Il sistema operativo Windows XP - Apogeo

6.5 Domini
Molti ambienti in rete hanno gruppi naturali di utenti, quali gli studenti di un laboratorio di
informatica in una scuola, o gli impiegati di un reparto commerciale. Frequentemente, si desidera che
tutti i membri del gruppo possano accedere alle risorse condivise nei vari computer del gruppo. Per
gestire i diritti di accesso globali in tali gruppi, Windows XP usa il dominio. Precedentemente, tali
domini non avevano alcuna relazione con il sistema del nome del dominio DNS che mappa i nomi
host di Internet in indirizzi IP; ora, invece, sono strettamente collegati.
Nello specifico, un dominio di Windows XP è un gruppo di workstation e server di Windows
XP che condividono una politica comune di sicurezza e una database degli utenti. Dal momento
che Windows XP ora usa il protocollo Kerberos per l'autenticazione e il trusting (certificazione
autorizzazioni), un dominio Windows XP è equivalente ad un dominio Kerberos. Le precedenti
versioni di NT usavano l'idea dei controllori primari e di salvataggio del dominio; ora tutti i server di
un dominio sono controllori del dominio stesso. Inoltre, le versioni precedenti richiedevano la
predisposizione di fiduciari a senso unico fra i domini. Windows XP usa un metodo gerarchico
basato sul DNS e permette fiduciari transitivi che possono fluire su e giù nella gerarchia. Questo
metodo riduce il numero dei fiduciari richiesti per gli n domini da n* (n - 1) a O(n). Le
workstation nel dominio si fidano del controllore del dominio e forniscono informazioni corrette
sui diritti di accesso di ogni utente (tramite il token di accesso dell'utente). Tutti gli utenti hanno la
capacità di limitare l'accesso alle proprie workstation, indipendentemente da ciò che il controllore del
dominio possa dire.
6.5.1 Alberi e foreste del dominio
Siccome una ditta può avere molti reparti e una scuola può avere molte classi, è necessario gestire
domini multipli entro una singola organizzazione. Un albero del dominio (domain tree) è una
gerarchia contigua di nomi DNS. Per esempio, bell-labs.com potrebbe essere la radice dell'albero,
con research.bell-labs.com e pez.bell-labs.com come figli: cioè i domini research e pez. Una foresta
(forest) è un insieme di nomi non contigui; un esempio potrebbero essere gli alberi bell-labs.com
e/o lucent.com. Una foresta, tuttavia, può essere fatta solo da un albero del dominio.
6.5.2 Relazioni fiduciarie
Le relazioni fiduciarie possono essere instaurate fra i domini in tre modi: a senso unico, transitive e
a collegamento incrociato. Le versioni di NT fino alla versione 4.0 hanno permesso solo relazioni
fiduciarie a senso unico. Una relazione fiduciaria unidirezionale (one-way trust) è esattamente
ciò che il nome implica: si dice che il dominio A può fidarsi del dominio B; tuttavia, B non può
fidarsi di A a meno che non sia configurata un’altra relazione. In una relazione fiduciaria
transitiva (transitive trust), se A ha fiducia in B e B ha fiducia in C, allora A, B e C si fidano uno
dell’altro poiché la fiducia transitiva è per default bidirezionale. Le fiducie transitive sono abilitate
per default nei nuovi domini in un albero e possono essere configurate solo fra domini entro una
foresta. Il terzo tipo: la relazione fiduciaria a collegamento incrociato (cross-link trust) è utile per
ridurre il traffico di autenticazione. Supponiamo che i dominii A e B siano nodi della foglia e che gli
utenti di A usino spesso risorse di B. Se si usa una fiducia standard transitiva, le richieste di
autenticazione devono attraversare fino all'antenato comune dei due nodi della foglia, ma se A e B
50