Aby utworzyć las w strukturze katalogowej AD DS (Active Directory Domain Services), należy utworzyć co najmniej
A. trzech drzew domeny
B. dwóch drzew domeny
C. czterech drzew domeny
D. jednego drzewa domeny
Pytanie z egzaminu CKE, czerwiec 2018 (arkusz E.13-X-18.06).
Las w AD DS powstaje już wtedy, gdy utworzysz jedno drzewo domeny, czyli poprawna odpowiedź to: jednego drzewa domeny. W praktyce wygląda to tak, że podczas instalacji pierwszego kontrolera domeny w nowym środowisku Active Directory tworzona jest pierwsza domena, nazywana domeną główną lasu. Ta domena jednocześnie rozpoczyna pierwsze drzewo domeny, a razem z nim cały las. Las jest najwyższym kontenerem logicznym w AD DS i stanowi granicę bezpieczeństwa, replikacji schematu oraz konfiguracji katalogu. Wspólne są m.in. schemat Active Directory, partycja konfiguracji, katalog globalny i relacje zaufania wewnątrz lasu. Z mojego doświadczenia najłatwiej zapamiętać to tak: las może mieć wiele drzew, ale żeby w ogóle istniał, wystarczy jedno. Przykładowo firma może mieć domenę firma.local i tylko jedną strukturę domenową, a mimo to nadal ma pełnoprawny las AD DS. Dopiero gdy organizacja potrzebuje osobnych przestrzeni nazw DNS, np. firma.local oraz oddzial.pl, można dodać kolejne drzewa. Dobrą praktyką branżową jest nie mnożyć drzew bez potrzeby, bo zwiększa to złożoność administracji, planowania DNS, delegacji uprawnień i monitorowania replikacji.
W AD DS łatwo pomylić potoczne znaczenie słowa las z definicją techniczną Microsoftu. Normalnie człowiek myśli, że skoro jest las, to powinno być kilka drzew. No i stąd bierze się częsty błąd, że las musi składać się z dwóch, trzech albo czterech drzew domeny. W Active Directory tak to jednak nie działa. Las jest nadrzędną strukturą logiczną, która może zawierać jedno lub wiele drzew domen, ale minimalny warunek jego utworzenia to tylko jedno drzewo. Gdy promujesz pierwszy serwer Windows Server do roli kontrolera domeny i tworzysz nową domenę w nowym lesie, system automatycznie zakłada domenę główną lasu oraz pierwsze drzewo domeny. Nie trzeba dodawać kolejnych przestrzeni nazw DNS ani osobnych struktur domenowych.
Myślenie, że potrzeba kilku drzew, często wynika z kojarzenia drzewa domeny z pojedynczą domeną albo z przekonania, że większa struktura musi od razu zawierać kilka niezależnych części. Tymczasem drzewo domeny może składać się nawet z jednej domeny, np. technikum.local. Taka pojedyncza domena może być jednocześnie początkiem drzewa i całego lasu. Dodatkowe drzewa dodaje się dopiero wtedy, gdy są realne wymagania organizacyjne, na przykład różne przestrzenie nazw DNS, przejęcie innej firmy albo potrzeba logicznego oddzielenia jednostek przy zachowaniu wspólnego schematu i katalogu globalnego. Moim zdaniem w administracji AD DS lepiej zaczynać prosto i rozbudowywać strukturę dopiero po analizie potrzeb, bo zbyt rozbudowany las robi się trudniejszy w utrzymaniu, zwłaszcza przy replikacji, DNS, politykach GPO i kontroli uprawnień.
Myślenie, że potrzeba kilku drzew, często wynika z kojarzenia drzewa domeny z pojedynczą domeną albo z przekonania, że większa struktura musi od razu zawierać kilka niezależnych części. Tymczasem drzewo domeny może składać się nawet z jednej domeny, np. technikum.local. Taka pojedyncza domena może być jednocześnie początkiem drzewa i całego lasu. Dodatkowe drzewa dodaje się dopiero wtedy, gdy są realne wymagania organizacyjne, na przykład różne przestrzenie nazw DNS, przejęcie innej firmy albo potrzeba logicznego oddzielenia jednostek przy zachowaniu wspólnego schematu i katalogu globalnego. Moim zdaniem w administracji AD DS lepiej zaczynać prosto i rozbudowywać strukturę dopiero po analizie potrzeb, bo zbyt rozbudowany las robi się trudniejszy w utrzymaniu, zwłaszcza przy replikacji, DNS, politykach GPO i kontroli uprawnień.