Active Directory Glosar-Termeni și concepte fundamentale

În acest post, am de gând să lista și să explice terminologia cel mai frecvent utilizate în Active Directory și tehnologii conexe.

Dacă sunteți nou în Active Directory, aceasta va fi o resursă excelentă pentru a vă familiariza cu elementele de bază și conceptele fundamentale ale Active Directory.

am grupat termeni împreună în diferite secțiuni pentru a face mai ușor de înțeles și de referință. Unele subiecte pot fi foarte tehnice, am oferit o terminologie scurtă și ușor de înțeles. Apoi ofer resurse suplimentare la sfârșitul fiecărei secțiuni dacă doriți să aflați mai multe.

cuprins:

• Active Directory Basics – începe aici
• Active Directory Services
• Active Directory DNS
• Active Directory Replication
• Active Directory Security (autentificare, protocoale de Securitate, Permisiuni)
• Active Directory Management Console
• DHCP
• Politica de grup

Active Directory Basics

acestea sunt termeni de bază ar trebui să fie familiarizați cu atunci când tratarea cu Active Directory.

Active Directory

Active Directory este un serviciu de director care centralizează gestionarea utilizatorilor, computerelor și a altor obiecte dintr-o rețea. Funcția sa principală este de a autentifica și autoriza utilizatorii și computerele într-un domeniu windows. De exemplu, atunci când un utilizator se conectează la un computer din domeniu, acesta verifică numele de utilizator și parola care au fost trimise pentru a verifica contul. Dacă este un nume de utilizator și o parolă valide, utilizatorul este autentificat și conectat la computer.

nu vă confundați cu următorii trei termeni la care se referă toți Active Directory.

• AD – aceasta este doar o abreviere pentru Active Directory
• AD DS – acesta este un server care execută rolul Active Directory Domain Services
• Domain Controller – acesta este, de asemenea, un server care rulează rolul Active Directory Domain Service. Este recomandat să aveți mai multe controlere de domeniu din motive de failover.

domeniu

domeniul este o structură logică de containere și obiecte din Active Directory. Un domeniu conține următoarele componente:

• o structură ierarhică pentru utilizatori, grupuri, computere și alte obiecte
• servicii de securitate care oferă autentificare și autorizare resurselor din domeniu și alte domenii
• politici care sunt aplicate utilizatorilor și computerelor
• un nume DNS pentru identificarea domeniului. Când vă conectați la un computer care face parte dintr-un domeniu, vă conectați la numele de domeniu DNS. Domeniul meu DNS este ad.activedirectorypro.com, așa este identificat domeniul meu.

domeniu copac

când adăugați un domeniu copil la un domeniu părinte creați ceea ce se numește un domeniu copac. Un arbore de domeniu este doar o serie de domenii conectate împreună într-un mod ierarhic, toate folosind același spațiu de nume DNS. Dacă activedirectorypro.com a fost de a adăuga un domeniu numit de formare, sau clipuri video ar fi numit training.activedirectorypro.com și videos.activedirectorypro.com. Aceste domenii fac parte din același arbore de domeniu și se creează automat o încredere între domeniile părinte și copil.

niveluri funcționale

FSMO

un controler de domeniu are mai multe funcții care sunt denumite rolurile FSMO. Aceste roluri sunt toate instalate pe primul controler de domeniu într-o pădure nouă, puteți muta roluri pe Mai multe DCs pentru a ajuta la performanță și failover.

• Schema Master – master schema este un rol la nivel de pădure, care se ocupă de toate modificările la schema Active Directory.
• Domain Naming Master – acesta este un rol de pădure largă, care este maestru de nume de domenii. Se ocupă de spațiul de nume și adăugarea de nume de domenii eliminarea.
• PDC Emulator-acest rol se ocupă de schimbările de parolă, de blocare a utilizatorilor, de politica de grup și este serverul de timp pentru clienți.
• RID Master – acest rol este responsabil pentru procesarea cererilor rid pool de la toate DCs din domeniu. Atunci când sunt create obiecte, cum ar fi utilizatorii și computerele, li se atribuie un SID unic și un ID relativ (RID). Rolul principal RID asigură obiecte nu se atribuie același SID și RIDs.
• Infrastructure master – acesta este un rol la nivel de domeniu folosit pentru a face referire la obiecte din alte domenii. Dacă utilizatorii din domeniul a sunt membri ai unui grup de securitate din domeniul B, rolul principal al infrastructurii este utilizat pentru a face referire la conturile din domeniul corect.

obiecte

când lucrați cu Active Directory, veți lucra în principal cu obiecte. Obiectele sunt definite ca un grup de atribute care reprezintă o resursă în domeniu. Acestor obiecte li se atribuie un identificator unic de securitate (SID) care este utilizat pentru a acorda sau a refuza accesul obiectului la resursele din domeniu. Tipurile de obiecte implicite create într-un domeniu nou în Active Directory sunt:

• unitate organizațională (OU) – un OU este un obiect container care poate conține obiecte diferite din același domeniu. Veți folosi ou pentru a stoca și organiza, conturi de utilizator, contacte, computere și grupuri. Veți lega, de asemenea, obiecte de politică de grup la un OU.
• utilizatori-conturile de utilizator sunt atribuite în primul rând atribuite utilizatorilor pentru a avea acces la resursele domeniului. De asemenea, pot fi utilizate pentru a rula programe sau servicii de sistem.
• Computer – acesta este pur și simplu un computer care este alăturat domeniului.
• grupuri – există două tipuri de obiecte, un grup de securitate și un grup de distribuție. Un grup de securitate este un grup de conturi de utilizatori care pot fi utilizate pentru a oferi acces la resurse. Grupurile de distribuție sunt utilizate pentru listele de distribuție prin e-mail.
• contacte-un contact este utilizat în scopuri de e-mail. Nu vă puteți conecta la domeniu ca contact și nu poate fi utilizat pentru a asigura permisiunile.
• folder partajat – când publicați un folder partajat în Active Directory, acesta creează un obiect. Publicarea folderelor partajate în AD facilitează găsirea de către utilizatori a fișierelor și folderelor partajate în domeniu.
• Partajează imprimanta – la fel ca folderele partajate, puteți publica imprimante în Active Directory. Acest lucru facilitează, de asemenea, utilizatorilor să găsească și să utilizeze imprimante pe domeniu.

LDAP (Lightweight Directory Access Protocol)

Active Directory Services

Active Directory include mai multe alte servicii care se încadrează în Active Directory Domain Services, aceste servicii includ:

Active Directory Certificate Services (AD CS)

acesta este un rol de server care vă permite să construiți o infrastructură cu cheie publică (PKI) și să furnizați certificate digitale pentru organizația dvs. Certificatele pot fi utilizate pentru a cripta traficul de rețea, traficul de aplicații și pentru a autentifica utilizatorii și computerele. Când vedeți https într-o adresă de browser, înseamnă că utilizează un certificat pentru a cripta comunicarea de la client la server.

Active Directory Domain Services (AD DS)

Vezi descrierea Active Directory

Active Directory Federation Services (AD FS)

Active Directory Lightweight Directory Services (AD LDS)

zone

îmbătrânirea și curățarea DNS

aceasta este o caracteristică care poate fi activată pentru a ajuta la automatizarea curățării înregistrărilor DNS învechite. Am creat o postare separată care explică mai multe și oferă instrucțiuni pas cu pas pentru a configura îmbătrânirea și curățarea DNS.

înregistrări SRV utilizate de Active Directory

într-un domeniu Windows, înregistrările SRV sunt utilizate de clienți pentru a localiza controlerele de domeniu pentru Active Directory. Când instalați serviciul AD DS procesul va crea automat înregistrările SRV pentru Active Directory.

• Active Directory își creează înregistrările SRV în următoarele foldere, unde Domain_Name este numele domeniului dvs.:
  • zone de căutare înainte/Domain_Name/_msdcs/dc/_sites/Default-First-Site-Name/_tcp zone de căutare înainte/Domain_Name/_msdcs/dc/_tcp

Iată o captură de ecran din DNS-ul meu:

expeditorii DNS sunt servere care rezolvă nume de gazdă pe care serverul DNS intern nu le poate rezolva, în principal domenii externe, cum ar fi navigarea pe Internet. Puteți configura pentru a redirecționa cererile DNS către orice server ales de dvs., de multe ori este utilizat un ISP.

Root Hints

root hint server este o altă metodă de rezolvare a numelor de gazdă pe care serverul dvs. intern nu le poate rezolva. Diferența este că aceste servere servesc ca zonă DNS rădăcină pentru internet. Acestea sunt gestionate de mai multe mari organizate pentru securitate și redundanță. Puteți utiliza indicii rădăcină sau înainte pentru a rezolva nume externe.

resurse:

lista completă a tipurilor de înregistrări de resurse DNS

cum se verifică dacă înregistrările DNS SRV au fost create pentru un controler de domeniu

indicii Root vs expeditori

cele mai bune practici DNS

replicare Active Directory

replicarea este procesul care asigură că modificările aduse unui controler de domeniu sunt reproduse altor controlere de domeniu din domeniu.

obiecte de conexiune

obiectul de conexiune specifică ce controlere de domeniu se reproduc între ele, cât de des și contextele lor de denumire.

KCC

verificatorul de consistență a cunoștințelor (KCC) este un proces care rulează pe toate controlerele de domeniu și generează o topologie de replicare bazată pe site-uri, subrețele și obiecte de legătură de site.

subrețele

o subrețea este o porțiune logică a unei rețele IP. Subrețele sunt utilizate pentru a grupa dispozitivele într-o anumită rețea, adesea după locație, clădire sau podea. Dacă aveți un mediu multisite, Active Directory trebuie să știe despre subrețele dvs., astfel încât să poată identifica în mod corespunzător cele mai eficiente resurse. Dacă aceste informații nu sunt furnizate, clienții pot autentifica și utiliza controlerul de domeniu greșit.

Site

un site este o colecție de subrețele. Site-urile Active Directory ajută la definirea fluxului de replicare și a locației resurselor pentru clienți, cum ar fi un controler de domeniu.

link Site

linkurile Site vă permit să configurați ce site-uri sunt conectate între ele.

Site link Bridge

un site link bridge este o conexiune logică între site-uri. Este o metodă de a reprezenta logic conectivitatea tranzitivă între site-uri.

topologia Site-ului

topologia site-ului este o hartă care definește conectivitatea rețelei pentru replicare și locația resurselor din Pădurea Active Directory. Topologia site-ului consistente de mai multe componente, inclusiv site-uri, subrețele, link-uri de site-ul, poduri link-ul site-ului, și obiecte de conectare.

replicare Intra-Site

aceasta este replicarea care are loc între controlerele de domeniu din același site.

replicare inter-Site

într-un mediu cu mai multe site-uri, o schimbare într-un site trebuie să fie reprodusă la celălalt site. Aceasta se numește replicare Inter-Site.

resurse:

cum funcționează replicarea Active Directory

concepte de replicare Active Directory

securitate Active Directory (autentificare, protocoale de Securitate, Permisiuni)

Kerberos

Kerberos este un protocol de securitate care permite în siguranță utilizatorilor să-și dovedească identitatea pentru a avea acces la resursele domeniului.

key Distribution Center (KDC)

KDC este un serviciu care rulează pe controlere de domeniu și furnizează bilete de sesiune utilizate în protocolul de autentificare Kerberos.

Service Principal Names (SPN)

SPN este un identificator unic al unei instanțe de serviciu.

NTLM

NTLM este o colecție de protocoale de securitate utilizate pentru autentificarea, asigurarea integrității și confidențialității utilizatorilor. Kerberos este protocolul de autentificare preferat și este utilizat în versiunile moderne de Windows, NTLM este încă disponibil pentru clienții și sistemele mai vechi dintr-un grup de lucru.

permisiuni NTFS

permisiunile NTFS vă permit să definiți cine este autorizat să acceseze un fișier sau un folder. Mai jos este o listă a permisiunilor de bază pe care le puteți seta:

• control complet – aceasta oferă utilizatorilor drepturile de a adăuga, modifica, muta și șterge fișiere și foldere.
• Modify-oferă utilizatorilor vizualizare și drepturi de modificare
• Read& Execute – oferă utilizatorilor vizualizare și executare drepturi
• ready – ready only rights
• Write – right to a file and add new folders

permisiuni de partajare

permisiuni de partajare Definiți nivelul de acces la resursele partajate, cum ar fi un folder. Există trei permisiuni comune de bază:

• Read – oferă utilizatorilor vizualiza drepturile la folderul și subfolderele
• Change – oferă utilizatorilor citi și modifica drepturile
• control complet – oferă utilizatorilor modifica, schimba și citi drepturile.

Discretionary access control list (DACL)

un DACL identifică ce cont permite sau refuză accesul la un obiect, cum ar fi un fișier sau un folder.

intrări de control acces (ACE)

DACL conține ași, Asul definește ce cont și ce nivel de acces trebuie acordat resursei. Dacă nu este prezent niciun as, sistemul refuză accesul la obiect.

System Access Control List (SACL)

SACL permite administratorilor să înregistreze încercările de a accesa un obiect de securitate.

Politica de parolă cu granulație fină

resurse:

Kerberos pentru administratorul ocupat

Windows Authentication Technical Overview

diferențele dintre permisiunile Share și NTFS

liste de control acces

Active Directory Management Console

această secțiune include consolele de management pe care va trebui să le utilizați pentru a gestiona diferitele tehnologii Active Directory. Va trebui să instalați instrumentele de administrare a serverului la distanță (RSAT) pentru a accesa aceste console de gestionare.

Active Directory Users and Computers (ADUC)

aceasta este cea mai frecvent utilizată consolă pentru gestionarea utilizatorilor, computerelor, grupurilor și contactelor.

scurtătură: dsa.msc

Active Directory Administrative Center (ADAC)

Active Directory Domains and Trusts

această consolă este utilizată pentru a ridica modul de domeniu sau nivelul funcțional al unui domeniu sau pădure. De asemenea, este folosit pentru a gestiona relațiile de încredere.

Active Directory site-uri și servicii

aceasta este consola principală pentru gestionarea replicare. Această consolă este utilizată pentru a gestiona obiecte de topologie a site-ului, obiecte de conectare, programați replicarea, forțați manual replicarea, activați catalogul global și activați cache-ul universal de grup.

DFS Management

această consolă este utilizată pentru a gestiona spațiile de nume DFS și replicarea DFS.

DHCP

această consolă este utilizată pentru a crea domenii DCHP, pentru a vizualiza informațiile de închiriere și toate lucrurile DHCP.

DNS

această consolă este utilizată pentru a crea zone DNS, înregistrări de resurse și pentru a gestiona toate lucrurile DNS.

Managementul Politicii de grup

PowerShell

resurse:

Dynamic Host Control Protocol (DHCP)

domeniul de aplicare

• nume domeniu – acesta este numele domeniului. Dă-i un nume descriptiv, astfel încât să fie ușor să identifici pentru ce dispozitive este.
• IP address range – acesta este intervalul IP pe care doriți să îl utilizeze dispozitivele. De exemplu 10.2.2.0/24
• excluderi adresa IP – puteți specifica pentru a exclude adresa IP din domeniul de aplicare. Acest lucru este util dacă aveți dispozitive pe subrețea care au nevoie de un IP static, cum ar fi un router sau un server.
• Lease duration – contractul de închiriere specifică cât timp un client are o adresă IP înainte de a reveni la piscina.
• opțiuni DHCP – există o serie de opțiuni diferite pe care le puteți include atunci când DHCP atribuie o adresă IP. Mai multe despre acest lucru mai jos

opțiuni DHCP

există multe opțiuni DCHP, mai jos sunt cele mai frecvent utilizate opțiuni într-un domeniu Windows.

• 003 router-gateway-ul implicit al subrețelei
• 005 server DNS-adresa IP a clienților serverului DNS ar trebui să utilizeze pentru rezoluția numelui. 015 DNS Domain Name-sufixul DNS pe care clientul ar trebui să îl folosească, adesea la fel ca numele de domeniu.

DHCP filtering

DHCP filtering poate fi folosit pentru a refuza sau permite dispozitive bazate pe adresa lor MAC. De exemplu, îl folosesc pentru a bloca conectarea dispozitivelor mobile la wifi-ul nostru securizat.

Superscope

un superscope este o colecție de domenii DHCP individuale. Acest lucru poate fi utilizat atunci când doriți să vă alăturați scopes împreună. Sincer, nu am folosit niciodată asta.

domenii Split

aceasta este o metodă de a furniza toleranță la erori pentru un domeniu DHCP. Utilizarea DHCP failover nu este metoda preferată pentru toleranța la erori.

DHCP Failover

DCHP failover a fost o caracteristică nouă începând cu versiunea de server 2012. Acesta permite două servere DHCP pentru a partaja informații de leasing oferind disponibilitate ridicată pentru serviciile DCHP. Dacă un server devine indisponibil, celălalt server preia.

resurse:

parametrii DHCP

Politica de grup

Politica de grup vă permite să gestionați centralizat setările utilizatorului și computerului. Puteți utiliza politica de grup pentru a seta politicile de parolă, politicile de audit, ecranul de blocare, unitățile de hartă, implementarea software-ului, o unitate, setările office 365 și multe altele.

obiecte de politică de grup (GPO)

GPO sunt o colecție de setări de politică pe care le utilizați pentru a le aplica computerelor sau utilizatorilor.

frecvența de reîmprospătare a Politicii de grup

stațiile de lucru Client și serverele membre își reîmprospătează politicile la fiecare 90 de minute. Pentru a evita copleșitoare controlerele de domeniu lor este un interval de offset aleatoriu adăugat la fiecare mașină. Acest lucru împiedică toate mașinile să solicite upgrade-uri de politică de grup de la DC în același timp și potențial crashing-l.

procesarea politicilor

politicile de grup se aplică în următoarea ordine

• Local
• site
• domeniu
• unitate organizațională (OU)

blocați moștenirea

în mod implicit, obiectele politicii de grup sunt moștenite. Pentru a schimba acest comportament, puteți utiliza opțiunea Blocare moștenire la un nivel OU.

no Override

Dacă doriți să aplicați politicile și să împiedicați blocarea acestora, utilizați opțiunea no override.

Setări utilizator

într-un GPO există setări utilizator și computer. Setările utilizatorului se aplică numai obiectelor utilizatorului. Dacă configurați setările utilizatorului în GPO, GPO trebuie aplicat obiectelor utilizator.

Setări Computer

setările computerului dintr-un GPO sunt setări care pot fi aplicate unui computer. Dacă configurați setările computerului, GPO trebuie aplicat obiectelor computerului.

Resultant Set of Policy (RsoP)

Resultant Set of Policy este un instrument Microsoft care este încorporat în Windows 7 și versiunile ulterioare. Acesta oferă administratorilor un raport cu privire la setările politicii de grup care se aplică utilizatorilor și computerelor. Poate fi folosit și pentru a simula setările în scopuri de planificare.

am un tutorial complet în articolul meu Cum se utilizează RSoP pentru a verifica și depana setările politicii de grup.

preferințele Politicii de grup

preferințele Politicii de grup sunt utilizate în principal pentru a configura setări care pot fi modificate ulterior la nivel de client. Preferințele au, de asemenea, opțiunea de a face unele direcționări avansate, cum ar fi aplicarea la un anumit OU, versiunea Windows, utilizatorii dintr-un grup și așa mai departe. Preferințele sunt utilizate în mod obișnuit pentru a configura următoarele:

• mapări de unități
• Setări de Registry
• instalați imprimante
• programați activități
• Setați permisiunile pentru fișiere și foldere
• setați setările de alimentare

șabloane

puteți instala șabloane suplimentare de politică de grup pentru a extinde GPO-urile implicite furnizate de Microsoft. Unele șabloane comune utilizate sunt Office 365, Chrome, Firefox și cele furnizate de aplicațiile 3rd party. Șabloanele sunt fișiere bazate pe xml, de obicei într-un format ADM sau extensie de fișier ADMX.

resurse:

arhitectura Politicii de grup

Prezentare generală a Politicii de grup

am pierdut ceva? Ai ceva de împărtășit? Lasă-mă să știu în comentariile de mai jos.