Поделиться через

Ограничения расширения схемы

  • Статья

Чтобы уменьшить возможность изменения схемы одним приложением и сохранить согласованность схем, доменные службы Active Directory применяют ограничения на тип изменений схемы, которые может вносить приложение или пользователь.

Ограничения накладываются только на изменение существующих объектов схемы. Схема разделена на две категории. Объекты схемы, которые вставляются с Windows 2000 в базовой схеме, относятся к категории 1. Любые объекты схемы, добавленные позже другими приложениями или пользователями с помощью расширения динамической схемы, относятся к категории 2. Категорию объекта схемы можно определить с помощью битового набора 0x10 в атрибуте systemFlags в объекте classSchema. Этот бит задан только в объектах Категории 1 и не может быть изменен и не может быть задан для любого объекта Категории 2.

Атрибут systemFlags используется в доменных службах Active Directory для определения специальных характеристик объектов "инфраструктуры" в базовой схеме. Помимо идентификации объектов категории 1, systemFlags управляет перемещением, удалением или переименованием объекта. Эти операции запрещены для объектов, от которых зависит Windows 2000.

Для любых объектов схемы доменные службы Active Directory в категории 1 или 2 накладывают следующие ограничения:

  • Нельзя добавить новый должен в класс (напрямую или через наследование путем добавления вспомогательного класса).
  • Удалить любые необходимо класса (напрямую или через наследование).

Кроме того, для объектов схемы Категории 1 применяются следующие дополнительные ограничения:

  • Нельзя изменить следующие атрибуты атрибута категории 1:

    • rangeLower и rangeUpper (диапазон значений).
    • атрибутSecurityGuid (определяет, в каком свойстве задан атрибут, если он есть).

  • Невозможно изменить класса Category 1 по умолчаниюObjectCategory.

  • Невозможно изменить объектCategory любого экземпляра класса Category 1.

  • Вы не можете сделать класс или атрибут категории 1 отклоненным.

  • Невозможно изменить lDAPDisplayName класса или атрибута категории 1.

  • Нельзя переименовать класс или атрибут категории 1.