Самоучитель системного администратора. 5-е изд
жүктеу/скачать 20,51 Mb. Pdf көрінісі
|
Cамоучитель системного администратора книга
Глава 10 Распределенные каталоги Все мы знаем, что для централизованного управления сетевыми ресурсами (серве- ры, общие папки, принтеры, пользователи и пр.) созданы специализированные средства — каталоги — и стандартизованы протоколы работы с ними (Х500, LDAP и т. п.). Эти каталоги изначально проектировались с учетом обеспечения распределения нагрузки и исключения единой точки отказа. Самый яркий и известный пример такого каталога — Active Directory (AD) от Microsoft. В среде Linux часто используется каталог OpenLDAP — это бесплатный аналог AD. Репликация данных каталогов Для обеспечения отказоустойчивости в системе обычно устанавливается несколько серверов каталогов, при этом между ними настраивается репликация данных. В службе каталогов Microsoft для сопоставления физической и логической структур данных введено понятие сайта . Сайт объединяет серверы (и пользовательские сис- темы) в пределах локальной сети (где быстрые каналы связи). Между собой сайты соединяются по более медленным линиям связи — например: ISDN, ATM и т. п. С учетом скорости канала связи между серверами каталогов соз- даются и правила репликации. Для сложных структур информационных систем, особенно в случае наличия разнотипных каналов связи, эту операцию лучше вы- полнить вручную, явно указав, как должны передаваться данные. Это может стать сложной задачей, и интересующегося читателя мы отошлем к первоисточнику по управлению межсайтной репликацией: http://technet.microsoft.com/en-us/library/ cc961783.aspx . Хозяева операций Чтобы распределенная система служб каталогов нормально функционировала, не- обходима постоянная синхронизация всех серверов, — ведь нужно исключить сбои. Именно для этого были разработаны специальные механизмы обеспечения распределенной структуры, называемые хозяевами операций . Хозяин операции — это сервер каталога, являющийся главным (мастер-сервером) по какой-либо функции. Такие функции носят название Flexible Single Master Operation role (FSMO). В доменах Windows 20 xx их пять: владелец схемы (Schema master) — контролирует обновления и модификации схемы каталога. Для обновления схемы каталога вы должны получить доступ к владельцу схемы; владелец доменных имен (Domain naming master) — контролирует добавление или удаление доменов в лесу. Для добавления или удаления доменов вам нужно получить доступ к владельцу доменных имен; владелец относительных идентификаторов (RID master) — распределяет от- носительные идентификаторы контроллерам домена. Независимо от того, соз- Отказоустойчивая информационная система 517 даете ли вы объект пользователя, группы или компьютера, контроллеры домена присваивают этому объекту уникальный идентификатор безопасности; эмулятор основного контроллера домена (PDC emulator) — когда вы исполь- зуете операции смешанного режима, эмулятор PDC работает как Windows NT PDC. Его задача — аутентификация входов Windows NT, процесс изменения па- ролей и репликация обновлений на BDC; владелец инфраструктуры домена (Infrastructure master) — обновляет ссылки объектов путем сравнения данных из каталога с глобальным каталогом. Если данные устарели, владелец инфраструктуры запрашивает обновленные данные из глобального каталога и затем реплицирует изменения на другие контроллеры домена. При первоначальной установке домена все пять ролей зафиксированы за первым контроллером. Впоследствии, с учетом специфики структуры организации, их можно переносить на другие контроллеры. Важно только, чтобы при исключении контроллера домена администратор проследил, что все эти пять операций не поте- ряли хозяина. Чтобы определить, какой сервер является текущим владельцем схемы в домене, откройте командную строку и введите команду: dsquery server –hasfsmo schema Для определения сервера, являющегося текущим хозяином доменных имен, от- кройте командную строку и введите команду: dsquery server –hasfsmo name Определить, какой сервер является текущим мастером операций инфраструктуры, можно, открыв командную строку и введя команду: dsquery server –hasfsmo infr Для определения сервера, являющегося текущим владельцем относительных иден- тификаторов для домена, откройте командную строку и введите команду: dsquery server –hasfsmo rid Чтобы определить, какой сервер является текущим эмулятором PDC, откройте командную строку и введите команду: dsquery server –hasfsmo pdc Смена хозяев операций Три роли (PDC, RID, Infrastructure) легко переносятся с помощью оснастки AD Пользователи и компьютеры . Необходимо просто открыть оснастку, подклю- читься к тому контроллеру домена, на который планируется перенести ту или иную роль, и выполнить соответствующую команду в меню. При корректном исключении сервера каталога (путем снижения его роли командой dcpromo ) мастер операций отслеживает состояние ролей. В случае аварии система 518 Глава 10 может остаться без хозяина какой-либо роли. В этом состоянии служба каталогов не может находиться долго, и необходимо назначить нового хозяина операции. Все операции по переносу ролей можно выполнить в командной строке. Для этого используется утилита ntdsutil. Главное, что эту утилиту можно применять не только для переноса ролей при работающих контроллерах, но и для назначения нового владельца роли в случае аварийного выхода из строя прежнего хозяина. П РИМЕЧАНИЕ Назначение ролей следует использовать с осторожностью, при наличии полной уве- ренности в том, что прежний хозяин не будет вновь доступен в сети. Появление двух хозяев одной роли может привести к неработоспособности всего домена. Опишем кратко последовательность операций, которые необходимо выполнить для назначения контроллеру домена новой роли. 1. Открыть утилиту и набрать команду ROLES . 2. Указать, к каким контроллерам необходимо подключиться, для чего набрать команду CONNECTIONS и ввести команду подключения к необходимому контрол- леру, после чего закрыть опцию CONNECTIONS , набрав команду QUIT . 3. Выбрать нужную команду SEIZE ... , чтобы переписать соответствующую роль. Утилита сначала попытается корректно перенести выбранную роль, и лишь при недоступности соответствующего контроллера будет выполнена операция пере- записи. П РИМЕЧАНИЕ Если в структуре предприятия присутствует несколько доменов, то совмещение ролей Infrastructure Master с сервером глобального каталога недопустимо . Сервер глобального каталога (GC) Контроллеры домена хранят информацию об объектах текущего (собственного) домена. Поскольку в логической структуре предприятия может существовать не- сколько доменов, то для выполнения операций, затрагивающих объекты разных доменов, необходим доступ к соответствующим контроллерам. Для ускорения опе- раций в системе создаются специальные контроллеры, которые хранят (в режиме «только для чтения») все объекты леса , но только не с полным, а с частичным на- бором атрибутов. Такие контроллеры называются серверами глобального каталога (Global catalog, GC). Сервером глобального каталога может быть назначен любой контроллер домена. Назначение контроллера домена сервером глобального каталога выполняется через оснастку AD Сайты и Cлужбы . Раскрыв узел, соответствующий нужному кон- троллеру, в свойствах NTDS Settings необходимо включить параметр использова- ния контроллера в качестве GC. П РИМЕЧАНИЕ В локальных сетях рекомендуется назначать серверами глобального каталога не ме- нее двух контроллеров домена. Отказоустойчивая информационная система 519 Серверы GC хранят наиболее часто используемые атрибуты объектов. Условно можно считать, что объем хранимых на GC данных снижается примерно в два раза по сравнению с «полным» вариантом описания объекта. Но если конкретным при- ложениям необходим частый доступ к нереплицируемым атрибутам, администра- тор может внести изменения в параметры GC, откорректировав схему организации . Для этого достаточно в консоли управления оснасткой AD Schema включить реп- ликацию в свойствах соответствующих атрибутов (по умолчанию этой оснастки нет в списке меню, и ее следует добавить в консоль управления). П РИМЕЧАНИЕ Некоторые приложения активно используют обращения к GC. Например, MS Exchange Server. В этих случаях сервер GC обязательно должен быть включен в соответствую- щий сайт («рядом» с таким приложением). В реальной сети необходимо обеспечить некую разумную избыточность GC, имея в виду, что каждый дополнительный GC — это и дополнительный объем копирова- ния данных, передача которых может привести к повышенной нагрузке на системы и каналы связи. Отказоустойчивые решения и виртуальные системы В корпоративных версиях VMware реализованы технологии обеспечения высокой доступности — для обеспечения такой доступности должны быть отдельно приоб- ретены компоненты vSphere. Высокая доступность реализуется за счет параллельной работы нескольких вирту- альных машин. Специальные компоненты обеспечивают синхронизацию оператив- ной памяти двух машин и переключение расчетов в случае отказа основной вирту- альной системы. Соответственно, по этой технологии на виртуальной машине защищаются любые приложения и данные. Однако у этого решения есть и недостатки. Оно предъявляет к виртуальным маши- нам определенные требования: идентичность процессоров и наличие аппаратной поддержки виртуализации, необходимость развертывания управляющего центра, наличие нескольких высокоскоростных сетевых адаптеров, наличие системы хра- нения (диски защищаемых машин автоматически переводятся в «толстый» тип, если они были созданы в режиме «тонких» дисков) и т. п. Нужно отметить, что такое высокодоступное решение может быть реализовано для любых операционных систем, поддерживающих vSphere. |