Операційна система MS Windows. Порівняння з іншими ОС (Unix, Apple, Linux, BeOS та ін.)

Для визначення прав даного клієнта прочитувати або модифікувати певний об'єкт в Active Directory служить імперсонація і верифікація доступу Windows NT. Іншими словами, при надходженні LDAP-запита від клієнта доступ до об'єктів каталога контролюється операційною системою, а не службою каталогів Active Directory.

Модель безпеки Windows NT забезпечує однорідний і уніфікований механізм контролю за доступом до ресурсів домена на основі членства в групах. Компоненти безпеки Windows NT довіряють інформації, що зберігається в каталозі про захист. Наприклад, сервіс аутентификація Windows NT зберігає зашифровані паролі користувачів в безпечній частині каталога об'єктів користувача. За замовчанням операційна система «вважає», що правила безпеки захищені і не можуть бути змінені будь-ким несанкціоновано. Загальна політика безпеки домена також зберігається в каталозі Active Directory.

Довірчі відносини між доменами

У Windows NT 5.0 домени можуть бути організовані у вигляді ієрархічних дерев. Між доменами встановлюються довірчі відносини, Підтримуються два види таких відносин:

• явні однонаправлені довірчі відносини з доменами Windows NT 4.0;

• двосторонні транзитивні довірчі відносини між всіма доменами, що входять в дерево.

Явні відносини довір'я встановлюються не тільки з доменами старого типу, але і в тому випадку, коли неявні двосторонні відносини не придатні для використання: наприклад, для домена фінансового відділу або бухгалтерії. Встановлення явних односторонніх довірчих відносин автоматично відміняє неявні довірчі відносини Kerberos.

Проте, у великій організації явні односторонні відносини потрібні не так уже часто. Неявні двосторонні довірчі відносини значно полегшують управління обліковими записами з декількох доменів, оскільки всі домени в дереві неявно довіряють один одному.

Делегування адміністративних повноважень

Делегування адміністративних повноважень - гнучкий інструмент обмеження адміністративної діяльності рамками частини домена. Цей метод дозволяє надати окремим співробітникам можливість управління користувачами або групами в заданих межах і, в той же час, не дає їм прав на управління обліковими записами, що відносяться до інших підрозділів.

Права на визначення нових користувачів або створення груп користувачів делегуються на рівні OU або контейнера, в якому створений обліковий запис. Адміністратори груп однієї організаційної одиниці не завжди мають можливість створювати облікові записи того ж самого домена, що відносяться до іншої організаційної одиниці або управляти ними. Однак доменні правила і права доступу, визначені на більш високих рівнях каталога, можуть бути застосовані по всьому дереву за допомогою механізму успадкування.

Існує три способи делегування адміністративних повноважень:

• на зміну властивостей певного контейнера, наприклад, LocalDomainPolicies самого домена;

• на створення і видалення дочірніх об'єктів певного типу (користувачі, групи, принтери і ін.) всередині OU;

• на оновлення певних властивостей деяких дочірніх об'єктів всередині OU (наприклад, право встановлювати пароль для об'єктів типу User).

Делегувати повноваження просто. Досить вибрати особу, якій будуть делеговані повноваження, і указати, які саме повноваження передаються. Інтерфейс програми адміністрування Active Directory дозволяє без ускладнень переглядати інформацію про делегування, визначену для контейнерів.

Детальне призначення прав доступуЗвичайно у великій організації за забезпечення безпеки і підтримки інфраструктури мережі відповідають декілька чоловік або груп. Отже, повинна існувати можливість надавати таким особам або групам права на виконання певних операцій без права створення додаткових облікових записів і впливу на властивості інших облікових записів.