домены и рабочие группы – что это такое

Операционная система Windows Server 2003 и классическая Windows NT используют дватермина, которые не связаны один с другим, но часто вызывают затруднения у
администраторов: “домены” и “рабочие группы”. Вот как определяются эти термины.

Домен является элементом системы безопасности. Члены домена проходят
аутентификацию с помощью специальных серверов, которые называются контроллерами домена.
Рабочая группа является элементом системы распределения ресурсов. Члены рабочей группы находят друг друга с помощью специальных серверов, которые называются браузерами.

Все, кто, как и я, пережили “холодную войну”, поймут, где лежит источник этой путаницы. Помните Хрущева или Брежнева? Каждый из них имел неограниченную власть в СССР, так как каждый из них занимал два поста — Председателя Верховного Совета и Генерального секретаря Коммунистической партии. Точно так основной контроллер доцена (Primary Domain Controller — PDC) делает домены и рабочие группы подобными друг другу, потому что на PDC хранятся одновременно база данных системы безопасности и база данных браузера.

Использование рабочих групп

Если устанавливается сервер, который не должен взаимодействовать с другими серверами, его можно сделать изолированным сервером — членом рабочей группы. Клиенты в той же рабочей группе в той же подсети IP используют один и тот же браузер, чтобы найти сервер. Пользователи будут проходить аутентификацию с помощью локальной базы данных SAM на сервере при каждом подключении по сети.
Даже при наличии домена иногда имеет смысл устанавливать изолированные серверы. Например, такой сервер может быть установлен в пределах демилитаризованной зоны, компьютеры в которой не должны передавать информацию о регистрации обратно через брандмауэр.

Присоединение к домену

Если надежности базы данных аутентификации на сервере недостаточно, сервер необходимо ввести в состав домена. При этом сервер становится членом домена. Члены домена Active Directory выполняют аутентификацию пользователей с помощью протокола Kerberos. Это позволяет добиться высокого уровня безопасности и получить быстрый механизм аутентификации. Кроме этого, такой механизм аутентификации содержит информацию об авторизации, которая необходима для создания локального контекста безопасности пользователя.
Члены классического домена Windows NT осуществляют аутентификацию пользователей с помощью протокола NT LanMan Challenge-Response. При этом от сервера требуется наличие прямой линии связи с резервным контроллером домена.
В операционной системе Windows NT для добавления компьютера в домен требовалось предоставить аутентификационные данные администратора. В операционной системе Windows Server 2003 (и Windows 2000) любой аутентифицированный пользователь в состоянии добавить компьютер в домен. Возможность добавления компьютеров в домен определяется групповой политикой для организационной единицы контроллеров домена (Domain Controllers Organization Unit) в Active Directory. Изменив эту групповую политику, можно ограничить круг пользователей, которым разрешено добавлять компьютеры в домен.