آموزش اکتیو دایرکتوری ویندوز صفر تا صد

Active Directory چیست؟

Windows Active Directory که معمولاً با نام Active Directory Domain Services یا به اختصار AD DS نیز شناخته می‌شود، یک سرویس دایرکتوری (Directory Service) توسعه داده شده توسط Microsoft است که وظیفه ذخیره‌سازی، سازماندهی، مدیریت و احراز هویت تمامی اشیای موجود در یک شبکه را بر عهده دارد. منظور از شیء یا Object هر موجودیتی مانند کاربر (User)، کامپیوتر (Computer)، سرور (Server)، چاپگر (Printer)، گروه (Group)، واحد سازمانی (Organizational Unit)، اشتراک شبکه (Shared Folder) یا حتی برخی سرویس‌های نرم‌افزاری است که باید در یک ساختار متمرکز مدیریت شوند. Active Directory اطلاعات این اشیا را در یک پایگاه داده سلسله مراتبی ذخیره می‌کند تا مدیران بتوانند بدون نیاز به مراجعه به تک‌تک سیستم‌ها، تمامی منابع را از یک نقطه کنترل کنند.

این معماری علاوه بر ساده‌سازی مدیریت، امکان اعمال سیاست‌های امنیتی، تعیین سطح دسترسی، ثبت رویدادها و کنترل تغییرات را نیز فراهم می‌کند. در حقیقت Active Directory قلب زیرساخت هویتی اکثر شبکه‌های مبتنی بر Windows Server محسوب می‌شود و تقریباً تمامی سرویس‌های مایکروسافت برای ارائه قابلیت‌های مدیریتی پیشرفته به آن وابسته هستند. به همین دلیل درک صحیح معماری و نحوه عملکرد آن، پایه یادگیری بسیاری از فناوری‌های دیگر در دنیای Microsoft Infrastructure به شمار می‌رود.

برخلاف تصور بسیاری از افراد، Active Directory تنها یک نرم‌افزار برای مدیریت کاربران نیست بلکه مجموعه‌ای از سرویس‌ها، پروتکل‌ها، پایگاه داده، مکانیزم‌های امنیتی و فرآیندهای ارتباطی است که در کنار یکدیگر یک سیستم مدیریت هویت سازمانی را تشکیل می‌دهند. این سیستم با استفاده از پروتکل‌هایی مانند LDAP برای جستجوی اطلاعات، Kerberos برای احراز هویت، DNS برای یافتن سرویس‌ها و RPC برای Replication بین Domain Controllerها فعالیت می‌کند. در نتیجه زمانی که یک کاربر وارد کامپیوتر خود می‌شود، ده‌ها فرآیند مختلف به صورت هم‌زمان اجرا می‌شوند تا اعتبار کاربر بررسی شود، مجوزهای دسترسی تعیین گردد و سیاست‌های امنیتی مناسب اعمال شوند. Active Directory تمام این عملیات را در پشت صحنه انجام می‌دهد و کاربر تنها فرآیند ورود به سیستم را مشاهده می‌کند. این هماهنگی میان اجزای مختلف باعث شده است که Active Directory طی بیش از دو دهه به یکی از پایدارترین و پرکاربردترین سیستم‌های مدیریت هویت در جهان تبدیل شود.

به جای آنکه هر سیستم به صورت جداگانه مدیریت شود، مدیر شبکه تنها از طریق چند کنسول مدیریتی قادر خواهد بود کاربران را ایجاد کند، سطح دسترسی تعیین نماید، سیاست‌های امنیتی را اعمال کند و تجهیزات جدید را به زیرساخت اضافه نماید. این موضوع علاوه بر کاهش زمان مدیریت، احتمال خطاهای انسانی را نیز به شدت کاهش می‌دهد و امنیت سازمان را افزایش می‌دهد. یکی دیگر از اهداف مهم Active Directory ایجاد یک هویت واحد یا Centralized Identity برای تمامی کاربران است تا هر فرد تنها با یک حساب کاربری بتواند به منابع مجاز خود دسترسی پیدا کند. چنین رویکردی نه تنها تجربه کاربری بهتری ایجاد می‌کند بلکه کنترل امنیت، ممیزی، ثبت رویدادها و مدیریت دسترسی را نیز بسیار ساده‌تر می‌سازد. به همین دلیل تقریباً تمام سازمان‌های متوسط و بزرگ دنیا همچنان Active Directory را به عنوان هسته اصلی زیرساخت هویتی خود انتخاب می‌کنند و حتی در محیط‌های Hybrid Cloud نیز این فناوری نقش بسیار مهمی ایفا می‌کند.

Directory Service چیست؟

برای درک بهتر Active Directory ابتدا باید مفهوم Directory Service یا سرویس دایرکتوری را شناخت. سرویس دایرکتوری نوعی بانک اطلاعاتی تخصصی است که اطلاعات مربوط به کاربران، تجهیزات، سرویس‌ها و منابع شبکه را به صورت ساختاریافته نگهداری می‌کند و امکان جستجو، دسته‌بندی و مدیریت سریع آن‌ها را فراهم می‌آورد. برخلاف پایگاه‌های داده معمولی که بیشتر برای پردازش تراکنش‌ها طراحی شده‌اند، سرویس‌های دایرکتوری برای عملیات خواندن، جستجو و بازیابی اطلاعات بهینه شده‌اند.

به همین دلیل هزاران سیستم و سرویس می‌توانند هم‌زمان اطلاعات موردنیاز خود را از Active Directory دریافت کنند بدون آنکه کارایی شبکه به شدت کاهش پیدا کند. همچنین ساختار سلسله مراتبی این سرویس باعث می‌شود سازمان‌ها بتوانند منابع خود را مطابق ساختار واقعی شرکت، واحدهای سازمانی، شعب مختلف یا موقعیت‌های جغرافیایی دسته‌بندی کنند. این ویژگی مدیریت منابع را بسیار ساده‌تر و قابل توسعه‌تر می‌کند و زمینه مناسبی برای پیاده‌سازی سیاست‌های امنیتی فراهم می‌آورد.

اهمیت یادگیری اکتیو دایرکتوری

اگر سازمانی تنها چند کامپیوتر داشته باشد، مدیریت کاربران به صورت محلی یا Local Account شاید مشکل بزرگی ایجاد نکند، اما با افزایش تعداد کاربران، سرورها و تجهیزات، این روش به سرعت غیرقابل مدیریت می‌شود. فرض کنید یک شرکت دارای پانصد کارمند و هزار دستگاه کامپیوتری باشد؛ در چنین شرایطی ایجاد حساب کاربری روی تک‌تک سیستم‌ها، تغییر رمز عبور، اعمال محدودیت‌های امنیتی یا حذف دسترسی یک کارمند پس از خروج از سازمان به صورت دستی تقریباً غیرممکن خواهد بود. Active Directory این مشکل را با ایجاد یک پایگاه داده مرکزی حل می‌کند که تمامی اطلاعات کاربران و تجهیزات در آن ذخیره می‌شود و هر تغییری تنها یک بار انجام می‌گیرد. پس از آن، تمامی سیستم‌های عضو Domain تغییرات را دریافت کرده و سیاست‌های جدید را اعمال می‌کنند. این مدیریت متمرکز علاوه بر افزایش بهره‌وری، امنیت سازمان را نیز به میزان قابل توجهی افزایش می‌دهد، زیرا مدیر شبکه کنترل کاملی بر هویت کاربران، مجوزها، سیاست‌های امنیتی و دسترسی به منابع خواهد داشت.

مهم‌ترین قابلیت‌های Active Directory

Active Directory مجموعه‌ای از قابلیت‌های مدیریتی و امنیتی را در اختیار سازمان‌ها قرار می‌دهد که هر کدام نقش مهمی در ایجاد یک زیرساخت استاندارد دارند. این سرویس امکان احراز هویت متمرکز کاربران، مدیریت کامپیوترها، سازماندهی تجهیزات، اعمال Group Policy، کنترل دسترسی به فایل‌ها و نرم‌افزارها، پیاده‌سازی Single Sign-On، ایجاد Trust میان Domainها، مدیریت Replication، ثبت رویدادهای امنیتی، تفویض اختیار مدیریتی، کنترل چرخه عمر حساب‌های کاربری و یکپارچه‌سازی با سرویس‌های ابری را فراهم می‌کند. علاوه بر این، بسیاری از نرم‌افزارهای سازمانی مانند Microsoft Exchange، SharePoint، SQL Server، System Center و حتی محصولات غیرمایکروسافتی نیز از Active Directory برای مدیریت هویت کاربران استفاده می‌کنند. به همین دلیل در بسیاری از سازمان‌ها Active Directory نه تنها یک سرویس شبکه بلکه ستون اصلی زیرساخت فناوری اطلاعات محسوب می‌شود.

اجزای اصلی Active Directory

اگرچه در بخش‌های بعدی هر یک از اجزای Active Directory به صورت کامل بررسی خواهند شد، اما آشنایی اولیه با آن‌ها در این مرحله اهمیت زیادی دارد. مهم‌ترین اجزای این سرویس شامل Domain برای تعریف مرز مدیریتی، Domain Controller برای ارائه سرویس‌های هویتی، Forest برای ایجاد بزرگ‌ترین محدوده منطقی، Tree برای سازماندهی چند Domain مرتبط، Organizational Unit یا OU برای دسته‌بندی اشیا، Group برای مدیریت مجوزها، Object برای نمایش کاربران و تجهیزات، Schema برای تعریف ساختار داده‌ها، Global Catalog برای جستجوی سریع اطلاعات و Site برای بهینه‌سازی ارتباطات میان شعب مختلف سازمان است.

این اجزا در کنار یکدیگر معماری Active Directory را تشکیل می‌دهند و هر یک مسئول بخشی از عملیات مدیریتی، امنیتی و ارتباطی شبکه هستند. در ادامه مقاله تمامی این مفاهیم به صورت عمیق، همراه با مثال‌های عملی و سناریوهای واقعی بررسی خواهند شد تا ارتباط میان آن‌ها به طور کامل روشن شود.

اجزای اصلی اکتیو دایرکتوری

معماری Windows Active Directory از مجموعه‌ای از اجزای منطقی و فیزیکی تشکیل شده است که هر کدام مسئول بخشی از مدیریت هویت، منابع و امنیت شبکه هستند. در نگاه اول ممکن است اصطلاحاتی مانند Domain، Forest، Domain Controller، Organizational Unit یا Schema مستقل از یکدیگر به نظر برسند، اما در عمل تمامی این اجزا به صورت هماهنگ کار می‌کنند تا یک زیرساخت متمرکز، مقیاس‌پذیر و ایمن ایجاد شود. شناخت این اجزا پیش از ورود به مباحث طراحی و پیاده‌سازی اهمیت زیادی دارد، زیرا تقریباً تمامی عملیات مدیریتی در Active Directory بر پایه آن‌ها انجام می‌شود. هر شیء که در Active Directory ایجاد می‌شود، درون این ساختار منطقی قرار می‌گیرد و قوانین امنیتی، فرآیندهای احراز هویت، Replication و دسترسی به منابع نیز بر اساس همین معماری اجرا می‌شوند. درک صحیح ارتباط میان این اجزا باعث می‌شود هنگام طراحی زیرساخت یا عیب‌یابی مشکلات، تصمیم‌های دقیق‌تر و استانداردتری گرفته شود. در ادامه هر یک از مهم‌ترین اجزای Active Directory را به صورت جداگانه بررسی می‌کنیم تا نقش آن‌ها در معماری کلی شبکه کاملاً مشخص شود.

Domain چیست

Domain یا دامنه، مهم‌ترین واحد منطقی در Active Directory محسوب می‌شود و مرز اصلی مدیریت، احراز هویت و اعمال سیاست‌های امنیتی را مشخص می‌کند. تمامی کاربران، کامپیوترها، گروه‌ها و سایر اشیای موجود در یک Domain از پایگاه داده مشترکی استفاده می‌کنند و توسط Domain Controllerهای همان Domain مدیریت می‌شوند. هر Domain دارای نام اختصاصی خود است که معمولاً با ساختار DNS مانند company.local یا corp.example.com تعریف می‌شود و کاربران هنگام ورود به سیستم با همین دامنه احراز هویت می‌شوند. وجود Domain باعث می‌شود تمامی اطلاعات هویتی در یک محل متمرکز نگهداری شود و مدیر شبکه بتواند سیاست‌های امنیتی، رمز عبور، سطح دسترسی و تنظیمات مختلف را به صورت یکپارچه مدیریت کند. علاوه بر این، یک سازمان می‌تواند تنها یک Domain یا چندین Domain مرتبط داشته باشد که در قالب Forest با یکدیگر ارتباط برقرار می‌کنند. انتخاب تعداد Domainها یکی از مهم‌ترین تصمیمات طراحی زیرساخت محسوب می‌شود و باید بر اساس ساختار سازمان، نیازهای امنیتی، قوانین مدیریتی و مقیاس شبکه انجام گیرد.

Domain Controller چیست

Domain Controller که معمولاً با نام DC شناخته می‌شود، سروری است که سرویس Active Directory Domain Services را اجرا می‌کند و مسئول نگهداری پایگاه داده Active Directory، احراز هویت کاربران، بررسی مجوزها و پاسخ‌گویی به درخواست‌های سرویس‌های مختلف است. زمانی که یک کاربر وارد کامپیوتر خود می‌شود یا قصد دسترسی به یک فایل اشتراکی را دارد، درخواست او ابتدا به Domain Controller ارسال می‌شود تا اعتبار حساب کاربری بررسی شود و در صورت تأیید، مجوز مناسب صادر گردد.

Domain Controller علاوه بر ذخیره اطلاعات کاربران، مسئول Replication اطلاعات میان سایر Domain Controllerها نیز هست تا تمامی سرورها نسخه‌ای یکسان از پایگاه داده را در اختیار داشته باشند. در محیط‌های Enterprise معمولاً چندین Domain Controller به صورت هم‌زمان فعالیت می‌کنند تا افزونگی، تحمل خطا و دسترس‌پذیری بالا تضمین شود. از آنجا که این سرورها هسته اصلی زیرساخت هویتی سازمان را تشکیل می‌دهند، امنیت، پشتیبان‌گیری، مانیتورینگ و نگهداری صحیح آن‌ها اهمیت بسیار زیادی دارد.

Forest چیست

Forest بزرگ‌ترین مرز منطقی در Active Directory محسوب می‌شود و شامل یک یا چند Domain است که از یک Schema مشترک، Configuration مشترک و Global Catalog مشترک استفاده می‌کنند. اولین Domain ایجادشده هنگام نصب Active Directory به عنوان Root Domain شناخته می‌شود و به همراه آن اولین Forest نیز ایجاد می‌شود. تمامی Domainهای داخل یک Forest به صورت پیش‌فرض به یکدیگر اعتماد یا Trust دارند و امکان اشتراک منابع میان آن‌ها وجود دارد، مگر اینکه محدودیت‌های خاصی تعریف شود. Forest همچنین مرز اصلی امنیتی در Active Directory محسوب می‌شود، زیرا تغییرات مربوط به Schema و بسیاری از تنظیمات سراسری تنها در سطح Forest انجام می‌شوند. در سازمان‌های بزرگ ممکن است یک Forest شامل چندین Domain برای واحدهای مختلف، کشورهای گوناگون یا ساختارهای مدیریتی متفاوت باشد، اما همچنان تمامی آن‌ها بخشی از یک معماری واحد به شمار می‌روند.

Tree چیست

Tree یا درخت مجموعه‌ای از Domainهای مرتبط است که از فضای نام یا Namespace مشترک استفاده می‌کنند و درون یک Forest قرار دارند. برای مثال اگر Root Domain برابر example.com باشد، Domainهایی مانند hr.example.com یا sales.example.com می‌توانند اعضای همان Tree باشند. ساختار Tree امکان گسترش سازمان بدون ایجاد Forest جدید را فراهم می‌کند و در عین حال ارتباط Trust میان Domainها نیز به صورت خودکار برقرار می‌شود. اگرچه در بسیاری از سازمان‌های امروزی تنها یک Domain کافی است، اما شناخت مفهوم Tree برای طراحی زیرساخت‌های بزرگ و چندملیتی اهمیت زیادی دارد، زیرا این ساختار انعطاف‌پذیری بالایی در سازماندهی منابع و مدیریت شعب مختلف ایجاد می‌کند.

Organizational Unit چیست

Organizational Unit یا OU یکی از پرکاربردترین اجزای Active Directory است و برای دسته‌بندی منطقی کاربران، کامپیوترها و سایر اشیا در داخل یک Domain استفاده می‌شود. برخلاف Domain که یک مرز امنیتی محسوب می‌شود، OU بیشتر برای مدیریت و اعمال سیاست‌های مدیریتی طراحی شده است. مدیر شبکه می‌تواند برای هر واحد سازمانی مانند منابع انسانی، مالی، فناوری اطلاعات یا فروش یک OU مجزا ایجاد کند و کاربران و کامپیوترهای مرتبط را در آن قرار دهد. سپس Group Policyها، مجوزهای مدیریتی یا Delegation تنها روی همان OU اعمال خواهند شد. طراحی صحیح ساختار OU تأثیر مستقیمی بر سادگی مدیریت، امنیت و مقیاس‌پذیری زیرساخت دارد و به همین دلیل یکی از مهم‌ترین مراحل طراحی Active Directory محسوب می‌شود. در بخش‌های بعدی مقاله به صورت کامل بهترین روش‌های طراحی OU و اشتباهات رایج در این زمینه بررسی خواهند شد.

Object چیست

در Active Directory هر موجودیتی که بتوان آن را مدیریت، شناسایی یا برای آن ویژگی‌هایی تعریف کرد، یک Object یا شیء محسوب می‌شود. کاربران، کامپیوترها، سرورها، چاپگرها، گروه‌ها، واحدهای سازمانی، سرویس‌ها و حتی برخی تنظیمات امنیتی همگی به صورت Object در پایگاه داده Active Directory ذخیره می‌شوند. هر Object دارای مجموعه‌ای از Attributeها یا ویژگی‌ها است که اطلاعات مربوط به آن را نگهداری می‌کنند. برای مثال یک User Object شامل ویژگی‌هایی مانند نام کاربری، نام و نام خانوادگی، ایمیل، شماره تماس، رمز عبور، عضویت در گروه‌ها و ده‌ها ویژگی دیگر است. این ساختار باعث می‌شود اطلاعات به صورت استاندارد ذخیره شده و توسط تمامی سرویس‌های سازگار با Active Directory قابل استفاده باشند. هر Object همچنین دارای شناسه‌ای یکتا به نام Security Identifier یا SID است که سیستم‌عامل از آن برای تشخیص هویت و کنترل مجوزها استفاده می‌کند. شناخت مفهوم Object پایه درک تمامی عملیات مدیریتی Active Directory است، زیرا تقریباً هر عملیاتی که مدیر شبکه انجام می‌دهد، در واقع ایجاد، حذف، ویرایش یا مدیریت یک Object محسوب می‌شود.

Container چیست

Container یا محفظه یکی دیگر از اجزای منطقی Active Directory است که برای نگهداری Objectها مورد استفاده قرار می‌گیرد. برخی Containerها به صورت پیش‌فرض هنگام نصب Active Directory ایجاد می‌شوند و وظیفه نگهداری انواع خاصی از اشیا را بر عهده دارند. برای نمونه Containerهایی مانند Users، Computers و Builtin به صورت خودکار در Domain ایجاد می‌شوند و سیستم بسیاری از عملیات اولیه را در آن‌ها انجام می‌دهد. تفاوت اصلی Container با Organizational Unit در این است که معمولاً نمی‌توان Group Policy را مستقیماً روی Containerهای پیش‌فرض اعمال کرد و قابلیت Delegation نیز در آن‌ها محدودتر است. به همین دلیل در طراحی‌های استاندارد توصیه می‌شود کاربران و کامپیوترها پس از ایجاد اولیه به OUهای مناسب منتقل شوند تا مدیریت آن‌ها ساده‌تر و ساختار Domain منظم‌تر شود. استفاده صحیح از OU به جای Containerهای پیش‌فرض یکی از Best Practiceهای شناخته‌شده در طراحی Active Directory محسوب می‌شود.

Schema چیست

Schema یا شِما را می‌توان فرهنگ لغت یا نقشه ساختاری Active Directory دانست. این بخش مشخص می‌کند چه نوع Objectهایی در Active Directory وجود دارند، هر Object چه Attributeهایی می‌تواند داشته باشد و قوانین مربوط به ذخیره‌سازی اطلاعات چگونه تعریف می‌شوند. برای مثال Schema تعیین می‌کند که یک User دارای ویژگی‌هایی مانند Display Name، User Principal Name، Email Address و Password باشد، در حالی که یک Computer Object ویژگی‌های متفاوتی خواهد داشت. یکی از ویژگی‌های مهم Schema این است که در سطح Forest مشترک است و تمامی Domainهای موجود از همان Schema استفاده می‌کنند. تغییر در Schema عملیاتی حساس محسوب می‌شود، زیرا روی کل Forest تأثیر می‌گذارد و معمولاً تنها هنگام نصب برخی نرم‌افزارهای سازمانی مانند Microsoft Exchange یا محصولات مشابه انجام می‌شود. به همین دلیل مدیریت تغییرات Schema نیازمند برنامه‌ریزی دقیق، آزمایش و رعایت اصول امنیتی است.

Global Catalog چیست

Global Catalog یا GC یکی از مهم‌ترین سرویس‌های Active Directory است که نسخه‌ای خلاصه‌شده از اطلاعات تمامی Objectهای موجود در Forest را نگهداری می‌کند. هدف اصلی این سرویس افزایش سرعت جستجو و تسهیل فرآیند احراز هویت در محیط‌های دارای چندین Domain است. فرض کنید کاربری قصد دارد شخصی را در کل سازمان جستجو کند یا عضویت یک گروه در Domain دیگری بررسی شود؛ در این حالت به جای جستجوی کامل در تمامی Domainها، درخواست ابتدا به Global Catalog ارسال می‌شود و نتیجه با سرعت بسیار بیشتری بازگردانده می‌شود. علاوه بر جستجو، Global Catalog در فرآیند ورود کاربران به سیستم نیز نقش مهمی دارد، زیرا عضویت در گروه‌های Universal را بررسی می‌کند. به همین دلیل در طراحی زیرساخت‌های Enterprise معمولاً چندین Domain Controller به عنوان Global Catalog Server پیکربندی می‌شوند تا علاوه بر افزایش کارایی، افزونگی مناسبی نیز فراهم شود.

Site چیست

Site یا سایت در Active Directory مفهومی کاملاً متفاوت از Domain دارد و بیشتر برای نمایش ساختار فیزیکی شبکه استفاده می‌شود. در حالی که Domain یک مرز منطقی و امنیتی است، Site نشان‌دهنده مجموعه‌ای از Subnetهایی است که از طریق ارتباطات پرسرعت به یکدیگر متصل هستند. هدف اصلی Site بهینه‌سازی فرآیند Replication و هدایت کاربران به نزدیک‌ترین Domain Controller از نظر موقعیت شبکه است. برای مثال اگر یک سازمان دارای شعب مختلف در شهرهای متفاوت باشد، برای هر شعبه می‌توان یک Site مجزا تعریف کرد تا کاربران هنگام ورود به سیستم به نزدیک‌ترین Domain Controller متصل شوند و ترافیک بین‌شهری نیز بهینه شود. طراحی صحیح Site تأثیر مستقیمی بر عملکرد شبکه، کاهش مصرف پهنای باند و افزایش سرعت احراز هویت دارد و در محیط‌های چندشعبه‌ای یکی از مهم‌ترین بخش‌های طراحی Active Directory محسوب می‌شود.

Subnet چیست

Subnet در Active Directory برای اتصال ساختار منطقی Site به ساختار واقعی شبکه IP استفاده می‌شود. هر محدوده آدرس IP یا Subnet به یک Site اختصاص داده می‌شود تا سیستم بتواند تشخیص دهد هر کامپیوتر از نظر فیزیکی در کدام بخش شبکه قرار دارد. زمانی که یک کلاینت به Domain ملحق می‌شود یا فرآیند ورود کاربر انجام می‌شود، Active Directory ابتدا آدرس IP سیستم را بررسی می‌کند و سپس با استفاده از اطلاعات Subnet نزدیک‌ترین Domain Controller را انتخاب می‌کند. این فرآیند باعث کاهش تأخیر، بهبود سرعت Authentication و کاهش ترافیک WAN می‌شود. در زیرساخت‌های کوچک ممکن است تنها یک Site و یک Subnet وجود داشته باشد، اما در سازمان‌های بزرگ که دارای ده‌ها شعبه هستند، طراحی دقیق Site و Subnet نقش مهمی در عملکرد کلی Active Directory ایفا می‌کند.

Trust چیست

Trust یا رابطه اعتماد مکانیزمی است که به Domainها یا Forestهای مختلف اجازه می‌دهد هویت کاربران یکدیگر را بپذیرند و امکان دسترسی کنترل‌شده به منابع را فراهم کنند. بدون Trust هر Domain تنها کاربران داخلی خود را می‌شناسد و کاربران Domainهای دیگر قادر به استفاده از منابع آن نخواهند بود. Active Directory از انواع مختلف Trust مانند Parent-Child Trust، Tree Root Trust، External Trust، Forest Trust و Shortcut Trust پشتیبانی می‌کند که هر کدام برای سناریوهای خاصی طراحی شده‌اند. انتخاب نوع مناسب Trust به ساختار سازمان، الزامات امنیتی و نحوه همکاری میان واحدهای مختلف بستگی دارد. اگرچه در بسیاری از سازمان‌ها تنها Trustهای پیش‌فرض کافی هستند، اما در محیط‌های Enterprise یا هنگام ادغام چند سازمان، طراحی صحیح روابط اعتماد اهمیت بسیار زیادی پیدا می‌کند و تأثیر مستقیمی بر امنیت و عملکرد زیرساخت خواهد داشت.

ساختار منطقی Active Directory

یکی از مهم‌ترین مفاهیمی که هر مدیر شبکه باید پیش از پیاده‌سازی Active Directory درک کند، تفاوت میان ساختار منطقی (Logical Structure) و ساختار فیزیکی (Physical Structure) است. بسیاری از افراد تازه‌کار این دو مفهوم را با یکدیگر اشتباه می‌گیرند و تصور می‌کنند Domain، Forest یا Organizational Unit به نحوه اتصال سرورها در شبکه مربوط هستند، در حالی که این اجزا صرفاً ساختار مدیریتی و سازمان‌دهی اطلاعات را تعریف می‌کنند. ساختار منطقی مشخص می‌کند کاربران، کامپیوترها، گروه‌ها و سایر Objectها چگونه دسته‌بندی شوند، چه مرزهای مدیریتی وجود داشته باشد و سیاست‌های امنیتی چگونه اعمال شوند. در مقابل، ساختار فیزیکی به محل استقرار Domain Controllerها، ارتباط میان شعب، توپولوژی شبکه، Siteها و فرآیند Replication مربوط می‌شود. این جداسازی یکی از مهم‌ترین مزیت‌های معماری Active Directory است، زیرا مدیران می‌توانند بدون وابستگی به ساختار واقعی شبکه، یک ساختار مدیریتی استاندارد طراحی کنند. در نتیجه حتی اگر توپولوژی شبکه در آینده تغییر کند، الزاماً نیازی به تغییر ساختار منطقی Active Directory نخواهد بود. درک صحیح این دو لایه، پایه طراحی یک زیرساخت مقیاس‌پذیر و قابل نگهداری محسوب می‌شود.

اجزای ساختار منطقی

ساختار منطقی Active Directory از چندین لایه تشکیل شده است که هر کدام مسئول سازمان‌دهی اطلاعات هستند. در بالاترین سطح Forest قرار دارد که بزرگ‌ترین مرز مدیریتی و امنیتی را تشکیل می‌دهد و تمامی Domainهای مرتبط را در خود جای می‌دهد. هر Forest می‌تواند شامل یک یا چند Tree باشد و هر Tree نیز از یک یا چند Domain تشکیل شود که از Namespace مشترک استفاده می‌کنند. در داخل هر Domain، واحدهای سازمانی یا Organizational Unit قرار می‌گیرند که کاربران، کامپیوترها، گروه‌ها و سایر Objectها را بر اساس ساختار سازمان دسته‌بندی می‌کنند. این سلسله‌مراتب به مدیران اجازه می‌دهد سیاست‌های امنیتی، Group Policyها و Delegation را به صورت دقیق و بدون پیچیدگی اعمال کنند. هر Object نیز در یکی از این لایه‌ها قرار می‌گیرد و از قوانین همان بخش پیروی می‌کند. این طراحی سلسله‌مراتبی باعث می‌شود حتی سازمان‌هایی با صدها هزار کاربر نیز بتوانند زیرساخت خود را به شکلی منظم و قابل مدیریت توسعه دهند.

ساختار فیزیکی چیست

برخلاف ساختار منطقی، ساختار فیزیکی Active Directory به نحوه استقرار سرورها و ارتباط آن‌ها در شبکه اشاره دارد. مهم‌ترین اجزای این بخش شامل Site، Subnet، Site Link و Domain Controller هستند که وظیفه مدیریت ارتباطات شبکه و فرآیند Replication را بر عهده دارند. زمانی که یک شرکت دارای چندین ساختمان، شهر یا کشور مختلف باشد، لازم نیست برای هر مکان یک Domain جدید ایجاد شود، بلکه معمولاً تنها با تعریف Siteهای مختلف می‌توان ارتباط میان آن‌ها را مدیریت کرد. Active Directory از اطلاعات مربوط به Site و Subnet استفاده می‌کند تا کاربران را به نزدیک‌ترین Domain Controller هدایت کند و Replication را بر اساس سرعت و کیفیت ارتباطات شبکه زمان‌بندی نماید. این رویکرد باعث کاهش مصرف پهنای باند، افزایش سرعت ورود کاربران و بهبود عملکرد کلی زیرساخت می‌شود. به همین دلیل طراحی ساختار فیزیکی باید همواره بر اساس توپولوژی واقعی شبکه و ظرفیت ارتباطات WAN انجام شود.

تفاوت ساختار منطقی و فیزیکی

اگرچه ساختار منطقی و ساختار فیزیکی در نهایت با یکدیگر همکاری می‌کنند، اما اهداف متفاوتی دارند و نباید بر اساس یکدیگر طراحی شوند. ساختار منطقی برای مدیریت کاربران، منابع، مجوزها و سیاست‌های امنیتی ایجاد شده است، در حالی که ساختار فیزیکی برای بهینه‌سازی ارتباطات شبکه و Replication طراحی می‌شود. برای مثال ممکن است تمامی کاربران یک سازمان در یک Domain قرار داشته باشند، اما Domain Controllerهای آن Domain در چندین کشور مختلف مستقر باشند و هر کدام در Site جداگانه‌ای فعالیت کنند. همچنین ممکن است دو ساختمان مجاور از یک Domain استفاده کنند، اما به دلیل وجود دو Subnet مستقل در دو Site متفاوت قرار گیرند. این استقلال میان دو ساختار باعث می‌شود تغییر در توپولوژی شبکه الزاماً موجب تغییر در طراحی Domain یا OUها نشود و برعکس، تغییرات مدیریتی نیز معمولاً نیازی به جابه‌جایی سرورها نداشته باشد. این انعطاف‌پذیری یکی از مهم‌ترین دلایل موفقیت Active Directory در سازمان‌های بزرگ محسوب می‌شود.

نمونه معماری سازمانی

فرض کنید یک شرکت بین‌المللی دارای دفتر مرکزی در تهران و شعبی در اصفهان، تبریز و مشهد است. از دیدگاه منطقی، ممکن است کل سازمان تنها یک Forest و یک Domain داشته باشد و کاربران هر شعبه در OUهای جداگانه مانند Finance، HR، IT و Sales سازمان‌دهی شوند. اما از دیدگاه فیزیکی، هر شهر دارای Site مستقل، Domain Controller اختصاصی و Subnetهای مخصوص خود خواهد بود تا کاربران به نزدیک‌ترین سرور متصل شوند و ترافیک بین شعب بهینه گردد. در چنین طراحی، مدیر شبکه تنها یک ساختار مدیریتی واحد را نگهداری می‌کند، اما کاربران هر شعبه بهترین عملکرد ممکن را تجربه خواهند کرد. این مثال نشان می‌دهد که چرا طراحی منطقی باید بر اساس ساختار سازمان انجام شود، در حالی که طراحی فیزیکی باید مطابق معماری واقعی شبکه و ارتباطات میان شعب باشد.

بهترین روش طراحی

یکی از مهم‌ترین توصیه‌های مایکروسافت و متخصصان زیرساخت این است که طراحی Active Directory ابتدا از نیازهای کسب‌وکار آغاز شود و نه از توپولوژی شبکه. بسیاری از پیاده‌سازی‌های ناموفق به این دلیل ایجاد شده‌اند که Domainها و OUها صرفاً بر اساس ساختمان‌ها یا آدرس‌های IP طراحی شده‌اند و پس از تغییر ساختار سازمان، مدیریت آن‌ها بسیار دشوار شده است. بهترین روش این است که تعداد Domainها تا حد امکان کم نگه داشته شود، OUها بر اساس نیازهای مدیریتی و Delegation طراحی شوند و Siteها تنها برای نمایش ساختار فیزیکی شبکه مورد استفاده قرار گیرند. همچنین باید از ایجاد Forestهای متعدد بدون نیاز واقعی خودداری شود، زیرا هر Forest یک مرز امنیتی مستقل ایجاد می‌کند و مدیریت آن پیچیدگی بیشتری خواهد داشت. رعایت این اصول از همان ابتدای طراحی، هزینه نگهداری زیرساخت را کاهش می‌دهد و توسعه آینده شبکه را بسیار ساده‌تر خواهد کرد.

Active Directory چگونه کار می‌کند

در ظاهر، کار با Active Directory بسیار ساده به نظر می‌رسد؛ کاربر نام کاربری و رمز عبور خود را وارد می‌کند و چند ثانیه بعد وارد سیستم می‌شود. اما در پشت این فرآیند ساده، ده‌ها سرویس، پروتکل و مکانیزم امنیتی به صورت هماهنگ با یکدیگر کار می‌کنند تا هویت کاربر تأیید شود، مجوزهای دسترسی بررسی شوند و تنظیمات امنیتی مناسب اعمال گردد. Active Directory تنها یک پایگاه داده برای ذخیره اطلاعات کاربران نیست، بلکه یک سیستم توزیع‌شده است که شامل Domain Controllerها، سرویس DNS، پروتکل Kerberos، سرویس LDAP، پایگاه داده Active Directory، مکانیزم Replication و بسیاری از اجزای دیگر می‌شود. هر کدام از این اجزا وظیفه مشخصی دارند و حذف یا اختلال در هر یک از آن‌ها می‌تواند فرآیند ورود کاربران یا دسترسی به منابع شبکه را با مشکل مواجه کند. به همین دلیل شناخت نحوه عملکرد داخلی Active Directory نه تنها برای مدیران شبکه بلکه برای متخصصان امنیت، زیرساخت و حتی برنامه‌نویسان سازمانی نیز اهمیت زیادی دارد. در این بخش ابتدا تصویر کلی عملکرد Active Directory را بررسی می‌کنیم و سپس در بخش‌های بعدی هر یک از پروتکل‌ها و سرویس‌های اصلی را به صورت عمیق‌تر توضیح خواهیم داد.

مراحل کلی عملکرد

هر بار که یک کاربر قصد ورود به یک کامپیوتر عضو Domain را دارد، زنجیره‌ای از عملیات به ترتیب مشخص آغاز می‌شود. ابتدا کلاینت از طریق DNS نزدیک‌ترین Domain Controller را پیدا می‌کند و سپس درخواست احراز هویت خود را برای آن ارسال می‌نماید. Domain Controller اطلاعات کاربر را از پایگاه داده Active Directory بررسی کرده و در صورت استفاده از Kerberos، Ticketهای امنیتی لازم را صادر می‌کند. پس از تأیید هویت، عضویت کاربر در گروه‌های مختلف، سیاست‌های امنیتی، محدودیت‌های دسترسی و سایر اطلاعات مرتبط بررسی می‌شوند. سپس Group Policyهای مرتبط دریافت شده و روی سیستم کاربر اعمال می‌شوند و در نهایت کاربر به Desktop یا سرویس درخواستی دسترسی پیدا می‌کند. اگر کاربر بخواهد به فایل سرور، چاپگر یا یک نرم‌افزار سازمانی متصل شود، همین فرآیند با استفاده از مجوزهای موجود دوباره مورد استفاده قرار می‌گیرد، اما معمولاً بدون نیاز به وارد کردن مجدد رمز عبور. این قابلیت همان چیزی است که با نام Single Sign-On شناخته می‌شود و یکی از مهم‌ترین مزایای Active Directory به شمار می‌آید.

پایگاه داده Active Directory

تمامی اطلاعات مربوط به کاربران، کامپیوترها، گروه‌ها، واحدهای سازمانی، سیاست‌های امنیتی و سایر Objectها در پایگاه داده‌ای به نام NTDS.dit ذخیره می‌شوند. این فایل روی هر Domain Controller قرار دارد و نسخه‌ای از اطلاعات Domain را نگهداری می‌کند. زمانی که مدیری کاربر جدیدی ایجاد می‌کند، رمز عبور را تغییر می‌دهد یا عضویت یک گروه را ویرایش می‌کند، این تغییر ابتدا در پایگاه داده Domain Controller ثبت می‌شود و سپس از طریق مکانیزم Replication به سایر Domain Controllerها منتقل خواهد شد. این معماری باعث می‌شود تمامی Domain Controllerهای یک Domain تقریباً اطلاعات یکسانی داشته باشند و در صورت از دسترس خارج شدن یکی از آن‌ها، سایر سرورها بتوانند بدون اختلال سرویس‌دهی را ادامه دهند. به همین دلیل Active Directory یک سیستم Single Point of Failure نیست و در صورت طراحی صحیح، تحمل خطا و دسترس‌پذیری بسیار بالایی خواهد داشت.

نقش Domain Controller

Domain Controller مرکز تصمیم‌گیری Active Directory است و تقریباً تمامی درخواست‌های مربوط به احراز هویت، مجوزها و دسترسی به منابع از طریق آن پردازش می‌شوند. زمانی که یک کلاینت قصد ورود به Domain را دارد، Domain Controller اعتبار حساب کاربری، وضعیت فعال یا غیرفعال بودن حساب، محدودیت‌های امنیتی، سیاست‌های رمز عبور و عضویت در گروه‌ها را بررسی می‌کند. علاوه بر این، Domain Controller مسئول ارائه اطلاعات LDAP، مدیریت Replication، انتشار رکوردهای DNS، نگهداری پایگاه داده Active Directory و اجرای بسیاری از سرویس‌های داخلی دیگر نیز هست. در محیط‌های Enterprise معمولاً چندین Domain Controller به صورت هم‌زمان فعالیت می‌کنند تا بار کاری میان آن‌ها توزیع شود و در صورت بروز خرابی، سرویس بدون وقفه ادامه پیدا کند. این مدل که Multi-Master Replication نام دارد یکی از مهم‌ترین دلایل پایداری Active Directory در شبکه‌های بزرگ محسوب می‌شود.

نقش DNS در عملکرد

برخلاف تصور بسیاری از افراد، Active Directory بدون DNS تقریباً قادر به انجام وظایف خود نیست. زمانی که یک کلاینت قصد پیدا کردن Domain Controller را دارد، ابتدا رکوردهای SRV موجود در DNS را جستجو می‌کند و بر اساس آن نزدیک‌ترین سرور مناسب را انتخاب می‌کند. اگر DNS به درستی پیکربندی نشده باشد، کاربران ممکن است نتوانند وارد Domain شوند، Group Policyها اعمال نشوند یا فرآیند Replication با خطا مواجه شود. به همین دلیل مایکروسافت همواره توصیه می‌کند از DNS داخلی Active Directory استفاده شود و تمامی Domain Controllerها اطلاعات DNS را نیز به صورت یکپارچه نگهداری کنند. ارتباط نزدیک میان DNS و Active Directory باعث شده است که در بسیاری از سناریوهای عیب‌یابی، اولین مرحله بررسی سلامت سرویس DNS باشد. در بخش‌های بعدی مقاله نقش DNS، رکوردهای SRV و نحوه یکپارچه‌سازی آن با Active Directory به صورت کامل بررسی خواهد شد.

نگاه کلی به فرآیندها

اگر بخواهیم عملکرد Active Directory را در یک نمای کلی خلاصه کنیم، می‌توان گفت این سیستم ابتدا هویت کاربران را شناسایی می‌کند، سپس اعتبار آن‌ها را بررسی می‌نماید، مجوزهای دسترسی را تعیین می‌کند، سیاست‌های امنیتی را اعمال می‌کند و در نهایت امکان استفاده از منابع شبکه را فراهم می‌آورد. تمامی این عملیات با همکاری سرویس‌هایی مانند Kerberos، LDAP، DNS، Group Policy، Replication و Domain Controller انجام می‌شود و هر کدام بخشی از این زنجیره را تشکیل می‌دهند. در ادامه مقاله، هر یک از این اجزا به صورت مستقل و با مثال‌های عملی بررسی خواهند شد تا تصویر کامل‌تری از نحوه عملکرد Active Directory در محیط‌های واقعی سازمانی به دست آید.

Authentication چیست

Authentication یا احراز هویت اولین و مهم‌ترین مرحله در عملکرد Active Directory است و هدف آن بررسی این موضوع است که آیا کاربری که قصد ورود به شبکه را دارد واقعاً همان فردی است که ادعا می‌کند یا خیر. این فرآیند قبل از اعطای هرگونه دسترسی انجام می‌شود و تا زمانی که هویت کاربر تأیید نشود، هیچ سرویس یا منبعی در اختیار او قرار نخواهد گرفت. Active Directory اطلاعات حساب‌های کاربری را در پایگاه داده خود نگهداری می‌کند و هنگام دریافت درخواست ورود، این اطلاعات را با داده‌های ارسال‌شده از طرف کاربر مقایسه می‌کند. اگر اطلاعات صحیح باشند، فرآیند احراز هویت با موفقیت پایان می‌یابد و مراحل بعدی آغاز می‌شود. در غیر این صورت، درخواست رد شده و بسته به سیاست‌های امنیتی، ممکن است حساب کاربر پس از چند بار ورود ناموفق قفل شود. این مکانیزم اولین لایه دفاعی در برابر دسترسی غیرمجاز محسوب می‌شود و نقش بسیار مهمی در امنیت زیرساخت سازمان دارد. انتخاب پروتکل مناسب برای Authentication نیز تأثیر مستقیمی بر امنیت، سرعت و قابلیت اطمینان کل شبکه خواهد داشت.

Authorization چیست

بسیاری از افراد Authentication و Authorization را یک مفهوم واحد تصور می‌کنند، در حالی که این دو فرآیند کاملاً متفاوت هستند و هر کدام وظیفه مشخصی دارند. Authentication تنها هویت کاربر را تأیید می‌کند، اما Authorization یا مجوزدهی مشخص می‌کند که آن کاربر پس از ورود به چه منابعی دسترسی خواهد داشت. برای مثال ممکن است دو کاربر با موفقیت وارد Domain شوند، اما یکی فقط بتواند فایل‌های واحد مالی را مشاهده کند و دیگری به تنظیمات سرورها نیز دسترسی داشته باشد. Active Directory این تصمیم را بر اساس عضویت کاربر در گروه‌های امنیتی، مجوزهای تعریف‌شده روی منابع، سیاست‌های سازمان و سایر قوانین امنیتی اتخاذ می‌کند. این تفکیک باعث می‌شود حتی اگر هویت کاربر معتبر باشد، همچنان فقط به منابعی دسترسی داشته باشد که برای انجام وظایف شغلی خود به آن‌ها نیاز دارد. این اصل با عنوان Least Privilege شناخته می‌شود و یکی از مهم‌ترین استانداردهای امنیتی در طراحی زیرساخت‌های سازمانی است.

Kerberos چیست

Kerberos پروتکل پیش‌فرض احراز هویت در Active Directory است و از زمان معرفی Windows 2000 Server به عنوان استاندارد اصلی مایکروسافت مورد استفاده قرار گرفته است. برخلاف روش‌های قدیمی که رمز عبور کاربر را به دفعات در شبکه ارسال می‌کردند، Kerberos از مکانیزم Ticket استفاده می‌کند تا امنیت ارتباطات افزایش یابد و احتمال سرقت اطلاعات کاهش پیدا کند. زمانی که کاربر وارد سیستم می‌شود، Domain Controller پس از بررسی اعتبار حساب، یک Ticket اولیه صادر می‌کند که به کاربر اجازه می‌دهد بدون وارد کردن مجدد رمز عبور به سرویس‌های مختلف شبکه متصل شود. هر سرویس نیز Ticket اختصاصی خود را دریافت می‌کند و اعتبار آن را بررسی می‌کند. این فرآیند علاوه بر افزایش امنیت، تجربه کاربری بسیار بهتری نیز ایجاد می‌کند، زیرا کاربران تنها یک بار وارد سیستم می‌شوند و سپس از قابلیت Single Sign-On بهره‌مند خواهند شد. امروزه تقریباً تمامی محیط‌های مبتنی بر Active Directory از Kerberos به عنوان اصلی‌ترین مکانیزم Authentication استفاده می‌کنند.

NTLM چیست

اگرچه Kerberos پروتکل اصلی Active Directory محسوب می‌شود، اما NTLM همچنان در برخی شرایط مورد استفاده قرار می‌گیرد. این پروتکل نسخه قدیمی‌تری از مکانیزم احراز هویت مایکروسافت است و معمولاً زمانی فعال می‌شود که استفاده از Kerberos امکان‌پذیر نباشد. برای مثال اگر سرویس مقصد از Kerberos پشتیبانی نکند، ارتباط میان Domainها به درستی برقرار نباشد یا برخی شرایط خاص شبکه وجود داشته باشد، سیستم به صورت خودکار از NTLM استفاده خواهد کرد. هرچند NTLM نسبت به Kerberos امنیت پایین‌تری دارد و در برابر برخی حملات آسیب‌پذیرتر است، اما همچنان برای حفظ سازگاری با نرم‌افزارها و تجهیزات قدیمی در Windows Server باقی مانده است. در طراحی زیرساخت‌های جدید توصیه می‌شود تا حد امکان شرایطی فراهم شود که تمامی فرآیندهای Authentication از طریق Kerberos انجام شوند و وابستگی به NTLM به حداقل برسد.

Single Sign-On چیست

یکی از مهم‌ترین مزایای Active Directory قابلیت Single Sign-On یا ورود یکپارچه است که باعث می‌شود کاربران تنها یک بار هویت خود را اثبات کنند و سپس بتوانند به تمامی سرویس‌های مجاز دسترسی داشته باشند. پس از ورود موفق به Domain، Ticketهای صادرشده توسط Kerberos برای دسترسی به فایل سرورها، چاپگرها، نرم‌افزارهای سازمانی، وب‌سایت‌های داخلی و بسیاری از سرویس‌های دیگر مورد استفاده قرار می‌گیرند. این موضوع علاوه بر افزایش راحتی کاربران، امنیت را نیز بهبود می‌بخشد، زیرا کاربران مجبور نیستند رمز عبور خود را بارها در سیستم‌های مختلف وارد کنند. همچنین مدیریت حساب‌های کاربری ساده‌تر می‌شود و در صورت غیرفعال شدن یک حساب، دسترسی به تمامی سرویس‌های وابسته نیز به صورت هم‌زمان قطع خواهد شد. قابلیت Single Sign-On یکی از مهم‌ترین دلایلی است که سازمان‌های بزرگ برای مدیریت هویت کاربران خود به Active Directory وابسته هستند.

LDAP چیست

Lightweight Directory Access Protocol یا LDAP یکی از مهم‌ترین پروتکل‌هایی است که Active Directory برای دسترسی به اطلاعات موجود در پایگاه داده خود از آن استفاده می‌کند. برخلاف تصور بسیاری از کاربران، LDAP وظیفه احراز هویت را بر عهده ندارد، بلکه وظیفه اصلی آن جستجو، خواندن، ایجاد، ویرایش و مدیریت اطلاعات موجود در سرویس دایرکتوری است. زمانی که یک نرم‌افزار سازمانی قصد دارد اطلاعات یک کاربر، گروه یا کامپیوتر را از Active Directory دریافت کند، معمولاً درخواست خود را از طریق LDAP ارسال می‌کند. این پروتکل به دلیل سادگی، سرعت و استاندارد بودن، توسط بسیاری از محصولات غیرمایکروسافتی نیز پشتیبانی می‌شود و به همین دلیل Active Directory می‌تواند با هزاران نرم‌افزار و سرویس مختلف یکپارچه شود. ساختار داده‌ها در LDAP به صورت سلسله‌مراتبی طراحی شده و هر Object دارای مجموعه‌ای از Attributeها است که امکان جستجوی بسیار سریع اطلاعات را فراهم می‌کنند. امروزه LDAP یکی از پایه‌های اصلی ارتباط میان Active Directory و نرم‌افزارهای سازمانی محسوب می‌شود.

DNS چگونه کمک می‌کند

سرویس DNS یکی از مهم‌ترین وابستگی‌های Active Directory است و بدون آن بسیاری از قابلیت‌های این زیرساخت عملاً از کار خواهند افتاد. برخلاف DNS عمومی اینترنت که تنها برای تبدیل نام دامنه به آدرس IP استفاده می‌شود، DNS در Active Directory وظیفه کشف سرویس‌ها، یافتن Domain Controllerها و هدایت کلاینت‌ها به مناسب‌ترین سرور را نیز بر عهده دارد. زمانی که یک کامپیوتر عضو Domain روشن می‌شود، ابتدا از طریق DNS رکوردهای مخصوص سرویس Active Directory را جستجو می‌کند تا نزدیک‌ترین Domain Controller را پیدا کند. سپس تمامی درخواست‌های احراز هویت، دریافت Group Policy و سایر سرویس‌های مدیریتی به همان سرور ارسال می‌شوند. اگر رکوردهای DNS به درستی ثبت نشده باشند یا کلاینت از DNS اشتباهی استفاده کند، فرآیند ورود کاربران، Join کردن سیستم به Domain و حتی Replication میان Domain Controllerها با مشکل مواجه خواهد شد. به همین دلیل در اکثر عملیات عیب‌یابی Active Directory، بررسی سلامت DNS یکی از اولین اقدامات مدیران شبکه است.

رکوردهای SRV

یکی از مهم‌ترین ویژگی‌های DNS در Active Directory استفاده از رکوردهای Service Locator یا SRV Record است. این رکوردها اطلاعات مربوط به سرویس‌های مختلف Active Directory را در اختیار کلاینت‌ها قرار می‌دهند و مشخص می‌کنند هر سرویس روی کدام Domain Controller در دسترس است. زمانی که یک کاربر قصد ورود به Domain را دارد، سیستم ابتدا رکوردهای SRV را بررسی می‌کند و بر اساس Site، موقعیت شبکه و اولویت سرویس، مناسب‌ترین Domain Controller را انتخاب می‌کند. این روش باعث می‌شود کاربران به نزدیک‌ترین سرور متصل شوند و ترافیک غیرضروری در شبکه ایجاد نشود. علاوه بر این، اگر یکی از Domain Controllerها از دسترس خارج شود، DNS می‌تواند کلاینت‌ها را به سرور دیگری هدایت کند و از ایجاد اختلال در سرویس جلوگیری نماید. این مکانیزم یکی از عوامل اصلی پایداری و دسترس‌پذیری بالای Active Directory در شبکه‌های سازمانی است.

Replication چیست

Replication فرآیندی است که طی آن تمامی تغییرات ایجادشده در پایگاه داده Active Directory میان Domain Controllerهای یک Domain یا Forest همگام‌سازی می‌شوند. زمانی که مدیر شبکه یک کاربر جدید ایجاد می‌کند، رمز عبور را تغییر می‌دهد یا عضویت یک گروه را ویرایش می‌کند، این تغییر تنها روی یک Domain Controller باقی نمی‌ماند، بلکه به صورت خودکار به سایر Domain Controllerها نیز منتقل می‌شود. Active Directory از معماری Multi-Master Replication استفاده می‌کند، به این معنی که تقریباً هر Domain Controller می‌تواند تغییرات را دریافت و منتشر کند و وابستگی به یک سرور مرکزی وجود ندارد. این روش باعث افزایش تحمل خطا، دسترس‌پذیری و قابلیت توسعه زیرساخت می‌شود. فرآیند Replication به صورت هوشمند انجام می‌شود و تنها تغییرات لازم میان سرورها منتقل می‌شوند تا مصرف پهنای باند کاهش یابد. در شبکه‌های بزرگ نیز زمان‌بندی Replication می‌تواند بر اساس ساختار Site و سرعت ارتباطات میان شعب تنظیم شود.

چرخه ورود کاربر

اگر تمامی مراحل عملکرد Active Directory را کنار یکدیگر قرار دهیم، چرخه ورود یک کاربر به صورت کاملاً مشخص قابل مشاهده خواهد بود. ابتدا کلاینت از طریق DNS نزدیک‌ترین Domain Controller را پیدا می‌کند و درخواست Authentication را ارسال می‌نماید. Domain Controller اطلاعات حساب کاربر را بررسی کرده و با استفاده از Kerberos یا در شرایط خاص NTLM هویت او را تأیید می‌کند. پس از موفقیت در Authentication، اطلاعات مربوط به عضویت در گروه‌ها، مجوزهای امنیتی و سیاست‌های سازمان بررسی می‌شوند و فرآیند Authorization انجام می‌گیرد. سپس Group Policyهای مرتبط دریافت و روی سیستم اعمال می‌شوند و در نهایت کاربر به Desktop و منابع مجاز خود دسترسی پیدا می‌کند. از این لحظه به بعد نیز هر زمان کاربر قصد استفاده از فایل سرورها، چاپگرها یا نرم‌افزارهای سازمانی را داشته باشد، Active Directory با استفاده از Ticketهای امنیتی و مجوزهای ثبت‌شده این درخواست‌ها را مدیریت می‌کند. همین هماهنگی میان DNS، LDAP، Kerberos، Domain Controller و Replication باعث شده است Active Directory طی سال‌ها به یکی از قابل‌اعتمادترین سیستم‌های مدیریت هویت در محیط‌های سازمانی تبدیل شود.

سرویس های Active Directory

بسیاری از افراد تصور می‌کنند Active Directory تنها یک سرویس واحد است، در حالی که در واقع مجموعه‌ای از سرویس‌های مختلف مایکروسافت را شامل می‌شود که هر کدام برای هدف مشخصی طراحی شده‌اند. اگرچه Active Directory Domain Services یا AD DS شناخته‌شده‌ترین عضو این خانواده است، اما سرویس‌های دیگری نیز وجود دارند که برای احراز هویت، فدراسیون، مدیریت گواهینامه‌های دیجیتال، حفاظت از اطلاعات و ارائه سرویس‌های دایرکتوری سبک‌تر مورد استفاده قرار می‌گیرند. شناخت این سرویس‌ها به مدیران شبکه کمک می‌کند معماری مناسب‌تری طراحی کنند و تنها از قابلیت‌هایی استفاده نمایند که متناسب با نیاز سازمان هستند. همچنین بسیاری از سرویس‌های سازمانی مایکروسافت برای عملکرد صحیح به یک یا چند مورد از این سرویس‌ها وابسته هستند. در این بخش مهم‌ترین سرویس‌های خانواده Active Directory معرفی می‌شوند و نقش هر کدام در زیرساخت سازمانی بررسی خواهد شد.

Active Directory DS

Active Directory Domain Services یا AD DS هسته اصلی Active Directory محسوب می‌شود و تقریباً تمامی قابلیت‌هایی که تاکنون درباره آن‌ها صحبت شد، توسط این سرویس ارائه می‌شوند. مدیریت کاربران، کامپیوترها، گروه‌ها، Organizational Unitها، Domainها، Forestها، احراز هویت کاربران، مجوزدهی، Replication، Group Policy و بسیاری از قابلیت‌های دیگر همگی بخشی از AD DS هستند. هنگام نصب Role مربوط به Active Directory روی Windows Server، در حقیقت سرویس AD DS نصب می‌شود و پس از Promote شدن سرور به Domain Controller، تمامی امکانات مدیریتی Active Directory در اختیار مدیر شبکه قرار می‌گیرد. در اکثر سازمان‌ها، زمانی که از عبارت Active Directory استفاده می‌شود، منظور همان AD DS است، زیرا این سرویس پایه تمامی عملیات مدیریتی و هویتی در محیط‌های مبتنی بر Windows Server به شمار می‌رود.

Active Directory LDS

Active Directory Lightweight Directory Services یا AD LDS نسخه سبک‌تری از سرویس دایرکتوری مایکروسافت است که بدون نیاز به Domain، Forest یا Domain Controller کار می‌کند. این سرویس بیشتر برای نرم‌افزارهایی طراحی شده است که تنها به یک مخزن اطلاعات مبتنی بر LDAP نیاز دارند و لزوماً به زیرساخت کامل Active Directory احتیاج ندارند. توسعه‌دهندگان و تولیدکنندگان نرم‌افزارهای سازمانی می‌توانند از AD LDS برای ذخیره اطلاعات کاربران یا سایر داده‌های ساختاریافته استفاده کنند، بدون آنکه تغییری در Active Directory اصلی سازمان ایجاد شود. این ویژگی باعث می‌شود برنامه‌ها استقلال بیشتری داشته باشند و در عین حال از مزایای یک سرویس دایرکتوری استاندارد نیز بهره‌مند شوند. اگرچه استفاده از AD LDS نسبت به AD DS کمتر رایج است، اما در برخی پروژه‌های نرم‌افزاری و سازمان‌های بزرگ کاربرد قابل توجهی دارد.

Active Directory FS

Active Directory Federation Services یا AD FS سرویسی است که برای ایجاد Federation و Single Sign-On میان سیستم‌های مختلف طراحی شده است. این سرویس به کاربران اجازه می‌دهد با استفاده از یک حساب کاربری، به سرویس‌های خارجی، نرم‌افزارهای مبتنی بر وب و سرویس‌های ابری دسترسی پیدا کنند، بدون آنکه لازم باشد برای هر سامانه نام کاربری و رمز عبور جداگانه‌ای داشته باشند. AD FS از استانداردهایی مانند SAML، OAuth و WS-Federation پشتیبانی می‌کند و نقش مهمی در ارتباط میان Active Directory داخلی و سرویس‌های ابری ایفا می‌کند. پیش از گسترش Microsoft Entra ID، بسیاری از سازمان‌ها برای ایجاد Hybrid Identity از AD FS استفاده می‌کردند و امروزه نیز در برخی زیرساخت‌های Enterprise همچنان مورد استفاده قرار می‌گیرد. این سرویس امنیت، تجربه کاربری و مدیریت هویت را در محیط‌های چندسامانه‌ای به میزان قابل توجهی بهبود می‌بخشد.

Active Directory CS

Active Directory Certificate Services یا AD CS زیرساخت مدیریت گواهینامه‌های دیجیتال یا Public Key Infrastructure را در محیط Windows فراهم می‌کند. این سرویس امکان صدور، مدیریت، تمدید و لغو گواهینامه‌های دیجیتال را برای کاربران، کامپیوترها، سرورها و سرویس‌های مختلف فراهم می‌سازد. بسیاری از فناوری‌های امنیتی مانند VPN، رمزنگاری ایمیل، HTTPS داخلی، Smart Card Login، Network Device Authentication و IPsec به وجود یک زیرساخت PKI وابسته هستند و AD CS این نیاز را برطرف می‌کند. اگرچه AD CS به صورت مستقیم در فرآیند مدیریت کاربران دخالت ندارد، اما نقش بسیار مهمی در افزایش امنیت ارتباطات و پیاده‌سازی احراز هویت مبتنی بر گواهینامه‌های دیجیتال ایفا می‌کند. در سازمان‌هایی که استانداردهای امنیتی بالایی دارند، پیاده‌سازی صحیح AD CS یکی از بخش‌های مهم طراحی زیرساخت محسوب می‌شود.

Active Directory RMS

Active Directory Rights Management Services یا AD RMS برای حفاظت از اطلاعات حساس سازمان طراحی شده است و هدف آن کنترل نحوه استفاده از فایل‌ها و اسناد حتی پس از خروج آن‌ها از شبکه داخلی است. با استفاده از این سرویس می‌توان مشخص کرد چه افرادی اجازه مشاهده، چاپ، ویرایش، کپی یا ارسال یک فایل را داشته باشند و این محدودیت‌ها حتی پس از انتقال فایل به سیستم‌های دیگر نیز حفظ شوند. برای مثال یک سند محرمانه مالی می‌تواند تنها توسط اعضای واحد مالی باز شود و سایر کاربران حتی در صورت دریافت فایل نیز قادر به مشاهده محتوای آن نباشند. این قابلیت در سازمان‌هایی که با اطلاعات حساس، اسناد حقوقی یا داده‌های محرمانه سروکار دارند اهمیت بسیار زیادی دارد و یکی از راهکارهای مهم مایکروسافت برای پیاده‌سازی Information Protection محسوب می‌شود.

انتخاب سرویس مناسب

تمامی سازمان‌ها به همه سرویس‌های خانواده Active Directory نیاز ندارند و انتخاب سرویس مناسب باید بر اساس نیازهای واقعی کسب‌وکار انجام شود. در اکثر شبکه‌های سازمانی، AD DS به عنوان هسته اصلی زیرساخت پیاده‌سازی می‌شود و سایر سرویس‌ها تنها در صورت وجود نیازهای خاص به آن اضافه می‌شوند. برای مثال سازمانی که تنها به مدیریت کاربران و کامپیوترها نیاز دارد، معمولاً به AD DS و DNS اکتفا می‌کند، اما شرکتی که از زیرساخت Hybrid Cloud، گواهینامه‌های دیجیتال یا سامانه‌های متعدد تحت وب استفاده می‌کند، ممکن است به AD FS، AD CS یا سایر سرویس‌های این خانواده نیز نیاز داشته باشد. شناخت تفاوت این سرویس‌ها باعث می‌شود زیرساختی ساده‌تر، ایمن‌تر و با هزینه نگهداری کمتر طراحی شود و از پیچیدگی‌های غیرضروری جلوگیری گردد.

انواع Domain Controller

Domain Controller یا DC مهم‌ترین سرور در زیرساخت Active Directory محسوب می‌شود، اما تمامی Domain Controllerها دقیقاً یکسان نیستند و بسته به نوع پیاده‌سازی، محل استقرار و نیازهای امنیتی سازمان می‌توان از مدل‌های مختلف آن استفاده کرد. هر Domain Controller نسخه‌ای از پایگاه داده Active Directory را در اختیار دارد و وظیفه ارائه خدماتی مانند Authentication، Authorization، LDAP، Replication، Group Policy و DNS را بر عهده دارد. در شبکه‌های کوچک ممکن است تنها یک Domain Controller وجود داشته باشد، اما در سازمان‌های متوسط و Enterprise معمولاً چندین Domain Controller به صورت هم‌زمان فعالیت می‌کنند تا افزونگی، توزیع بار و تحمل خطا تضمین شود. انتخاب نوع مناسب Domain Controller تأثیر مستقیمی بر امنیت، دسترس‌پذیری، عملکرد و هزینه نگهداری زیرساخت خواهد داشت. به همین دلیل مدیران شبکه باید پیش از طراحی معماری Active Directory با انواع مختلف Domain Controller و کاربرد هر یک آشنا باشند. در ادامه رایج‌ترین انواع Domain Controller و سناریوهای استفاده از آن‌ها بررسی می‌شوند.

Writable DC

Writable Domain Controller رایج‌ترین نوع Domain Controller در Active Directory است و تمامی عملیات مدیریتی روی آن قابل انجام است. مدیران شبکه می‌توانند کاربران جدید ایجاد کنند، رمزهای عبور را تغییر دهند، گروه‌ها را مدیریت کنند، Organizational Unitهای جدید بسازند و سایر تغییرات مدیریتی را مستقیماً روی این سرورها انجام دهند. پس از ثبت هر تغییر، اطلاعات از طریق مکانیزم Multi-Master Replication به سایر Domain Controllerهای قابل‌نوشتن منتقل می‌شود تا تمامی سرورها نسخه‌ای یکسان از پایگاه داده Active Directory داشته باشند. این نوع Domain Controller معمولاً در مراکز داده، دفتر مرکزی و مکان‌هایی که امنیت فیزیکی مناسبی دارند مستقر می‌شود. از آنجا که Writable DC امکان تغییر اطلاعات را فراهم می‌کند، محافظت از آن در برابر دسترسی غیرمجاز اهمیت بسیار زیادی دارد و باید همواره تحت نظارت، پشتیبان‌گیری و مانیتورینگ قرار گیرد.

Read Only DC

Read-Only Domain Controller یا RODC نخستین بار در Windows Server 2008 معرفی شد تا راهکاری مناسب برای شعب یا مکان‌هایی با امنیت فیزیکی پایین ارائه دهد. برخلاف Writable Domain Controller، این نوع سرور تنها نسخه‌ای فقط‌خواندنی از پایگاه داده Active Directory را نگهداری می‌کند و امکان ایجاد تغییرات مستقیم روی آن وجود ندارد. در نتیجه اگر فردی به سرور دسترسی فیزیکی پیدا کند، امکان اعمال تغییرات مدیریتی یا انتشار اطلاعات مخرب در کل Domain بسیار محدود خواهد بود. به طور پیش‌فرض تمامی رمزهای عبور نیز روی RODC ذخیره نمی‌شوند و مدیر شبکه می‌تواند تعیین کند اطلاعات احراز هویت کدام کاربران مجاز به Cache شدن روی این سرور باشند. این ویژگی سطح امنیت را در شعب دورافتاده، دفاتر کوچک و مکان‌هایی که حضور دائمی مدیر شبکه امکان‌پذیر نیست، به شکل قابل توجهی افزایش می‌دهد.

Virtual DC

با گسترش فناوری مجازی‌سازی، امروزه بسیاری از Domain Controllerها به صورت ماشین مجازی روی Hyper-V، VMware یا سایر بسترهای Virtualization اجرا می‌شوند. اجرای Domain Controller به صورت مجازی مزایایی مانند استفاده بهینه از منابع سخت‌افزاری، ساده‌تر شدن فرآیند Backup، بازیابی سریع، جابه‌جایی آسان میان میزبان‌ها و کاهش هزینه‌های زیرساخت را به همراه دارد. با این حال، طراحی صحیح زیرساخت مجازی اهمیت زیادی دارد، زیرا خاموش شدن هم‌زمان تمامی میزبان‌های مجازی یا نگهداری تمام Domain Controllerها روی یک Host می‌تواند باعث اختلال جدی در سرویس‌های سازمان شود. به همین دلیل توصیه می‌شود Domain Controllerهای مجازی روی میزبان‌های متفاوت قرار گیرند و همواره حداقل یک Domain Controller مستقل برای افزایش تحمل خطا در دسترس باشد.

Cloud DC

بسیاری از سازمان‌ها امروزه بخشی از زیرساخت خود را به محیط‌های ابری منتقل کرده‌اند و Domain Controllerها را نیز در ماشین‌های مجازی ابری اجرا می‌کنند. این سرورها معمولاً در Microsoft Azure یا سایر ارائه‌دهندگان خدمات ابری مستقر می‌شوند و از طریق VPN یا ExpressRoute به شبکه داخلی سازمان متصل هستند. استفاده از Cloud Domain Controller باعث می‌شود شعب مختلف یا کاربران دورکار بتوانند با تأخیر کمتر به سرویس‌های هویتی دسترسی پیدا کنند و در عین حال از قابلیت‌های مقیاس‌پذیری و افزونگی مراکز داده ابری نیز بهره ببرند. البته اجرای Domain Controller در فضای ابری نیازمند طراحی صحیح شبکه، DNS، امنیت، زمان‌بندی Replication و کنترل دسترسی است تا عملکرد و امنیت زیرساخت حفظ شود. در معماری‌های Hybrid، این نوع Domain Controller نقش مهمی در اتصال زیرساخت داخلی و سرویس‌های ابری ایفا می‌کند.

مقایسه انواع DC

هر نوع Domain Controller برای سناریوی خاصی طراحی شده است و انتخاب مناسب آن به نیازهای سازمان بستگی دارد. Writable Domain Controller بهترین گزینه برای مراکز داده و مکان‌هایی است که عملیات مدیریتی به صورت مستمر انجام می‌شود، در حالی که RODC برای شعب کوچک یا مکان‌هایی با امنیت فیزیکی محدود انتخاب مناسب‌تری است. Domain Controllerهای مجازی هزینه‌های سخت‌افزاری را کاهش می‌دهند و مدیریت زیرساخت را ساده‌تر می‌کنند، اما باید با رعایت اصول High Availability پیاده‌سازی شوند. نسخه‌های ابری نیز انعطاف‌پذیری بیشتری برای سازمان‌های چندشعبه‌ای و Hybrid فراهم می‌کنند، اما وابستگی بیشتری به طراحی صحیح ارتباطات شبکه دارند. در عمل بسیاری از سازمان‌های Enterprise از ترکیبی از این مدل‌ها استفاده می‌کنند تا بهترین تعادل میان امنیت، کارایی، دسترس‌پذیری و هزینه نگهداری را به دست آورند.