2.6 Система управления учетными записями. В Active Directory существуют следующие виды групп.
• Универсальные группы объединяют пользователей в рамках леса. Сведения о членстве в универсальных группах тиражируются на все серверы Глобальных Каталогов. Универсальные группы применяются для объединения пользователей и групп на уровне леса доменов для фильтрации групповых политик и разграничения доступа к корпоративным файловым ресурсам в масштабах всего предприятия.
• Глобальные группы объединяют пользователей в рамках домена. Сведения о членстве в глобальных группах не тиражируется на серверы Глобальных Каталогов, передаются только имена глобальных групп.
• Локальные группы служат для предоставления доступа к ресурсам и могут включать как отдельных пользователей, так и другие универсальные и глобальные группы. Они применяются только в списках контроля доступа локального домена. Информация о членстве в локальных группах не тиражируется на серверы GC.
Следует отметить, что, пока существует параллельная служба каталога Novell NDS, придется вести двойные учетные записи пользователей в двух каталогах. Интеграция новой службы каталога и старой не представляется целесообразным, т.к. потребует дополнительных финансовых и трудовых затрат, при том что системы на базе Novell не имеют перспектив развития и будут свернуты.
2.6.1 Локальные группы. Для каждого ресурса, файловой папки, очереди печати, доступа в Интернет по определенному протоколу и т.п. должны быть созданы локальные группы, определяющие уровень доступа к этому ресурсу. Так, для каждого файлового ресурса должны быть созданы минимум две локальные группы, предоставляющие доступ на запись и на чтение. Для каждой очереди печати группа, предоставляющая возможность печатать и управлять заданиями на печать.
2.6.2 Глобальные группы. Структура глобальных групп будет состоять из нескольких уровней глобальных групп. Первый уровень глобальных групп представляет собой набор ролей согласно штатному расписанию предприятия. Группы этого уровня подробно будут рассмотрены в разделе, посвященном учетным записям пользователей. Второй уровень формируется из групп, созданных по организационной или функциональной моделям. В ходе проектирования предстоит сделать выбор между двумя моделями. Организационная модель построена на основе организационной структуры Заказчика, такая система применяется в настоящий момент и обладает рядом существенных недостатков. Функциональная модель строится на основе функционального признака, например по направлениям работы сотрудников с конкретными заводами. Следующие уровни формируются из групп созданных на основании каких-либо объединяющих признаков. Например, группы соответствующие структурным подразделениям для доступа к общим ресурсам этих подразделений или для фильтрации групповых политик. Группы этого уровня могут включать как группы-роли так и группы 2-го уровня.
2.6.3 Универсальные группы. Для предоставления доступа к ресурсам пользователям разных доменов необходимо создать универсальные группы для соответствующих ресурсов с различным уровнем доступа. Глобальные группы из другого домена будут включаться в эти универсальные группы, для получения прав доступа. Таким образом, схема структуры групп будет выглядеть, как представлено на рисунке:
2.6.4 Учетные записи пользователей. Имя пользователя формируется согласно следующему правилу: SurnameNP; где Surname – фамилия пользователя, N – первая буква имени, P – первая буква отчества
Каждый пользователь обладает правами и привилегиями, согласно членству в группах. Непосредственно самому пользователю никаких прав не назначается. Каждый пользователь обладает перемещаемым профилем и домашним каталогом, куда перенаправляется его каталог [Мои документы]. Эти каталоги располагаются на сервере, в том сайте, где находится подразделение пользователя.
2.6.5 Роли пользователей. Чтобы избежать назначения прав на доступ к ресурсам конкретным пользовательским учетным записям и связанного с такой практикой усложнения администрирования предлагается создать глобальные группы, соответствующие должностям штатного расписания. Согласно штатному расписанию организации создаются глобальные группы. Например, GlavBuh, соответствует должности главного бухгалтера. В эту группу включается учетная запись пользователя, занимающего эту должность. При переходе пользователя на другую должность, его учетная запись удаляется из этой группы и включается в другую. Т.о. не нужно каждый раз перепроверять доступность необходимых ресурсов для пользователя, а вся структура групп в целом легко администрируется с минимальными изменениями.
2.6.6 Шаблоны учетных записей. Для уменьшения количества простейших административных операций по созданию учетных записей пользователей создаются шаблоны учетных записей. Шаблоны хранятся в контейнере Whole_Organization. Шаблоны представляют собой учетную запись с унифицированным набором свойств и настроек. Шаблонные учетные записи отключены, чтобы никто не мог зарегистрироваться в службе каталога под этими учетными записями.
