Cette information provient de l'espace Microsoft TechNet
La source d'information indispensable pour les spécialistes de l'informatique en entreprise !
L'installation d'un contrôleur de domaine Active Directory crée simultanément le domaine Windows 2000 initial ou ajoute le nouveau contrôleur à un domaine existant. Comment les contrôleurs de domaine et les domaines s'inscrivent-ils dans l'architecture globale du réseau ?
Cette section détaille les composants d'un réseau Active Directory et leur organisation. En outre, elle décrit comment déléguer la responsabilité d'administration d'unités d'organisation, de domaines ou de sites aux personnes appropriées et comment assigner des paramètres de configuration à ces trois conteneurs Active Directory. Cette section comprend les rubriques suivantes :
Les objets Active Directory sont des éléments qui constituent un réseau. Un objet est un ensemble d'attributs nommé et circonscrit qui représente un élément concret, comme un utilisateur, une imprimante ou une application. Lorsque vous créez un objet Active Directory, certains de ses attributs sont paramétrés automatiquement et d'autres vous sont demandés. Par exemple, si vous créez un objet Utilisateur, Active Directory fournit l'identificateur globalement unique (GUID, Globally Unique Identifier) tandis que vous fournissez les valeurs d'attributs tels que le prénom et le nom de l'utilisateur, l'identificateur d'ouverture de session, etc.
Le schéma est une description des classes d'objet (différents types d'objet) et de leurs attributs. Le schéma définit les attributs que chaque classe d'objet doit posséder, les attributs supplémentaires dont elle doit disposer et la classe d'objet dont elle peut être l'enfant. Chaque objet Active Directory est une instance d'une classe d'objet. Chaque attribut est défini une seule fois mais peut être utilisé dans plusieurs classes. C'est le cas, par exemple, de l'attribut Description, qui est utilisé dans de nombreuses classes différentes.
Le schéma est enregistré dans Active Directory. Les définitions du schéma sont elles-mêmes enregistrées comme objets (les objets Schéma de classe et Schéma d'attributs). Active Directory peut ainsi gérer les objets de classe et d'attribut comme les autres objets d'annuaire.
Les applications qui créent ou modifient des objets Active Directory utilisent le schéma pour déterminer les attributs que l'objet doit posséder et à quoi ces attributs peuvent ressembler en termes de structure des données et de contraintes de syntaxe.
Les objets sont soit des objets conteneurs, soit des objets feuilles (également appelés objets non-conteneurs). Les objets conteneurs stockent d'autres objets, alors que les objets feuilles, non. Par exemple, un dossier est un objet conteneur de fichiers, qui sont eux-mêmes des objets feuilles.
Chaque classe d'objet du schéma Active Directory possède des attributs qui garantissent :
L'outil Schéma Active Directory permet de marquer un attribut comme indexé. Cela a pour effet d'ajouter toutes les instances de cet attribut à l'index et non pas seulement celles qui sont membres d'une classe particulière. L'indexation d'un attribut permet de retrouver plus rapidement les objets possédant cet attribut.
Vous pouvez également inclure des attributs dans le catalogue global. Ce dernier contient un ensemble d'attributs par défaut pour chaque objet de la forêt, mais vous pouvez en ajouter d'autres. Les utilisateurs et les applications utilisent le catalogue global pour localiser des objets dans une forêt. Ajoutez-y uniquement des attributs possédant les caractéristiques suivantes :
Comme précisé plus haut, les classes et les attributs sont tous des objets de schéma. En tant que tels, ils peuvent être référencés par les types de noms suivants :
Tableau 1. Identificateur d'objet
|
Pour plus d'informations sur les OID et sur la manière de les obtenir, voir la section "Pour plus d'informations" à la fin de ce document.
Le système d'exploitation Windows 2000 Server fournit un ensemble de classes d'objet et d'attributs par défaut suffisants pour la plupart des organisations. Bien que vous ne puissiez pas supprimer les objets de schéma, vous pouvez les marquer comme désactivés.
Les développeurs et les administrateurs réseau expérimentés peuvent étendre dynamiquement le schéma en définissant de nouvelles classes et de nouveaux attributs pour les classes existantes. Il est conseillé d'étendre le schéma Active Directory par programme, via l'interface ADSI (Active Directory Service Interface). Vous pouvez également utiliser l'utilitaire LDIFDE (LDAP Data Interchange Format). (Pour plus d'informations sur ADSI et LDIFDE, voir les sections "ADSI" et "Active Directory et LDIFDE".)
L'outil Schéma Active Directory, conçu à des fins de développement et de test, vous permet d'afficher et de modifier le schéma Active Directory.
Si vous envisagez de modifier le schéma, prenez les points suivants en considération :
L'extension du schéma est une opération avancée. Pour plus d'informations sur l'extension du schéma par programme, voir la section "Pour plus d'informations" à la fin de ce document.
Active Directory prend en charge plusieurs formats de noms d'objet pour tenir compte des différentes formes que peut prendre un nom, selon le contexte d'utilisation (certains noms correspondent à des numéros). Les sous-sections suivantes décrivent les types de conventions d'affectation de nom des objets Active Directory :
Si votre organisation possède plusieurs domaines, vous pouvez utiliser les mêmes noms d'utilisateur et d'ordinateur dans les différents domaines. Le SID, le GUID, le nom unique LDAP et le nom canonique générés par Active Directory identifient de manière unique chaque utilisateur et chaque ordinateur de l'annuaire. Si l'objet Utilisateur ou Ordinateur est renommé ou déplacé vers un domaine différent, le SID, le nom unique relatif LDAP, le nom unique et le nom canonique changent. En revanche, le GUID généré par Active Directory reste identique.
Une entité de sécurité est un objet Windows 2000 géré par Active Directory, auquel est automatiquement affecté un identificateur de sécurité (SID) pour l'authentification d'ouverture de session et l'accès aux ressources. Une entité de sécurité peut être un compte d'utilisateur, un compte d'ordinateur ou un groupe. En d'autres termes, un nom d'entité de sécurité identifie de manière unique un utilisateur, un ordinateur ou un groupe au sein d'un domaine unique. Un objet entité de sécurité doit être authentifié par un contrôleur du domaine dans lequel il se trouve et l'accès aux ressources réseau peut lui être accordé ou refusé.
Les noms des entités de sécurité ne sont pas uniques sur l'ensemble des domaines, mais doivent être uniques dans leur propre domaine pour des raisons de compatibilité ascendante. Les objets entités de sécurité peuvent être renommés, déplacés ou enregistrés au sein d'une arborescence de domaines imbriqués.
Leur nom doit être conforme aux lignes directrices suivantes :
Un SID est un numéro unique, créé par le sous-système de sécurité de Windows 2000 et affecté aux objets entités de sécurité, à savoir les comptes d'utilisateurs, de groupes et d'ordinateurs. Chaque compte de votre réseau a reçu un SID unique à sa création. Les processus internes de Windows 2000 font référence au SID d'un compte plutôt qu'à son nom d'utilisateur ou de groupe.
Des entrées de contrôle d'accès (ACE, Access Control Entrie) protègent chaque objet Active Directory en identifiant les utilisateurs et les groupes pouvant y accéder. Chaque ACE contient le SID de chaque utilisateur et de chaque groupe ayant l'autorisation d'accéder à l'objet et définit le niveau d'accès autorisé. Par exemple, un utilisateur peut disposer pour certains fichiers de droits d'accès en lecture seule, pour d'autres de droits d'accès en lecture et en écriture, et pour d'autres encore, d'aucun droit d'accès.
Si vous créez un compte, que vous le supprimez, puis que vous créez un autre compte avec le même nom d'utilisateur, le nouveau compte n'hérite ni des autorisations, ni des droits accordés à l'ancien compte car les comptes ont des identificateurs SID différents.
Active Directory est un service d'annuaire conforme LDAP (Lightweight Directory Access Protocol). Dans Windows 2000, tout accès à un objet Active Directory s'effectue à l'aide du protocole LDAP. Il définit les opérations à effectuer pour rechercher et modifier des informations dans un annuaire, et la manière d'accéder de manière sécurisée à ces informations. Ainsi, c'est LDAP qui est utilisé pour rechercher ou énumérer des objets d'annuaire et pour interroger ou administrer Active Directory. (Pour plus d'informations sur LDAP, voir la section "Protocole LDAP".)
Il est possible de faire porter les requêtes sur le nom unique LDAP (lui-même un attribut de l'objet), mais comme ceux-ci sont difficiles à mémoriser, LDAP prend également en charge les requêtes portant sur d'autres attributs (par exemple, la couleur pour rechercher les imprimantes couleur). Vous pouvez ainsi rechercher un objet même si vous ne connaissez pas son nom unique.
Les formats d'affectation de noms d'objet, pris en charge par Active Directory et fondés sur le nom unique LDAP, sont décrits dans les trois sous-sections suivantes :
LDAP fournit des noms uniques (DN) et des noms uniques relatifs (RDN) aux objets8. Active Directory met en œuvre ces conventions d'affectation de noms LDAP avec les variantes illustrées dans le tableau 2.
Tableau 2. Conventions d'affectation de noms LDAP et correspondances dans Active Directory
|
Remarque cn=, ou=, … sont des types d'attributs. Les attributs permettant de détailler le nom RDN d'un objet sont appelés attributs d'affectation de nom. Les attributs d'affectation de nom Active Directory, illustrés en haut à droite, sont destinés aux classes d'objet Active Directory suivantes :
Chaque objet Active Directory possède un nom unique LDAP. Les objets sont localisés dans les domaines Active Directory à l'aide d'un chemin hiérarchique qui inclut les étiquettes du nom de domaine et chaque niveau d'objet conteneur. Le chemin complet vers l'objet est défini par le nom unique. Le nom de l'objet lui-même correspond au nom RDN. Ce nom est le segment du nom unique d'un objet, attribut de l'objet lui-même.
Représentant le chemin complet vers un objet, composé du nom de l'objet et de tous ses objets parents jusqu'à la racine du domaine, le nom unique permet d'identifier un objet unique dans l'arborescence de domaines. Chaque nom RDN est stocké dans la base de données Active Directory et contient une référence à son parent. Au cours d'une opération LDAP, le nom unique est construit entièrement en suivant les références à la racine. Dans un nom unique LDAP complet, le nom RDN de l'objet à identifier commence sur la gauche avec le nom de la feuille et se termine sur la droite avec le nom de la racine, comme le montre l'exemple suivant :
cn=MDurand,ou=Widgets,ou=Fabrication,dc=France,dcNomOrg.dc=com
Le nom RDN de l'objet Utilisateur MDurand est cn=MDurand, celui de Widget (l'objet parent de MDurand) est ou=Widgets, etc.
Les outils Active Directory n'affichent pas les abréviations LDAP des attributs d'affectation de nom (dc=, ou= ou cn=). Elles apparaissent dans l'exemple pour illustrer la manière dont LDAP reconnaît les différentes parties des noms uniques. La plupart des outils Active Directory affichent les noms d'objets sous leur forme canonique (décrite plus loin dans ce document). Dans Windows 2000, les noms uniques permettent aux clients LDAP de récupérer des informations sur des objets à partir de l'annuaire, mais aucune interface utilisateur ne demande d'entrer le nom unique. L'utilisation explicite des noms uniques, des noms RDN et des attributs d'affectation de nom est requise uniquement lors de l'écriture de programmes ou de scripts conformes LDAP.
Active Directory prend en charge l'accès de tous les clients LDAP à l'aide du protocole LDAP. La RFC 1959 décrit un format d'URL LDAP permettant aux clients Internet d'accéder directement au protocole LDAP. Les URL LDAP sont également utilisées dans l'écriture de scripts. Une telle URL est composée du préfixe "LDAP", du nom du serveur contenant les services Active Directory, suivi du nom attribué à l'objet (le nom unique). Par exemple :
LDAP://serveur1.France.NomOrg.com/cn=MDurand,
ou=Widgets,ou=Fabrication,dc=France,dcNomOrg,dc=com
Par défaut, les outils d'administration de Active Directory affichent les noms des objets au format de nom canonique, qui répertorie les noms RDN à partir de la racine, sans les descripteurs d'attribut d'affectation de nom RFC 1779 (dc=, ou= et cn=). Le nom canonique utilise le format DNS, c'est-à-dire que les constituants de la partie du nom contenant les noms de domaines sont séparés par des points — France.NomOrg.com. Le tableau 3 montre les différences entre un nom unique LDAP et le même nom au format de nom canonique.
Tableau 3. Format de nom unique LDAP et format de nom canonique
Nom identique dans deux formats différents
|
Parallèlement à son nom unique LDAP, chaque objet Active Directory possède un identificateur globalement unique (GUID), un numéro à 128 bits assigné par l'Agent système d'annuaire lors de la création de l'objet. Le GUID, qui ne peut être ni modifié ni supprimé, est enregistré dans un attribut, objectGUID, requis pour chaque objet. À la différence des noms uniques et RDN susceptibles d'être modifiés, le GUID ne change jamais.
Si vous enregistrez une référence à un objet Active Directory dans un magasin de données externe (par exemple, une base de données Microsoft SQL Server™), vous devez utiliser l'attribut objectGUID.
Comme décrit précédemment, les entités de sécurité sont des objets sur lesquels s'applique la sécurité Windows pour l'authentification d'ouverture de session et les autorisations d'accès aux ressources. Les utilisateurs représentent le premier type d'entités de sécurité. Dans Windows 2000, ils ont besoin d'un nom d'ouverture de session unique pour accéder à un domaine et à ses ressources. Les deux types de noms d'ouverture de session — les noms UPN et les noms de comptes SAM (Security Account Manager) — sont décrits dans les deux sous-sections ci-dessous.
Dans Active Directory, chaque compte d'utilisateur possède un nom UPN (nom utilisateur principal) au format <utilisateur>@<nom-domaine-DNS>. Un nom UPN est un nom convivial assigné par un administrateur. Il est plus court que le nom unique LDAP utilisé par le système et plus facile à mémoriser. Le nom UPN d'un objet Utilisateur est indépendant de son nom unique, si bien que le déplacement et la modification du nom de l'objet n'affectent pas le nom d'ouverture de session de l'utilisateur. Lors d'une connexion par nom UPN, les utilisateurs ne sont plus invités à sélectionner un domaine dans une liste dans la boîte de dialogue d'ouverture de session.
Les noms UPN se composent de trois parties : le préfixe UPN (nom d'ouverture de session de l'utilisateur), le caractère @ et le suffixe UPN (en général, un nom de domaine). Le suffixe UPN par défaut d'un compte d'utilisateur est le nom DNS du domaine Active Directory dans lequel se trouve le compte9. Par exemple, le nom UPN de l'utilisateur Marc Durand, qui possède un compte d'utilisateur dans le domaine NomOrg.com (si NomOrg.com est le seul domaine de l'arborescence), est MDurand@NomOrg.com. C'est un attribut (userPrincipalName) de l'objet entité de sécurité. Si l'attribut userPrincipalName d'un objet Utilisateur n'a pas de valeur, l'objet a le nom UPN par défaut nomUtilisateur@NomDomaineDns.
Si votre organisation possède une arborescence de domaines composée de nombreux domaines, organisés par départements et régions, les noms UPN par défaut peuvent s'avérer encombrants. Par exemple, le nom UPN par défaut d'un utilisateur pourrait être ventes.coteouest.microsoft.com. Le nom d'ouverture de session des utilisateurs dans ce domaine serait utilisateur@ventes.coteouest.microsoft.com. Au lieu d'accepter le nom de domaine DNS par défaut comme suffixe UPN, vous pouvez simplifier l'administration et les processus de connexion utilisateur en fournissant un suffixe UPN unique pour tous les utilisateurs. (Le suffixe UPN est utilisé uniquement au sein du domaine Windows 2000 et il ne correspond pas nécessairement à un nom de domaine DNS valide.) Vous pouvez décider d'utiliser votre nom de domaine de messagerie comme suffixe UPN — nomUtilisateur@nomEntreprise.com. Le nom UPN de l'utilisateur de notre exemple devient alors utilisateur@microsoft.com.
Lors d'une ouverture de session par nom UPN, un catalogue global peut s'avérer nécessaire, selon l'identité de l'utilisateur qui se connecte et l'appartenance de l'ordinateur de l'utilisateur au domaine. C'est le cas si l'utilisateur se connecte à l'aide d'un nom UPN différent du nom par défaut et si le compte d'ordinateur de l'utilisateur se trouve dans un autre domaine que son compte d'utilisateur. C'est-à-dire si, au lieu d'accepter le nom de domaine DNS par défaut comme suffixe UPN (comme dans l'exemple précédent, utilisateur@ventes.coteouest.microsoft.com), vous fournissez un suffixe UPN unique pour tous les utilisateurs (l'utilisateur a alors pour nom utilisateur@ microsoft.com).
L'outil Domaines et approbations Active Directory permet de gérer les suffixes UPN d'un domaine. Les noms UPN sont assignés lors de la création d'un utilisateur. Si vous avez créé des suffixes supplémentaires pour un domaine, vous devez sélectionner le suffixe de votre choix dans une liste lorsque vous créez le compte d'utilisateur ou de groupe. Les suffixes sont répertoriés dans l'ordre suivant :
Un nom de compte SAM (Security Account Manager) est requis pour la compatibilité avec les domaines Windows NT 3.x et Windows NT 4.0. Dans l'interface utilisateur Windows 2000, un nom de compte SAM est appelé "Nom d'ouverture de session de l'utilisateur (avant l'installation de Windows 2000)".
Ces noms sont aussi parfois appelés noms plan car, contrairement aux noms DNS, ils ne sont pas affectés hiérarchiquement. Comme les noms SAM sont plan, chacun doit être unique dans le domaine.
La publication représente la création d'objets dans l'annuaire, qui contiennent directement les informations que vous voulez rendre accessibles ou y font référence. Par exemple, un objet Utilisateur contiendra des informations utiles sur les utilisateurs, comme leurs numéros de téléphone et leurs adresses de messagerie, tandis qu'un objet Volume contiendra une référence à un volume d'un système de fichiers partagé.
Les deux exemples suivants décrivent la publication d'objets Imprimantes et Fichiers dans Active Directory :
Vous pouvez également publier des imprimantes non-Windows 2000 (c'est-à-dire des imprimantes sur des serveurs d'impression autres que Windows 2000) dans Active Directory. Pour ce faire, utilisez l'outil Utilisateurs et ordinateurs Active Directory pour entrer le chemin UNC de l'imprimante. Vous pouvez aussi utiliser le script Pubprn.vbs inclus dans le dossier System32. La stratégie de groupe Nettoyage des imprimantes de bas niveau détermine la manière dont le service de nettoyage (suppression automatique d'imprimantes) traite les imprimantes situées sur des serveurs d'impression non-Windows 2000, lorsqu'une imprimante n'est pas disponible.
Vous publiez une information dans Active Directory quand elle peut être utile ou intéressante pour une partie importante de la communauté des utilisateurs et quand elle doit être facilement accessible.
L'information publiée dans Active Directory présente deux caractéristiques essentielles :
Les informations de fonctionnement utilisées par les applications constituent d'excellentes candidates à la publication dans Active Directory. En font partie les informations de configuration globales qui s'appliquent à toutes les instances d'une application donnée. Par exemple, un produit de bases de données relationnelles pourrait enregistrer en tant qu'objet dans Active Directory la configuration par défaut des serveurs de bases de données. De nouvelles installations du produit pourraient alors récupérer la configuration par défaut contenue dans l'objet, ce qui simplifierait le processus d'installation et augmenterait la cohérence des installations au sein d'une entreprise.
Les applications peuvent également publier leurs points de connexion dans Active Directory. Les points de connexion servent aux rendez-vous client-serveur. Active Directory définit une architecture pour l'administration de services intégrée utilisant des objets Points d'administration de services et fournit des points de connexion standard pour les applications RPC (Remote Procedure Call), Winsock et COM (Component Object Model). Les applications qui n'utilisent pas les interfaces RPC ou Winsock pour publier leurs points de connexion peuvent publier explicitement des objets point de connexion de services dans l'annuaire.
Les données des applications peuvent également être publiées dans l'annuaire avec des objets spécifiques aux applications. Les données spécifiques aux applications doivent correspondre aux critères évoqués plus haut, c'est-à-dire être globalement intéressantes, relativement non volatiles et structurées.
Les outils de publication dépendent de l'application ou du service concerné :
|
Dernière mise à jour le jeudi 2 mars 2000
|
Cette information provient de l'espace Microsoft TechNet
|