Что такое контроллер домена и как он работает в корпоративной сети
В корпоративной сети важно централизованно управлять учетными записями сотрудников, доступом к ресурсам и настройками рабочих компьютеров. Для этого используют контроллер домена.
В статье разберем, как он работает, какие задачи решает, чем отличается от Active Directory и зачем компании может понадобиться несколько контроллеров. Отдельно рассмотрим варианты развертывания и критерии выбора сервера под эту роль.
В этой статье:
- Контроллер домена простыми словами
- Как работает контроллер домена и какие задачи он выполняет
- Active Directory и контроллер домена: в чем разница
- Зачем используют несколько контроллеров домена
- Физический или виртуальный контроллер домена
- Как выбрать сервер для контроллера домена
- Вопросы и ответы
Контроллер домена простыми словами
Контроллер домена — это сервер, который выполняет роль централизованного узла для работы с пользователями и компьютерами в домене. Он хранит данные домена и участвует в проверке пользователей при входе в корпоративную сеть.
Чтобы понять его роль, сначала разберемся с самим доменом.
Представим компанию, где десятки или сотни сотрудников работают за разными компьютерами. Если каждый компьютер обслуживать отдельно, администратору придется управлять учетными записями и доступом на каждом устройстве. Домен объединяет пользователей и компьютеры в общую систему управления. Учетную запись сотрудника можно создать централизованно и использовать на компьютерах, которые входят в корпоративный домен.
Контроллер домена поддерживает работу этой системы. Благодаря ему компания может централизованно работать с учетными записями и организовывать доступ сотрудников к корпоративным ресурсам. Администратору при этом не приходится создавать отдельную учетную запись одного сотрудника на каждом рабочем компьютере.
Как работает контроллер домена и какие задачи он выполняет
Разберем работу контроллера на примере входа сотрудника в рабочую учетную запись. Сначала компьютер должен найти контроллер в сети. Для этого он обращается к DNS — службе, которая помогает определить, куда отправить запрос. После этого контроллер проверяет учетные данные пользователя.
После успешной проверки система получает сведения, которые нужны для определения прав пользователя.
Например, сотрудник может состоять в группе бухгалтерии, отдела продаж или системных администраторов. Администратор назначает права группам, поэтому ему не приходится отдельно настраивать доступ для каждого сотрудника. Такой подход упрощает управление, особенно когда в компании много пользователей и корпоративных ресурсов.
Контроллер также участвует в централизованном управлении настройками компьютеров и пользователей. Для этого используют групповые политики. Администратор может задать правила для определенных пользователей или устройств, а компьютеры получают соответствующие настройки из доменной инфраструктуры.
Например, через групповые политики можно управлять параметрами безопасности и системными настройками. Параметры для компьютеров обрабатываются при запуске, а пользовательские — при входе в систему.
В итоге контроллер домена выполняет несколько связанных задач: проверяет учетные данные, предоставляет сведения для определения прав доступа и участвует в централизованном управлении пользователями и компьютерами. За счет этого администратор может управлять доменной средой из общей системы вместо настройки каждого устройства и каждой учетной записи по отдельности.
Active Directory и контроллер домена: в чем разница
Active Directory Domain Services, или AD DS, — это служба каталогов Windows Server. В ней хранятся сведения об объектах домена: пользователях, компьютерах, группах и других ресурсах. Сервер, на котором работает AD DS, выполняет роль контроллера домена.
Разберем на примере. В компании создали учетную запись нового сотрудника и добавили его в нужную группу. Эти сведения становятся частью каталога. Когда сотрудник входит в систему под своей учетной записью, компьютер обращается к серверу с доменной ролью и получает необходимые данные для дальнейшей работы в сети.
Получается, что Active Directory описывает саму службу и организованные в ней данные, а контроллер домена предоставляет эту службу пользователям и компьютерам в сети. Поэтому понятия тесно связаны, но обозначают разные части доменной инфраструктуры.
Зачем используют несколько контроллеров домена
Если домен зависит от одного контроллера, его недоступность может нарушить работу служб, которым требуется обращение к серверу с этой ролью. Поэтому в инфраструктуре можно разместить несколько контроллеров. Если один из них недоступен, компьютер может найти другой и отправить запрос ему. Microsoft предусматривает такой механизм поиска при работе Active Directory.
Чтобы контроллеры работали с согласованными данными, Active Directory использует репликацию.
Например, администратор создает новую учетную запись или меняет сведения о существующей. Система передает изменения между контроллерами домена по правилам репликации. В результате каждому серверу не требуется вести отдельный независимый набор данных.
Несколько контроллеров также используют в компаниях с филиалами и территориально распределенной инфраструктурой. Сервер с доменной ролью можно разместить на удаленной площадке, чтобы пользователи обращались к доступному контроллеру с учетом структуры сети. Для этого в Active Directory предусмотрены сайты — они описывают физическую структуру сети и помогают направлять клиентов к подходящим серверам. Microsoft также использует сайты при управлении репликацией между площадками.
Сколько контроллеров потребуется компании, зависит от структуры сети, количества площадок и требований к доступности. Универсального числа здесь нет: схему проектируют с учетом того, какие последствия для доменной инфраструктуры допустимы при недоступности отдельного сервера или площадки.
Физический или виртуальный контроллер домена
Для контроллера домена можно выделить отдельный физический сервер или виртуальную машину. В обоих случаях меняется прежде всего способ размещения и то, от какого оборудования будет зависеть работа сервера.
На физическом сервере операционная система и доменная роль работают непосредственно на оборудовании. Такой контроллер не зависит от гипервизора — программной платформы для запуска виртуальных машин. При этом под него требуется отдельный сервер, который нужно обслуживать вместе с остальным оборудованием.
В виртуальной машине контроллер работает на физическом узле вместе с другими виртуальными машинами. Ему выделяют нужную часть процессорных ресурсов, оперативной памяти и дискового пространства. Если в компании уже используется виртуализация, под доменную роль можно создать отдельную виртуальную машину без дополнительного физического сервера.
При таком размещении важно смотреть, на каких физических узлах работают виртуальные контроллеры. Например, две виртуальные машины можно разместить на одном сервере, но тогда они зависят от одного и того же оборудования. При отказе этого узла обе машины станут недоступны. Размещение на разных физических серверах позволяет разделить эту точку отказа.
Физический сервер изолирует доменную роль от среды виртуализации. Виртуальная машина позволяет разместить ее на уже имеющихся вычислительных ресурсах. Поэтому при сравнении этих вариантов важно учитывать, где фактически будет работать каждый контроллер и какие физические узлы обеспечивают его работу.
Как выбрать сервер для контроллера домена
Конфигурацию сервера рассчитывают под предполагаемую нагрузку. Для этого учитывают количество пользователей и компьютеров, активность доменных служб и программы, которые будут работать на том же оборудовании. Если инфраструктура уже существует, полезную информацию даст статистика загрузки действующего сервера в рабочие часы.
Процессор. Его производительности должно хватать для обработки одновременных запросов. Ориентироваться только на количество сотрудников здесь нельзя: нагрузка зависит и от того, насколько активно пользователи, компьютеры и приложения обращаются к доменным службам.
Оперативная память. Active Directory кеширует данные каталога в памяти, чтобы сократить количество обращений к накопителям. При расчете учитывают размер базы Active Directory, потребности операционной системы и программ, установленных на сервере.
Накопители. Важны производительность и отказоустойчивость дисковой подсистемы. Если на физическом сервере размещены другие системы, в расчет включают их требования к объему и скорости работы накопителей.
Сеть. Сетевой интерфейс обслуживает обмен данными между сервером, рабочими компьютерами и другими системами. Для существующей инфраструктуры фактическую нагрузку можно посмотреть по статистике сетевого трафика.
После расчета этих параметров можно выбирать конкретную серверную платформу.
Примеры серверов для разных задач
Одна модель может оказаться разумным вариантом для отдельного физического контроллера, другая даст больше возможностей для размещения виртуальных машин или локальных накопителей. Рассмотрим три разных по возможностям сервера.
HPE ProLiant DL320 Gen11 — для отдельного физического контроллера
Для выделенного сервера можно рассмотреть HPE ProLiant DL320 Gen11. Это однопроцессорная платформа формата 1U с поддержкой Intel Xeon Scalable четвертого и пятого поколений. В сервере предусмотрено 16 слотов DDR5, максимальный объем памяти достигает 2 ТБ.
DL320 Gen11 позволяет подобрать процессор и объем памяти под нагрузку отдельного контроллера без перехода на двухпроцессорную платформу. При необходимости конфигурацию можно расширить по памяти и накопителям.
Dell PowerEdge R550 — для небольшой виртуальной среды
Если на физическом сервере планируется несколько виртуальных машин, можно рассмотреть Dell PowerEdge R550. Это сервер формата 2U с поддержкой до двух Intel Xeon Scalable третьего поколения. В нем предусмотрено 16 слотов DDR4 с максимальным объемом памяти до 1 ТБ. Dell относит R550 в том числе к задачам небольшой ИТ-инфраструктуры и виртуализации с невысокой плотностью.
В этом сценарии ресурсы сервера распределяются между несколькими виртуальными машинами. Поэтому процессор, память и накопители рассчитывают по их общей нагрузке, а для контроллера выделяют необходимую часть ресурсов.
Supermicro SYS-220P-C9R — когда требуется больше накопителей
Если серверу нужна более развитая локальная дисковая подсистема, можно рассмотреть Supermicro SYS-220P-C9R. Это двухпроцессорная платформа формата 2U на Intel Xeon Scalable третьего поколения. Сервер поддерживает до 4 ТБ DDR4 и предоставляет 16 отсеков для накопителей: восемь SAS, четыре SATA и четыре NVMe/SATA.
Такое исполнение дает больше возможностей для локального хранения данных нескольких виртуальных машин. Этот вариант имеет смысл рассматривать, если физический сервер выполняет несколько задач и ему требуется больше накопителей, чем в конфигурации отдельного контроллера.
Вопросы и ответы
Он нужен для централизованного управления пользователями и компьютерами в домене. Контроллер проверяет учетные данные при входе и предоставляет информацию, которая используется для определения прав доступа. Благодаря этому администратор может управлять учетными записями и настройками из общей системы.
Да. Контроллеры обмениваются изменениями через репликацию. Если администратор создал пользователя или изменил данные на одном сервере, эти изменения передаются другим контроллерам домена. Несколько серверов также позволяют сохранить доступность доменных служб при недоступности одного из них.
Если в инфраструктуре есть другой доступный контроллер, компьютер может обратиться к нему. Если доступных контроллеров нет, Windows в некоторых случаях позволяет сотруднику войти на компьютер по сохраненным данным предыдущего входа. При этом ресурсы и операции, которым требуется проверка через домен, могут быть недоступны.
Размер штата здесь не главный критерий. Домен полезен, когда компании требуется централизованно управлять учетными записями сотрудников, рабочими компьютерами и доступом к корпоративным ресурсам. Поэтому в первую очередь стоит смотреть на задачи администрирования.
Высокая производительность сама по себе не является обязательным условием. Сервер подбирают по предполагаемой нагрузке: учитывают количество пользователей и компьютеров, активность обращений к доменным службам и другие программы, которые будут работать на том же оборудовании.
Да, на одном сервере могут работать несколько ролей и приложений. В этом случае при подборе оборудования учитывают их общую нагрузку на процессор, оперативную память и накопители. Также важно учитывать, сколько служб одновременно станет недоступно при отказе этого сервера.
Да. Контроллер требуется не каждой сети. Если компания не использует доменную инфраструктуру, учетными записями и устройствами можно управлять другими способами. Контроллер нужен, когда организация использует Active Directory Domain Services для централизованного управления пользователями, компьютерами и доступом к ресурсам.
Подробнее...
Подробнее...
Подробнее...
Подробнее...
