Перейти из форума на сайт.

НовостиФайловые архивы
ПоискАктивные темыТоп лист
ПравилаКто в on-line?
Вход Забыли пароль? Первый раз на этом сайте? Регистрация
Компьютерный форум Ru.Board » Компьютеры » В помощь системному администратору » Помогите продумать логическую структуру домена между офисами

Модерирует : lynx, Crash_Master, dg, emx, ShriEkeR

 Версия для печати • ПодписатьсяДобавить в закладки
Страницы: 1 2 3 4

Открыть новую тему     Написать ответ в эту тему

Duke Shadow



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
tgalina

Цитата:
ситуация, когда юзер профайл имеет размер 10 мегабайт - не реальность, на которую надо ориентироваться, а реальность, с которой надо бороться, на мой взгляд.

Рад бы - да не выходит. Слишком много программ пихает свои шаловливые ручонки в профильные данные - ntuser.dat на мегабайт - нормальное явление. У нескольких специалистов только "Избранное" от IE (те, которые, Favorites) больше 0.5 мега. Переводчик PROMT - это вообще песня.

Цитата:
а не 2003, где наконец вводится Link Value Replication и Partial Attirbute set replication.

Только на функциональном уровне 2003

Цитата:
 нам бы в голову не пришло закупить 312 домен контроллеров и поставить их в подсобке каждого магазина


Цитата:
Поэтому мне идея для каждого удаленного сайта создавать child domain кажется скорее следствием того, что подающий эту идею имеет большой опыт администрирования NT и не совсем знаком с 2000.

Кхм, всё-таки кое в чём у нас с Вами нестыковочка. Вы про ситуацию "у меня по городу порядка 40 точек в котрых работает 2-5 человек"(с)trisen. А мы Вам про подсети с числом пользователей чуть поболе . 50 хотя бы.

Цитата:
Именно поэтому прежде чем порекомендовать решение, мы тратим много времени изучая то, как работает бизнес.

А вот это на 100% верно. И именно в связи с недостаточностью исходных данных мы тут и развели этот спор - просто каждый исходит из собственного опыта. В связи с этим, видимо, нужно сказать Вам спасибо за наставление, т.к. возможно получение решения 1 dc в подсети для 1 компьютера.
 
Позволю себе некоторое лирическое отступление - на этом форуме для удобства пишущих и читающих предусмотрены некоторые дополнительные возможности. Поэтому если у Вас в браузере не отрублен злобно JavaScript - пользуйте! Нажатие на нике - вставка ника в окно ввода + переход на новую строку. Выделение текста + нажатие на ссылку "Цитировать" вверху поста - вставка в поле ввода цитаты из поста + переход на новую строку. Можете использовать коды форума для наглядности. Употребляйте по вкусу - берегите свои и чужие нервы .

----------
Тот, кто умеет - делает, кто не умеет - учит(с)Б. Шоу
Войны никого не могут сделать великим(с)магистр Йода
Аватар(c)MindDiver

Всего записей: 3921 | Зарегистр. 15-02-2003 | Отправлено: 16:34 05-04-2004
Newbie777

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
tgalina, хотелось бы по возможности в общем разобраться в преимущетсве/недостатке OU перед доменами при объединении офисов.
Каждый из офисов помещается в отдельный сайт. Дальше я вижу два варианты.
1.создается один домен domain.com. Создаются Office1 OU ... OfficeN OU. На каждый OU делегируются полномочия местным аминам.
недостатки: невозможность задавать свои Account Policies(длинна пароля, комплексность пароля и т.д) в филиалах.
преимущества: минимизировано количество DC, и как следствие экономия денег.
2.создается empty root domain domain.com, нужен для отделения Enterprise и Schema Admins.  Далее создаются N доменов office1.domain.com... offficeN.domain.com. В каждом из офисов раздаются полномочия Domain Admins.
 
Хотелось бы собрать преимущества и недостатки каждого из методов. Складывается впечатление, что домены в 2000/2003 AD остались как рудименты NT доменов.
 
 
 
 
Добавлено
Вот еще недостаток  или мое незнание как это обойти.
При OU структуре, при добавлении компьютера в домен он не попадет автоматически в нужный OU, придется руками перетягивать из контейнера Computers в OfficeN, а это значит нарпягать вышестоящих админов. Как workaround использовать netdom.exe join /OU:OfficeNOU. Но это не есть удобно.

Всего записей: 920 | Зарегистр. 11-03-2003 | Отправлено: 16:42 05-04-2004 | Исправлено: Newbie777, 16:47 05-04-2004
tgalina

Newbie
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Duke Shadow:
 
Простите, кажется я запутанно изъясняюсь. Да, и в случае с 50-60-100-200-800 пользователей в подсетях я все равно не вижу зачем создавать child domains. Domain отвечает за секьюрити и имеет мало общего с тем фактом, в одном или в разных помещениях ли сидят пользователи. Вопрос, в действительности, в том, надо ли помещать domain controller в каждом удаленном оффисе (subnet'е). Ответить на этот вопрос не предоставляется возможности без дальнейшего изучения ситуации. Но изначальный вопрос, кажется, был не про это, а про то, можно ли прожить без child domains. Ответ на этот вопрос - да, можно и нужно, разве что у вас есть необходимость ввести в каждом удаленном оффисе свою domain security policy.  
Еще пыталась понять, что бы могло значить "решения 1 dc в подсети для 1 компьютера" и честно говоря ничего в голову не приходит. Что вы имели в виду?
 
Newbie777:
У OU нет преимуществ или недостатков перед доменами, так как это две очень разные вещи. Домены в 2003 - не рудименты NT  доменов, а их улучшенная версия. Прочтите что на эту тему говорит MS. Я понимаю, что принято не читать первоисточники и ругать MS, а до всего доходить своим умом, но когда появляется потребность понять best practices, без документации вендора не обойтись. Child domains создаются не потому что они удобнее OU, а потому что они нужны чтобы решить конкретные задачи дизайна. Если у вас этих задач нет, не надо использовать средства для их решения для решения совершенно других задач. "Не надо умножать сущности сверх необходимости". Золотое правило для любой отрасли, не только для IT.

Всего записей: 14 | Зарегистр. 27-03-2004 | Отправлено: 07:53 06-04-2004
Newbie777

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Child domains создаются не потому что они удобнее OU, а потому что они нужны чтобы решить конкретные задачи дизайна
какие конкретные(выше пример с вводом в домен) задачи поможет решить введение child домена, которые нельзя решить с помощью OU? Хочется разобраться. Если это описано в документации, готов все проштудировать еще раз, но дайте тогда ссылки на MS или на конкретные книжки.

Всего записей: 920 | Зарегистр. 11-03-2003 | Отправлено: 14:33 06-04-2004 | Исправлено: Newbie777, 14:33 06-04-2004
Newbie777

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
господа, если нету прямых ссылок на документацию, просьба высказываться "от себя" на вопрос "что можно в домене чего нельзя в OU и наоборот?"

Вот что еще в голову пришло. Скажем, каждый из удаленных офисов хочет иметь свою почтовую систему. При этом каждый офис хочет быть независим от доступности почтовика головного офиса(VPN канал упал там или еще что), т.е.  необходимо иметь N MX записей. Неприменное условие исользование Exchange.

Office1 - MX office1.domain.com
OfficeN - MX officeN.domain.com

т.е. email адреса для пользователей будут в виде
Office1 - вася@office1.domain.com
OfficeN- шура@officeN.domain.com

дальше у меня не хватает знаний, можно ли наставить N Exchage при одном домене и массой OU или нужны child домены?

Всего записей: 920 | Зарегистр. 11-03-2003 | Отправлено: 23:14 06-04-2004
Newbie777

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
всё ясно, пойду-ка я в другие места

Всего записей: 920 | Зарегистр. 11-03-2003 | Отправлено: 14:40 07-04-2004
euserz



Advanced Member
Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
tgalina
Вы так запутанно и длительно-долго изъясняетесь - ведь мысли можно выражать кароче. Начальные посты явно не состыкуются с последними, и наоборот. Остается только верить на слово!
 
Добавлено
Опять почитал. Подумал… потом еще подумал… опять почитал с самого начала, а потом стал медленно писать. Не пинайте, если что.

Цитата:
то в случае падения канала авторизация будет вашей самой маленькой проблемой. Что насчет почты? Она все равно идет через Internet feed, находящийся в головном оффисе - то есть при падении канала почты не будет тоже.

 
Я б... ответил, что авторизация будет проблемой, ибо следуя логике, падение канала не относится к авторизации, или, по крайней мере, не должно относиться (и не важно, это большая проблема или маленькая).
 
Почта – аналогично, кто бы смог поступиться почтой при падении канала? Желающие есть, конечно, всегда. Но, по-возможности, и этого следует избегать при проектировании топологии сетей, тем более, что почта в настоящее время является основным способом общения с внешним миром (опять же - это может не относиться к Калгари, в смысле к канадским гос.учреждениям - не думаю, что они вообще осознают в каком веке они живут).
 

Цитата:
Я думаю, что если бы мы с вами встретились лично и обсудили решения (что, очевидно, невозможно в силу географических обстотельств), которые я упомянула, недоразумения бы рассеялись и вы бы так критически не высказывались о работе многих других людей

 
Кстати, кол-во работающих “других людей” я бы так же не относил на правильность конечных решений и результатов: Логика – великий инструмент!
А встретиться – да, всегда пожалуйста нет ничего невероятного.
 

Цитата:
А если на все решения, которые кажутся вам подозрительными, сразу ставить клеймо несостоятельности, это не только задевает людей, о которых вы пренебрежительно высказываетесь…

Заранее извиняюсь, если мои сообщения кажутся резкими или даже выдаются за нападки! Ничего личного – скорее, они просто сухие и без эмоций (Спасибо товарищу Сталину за наше счастливое детство! Спасибо товарищу Путину за наше недетское счастье! ).
 
 

Цитата:
ситуация, когда юзер профайл имеет размер 10 мегабайт - не реальность, на которую надо ориентироваться, а реальность, с которой надо бороться, на мой взгляд.

Опять же, не согласен в корне – я бы не рекомендовал бороться с реальностью, тем более что реальность – вещь упрямая, и юзеры бодают, к примеру, меня по каждому поводу – наличие лишней головная боли и ущемление прав юзверей налицо - прям в процессе дизайна сети . Вопрос: оно того стоит?..
 

Цитата:
Child domains создаются не потому что они удобнее OU, а потому что они нужны чтобы решить конкретные задачи дизайна.

Exactly! И, как мнение незаинтересованного независимого перца (ну, меня то бишь ), Ваше предложение, точнее, способ внедрения “одного большого домена на всех“ проходит “на ура” лишь для ма-а-аахиньких сайтиков с минимально-низким кол-вом юзверей, а также при условии, что:
     1) готовы поступиться и защищать грудью проблемы авторизации юзеров
     2) готовы поступиться с проблемами почты (Exchange), при падении канала, к примеру, в Головном офисе
     3) для Вас некритичен способ администрирования, Group Policy и Security при таком построении сети, а также подходит именно такой способ администрирования домена (к примеру, OU администратора всегда может “перебить” администратор домена, за что я б, к примеру, его просто пристрелил при встрече в коридорах Головного офиса).
     4) Вы гибки в выборе usernames, так как при увеличении числа юзеров будут возникать совпадения (особенно часто такое встречается в Англии, где все Джоны и Джулии Робертсаны и их клоны-производные )
     5) В распоряжении имеются широкие каналы и продуманы запасные абсолютно для каждого сайта (или только для тех сайтов, в случае падения которых голову открутят на 100-110%)
     6) Вы точно знаете, что не будете быстро расти и сливаться с другими компаниями, ибо тогда мы все будем чесать запястье (а кто и головную кость) и гадать “верить/не верить” вливающейся в общий “котел” компании (я про trust relationship , ибо с child-доменами таких проблем, как Вы понимаете, не возникнет - Security остается на высоте)
 
И баста!
 
Плюсы же (в основном, думаю, что они мнимые):
     1) упрощенный дизайн;
     2) требуется минимальное кол-во железа и админов (опять же, выгода, но сомнительна и/или применима не ко всем, - потребуется серьезный анализ-обоснование типа TCO, ROI и т.д.)
И фсё. И усё, дорогие наши пЭрцЪI и…мАрковки!
 
Вывод:
Из всей баталии вытекает: когда число пользователей отдельных сайт(ов) велико (>10) и/или их жизнедеятельность (максимальная надежность, стабильность, гибкость, контролируемая (не)зависимость) абсолютно критична, а так же если планируется и/или не исключается возможность роста компании и всевозможных сливаний, следует обратить свой взор на дизайн сети с обязательным присутствием child доменов.
 
А остальным, в особенности Calgary Regional Health Authority, желаю хорошего полета, командир корабля и экипаж прощаются с вами…
(типа шутки…)
 
Newbie777

Цитата:
преимущества: минимизировано количество DC, и как следствие экономия денег.

С точки зрения логики это утверждение неверно. Следствие экономии денег неочевидно (ну, разве что, на первом этапе – этапе дизайна сети и подсчете сметы расходов на закупку оборудования, а ведь впереди еще трудовые будни, непрерывный производственный процесс, тех.обслуживание/поддержка).


----------
*Tout depend du personnel

Всего записей: 759 | Зарегистр. 08-10-2001 | Отправлено: 20:22 07-04-2004 | Исправлено: euserz, 01:03 08-04-2004
Duke Shadow



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
tgalina

Цитата:
Да, и в случае с 50-60-100-200-800 пользователей в подсетях я все равно не вижу зачем создавать child domains.

За тем, чтобы уменьшить траффик, хотя бы. Если я не сильно ошибаюсь, то при создании нового пользователя в поддомене в родительский вообще почти ничего не отправляется. А при создании пользователя в границах одного домена - и SID и все прочие параметры автоматически реплицируются на все контроллеры данного домена. Если в чём-то ошибаюсь - поправьте, плз.

Цитата:
разве что у вас есть необходимость ввести в каждом удаленном оффисе свою domain security policy

А чем GPO не устраивают? Можно для каждого OU перекрывать доменную политику в каких угодно пределах.

Цитата:
Еще пыталась понять, что бы могло значить "решения 1 dc в подсети для 1 компьютера"

Пример: имеем основной офис и несколько ответвлений; задача - реализовать логическую структуру; согласно моим и euserz рекомендациям можно принять решение в каждом филиале поставить по dc; реализатор, наслушавшись умных советов пойдёт и сделает именно так, не учтя при этом, что в большинстве филиалов стоит 1-2 компьютера. Конечно за уши притянуто, но для иллюстрации - пойдёт.
 
euserz
Молодец, хорошо написал.

----------
Тот, кто умеет - делает, кто не умеет - учит(с)Б. Шоу
Войны никого не могут сделать великим(с)магистр Йода
Аватар(c)MindDiver

Всего записей: 3921 | Зарегистр. 15-02-2003 | Отправлено: 10:56 08-04-2004
vworld



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Я наверное не внимательно топик читал, или вы просто умные вещи говорите, но для себя из прочитанного я ничего не смог вынести, а ситуация у меня такая ... есть домен в нем примерно уже 70 юзеров, проблема в том, что некоторые юзеры не принадлежат моей организации и мне не хотелось бы чтобы они просто везде лазили по сетке, но в то же время они используют различные рессурсы, которыми все в организации пользуются, я просто развел все в AD по группам и все больше вроде как ничего и не делал, сервер на 2000 стоит, может посоветуете как правильно надо делать?
И еще вопрос, как сделать так чтобы все в сетевом окружение были по группам, а то все кто входят в домен в одной группе ?

Всего записей: 2617 | Зарегистр. 13-02-2003 | Отправлено: 13:05 08-04-2004
Newbie777

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
euserz, гуд.
Я не доказываю что лучше.
Теперь по пунктам.
готовы поступиться и защищать грудью проблемы авторизации юзеров
о каких проблемах идет речь? в каждом site будет один DC ну два для полного fault tolerance(FT). При child доменах и частых командировках из офиса в офис, потребуется для комфортной работы дополнительно устанавливать DC на каждый из child'ов. Вот тут и видно, что child уступает перед OU.
готовы поступиться с проблемами почты (Exchange), при падении канала, к примеру, в Головном офисе
в каждом из офисов ставится свой exchange.
перимущества child: все адреса будут @domain.com, множество MX в одной зоне->упала первая MX, принимают почту следующий по cost'у.
недостатки OU: почта зависит только от своего почтовика, для FT потребуется еще один exchage в каждом из сайтов->увеличение TCO
для Вас некритичен способ администрирования, Group Policy и Security при таком построении сети, а также подходит именно такой способ администрирования домена (к примеру, OU администратора всегда может “перебить” администратор домена
согласен насчет "No Override" именно такие примеры я и собираю.  Уточни насчет Security, с "Account Policy" понятно - только на уровне домена, есть еще что-то?
Вы гибки в выборе usernames, так как при увеличении числа юзеров будут возникать совпадения
Cогласен, в OU эта проблема более отстро втанет. Еще один плюс за child.
В распоряжении имеются широкие каналы и продуманы запасные абсолютно для каждого сайта
гуд, с OU увеличивается ощий трафик между сайтами. child'у плюс.
Вы точно знаете, что не будете быстро расти и сливаться с другими компаниями, ибо тогда мы все будем чесать запястье (а кто и головную кость) и гадать “верить/не верить” вливающейся в общий “котел” компании (я про trust relationship , ибо с child-доменами таких проблем, как Вы понимаете, не возникнет - Security остается на высоте)
несогласен, сдесь нужен пример, где я не смогу разграничить права в OU и смогу в child и наоборот.
 
euserz, anyway thanx. Таких бы ответов побольше.
 
Duke Shadow
А чем GPO не устраивают? Можно для каждого OU перекрывать доменную политику в каких угодно пределах.
не все так просто, No Override и усё, доменные перекрывают политику OU при любых настройках, даже при настройке  "Не наследовать"

Всего записей: 920 | Зарегистр. 11-03-2003 | Отправлено: 13:32 08-04-2004 | Исправлено: Newbie777, 13:35 08-04-2004
Duke Shadow



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
vworld

Цитата:
 просто развел все в AD по группам и все больше вроде как ничего и не делал, сервер на 2000 стоит, может посоветуете как правильно надо делать?

А чего тебе посоветовать? Если у тебя всё в локалке - распихай по OU для удобства, назначь GPO для ограничения прав... Ограничения на доступ всё равно делаются на уровне NTFS - а там ни OU, ни поддомены не фигурируют. Так что успокойся - всё правильно сделал.
 
Newbie777

Цитата:
При child доменах и частых командировках из офиса в офис, потребуется для комфортной работы дополнительно устанавливать DC на каждый из child'ов. Вот тут и видно, что child уступает перед OU.

Пардон - не вижу, чем тут OU выигрывает у child. Только что для администрации OU можно взять в филиал менее подкованного человека... А так - количество DC одно и то же, всё можно администрировать со своего места - в чём проблема-то?

Цитата:
не все так просто, No Override и усё, доменные перекрывают политику OU при любых настройках, даже при настройке  "Не наследовать"

Здесь вопрос в том, чего мы хотим добиться - если следовать изначальным условиям, то вроде как хотели в каждом офисе вести свою политику. В таком случае смысл заводить на домен политику с "No Override"?

----------
Тот, кто умеет - делает, кто не умеет - учит(с)Б. Шоу
Войны никого не могут сделать великим(с)магистр Йода
Аватар(c)MindDiver

Всего записей: 3921 | Зарегистр. 15-02-2003 | Отправлено: 13:51 08-04-2004
euserz



Advanced Member
Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
Newbie777
сорри, пал, буду краток - ибоЪ сил нетуть сегодня шутить...
да и Duke Shadow уже меня опередил
 
 

Цитата:
о каких проблемах идет речь? в каждом site будет один DC ну два для полного fault tolerance(FT). При child доменах и частых командировках из офиса в офис, потребуется для комфортной работы дополнительно устанавливать DC на каждый из child'ов. Вот тут и видно, что child уступает перед OU.

ответ Duke Shadow
+ tgalina замечает следующее (бедные админы в Калгари! - прим. автора):

Цитата:
Мы не разрешаем профайлу расти больше чем 1.5 мегабайт. Так никакого канала не хватит.  

 
 

Цитата:
Уточни насчет Security, с "Account Policy" понятно - только на уровне домена, есть еще что-то?

не думаю - иначе бы упомянул, поправьте если ошибаюсь.
 
 

Цитата:
несогласен, сдесь нужен пример, где я не смогу разграничить права в OU и смогу в child и наоборот.

пример - попробуй сам взглянуть КАК вводится trust relationship между двумя foreign сайтами: речь идет ТОЛЬКО о (child)доменах, между которыми устанавливается trust. OU тут не причем. И самое важное - это закон под названием KISS: Keep it simple-simple

----------
*Tout depend du personnel

Всего записей: 759 | Зарегистр. 08-10-2001 | Отправлено: 17:14 08-04-2004 | Исправлено: euserz, 17:17 08-04-2004
Newbie777

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
так... про частые командировки, поясняю что я имел ввиду
 
пользователь из child1.domain.com разъезжает по всем остальным childx,
т.е. чтобы каждый раз не логиниться по wan линку, ставим в childx DC от child1, теперь тоже самое для пользователя child2 ставить DC child2 в childx и т.д.
с OU количество DC в приведенном примере не будет множиться как кролики.
 
с трастами опять не понял. трасты нужны... в итоге для раздачи прав, так? тогда накой они мне, если мне хватит возможностей одного домена. Плиз без общих теоретических отступлений. Нужет пример такого типа: дано то-то то-то, надо то-то то-то, в OU фигу, в child пожалуйста.
 
С этим думаю разберемся, неужели это вcё? Видимо, никно не отважился организовать один домен с тучей OU, делали по типу NT-систем.
 

Всего записей: 920 | Зарегистр. 11-03-2003 | Отправлено: 22:32 08-04-2004
Refugee

Full Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Еще к выбору между отдельными доменами и дополнительными DC в сайтах.
 
Тот, кто имеет права локального администратора на один из DC, при наличии несложных хакерских утилит может делать очень многое со всей Directory - изменять схему, чужие пароли, членство в группах, доставать хэши паролей и проводить brute-force атаку на них. Так что, если вы не доверяете _полностью_  администратору другого сайта, сервер DC придется отдавать в запломбированном корпусе с замком и без пароля администратора.
 
Профайл в 1.5 Мб - такое может быть с только с mandatory profile. Контролировать размеры профайлов хотя бы у  десятка пользователей практически невозможно.  Если кому-либо необходимо работать со многих машин, то стоит использовать терминальный доступ.

Всего записей: 513 | Зарегистр. 31-03-2004 | Отправлено: 01:58 10-04-2004
Duke Shadow



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Newbie777

Цитата:
пользователь из child1.domain.com разъезжает по всем остальным childx,  
т.е. чтобы каждый раз не логиниться по wan линку, ставим в childx DC от child1, теперь тоже самое для пользователя child2 ставить DC child2 в childx и т.д.

Ээээ. А ты не перегибаешь? Для одного-двух пользователей ставить дополнительный DC?  
Не понятно почему ты так боишься авторизации по wan. Всё равно профиль в случае изменения придётся подтягивать с сервера не из этой подсети => в любом случае грузить wan-линк. Как сделать так, чтобы профиль тянулся с ближайшего сервера - не знаю.

Цитата:
идимо, никно не отважился организовать один домен с тучей OU

Ну с кучей не делал, а вот с двумя-тремя было дело. Пока в OU было 10 компов и 15 пользователей - нормально себя чувствовал. А потом пришлось резко в одно OU добавить ещё чуть меньше 40 компов - резко поплохело. Пришлось DC ставить в той подсети и профили на него перекачивать.
 
Refugee

Цитата:
Так что, если вы не доверяете _полностью_  администратору другого сайта, сервер DC придется отдавать в запломбированном корпусе с замком и без пароля администратора.

А никто и не спорит. В ситуации с OU - просто делаем "Delegate control..." на нужный объект - и никаких административных прав давать не нужно. Хотя без доверия не обойтись никак - такова специфика.

----------
Тот, кто умеет - делает, кто не умеет - учит(с)Б. Шоу
Войны никого не могут сделать великим(с)магистр Йода
Аватар(c)MindDiver

Всего записей: 3921 | Зарегистр. 15-02-2003 | Отправлено: 10:35 10-04-2004
Newbie777

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Недостаток OU перед доменом: как бы я не раздавал права у меня не получится разрешить логиниться выбранным пользователям на DC с возможностью администратора. Имееются ввиду установка программ, старт/стоп сервисов. Только добавление его в группу Domain Admins, в этом случа человек становиться админом не только своего OU, что не есть хорошо.
 
В случае падения локального DC, локальные админы длолжны иметь возможность поднять его. С отдельным child и правами Domain Admin это выполнимая задача, с OU... сомневаюсь.
 
Duke Shadow
Ээээ. А ты не перегибаешь? Для одного-двух пользователей ставить дополнительный DC?
к сожалению не перегибаю,  минимизация DC - главное преимущество OU перед child domain. А количество блуждающих пользователей потенциально равно 1/2 персонала всех офисов.
 
Добавлено
стоп. предыдущий пост отменяется. Если вдруг упадет региональный DC, локальные админы будут знать пароль для входа в Directory Restore Mode(это по f8 при загрузке).

Всего записей: 920 | Зарегистр. 11-03-2003 | Отправлено: 18:20 14-04-2004
ooptimum



Silver Member
Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору

Цитата:
сервер DC придется отдавать в запломбированном корпусе с замком и без пароля администратора.  

А также без флоппи- и CD-приводов, с выключенным PXE, паролем на BIOS и т.д.
 
Newbie777
Кроме администраторов домена есть еще такие группы как "Server Operators" и "Account Operators".

Всего записей: 2898 | Зарегистр. 30-05-2002 | Отправлено: 20:08 14-04-2004
Newbie777

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
ooptimum, Поясни о чем ты.
 
Account Operators - будут иметь права создавать объекты computers и users в любом месте домена, это лишнее.
 
Server Operators - получат права на все DC, поскольку с несколькими OU у нас подразумевается один домен, тогда админы OU включенные в "Server Operators" получат контроль над DC из других сайтов, что не есть хорошо.

Всего записей: 920 | Зарегистр. 11-03-2003 | Отправлено: 10:17 15-04-2004
ooptimum



Silver Member
Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
Newbie777

Цитата:
Поясни о чем ты.  

Что ты имеешь в виду?

Цитата:
... тогда админы OU включенные в "Server Operators" получат контроль над DC из других сайтов, что не есть хорошо.

Можно попробовать урегулировать это настройками безопасности в свойствах сайта (Active Directory Sites and Services), т.е. дать некторым деятелям доступ только на чтение на некоторые сайты. Просто идея...
Хотя сама Microsoft говорит, что
Цитата:
Some default user rights assigned to specific default groups may allow members of those groups to gain additional rights in the domain, including administrative rights. Therefore, your organization must equally trust all personnel that are members of the Enterprise Admins, Domain Admins, Account Operators, Server Operators, Print Operators and Backup Operators groups.

Всего записей: 2898 | Зарегистр. 30-05-2002 | Отправлено: 11:09 15-04-2004
Duke Shadow



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Newbie777

Цитата:
к сожалению не перегибаю,  минимизация DC - главное преимущество OU перед child domain.

Я имел в виду будет ли оправдано поднятие DC-офис1 в офис2, если туда наезжают всего один-два пользователя из офис1? Может проще резервирование каналов связи провести?

Цитата:
В случае падения локального DC, локальные админы длолжны иметь возможность поднять его. С отдельным child и правами Domain Admin это выполнимая задача, с OU... сомневаюсь.

А если дать им только локальных админов или "Server Operators"?

Цитата:
получат права на все DC, поскольку с несколькими OU у нас подразумевается один домен, тогда админы OU включенные в "Server Operators" получат контроль над DC из других сайтов, что не есть хорошо.

В политиках запретить локальный и сетевой вход на другие DC. Долго и муторно, конечно.
 
ooptimum
Можно вопрос оффтопом:  Как сделать так, чтобы профиль тянулся с ближайшего сервера? Т.е. домен разбит на несколько сайтов, в каждом по DC, пользователь разъезжает по этим сайтам и утягивает профиль с ближайшего к нему DC. Ну и там репликацию какую-нибудь настроить, чтобы профиль между DC тоже копировался.

----------
Тот, кто умеет - делает, кто не умеет - учит(с)Б. Шоу
Войны никого не могут сделать великим(с)магистр Йода
Аватар(c)MindDiver

Всего записей: 3921 | Зарегистр. 15-02-2003 | Отправлено: 15:00 15-04-2004
Открыть новую тему     Написать ответ в эту тему

Страницы: 1 2 3 4

Компьютерный форум Ru.Board » Компьютеры » В помощь системному администратору » Помогите продумать логическую структуру домена между офисами


Реклама на форуме Ru.Board.

Powered by Ikonboard "v2.1.7b" © 2000 Ikonboard.com
Modified by Ru.B0ard
© Ru.B0ard 2000-2025

BitCoin: 1NGG1chHtUvrtEqjeerQCKDMUi6S6CG4iC

Рейтинг.ru