Microsoft и Novell: борьба за каталоги

Novell Directory Services
Microsoft Active Directory (бета-версия)
Время выхода кроссплатформенных версий NDS

Что помирит каталоги

В современной сети служба каталогов играет роль центральной нервной системы. Она представляет собой распределенную базу данных, содержащую информацию о компьютерных ресурсах организации и ее кадрах. Каждый ресурс представлен в ней в виде объекта - записи в каталоге. Система каталогов обеспечивает иерархическое представление записей, делая информацию наглядной и легко управляемой.

В традиционной системе каталоги представляют собой единую объединенную базу данных, обеспечивающую аутентификацию пользователей, администрирование сетевой ОС, а также управление правами доступа к различным ресурсам системы. Приложения, использующие распределенную среду, такие как службы обмена сообщениями, системы группового планирования или бизнес-системы, работающие с СУБД, как правило, имеют собственные каталоги, используемые в аналогичных целях. Применение службы каталогов, ведущей единую базу данных вместо разрозненных списков, позволяет устранить избыточную информацию и снижает объем работ по ведению и синхронизации каталогов.

Чтобы справиться со всеми возложенными на нее задачами, служба каталогов должна быть расширяемой и масштабируемой. Кроме того, в ней необходимо предусмотреть возможности по ведению распределенной базы данных произвольной конфигурации, а также тиражированию. Ну и, разумеется, нужно, чтобы система предоставляла удобные средства администрирования.

Microsoft уже который месяц энергично рекламирует свою новую технологию Active Directory. Уже в начале 1998 года корпорация планирует реализовать ее в виде компонента операционной системы Windows NT Server 5.0. Однако пользователей, ожидающих появления этой технологии, беспокоят два вопроса. Во-первых, будет ли новая технология в самом деле настолько хороша, как обещает Microsoft. И во-вторых, стоит ли ждать год или даже больше, чтобы установить Active Directory или же лучше сделать ставку на систему NDS (Novell Directory Services), которая останется наилучшим вариантом службы каталогов для распределенной сети предприятия. Мы не будем ждать целый год, а попробуем уже сейчас определить, сможет ли Active Directory от Microsoft сравниться с продуктом Novell, который успешно продается с 1993 года (интересное совпадение - именно в этот год увидела свет первая версия Windows NT).

И Novell, и Microsoft заявляют, что их системы, обладающие всеми необходимыми достоинствами, следует считать лучшими в своем роде. Но сегодня на рынке имеются и другие продукты (компаний Netscape Communications, Banyan Systems и др.), которые вполне могут применяться в качестве распределенной системы каталогов. Однако в связи с тем, что служба каталогов должна быть тесно интегрирована с операционной системой, а среди операционных систем в численном выражении доминируют Novell NetWare и Microsoft Windows NT, мы приняли решение более подробно рассмотреть именно NDS и Active Directory.

Чтобы представить сравнительный анализ систем и определить, какая из них обеспечивает наиболее полный набор функций, необходимых для управления распределенной информационной инфраструктурой в крупной организации, мы попытались выявить сильные и слабые стороны обоих продуктов. При этом рассматривались только сами службы как отдельные и независимые компоненты сетевой ОС.

Для тестирования технологий была создана фиктивная многонациональная организация, имеющая офисы в трех географических точках и состоящая из четырех отделений. В каждое крупное отделение организации входило несколько более мелких элементов. Данные организации изначально содержались в двух каталогах. В одном из них хранилась информационная инфраструктура американской компании, а в другом - аналогичная структура для английской части компании. Каждый из каталогов содержал описание нескольких сотен пользователей. В задачи тестирования входило объединение информации из этих двух каталогов в единую логическую структуру.

Поскольку в ходе эксплуатации служб каталогов администраторам неизбежно приходится решать проблемы, связанные с определением логической организации объектов внутри каталогов, а также с оценкой доступности и отказоустойчивости распределенной системы хранения информации, в набор тестовых испытаний были также включены инструменты администрирования, система тиражирования и средства для занесения в эту структуру новых данных.

На наш взгляд, ни NDS, ни Active Directory не могут избавить администраторов от нелегкого труда по поддержанию работоспособности масштабируемой иерархической структуры. Однако сложность NDS в значительной степени компенсируется высокой гибкостью и наличием широкого набора функциональных возможностей.

Архитектура каталогов

Системы NDS и Active Directory имеют одну общую черту - их архитектуры построены на основе стандарта X.500, тем не менее в подходах для построения иерархической структуры каталогов имеется немало различий. В частности, архитектура NDS основывается на постепенной детализации структур данных сверху вниз, а Active Directory, напротив, организована методом обобщения информационных единиц методом снизу вверх.

Схема NDS, представляющая собой набор правил по именованию объектов и определению их свойств и атрибутов, мало чем отличается от спецификации X.500. Однако NDS не поддерживает напрямую такие протоколы доступа X.500, как, например, DAP (Directory Access Protocol - протокол доступа к каталогу). У Novell имеется собственное дополнительное средство для доступа к каталогам NDS - протокол LDAP (Lightweight Directory Access Protocol - облегченный протокол доступа к каталогу), однако в традиционных системах с разделением файлов и устройств печати он не применяется. В соответствии с традициями Novell, разработавшей протокол IPX, система NDS использует для связи с каталогом протокол NCP (NetWare Core Protocol - базовый протокол NetWare). Даже в следующем выпуске IntranetWare, получившем кодовое название Moab, в котором появится встроенная поддержка TCP/IP, основным протоколом все же останется NCP, хотя заголовки IPX, присутствующие в NetWare, уже не будут включены в систему. Система Moab, поддерживающая оба протокола - и IPX и TCP/IP, должна поступить в продажу в 1998 году.

Каталоги NDS имеют древовидную структуру, ветви в них произрастают из корневого объекта. Более низкие уровни позволяют описывать различные организации и подразделения. В корневом каталоге могут быть созданы объекты для деления общей структуры по странам. Организации и отделы могут содержать другие объекты - описания более мелких организационных единиц, а также групп пользователей, конкретных пользователей и отдельных серверов. Система позволяет создавать или перемещать описания пользователей, серверов и других объектов в любое место в пределах дерева каталогов NDS.

Очень удобной оказалась возможность NDS объединять отдельные каталоги с помощью утилиты DSMerge. Перед тем как объединить каталоги, нам пришлось убедиться, что оба они имеют одинаковую схему. К счастью, программа DSRepair смогла импортировать схему одного каталога в другой. После этого процесс объединения прошел быстро и безболезненно. К сожалению, обнаружилось, что в NDS отсутствует возможность работы с "объединенными подструктурами" (Federated Partitions) - независимыми каталогами с установленными между ними связями. Эти подструктуры должны обеспечивать проведение различных операций между каталогами, например передачу из одного каталога в другой пользовательских прав доступа.

Active Directory также основана на X.500, однако эта схема каталогов базируется на протоколе LDAP, который представляет собой подмножество спецификации DAP. Соответственно LDAP для Active Directory является основным протоколом доступа. Для определения элементов каталога и создания в соответствии с концепцией доменных деревьев (более подробно эта концепция описывается чуть ниже) единой иерархической структуры служба каталогов использует систему доменных имен DNS, для работы с которой требуется протокол TCP/IP.

Как и в ранних версиях Windows NT, главная структурная единица Active Directory - это домен. Домены могут содержать серверы и рабочие станции. В каждом из доменов NT 5.0 поддерживается собственный каталог, образуемый в Windows NT 5.0 средствами Active Directory и менеджера бюджетов. Active Directory устанавливает соответствия между именами DNS и доменными именами NT и использует их для создания единой иерархической структуры. (Например, три домена NT - InfoWorld, Sales и Editorial - можно объединить как домены DNS infoworld.com, sales.infoworld.com и editorial.infoworld.com.) Принцип, по которому происходит объединение доменов, называется системой доменных деревьев и представляет собой скорее иерархию каталогов, чем единый иерархический каталог. Однако доменные деревья - это нечто большее, чем взаимное отображение, установленное между DNS и доменами NT. Кроме иерархической структуры, обеспечиваемой DNS, в доменных деревьях можно определить "отношения доверия" между родительским и дочерними доменами. Эта операция, необходимая для обеспечения свободного доступа пользователей и администраторов, легко осуществляется в процессе установки. К сожалению, возможность переноса доменов из одного каталога в другой отсутствует. Кроме того, Active Directory не позволяет объединять существующие домены, поэтому нам в ходе тестирования пришлось определить ряд "отношений доверия" (trust relationship). Это полностью решило нашу проблему, но после такого объединения у меня по-прежнему осталось два каталога, а не один.

Распределенное тиражирование

Если достаточно крупная организация состоит из нескольких удаленных друг от друга офисов, возникает потребность в тиражировании каталогов. Возможность произвольного копирования каталогов позволяет администраторам повысить отказоустойчивость системы в целом и разумно распределить нагрузку на отдельные серверы.

По умолчанию каталог NDS не имеет подчиненных структур и состоит всего из одного узлового элемента - базы данных, именуемой коренной. Для повышения отказоустойчивости администраторы могут создавать копии этой базы на любом из серверов NDS. Дальнейшее разбиение каталогов возможно на трех различных уровнях объектов - на уровне страны, организации и отдела.

При организации тиражирования каталогов используется понятие главной копии. У каждой подструктуры каталога существует главная копия и набор дополнительных копий, доступных для чтения и записи либо только для чтения. (В NDS имеется еще несколько типов копий, но в качестве главных все же рассматриваются три вышеназванные.) Для доступа к объектам, расположенным вне локальной подструктуры, используется система ссылок, перенаправляющих пользователей и приложения к соответствующим подструктурам каталога.

При работе с NDS крайне не рекомендуется использовать тиражирование в системах с низкоскоростными каналами связи. В IntranetWare имеется возможность настройки частоты синхронизации, но этот параметр применим ко всему серверу, независимо от того, где расположены серверы, между которыми организована синхронизация, - внутри локальной сети или в разных точках земного шара.

NDS предлагает достаточно широкий спектр инструментов для разбиения и тиражирования каталогов, но некоторые функции в этом списке все же отсутствуют. Одна из таких функций - система каталогизации Catalog Service, над которой Novell работает уже более двух лет. Основная функция этой системы - это создание локального индексированного списка с неполной информацией из каталога. Ведение такого списка обеспечивает доступ к объектам из всего каталога, позволяя избежать полной синхронизации и постоянных обращений к удаленным частям каталога по медленным каналам связи.

Для тиражирования каталогов Active Directory используются возможности доменов NT. Копирование и синхронизацию каталогов осуществляют серверы, именуемые контроллерами доменов. Разбиение каталогов в настоящее время не поддерживается (в будущем Microsoft, возможно, обеспечит такую возможность, однако в Windows NT 5.0 ее не будет), поэтому для создания в каталоге Active Directory подчиненных структур пользователю необходимо описать несколько каталогов меньшего размера, построив таким образом доменные деревья.

Впрочем, несмотря на существующие ограничения по разбиению каталогов, у Active Directory имеется два уникальных свойства, повышающие эффективность работы в распределенных средах. Во-первых, в Active Directory реализована идея областей (наподобие тех, что имеются в Microsoft Systems Management Server). Области определяют участки с достаточно быстрыми каналами связи и позволяют выделять группы серверов по географическому признаку. Судя по описаниям корпорации, администраторы могут определять политику тиражирования между группами (к сожалению, в протестированной нами бета-версии эти возможности отсутствовали). Вторая важная особенность Active Directory - это система Global Catalog, аналогичная технологии Catalog Services, разработанной Novell. Эта система создает неполную индексированную копию доменного дерева каталогов. Управление оригиналом и копией осуществляют два выделенных сервера. В случаях когда один из серверов по каким-либо причинам не может обеспечить пользователю требуемые возможности (например, доступ на чтение и запись), Active Directory перенаправляет запрос к удаленному каталогу.

NDS позволяет хранить копии различных каталогов на одном сервере, в этом заключается одно из важнейших его отличий от Active Directory. (Например, сервер, расположенный в Лондоне, может хранить полную копию нью-йоркского каталога.) В системе Active Directory такие каталоги должны принадлежать различным доменам, но при этом сервер может входить только в один домен. (Чтобы Active Directory продемонстрировала результат, аналогичный NDS, необходимо установить в Лондоне еще один сервер, который будет входить в нью-йоркский домен.)

Управление объектами каталога

Преимущества служб каталогов становятся действительно очевидны, когда дело доходит до администрирования. Объектная структура каталогов способна существенно упростить процесс описания пользовательских прав доступа к ресурсам.

Характеристики системы администрирования каталогов определяются тремя основными аспектами: набором свойств и атрибутов объектов каталога, средствами администрирования и объектной структурой, обеспечивающей наследование (под наследованием в данном случае имеется в виду возможность передачи свойств и прав доступа, которыми обладают объекты, находящиеся выше в иерархической структуре, объектам, расположенным ниже). Для успешной работы новых приложений, способных работать с каталогами, необходимо также, чтобы средства администрирования были расширяемыми, а система обеспечивала возможность добавления в объекты новых свойств.

Систему наследования можно рассматривать как одну из сильных сторон NDS. Используя утилиту NWAdmin, мы легко смогли установить права доступа на различных уровнях дерева, в том числе и на самом верхнем, модифицируя не только пользовательские бюджеты, но и свойства файлов и директорий. Например, нам удалось разрешить доступ к сетевому каталогу (в том числе к файлам и подкаталогам внутри него) сразу всем пользователям подразделения. Администраторы могут отключать наследование отдельных свойств вплоть до уровня файлов.

В NDS присутствует ряд функций, облегчающих работу по созданию в каталоге новых пользовательских объектов. Удобной представляется возможность создания шаблонного объекта, в котором описываются значения свойств по умолчанию. К сожалению, групповые объекты NDS не могут содержать внутри себя другие групповые объекты. Это означает, что задать иерархическую стратегию управления группами невозможно.

В целом NWAdmin представляет собой очень удобное и мощное средство администрирования, позволяющее администраторам получить доступ к любым свойствам любых объектов, вплоть до отдельных файлов в сетевых каталогах. Единственный недостаток NWAdmin заключается в том, что администраторам приходится регистрировать все свои подключения на каждой из административных машин. Обычно это делается с помощью записей в системном реестре Windows 95 или NT. Компания Novell облегчила эту задачу, включив в поставку продукта набор файлов для подключения к реестру, однако для каждого подключения приходится использовать отдельный файл.

Управление Active Directory осуществляется с помощью консоли управления MMC (Microsoft Management Console). MMC сама по себе не выполняет никаких административных задач, она представляет собой всего лишь оболочку, позволяющую запускать компоненты ActiveX, содержащие реальные управляющие функции. К сожалению, работая с MMC, приходится поочередно загружать различные компоненты (единственная альтернатива - запуск нескольких копий MMC). Кроме этого, административные компоненты должны содержаться на каждой из машин, с которых производится администрирование системы. Преимущество MMC в том, что это приложение создает единую платформу для произвольных инструментов управления. Например, единая консоль может использоваться для управления сразу несколькими приложениями, например службой каталогов, сервером баз данных и Web-сервером.

Среди недостатков Active Directory - неспособность MMC работать одновременно с несколькими каталогами (NDS не содержит таких ограничений). Кроме того, хотя нам и удалось поместить разделяемые сетевые папки в каталог, установить права доступа на файлы и папки внутри такого объекта оказалось невозможно. Одно из преимуществ Active Directory - возможность установки системной политики, определяющей сроки истечения полномочий и действия паролей для входа в систему, на уровне доменов. Радует также, что политика, установленная для одного домена, "работает" и по отношению к другим доменам внутри доменного дерева (это означает, что единая для всего дерева доменов системная политика может быть установлена путем изменения свойств всего одного объекта). К сожалению, на уровне пользовательских объектов такая возможность отсутствует. Кроме того, наследование внутри дерева доменов возможно только до уровня отдельного домена (хотя установки свойств используемых в наших испытаниях объектов Active Directory вроде бы позволяли наследование внутри домена, в имеющейся у нас бета-версии эта функция не работала).

В Active Directory, так же как и в NDS, предусмотрены возможности по групповому установлению прав доступа вплоть до уровня объектов-каталогов. Active Directory не поддерживает шаблоны объектов, поэтому создать большое число пользователей достаточно тяжело. В Active Directory отсутствуют также объекты-ссылки, позволяющие разместить один объект сразу в нескольких узлах каталога. Кроме того, Active Directory не позволяет перемещать пользователей из одного домена в другой, даже если эти пользователи числятся в одном дереве доменов. Возможность одновременного редактирования нескольких пользовательских объектов также отсутствует.

Кроссплатформенная поддержка

Как бы ни был хорош продукт, если отсутствует его реализация для используемых компанией платформ, пользы от него будет не много. По-настоящему полезная служба каталогов должна быть платформенно-независимой. На данный момент только Novell пытается сделать свой продукт кроссплатформенным, хотя работа эта полностью еще не завершена.

Версии NDS существуют для платформ Novell NetWare и IntranetWare версии 4.0 и выше, SCO UnixWare, HP-UX и IBM AIX. К моменту тестирования последние две версии еще не были готовы к выходу, так что мы смогли провести тестирование NDS только на IntranetWare и UnixWare. На обеих платформах система работала устойчиво и без сбоев.

Компания планирует добавить полноценную поддержку NDS в Windows NT (тестирование было завершено к началу декабря; в настоящее время доступна коммерческая версия NDS for Windows NT, - Прим. ред.) и Sun Solaris. Кроме того, Novell совместно с компаниями IBM, Caldera и Fujitsu работает над переносом NDS на OS/400 и OS/390, OpenLinux и DS/90 соответственно. Клиентское ПО имеется для DOS, Windows 3.x, Windows 95, Windows NT, OS/2 версии 2.x и выше и Macintosh. Компании SCO и Caldera разработали также клиентские программы для работы с NDS в среде UnixWare и OpenLinux соответственно.

Хотя окончательной версии Active Directory еще не существует, Microsoft надеется включить эту технологию в поставку операционной системы Windows NT Server 5.0, выход которой намечен на 1998 год. Поддержка других платформ не запланирована. Компания Cisco Systems недавно пообещала заняться реализацией элементов Active Directory для некоторых Unix-платформ, но пока никакой информации об этом проекте нет. Что касается клиентов, то Microsoft планирует обеспечить поддержку службы каталогов только в Windows 95 и в Windows NT. Впрочем, сама ОС Windows NT Server 5.0 будет поддерживать DOS, Windows 3.x и Windows NT версии 4.0 и ниже в качестве клиентов для разделяемого доступа к файлам и устройствам печати.

Джунгли доменных деревьев

И NDS, и Active Directory имеют расширяемую схему, поддерживают приложения, работающие с каталогами, и обеспечивают управление и распространение приложений. К сожалению, трудно сказать, в какой степени каждое из решений обеспечивает защищенный контролируемый доступ к ресурсам при установлении связи между организациями и насколько эти системы интегрируются с открытыми стандартами Internet.

В вопросах распределения и тиражирования оба продукта имеют сильные и слабые стороны и оба могут считаться незаконченными. Однако, ознакомившись с бета-версией NT 5.0, мы пришли к выводу, что продукт Novell, который представлен на рынке уже четыре года, в целом лучше справляется с задачами администрирования и управления объектными каталогами. Еще одно важное преимущество разработки Novell - наличие широкого спектра поддерживаемых программно-аппаратных платформ. В свою очередь, у технологии, предлагаемой Microsoft, также есть интересные свойства, отсутствующие в разработке Novell.

Novell Directory Services

Достоинства:

Недостатки:

Платформы:

NetWare версии 4.x и выше, NT, SCO UnixWare, HP-UX и IBM AIX

Microsoft Active Directory (бета-версия)

Достоинства:

Недостатки:

Платформы:

Windows NT Server 5.0

Время выхода кроссплатформенных версий NDS

На данный момент в продаже имеются версии для следующих платформ: Novell NetWare и IntranetWare, Windows NT Server, SCO UnixWare, HP-UX и IBM AIX. Список создаваемых версий NDS и сроки их выхода:

Первые пользователи оценивают возможности служб каталогов достаточно оптимистично

Безусловно, пользователи хотели бы иметь у себя единую службу каталогов, которая поддерживала бы все имеющиеся в корпорации приложения и позволяла администрировать все серверы предприятия. Однако при существующем уровне технологий кажется порой, что надежды на это мало.

Тем не менее это не совсем так. Существует три подхода к обеспечению сосуществования каталогов, созданных в различных операционных системах, - синхронизация, перенаправление и подмена каталогов. К сожалению, решения всех проблем пользователей ни один из перечисленных подходов не обеспечивает (в основном из-за недостатка поддерживающих их приложений).

Самый популярный подход - это синхронизация, при которой внесение изменений в один каталог влечет за собой автоматическое обновление других. Примерами средств синхронизации могут служить продукты NetVision Synchronicity, Novell Administrator for Windows NT и Microsoft Directory Services Manager for NetWare (DSMN). Синхронизация облегчает поддержку нескольких каталогов, но оставляет открытой проблему их администрирования. Этот подход не позволяет работать с расширенными свойствами каталогов, хотя, кроме добавления пользователей и настройки групповых свойств, других задач решать, как правило, здесь не приходится.

В идеале ПО для синхронизации должно поддерживать все системы каталогов и все используемые приложения. Для платформ Novell и Microsoft эту проблему решают два продукта: Administrator for Windows NT компании Novell, который обеспечивает синхронизацию между NDS и Windows NT, и Directory Services Manager for NetWare корпорации Microsoft, служащий своего рода мостиком между NT и NetWare 3.x. Третий продукт - Synchronicity производства компании NetVision - обладает несколько более широкими "полномочиями" - он обеспечивает поддержку NetWare 3.x, NDS, Lotus Notes и доменов NT. В настоящее время NetVision разрабатывает версии для Microsoft Exchange и Netscape Directory Server.

Перенаправление каталогов - это не что иное, как преобразование обращений, относящихся к одному каталогу, в операции, осуществляемые в другом. Такой подход неплохо себя зарекомендовал, однако его эффективность в значительной степени зависит от особенностей работы приложений с "родной" системой каталогов, а также от способности другой службы каталогов работать с данным приложением. Проблемы несовместимости, возникающие при использовании данного подхода, скорее всего, будут решены благодаря применению интероперабельных стандартов, например LDAP 3.0, работа над которым, вероятно, завершится уже в начале 1998 года. Примером реализации этого подхода может служить продукт NDS for NT компании Novell, который обеспечивает сосуществование только двух систем каталогов - NT и NDS.

Наконец, последний подход - это подмена одного каталога приложения или ОС на другой. Этот метод лег в основу работы системы StreetTalk for Windows NT компании Banyan Systems. Он также используется при реализации распределенной вычислительной среды DCE (Distributed Computing Environment), над созданием которой трудится несколько производителей. Основным недостатком StreetTalk считается отсутствие поддержки достаточного числа приложений. Тем не менее для пользователей Banyan Vines применение этого продукта вполне оправданно. Что касается широко распространенной операционной системы NetWare, то ее пользователям StreetTalk помочь не в состоянии. DCE можно рассматривать как достаточно удачное решение - эта технология является кроссплатформенной, к тому же поддерживается различными производителями. Впрочем, она еще недостаточно широко распространена.

Что помирит каталоги

Концепция метакаталогов, единой точки управления несколькими службами каталогов привлекла к себе внимание около двух лет назад. По определению, метакаталог собирает информацию об учетных данных пользователей из любого количества каталогов, основанных на сетевых ОС или связанных к конкретными приложениями (например, системой электронной почты, средствами автоматизации деловых процессов или базами данных сотрудников компании), и синхронизирует ее между не связанными между собой службами. Программное обеспечение метакаталога содержит программируемую логику, называемую "соединением" (join), которая понимает взаимосвязи между информацией о пользователях, хранящейся в разных каталогах.

Чем богат рынок метакаталогов?