Информационная безопасность. Макаренко С.И. - 312 стр.

   21. ИСПОЛЬЗОВАНИЕ СЛУЖБЫ КАТАЛОГОВ И ГРУППОВЫХ
    ПОЛИТИК В WINDOWS 2000/XP И WINDOWS 2003 SERVER

              21.1 Служба каталогов Aсtive Directory

                  21.1.1 Использование Aсtive Directory

      Центральным элементом системы безопасности Windows 2000/2003
является Aсtive Directory (AD).

      Aсtive Directory (AD) - это служба каталогов, являющаяся
масштабируемой структурой домена разработанная и внедренная в
последние версии операционной системы Windows.
      AD может состоять из одного или более доменов, причем каждый
домен имеет свои политики безопасности и безопасные (т. е. доверенные)
взаимоотношения с другими доменами.
      Пространство имен домена соответствует домену DNS, а домен Root
- это первый домен, создаваемый в AD. Все домены в AD совместно
используют одну и ту же конфигурацию, схему и глобальный каталог.

     Ключевыми компонентами AD и их функциями являются
следующие элементы:
     1. Global Catalog (GC, Глобальный каталог). Серверы GC содержат
        частичные реплики всех доменов в AD, а также полную реплику
        схемы и именования конфигурации, поэтому эти системы являются
        носителями секретной информации и должны соответствующим
        образом защищаться.
     2. Схема. Схема определяет, какие объекты и атрибуты могут
        храниться в AD. Она поддерживает все классы объектов и атрибуты,
        содержащиеся в AD. Для каждого класса объектов схема определяет
        место в AD для создания класса объекта, а также список атрибутов,
        которые должен содержать класс. Это ключевой компонент AD, и
        очень важно обеспечить его безопасность
     3. Домен. Это группа компьютеров, объединенных для формирования
        административной ограниченной области пользователей, групп,
        компьютеров и организационных единиц.
     4. Организационная единица (Organizacion Unit - OU) - это тип
        объектов каталога, с которыми можно связать групповые
        политики и таким образом определять в них ограничения
        безопасности. Это наименьшие административные единицы в AD,
        формирующие границы защищаемой области. По умолчанию, так
        как домен является ограниченной областью администрирования, и
        OU существует только внутри домена, домен является наиболее
        внешней организационной единицей.

                                   312