témakörben találja. A séma bővítéséről a Microsoft webhelyén található (angol nyelvű) Active Directory Programmer's Guide (Programozói kézikönyv) dokumentációban tájékozódhat (http://www.microsoft.com/).


Az Active Directory használata

Erről az oldalról a következő témaköröket érheti el:

  • Az Active Directory üzembe helyezése
  • Frissítés Active Directory szolgáltatásra
  • Együttműködés más címtárszolgáltatásokkal
  • Az Active Directory felügyelete


Az Active Directory üzembe helyezése

A következő témakörök az Active Directory üzembehelyezésekor figyelembe veendő kérdéseket ismertetik. Nagy telepítési feladatok megtervezéséhez a Windows 2000 Deployment Guide nyújt segítséget.
  • A Windows 2000 Server telepítése
  • Tartományvezérlők előléptetése
  • A Csoportházirend használata
  • Helyek meghatározása


A Windows 2000 Server telepítése

A Windows 2000 Server operációs rendszer új számítógépeken első operációs rendszerként, már létező Windows NT Server rendszer frissítéseként, vagy más Windows operációs rendszerrel együtt kettős rendszerindítású megoldásként telepíthető.

A Windows 2000 Server operációs rendszer különféle alkalmazási lehetőségeiről a Kiszolgálói szerepkörök című témakör nyújt bővebb felvilágosítást.

A Windows 2000 Server új telepítése vagy a Windows NT Server verzióról Windows 2000 Server verzióra történő frissítés megtervezéséről és végrehajtásáról az e témakörrel azonos című, a konkrét tudnivalókat tartalmazó A Windows 2000 Server telepítése oldalról kiindulva talál további információt. A Windows 2000 Server operációs rendszer és egy másik operációs rendszer egyazon számítógépen történő futtatásáról a Hogyan döntheti el, hogy telepítsen-e több operációs rendszert a számítógépre? című témakörben olvashat bővebben.

A Windows 2000 Server telepítése után az új kiszolgálót tartományvezérlőnek nevezheti ki. Mielőtt egy Windows 2000 Server operációs rendszert futtató számítógépet tartományvezérlővé léptetne elő, tekintse át a Feladatlista: Tartományvezérlő telepítése oldalon leírtakat. Windows 2000 Server operációs rendszert futtató számítógép tartományvezérlővé történő előléptetéséről a Tartományvezérlő telepítése című témakörben tájékozódhat.


Tartományvezérlők előléptetése

Bármely tartományvezérlő vagy önálló kiszolgáló tartományvezérlővé léptethető elő az Active Directory telepítő varázslóval. A tartományvezérlővé való előléptetés előtt tanulmányozza a Feladatlista: Tartományvezérlő telepítése oldalon található tudnivalókat.

A biztonsági szint kiválasztása

Az adatok és a rendszer biztonságának maximális védelme miatt a Windows 2000 Active Directory alapértelmezés szerint nem engedélyezi a névtelen felhasználóként bejelentkezetteknek a csoporttagságokkal, illetve más, felhasználókkal és csoportokkal kapcsolatos adatok megjelenítését. A Windows NT 4.0 operációs rendszerben erre még volt lehetőség. Több létező alkalmazás – beleértve Microsoft BackOffice alkalmazásokat (például az SQL Server), továbbá más szállítók alkalmazásait – csak ilyen típusú hozzáférés esetén működik megfelelően.

A Windows 2000 szigorúbb rendszerbiztonsága, illetve a meglévő alkalmazások további használata közötti választás megkönnyítése érdekében a Windows 2000 tartalmazza a Hozzáférés korábbi Windows-verziókkal elnevezésű belső, helyi biztonsági csoportot. Azáltal, hogy ehhez a csoporthoz hozzáadja, illetve törli belőle a Mindenki csoport tagságát, majd a tartomány tartományvezérlőin újraindítja a rendszert, a hálózatot Windows 2000 rendszer előtti biztonsági szinttel vagy a Windows 2000 szigorúbb biztonságával egyaránt használhatja.

Az Active Directory telepítő varázsló a Windows NT rendszerből történő frissítés esetén egyértelmű és egyszerű megoldást biztosít: a (régebbi alkalmazások által megkívánt rendszerbiztonságot engedélyező) Windows 2000 előtti kiszolgálókkal kompatibilis engedélyek, illetve a Csak Windows 2000 Server rendszert futtató kiszolgálókkal kompatibilis engedélyek beállítási lehetőségek közül választhat. Az Active Directory telepítő varázslóról a Tartományvezérlő telepítése című témakörben talál további információt.

Megjegyzés

  • Ha a Csak Windows 2000 kiszolgálókkal kompatibilis engedélyek lehetőséget választja, előfordulhat, hogy egy adott tartományvezérlő előléptetése közben az alkalmazások nem megfelelően működnek. Ezt úgy próbálhatja meg kiküszöbölni, hogy a Mindenki csoportot a Hozzáférés korábbi Windows-verziókkal biztonsági csoport tagjává teszi, és újraindítja a rendszert a tartomány tartományvezérlőin. Ha az alkalmazásokat a Windows 2000 operációs rendszerrel kompatibilis verzióra frissítette, térjen vissza a biztonságosabb Windows 2000 konfigurációhoz úgy, hogy a Mindenki csoportot törli a Hozzáférés korábbi Windows-verziókkal biztonsági csoportból, majd az adott tartomány tartományvezérlőin újraindítja a rendszert.

További információt az alábbi témakörökben talál:

  • Tartományvezérlő telepítése
  • Tartományvezérlők


A Csoportházirend használata

A Csoportházirend a felhasználókra és számítógépekre vonatkozó alapértelmezés szerinti beállítások meghatározására szolgál. Ezek a beállítások biztonsági beállításokat határozhatnak meg, és ellenőrizhetik, hogy egyes számítógépekre milyen szoftver telepíthető, illetve valamely felhasználói csoportok milyen szoftvereket használhatnak.

A házirend-beállítások a csoportházirend-objektumokban tárolódnak. A csoportházirend-objektumok helyeken, tartományokban és szervezeti egységekben lévő felhasználókra és számítógépekre vonatkozó beállításokat határoznak meg. Csoportházirend-objektumokat a Csoportházirend beépülő modullal hozhat létre és módosíthat. További információt A Csoportházirend használata című témakörben talál.

Az egynél több csoportházirend-objektumot tartalmazó csoportházirend-beállítások egy bizonyos helyre, tartományra vagy szervezeti egységre vonatkozhatnak. Egy három tartományt tartalmazó helyen például egy csoportházirend-objektum vezérelheti a hely összes számítógépének beállításait. A számítógépekre vonatkozó speciális biztonsági beállításokat minden tartományban külön házirend határozhatja meg. Tegyük fel, hogy minden tartományban van egy Számlázás és egy Marketing nevű szervezeti egység. További csoportházirend-objektumok határozzák meg azt, hogy milyen szoftver lehet telepítve a Számlázás és a Marketing csoportok által használt számítógépeken az egész helyen. A vállalati szinten szelektíven alkalmazott csoportházirend-objektumokkal végzett automatikus konfigurálás és a számítógépek biztonságossá tétele hatékony felügyeleti eszköznek bizonyulhat. A Csoportházirenddel szabályozott szoftvertelepítésről a Szoftvertelepítés című témakör nyújt bővebb felvilágosítást. A Csoportházirend felügyeletéről a Csoportházirend felügyelete című témakörben talál további információt.

A Windows 2000 tartományok felhasználói és számítógépei biztonsági csoportok tagjai lehetnek. A biztonsági csoportok a csoportházirend-beállítások szűrésére szolgálnak, vagyis annak beállítására, hogy egy bizonyos hely, tartomány vagy szervezeti egység felhasználóira vagy számítógépeire ezek milyen hatással vannak. A csoportházirend-beállítások alkalmazásának szűréséről A Csoportházirend objektumaival folytatott munka című témakörben olvashat. A biztonsági csoportokról A csoportok ismertetése című témakör nyújt felvilágosítást. További információt a Csoportházirend című témakör tartalmaz.


Helyek meghatározása

A rész tartalma:

  • Alhálózat adatainak megadása
  • Elsődleges támaszpont-kiszolgálók használata


Alhálózat adatainak megadása

Minden helyhez legalább egy alhálózatot kell hozzárendelnie. Az alhálózatok egy alhálózati számítógép IP-címéből és annak alhálózati maszkjából vezethetők le. Ha nem ismeri egy adott alhálózat alhálózati maszkját és IP-címét, kérdezze meg a hálózati rendszergazdától vagy tanulmányozza A beállítások megjelenítése az ipconfig /all paranccsal című témakörben foglaltakat.

Ha már ismeri az alhálózati maszkot és az IP-címet, az adatok megadásáról és a hely létrehozásáról az Alhálózat létrehozása című témakörben talál további információt. Az alhálózatok meghatározásáról az IP-címzés használata és az Alhálózati maszkok című témakörökben talál bővebb tájékoztatást.


Elsődleges támaszpont-kiszolgálók használata

A támaszpont-kiszolgálók a címtáradatok helyek közötti továbbításának kapcsolódási pontjai. Ha rendelkezik olyan számítógéppel, amely megfelelő sávszélességet biztosít az adatok küldéséhez és fogadásához, tetszés szerint kijelölhet egy elsődleges támaszpont-kiszolgálót. Ha a címtáradatok továbbítása gyakran történik, akkor egy nagyobb sávszélességgel rendelkező számítógép az adatok gyorsabb kezelését biztosíthatja. Ha az Active Directory hálózati megvalósítási igényének kielégítésére alkalmas tartományvezérlőt választ, az a címtáradatok hatékony frissítését eredményezi.

Az elsődleges támaszpont-kiszolgáló kijelöléséről az Elsődleges támaszpont-kiszolgáló kijelölése című témakörben talál további információt.

Meghatározhat több elsődleges támaszpont-kiszolgálót is, de egyszerre csak egy lesz aktív. Ha az aktív elsődleges támaszpont-kiszolgáló meghibásodik, az Active Directory másik elsődleges támaszpont-kiszolgálót választ aktív elsődleges támaszpont-kiszolgálónak az Ön által megadottak közül. Ha egyetlen elsődleges támaszpont-kiszolgáló sem elérhető, és az Active Directory nem választhat több elsődleges támaszpont-kiszolgáló közül, a hely valamelyik másik tartományvezérlőjét fogja elsődleges támaszpont-kiszolgálóként használni. Ez problémákat okozhat, amennyiben az Active Directory által választott tartományvezérlő sávszélessége nem elegendő az elsődleges támaszpont-kiszolgáló szerepkör miatt megnövekedett igények hatékony kezelésére.

Ha a hálózat tűzfalat használ egy adott hely védelméhez, elsődleges támaszpont-kiszolgálót kell megadnia. Jelölje ki a tűzfal proxykiszolgálóját elsődleges támaszpontnak, ezáltal az lesz a tűzfalon kívüli tartományvezérlők felé továbbított adatok kapcsolódási pontja. Ha nem így jár el, a címtáradatok küldése és fogadása esetleg nem lesz megfelelő.

A címtáradatok helyek közötti továbbítása helyhivatkozáson keresztül történik. Az IP és az SMTP protokollok az alapértelmezés szerinti átviteli protokollok, amelyekhez helyhivatkozások adhatók. A helyhivatkozás protokollját bármely tartományvezérlő használhatja az adatok továbbításához. Ha több kiszolgáló található egy adott helyen belül, és ezek egyike az egyik helyhivatkozás által használt protokoll elsődleges támaszpont-kiszolgálója, akkor ez a kiszolgáló lesz az elsődleges támaszpont-kiszolgálója a címtáradatok helyek közötti továbbításának is.

Az elsődleges támaszpont létrehozásával az adott kiszolgálót azon protokollon keresztül történő adatkommunikáció kiszolgálójaként adhatja meg, amelyikhez a helyhivatkozás létrejött. Más tartományvezérlők szükség esetén továbbíthatnak címtáradatokat, de rendes körülmények között a rendszer elsősorban ezt a támaszpont-kiszolgálót használja a címtáradatok fogadására és küldésére.

Egy adott helyhivatkozás az adott helyen belül tehát véletlenszerűen irányítja az információkat bármelyik tartományvezérlő felé. Ha kijelöl egy támaszpont-kiszolgálót, azzal bizonyos osztályozást vagy választási feltételeket határoz meg arra nézve, hogy melyik tartományvezérlő legyen a helyközi replikáció elsődleges fogadója. A támaszpont-kiszolgáló azután saját maga végzi a címtáradatok helyi replikációval történő terjesztését.


Frissítés Active Directory szolgáltatásra

Az Active Directory címtárszolgáltatás kompatibilis a Windows NT operációs rendszerrel, és támogatja a Windows 2000 Server és Windows NT Server 4.0 tartományvezérlők használatával történő vegyes üzemmódú működést. Mivel az Active Directory támogatja a vegyes üzemmódot, a tartományok és számítógépek frissítése egyéni ütemezés szerint, a szervezet igényeinek megfelelően végezhető.

Az Active Directory támogatja a Windows NT által használt NTLM-protokollt. Ez lehetővé teszi, hogy Windows NT tartományból hitelesített felhasználók és számítógépek Windows 2000 tartományokba jelentkezzenek be, és hozzáférjenek az erőforrásokhoz. Az Active Directory ügyfélszoftvert nem futtató Windows NT, Windows 95 vagy Windows 98 ügyfélszámítógépek a Windows 2000 tartományt Windows NT Server 4.0 tartományként észlelik.

Az Active Directory szolgáltatásra való frissítés végrehajtható fokozatosan, a műveletek megszakítása nélkül. Ha követi a tartományfrissítésre vonatkozó ajánlásokat, akkor a tartományt nem kell kapcsolat nélküli állapotba helyezni a tartományvezérlők, a tagkiszolgálók vagy a munkaállomások frissítésekor. Ha Windows NT tartományt frissít, akkor először az elsődleges tartományvezérlőt kell frissítenie. A tagkiszolgálókat és munkaállomásokat a későbbiekben bármikor frissítheti.

Az Active Directory lehetővé teszi bármely Windows NT 4.0 tartománymodell frissítését, és egyaránt támogatja a centralizált és a decentralizált modelleket. A tipikus főtartományos vagy több főtartományos modell könnyen frissíthető Active Directory erdővé.

A frissítés megtervezéséről és végrehajtásáról további információ az alábbi témakörökben található:

  • Windows NT tartomány frissítése
  • Erőforrás-tartományok egyesítése főtartományokban
  • Csoportok konvertálása a Windows 2000 rendszerhez


Windows NT tartomány frissítése

Az alábbiak témakörök a Windows NT tartományok Windows 2000 tartományra és Active Directory szolgáltatásra történő frissítését ismertetik.

Névtér és DNS-infrastruktúra tervezése és megvalósítása

Mivel az Active Directory fontos eleme a tartománynév-rendszer (DNS), meg kell terveznie a DNS és az Active Directory névterét, és rendelkeznie kell konfigurált DNS-kiszolgálókkal, vagy alkalmazza az Active Directory telepítő varázslót, amely automatikusan telepíti a Windows 2000 DNS-szolgáltatást a tartományvezérlőre. További információ a következő témakörökben található:

  • Integráció a Tartománynévrendszerrel (DNS)
  • A DNS-integráció ismertetése
  • A DNS-szerkezet megtervezése
  • A tartományszerkezet megtervezése

A Windows NT elsődleges tartományvezérlő frissítése

Az elsőként frissítendő Windows NT kiszolgáló a Windows NT elsődleges tartományvezérlő (PDC). A Windows NT PDC frissítésére a Windows NT tartomány Windows 2000 tartományra történő sikeres frissítéséhez van szükség.

Az Active Directory szolgáltatás telepítése a Windows NT elsődleges tartományvezérlőre

A Windows 2000 Server rendszerre történő frissítés során az Active Directory telepítő varázsló kéri, hogy vagy csatlakozzon egy létező tartományfához vagy erdőhöz, vagy hozzon létre egy új tartományfát vagy erdőt. Ha a már létező tartományfához való csatlakozást választja, akkor meg kell adnia a kívánt szülőtartományra mutató hivatkozást. További információt a Feladatlista: Tartományvezérlő telepítése című témakör tartalmaz.

Az Active Directory telepítő varázsló telepíti a tartományvezérlő összes szükséges elemét, többek között a címtáradat-tárolót és a Kerberos V5 hitelesítő protokollt.

A biztonsági fiókkezelő (SAM) már létező objektumait a rendszer a rendszerleíró adatbázisból az új adattárolóba másolja át. Ezek az objektumok a rendszerbiztonsági tagok (felhasználói fiókok, helyi és globális csoportok, illetve számítógépfiókok).

A Kerberos V5 protokoll telepítését követően a telepítési folyamat elindítja a hitelesítési szolgáltatást és a jegymegadási szolgáltatást. Új gyermektartomány esetében a telepítő varázsló tranzitív meghatalmazotti kapcsolatot hoz létre a szülőtartománnyal. Végül a tartományvezérlő a szülőtartományból az összes sémát és konfigurációs adatot az új gyermektartományba másolja át.

A frissített tartományvezérlő az Active Directory erdő teljesen funkcionalitással rendelkező tagja. Az új tartomány bekerül a tartomány- és helystruktúrába, és az összes tartományvezérlő értesítést kap arról, hogy új tartomány csatlakozott az erdőhöz.

Az Active Directory ügyfélszoftvereket (Windows 2000 Professional, Windows 98 és Windows 95) futtató számítógépek használhatják az Active Directory szolgáltatásait, például tartományfa vagy erdő erőforrásaihoz való hozzáférés és címtárlekérdezés esetén a hitelesítést. Az ügyfelek számára előnyös az erdőn belüli tranzitív meghatalmazotti kapcsolatok használata, amely lehetővé teszi a hitelesített felhasználóknak, hogy bármely tartomány erőforrásaihoz hozzáférjenek.

A Windows korábbi verzióit futtató számítógépek úgy csatlakoznak a tartományhoz, mintha az Windows NT tartomány lenne, ezért csak azokat az erőforrásokat látják, amelyek a Windows NT egyirányú meghatalmazásaival elérhetők. Ameddig a tartomány vegyes módban üzemel, a tartományvezérlő a Windows korábbi verzióit használó ügyfelek számára csak azokat az erőforrásokat jeleníti meg, amelyek régi típusú Windows NT explicit meghatalmazásokkal rendelkeznek. Így konzisztens környezet alakul ki, amelyben a korábbi verziójú ügyfelek csak explicit meghatalmazással rendelkező tartományok erőforrásaihoz férhetnek hozzá, függetlenül attól, hogy Windows 2000 tartományvezérlőt vagy Windows NT tartalék tartományvezérlőt használnak-e.

A PDC frissítése után a Windows 2000 tartományvezérlő az Active Directory adattárolót használja, amely kompatibilis minden korábbi Windows NT tartalék tartományvezérlővel (BDC).

A frissített Windows 2000 tartományvezérlő képes a rendszerbiztonsági tagok változását a még meglévő Windows NT Server 4.0 tartalék tartományvezérlőkkel szinkronizálni. A Windows NT Server 4.0 tartalék tartományvezérlők a frissített Windows 2000 tartományvezérlőt tartományi főkiszolgálóként azonosítják.

Abban az esetben, ha a Windows 2000 tartományvezérlő kapcsolat nélküli állapotba kerül vagy más okból elérhetetlenné válik, és a tartományban nincs másik Windows 2000 tartományvezérlő, a Windows NT Server rendszert futtató tartalék tartományvezérlő kinevezhető Windows 2000 tartományvezérlővé.

A Windows NT PDC frissítését követően az alábbi lehetőségeket választhatja:

  • Minden más kiszolgáló frissítése Windows 2000 Server rendszerre

    A frissítési eljárás során tartson fenn egy, a Windows NT Server friss verzióját futtató tartalék tartományvezérlőt, hogy bármilyen probléma felmerülése esetén legyen tartalékrendszer.

  • A Windows 2000 Server rendszert csak egy tartományvezérlőre telepíti, a többi tartományvezérlő pedig továbbra is a Windows NT Server rendszernek megfelelő konfigurációban marad.

Tartományszerkezet megvalósítása

Miután az operációs rendszert a Windows 2000 verzióra frissítette, és az Active Directory telepítő varázslóval konfigurálta a tartományvezérlőt, az Active Directory felügyeleti eszközeivel új könyvtárobjektumokat (például szervezeti egységeket, Csoportházirend objektumokat) tud létrehozni, amelyek a tartomány tervezett szervezetének megvalósításához szükségesek.

További információt a A tartományszerkezet megtervezése, a Szervezeti egységek szerkezetének megtervezése és a Csoportházirend című részek tartalmaznak.

További tartalék tartományvezérlők frissítése

A frissítési eljárás következő fázisa a hátralévő Windows NT tartalék tartományvezérlők frissítése Windows 2000 Server rendszerre és az Active Directory szolgáltatásra.

A Windows NT tartományok frissítése során csak egyetlen Windows 2000 tartományvezérlő hozhat létre rendszerbiztonsági tagokat (felhasználókat, csoportokat és számítógépfiókokat). Ez az egy tartományvezérlő PDC műveleti főkiszolgáló emulátorként van konfigurálva. A PDC műveleti főkiszolgáló Windows NT elsődleges tartománykiszolgálót emulál.

A Windows NT PDC-t emuláló tartományvezérlő a rendszerbiztonsági tagokhoz rendelt egyedi erőforrás-azonosítókat szabályozza. Az erőforrás-azonosítók a Windows 2000 biztonsági azonosítójának létrehozására szolgálnak, amely a felhasználói és csoportobjektumokat azonosítja.

A Windows NT PDC-t emuláló tartományvezérlő két hitelesítési protokollt támogat:

  • a Kerberos V5 protokollt és
  • az NTLM protokollt

A tartomány frissítésének befejezése

Az összes Windows NT elsődleges és tartalék tartományvezérlő Windows 2000 Server rendszerre és az Active Directory szolgáltatásra való frissítése után átválthatja a tartományüzemmódot vegyes üzemmódról natív üzemmódra, ha nem tervezi a Windows NT tartományvezérlők további használatát. A vegyes üzemmódról natív üzemmódra váltást a rendszergazda kézzel végezheti el az Active Directory – tartományok és meghatalmazások beépülő modul segítségével.

A tartomány üzemmódjának natív módra váltásakor több dolog történik:

  • A tartományvezérlők nem támogatják tovább az NTLM replikációt.
  • A PDC műveleti főkiszolgálót emuláló tartományvezérlő nem tudja szinkronizálni az adatokat a Windows NT tartalék tartományvezérlőkkel.
  • Windows NT tartományvezérlőket nem lehet a tartományhoz adni. (Új Windows 2000 tartományvezérlőket természetesen továbbra is hozzáadhat a tartományhoz.)
  • A Windows korábbi verzióit használó felhasználók és számítógépek ezentúl kihasználhatják az Active Directory tranzitív meghatalmazási rendszeréből adódó előnyöket, és (megfelelő engedélyek birtokában) hozzáférhetnek az erdőn belül bárhol megtalálható erőforrásokhoz. Bár a Windows előző verziói nem támogatják a Kerberos V5 protokollt, a tartományvezérlők által végzett átmenő hitelesítés az erdő bármelyik tartományában lehetővé teszi a felhasználók és a számítógépek hitelesítését. Így a felhasználók és a számítógépek az erdő bármelyik tartományának erőforrásaihoz hozzáférhetnek, ha rendelkeznek a megfelelő engedélyekkel.

Azon kívül, hogy a rendszer az erdő bármely tartományához jobb hozzáférést biztosít a rendszer, az ügyfelek semmilyen változást nem észlelnek a tartományban.

Az Active Directory frissítése

Amikor Windows NT elsődleges vagy tartalék tartományvezérlőt Windows 2000 rendszerre frissít, a frissítési folyamat létrehozza az Active Directory által használt tartomány- és helyobjektumokat, a biztonsági fiókkezelő adatbázisnak is nevezett Windows NT címtárból pedig felhasználói és számítógépfiókokat és csoportokat hoz létre.

A frissítés során a rendszer objektumokat hoz létre a Windows NT elsődleges vagy tartalék tartományvezérlő fiókjainak és csoportjainak tárolására. Ezek a tároló objektumok a következők: Felhasználók, Számítógépek és Beépített. Az említett objektumok az Active Directory – felhasználók és számítógépek konzolon mappaként jelennek meg. Ezek az objektumok a Windows NT címtárban található felhasználókat, számítógépeket és csoportokat tartalmazzák. A felhasználói fiókok és az előre definiált csoportok a Felhasználók mappába kerülnek A számítógépfiókok a Számítógépek mappában találhatók. A beépített csoportok a Beépített mappába kerülnek.

Megjegyzés

  • Ezek a speciális tárolóobjektumok nem szervezeti egységek. Egyiket sem lehet áthelyezni, átnevezni vagy törölni.

A frissítés során a Windows NT meglévő csoportjai jellegük alapján különböző tárolókba kerülnek. A Windows NT beépített helyi csoportjai (például a Rendszergazdák és a Kiszolgálófelelősök) a Beépített tárolóba kerülnek. A Windows NT globális csoportjai (például a Tartománygazdák csoport), illetve bármely, felhasználó által létrehozott csoport a Felhasználók tárlóba kerül.

Hagyományos frissítési modellek

Két további modell segítségével is biztosítható a frissítés rugalmassága. Mindkét modellben az elsődleges tartományvezérlőt kell elsőként frissíteni.

1. modell: Windows 2000 rendszernél korábbi tartalék tartományvezérlő (BDC) mentése

Ennél a modellnél vagy egy új, a Windows NT Server legújabb verzióját futtató BDC-kiszolgálót kell telepítenie, vagy a meglévő tartalék kiszolgálók közül kell egyet használnia, ha jelenleg több tartalék tartományvezérlővel rendelkezik. A kiválasztott BDC tárolja az aktuális tartományi adatbázis biztonsági másolatát. A folyamat megkezdése előtt válassza le a másodlagos tartományvezérlőt a hálózatról.

Ha a frissítés során bármilyen probléma adódik, az összes Windows 2000 számítógépet eltávolíthatja a működési környezetből, majd a másodlagos tartományvezérlőt visszakapcsolhatja a hálózatba, és ezt nevezheti ki új elsődleges tartományvezérlőnek. Ez az új PDC az adatait ezután az összes BDC számára replikálja, majd a tartomány a korábbi állapotába lép vissza.

Ennek az eljárásnak az egyetlen hátránya, hogy a biztonsági BDC leválasztott állapotában végrehajtott összes változtatás elveszik. E veszteség minimalizálása érdekében a frissítési folyamat során időnként kapcsolja be, majd kapcsolja ki a biztonsági BDC-t (amikor a tartomány stabil állapotban van) a címtár tartalék példányának frissítéséhez.

2. modell: Az elsődleges tartományvezérlő (PDC) leválasztása a hálózatról

A frissítés megkezdése előtt a PDC-t is leválaszthatja a hálózatról. Ha több tartományt kíván létrehozni, akkor az összes PDC-t egy olyan környezetbe helyezheti, amely nem része az üzemi hálózatnak. Ezután frissítheti az elsődleges tartományvezérlőket, és létrehozhatja a tartományfát vagy tartományfákat, miközben nincs kapcsolat az üzemi környezettel. Ezzel a módszerrel tökéletesen működő erdőt hozhat létre anélkül, hogy a frissítési folyamat a működésre hatással lenne.

Ha az erdőt létrehozta, a környezethez munkaállomásokat és tartalék tartományvezérlőket adhat hozzá. Ha az átvitel zavartalanul folyik, az elsődleges tartományvezérlőket visszakapcsolhatja az üzemi környezetbe. Az erdő tovább működik, és a többi kiszolgáló is frissíthető a Windows 2000 Server rendszerre, de az új ügyfél-hozzáférési szoftvert is telepítheti a Windows 2000 előtti verziójú ügyfélszámítógépeken.

Ha már van egy erdő, akkor abból áthozhat egy tartományvezérlőt az elszigetelt környezetbe, és a frissített elsődleges tartományvezérlőket ennek segítségével adhatja hozzá az erdőhöz. A létező erdőből áthozott tartományvezérlő a címtári sémát és a konfigurációs adatokat az új tartományvezérlők számára replikálhatja.

Ha ezt a módszert használja, a frissítés nem befolyásolja az üzemi környezetet mindaddig, amíg az új tartományvezérlők és az erdő kellően stabilnak nem bizonyulnak. A módszer legnagyobb hátránya, hogy addig nem eszközölhetünk változtatásokat a címtárban, amíg az új tartományvezérlők nem csatlakoznak az üzemi környezethez.


Erőforrás-tartományok egyesítése főtartományokban

Sok vállalat aktuális tartománystruktúrája felhasználókat és csoportokat tartalmazó főtartományokból, valamint hálózati erőforrásokat magukba foglaló erőforrás-tartományokból áll. Mivel az Active Directory szolgáltatáshoz nincs szükség erre a modelltípusra, a meglévő erőforrás-tartományokat egyesíteni lehet a főtartományokban. Ha szükséges, a főtartományban létrehozhatja a szervezeti egységek olyan struktúráját, amely a régebbi erőforrás-tartományok felépítését tükrözi.

Az alábbi információk útmutatást adnak az erőforrás-tartományok főtartományokban történő egyesítéséről.

A hozzáférési jogok megmaradásának biztosítása

A főtartományos modellt alkalmazó vállalatok rendszerint csak helyi csoportokat hoznak létre az erőforrás-tartományokban, globális csoportokat vagy felhasználói fiókokat nem.

Ezek a vállalatok a második szintű tartományokban lévő erőforrásokhoz általában az alábbi módokon rendelnek hozzá engedélyeket:

  • Engedélyeket rendelnek a főtartomány globális csoportjaihoz.
  • Engedélyeket rendelnek az erőforrás-tartományok tagkiszolgálóin létrehozott helyi csoportokhoz.
  • Engedélyeket rendelnek az erőforrás-tartományokban létrehozott helyi csoportokhoz.

Egy erőforrás-tartomány főtartományban történő egyesítésekor az első két módszert használó engedélyek automatikusan megmaradnak. A harmadik módszer alkalmazásakor az erőforrás-tartomány helyi csoportjaihoz rendelt engedélyek nem maradnak meg automatikusan, néhány egyszerű lépés alkalmazásával megtarthatók.

Megjegyzés

  • Mielőtt egyesíti a tartományokat, az engedélyek megőrzése céljából másolja az erőforrás-tartomány lokális csoportjait a főtartományba.

1. lépés: A főtartomány frissítése

Frissítse a főtartományt a Windows 2000 Server rendszerre, majd telepítse az Active Directoryt a tartomány elsődleges tartományvezérlőjére (PDC).

2. lépés: Szervezeti egységek hozzáadása

Ha az erőforrás-tartományokat a főtartomány szervezeti egységeivé szeretné átalakítani, akkor először a szervezeti egységeket kell létrehoznia.

A frissítés során az új szervezetiegység-tárolókat a rendszer csak az Active Directory ügyfeleknél jeleníti meg. A Windows 2000 előtti rendszereket futtató ügyfélszámítógépek továbbra is hozzáférnek a tartomány szervezeti egységeinek az erőforrásokhoz, de a szervezeti egység struktúráját nem látják. Ezek az ügyfelek nem észlelik a tartományban bekövetkezett változásokat.

Létrehozásukat követően a szervezeti egységek segítségével oszthatja el a címtári objektumokat a hierarchikus névtéren. Felhasználókat és csoportokat helyezhet át a Felhasználók mappából a szervezeti egységekbe.

3. lépés: Az erőforrás-tartományok elsődleges tartományvezérlőinek frissítése Windows 2000 Server rendszerre

Mivel mindkét tartomány az Active Directory szolgáltatást használja a rendszerbiztonsági tagok egyik tartományból a másikba történő áthelyezéséhez, az eljárás ezen szakaszában a kiszolgálókat az aktuális erőforrás-tartományukban kell tartani. Ekkor még ne helyezze még át azokat a főtartományba.

4. lépés: Rendszerbiztonsági tagok és kiszolgálók áthelyezése a főtartományba

Amikor a tagkiszolgálókat az erőforrás-tartományokból a főtartomány szervezeti egységeibe helyezi át, akkor a kiszolgálókkal együtt azok számítógépfiókjai is áthelyeződnek.

A tagkiszolgálón létrehozott helyi csoportok is áthelyeződnek a kiszolgálóval együtt, és továbbra is működőképesek maradnak.

A főtartomány rendszergazdája a NetBIOS és az Active Directory közzétételi eszközei segítségével hozhatja nyilvánosságra az erőforrásokat. Így lehetővé válik, hogy az Active Directory ügyfelek az erőforrások megkereséséhez és a hozzájuk való csatlakozáshoz a címtár kiterjesztett lekérdezési eljárását alkalmazzák. Amíg a Windows korábbi verzióit futtató ügyfélgépek is vannak a hálózaton, addig a NetBIOS hirdetménnyel való közzétételt is alkalmazni kell. (Az erőforrást a rendszer automatikusan közzéteszi az Active Directoryban.) Ha az összes ügyfélgépet frissítette az új Active Directory ügyfélszoftverrel, a NetBIOS-t kikapcsolhatja.

Ne távolítsa el az elsődleges tartományvezérlőt a második szintű tartományokból, és ne olvassza még be a tartományokat. Ezek a tartományok továbbra is felelősek az általuk kiadott biztonsági azonosítók feloldásáért.

5. lépés: Az erőforrás-tartományok helyi csoportjainak áthelyezése a főtartományba

Helyezze át az összes megtartani kívánt tartományi helyi csoportot az erőforrás-tartományból a főtartományba.

Az áthelyezett csoportok a főtartományban normál csoportként jelennek meg. Az engedélyekben semmilyen más változást nem kell végrehajtani.

6. lépés: Az összes munkaállomás áthelyezése a főtartományba

Helyezze át a munkaállomásokat az erőforrás-tartományokból a főtartományba. Windows 98 és Windows 95 operációs rendszert futtató számítógépek esetén csak a számítógép munkaállomás-nevét kell megváltoztatnia.

A Windows NT Workstation operációs rendszert futtató számítógépeket előbb el kell távolítani a régi tartományból, majd hozzá kell adni a főtartományhoz. Az új számítógépfiókokat a főtartomány hozza létre.

Windows 98 és Windows 95 operációs rendszert futtató számítógépek esetén a tartományáthelyezés az Active Directory ügyfélszoftver telepítésével egy időben is történhet. Az Active Directory használatához a Windows 2000 Server rendszerrel szállított ügyfélszoftvert kell telepíteni.

Az Active Directoryban való részvételhez a Windows NT Workstation rendszert futtató számítógépeket Windows 2000 Professional rendszerre kell frissíteni. Ha automatikus telepítő parancsfájllal végzi a frissítést, akkor a tartományváltás automatikusan végrehajtható a parancsfájlban.

7. lépés: Az erőforrás-tartományok megszüntetése

Most már lehetőség van az erőforrás-tartományok eltávolítására. Ez történhet az erőforrás-tartományban lévő összes tartományvezérlő kikapcsolásával, illetve a tartományvezérlőknek a főtartományba történő áthelyezésével.


Csoportok konvertálása a Windows 2000 rendszerhez

Ha Windows NT Server operációs rendszert futtató elsődleges tartományvezérlőt frissít Windows 2000 Server operációs rendszerre, a meglévő Windows NT csoportokat a rendszer az alábbiak szerint konvertálja:

  • A Windows NT helyi csoportokat Windows 2000 tartományszintű helyi csoportokká konvertálja.
  • A Windows NT globális csoportokat Windows 2000 globális csoportokká konvertálja.

A tartomány Windows NT operációs rendszert használó számítógépei továbbra is megjelenítik a elérhetik a konvertált csoportokat. Az ilyen ügyfelek számára a csoportok Windows NT 4.0 helyi és globális csoportként jelennek meg. A Windows NT rendszert használó ügyfél azonban nem jelenítheti meg ezen csoportok tagjait, illetve nem változtathat a tagok tulajdonságain, ha a csoporttagság ütközik a Windows NT csoportszabályaival. Ha például egy Windows NT ügyfél megjeleníti egy Windows 2000 Server globális csoport tagjait, nem jeleníti meg ugyanannak a globális csoportnak más csoportjait.

Konvertált csoportok és a Microsoft Exchange

Az Exchange lehetővé teszi a felhasználóknak, hogy az elektronikuslevél-címeket csoportokba és címzési listákba rendezzék. Az Exchange kiszolgálók Active Directory szolgáltatásra való frissítésekor az Exchange címzési listáit univerzális hatókörű címzési csoportokká konvertálja a rendszer. Ha szükséges, a rendszergazda később biztonsági csoporttá konvertálhatja a csoportot az Active Directory – felhasználók és számítógépek modulja segítségével. A levelező alkalmazások fejlesztői felülete (MAPI) lehetővé teszi az Exchange korábbi verzióit használó ügyfeleknek a konvertált címzési csoport megjelenítését.

Konvertált csoportok használata a Windows NT rendszerrel

Azok az ügyfélszámítógépek, amelyek nem az Active Directory ügyfélszoftvert futtatják, az univerzális hatókörű Windows 2000 csoportokat globális hatókörű csoportként azonosítják. Univerzális hatókörű csoport tagjainak megjelenítésekor a Windows NT ügyfél csak az olyan csoporttagokat tudja megjeleníteni és elérni, amelyek megfelelnek a Windows NT globális csoportjaira vonatkozó tagsági szabályoknak.

Natív üzemmódú Windows 2000 tartományban az összes tartományvezérlőnek a Windows 2000 Server operációs rendszert kell futtatnia. Maga a tartomány azonban tartalmazhat Windows NT Server 4.0 rendszert futtató tagkiszolgálókat. Ezek a kiszolgálók az univerzális hatókörű csoportokat globális hatókörűként érzékelik, a csoportokhoz univerzális hatókörű jogokat és engedélyeket rendelhetnek, és az univerzális csoportokat áthelyezhetik helyi csoportokba.

Windows NT felügyeleti eszközöket használó Windows NT Server 4.0 tagkiszolgáló Windows 2000 tartományban nem férhet hozzá a tartományszintű helyi csoportokhoz. Ez azonban elkerülhető úgy, hogy a Windows 2000 Server operációs rendszert futtató számítógépet és annak felügyeleti eszközeit használja a Windows NT Server 4.0 kiszolgáló eléréséhez. A Windows 2000 Server ezen eszközeivel megjelenítheti a tartományszintű helyi csoportokat, és engedélyezheti számukra a Windows NT Server 4.0 kiszolgáló erőforrásainak elérését.


Együttműködés más címtárszolgáltatásokkal

A címtárszolgáltatások a szoftverszolgáltatások és -típusok széles skáláját támogatják. Egyes címtárszolgáltatások operációs rendszer részét képezik, mások pedig alkalmazások, például elektronikus levelezési címtárak. Az operációs rendszerek címtárszolgáltatásai – mint például az Active Directory – biztosítják a fiókok, számítógépek, illetve megosztott erőforrások felügyeletét. Az elektronikus levelezési alkalmazásként működő címtárszolgáltatások (például a Microsoft Exchange) lehetővé teszik a felhasználóknak más felhasználók keresését, és részükre elektronikus levél küldését.

Az Active Directory más címtárszolgáltatásokkal való szinkronizálásáról az alábbi témakörökben talál további információt:

  • Címtáradatok importálása és exportálása
  • Az Active Directory használata az Exchange alkalmazással


Címtáradatok importálása és exportálása

A címtáradatok importálására és exportálására két parancssori segédprogram használható:

  • LDIFDE

    Active Directory címtáradatok exportálására és importálására alkalmas.

  • CSVDE

    A változókat vesszővel tagoló (CSV) formátumot alkalmazó fájlokkal (ilyenek például a Microsoft Excel alkalmazás fájljai) kompatibilis adatok exportálására és importálására használják.

LDIFDE

Kötegelt műveleteket (hozzáadást, törlést, átnevezést és módosítást) az LDIFDE alkalmazás használatával végezhet. Ezek a műveletek lehetővé teszik az Active Directory adatainak exportálását más alkalmazásokba vagy szolgáltatásokba, illetve más erőforrások (például különböző címtárszolgáltatások) adatainak Active Directoryba helyezését.

Az LDIFDE segédprogram használatához írja be a parancssorba az LDIFDE parancsot, majd az azt követő paramétert vagy paramétereket.

Az LDIFDE segédprogram paramétereinek összefoglalása

Paraméter | Leírás
-i | Az importálás módját adja meg. Ha nincs megadva ez a paraméter, az LDIFDE alapértelmezés szerinti üzemmódja az exportálás.
-f fájlnév | Az importált vagy exportált fájl nevét azonosítja.
-s kiszolgálónév | Az exportálás vagy importálás műveletéhez használt tartományvezérlőt határozza meg.
-c karakterlánc1 karakterlánc2 | A karakterlánc1 minden előfordulását kicseréli karakterlánc2 értékre. Ez általában akkor használatos, ha egyik tartományból másikba importál adatokat, és az exportáló tartomány megkülönböztető nevét a másikéval kell helyettesíteni.
-v | Részletes módot állít be.
-j útvonal | A naplófájl helyét állítja be. Az alapértelmezés az aktuális útvonal.
-t portszám | Az LDAP-portszám beállítására szolgál. Az LDAP-portszám alapértelmezés szerint 389, a globális katalógus portjának száma pedig 3268.
-d keresési_bázis_megkülönböztető_neve | Az adatexportáláshoz használt keresési bázis megkülönböztető nevének beállítására szolgál.
-r LDAP-szűrő | LDAP-keresőszűrőt hoz létre adatexportáláshoz. Ha exportálni kívánja például az összes, az Önével megegyező vezetéknevű felhasználót, akkor a következő szűrőt használhatja: -r "(&(objectClass=felhasználó)(sn=felhasználónév))"
-p hatókör | A keresési hatókör beállítása. Értéke lehet Base (alap), OneLevel (egy szint) vagy SubTree (Részfa).
-l LDAP-attribútumlista | Exportlekérdezés eredményében a válasz attribútumainak listáját állítja be. Ha nem írja be ezt a paramétert, a rendszer az összes attribútumot megjeleníti. Ha például csak a megkülönböztető nevet, az egyszerű nevet, az utónevet, a vezetéknevet és a telefonszámot kéri az objektumokhoz, adja meg a következő attribútumlistát: -l "distinguishedName, cn, givenName, sn, telephone"
-o | Exportlekérdezés eredményében a válasz kihagyandó attribútumainak listáját állítja be. Ezt rendszerint akkor használja, ha objektumokat exportál az Active Directoryból, majd másik LDAP-kompatibilis címtárba importálja őket. A másik címtár bizonyos attribútumokat nem biztos, hogy támogat, ezért ezeket ezzel a beállítással kihagyhatja az eredményhalmazból. Ha ki szeretné hagyni például az objectGUID, whenChanged és whenCreated attribútumokat, a következő kihagyásokat kell meghatároznia: -o "objectGUID, whenChanged, whenCreated"
-g | Hatására a rendszer nem hajt végre lapozott kereséseket.
-m | E paraméter megadásakor a rendszer kihagyja az olyan attribútumokat, amelyek csak Active Directory objektumokra vonatkoznak, például az ObjectGUID, az objectSID, a pwdLastSet és a samAccountType attribútumokat.
-n | A program nem exportál bináris értékeket.
-k | Hatására a folyamat átugorja az importálási művelet során fellépő hibákat, és folytatja a műveletet. Átugrandó hiba például az olyan objektum belefoglalása, amelyik már létezik.
-a felhasználó_megkülönböztető_neve_és_jelszava | Beállítja a megadott megkülönböztető felhasználónév és jelszó felhasználásával futtatandó parancsokat. (A rendszer alapértelmezés szerint az aktuálisan bejelentkezett felhasználó adataival futtatja a folyamatot.) Például: a cn=név,dc=vállalat,dc=com jelszó
-b felhasználónév tartomány jelszó | A parancsot felhasználónév tartomány jelszó formátumban és sorrendben megadva futtatja. (A rendszer alapértelmezés szerint az aktuálisan bejelentkezett felhasználó adataival futtatja a folyamatot.) Például: b felhasználónév vállalati_tartomány jelszó
-? | Az on-line súgót jeleníti meg.

Az LDIFDE segédprogramról további információt az LDIFDE on-line súgó tartalmaz.

CSVDE

Adatok Active Directoryba való importálására, illetve exportálására a változókat vesszővel tagoló (CSV) fájlokat használhat. Bizonyos alkalmazások (például a Microsoft Excel) képesek a CSV formátumú fájlok olvasására és mentésére. A Microsoft Exchange Server felügyeleti eszközei szintén képesek az adatok CSV formátumban való importálására és exportálására, mint ahogy más szállítók alkalmazásai is használják ezt a formátumot.

A CSV formátum egy vagy több adatsorból áll, és az adatok mindegyike vesszővel van elválasztva. Az első sor (a fejléc) tartalmazza a különböző attribútumok nevét, ugyanolyan sorrendben, mint a többi sor. Például:
Cn,Keresztnév,Vezetéknév,Leírás
1.felhasználói_bejelentkezési_név,1.felhasználói_keresztnév,1.felhasználói_vezetéknév,ügyvezető
2.felhasználói_bejelentkezési_név,2.felhasználói_keresztnév,2.felhasználói_vezetéknév,elnök

A Windows 2000 tartalmaz egy CSVDE nevű parancssori segédprogramot, amely CSV fájlformátum-szabványon alapuló kötegelt műveleteket támogat.

A CSVDE segédprogram használatához írja be a parancssorba a CSVDE parancsot, majd az azt követő paramétert vagy paramétereket.

A CSVDE alkalmazás paramétereinek összefoglalása

Paraméter | Leírás
-i | Az importálás módját adja meg. Ha nincs megadva ez a paraméter, az alapértelmezés szerinti üzemmód az exportálás.
-f fájlnév | Az importált vagy exportált fájl nevét azonosítja.
-s kiszolgálónév | Az exportálás vagy importálás műveletéhez használt tartományvezérlőt határozza meg.
-c karakterlánc1 karakterlánc2 | A karakterlánc1 minden előfordulását kicseréli karakterlánc2 értékre. Ez általában akkor használatos, ha egyik tartományból másikba importál adatokat, és az exportáló tartomány megkülönböztető nevét a másikéval kell helyettesíteni.
-v | Részletes módot állít be.
-j útvonal | A naplófájl helyét állítja be. Az alapértelmezés az aktuális útvonal.
-t portszám | Az LDAP-portszám beállítására szolgál. Az LDAP-portszám alapértelmezés szerint 389, a globális katalógus portjának száma pedig 3268.
-d keresési_bázis_megkülönböztető_neve | Az adatexportáláshoz használt keresési bázis megkülönböztető nevének beállítására szolgál.
-r LDAP-szűrő | LDAP-keresőszűrőt hoz létre adatexportáláshoz. Ha exportálni kívánja például az összes, az Önével megegyező vezetéknevű felhasználót, akkor a következő szűrőt használhatja: -r "(&(objectClass=felhasználó)(sn=felhasználónév))"
-p hatókör | A keresési hatókör beállítása. Értéke lehet Base (alap), OneLevel (egy szint) vagy SubTree (Részfa).
-l LDAP-attribútumlista | Exportlekérdezés eredményében a válasz attribútumainak listáját állítja be. Ha nem írja be ezt a paramétert, a rendszer az összes attribútumot megjeleníti. Ha például csak a megkülönböztető nevet, az egyszerű nevet, az utónevet, a vezetéknevet és a telefonszámot kéri az objektumokhoz, adja meg a következő attribútumlistát: -l "distinguishedName, cn, givenName, sn, telephone"
-o | Exportlekérdezés eredményében a válasz kihagyandó attribútumainak listáját állítja be. Ezt rendszerint akkor használja, ha objektumokat exportál az Active Directoryból, majd másik LDAP-kompatibilis címtárba importálja őket. A másik címtár bizonyos attribútumokat nem biztos, hogy támogat, ezért ezeket ezzel a beállítással kihagyhatja az eredményhalmazból. Ha ki szeretné hagyni például az objectGUID, whenChanged és whenCreated attribútumokat, a következő kihagyásokat kell meghatároznia: -o "objectGUID, whenChanged, whenCreated"
-g | Hatására a rendszer nem hajt végre lapozott kereséseket.
-m | E paraméter megadásakor a rendszer kihagyja az olyan attribútumokat, amelyek csak Active Directory objektumokra vonatkoznak, például az ObjectGUID, az objectSID, a pwdLastSet és a samAccountType attribútumokat.
-n | A program nem exportál bináris értékeket.
-k | Hatására a folyamat átugorja az importálási művelet során fellépő hibákat, és folytatja a műveletet. Átugrandó hiba például az olyan objektum belefoglalása, amelyik már létezik.
-a felhasználó_megkülönböztető_neve_és_jelszava | Beállítja a megadott megkülönböztető felhasználónév és jelszó felhasználásával futtatandó parancsokat. (A rendszer alapértelmezés szerint az aktuálisan bejelentkezett felhasználó adataival futtatja a folyamatot.) Például: a cn=név,dc=vállalat,dc=com jelszó
-b felhasználónév tartomány jelszó | A parancsot felhasználónév tartomány jelszó formátumban és sorrendben megadva futtatja. (A rendszer alapértelmezés szerint az aktuálisan bejelentkezett felhasználó adataival futtatja a folyamatot.) Például: b bejelentkezési_név vállalati_tartomány jelszó
-? | Az on-line súgót jeleníti meg.

A CSVDE eszközről további információt a CSVDE on-line súgójában talál.


Az Active Directory használata az Exchange alkalmazással

A Microsoft Exchange alkalmazás felhasználóinak adatai szinkronizálhatók az Active Directory adataival, így csökkenthető a több címtár felügyeletével járó költség. Az Exchange telepítésekor az Active Directory sémája kiegészül az Exchange objektumaival. Az Active Directory Connector szinkronizálja az adatokat az Active Directory és az Exchange között. Az adatok ezáltal az Active Directory beépülő moduljai segítségével kezelhetők.

Ha további információt szeretne kapni az adatok szinkronizálásáról és arról, hogy hogyan terjeszthető ki az Active Directory az Exchange címtár-szolgáltatásának használatára, olvassa el a következő témaköröket:

  • Az Active Directory Connector használata
  • Az Active Directory - felhasználók és számítógépek Exchange bővítményeinek használata


Az Active Directory felügyelete

Erről az oldalról a következő témaköröket érheti el:

  • Más tartományok felügyelete
  • Felügyelet delegálása
  • A műveleti főkiszolgáló szerepkör átadása
  • A műveleti főkiszolgáló hibáinak kezelése
  • Szolgáltatások közzététele
  • A rendszerbiztonság kezelése
  • Erőforrások közzététele
  • Címtáradatok keresése
  • Fejlesztői felületek
  • Az Active Directory felügyeleti eszközei
  • Active Directory támogatóeszközök


Más tartományok felügyelete

Egynél több tartományból álló szervezetben gyakran lehet szükség más tartomány (tehát nem az, amelyikbe bejelentkezett) felügyeletére. Meghatalmazások létrehozásakor a meghatalmazást például a meghatalmazott és a meghatalmazó tartományban egyaránt létre kell hozni. Ezt a következőképpen teheti meg:

  • együttműködik olyanokkal, akiknek felügyeleti engedélyük van a másik tartományhoz
  • olyan felhasználói fiókkal jelentkezik be, amely rendelkezik a szükséges engedélyekkel, illetve
  • a Futtatás mint parancs segítségével futtat egy felügyeleti eszközt a kérdéses tartományra irányítva (ez az ajánlott megoldás).

Egy adott tartományhoz felügyeleti engedélyekkel történő hozzáférés ellenőrzésére biztos módszer a tartományra felügyeleti engedéllyel rendelkező fiókok, illetve a fiókokról tudó személyek számának szigorú korlátozása. A tartományon csak a fióknevet és a jelszót ismerő személyek hajthatnak végre felügyeleti jogkörbe tartozó módosításokat. Ha korábban egy másik tartomány rendszergazdája például közvetlen meghatalmazást kívánt létrehozni egy szigorúan ellenőrzött tartománnyal, akkor a rendszergazda egyetlen lehetősége a szigorúan ellenőrzött tartomány rendszergazdájával való kapcsolatfelvétel volt – közös jelszót kellett alkalmazniuk a meghatalmazáshoz, illetve a szigorúan ellenőrzött tartomány rendszergazdájával kellett elvégeztetni a meghatalmazás létrehozását a rendszergazda saját tartományában.

Célszerűbb módszernek bizonyulhat azonban, ha több tartomány együttes felügyeletére olyan felhasználói fiókkal jelentkezik be, amely mindkét tartományban rendszergazdai engedélyekkel rendelkezik. A Vállalati rendszergazdák biztonsági csoportba tartozó felhasználói fiókok például az erdő bármelyik tartománya fölött felügyeleti engedéllyel rendelkeznek. Az abszolút jogosultsággal rendelkező fiókok használata nem ajánlott. További információt a Miért nem tanácsos rendszergazdaként futtatni a számítógépet? című témakörben talál.

Megjegyzés

  • Soha ne jelentkezzen be olyan fiókkal, amelynek több engedélye van, mint amennyi az adott feladat elvégzéséhez feltétlenül szükséges.
  • Érdemes az adott rendszergazda engedélyeit csak azokra a feladatokra korlátozni, amelyeket általában végezni szokott.

A Futtatás mint parancs lehetővé teszi, hogy az aktuális felhasználói fiók biztonsági környezetétől eltérő körülmények között hajtson végre műveleteket, és ezáltal speciális engedélyeket igénylő feladatokat hajtson végre. A Futtatás mint parancs az adott alkalmazást vagy felügyeleti eszközt a megadott felhasználói fiók engedélyeivel futtatja: segítségével például egy bizonyos felügyeleti eszköz két külön példányát két különböző tartományra irányítva, és mindkét tartományban a szükséges felügyeleti engedélyekkel futtathatja.

A Futtatás mint parancs használatához ismernie kell egy megfelelő engedélyekkel rendelkező fiók felhasználónevét és jelszavát.

Fontos!

  • A Futtatás mint parancs a megfelelő felhasználónévvel és jelszóval használva más erdők tartományainak felügyeletére is alkalmas.

A Futtatás mint parancsról a Runas parancsot ismertető oldalon talál további információt.


Felügyelet delegálása

Egy tartományfa bármely szintjének felügyeleti jogát delegálhatja a tartományfa bármely szintjének, ha tartományon belüli szervezeti egységeket hoz létre, és bizonyos szervezeti egységek felügyeletének irányítását bizonyos felhasználóknak vagy csoportoknak delegálja.

Annak eldöntéséhez, hogy milyen legyen a létrehozandó szervezeti egységek típusa, illetve mely szervezeti egységeknek kell fiókokat megosztott erőforrásokat tartalmazniuk, vegye számításba a vállalat szervezeti felépítését. Létrehozhat például egy szervezeti egységet, amely lehetővé teszi, hogy egy részlegnél, például a humánpolitikai osztályon belül egy felhasználó rendelkezzen az összes felhasználói és számítógépfiók felügyeleti jogával. Előfordulhat az is, hogy egy felhasználónak csak egy részleg bizonyos erőforrásainak, például a számítógépfiókoknak a felügyeleti jogát kívánja biztosítani. A felügyeleti jog delegálásának másik lehetősége, ha jogot ad egy felhasználónak a Humánpolitikai osztály mint szervezeti egység felügyeletére, de az osztályon belüli szervezeti egységek felügyeletének jogát nem adja meg.

A felügyeleti jogok delegálása lehetővé teszi, hogy ne legyen szükség sok széles (például egy egész tartomány fölötti) felügyeleti jogkörrel rendelkező rendszergazda fiók létrehozására. Továbbra is használhatja az előre definiált Tartománygazdák csoportot a teljes tartomány felügyeletére, de a csoport tagságát néhány abszolút megbízható személyre korlátozhatja.

A Windows 2000 számos, meghatározott jogosultságot biztosító engedélyt és felhasználói jogot ismer, amelyekkel a felügyeleti ellenőrzés delegálható, illetve korlátozható. A szervezeti egységek, csoportok és engedélyek kombinálásával kialakíthatja a legmegfelelőbb felügyeleti hatókört minden személy számára: az egész tartomány, egy tartomány minden szervezeti egysége, vagy csak egy szervezeti egység felett.

Egy személy vagy csoport részére a felügyeleti jogot a Vezérlés delegálása varázsló segítségével adhatja meg. A Vezérlés delegálása varázsló segítségével kiválaszthatja azt a felhasználót vagy csoportot, amelynek a vezérlést delegálni kívánja, meghatározhatja azokat a szervezeti egységeket és objektumokat, melyekre a meghatalmazás vonatkozik, és beállíthatja az objektumhozzáférési és -módosítási jogot. Ha például egy felhasználónak jogot kaphat arra, hogy megváltoztassa a fiók tulajdonosát anélkül, hogy jogot kapna fiókok törléséhez az adott szervezeti egységben.

MMC konzolok egyéni beállítása adott csoportok számára

Az MMC konzol beállítási lehetőségei segítségével a beépülő modulok (például az Active Directory – felhasználók és számítógépek) korlátozottan alkalmazható verzióit hozhatja létre. Ezáltal a rendszergazdák szabályozhatják az olyan csoportok számára rendelkezésre álló lehetőségeket, amelyeknek úgy delegáltak felügyeleti jogokat, hogy korlátozták az egyéni konzol műveleteihez és körzeteihez való hozzáférést.

Tegyük fel, hogy delegálja a nyomtatókezelés jogát a Gyártás szervezeti egység PrintManagers csoportjának. A felügyelet egyszerűsítésére létrehozhat egy olyan, a PrintManagers csoport tagjai által használható konzolt, amely csak a Gyártás szervezeti egységet tartalmazza, és az MMC konzolmódokkal korlátozhatja a konzol hatókörét.

A konzol testreszabásáról és a konzolmódok használatáról további információt az Egyéni konzolok használata és a Konzol hozzáférési beállításai című témakörök tartalmaznak.

Az MMC Csoportházirend-beállításai is támogathatják ezt a delegálástípust. Ezek a beállítások lehetővé teszik, hogy a rendszergazda meghatározza, azokat az MMC beépülő modulokat, amelyeket az érintett felhasználó futtathat. A beállítás lehet inkluzív, amely a futtatható beépülő modulok készletét határozza meg, vagy lehet exkluzív, amely korlátozza a futtatható beépülő modulok készletét. Az MMC Csoportházirend-beállításairól további információt a Csoportházirend beállítása az MMC konzolhoz című témakör tartalmaz.

Egyéni konzolok közzététele és hozzárendelése Csoportházirend használatával

A Csoportházirend használatával kétféleképpen oszthat ki egyéni konzolt a megfelelő csoportoknak: közzététellel vagy hozzárendeléssel. Egyéni konzol közzétételekor a rendszer úgy értesíti a Csoportházirend beállításaiban meghatározott csoport tagjait a konzol elérhetővé válásáról, hogy hozzáadja azt a Programok telepítése/törlése alkalmazásban. Amikor a csoport tagjai legközelebb megnyitják a Programok telepítése/törlése alkalmazást, telepíthetik az új konzolt. Hozzárendeléskor (a közzététellel ellentétben) a rendszer automatikusan telepíti a konzolt az összes kijelölt fiókon.

A konzol közzétételéhez vagy hozzárendeléséhez hozzon létre vagy módosítson egy Csoportházirend-objektumot, és alkalmazza azt a felhasználók megfelelő csoportjára. Ezután használja a Csoportházirend beépülő modul szoftvertelepítő kiterjesztését a konzol közzétételéhez, illetve hozzárendeléséhez.

Csoportházirend-objektumok létrehozásáról, illetve a fiókokra történő alkalmazásáról további információt az Új Csoportházirend-objektum létrehozása, a Csoportházirend vezérlésének delegálása és a Csoportházirend hatókörének szűrése csoporttagság alapján című témakörök tartalmaznak.

A közzétételről és hozzárendelésről további információt a Szoftvertelepítés, az Alkalmazás közzététele és az Alkalmazás hozzárendelése című témakörök tartalmaznak.

Fontos

  • A Szoftvertelepítő beépülő modul használata előtt a konzolnak becsomagolt állapotban kell lennie. A konzol kibontásához használhatja többek között a Windows Installer eszközt. Ezt követően konfigurálhatja a szoftvertelepítő beépülő modult az újonnan létrehozott csomag közzétételére vagy hozzárendelésére. Az alkalmazások csomagolásáról további információt a Windows 2000 Server SDK és Resource Kit csomagokban talál.
  • Ha az egyéni konzol használ olyan beépülő modult, amely nincs telepítve a cél-munkaállomáson vagy kiszolgálón, akkor ezt a beépülő modult, valamint a fájl regisztrációját is csatolnia kell a csomaghoz. Ebben az esetben vagy létrehoz egy külön csomagot, amely a beépülő modult tartalmazza, vagy hozzáadhatja a beépülő modult a testreszabott konzolcsomag létrehozása közben, így az a konzolcsomag minden telepítésekor megfelelően kerül telepítésre.

Megjegyzés

  • Ha egy felhasználó éppen használja a számítógépet, amikor egy Csoportházirend-objektumot alkalmaznak a fiókjára, akkor csak a következő bejelentkezéskor fogja látni a számára közzétett vagy hozzárendelt konzolt.

Az Active Directory biztonsági kérdéseiről további információt a Biztonsági modell című témakörben talál.


A műveleti főkiszolgáló szerepkör átadása

A műveleti főkiszolgáló szerepkör átadása az adott szerepkör egyik tartományvezérlőről egy másikra történő áthelyezését jelenti az eredeti szerepkör-tulajdonos közreműködésével. A műveleti főkiszolgáló szerepkörtől függően a szerepkörátadást az Active Directory három beépülő moduljának egyikével hajthatja végre.

Szerepkör | Beépülő modul
Séma fő tartományvezérlője | Az Active Directory sémája
Tartománynév-kiosztási főkiszolgáló | Active Directory – tartományok és meghatalmazások
Relatív azonosítók főkiszolgálója | Active Directory – felhasználók és számítógépek
PDC-emulátor | Active Directory – felhasználók és számítógépek
Infrastruktúrakezelő főkiszolgáló | Active Directory – felhasználók és számítógépek

A műveleti főkiszolgáló szerepkörökről az Egyedi főkiszolgáló-műveletek című témakörben talál további felvilágosítást.

A műveleti főkiszolgáló szerepkörök átadását a következő témakörök mutatják be:

  • A séma fő tartományvezérlője szerepkör átadása
  • A tartománynév-kiosztási főkiszolgáló szerepkör átadása
  • A relatív azonosítók főkiszolgálója szerepkör átadása
  • A PDC-emulátor szerepkör átadása
  • Az infrastruktúrakezelő főkiszolgáló szerepkör átadása


A műveleti főkiszolgáló hibáinak kezelése

Bizonyos műveleti főkiszolgáló szerepkörök meghatározó fontossággal bírnak a hálózat működése szempontjából, míg mások elérhetetlenek is maradhatnak egy adott ideig, mielőtt hiányuk problémát okozna. Egy egyedüli műveleti főkiszolgáló elérhetetlen voltát általában csak akkor lehet észrevenni, ha egy, az általa felügyelt műveletet vagy eljárást próbál végrehajtani.

Ha egy műveleti főkiszolgáló a számítógép vagy a hálózat hibája miatt elérhetetlen, a műveleti főkiszolgáló szerepkört el is veheti tőle. Ezt a műveleti főkiszolgáló szerepkör kényszerített átadásának is hívják.

Az átadás kényszerítése előtt határozza meg a számítógép vagy a hálózat hibájának okát, illetve azt, hogy az várhatólag mennyi ideig tart. Ha olyan hálózati hiba lépett fel, amely hamarosan megoldódik, várjon, amíg a szerepkör-tulajdonos ismét elérhetővé válik. Ha a szerepkört birtokló tartományvezérlő hibásodott meg, meg kell vizsgálnia, hogy megjavítható-e és újracsatlakoztatható-e a hálózathoz.

A műveleti főkiszolgáló szerepkör elvétele drasztikus lépés. Erre csak akkor gondoljon, ha az aktuális műveleti főkiszolgáló soha többé nem lesz újra használható. A döntés függ a szerepkörtől és attól, hogy mennyi ideig lesz elérhetetlen a szerepkör-tulajdonos. A különböző szerepkör-tulajdonosok meghibásodásának hatását az alábbiakban tanulmányozhatja.

A séma fő tartományvezérlőjének meghibásodása

A séma fő tartományvezérlőjének átmeneti kiesését nem érzékelik a hálózati felhasználók. A hálózati rendszergazdák felé is csak akkor lesz észrevehető, ha megpróbálják megváltoztatni a sémát vagy olyan alkalmazást telepítenek, amelyiknek telepítése megváltoztatja azt.

Ha a séma fő tartományvezérlője elfogadhatatlanul hosszú ideig elérhetetlen, elveheti szerepkörét, és átadhatja azt a készenléti műveleti főkiszolgálónak. A szerepkör elvétele drasztikus lépés, és csak akkor tegye meg, ha a séma fő tartományvezérlőjének hibája tartós.

Fontos!

  • Ha egy tartományvezérlőtől elvette a séma fő tartományvezérlője szerepkört, azt soha többé ne csatlakoztassa újra a hálózathoz.

A séma fő tartományvezérlője szerepkör elvételéről A séma fő tartományvezérlője szerepkör elvétele című témakör nyújt további felvilágosítást.

A tartománynév-kiosztási főkiszolgáló meghibásodása

A tartománynév-kiosztási főkiszolgáló ideiglenes kiesését nem érzékelik a hálózati felhasználók. A hálózati rendszergazdák felé is csak akkor lesz észrevehető, ha megpróbálnak tartományt adni az erdőhöz, illetve tartományt törölni az erdőből.

Ha a tartománynév-kiosztási főkiszolgáló elfogadhatatlanul hosszú ideig elérhetetlen, elveheti annak szerepkörét, és átadhatja azt a készenléti műveleti főkiszolgálónak. A szerepkör elvétele drasztikus lépés, és csak akkor tegye meg, ha a tartománynév-kiosztási főkiszolgáló hibája tartós.

Fontos!

  • Ha egy tartományvezérlőtől elvette a tartománynév-kiosztási főkiszolgáló szerepkört, azt soha többé ne csatlakoztassa újra a hálózathoz.

A tartománynév-kiosztási főkiszolgáló szerepkör elvételéről A tartománynév-kiosztási főkiszolgáló szerepkör elvétele című témakörben talál további információt.

A relatív azonosítók főkiszolgálójának meghibásodása

A relatív azonosítók főkiszolgálójának átmeneti kiesését nem érzékelik a hálózati felhasználók. A hálózati rendszergazdák is csak akkor érzékelik, ha objektumokat hoznak létre, és abban a tartományban, ahol azokat létrehozzák, nincs több relatív azonosító.

Ha a relatív azonosítók főkiszolgálója elfogadhatatlanul hosszú ideig elérhetetlen, elveheti annak szerepkörét, és átadhatja azt a műveleti főkiszolgálónak. A szerepkör elvétele drasztikus lépés, és csak akkor tegye meg, ha a relatív azonosítók főkiszolgálójának hibája tartós.

Fontos!

  • Ha egy tartományvezérlőtől elvette a relatív azonosítók főkiszolgálója szerepkört, azt soha többé ne csatlakoztassa újra a hálózathoz.

A relatív azonosítók főkiszolgálója szerepkör elvételéről A relatív azonosítók főkiszolgálója szerepkör elvétele című témakör ad bővebb tájékoztatást.

A PDC-emulátor meghibásodása

Az elsődleges tartományvezérlő- (PDC) emulátor hiánya érinti a hálózati felhasználókat. Ezért ha a PDC-emulátor nem elérhető, szükség lehet a szerepkör azonnali elvételére.

Ha a PDC-emulátor elfogadhatatlanul hosszú ideig lesz elérhetetlen, és a tartományban vannak Windows 2000 ügyfélszoftverrel nem rendelkező ügyfelek vagy Windows NT biztonsági tartalék-tartományvezérlők, akkor vegye el a PDC-emulátor szerepkörét, és adja azt a készenléti műveleti főkiszolgálónak. Ha az eredeti PDC-emulátor ismét működik, visszaadhatja a szerepkört az eredeti tartományvezérlőnek.

A PDC-emulátor szerepkör elvételéről A PDC-emulátor szerepkör elvétele című témakörben olvashat bővebben.

Az infrastruktúrakezelő főkiszolgáló meghibásodása

Az infrastruktúrakezelő főkiszolgáló időszakos elérhetetlenségét nem érzékelik a hálózati felhasználók. A hálózati rendszergazdák sem érzékelik, hacsak előzőleg nagyszámú fiókot át nem helyeztek vagy át nem neveztek.

Ha az infrastruktúrakezelő főkiszolgáló elfogadhatatlanul hosszú ideig elérhetetlen lesz, elveheti szerepkörét, és átadhatja azt egy olyan tartományvezérlőnek, amely nem globális katalógus, de jó összeköttetéssel rendelkezik egy – bármelyik tartományban, de ideálisan vele egy helyen belül található – globális katalógussal. Ha az eredeti infrastruktúrakezelő főkiszolgáló ismét működik, visszaadhatja szerepkörét.

Az infrastruktúrakezelő főkiszolgáló szerepkör elvételéről Az infrastruktúrakezelő főkiszolgáló szerepkör elvétele című témakörben talál további információt.

A műveleti főkiszolgálókról az Egyedi főkiszolgáló-műveletek című témakör nyújt általános tájékoztatást.


Szolgáltatások közzététele

A következő kérdések néhány olyan típusú szolgáltatásadattal foglalkoznak, amelyeket hasznos lehet közzétenni a címtárban. Ahhoz, hogy tisztában lehessen azzal, hogy milyen tulajdonságok alapján érdemes egy szolgáltatást közzétennie, célszerű megértenie, hogy hogyan használja az Active Directory a szolgáltatásokat.

Szolgáltatásadatok kategóriái

A kötési és a konfigurációs adatok az Active Directory használatával gyakran közzétett két adattípus.

  • A kötési adatok lehetővé teszik az ügyfeleknek, hogy olyan szolgáltatásokhoz csatlakozzanak, amelyek nem rendelkeznek közismert kötésekkel, és egy szolgáltatásközpontú modellhez alkalmazkodnak. Az ilyen típusú szolgáltatások kötéseinek közzétételével a Windows 2000 operációs rendszer automatikusan létrehozhatja az összeköttetést a szolgáltatásokkal. A gépközpontú szolgáltatásokat jellemzően szolgáltatásonként kezelik, így nem szabad őket közzétenni a címtárban.
  • A konfigurációs adatok általánosan alkalmazhatók az egyes ügyfélalkalmazások között. Az ilyen típusú információk közzététele lehetővé teszi az aktuális konfigurációs adatok továbbítását ezen szolgáltatásokra vonatkozóan a tartomány összes ügyfele felé. A konfigurációs adatokhoz az ügyfélalkalmazások igény szerint hozzáférnek. Ez megkönnyíti az alkalmazások konfigurálását a felhasználóknak, és pontosabb ellenőrzést tesz lehetővé.

Szolgáltatásadatok tulajdonságai

A címtárban közzétett szolgáltatásadatok hatékonyabbak, ha a következő tulajdonságokkal rendelkeznek.

  • Több ügyfél számára hasznosak – Ha csak kevés ügyfél számára hasznosak az adatok, illetve ha csak a hálózat egy kis területén használhatók, akkor nem érdemes közzétenni őket. Ha nem széles körben használt adatokról van szó, akkor azok csak terhelik a hálózati erőforrásokat, mivel az adatokat a rendszer minden tartományvezérlőre replikálja.

  • Viszonylag stabilak és változatlanok – Habár bizonyos kivételek megfogalmazhatók, általában csak akkor célszerű szolgáltatásadatokat közzétenni, ha azok ritkábban változnak, mint két replikáció között eltelt idő. Helyi replikáció esetén a maximális replikációs periódus tizenöt perc, míg a helyközi replikáció esetén a maximális replikációs időközt a replikációhoz használt helyhivatkozás replikációs intervalluma alapján lehet beállítani. Az ennél gyakrabban változó objektumtulajdonságok túlságosan igénybe veszik a hálózati erőforrásokat. A tulajdonságok értékei lejártak lehetnek a frissítések közzétételéig, amely a maximális replikációs periódus időtartama is lehet. Ebből kifolyólag nem szabad, hogy problémát okozzon az, ha a tulajdonságok ennyi ideig nem kerülnek frissítésre.

    Bizonyos hálózati szolgáltatások például minden indítást követően érvényes TCP portot választanak. A port kiválasztása után a szolgáltatás frissíti az Active Directoryt az adatokkal, amelyeket a rendszer a szolgáltatás csatlakozási pontjaként tárol. Ha az ügyfél használni kívánja az adott szolgáltatást, csatlakozik a csatlakozási ponthoz. Ha viszont az új csatlakozási pont nem lett replikálva addig az időpontig, amikor az ügyfél lekéri azt, az ügyfél lejárt portot kap, így a szolgáltatás átmenetileg elérhetetlen lesz.

  • Jól definiált, ésszerű tulajdonságok – A konzisztens formába rendezett adatokat könnyebben használják a szolgáltatások. Az adatoknak lehetőleg kis méretűnek kell lenniük.

Az Active Directory – helyek és szolgáltatások eszköz segítségével történő szolgáltatás-közzétételre a Bizonyítványsablonok biztonsági engedélyeinek beállítása és vezérlésének delegálása című témakörben talál példát. A közzétenni kívánt szolgáltatásokról, illetve a közzététel mikéntjéről az (angol nyelvű) Active Directory Programmer's Guide kézikönyv Service Publication című részében talál bővebb tájékoztatást (http://www.microsoft.com/).


A rendszerbiztonság kezelése

A Windows 2000 operációs rendszer számos új biztonsági szolgáltatást vezet be, amelyekkel megvalósítható az adott vállalat számára szükséges biztonsági adat- és rendszerbiztonság.

Legegyszerűbben fogalmazva: a rendszerbiztonság garantálja, hogy a hálózatra bejelentkező személyek valóban azok, akiknek mondják magukat. Ha Windows és Kerberos V5 tartományok között meghatalmazotti kapcsolatot létesít, a Windows rendszerbiztonsági funkciója olyan személyekre korlátozhatja a bizalmas adatokhoz vagy bizonyos erőforrásokhoz való hozzáférést, akiknek Ön a hozzáférést biztosítani kívánja – szervezeten belül és kívül egyaránt.

A Windows 2000 rendszerbiztonsági funkciója garantálja a lemezen tárolt, illetve magán- (esetleg nyilvános) hálózaton küldött adatok védettségét az engedély nélküli hozzáféréssel szemben. A lemezen tárolt adatok védelmére használhatja a titkosított fájlrendszer szolgáltatást. Az IP-biztonság és a PPTP típusú titkosítás védettséget biztosít a hálózaton lévő, illetve az Interneten keresztül küldött adatokhoz.

A Windows 2000 operációs rendszer biztonsági funkcióinak megvalósításáról és használatáról a Biztonság című témakörben talál további információt.


Erőforrások közzététele

A hálózati erőforrásokat szükség lehet biztonságosan és szelektíven közzétenni a hálózati felhasználóknak, és egyszerre azt is biztosítani kell, hogy a felhasználók könnyen meg is találják a keresett információt. A gyors keresés érdekében a címtár tartalmazza mindezen adatokat, és a hozzáférés vezérléséhez integrálja a Windows 2000 rendszerbiztonsági folyamatait.

A címtárban közzétehető erőforrások felhasználók, számítógépek, nyomtatók, fájlok vagy hálózati szolgáltatások lehetnek.

Felhasználók és számítógépek közzététele

Az Active Directory - felhasználók és számítógépek eszköz segítségével felhasználói és számítógépfiókokat lehet a címtárhoz adni, de a fiókokkal kapcsolatos, más hálózati felhasználók számára hasznos adatokat is közzétehet. Más adatokhoz (például a fiók biztonsági adataihoz) csak a rendszergazdák férhetnek hozzá.

Megosztott erőforrások közzététele

A megosztott erőforrásokra – például nyomtatókra vagy fájlmappákra – vonatkozó adatok közzététele megkönnyíti megkeresésüket a hálózaton. Az Active Directory - felhasználók és számítógépek eszköz segítségével Windows NT nyomtatókra és megosztott mappákra vonatkozó adatokat lehet közzétenni. (A Windows 2000 hálózati nyomtatóit telepítéskor a rendszer automatikusan közzéteszi az Active Directoryban.)

Hálózati szolgáltatások közzététele

A hálózaton elérhető szolgáltatások (például a hitelesítési szolgáltatások) közzétehetők a címtárban, és a rendszergazdák az Active Directory - helyek és szolgáltatások eszköz segítségével kereshetik meg és felügyelhetik ezeket.

Számítógépek és kiszolgálók helyett bizonyos szolgáltatások közzétételével a rendszergazdák a szolgáltatás kezelésére összpontosíthatnak, függetlenül attól, hogy melyik számítógép végzi a szolgáltatást, illetve, hogy az hol található.

A címtárban további szolgáltatások és alkalmazások tehetők közzé az Active Directory fejlesztői felületeinek segítségével. Ezek leírását a Fejlesztői felületek című témakörben találja. A címtárban adatokat közzétevő alkalmazások fejlesztéséről az Active Directory Programmer's Guide útmutatóban tájékozódhat.


Címtáradatok keresése

Az Active Directory szolgáltatás segítségével információhoz juthat a tartományobjektumokról, felhasználókról és programokról egyaránt. A rendszergazdák és felhasználók könnyen kereshetnek és találhatnak adatokat a címtárban a Start menü Keresés almenüje, az Asztalon található Hálózati helyek mappa, illetve az Active Directory - felhasználók és számítógépek beépülő modul segítségével. Az ügyfélprogramok az Active Directory Service Interfaces (ADSI) szolgáltatás segítségével férhetnek hozzá az Active Directory címtáradatokhoz.

Az Active Directory egyik legelőnyösebb oldala, hogy számos adatot tárol hálózati objektumokról: a felhasználókról, számítógépekről, fájlokról és nyomtatókról az Active Directoryban közzétett adatok hozzáférhetők a hálózati felhasználóknak. Az adatok megjelenítéséhez való hozzáférhetőséget biztonsági engedélyek vezérlik.

A hálózaton végzett mindennapi feladatok közé tartozik a más felhasználókkal való kommunikáció és a közzétett erőforrásokhoz való kapcsolódás. Ezek a feladatok szükségessé teszik nevek és címek levelek küldéséhez vagy megosztott erőforrásokhoz való hozzáféréshez szükséges keresését és használatát. Ebből a szempontból az adott vállalat az Active Directoryt megosztott telefonkönyvként is alkalmazhatja.

A rendszergazdák felügyeleti feladataik hatékonyabb végrehajtásához, illetve a címtáradatok egyéni igény szerinti lekérdezéséhez és szűréséhez használhatják az Active Directory - felhasználók és számítógépek eszközön belül található speciális Keresés párbeszédpaneleket is. A címtáradatok (például felhasználók, csoportok, megosztott mappák és nyomtatók) keresésével és közzétételével kapcsolatos további információt a Közzétett erőforrások kezelése című témakörben talál.


Fejlesztői felületek

Az Active Directory Service Interfaces (ADSI) egyszerű, hatékony objektumorientált felületet biztosít az Active Directoryhoz. Az ADSI segítségével a programozók és a rendszergazdák egyszerűen írhatnak címtárprogramokat. Ehhez olyan magas szintű eszközöket használhatnak, mint a Microsoft Visual Basic, Java, C, illetve Visual C++. Nincs szükségük arra, hogy komolyabb figyelmet szenteljenek a különböző névterek közötti különbségeknek.

Az ADSI lehetővé teszi olyan programok készítését vagy megvásárlását, amelyek egypontos hozzáférést biztosítanak a hálózati környezet több címtárához, függetlenül attól, hogy ezek a címtárak LDAP vagy más protokoll alapúak-e. Az ADSI felülethez parancsfájlok hozhatók létre, amelyek megkönnyítik a felület használatát a rendszergazdák számára.

További információt a Windows 2000 Resource Kit csomagban talál.

Az Active Directory támogatja a Messaging Application Programming Interface (MAPI) felületet is, így az örökölt MAPI-programok továbbra is működni fognak az Active Directory szolgáltatással.

Az Active Directory alacsony szintű felületként támogatja továbbá az 1823. számú RFC-dokumentumban szereplő LDAP C API felületet, amelyet a C nyelven programozók vehetnek igénybe. További információt a Platform Software Developers Kit (SDK) csomagban talál.


Az Active Directory felügyeleti eszközei

A Windows 2000 Server operációs rendszer részét képező Active Directory felügyeleti eszközei egyszerűbbé teszik a címtárszolgáltatás felügyeletét. Használhatja a szabványos eszközöket, de speciális feladatok végrehajtására egyéni eszközöket is létrehozhat a Microsoft Management Console (MMC) segítségével. Lehetőség van arra is, hogy különböző eszközöket egy konzolon (kezelőpulton) helyezzen el. Egyéni eszközöket meghatározott felügyeleti felelősséggel rendelkező rendszergazdákra is bízhat. Az MMC konzolról az MMC kezelőpultok létrehozása és megnyitása című témakörben talál további információt.

Az Active Directory felügyeleti eszközei csak olyan számítógépről használhatók, amely hozzáféréssel rendelkezik egy Windows 2000 tartományhoz. Az Active Directory alábbi felügyeleti eszközei az összes Windows 2000 tartományvezérlő Felügyeleti eszközök menüjében megtalálhatók:

  • Active Directory - felhasználók és számítógépek
  • Active Directory - tartományok és meghatalmazások
  • Active Directory - helyek és szolgáltatások.

Az Active Directory szolgáltatatást táveléréssel is felügyelheti olyan számítógépről, amely nem tartományvezérlő. Ha az Active Directory felügyeleti eszközeit nem tartományvezérlő (például a Windows 2000 Professional operációs rendszert futtató) számítógépről szeretné távolról felügyelni, telepítse a gépen a Windows 2000 felügyeleti eszközeit. További információt a Kiszolgálók kezelése távolról című témakörben talál.

Az Active Directory sémája beépülő modul az Active Directory egy másik felügyeleti eszköze, amely azonban a Windows 2000 Server felügyeleti eszközeit tartalmazó menüből nem érhető el. Használatához először telepítenie kell a Windows 2000 felügyeleti eszközeit a Windows 2000 Server CD-lemezről, majd hozzá kell adnia a modult egy MMC konzolhoz. További információt Az Active Directory sémája beépülő modul telepítése című témakörben talál.

A rutinos rendszergazdák és hálózati szakértők számos parancssori eszköz közül választhatnak az Active Directory konfigurálásához, kezeléséhez vagy hibáinak elhárításához. Bővebb tájékoztatásért olvassa el az Active Directory támogatóeszközök című témakörben foglaltakat.

Létrehozhat olyan parancsfájlokat is, amelyek az Active Directory Service Interfaces (ADSI) felületet használják. A Windows 2000 Server CD-lemezen több parancsfájlminta található. A példafájlokról további információt a Windows 2000 Resource Kit csomag nyújt. Az ADSI használatával kapcsolatban a Fejlesztői felületek című témakörben talál bővebb tájékoztatást.


Active Directory támogatóeszközök

Az Active Directory konfigurálására, felügyeletére és hibáinak elhárítására parancssori eszköz formájában állnak rendelkezésre további eszközök. Ezeket az eszközöket támogatóeszközöknek nevezik, és a Windows 2000 Server CD-lemezen a \SUPPORT\TOOLS mappában találhatók.

Az eszközök listája és leírása

Eszköz | Leírás
MoveTree | Objektumok más tartományba való áthelyezésére szolgál.
SIDWalker | Meghatározza az előzőleg áthelyezett, törölt, illetve árván maradt fiókok által birtokolt objektumok hozzáférés-szabályozási listáját.
ESEUtil | Helyreállítja, ellenőrzi, tömöríti, áthelyezi és kiírja a címtár adatbázisfájljait. (E feladatok egy részét az NTDSUTIL eszköz hívja meg.)
NTDSUtil | Helyreállítja, ellenőrzi, tömöríti, áthelyezi és kiírja a címtár adatbázisfájljait. Felsorolja a helyek, tartományok és kiszolgálók adatait, kezeli a műveleti főkiszolgálókat, mérvadó visszaállításokat hajt végre és tartományokat hoz létre.
LDP | Engedélyezi az LDAP műveleteinek végrehajtását az Active Directoryban. Ez az eszköz grafikus felhasználói felülettel rendelkezik.
DNSCMD | Ellenőrzi a DNS-erőforrásrekordok dinamikus regisztrációját, beleértve a biztonságos DNS-frissítéseket, valamint az erőforrásrekordok törlését.
DOMMAP | Ellenőrzi a replikációs topológiát, valamint a helyek és tartományok kapcsolatát.
DSACLS | Megjeleníti vagy módosítja a címtárobjektumok hozzáférés-szabályozási listáját.
NETDOM5 | Meghatalmazások kötegelt kezelésére, számítógépek tartományokhoz való csatlakoztatására, meghatalmazások és biztonsági csatornák ellenőrzésére szolgál.
NETTest | Ellenőrzi a végpontok közötti hálózatot, illetve az elosztott szolgáltatási feladatokat.
NLTest | Ellenőrzi, hogy a kereső- és a biztonsági csatorna működik-e.
REPAdmin | Ellenőrzi a replikáció replikációs partnerek közötti folyamatát, figyeli a replikáció állapotát, megjeleníti a replikációs metaadatokat, replikációs eseményeket és a konzisztenciaellenőrző újraszámítását kezdeményezi.
REPLMon | Megjeleníti a replikációs topológiát, figyeli a replikáció állapotát (beleértve a csoportházirendeket), replikációs eseményeket indít, és újraszámolja a konzisztenciaellenőrzőt. Ez az eszköz grafikus felhasználói felülettel rendelkezik.
DSAStat | Összehasonlítja a tartományvezérlők címtáradatait és észleli az eltéréseket.
ADSIEdit | Ez az eszköz a címtár összes adatának megjelenítésére (beleértve a sémát és a konfigurációs információkat), objektumok módosítására és hozzáférés-szabályozási listájuk beállítására szolgáló Microsoft Management Console (MMC) beépülő modul.
SDCheck | A címtár meghatározott objektumaihoz tartozó hozzáférés-szabályozási listák terjesztését és replikációját ellenőrzi. Az eszköz segítségével a rendszergazda ellenőrizheti, hogy a hozzáférés-szabályozási listák megfelelően öröklődtek-e, és változásaik megfelelően replikálódtak-e a tartományvezérlők között.
ACLDiag | Meghatározza, hogy egy adott felhasználó valamely címtárobjektumhoz való hozzáférését a rendszer engedélyezte-e vagy megtagadta-e azt. Segítségével a hozzáférés-szabályozási listákat alapértelmezés szerinti állapotukba is vissza lehet állítani.
DFSCheck | Parancssori segédprogram az elosztott fájlrendszer (DFS) összes jellemzőjének kezelésére – ellenőrzi a DFS-kiszolgálók konfigurációjában meglévő azonosságokat, és megjeleníti a DFS-topológiát.

Az Active Directory támogatóeszközeiről a Windows 2000 Resource Kit csomagban talál további információt.


Forrásanyagok

Microsoft webhelyeken található információkra mutató hivatkozások

  • Windows 2000 Resource Kit
  • A Microsoft webhelyén található (angol nyelvű) Active Directory Programmer's Guide (Programozói kézikönyv) dokumentáció (http://www.microsoft.com/)

Egyéb webhelyeken található információkra mutató hivatkozások

  • International Standards Organization (http://www.iso.ch/)
  • The Internet Engineering Task Force (http://www.ietf.org/)


Hibaelhárítás

Mi a probléma?

Nem lehet tartományt hozzáadni vagy eltávolítani.

Ok: A tartománynév-kiosztási főkiszolgáló nem elérhető. Ennek egyik oka hálózati csatlakozási probléma lehet. Az is lehetséges, hogy a tartománynév-kiosztási főkiszolgáló szerepkört betöltő számítógép hibásan működik.

Megoldás: Szüntesse meg a hálózati csatlakozási problémát.
Próbálkozhat a tartománynév-kiosztási főkiszolgáló szerepkört betöltő számítógép javításával vagy cseréjével is. Szükség lehet a tartománynév-kiosztási főkiszolgáló szerepkör elvételére.

Lásd még: Kapcsolatok diagnosztizálása, Egyedi főkiszolgáló-műveletek, A műveleti főkiszolgáló hibáinak kezelése, A tartománynév-kiosztási főkiszolgáló szerepkör átadása, A tartománynév-kiosztási főkiszolgáló szerepkör elvétele

Nem lehet objektumokat létrehozni az Active Directoryban.

Ok: A relatív azonosítók főkiszolgálója nem elérhető. Ennek egyik oka hálózati csatlakozási probléma lehet. Az is lehetséges, hogy a relatív azonosítók főkiszolgálója szerepkört betöltő számítógép hibásan működik.

Megoldás: Szüntesse meg a hálózati csatlakozási problémát.
Próbálkozhat a relatív azonosítók főkiszolgálója szerepkört betöltő számítógép javításával vagy cseréjével is. Szükség lehet a relatív azonosítók főkiszolgálója szerepkör elvételére is.

Lásd még: Kapcsolatok diagnosztizálása, Egyedi főkiszolgáló-műveletek, A műveleti főkiszolgáló hibáinak kezelése, A relatív azonosítók főkiszolgálója szerepkör átadása, A relatív azonosítók főkiszolgálója szerepkör elvétele

Nem lehet módosítani a sémát.

Ok: A séma fő tartományvezérlője nem elérhető. Ennek egyik oka hálózati csatlakozási probléma lehet. Az is lehetséges, hogy a séma fő tartományvezérlője szerepkört betöltő számítógép hibásan működik.

Megoldás: Szüntesse meg a hálózati csatlakozási problémát.
Próbálkozhat a séma fő tartományvezérlője szerepkört betöltő számítógép javításával vagy cseréjével is. Szükség lehet a séma fő tartományvezérlője szerepkör elvételére is.

Lásd még: Kapcsolatok diagnosztizálása, Egyedi főkiszolgáló-műveletek, A műveleti főkiszolgáló hibáinak kezelése, A séma fő tartományvezérlője szerepkör átadása, A séma fő tartományvezérlője szerepkör elvétele

A csoporttagságra vonatkozó módosítások nem lépnek érvénybe.

Ok: Az infrastruktúrakezelő főkiszolgáló nem érhető el. Ennek egyik oka hálózati csatlakozási probléma lehet. Az is lehetséges, hogy az infrastruktúrakezelő főkiszolgáló szerepkört betöltő számítógép hibásan működik.

Megoldás: Szüntesse meg a hálózati csatlakozási problémát.
Próbálkozhat az infrastruktúrakezelő főkiszolgáló szerepkört betöltő számítógép javításával vagy cseréjével is. Szükség lehet az infrastruktúrakezelő főkiszolgáló szerepkör elvételére is.

Lásd még: Kapcsolatok diagnosztizálása, Egyedi főkiszolgáló-műveletek, A műveleti főkiszolgáló hibáinak kezelése, Az infrastruktúrakezelő főkiszolgáló szerepkör átadása, Az infrastruktúrakezelő főkiszolgáló szerepkör elvétele

Az Active Directory ügyfélszoftverrel nem rendelkező ügyfelek nem tudnak bejelentkezni.

Ok: Az elsődleges tartományvezérlő emulátor nem elérhető. Ennek egyik oka hálózati csatlakozási probléma lehet. Az is lehetséges, hogy a relatív azonosítók főkiszolgálója emulátor szerepkört betöltő számítógép hibásan működik.

Megoldás: Szüntesse meg a hálózati csatlakozási problémát.
Próbálkozhat az elsődleges tartományvezérlő emulátor szerepkört betöltő számítógép javításával vagy cseréjével is. Szükséges lehet az elsődleges tartományvezérlő emulátor szerepkör elvétele is.

Lásd még: Kapcsolatok diagnosztizálása, Egyedi főkiszolgáló-műveletek, A műveleti főkiszolgáló hibáinak kezelése, A PDC-emulátor szerepkör átadása, A PDC-emulátor szerepkör elvétele

Az ügyfelek nem férnek hozzá más tartományok erőforrásaihoz.

Ok: A tartományok közötti meghatalmazás helytelenül működik.

Megoldás: Állítsa vissza és ellenőrizze a tartományok közötti meghatalmazást.
A PDC-emulátor nem nélkülözhető a sikeres visszaállításhoz.

Lásd még: Meghatalmazás ellenőrzése; Egyedi főkiszolgáló-műveletek

"A tartomány nem található", "A kiszolgáló nem érhető el" vagy "Az RPC kiszolgáló nem található" hibaüzenet jelenik meg.

Ok: A névregisztráció vagy a névhozzárendelés nem működik megfelelően. Okozhatja ezt NetBIOS- vagy DNS-névregisztrációs, illetve -hozzárendelési probléma, esetleg hálózati összeköttetési probléma.

Megoldás: Futtassa a Netdiag /debug eszközt a problémát okozó számítógépen. Ez a parancssori eszköz megvizsgálja a NetBIOS-t, a DNS-t, a regisztrációt és a szolgáltatásokat.

Lásd még: Windows 2000 Resource Kit

Valamely felhasználó nem tud helyileg bejelentkezni egy tartományvezérlőre.

Ok: A házirend helyi hozzáférési engedélyeket határoz meg a felhasználóknak. A felhasználók alapértelmezés szerint nem jelentkezhetnek be helyileg tartományvezérlőkre.

Megoldás: Egy vagy több felhasználó helyi bejelentkezési folyamatát az alapértelmezés szerinti tartományi házirendben kell engedélyeznie (ez általában nem javasolt).

Lásd még: Csoportházirend

Munkaállomások és kiszolgálók közötti meghatalmazotti hibák léptek fel.

Ok: Nem megfelelő az időszinkronizálási folyamat a tartományvezérlők és a munkaállomások között – lehetséges, hogy a kiszolgáló leállt vagy megszakadt a meghatalmazotti összeköttetés.

Megoldás: Futtassa a Netdom5 eszközt, amely segítségével ellenőrizheti, visszaállíthatja vagy létrehozhatja a számítógépek közötti meghatalmazást. Ez a parancssori eszköz kötegelve végzi a meghatalmazások kezelését, ellenőrzi a meghatalmazásokat, csatornákat tesz biztonságossá számítógépek között, illetve számítógépeket tartományokhoz csatlakoztat.

Lásd még: Windows 2000 Resource Kit

Nem lehet engedélyezni a naplózást.

Ok: A Windows 2000 operációs rendszerben a naplózást a csoportházirend-objektumban kell engedélyezni.

Megoldás: A rendszeresemények naplózásához vagy figyeléséhez futtassa a GPEdit.msc eszközt.

Lásd még: Csoportházirend


Az Active Directory felügyelete

A rész tartalma:

  • Az Active Directory felügyeleti eszközei
  • Active Directory támogatóeszközök
  • Más tartományok felügyelete


Gyakorlati tanácsok

  • Ne rendszergazdaként jelentkezzen be. Használjon normál felhasználónevet, a felügyeleti feladatok végrehajtásához pedig használja a Futtatás mint parancsot.

    A Futtatás mint paranccsal normál felhasználóként bejelentkezve futtathat felügyeleti eszközöket rendszergazdai engedélyekkel. Az eszközök rendszergazdai engedélyekkel történő futtatásához parancsikonokat is létrehozhat.

    További információ:

    • Miért nem tanácsos rendszergazdaként futtatni a számítógépet?
    • A Futtatás mint parancs használata program rendszergazdaként történő indításához
    • Parancsikon létrehozása a Futtatás mint parancs paramétereivel

    A Futtatás mint parancs részletes leírásáért kattintson ide: Futtatás mint.

  • Ha az erdő több tartománnyal rendelkező tartományfákat tartalmaz, akkor a tartományok közötti meghatalmazási útvonalat úgy optimalizálhatja, hogy a tartományfa középső szintjén közvetlen meghatalmazásokat hoz létre a tartományok között.

    További információt az Explicit tartomány-meghatalmazások című témakörben talál.


Az Active Directory – tartományok és meghatalmazások – áttekintés

Az Active Directory – tartományok és meghatalmazások szolgáltatás segítséget nyújt a tartományok közötti meghatalmazotti kapcsolatok felügyeletéhez. Ezek a tartományok lehetnek Windows 2000 tartományok ugyanabban az erdőben, Windows 2000 tartományok különböző erdőkben, korábbi Windows verziók tartományai, vagy akár Kerberos V5 tartományok is.

Az Active Directory – tartományok és meghatalmazások az alábbiakra ad lehetőséget:

  • A meghatalmazások felügyeletével biztosíthatja az együttműködést más tartományokkal (például Windows 2000 előtti tartományokkal vagy a Windows 2000 más erdőinek tartományaival).
  • A Windows 2000 tartomány működését vegyes üzemmódból natív üzemmódba kapcsolhatja.
  • Felhasználói bejelentkezési nevek létrehozásához szükséges alternatív UPN-utótagokat adhat hozzá, illetve törölhet.
  • A tartománynév-kiosztási műveleti főkiszolgáló szerepét átviheti egyik tartományvezérlőről egy másik tartományvezérlőre.

Az Active Directory – tartományok és meghatalmazások használata előtt tanulmányozza az alábbi témaköröket:

  • Tartományok – áttekintés
  • Bevezetés a tartományfák és erdők használatába
  • Tartománymeghatalmazások


Fogalmak

Ebben a részben az Active Directory objektumainak az Active Directory – tartományok és meghatalmazások szolgáltatás segítségével történő kezeléséről talál információt.

  • Az Active Directory – tartományok és meghatalmazások – áttekintés
  • Az Active Directory – tartományok és meghatalmazások ismertetése
  • Az Active Directory – tartományok és meghatalmazások használata
  • Forrásanyagok


Az Active Directory – tartományok és meghatalmazások ismertetése

A rész tartalma:

  • A tartományok ismertetése
  • Tartományfák és erdők használatának ismertetése
  • Tartomány- és fióknév-kiosztás
  • A tartománymeghatalmazások ismertetése
  • Explicit tartománymeghatalmazások


Útmutató

  • Egyszerű felhasználónév utótagjának hozzáadása
  • Tartomány üzemmódjának módosítása
  • Explicit tartománymeghatalmazás létrehozása
  • Meghatalmazás ellenőrzése
  • Meghatalmazás visszavonása
  • Tartománynév-kiosztási főkiszolgáló azonosítása
  • Tartománynév-kiosztási főkiszolgáló szerep átadása


Megszokott feladatok végrehajtásának új módjai

A következő táblázat az Active Directory – tartományok és meghatalmazások szolgáltatás általános feladatait mutatja be. A táblázatból a Windows NT Server rendszert használók azt is megtudhatják, hogy hol történik ezeknek a feladatoknak a végrehajtása a Windows NT Server 4.0 felügyeleti eszközeinek használata során.

Feladat | Windows NT 4.0 rendszerben | Windows 2000 rendszerben
Meghatalmazotti kapcsolatok létrehozása és kezelése | Felhasználókezelő | Active Directory – tartományok és meghatalmazások További információt az Active Directory – tartományok és meghatalmazások című rész tartalmaz.
Fiókrend kezelése | Felhasználókezelő | Active Directory – felhasználók és számítógépek További információt a Fiókházirendek című rész tartalmaz.
Felhasználói jogok kezelése | Felhasználókezelő | Active Directory – felhasználók és számítógépek Azon tartomány vagy szervezeti egység Csoportházirend-objektumának módosítása, amely azt a számítógépet tartalmazza, melyre a felhasználói jogok vonatkoznak. További információt a Munkavégzés Csoportházirend-objektumokkal című rész tartalmaz.
Naplórend kezelése | Felhasználókezelő | Active Directory – felhasználók és számítógépek A Tartományvezérlők szervezeti egység Csoportházirend-objektumának szerkesztése. További információt a Munkavégzés Csoportházirend-objektumokkal című rész tartalmaz.


Active Directory – tartományok és meghatalmazások

Az Active Directory – tartományok és meghatalmazások segítségével felügyelheti a tartománymeghatalmazásokat és az egyszerű felhasználónevek utótagjait, illetve megváltoztathatja a tartomány üzemmódját.

  • Megszokott feladatok végrehajtásának új módjai
  • Gyakorlati tanácsok
  • Útmutató
  • Fogalmak
  • Hibaelhárítás


Hibaelhárítás

Mi a probléma?

"A tartomány nem található", "A kiszolgáló nem érhető el" vagy "Az RPC kiszolgáló nem található" hibaüzenet jelenik meg.

Ok: Névregisztrációs vagy névhozzárendelési probléma.

Megoldás: Ellenőrizze, hogy elérhető-e a DNS, és megfelelően működik-e. Futtassa a Netdiag/debug parancsot a kérdéses kiszolgálón. Az elindított program értékeli a NetBIOS, a DNS és a szolgáltatások regisztrációját.

A helyi felhasználó nem tud bejelentkezni egy tartományvezérlőhöz.

Ok: A helyi felhasználók tartományvezérlőhöz történő bejelentkezését a Csoportházirend beállításokban meghatározott biztonsági házirendek szabályozzák. Alapértelmezés szerint csak a rendszergazdáknak van engedélyük a tartományvezérlőkhöz való helyi bejelentkezésre.

Megoldás: Az alapértelmezett Tartományvezérlő házirend objektumban engedélyezze a helyi bejelentkezést az érintett felhasználónak vagy csoportnak.


Speciális lehetőségek megjelenítése

  1. Nyissa meg az Active Directory - felhasználók és számítógépek ablakot.
  2. Kattintson a konzolfa tartomány-csomópontjára.
  3. A Nézet menüben kattintson a Speciális lehetőségek parancsra.

Megjegyzés

Kapcsolódó témakörök


Feladatlisták

  • Feladatlista: Tag hozzáadása csoporthoz
  • Feladatlista: Csoport létrehozása
  • Feladatlista: Csoport frissítése


Active Directory – felhasználók és számítógépek – áttekintés

Az Active Directory – felhasználók és számítógépek lehetővé teszi a Windows 2000 felhasználói fiókok, a számítógépfiókok, a biztonsági és címzési csoportok, a közzétett erőforrások hozzáadását, módosítását, törlését és rendezését a vállalati címtárban.

Az Active Directory – felhasználók és számítógépek egy tartományvezérlőként konfigurált számítógépeken telepített címtár-felügyeleti eszköz. Az eszközt a választható Felügyeleti eszközök csomag is tartalmazza. Ez a csomag a Windows 2000 Professional operációs rendszert használó számítógépeken telepíthető azért, hogy lehetővé váljon az Active Directory címtár felügyelete olyan számítógépről is, amely nem tartományvezérlő.

Az Active Directory – felhasználók és számítógépek indítása

Az Active Directory – felhasználók és számítógépek használatához be kell jelentkeznie egy Windows 2000 tartományba (nem a helyi számítógépre), és megfelelő jogosultsággal kell rendelkeznie a kívánt művelet végrehajtásához. A Felhasználók csoport tagjai alapértelmezés szerint rendelkeznek bizonyos jogosultságokkal, míg más csoportok tagjai egyéb jogosultságokkal is rendelkezhetnek. A Fiókfelelősök csoport tagjai például jogosultak felhasználói fiókok létrehozására és törlésére is. A Rendszergazdák csoport tagjai további jogosultságokkal rendelkeznek. A csoportokkal kapcsolatban további információt a Csoportok című témakörben talál. A felügyeleti jogok delegálásával kapcsolatban további információt a Felügyelet delegálása című témakör tartalmaz.

Az Active Directory – felhasználók és számítógépek használata előtt olvassa el a következő témaköröket:

  • Tartományok – áttekintés
  • Bevezetés a tartományfák és erdők használatába


Az Active Directory – felhasználók és számítógépek ismertetése

Ez a rész az Active Directory azon funkcióit és szolgáltatásait ismerteti, amelyek az Active Directory – felhasználók és számítógépek segítségével használhatók.

  • Az Active Directory felhasználói és számítógépfiókjai
  • A tartományok ismertetése
  • Tartomány- és fióknév-kiosztás
  • Tartományfák és erdők használatának ismertetése
  • Tartományvezérlők
  • Globális katalógus
  • Szervezeti egységek
  • Csoportok
  • A Csoportházirend ismertetése
  • A csoportok ismertetése


Speciális nézet

Az Active Directory – felhasználók és számítógépek ablakban a címtárobjektumok megjelenítésének módját a konzol Nézet menüjében található parancsokkal módosíthatja. A menüparancsok lehetővé teszik a konzolfa, a leírósor, az állapotsor, a nagy és kis ikonok stb. ki- és bekapcsolását.

Speciális lehetőségek

Ha kinyitja az Active Directory – felhasználók és számítógépek ablakot, és kibontja a tartománycsomópontot, akkor több mappa konzolfa nézetben jelenik meg. Közvetlenül a tartományvezérlő telepítése után alapértelmezés szerint a konzolfán a következő mappák jelennek meg:

  • Beépített
  • Számítógépek
  • Tartományvezérlők
  • Felhasználók

Ha a Nézet menü Speciális lehetőségek parancsát választja, a konzolon a következő két újabb könyvtár jelenik meg:

  • LostAndFound
  • Rendszer

Szűrők

A szűrőbeállítások segítségével megjelenítheti az összes objektumot, megjeleníthet néhány kiválasztott objektumot, illetve egyéni szűrőket készíthet az objektumok attribútumai és az LDAP lekérdezések használatával.


Gyakorlati tanácsok

  • Ne jelentkezzen be rendszergazdai jogokkal. Ha felügyeleti feladatot kíván végrehajtani, jelentkezzen be egyszerű felhasználóként, és használja a Futtatás mint parancsot.

    A Futtatás mint parancsot használva rendszergazdai engedélyekkel hajthat végre felügyeleti feladatokat egyszerű felhasználóként bejelentkezve. Eszközök rendszergazdai engedélyekkel történő futtatásához parancsikonokat is létrehozhat.

    További információt a következő témakörökben talál:

    • Miért nem tanácsos rendszergazdaként futtatni a számítógépet?
    • A "Futtatás mint" parancs használata program rendszergazdaként történő indításához
    • Parancsikon létrehozása a "Futtatás mint" parancs paramétereivel

    A Futtatás mint parancsról a Runas parancsot ismertető oldalon talál részletes információt.


Fogalmak

Ez a rész azokról az Active Directory objektumokról tartalmaz információkat, amelyek felügyelete az Active Directory – felhasználók és számítógépek szolgáltatás segítségével végezhető.

  • Active Directory – felhasználók és számítógépek – áttekintés
  • Az Active Directory – felhasználók és számítógépek ismertetése
  • Az Active Directory – felhasználók és számítógépek szolgáltatás használata
  • Forrásanyagok


Az Active Directory – felhasználók és számítógépek szolgáltatás használata

Erről az oldalról a következő témaköröket érheti el:

  • Szervezeti egységek szerkezetének megtervezése
  • Speciális nézet
  • Felügyelet delegálása
  • Erőforrások közzététele
  • Címtáradatok keresése
  • Parancssori beállítások
  • Fejlesztői felületek
  • Csoportok használata
  • Az Active Directory felügyelete


Tartományvezérlők kezelése

  • Tartományvezérlő keresése
  • Másik tartomány kezelése
  • Tartomány kezelése másik tartományvezérlővel
  • Vezérlés delegálása
  • Tartományvezérlők tulajdonságainak módosítása
  • Egyedi főkiszolgáló-műveletek kezelése


Nézet szűrőbeállításainak kiválasztása

  1. Nyissa meg az Active Directory – felhasználók és számítógépek ablakot.
  2. A Nézet menüben kattintson a Szűrőbeállítások parancsra.
  3. A Szűrőbeállítások párbeszédpanelen a következő három beállítás közül választhat:
    • Minden objektumtípus megjelenítése
    • Csak a következő objektumtípusok megjelenítése
    • Egyéni szűrők létrehozása
  4. A Mappákban megjelenítendő elemek maximális száma mezőben megadhatja, hogy a konzolon legfeljebb hány objektum jelenjen meg.

Megjegyzések

  • A Minden objektumtípus megjelenítése az alapértelmezett beállítás. Ha a Csak a következő objektumtípusok megjelenítése beállítást választja, akkor a megjelenő listából választhatja ki a megjelenítendő objektumokat. Ha az Egyéni szűrő létrehozása beállítást választja, akkor megkeresheti az objektumokat, és kiválaszthatja a konzolon megjelenítendő tulajdonságaikat is.
  • Alapértelmezés szerint a konzolon legfeljebb 2000 objektum jeleníthető meg.

Kapcsolódó témakörök


Útmutató

  • Tartományvezérlők kezelése
  • Felhasználói fiókok kezelése
  • Számítógépfiókok kezelése
  • Csoportok kezelése
  • Szervezeti egységek kezelése
  • Közzétett erőforrások kezelése
  • Nézet változtatása


Egyedi főkiszolgáló-műveletek kezelése

  • A relatív azonosítók főkiszolgálójának azonosítása
  • A PDC-emulátor azonosítása
  • Az infrastruktúrakezelő főkiszolgáló azonosítása
  • A relatív azonosítók főkiszolgálója szerepkör átadása
  • A PDC-emulátor szerepkör átadása
  • Az infrastruktúrakezelő főkiszolgáló szerepkör átadása


Megszokott feladatok végrehajtásának új módjai

A következő táblázat az Active Directory – felhasználók és számítógépek szolgáltatás általános feladatait mutatja be. A táblázatból a Windows NT Server rendszert használók azt is megtudhatják, hogy hol történik ezeknek a feladatoknak a végrehajtása a Windows NT Server 4.0 felügyeleti eszközeinek használata során.

Feladat | Windows NT 4.0 rendszerben | Windows 2000 rendszerben
Felhasználói fiókok kezelése | Felhasználókezelő | Active Directory – felhasználók és számítógépek További információ a Felhasználói fiókok kezelése című részben található.
Csoportok kezelése | Felhasználókezelő | Active Directory – felhasználók és számítógépek További információt a Csoportok kezelése című témakör tartalmaz.
Számítógépfiókok kezelése | Kiszolgálókezelő | Active Directory – felhasználók és számítógépek Bővebb tájékoztatást a Számítógépfiókok kezelése című témakörben talál.
Számítógép hozzáadása tartományhoz | Kiszolgálókezelő | Active Directory – felhasználók és számítógépek Bővebb tájékoztatást a Számítógépfiókok kezelése című témakörben talál.
Fiókrend kezelése | Felhasználókezelő | Active Directory – felhasználók és számítógépek További információt a Fiókházirendek című rész tartalmaz.
Felhasználói engedélyek kezelése | Felhasználókezelő | Active Directory – felhasználók és számítógépek Azon tartomány vagy szervezeti egység Csoportházirend-objektumának módosítása, amely azt a számítógépet tartalmazza, melyre a felhasználói jogok vonatkoznak. További információt a Munkavégzés csoportházirend-objektumokkal című rész tartalmaz.
Naplórend kezelése | Felhasználókezelő | Active Directory – felhasználók és számítógépek A Tartományvezérlők szervezeti egység Csoportházirend-objektumának szerkesztése. További információt a Munkavégzés csoportházirend-objektumokkal című rész tartalmaz.


Active Directory – felhasználók és számítógépek

Az Active Directory – felhasználók és számítógépek olyan eszköz, amely a mappákban lévő információk kezelésére és közzétételére szolgál.

  • Feladatlisták
  • Megszokott feladatok végrehajtásának új módjai
  • Gyakorlati tanácsok
  • Útmutató
  • Fogalmak
  • Hibaelhárítás


Hibaelhárítás

Mi a probléma?

Nem lehet objektumokat létrehozni az Active Directoryban.

Ok: A relatív azonosítók főkiszolgálója nem érhető el. Ennek egyik oka hálózati csatlakozási probléma lehet. Másik ok lehet a relatív azonosítók főkiszolgálójának szerepét betöltő számítógép hibája is.

Megoldás: Szüntesse meg a hálózati csatlakozási problémát.
Próbálkozhat a relatív azonosítók főkiszolgálójának szerepét betöltő számítógép javításával vagy cseréjével is. Szükség lehet a relatív azonosítók főkiszolgálója szerepkör átvételére.

Lásd még: Kapcsolatok diagnosztizálása, Egyedi főkiszolgáló-műveletek, A műveleti főkiszolgáló hibáinak kezelése, A relatív azonosítók főkiszolgálója szerepkör átadása, A relatív azonosítók főkiszolgálója szerepkör elvétele.

Az Active Directory ügyfélszoftverrel nem rendelkező ügyfelek nem tudnak bejelentkezni.

Ok: Az elsődleges tartományvezérlő emulátor nem elérhető. Ennek egyik oka hálózati csatlakozási probléma lehet. Másik ok lehet az elsődleges tartományvezérlő emulátor szerepkört betöltő számítógép hibája is.

Megoldás: Szüntesse meg a hálózati csatlakozási problémát.
Próbálkozhat az elsődleges tartományvezérlő emulátor szerepkört betöltő számítógép javításával vagy cseréjével is. Szükség lehet az elsődleges tartományvezérlő emulátor szerepkör átvételére.

További információk: Kapcsolatok diagnosztizálása, Egyedi főkiszolgáló-műveletek, A műveleti főkiszolgáló hibáinak kezelése, A PDC-emulátor szerepkör átadása, A PDC-emulátor szerepkör elvétele.

A csoporttagságra vonatkozó módosítások nem lépnek érvénybe.

Ok: Az infrastruktúrakezelő főkiszolgáló nem érhető el. Ennek egyik oka hálózati csatlakozási probléma lehet. Másik ok lehet az infrastruktúrakezelő főkiszolgáló szerepkört betöltő számítógép hibája is.

Megoldás: Szüntesse meg a hálózati csatlakozási problémát.
Próbálkozhat az infrastruktúrakezelő főkiszolgáló szerepkört betöltő számítógép javításával vagy cseréjével is. Szükség lehet az infrastruktúrakezelő főkiszolgáló szerepkör elvételére.

Lásd még: Kapcsolatok diagnosztizálása, Egyedi főkiszolgáló-műveletek, A műveleti főkiszolgáló hibáinak kezelése, A infrastruktúrakezelő főkiszolgáló szerepkör átadása, A infrastruktúrakezelő főkiszolgáló szerepkör elvétele.


Felhasználói fiókok kezelése

  • Felhasználói fiók hozzáadása
  • Felhasználói fiók másolása
  • Felhasználói fiók letiltása
  • Letiltott felhasználói fiók engedélyezése
  • Felhasználói fiók törlése
  • Felhasználói fiók keresése
  • Nevek keresése
  • Felhasználói fiók tulajdonságainak módosítása
  • Felhasználói fiók áthelyezése
  • Felhasználói fiók átnevezése
  • Felhasználói jelszó alaphelyzetbe állítása
  • Bizonyítvány hozzárendelése felhasználói fiókhoz az Active Directoryban
  • Felhasználó elsődleges csoportjának beállítása


Nézetváltoztatás

  • Speciális lehetőségek megjelenítésének kiválasztása
  • Nézet szűrőbeállításainak kiválasztása


Feladatlisták

  • Feladatlista: Hely konfigurálása
  • Feladatlista: Helyek közötti replikáció optimalizálása


Kiszolgálóbeállítások konfigurálása

  • Kiszolgálóobjektum létrehozása
  • Lekérdezési szabály kiválasztása
  • Globális katalógus engedélyezése és letiltása
  • Elsődleges támaszpont-kiszolgáló kijelölése
  • Tartományvezérlő helyek közötti áthelyezése
  • Nem működő kiszolgáló törlése
  • Csatlakozás erdőhöz
  • Csatlakozás tartományvezérlőhöz
  • A replikációs topológia ellenőrzése
  • A szolgáltatás-csomópont feltárása
  • Bizonyítványsablonok biztonsági engedélyeinek beállítása és vezérlésének delegálása


Active Directory – helyek és szolgáltatások

Az Active Directory – helyek és szolgáltatások segítségével felügyelheti a címtári adatok replikációját.

  • Feladatlisták
  • Gyakorlati tanácsok
  • Útmutató
  • Fogalmak
  • Hibaelhárítás


A tartománynév-kiosztási főkiszolgáló szerepkör elvétele

Az adott pillanatban tartománynév-kiosztási főkiszolgálóként működő tartományvezérlőt nem lehet elérni. Ennek oka hálózati probléma, vagy a tartománynév-kiosztási főkiszolgáló számítógép hibája lehet.

A hálózati felhasználók a tartománynév-kiosztási főkiszolgáló ideiglenes elérhetetlenségét nem észlelik. A tartománynév-kiosztási főkiszolgáló szerepkör elvétele drasztikus lépés, ezért erre csak akkor gondoljon, ha a tartománynév-kiosztási főkiszolgálót sohasem csatlakoztatja újra a hálózathoz.

A szerepkör elvétele előtt az aktuális tartománynév-kiosztási főkiszolgálót véglegesen válassza le a hálózatról. A szerepkör elvételéhez használja a Repadmin parancssori eszközt.

Fontos!

  • A tartománynév-kiosztási főkiszolgáló szerepkör elvétele után az eredeti tartománynév-kiosztási főkiszolgáló rendszerindító meghajtóját teljesen újra kell formázni, a Windows 2000 Server rendszert pedig újra kell telepíteni, mielőtt a számítógépet újra a hálózathoz csatlakoztatná.

A műveleti főkiszolgáló szerepkörökről további információt az Egyedi főkiszolgáló-műveletek című témakör tartalmaz.


Az infrastruktúrakezelő főkiszolgáló szerepkör elvétele

Az adott pillanatban infrastruktúrakezelő főkiszolgálóként működő tartományvezérlőt nem lehet elérni. Ennek oka hálózati probléma, vagy az infrastruktúrakezelő főkiszolgáló számítógép hibája lehet.

Egy erdő minden tartományában lennie kell infrastruktúrakezelő főkiszolgálónak. Az infrastruktúrakezelő főkiszolgáló időszakos elérhetetlenségét a hálózati felhasználók nem észlelik. Az infrastruktúrakezelő főkiszolgáló szerepkör elvétele drasztikus lépés, ezért erre csak akkor gondoljon, ha az infrastruktúrakezelő főkiszolgálót sohasem csatlakoztatja újra a hálózathoz.

A szerepkör elvétele előtt az aktuális infrastruktúrakezelő főkiszolgálót véglegesen válassza le a hálózatról.

Fontos!

  • Az infrastruktúrakezelő főkiszolgáló szerepkör elvétele után az eredeti infrastruktúrakezelő főkiszolgáló rendszerindító meghajtóját teljesen újra kell formázni, a Windows 2000 Server rendszert pedig újra kell telepíteni, mielőtt a számítógépet újra a hálózathoz csatlakoztatná.

A műveleti főkiszolgáló szerepkörökről további információt az Egyedi főkiszolgáló-műveletek című témakör tartalmaz.


A PDC-emulátor szerepkör elvétele

Az adott pillanatban elsődleges tartományvezérlő (PDC) emulátorként működő tartományvezérlőt nem lehet elérni. Ennek oka hálózati probléma, vagy a műveleti főkiszolgáló számítógép hibája lehet.

A PDC-emulátor szerepkört elveheti, és kikényszerítheti egy ugyanabban a tartományban lévő másik tartományvezérlőnek történő átadását. Minden tartományban lennie kell PDC-emulátornak. A PDC-emulátor kiesése hatással lehet a hálózat használhatóságára, ezért ki kell kényszeríteni a PDC-emulátor szerepkör átadását, ha tudja, hogy az aktuális PDC-emulátor túl hosszú ideig lesz elérhetetlen.

Ha az eredeti PDC-emulátor ismét elérhetővé válik, akkor a szerepkört visszaadhatja.

A műveleti főkiszolgáló szerepkörökről további információt az Egyedi főkiszolgáló-műveletek című témakör tartalmaz.


A relatív azonosítók főkiszolgálója szerepkör elvétele

Az adott pillanatban a relatív azonosítók főkiszolgálójaként működő tartományvezérlőt nem lehet elérni. Ennek oka hálózati probléma, vagy a relatív azonosítók főkiszolgálójaként működő számítógép hibája lehet.

Minden tartományban lennie kell relatív azonosítók főkiszolgálójaként működő számítógépnek. A relatív azonosítók főkiszolgálójának időszakos elérhetetlenségét a hálózati felhasználók nem észlelik. A relatív azonosítók főkiszolgálója szerepkör elvétele drasztikus lépés, ezért erre csak akkor gondoljon, ha a relatív azonosítók főkiszolgálóját sohasem csatlakoztatja újra a hálózathoz.

A szerepkör elvétele előtt a relatív azonosítók főkiszolgálójának szerepkörét az adott pillanatban betöltő számítógépet véglegesen válassza le a hálózatról.

Fontos!

  • A szerepkör elvétele után az eredeti relatív azonosítók főkiszolgálójának rendszerindító meghajtóját teljesen újra kell formázni, a Windows 2000 Server rendszert pedig újra kell telepíteni, mielőtt a számítógépet újra csatlakoztatná a hálózathoz.

A műveleti főkiszolgáló szerepkörökről további információt az Egyedi főkiszolgáló-műveletek című témakör tartalmaz.


A séma fő tartományvezérlője szerepkör elvétele

Az adott pillanatban a séma fő tartományvezérlőjeként működő számítógépet nem lehet elérni. Ennek oka hálózati probléma, vagy a séma fő tartományvezérlőjének hibája lehet.

A séma fő tartományvezérlőjének időszakos elérhetetlenségét a hálózati felhasználók nem észlelik. A séma fő tartományvezérlője szerepkör elvétele drasztikus lépés, ezért erre csak akkor gondoljon, ha a séma fő tartományvezérlőjét sohasem csatlakoztatja újra a hálózathoz.

A szerepkör elvétele előtt az aktuális tartománynév-kiosztási főkiszolgálót véglegesen válassza le a hálózatról.

Fontos!

  • A séma fő tartományvezérlője szerepkör elvétele után az eredeti fő tartományvezérlő rendszerindító meghajtóját teljesen újra kell formázni, a Windows 2000 Server rendszert pedig újra kell telepíteni, mielőtt a számítógépet újra csatlakoztatná a hálózathoz.

A műveleti főkiszolgáló szerepkörökről további információt az Egyedi főkiszolgáló-műveletek című témakör tartalmaz.


Az Active Directory – tartományok és meghatalmazások használata

Az alábbi témakörök azokat az információkat tartalmazzák, amelyeket az Active Directory tartományok tervezésekor, telepítésekor vagy frissítésekor kell figyelembe venni:

  • Korábbi tartománymodellek frissítésének tervezése
  • A DNS-szerkezet megtervezése
  • A tartományszerkezet megtervezése
  • Frissítés Active Directory szolgáltatásra
  • Az Active Directory felügyelete


Parancssori beállítások

Az Active Directory – felhasználók és számítógépek eszköz a beépülő modulok adott tartományra vagy tartományvezérlőre összpontosított indítását lehetővé tevő parancssori beállításokkal rendelkezik. Ezek a parancssori beállítások mind a teljesen minősített tartományneveket, mind a NetBIOS neveket támogatják.

A parancssori beállítások a következők:

  • /domain=teljesen_minősített_tartománynév
  • /domain=NetBIOS_tartománynév
  • /server=teljesen_minősített_tartományvezérlő_neve
  • /server=NetBIOS_tartományvezérlő_neve

Használhatja ezeket a parancssori beállításokat az Active Directory – felhasználók és számítógépek eszköz közvetlenül a parancssorból történő futtatásához, vagy parancsikont hozhat létre a beépülő modul indításához, és a parancssori beállításokat parancsikonná alakíthatja. A parancssori beállításokat használhatja a szabványos Active Directory – felhasználók és számítógépek konzolfájllal (dsa.msc) vagy bármely saját készítésű fájllal. A konzolfájlok létrehozásáról és mentéséről további információt a Microsoft Management Console című témakör tartalmaz.

Például:

  • Az Active Directory – felhasználók és számítógépek eszköz a microsoft.com tartományra összpontosított indításához írja be a dsa.msc /domain=microsoft.com parancsot.
  • Az Active Directory – felhasználók és számítógépek eszköz kiszolgáló1-re összpontosított indításához írja be a dsa.msc /server=kiszolgalo1 parancsot

Megjegyzés

  • Használhatja ezeket a parancssori beállításokat annak a tartománynak vagy tartományvezérlőnek a meghatározására is, amelyre összpontosítani kíván. Ne használja egyszerre mind a két parancssori beállítást.


Hibás biztonsági azonosító adatok

A hiba azért keletkezett, mert az Ön aktuális biztonsági azonosító adatai nem egyeznek meg a végrehajtani kívánt feladathoz szükségesekkel. Helyi felhasználóként jelentkezett be a számítógépre, és Active Directory felügyeleti feladatot kíván végrehajtani.

Ha ezen a számítógépen szeretne felhasználókat és csoportokat kezelni, kattintson a Start gombra, mutasson a Programok pontra, majd a Felügyeleti eszközök pontra, végül kattintson a Számítógép-kezelés parancsra.

Active Directory felügyeleti feladatok végrehajtásához a tartomány tagjaként kell bejelentkeznie (például felhasználónév@microsoft.com).

Az Active Directory felhasználóinak, csoportjainak és számítógépeinek felügyeltéhez kattintson a Start gombra, mutasson a Programok pontra, majd a Felügyeleti eszközök pontra, végül kattintson az Active Directory – felhasználók és számítógépek parancsra.

Az Active Directory szolgáltatással kapcsolatban az Active Directory című témakörben talál további információt.

A helyi számítógép kezeléséről a Helyi felhasználók és csoportok című témakör nyújt további felvilágosítást.


Gyakorlati tanácsok

  • Ne jelentkezzen be rendszergazdai engedélyekkel. Ha felügyeleti feladatot kíván végrehajtani, jelentkezzen be egyszerű felhasználóként, és használja a Futtatás mint parancsot.

    A Futtatás mint parancsot használva rendszergazdai engedélyekkel hajthat végre felügyeleti feladatokat egyszerű felhasználóként bejelentkezve. Eszközök rendszergazdai engedélyekkel történő futtatásához parancsikonokat is létrehozhat.

    További információt a következő témakörökben talál:

    • Miért nem tanácsos rendszergazdaként futtatni a számítógépet?
    • A "Futtatás mint" parancs használata program rendszergazdaként történő indításához
    • Parancsikon létrehozása a "Futtatás mint" parancs paramétereivel

    A Futtatás mint parancsról a Runas című témakörben tájékozódhat.

  • Ne módosítsa a sémát akaratlanul.

    A séma módosítása speciális és összetett művelet, végrehajtásához programozói tudás ajánlott. Fejlesztők olyankor módosítják például a sémát, ha olyan alkalmazást fejlesztenek, amely maga is módosítani fogja azt. Gyakorlott rendszergazdák is módosíthatják a sémát, például akkor, ha egy alkalmazás feltételezhetően rosszul módosította azt, és a hibát keresik. A séma módosításáról és bővítéséről a Microsoft webhelyén található (angol nyelvű) Active Directory Programmer's Guide (Programozói kézikönyv) dokumentáció nyújt részletes felvilágosítást (http://www.microsoft.com/).

  • Séma módosítása és a módosítás tesztelése előtt válassza le a hálózatról a séma fő tartományvezérlőjét, vagy állítson össze egy elszigetelt teszthálózatot.

    Ha a tartományvezérlő nincs az elsődleges hálózatra kötve, tesztelheti és meghatározhatja a hibákat, mielőtt a rendszer a sémafrissítéseket az erdő többi tartományvezérlőjére replikálná.

  • Tanulmányozza az (angol nyelvű) Active Directory Programmer's Guide útmutatót.

    A Microsoft webhelyén található (angol nyelvű) Active Directory Programmer's Guide (Programozói kézikönyv) dokumentáció (http://www.microsoft.com/) a séma módosításához szükséges ismeretek legátfogóbb forrása. Ne módosítsa a sémát anélkül, hogy a kézikönyvet tanulmányozta volna!


Fogalmak

Erről az oldalról a következő témaköröket érheti el:

  • Az Active Directory sémája – áttekintés
  • Az Active Directory sémájának ismertetése
  • Az Active Directory sémájának használata
  • Forrásanyagok


Útmutató

  • Az Active Directory sémája beépülő modul telepítése
  • Tag hozzáadása a Sémagazdák csoporthoz
  • Tag eltávolítása a Sémagazdák csoportból
  • Sémaengedélyek módosítása
  • Osztálydefiníció megtekintése
  • Attribútumdefiníció megtekintése
  • Attribútum hozzáadása a globális katalógushoz
  • Attribútum indexelése az Active Directoryban
  • Sémabővítés engedélyezése a számítógépnek
  • Osztály vagy attribútum inaktiválása
  • A séma újra betöltése
  • A séma fő tartományvezérlőjének azonosítása
  • A séma fő tartományvezérlője szerepkör átadása
  • A séma fő tartományvezérlője szerepkör elvétele


Hibaelhárítás

Mi a probléma?

Nem lehet módosítani vagy bővíteni a sémát.

Ok: A séma fő tartományvezérlője nem elérhető. A séma fő tartományvezérlője szerepkört aktuálisan betöltő tartományvezérlő kapcsolat nélküli állapotban van, vagy nem működik a hálózati összeköttetés az Ön által használt számítógép és a séma fő tartományvezérlője között.

Megoldás: Állítsa helyre a séma fő tartományvezérlőjének elérhetőségét a hálózat rendbehozatalával, illetve adja át, vagy vegye el a séma fő tartományvezérlője szerepkört.

Lásd még: Kapcsolatok diagnosztizálása, Egyedi főkiszolgáló-műveletek, A séma fő tartományvezérlője szerepkör átadása, A séma fő tartományvezérlője szerepkör elvétele

Ok: A biztonsági zárolások nincsenek megfelelően beállítva a tartományvezérlőn.

Megoldás: Az Active Directory sémája alkalmazásban jelölje be A séma legyen módosítható ezen a kiszolgálón jelölőnégyzetet. Ez lehetővé teszi a séma módosítását az aktuális számítógépről.

Lásd még: Sémabővítés engedélyezése a számítógépnek

Ok: A sémát módosítani kívánó felhasználó nem a Sémagazdák csoport tagja.

Megoldás: Adja hozzá a Sémagazdák csoporthoz a megfelelő felhasználói fiókot.

Lásd még: Tag hozzáadása a Sémagazdák csoporthoz

Ok: Szintaktikai hibák vannak az LDAP Import Format (LDIF) parancsfájlban.

Megoldás: Keresse meg a hibát, javítsa ki az LDIF-parancsfájlt, majd próbálja meg a módosítást újra.

Lásd még: A Microsoft webhelyén található (angol nyelvű) Active Directory Programmer's Guide (Programozói kézikönyv) dokumentáció (http://www.microsoft.com/); The Internet Engineering Task Force webhely (http://www.ietf.org/)

Megjegyzés


Az Active Directory sémájának használata

Erről az oldalról a következő témaköröket érheti el:

  • A séma bővítésével kapcsolatos kérdések
  • Mikor célszerű bővíteni a sémát?
  • A séma bővítése előtt
  • Érvényes objektumazonosítók igénylése
  • A séma bővítése
  • Osztály vagy attribútum inaktiválása
  • A sémagyorsítótár frissítése


Az Active Directory sémája beépülő modul nem elérhető

Az Active Directory sémája beépülő modul futtatása előtt telepítse a Windows 2000 felügyeleti eszközöket.

A Windows 2000 felügyeleti eszközei Microsoft Management Console (MMC) beépülő modulokat és más, a Windows 2000 Server operációs rendszert futtató számítógépek kezelésére szolgáló felügyeleti eszközöket tartalmaznak. A Windows 2000 felügyeleti eszközeinek telepítését csak rendszergazdai engedélyek birtokában végezheti el.

A Windows 2000 felügyeleti eszközeinek telepítéséhez használja a megfelelő Windows 2000 Server CD-lemezt, nyissa meg az I386 mappát, majd kattintson duplán az Adminpak.msi ikonra. Kövesse a Windows 2000 Felügyeleti eszközök telepítő varázsló képernyőn megjelenő utasításait.

További információt Az Active Directory sémája beépülő modul telepítése című témakörben talál.


Gyakorlati tanácsok

Az Active Directory – helyek és kiszolgálók eszköz optimalizálja a címtáradatok elérhetőségét és replikációját. Ezt a lehetőséget a következőképpen használhatja ki a legjobban:

  • Ne jelentkezzen be rendszergazdai engedélyekkel. Ha felügyeleti feladatot kíván végrehajtani, jelentkezzen be egyszerű felhasználóként, és használja a "Futtatás mint" parancsot.

    A "Futtatás mint" parancsot használva rendszergazdai engedélyekkel hajthat végre felügyeleti feladatokat egyszerű felhasználóként bejelentkezve. Eszközök rendszergazdai engedélyekkel történő futtatásához parancsikonokat is létrehozhat.

    További információt a következő témakörökben talál: Miért nem tanácsos rendszergazdaként futtatni a számítógépet?, A "Futtatás mint" parancs használata program rendszergazdaként történő indításához, Parancsikon létrehozása a "Futtatás mint" parancs paramétereivel

    A Futtatás mint parancsról a Runas című témakörben tájékozódhat.

  • Minden olyan földrajzi területet, amely gyors hozzáférést igényel a legfrissebb címtáradatokhoz, helyként kell létrehozni.

    A naprakész címtáradatokhoz azonnali hozzáférést igénylő területek külön helyként való létrehozásával hozzájuthat az igényeknek megfelelő erőforrásokhoz.

    További információt a következő témakörben talál: Hely létrehozása

  • Helyezzen minden helyre legalább egy tartományvezérlőt, és hozzon létre egy globális katalógust minden hely legalább egy tartományvezérlőjén.

    Azok a helyek, amelyeknek nincs saját tartományvezérlőjük és legalább egy globális katalógusuk, a címtáradatok megszerzésében más helyektől függenek, így a hálózati sávszélesség helyek közötti alkalmazása kevésbé hatékony.

    További információt a következő témakörökben talál: Tartományvezérlő telepítése, Globális katalógus engedélyezése és letiltása

  • Minden helyet társítani kell legalább egy alhálózattal és legalább egy helyhivatkozással ahhoz, hogy használható legyen.

    • További információt a következő témakörökben talál: Alhálózat társítása hellyel, Hely hozzáadása helyhivatkozáshoz

  • Kössön össze minden helyhivatkozást, és hagyja figyelmen kívül a replikációütemezéseket.

    Ha az előbbiek szerint jár el, maximalizálhatja a helyek közötti elérhető összeköttetések kihasználását, illetve azt az időtartamot, amely alatt azok elérhetők.

    További információt a következő témakörökben talál: Az összes helyhivatkozás összekötése, Ütemezések figyelmen kívül hagyása

  • Ha tűzfalat használ, illetve ha egy adott számítógépet ki szeretne jelölni a helyek közötti replikációhoz, hozzon létre elsődleges támaszpont-kiszolgálót.

    A támaszpont-kiszolgálók a tűzfalon kívüli helyekkel való kommunikációban proxykiszolgálóként funkcionálnak.

    További információt a következő témakörökben talál: Elsődleges támaszpont-kiszolgáló kijelölése, Elsődleges támaszpont-kiszolgálók használata

  • Ha bármely helyhivatkozás SMTP protokollt használ, telepítsen vállalati hitelesítő szervezetet (CA).

    Ha úgy dönt, hogy SMTP protokollt fog használni valamelyik helyhivatkozáson keresztül, vállalati hitelesítő szervezetet kell telepítenie. A hitelesítő szervezet aláírja a tartományvezérlők között továbbított SMTP-üzeneteket, és ezzel biztosítja a címtárfrissítések hitelességét.

    További információt a következő témakörben talál: Hitelesítő szervezet telepítése és beállítása


Szolgáltatások

A Windows 2000 az Active Directory segítségével adatok széles skáláját teszi közzé. A tartományvezérlők feladata általában a címtáradatok közzététele és a szolgáltatáskérelmek kiszolgálása, de a Windows 2000 rendszerben az Active Directory szolgáltatásközpontú konfigurációk és kötések közzétételére is szolgál. Az ilyen típusú adatok közzététele könnyebben hozzáférhetővé teszi a szolgáltatást az ügyfelek és kezelhetőbbé a rendszergazdák számára.

Egy ügyfél szolgáltatásadatokat igényel és kap egy tartományvezérlőtől. A szolgáltatásadatok ezután egy hálózati kiszolgáló szolgáltatásához való hozzáféréshez használhatók. Az alkalmazások adatokat kaphatnak a címtárból, amelyek hálózati kiszolgálók szolgáltatásaihoz való hozzáféréshez használhatók. Bizonyos szolgáltatások alapértelmezés szerint szerepelnek a címtárban, de a listát a hálózati környezet igényei szerint bővítheti.

A szolgáltatások címtárban való közzététele számos előnnyel jár:

  • Erőforrások elérhetősége – A szolgáltatásközpontú modell könnyebbé teszi az elosztott hálózati szolgáltatásokhoz való hozzáférést az ügyfeleknek. Mivel a szolgáltatások a címtárban kerülnek közzétételre, az ügyfeleknek nem kell ismerniük az erőforrás helyét. Elvileg minden közzétett szolgáltatás elérhető minden Windows 2000 operációs rendszert használó számítógép számára.
  • Felügyelet – A szolgáltatáskötések közzététele lehetővé teszi, hogy egy helyről módosítsa a kötéseket, illetve oldja meg a konfigurációs kérdéseket, ahelyett, hogy azt az egyes számítógépekről tenné. Ilyen módon az összes szolgáltatás a legfrissebb konfigurációs információkat használja.

Az ajánlott közzéteendő szolgáltatásokról a Szolgáltatások közzététele című témakörben talál további információt.

Az Active Directory – helyek és szolgáltatások eszköz alapértelmezés szerint nem jeleníti meg a Szolgáltatások csomópontot, de megjelenítése megadható. Bővebb tájékoztatásért olvassa el A Szolgáltatások csomópont megjelenítése című részben foglaltakat.


Az Active Directory – helyek és szolgáltatások alkalmazás ismertetése

Erről az oldalról a következő témaköröket érheti el:

  • Helyek
  • Szolgáltatások
  • Sávszélesség
  • Replikáció


Fogalmak

Erről az oldalról a következő témaköröket érheti el:

  • Active Directory – helyek és szolgáltatások – áttekintés
  • Az Active Directory – helyek és szolgáltatások alkalmazás ismertetése
  • Az Active Directory – helyek és szolgáltatások alkalmazás használata
  • Forrásmunkák


Útmutató

  • Kiszolgálóbeállítások konfigurálása
  • Helybeállítások konfigurálása
  • A replikáció beállítása


Hibaelhárítás

Ez a témakör az Active Directory – helyek és szolgáltatások eszközzel kapcsolatos problémákat tárgyalja. Az Active Directory – helyek és szolgáltatások eszköz segítségével megoldható legtöbb probléma a nem megfelelő címtáradatokkal kapcsolatos. Ez azt jelenti, hogy

  • az új címtáradatok továbbítása nem időben történik, illetve
  • a szolgáltatáskérelmek kezelése nem időben történik.

A kis hatékonyságú replikáció az Active Directory teljesítményének csökkenését okozza, például azt, hogy nem ismer fel új ügyfeleket. A nem hatékony replikáció vagy kérelemkezelés lejárt címtáradatokat és elérhetetlen tartományvezérlőket okoz. Mindegyik problémának több megoldása is lehet. A felmerülő problémák kezelésében általában a Feladatlista: Helyek közötti replikáció optimalizálása oldalon leírt lépések bizonyulhatnak hasznosak.

A következő táblázat a címtáradatok továbbításának sikertelenségét okozó lehetséges okokat foglalja össze.

Ok | Megoldás
Az ügyfeleket és tartományvezérlőket tartalmazó hely nincs helyhivatkozással összekötve a hálózat más helyeinek tartományvezérlőivel. Ez a helyek közötti címtáradat-továbbítás hibáját okozza. | Hozzon létre helyhivatkozást az aktuális hely és a hálózat többi részével összekötött hely között. Helyhivatkozás létrehozása

A következő táblázat azt szemlélteti, hogy mi okozhatja a replikáció lassulását, de nem teljes leállását.

Ok | Megoldás
Minden hely helyhivatkozással van összekötve, de a replikációs struktúra nem teljes. A címtáradatok replikálódnak az összes tartományvezérlőre, ha azok helyhivatkozással vannak összekötve, de a folyamat nem megfelelően működik. Ha léteznek helyhivatkozások, de nincsenek helyhivatkozás-hidak, a módosítások nem megfelelő összeköttetéssel rendelkező tartományvezérlőkre történő replikálása elfogadhatatlanul hosszú időt vehet igénybe. | Ellenőrizze, hogy az Active Directory megfelelően lett-e beállítva. Több helyhivatkozás összekötésével, illetve helyhivatkozás-híd létrehozásával hatékonyabbá teheti a replikációt. Az összes helyhivatkozás összekötése; Helyhivatkozás-híd létrehozása
Az aktuális hálózati erőforrások elégtelenek a replikációs forgalom kezelésére. Ez érintheti az Active Directory címtártól független szolgáltatásokat is, tekintettel arra, hogy a címtáradatok továbbítása túlságosan igénybe veszi a hálózati erőforrásokat. | Az ilyen teljesítményprobléma a címtáradat-forgalom számára elérhető hálózati erőforrások arányának növelésével orvosolható. Ezt úgy érheti el, hogy csökkenti a replikációs ütemezés gyakoriságát, vagy növeli a helyhivatkozás költségét, így a replikáció nagyobb sávszélességű hálózati kapcsolatot fog használni. Helyhivatkozások replikációs elérhetőségének konfigurálása; Helyhivatkozás költségének beállítása Nagyobb sávszélességet úgy is biztosíthat az Active Directory számára, hogy helyhivatkozásokat vagy helyhivatkozás-hidakat ad hozzá. Helyhivatkozás létrehozása; Helyhivatkozáshíd létrehozása
Az egyik hely tartományvezérlőin történt címtáradat-módosítások nem frissítődnek a másik hely tartományvezérlőin megfelelő időben, mert a helyközi replikáció nem lett megfelelő gyakoriságúra ütemezve. | A replikációs gyakoriság növelése elérhetőbbé teheti a friss információkat. Ha a replikáció helyhivatkozás-hídon keresztül történik, ellenőrizze, hogy melyik helyhivatkozás akadályozza a replikációt. Növelje az erre a helyhivatkozásra vonatkozó replikáció gyakoriságát vagy a replikációs folyamat által igénybe vehető időtartamot. Helyhivatkozások replikációs elérhetőségének konfigurálása; Helyhivatkozás replikációs gyakoriságának konfigurálása
Az ügyfeleknek a hitelesítést, az adatokat és egy tartományvezérlő szolgáltatásait alacsony sávszélességű összeköttetésen keresztül kell kérniük. Ez azzal járhat, hogy az ügyfelek lassan kapnak címtáradatokat, egyéb szolgáltatásokat, illetve választ a hitelesítésre. | Ha létezik olyan hely, amely megfelelően ki tudja szolgálni az ügyfél alhálózatát, rendelje az alhálózatot a helyhez. Ha a rossz kiszolgálást tapasztaló ügyfél el van különítve a tartományvezérlőktől, és Ön azt tervezi, hogy létrehoz egy újabb, az ügyfelet tartalmazó helyet, hozza létre az új helyet saját tartományvezérlővel. Telepíthet nagyobb sávszélességű összeköttetést is. Alhálózat társítása hellyel; Feladatlista: Hely konfigurálása


Az Active Directory – helyek és szolgáltatások alkalmazás használata

Erről az oldalról a következő témaköröket érheti el:

  • Mikor érdemes egyetlen helyet létesíteni?
  • Mikor kell külön helyeket létrehozni?
  • Elsődleges támaszpont-kiszolgálók használata
  • Szolgáltatások közzététele
  • Alhálózat adatainak megadása


Az Active Directory sémája

Erről az oldalról a következő témaköröket érheti el:

  • Feladatlista: A séma bővítése előtt
  • Gyakorlati tanácsok
  • Útmutató
  • Fogalmak
  • Hibaelhárítás