27_SH43-0144-00 (КП - Библиотека), страница 98

Служба защиты требуется толькодля соединения клиента с сервером, настроенным на аутентификацию типаCLIENT.В среде Windows NT пользователь может пройти аутентификацию либо напервичном контроллере, либо на резервном контроллере. Эта возможностьочень важна в больших распределенных локальных сетях с одним центральнымпервичным контроллером домена и одним или несколькими резервнымиконтроллерами домена (BDC, backup domain controller) на каждом сайте. Тогдапользователи могут проходить аутентификацию на резервном контроллередомена на своем сайте, не вызывая для аутентифкации первичный контроллердомена (PDC, primary domain controller).|||В этом случае преимущество резервного контроллера домена в том, чтопользователи проходят аутентификацию быстрее, и локальная сеть неперегружается, как было бы без BDC.|||Аутентификация может происходить на резервном контроллере домена приследующих условиях:v Сервер DB2 for Windows NT установлен на резервном контроллере домена.||v Переменная DB2DMNBCKCTLR реестра профилей имеет соответствующеезначение.|||Если переменная DB2DMNBCKCTLR реестра профилей не задана или равнапустой строке, DB2 for Windows NT производит аутентификацию на первичномконтроллере домена.||Допустимыми объявленными значениями для DB2DMNBCKCTLR являютсятолько “?” или имя домена.||||||||Если значение переменной DB2DMNBCKCTLR реестра профилей вопросительный знак (DB2DMNBCKCTLR=?), DB2 for Windows NT будетпроизводить аутентификацию на резервном контроллере домена при следующихусловиях:v Значение реестра cachedPrimaryDomain задано для имени домена, которомупринадлежит компьютер.

(Это значение можно найти вHKEY_LOCAL_MACHINE—> Software—> Microsoft—> Windows NT—>Current Version—> WinLogon.)v Менеджер сервера покажет, что резервный контроллер домена активен идоступен (то есть значок этого компьютера не затенен).v Реестр сервера DB2 Windows NT указывает, что система - резервныйконтроллер домена для заданного домена.||||476Руководство администратора: Реализация||||||||||||||||||||||||||||||||||||||||В обычных обстоятельствах значение DB2DMNBCKCTLR=? работает, но такбудет не во всех средах. Информация о серверах в домене динамическиобновляется, и служба Computer Browser должна работать, чтобы поддерживатьточность и соответствие этой информации текущему моменту.

В большихлокальных сетях служба Computer Browser может быть не запущена, иинформация менеджера сервера может устареть. В этом случае есть другойметод заставить DB2 for Windows NT производить аутентификацию нарезервном контроллере домена: задать DB2DMNBCKCTLR=xxx, где xxx - имядомена Windows NT для сервера DB2. При задании этого значенияаутентификация будет производиться на резервном контроллере домена приследующих условиях:v Значение реестра cachedPrimaryDomain задано для имени домена, которомупринадлежит компьютер. (Это значение можно найти вHKEY_LOCAL_MACHINE—> Software—> Microsoft—> Windows NT—>Current Version—> WinLogon.)v Компьютер сконфигурирован как резервный контроллер домена длязаданного домена.

(Если компьютер настроен как резервный контроллердругого домена, это значение приведет к ошибке.)Аутентификация при помощи групп и защиты доменаDB2 for Windows NT поддерживает следующие типы групп:v Локальные группыv Глобальные группыv Глобальные группы как члены локальных групп.DB2 for Windows NT получает список локальных и глобальных групп, членомкоторых является данный пользователь, используя базу данных защиты, вкоторой пользователь был найден. DB2 Universal Database позволяетпереопределить эту стратегию и создавать список групп на локальном сервереWindows NT, на котором установлена DB2, независимо от того, где быланайдена учетная запись пользователя.

Такое переопределение стратегиидостигается следующими командами:– Для глобальных параметров:db2set -g DB2_GROUP_LOOKUP=local– Для параметров экземпляра:db2set -i DB2_GROUP_LOOKUP=localЧтобы просмотреть все заданные переменные профилей DB2, введитеdb2set -allЧтобы DB2 for Windows NT работала с защитой домена, нужно предоставитьполномочия и привилегии локальной группе. Чтобы аутентификацияпроисходила правильно, имена пользователей в локальных и глобальныхгруппах НЕОБХОДИМО определять в том же домене, что и сами группы, .Приложение E.

Как DB2 for Windows NT работает с защитой Windows NT477||||||Если переменной DB2_GRP_LOOKUP реестра профилей задано значение local,DB2 будет искать пользователя только на локальном компьютере. Еслипользователь не будет найден на локальном компьютере или не окажетсячленом локальной или глобальной группы, он не пройдет аутентификацию. DB2не станет искать пользователя на другом компьютере домена или наконтроллерах доменов.||||||Если переменная DB2_GRP_LOOKUP реестра профилей не задана, то:1.

DB2 вначале ищет пользователя на том же компьютере.2. Если имя пользователя определено локально, пользователь пройдетаутентификацию локально.3. Если пользователь не будет найден локально, DB2 начнет искать имяпользователя в его домене, а затем - на доверенных доменах.|||||В следующем примере показано, как DB2 for Windows NT может работать сзащитой домена.

В первом примере соединение происходит благодаря тому, чтоимя пользователя и локальная группа находятся в одном и том же домене. Вовтором примере соединение не происходит, поскольку имя пользователя илокальная или глобальная группа находятся в разных доменах.|||Пример успешного соединения: В следующем сценарии соединение происходитблагодаря тому, что имя пользователя и локальная или глобальная группанаходятся в одном и том же домене.||||Обратите внимание на то, что имя пользователя и локальная или глобальнаягруппа не обязательно должны быть определены именно в том домене, гдеработает сервер базы данных; нужно только, чтобы имя и группа находились водном домене.|Таблица 21. Успешное соединение при помощи контроллера домена|Domain1Domain2||||Существует доверенное соединение с доменомDomain2.v Существует доверенное соединение с доменомDomain1.v Определена локальная или глобальная группаgrp2.|||||||||v Определено имя пользователя id2.v Имя пользователя id2 входит в группу grp2.Сервер DB2 запущен в данном домене.

Онвыполняет следующие команды DB2:REVOKE CONNECT ON db FROM publicGRANT CONNECT ON db TO GROUP grp2CONNECT TO db USER id2478Руководство администратора: Реализация|Таблица 21. Успешное соединение при помощи контроллера домена (продолжение)|Domain1|||Происходит поиск в локальном или глобальномдомене, но id2 не найден. Проводится поиск взащите домена.Domain2Имя пользователя id2 найдено в этом домене.

DB2получает дополнительную информацию об этомимени пользователя (то есть о том, что оно входит вгруппу grp2).||||||||Соединение происходит благодаря тому, что имяпользователя и локальная или глобальная группанаходятся в одном и том же домене.Пример неудачной попытки соединения: В следующем сценарии соединения непроисходит, поскольку имя пользователя определено не на том домене, накотором определена локальная или глобальная группа.||||Таблица 22. Неудачная попытка соединения при помощи контроллера домена|Domain1Domain2||||||Существует доверенное соединение с доменомDomain2.v Существует доверенное соединение с доменомDomain1.||||v Определена глобальная группа grp1.v Определена локальная или глобальная группаgrp2.v Определено имя пользователя id1.v Имя пользователя id1 входит в группу grp1.Domain1\grp1 входит в группу grp2.||||||Сервер DB2 запущен в данном домене. Онвыполняет следующие команды DB2:|||||При поиске в локальном или глобальном доменеобнаружен id1.

DB2 получает информацию об этомимени пользователя (то есть о том, что имяпользователя id1 входит в группу grp1, а группаgrp1 входит в Domain2\grp2).|REVOKE CONNECT ON db FROM publicGRANT CONNECT ON db TO GROUP grp2CONNECT TO db USER id2Группа grp2 существует в этом домене.Приложение E. Как DB2 for Windows NT работает с защитой Windows NT479|Таблица 22. Неудачная попытка соединения при помощи контроллера домена (продолжение)|Domain1||||Соединения не происходит, поскольку локальнаяили глобальная группа находится в Domain2, аактуальное имя пользователя определено вDomain1.||||Соединение было бы установлено, если бы вместоприведенной команды выполнялась такая: GRANTCONNECT ON db TO GROUP grp1480Руководство администратора: РеализацияDomain2|Приложение F.

Использование мониторапроизводительности Windows NTСуществует два монитора производительности, доступных пользователям DB2for Windows NT:v Монитор производительности DB2Монитор производительности DB2 поддерживает снимки и данные событий,относящиеся только к DB2 и DB2 Connect.

(Чтобы получить более подробнуюинформацию, нажмите кнопку Справка в Центре управления и посмотритеэлектронную справку С чего начать.)v Монитор производительности Windows NTМонитор производительности Windows позволяет следить запроизводительностью как базы данных, так и системы, получая информациюот всех поставщиков данных производительности, зарегистрированных всистеме. Windows NT также предоставляет данные производительности повсем аспектам работы компьютера, включая:– Занятость процессора– Использование памяти– Активность дисков– Активность сетиРегистрация DB2 на мониторе производительности Windows NTПрограмма установки автоматически регистрирует DB2 на мониторепроизводительности Windows NT.Чтобы сделать информацию производительности DB2 и DB2 Connect доступнойдля монитора производительности Windows NT, нужно зарегистрировать DLLдля счетчиков производительности DB2 for Windows NT.

Одновременно данныепроизводительности станут доступны для любых других прикладных программWindows NT, использующих API производительности Win32.Чтобы установить и зарегистрировать на мониторе производительностиWindows NT модуль DLL счетчиков производительности DB2 for Windows NT(DB2Perf.DLL), введите:db2perfi -i© Copyright IBM Corp. 1993, 2000481Регистрация DLL также создает новый ключ в разделе служб реестра.

Одназапись задает имя модуля DLL, обеспечивающего поддержку счетчиков. Еще тризаписи задают имена функций, поддерживаемых внутри DLL. Это следующиефункции:v OpenВызывается, когда DLL впервые загружается системой в некотором процессе.v CollectВызывается для запроса информации производительности от DLL.v CloseВызывается, когда DLL выгружается.Разрешение удаленного доступа к информации производительности DB2Если ваша рабочая станция DB2 for Windows NT соединена сетью с другимикомпьютерами Windows NT, можно пользоваться описанными в этом разделевозможностями.Чтобы посмотреть объекты производительности Windows NT из другогокомпьютера с DB2 for Windows NT, нужно зарегистрировать на DB2 имяпользователя и пароль администратора.