Операційна система MS Windows. Порівняння з іншими ОС (Unix, Apple, Linux, BeOS та ін.)

Як вже вказувалося, домени об'єднуються в дерева. Для перегляду дерева доменів використовується спеціальний зліпок консолі управління (domain.msc), званий Domain Tree Management.

Встановлення довірчих відносин явного типу нічим не відрізняється від того, що застосовувався в попередніх версіях: у верхній список заносяться імена доменів, яким довіряє даний домен; а в нижній імена доменів, які можуть йому довіряти.

Як вже вказувалося, ці довірчі відносини є значення задавати лише тоді, коли двостороннє транзитивне довір'я Kerberos, що встановлюється за умовчанням, не відповідає безпеці; а також у разі зв'язку між кореневими доменами дерев в лісі.

Домени можуть працювати в двох режимах: «рідному» (native) і змішаному (mixed). При роботі в змішаному режимі в домен можуть входити як контроллери доменів, на яких встановлена версія Windows NT 5.0, так і з більш ранніми версіями.

«Рідний» режим роботи допускає включення в домен тільки контроллерів домена з Windows NT 5.0. У цьому режимі з'являється можливість створення вкладених груп, а також междоменного членства в групі.

Інформація про домене являє собою набір властивостей доменного об'єкта. Серед властивостей є обов'язкові, наприклад, ім'я домена. А ось інформація про адміністратора домена - необов'язкова. З точки зору забезпечення працездатності вона не має ніякого значення і тому цілком може бути опущена. Однак передбачимо, що Ви бажаєте знайти в дереві всю домени, якими управляє адміністратор Петров. Якщо інформація, показана на малюнку, не була введена завчасно, то поставлена задача зможе бути вирішена тільки шляхом особистого звернення до адміністратора Петрову.

Оскільки домен є контейнерним об'єктом каталога Active Directory, до нього застосовні ті ж самі види доступу, що і до будь-якого контейнера: повний доступ, читання, запис, створення і видалення дочірніх об'єктів.

Локальна політика безпекиЛокальна політика безпеки регламентує правила безпеки на локальному комп'ютері. З її допомогою можна розподілити адміністративні ролі, конкретизувати привілеї користувачів, призначити правила аудиту.

У порівнянні з можливостями аудиту, що були в Windows NT 4.0, в нової версії ОС доданий аудит ще двох категорій подій. Це специфічні події, пов'язані з доступом до служби каталогів Active Directory, і події, що відносяться до аутентификація Kerberos. Доступний роздільний аудит успішних і неуспішних подій.

Доменна політика

Доменна політика встановлює правила для всіх облікових записів в домені, торкаючись такі сфери, як правила паролів, блокування облікових записів, вибір уповноважених безпеці, Kerberos-правила і т. д. В першої бети-версії реалізовані тільки правила паролів і блокування облікових записів. По своїх можливостях вони практично не відрізняються від правил попередньої версії Windows NT.

Якщо пароль користувача довгий час незмінний, захищеність системи від несанкціонованого доступу значно знижується. Саме тому система повинна примушувати користувача до періодичної зміни пароля. Політика ведення облікових записів дозволяє задати певний термін дії пароля в межах від 1 до 999 днів або призначити пароль постійним. За умовчанням тривалість дії пароля 42 дні.

Якщо адміністратор задав параметр Password never expires для конкретного користувача, той може не міняти пароль. Але така практика рекомендується тільки для службових облікових записів, від імені яких виконуються сервіси в системі.

За умовчанням довжина пароля користувача варіюється від 0 до 14 символів. Зрозуміло, що при підвищених вимогах до захищеності системи пустий пароль недопустимо. У цьому випадку адміністратор системи призначає мінімальну довжину пароля. Створюючи новий обліковий запис для користувача, адміністратор може указати пароль довільної довжини, незалежно від обмеження, заданого політикою ведення облікових записів. Однак якщо пароль змінюється користувачем після реєстрації в системі, то параметри нового пароля повинні точно відповідати політиці ведення облікових записів.