Windows 2000 Server Features

Transkript

1 Agnda Windows 000 Srvr Fatrs Brkhard Kors Prsals Consltant brkhard. compaq.com -Einführng nd Übrblick -Trminologi -Activ Dirctory nd Namspac - -Grppn 4 Agnda -Einführng nd Übrblick -Trminologi -Activ Dirctory nd Namspac - -Grppn 3 Windows 000 Srvr Windows 000 Srvr Umfassnds Srvr Btribssystm Advancd and Datacntr Erhöht Zvrlässigkit nd Skalirbarkit Robstr Architktr, Architktr, IIS 5.0 Vrbssrts Managmnt Vrbssrt SMP Untrstützng TCP/IP load balancing Vrbssrts Clstring COM+ load balancing Bis z 64GB Haptspichr Activ Dirctory Windows Managmnt Tools Krbros nd PKI Bst AnwndngsAnwndngs-Plattform COM+ Windows Trminal Spport Enhancd Intrnt Srvics 5 6 1

2 Windows 000 Übrblick Tchnologis Ovrviw Windows 000 Architctr Dati- Drck- Intrantsrvr Einsatz- brich Max CPUs Profssional Dsktops nd Notbooks Srvr 4 Advancd Srvr E-Commrc, Untrnhmns kritisch 8 Datacntr Srvr Rchnzntr. Datawarhas OLTP 3 SYSTEM PROCESSES Usr Mod Krnl Mod SERVER PROCESSES ENTERPRISE ENVIRONMENT SERVICES SUBSYSTEMS Exctiv API SECURITY ACTIVE DIRECTORY Max. Spichr Clstring 4 GB 4 GB 8 GB Failovr Knotn, Lastasglich 3 Knotn 64 GB Failovr 4 Knotn, Lastasglich 3 Knotn I/O MANAGER NETWORK FILE SYSTEMS DEVICE DRIVERS CACHE MEMORY MEMORY MANAGER MANAGER MANAGER OBJECT MANAGER MICRO-KERNEL HARDWARE ABSTRACTION LAYER (HAL) 7 8 Tchnologis Ovrviw Activ Dirctory Architctr Agnda NT4 NDS LDAP NW 3.x LDAP/C ADSI OLEDB COM LDAP RPC SMTP NT4 TLOOK LDAP REPL SAM MAPI DIRECTORY SYSTEM AGENT (DSA) DATABASE LAYER EXTENSIBLE STORAGE ENGINE (ESE) Einführng nd Übrblick Trminologi Komponntn Activ Dirctory nd Namspac Grppn NTDS 9 10 Standards Implmntation LDAP - Th Lightwight Dirctory Accss Protocol WBEM Wb Basd Entrpris Managmnt is an initiativ that proposs a st of standards for managing th ntrpris ntwork X X.500 is a st of standards dfining a distribtd dirctory srvic, dvlopd by th ISO RFC Rqst for Commnt Mixd Mod - In mixd mod th domain may hav Windows NT 4.0 Backp Controllrs prsnt Nativ Mod A pr Windows 000 nvironmnt DNS - Nam Systm: A hirarchical distribtd databas sd for nam / addrss translation and clint-srvr rndzvos Dynamic DNS - Dynamic DNS is a rcnt addition to th DNS standard 11 1

3 Microsoft Standards Activ Dirctory ADSI Th Activ Dirctory Srvic Intrfac is a clint-sid prodct, basd on COM, that dfins dirctory srvic intrfacs. MAPI - MAPI is th Mssaging API WMI Windows Managmnt Instrmntation, which is WBEM- compliant, spports niform systm and applications managmnt basd on th Common Information Modl Activ Dirctory - Th Activ Dirctory is th dirctory srvic incldd with Windows 000 Srvr Downlvl Clint - A workstation or srvr rnning a non- Windows 000 vrsion of Windows NT, withot additional DS- awar componnts Activ Dirctory Activ Dirctory Forst - A Forst is a st of on or mor Trs that do not form a contigos nam-spac Global Catalog - Th Global Catalog (GC) nabls srs and applications to find objcts in an Activ Dirctory domain tr givn on or mor attribts of th targt objct Organizational Unit - An Organizational Unit () is a containr objct that is an administrativ partition of Activ Dirctory Root DSE - RFC 51 dfins th LDAP protocol and ky charactristics of dirctoris that ar xposd via that protocol Schma - Th nivrs of objcts that can b stord in th dirctory is dfind in th schma Sit - A sit is dfind as on or mor wll connctd TCP/IP sbnts Sit Link - A Sit Link objct rprsnts a st of sits that can commnicat at niform cost via som intr-sit transport Sit Link Bridg - A Sit Link Bridg objct rprsnts a st of sit links, all of which can commnicat via som transport Schma Srvr Rols Attribt - An attribt is a singl proprty of an objct Class - A class is a formal dscription of a discrt, idntifiabl typ of objct that can b stord in th DS Objct Idntifir - An Objct Idntifir (OID) is a nmbr nambigosly idntifying an objct class or attribt in a dirctory srvic Controllr - A Windows NT Srvr holding a partition of th Activ Dirctory Global Catalog Srvr - A Windows 000 domain Controllr that holds a copy of th Global Catalog for th Forst FSMO - FSMO is an acronym for Flxibl Singl Mastr Opration

4 Srvr Rols Scrity Primary Controllr - In Windows 000, on of th Controllrs in ach is idntifid as th "PDC" for compatibility with downlvl clints and srvrs Backp Controllr - In a Windows 000 domain, Backp Controllrs ar not rqird; all Controllrs ar prs, and all can prform maintnanc on th dirctory Accss Control List - An Accss Control List is a list of Accss Control Entris (ACEs) stord with th objct it protcts ACL Inhritanc - Inhritanc allows a givn ACE to b propagatd from th containr whr it was applid to all childrn of th containr 19 0 Scrity Scrity Dlgation - Dlgation allows a highr administrativ athority to grant spcific administrativ rights for containrs and sbtrs to individals and grops Inhritanc - Inhritanc lts a givn ACE propagat from th containr whr it was applid to all childrn of th containr Crtificat Athority - A Crtificat Athority (CA) is simply an ntity or srvic that isss crtificats Encrypting Fil Systm (EFS) - EFS provids th cor fil ncryption tchnology to stor Windows NT fil systm (NTFS) fils ncryptd d on disk IPSc - IPSEC dfins protocols for ntwork ncryption at th IP protocol layr Krbros - A transitiv and hirarchical scrity protocol that is an Intrnt scrity standard Pblic Ky Infrastrctr (PKI) - An n intgratd st of srvics and administrativ tools for crating, dploying, and managing Pblic- Ky-basd applications. 1 Rplication Managmnt Rplication - Th Activ Dirctory provids mlti-mastr mastr rplication. Mlti-mastr rplication mans that all rplicas of a givn partition ar writabl Updat Sqnc Nmbr - A USN is a 64-bit nmbr maintaind by ach Activ Dirctory srvr Policy - A policy is th st of rls that govrn th intraction btwn a sbjct and an objct Grop Policy Rfrs to applying policy to th grops of comptrs and/or srs containd within th AD containrs Grop Policy Objct - A grop policy objct (GPO) is a virtal collction of policis 3 4

5 Managmnt Grops IntlliMirror - IntlliMirror PC managmnt tchnology givs Windows 000 ntwork clints th advantags of cntralizd compting with th prformanc and flxibility of distribtd compting Clint-Sid Caching - Clint-sid caching transparntly synchronizs data btwn a ntwork and a local machin Singl Instanc Storag - Singl Instanc Storag (SIS) liminats storag of dplicat fils on th srvr Rmot Boot Srvr - Rmot Boot Srvr simplifis srvr imag managmnt and spports machin "stat" rcovry Local Grop - A Local grop can b sd on ACLs only in its own domain Global Grop - A Global grop can appar on ACLs anywhr in th Forst Local Grop - As in arlir vrsions of Windows NT, administrators on mmbr srvrs and workstations can crat local grops Univrsal Grop - A Univrsal grop is th simplst form of grop 5 6 Agnda Dirctory Dsign Vrwndng von Grafik Einführng nd Übrblick Trminologi Activ Dirctory nd Namspac Grppn.com = Standardsymbol Drick ntspricht inr Domän Kris ntspricht inr Organisational Unit () Für disn Vortrag Rnds Rchtck ntspricht inr Domän Drick ntspricht inr 7 8 Dirctory Dsign Activ Dirctory Komponntn NCs,, Sits, and GCs Hirarchisch Komponntn Objct s Domänn Bäm Wäldr Zsätzlich Komponntn Naming Contxts (NC) Sits Globalr Katalog 9 Naming Contxt (NC) Dfinition von Partitionn für Dirctoris Domänn NC Schma NC Konfigration NC Globalr Catalog (GC) Partills Rplica allr Domän NCs Sits Nicht Til dr Hirarchi Dfinition Rplication-Topology für NCs 30 1

6 Organizational Units Zwck Organizational Units Strktrn Containr innrhalb ds Activ Dirctory Partition für di Administration Binhaltt di Policis Addrssirbar drch dn LDAP namspac Bispil: (=srs,=markting,dc=, DC=com) Erstllngsrgln Partition für administrativ Dlgation Containr für Policis s könnn afgbat wrdn nach: Organisations-Strktrn Gschäftsfnktionn Objktn 31 3 Organizational Units Dsignübrlgngn Dirctory Dsign s o= Manfactring o= Comptrs o= Usrs o= Printrs o= Prodct1 o= Distribtion Common s Idntifizirng gminsamr Notwndigkitn Fstlgn dr Basisstrktrn Fstlgn von Rstriktionn Partition für Rplikationn Domän NC rplizirt in in Partition für DNS Namspac Domänn adrssirbar drch DNS namspac sgrnzn srgln vrrbn sich drch Domänn Grppn-Policis vrrbn sich nicht zwischn Domänn o= Comptrs o= Usrs o= Printrs o= Rcriting Dirctory Dsign s Organizational Units vs. - Gründ für Domänn srgln fstlgn Rplikationn limitirn Ntzwrk optimirn Gründ ggn Domänn Um Abtilngn darzstlln Um Rsorcn zr Vrfügng z stlln (Rsrcdomänn) Domänn wrdn bntzt m: srgln z rstlln Rplikationn mit langsamn Kommnikations- Strckn z vrbssrn s wrdn bntzt m: Brich z trnnn (Rsorcdomänn) Administration von Tilbrichn z dlgirn Organisationsstrktrn darzstlln 35 36

7 Wäldr nd Bäm Bäm Domänn innrhalb ins Bams habn inn gminsamn Adrssram Zwi Wg Krbros Trst Gminsam Objkt /Global Catalog (GC) TREE SUB.DOM.COM DOM.COM SUB1.DOM.COM Wäldr nd Bäm Wäldr DOM.COM TREE Enthält inn odr mhrr Bäm Tiln sich gminsam Objkt Tiln sich dn Global Catalog FOREST DOM1.COM TREE Wäldr nd Bäm Dsignübrlgngn Namspac Dsign Root Singl Forst dom1.com dom.com Schma/Config T r Forst dom.com First in Forst dom.com T r First in Forst dom1.com T r Forst dom1.com First in Forst dom1.com T r Anzahl dr Wäldr abhängig von: Anzahl vrschidnr Objkt bnötigt Abgrnzngn dr Trsts Wäldr könnn nicht vrinigt wrdn Di rst Domän bildt dn Wald Root Erst Domän in inm Wald Kann nicht mbnannt wrdn Kann nicht ntfrnt wrdn Ist zständig für zwi Rolln Mastr für Objkt Mastr für Domän-Namn Namspac Dsign Gografisch Namspac Dsign Strktrll (ROOT) IT (GEO-Ara) North (GEO-Contry) Amrica o= US o= (GEO-City) Canada Erop o= Vancovr o= UK o= Franc o= Nic Basirnd af gografischn Gsichtspnktn Pro: Shr stabil bi Rorganisationn Bst Ntzwrkasntzng Einfachs Hinzfügn von zsätzlichn Lokationn Contra: Abbildn von übrrgionaln Strktrn ist schwirig Vrtilt Administration ist schwirig (ROOT) (Political) Manfactring (Political) IT o= Enginring IT o= Prchasing Distribtion o= Sals o= Shipping Basirt haptsätzlich af Organisations-Strktrn Pro: Shr intitiv Einfach afzstzn Contra: Schlcht Asntzng dr Ntzwrk-Infrastrktr Rorganisationn sind afwndig

8 Namspac Dsign Go-Strktrll Namspac Dsign Fnktional (ROOT) IT (GEO) North (POLITICAL) Amrica o= Manfactring o= Distribtion Erop o= Manfactring o= Distribtion Basirt af bidm, Gografi nd Organization Pro: Gt Ntzwrkntzng Stabil Intitiv Einfach afzstzn Contra: Evntll großr administrativr Afwand (ROOT) (Fnctional) IT o= Sals o= Markting Srvic o= Basirt af Fnktionn Pro: Shr stabil Intitiv Gt gignt für klinr Organisationn Contra: Nicht skalirbar Schlcht Ntzwrkntzng Agnda Einführng nd Übrblick Trminologi Activ Dirctory nd Namspac Grppn Einführng ist in Kompromiss zwischn infachm Zgriff af Datn nd dm Schtz wichtigr Informationn Plann dr Untrschn dr Risikn Wichitg Informationn idntifizirn Policis dfinirn Infrastrktr afban Zgriff af bnötigt Datn rmöglichn Krbros Windows 000 Krbros - Logon sprotokoll für Windows 000 Ermöglicht drchgängig Trsts von Domänn innrhalb ins Walds Ggnsitigr Zgriff (Athntication) Effizintr Zgriff Ky Distribtion Cntr (KDC) nich bnötigt für Zgriff af Rsorcn Indstristandard Introprabl mit jdr andrn Anwndng mit v5 KDC (Athntication Srvic + Tickt Granting Srvic) läft af alln Controllr Stps Clint bkommt in TGT (Tickt granting Tickt vom KDC) Clint bkommt in Tickt zm Zgriff af dn lokaln Comptr 47 48

9 Windows 000 Krbros - Logon Windows 000 PKI Pblic Ky skomponntn Bntzr AS*) Rq (Nam, Dom, Srv) AS Rply (TGT) TGS Rq (TGT, Nam, Dom, Srv) KDC Smartcard Intrfacs Athnticod CryptoAPI Mssag Standards (PKCS) Applications Crtificat Managmnt Srvics Ntwork APIs Scr Channl Fil I/O TGS Rp (Workstation Ky) Crypto Srvics EFS *) AS = Athorization Srvic Radr Dvic Drivr Hardwar CSP RSA Bas CSP Zgrifsskontroll Zgriffskontroll Rcht (Rights) Wrdn an Grppn nd Bntzr vrgbn Dfinirn Möglichkitn für bstimmt Afgabn (Backp von fils, tc.) Möglichkitn (Prmissions) sattribt für Objkt Spzifizirn Wr nd Was Rcht könnn Möglichkitn übrschribn Prmissions sind kmlativ Höhr prmissions nthaltn nidrigr No accss übrschribt alls andr Prmissions wrdn vrrbt Objkt rbn von ihrn Eltrn Könnn af jdr Ebn bschränkt wrdn Objktrcht übrschribn immr Vrrbngn 51 5 Dlgation Das Gt Administration wo si bnötigt wird Das wnigr Gt Möglichkit di Kontroll übr in Objct z vrlirn Das wirklich Schlimm Millionn von Optionn Dlgation Dlgirng ganzr Ordnr odr 14 vrschidn Attribt für ntrgordnt Ordnr 16 Typn gnrlllr Möglichkitn 54 individll Eigntümr- Prmissions 88 individll anlgn/löschn löschn prmissions

10 Rgln für Dlgation Bschränkn von Prmissions mit groß Richwit Nimals inn ganzn Ordnr dlgirn Afgabn dlgirn: Nr wirklich Bnötigt Prmissions vrgbn IT Strktr Zntralisirt Dzntralisirt Empfohln Dlgation Immr afgabnbasirnd Prmissions sind immr dlgirt Agnda Einführng nd Übrblick Trminologi Activ Dirctory nd Namspac Grppn Vrtilt Limitirn dr Prmissions Grppn s-strktrn Strktrn Grppn Global Grppn Hirarchischs Managmnt s-strktrn Strktrn bildn administrativ Hirarchin ab Grppn nthaltn srichtlinin Grppn nthaltn andr Grppn Grppn managn Grppn Könnn nr Mitglidr dr ignn Domän nthaltn Mitglidr könnn sin: Bntzrobjkt Global Grppn dr ignn Domän Könnn Mitglidr von nivrslln nd -local local- grppn sin Grppn Global Grop Bntzng Grppn Local Manfactring Manfactring Admins Accont Admins Printr Admins Manfactring Usrs (Contains all Usrs in Manfactring) Global Grops Übrwachtr Mitglidrbrich Grndlag dr s- Strktrn Zordnng z Rsorcn Könnn Mitglidr jdr Domän nthaltn Mitglidr könnn sin: Bntzrobjkt Univrsal nd Globalgrppn local grops dr ignn Domän Könnn Mitglidr von Domänn local grppn sin Distribtion Distribtion Admins SQL Admins Printr Admins Global Grops Distribtion Usrs (Contains all Usrs in Distribtion) 59 60

11 Grops Local Usag Grppn Univrsal Admins Local Grop Manfactring Manfactring Admins msr madmin Global Grop Bstimmt für lokal Bntzng nd global Mitglidschaft Vrantwortlichr dr sstrktr für lokal Domänn Könnn Mitglidr jdr Domän nthaltn Mitglidr könnn sin: Bntzrobjkt Global Grppn Univrsalgrppn jdr Domän Mitglidr von lokaln Domänn nd Univrsalgrppn Distribtion Distribtion Admins Global Grop dsr dadmin 61 6 Grppn Univrsll Bntzng Grppn Dsign Übrlgngn Can only b sd in Rfrncd from any domain Univrsal Grop Admins Usrs Local Grop Manfactring Manfactring Admins Manfactring Usrs Distribtion Distribtion Admins Distribtion Usrs Global Grop Global Grop Global Grop Global Grop Anlgn dr Strktr Sollt nr andr Grppn nthaltn Vorsicht waltn lassn Nr anlgn zlassn Can only b sd in Rfrncd from any domain Univrsal Grop Local Grop Admins Usrs Manfactring Global Grop Manfactring Admins Manfactring Usrs Global Grop All Usrs Local Can only b Grop sd in Distribtion Global Grop Distribtion Admins Distribtion Usrs Global Grop All Usrs Grndlag dr Bntzr- vrwaltng Sollt wohlübrlgt sin Bntzr-Klassifikation Af Basis dr Firmnstrktr Prformanc Univrsalgrpp, Mitglidr sind alln bkannt Univrsal Grop 63 Rfrncd from any domain 64 Grppn Mixd Mod Einschränkngn (Mit NT 4) Windows 000 Übrblick Univrsalgrppn sind nr für di infach Vrtilng von Bntzrn gdacht, Global Grppn solltn nr Bntzr nthaltn nd nicht vrschachtlt sin Lokal Grppn könnn Bntzr nd global Grppn nthaltn, solltn abr bnfalls nicht vrschachtlt sin Dati- Drck- Intrantsrvr Einsatz- brich Max CPUs Max. Spichr Clstring Profssional Dsktops nd Notbooks 4 GB Srvr 4 4 GB Advancd Srvr E-Commrc, Untrnhmns kritisch 8 8 GB Failovr Knotn, Lastasglich 3 Knotn Datacntr Srvr Rchnzntr. Datawarhas OLTP 3 64 GB Failovr 4 Knotn, Lastasglich 3 Knotn

12 67 68