ADMINISTRAREA DOMENIILOR ACTIVE DIRECTORY
Active Directory (AD) este un serviciu de director pentru utilizare într-un
mediu Windows Server. Este o structură de bază distribuită, ierarhică, care distribuie
informații despre infrastructură pentru localizarea, securizarea, administrarea și
organizarea resurselor de calculator și rețea, inclusiv fișiere, utilizatori, grupuri,
periferice și dispozitive de rețea.
Active Directory este propriul serviciu de directoare Microsoft utilizat pentru
rețelele de domeniu Windows. Oferă funcții de autentificare și autorizare, precum și
oferă un cadru pentru alte astfel de servicii.
Înainte de Windows 2000, modelul de autentificare și autorizare Microsoft a
necesitat descompunerea unei rețele în domenii.
Începând cu Windows Server 2003, Microsoft a creat o aplicație serviciu
director separată de Active Directory numită Active Directory Application Mode sau
ADAM. ADAM a fost construită ca să se adreseze nevoilor organizațiilor care vor să
implementeze un serviciu director care nu necesită toate funcționalitățile pe care le
oferă Active Directory.
Astfel toate aceste servicii separate sunt înglobate în Active Directory, care este ca o
umbrelă sub care se desfășoară aceste servicii. (Figura 1 Anexa 1)
• Active Directory Federation Services
Începând cu varianta R2 al Windows Server 2003, Microsoft a inclus un pachet
software opțional numit Federation Service. Acesta oferă serviciul Single Sign-on
(SSO) care ajută la minimalizarea numărului de ID-uri de logare si parole pe care
utilizatorul trebuie să le introducă și simplifică modul în care utilizatorii pot accesa
resursele în alte medii IT. Acest soft face acum parte din Windows Server si a fosr
redenumit Active Directory Federation Services sau AD FS.
• Active Directory Certificate Services
Certificate Services au fost în software-ul Windows Server de mai mult timp.
Cu acest software se poate desemna o autoritate de certificare care poate emite chei
publice folosite în autentificare prin smart cards sau criptarea datelor înainte de a fi
trimise în rețea. Serviciul de certificare oferă de asemenea administrarea necesară
acestor certificate astfel încât acestea pot fi reînnoite sau respinse.
• Active Directory Rights Management Services
Administrarea utilizatorilor pentru a stabili anumite restricții în ceea ce aceștia
fac cu datele a fost o problemă pentru cele mai multe organizații. Chiar dacă Active
Directory a realizat un control în ceea ce privește dreptul de acces asupra unui
document, nu se putea controla ce va face utilizatorul cu datele după ce acesta le
accesează. Introducerea serviciului de management asupra drepturilor utilizatorilor a
oferit organizațiilor controlul extins asupra documentelor. Spre exemplu un utilizator
nu poate trimite prin e-mail un anumit document către utilizatori neautorizați.
Un serviciu director precum Active Directory permit stocarea obiectelor într-o
structură ierarhică. Această structură este una din părțile care trebuiesc analizate atent
dacă se dorește implementarea Active Directory. Această structură are două
componente:
• Partea logică: structura logică oferă organizarea obiectelor. Aceste obiecte pot
reprezenta utilizatori, calculatoare, grupuri și o varietate de alte entități care
sunt în mediul IT. Această structură este în primul rând dependentă de modul în
care se dorește administrarea infrastructurii IT cât și de modul în care este
structurată organizația
• Partea fizică: toate serviciile de sub umbrela Active Directory sunt oferite de
servere care rulează softul Active Directory. Aceste servere reprezintă obiecte
fizice care trebuiesc plasate în rețea. După ce aceste servere sunt plasate,
trebuie definit modul în care serverele vor comunica unele cu altele și cum vor
fi direcționați utilizatorii către ele. Această topologie fizică este critică pentru o
funcționare bună.
Dacă ne referim din nou la analogia cu catalogul de telefoane, dacă intrările nu
sunt plasate în categoriile corecte (locuințe, restaurante, firme) nimeni nu poate găsi
informația pentru a fi utilizată.
Active Directory oferă o serie de functionalități. Dintre acestea vom descrie
căutarea și găsirea facilă prin administrare simplificată pe care o oferă, scalabilitatea
și suportul standard pentru alte servicii.
• Administrare simplificata
Active Directory este o implementare a serviciilor de directoare LDAP, folosită
de Microsoft în cadrul sistemelor de operare Windows. Astfel „Active Directory”
pune la dispoziția administratorilor un mediu flexibil cu efect global pentru: asignarea
permisiunilor, instalarea programelor, înnoirea securității. Toate aceste operațiuni pot
fi aplicate atât la rețele mici, cât și la rețele complexe.
Structura Active Directory este reprezentată printr-o ierarhie de obiecte, în care
fiecare obiect reprezintă o singură entitate: un computer, un utilizator, un grup, o
imprimantă.
Obiectele au proprietăţi, numite şi atribute. Unele obiecte sunt containere, deci
conţin alte obiecte, inclusiv alte containere. De aici structura ierarhică Active
Directory. La nivelul cel mai înalt al ierarhiei Active Directory se află forest (pădure).
Un forest se compune din arbori (tree). La rândul lui un arbore este compus din
domenii. Domain controllerul detine toate configurațiile și proprietățile obiectelor din
Active Directory.
Active Directory oferă posibilitatea de administrare a obiectelor si acces pentru
toate resursele din rețea dintr-un singur punct. Folosind o singură bază de date, Active
2
Directory oferă posibilitatea administrării centralizate a tuturor resurselor unei reţele.
(Figura 4 Anexa 2)
• Scalabilitate
Stochează informația prin organizarea în secțiuni care permit stocarea unui
număr nelimitat de obiecte. Domeniile sunt scalabile: pot conţine un număr mic de
calculatoare, dar pot găzdui la fel de bine mai multe mii de calculatoare. (Figura 5
Anexa 3)
Astfel directorul se poate extinde pentru a satisface cerințele diferitelor situații:
✓ Instalări mici cu un server și câteva sute de obiecte. Pentru companiile mici si
mijlocii sau organizatii mici.
✓ Instalări mari cu sute de servere și milioane de obiecte. Pentru companii mari
sau organizatii extinse.
• Suport standard pentru alte servicii
Active Directory integrează conceptele Internetului într-un spațiu de nume cu
serviciul director Windows. Acesta oferă posibilitatea unificării și managementul
multiplelor spații de nume. Pentru numele sistemului se utilizează DNS. Sistemul de
nume de domeniu (abreviat DNS, în engleză Domain Name System) este un sistem
distribuit de păstrare și interogare a unor date arbitrare într-o structură ierarhică.
Active Directory schimbă informații cu orice aplicație sau director care utilizează
LDAP sau HTTP.
Avantajul pe care il ofera este legat de posibilitatea clienților de a modifica
tabelele DNS în mod dinamic. Prin folosirea serviciului DDNS se elimină nevoia de a
desemna pe cineva care să redenumească serviciile. Orice obiect din Active Directory
se poate afișa ca o pagina HTML în browser.
Prin importarea obiectelor se pot crea şi conturi, în caz că acestea nu există.
Pentru importarea sau exportarea obiectelor în Active Directory se poate utiliza
LDAP Interchange Format (LDIF). Acesta este un format de fişier standard pe care în
puteţi utiliza pentru stocarea informaţiilor şi pentru aplicarea comenzilor Batch asupra
structurilor Active Directory care corespund standardelor LDAP. Pentru a opera cu
fişierul CSV, având ca scop importarea obiectelor în Active Directory, puteţi utiliza
modulul Active Directory pentru Windows PowerShell.
3
PRINCIIPII DE ORGANIZARE
Active Directory (AD) - este o ierarhie de câteva obiecte, unde obiectele se
împart în trei categorii: resurse (ex: imprimantă), servicii (ex: poșta electronică),
resurse umane (ex: utilizatori, grupe de utilizatori). Scopul tehnologiei "Active
Directory" este de a pune la dispoziție informații despre aceste obiecte, organizarea
obiectelor, controlul accesului, setarea securității..
Fiecare obiect indiferent de categorie reprezintă o entitate și atributele ei, unde
'entitate' poate fi - "Utilizator", "Calculator", "Imprimantă", "Aplicație" sau "Resursă
Partajată". Mai mult decât atât, un obiect poate să conțină și alte obiecte. Atributele
obiectului (structura de bază a obiectului în sine) sunt definite de o "schemă", care la
rîndul ei definește și tipul obiectelor care pot fi stocate ca subobiecte în obiectul dat.
O schemă creată poate fi numai deactivată, nu și ștearsă - deoarece crearea sau
modificarea unei scheme este bazată pe motive serioase. (Figura 2 Anexa 1)
2.1 STRUCTURA LOGICĂ
În Active Directory resursele sunt organizate într-o structură logică. Resursele
fiind grupate logic, structura fizică a reţelei devine transparentă utilizatorilor .
Structura logică este separată de structura fizică. Legătura dintre structura
logică Active Directory şi structura fizică a reţelei se obţine prin folosirea conceptului
şi a obiectului site.
Obiectul site din Active Directory descrie aşezarea fizică, geografică a reţelelor
care găzduiesc resursele descrise prin obiecte din Active Directory.
Site-urile conţin obiecte numite subreţele (subnets). Obiectele site sunt folosite în
legătură cu obiectele Group Policy, uşurează descoperirea resurselor, controlează
replicarea Active Directory şi gestionează traficul în reţea. Site-urile pot fi legate
unele de altele prin aşa-numitele legături între site-uri (site link). Din punct de vedere
fizic un site constă în general din una sau, eventual, mai multe subreţele
interconectate la viteză mare în care funcţionează servere controlere de domeniu.
Astfel resursele se găsesc după nume indiferent de locația unde se află. (Figura 3
Anexa 2)
2.2 DOMENIUL
Conform terminologiei Microsoft, domeniul este reprezentat dintr-un grup de
calculatoare care fac parte dintr-o reţea şi care folosesc în comun aceeaşi bază de date
în care sunt reprezentate resursele reţelei. Domeniul este administrat ca entitate
distinctă, cu reguli şi proceduri comune pentru toate calculatoarele care îl compun.
4
Domeniile sunt recunoscute prin nume. Calculatoarele membre ale domeniului
respectă politica de securitate a domeniului. În plus, domeniul oferă şi soluţia
administrării centralizate a tuturor resurselor reţelei, indiferent unde ar fi ele
distribuite: administrarea bazei de date a domeniului este în fond soluţia pentru
administrarea tuturor resurselor reprezentate prin obiecte înscrise în această bază de
date. O singură operaţie de logon în domeniu (deschidere de sesiune) este suficientă
pentru ca un utilizator să fie recunoscut în domeniu şi să aibă acces la resursele
domeniului, în limita permisiunilor şi a privilegiilor de care dispune.
Reprezentarea grafică a domeniului este triunghiul care sugerează frontiera de
administrare, frontiera de securitate şi aşezarea ierarhică a componentelor sale.
Domeniul este construit în jurul unui controler de domeniu (domain controller). Într-
un domeniu trebuie să existe cel puţin un controler de domeniu. El deţine toate
informaţiile despre domeniu, despre resursele reţelei şi este serverul folosit pentru
autentificarea în domeniu (logon în domeniu). Crearea unui domeniu se obţine prin
crearea controlerului de domeniu. Instalarea serviciului Active Directory pe un server
îl transformă în controler de domeniu. (Figura 6 Anexa 3)
2.3 UNITATEA ORGANIZATIONALA
Unitatea organizationala este un container folosit pentru a organiza obiecte în
cadrul unui domeniu în grupuri administrative logice.
Aceasta furnizează un mod de a delega administrarea utilizatorilor şi a
resurselor.
2.4 ARBORELE (TREE)
Un arbore (tree) este o grupare de domenii din acelaşi spaţiu de nume, deci o
convenţie relativă la modul în care sunt denumite acestea. Între domenii există relaţii
de tip părinte - copil: un subdomeniu este fiul domeniului părinte. Fiecare domeniu
are un nume propriu.
Numele subdomeniului se formează prin concatenarea unui sufix la numele
părintelui, ca de exemplu [Link], care este un subdomeniu al domeniului
[Link]. Liniile care unesc domeniile definesc relaţiile dintre ele: în acest caz
sunt relaţii de genul „părinte-copil” (parent-child) sau domeniu-subdomeniu.
(Figura 7 Anexa 4)
5
2.5 PĂDUREA (FOREST)
O pădure (forest) este o grupare de arbori (tree) care au spaţii de nume
distincte. Numele forest-ului este dat de numele primului domeniu creat în forest
numit şi domeniul rădăcină pentru forest (forest root domain). În cazul nostru este
[Link].
În situaţia în care structura unui Active Directory conţine un singur domeniu
atunci el este şi domeniul rădăcină. Cu alte cuvinte există şi în acest caz particular un
arbore şi un forest. (Figura 8 Anexa 4)
2.6 REPLICAREA
Serviciul Active Directory Service funcţionează pe baza informaţiile stocate pe
controlerele de domeniu. Pentru existenţa unui domeniu este nevoie de un controler
de domeniu.
Într-un domeniu pot funcţiona unul sau mai multe controlere de domeniu.
Fiecare controler de domeniu deţine un exemplar al bazei de date Active Directory.
Modificările efectuate într-un exemplar vor fi sincronizate cu celelalte
exemplare Active Directory, în aşa fel încât toate exemplarele de pe toate controlerele
din domeniu să fie identice. Operaţia de sincronizare a exemplarelor Active Directory
este o replicare multi-master.
Fiecare controler de domeniu deţine un exemplar master al domeniului, adică
fiecare exemplar poate fi modificat, prin crearea şi ştergerea de obiecte, prin
modificarea valorilor asociate proprietăţilor (atributelor) unui obiect. Din timp în timp
modificările survenite într-un exemplar vor fi transmise celorlalte controlere de
domeniu.
Baza de date Active Directory este împărţită, separată din punct de vedere logic în
partiţii. Fiecare partiţie este o unitate de replicare şi poate avea propria topologie de
replicare. (Figura 9 Anexa 5)
6
INSTALAREA ȘI CONFIGURAREA ACTIVE DIRECTORY
ÎN WINDOWS 2016
Serviciul director Active Directory (Active Directory Service) poate fi instalat
pe calculatoare unde funcţionează sisteme de operare Microsoft Windows Serve.
Serviciul Active Directory are nevoie de o partiţie NTFS cu minim 1 GB de spaţiu
liber. În partiţia NTFS se va afla baza de date a domeniului care va creşte pe măsură
ce vor fi adăugate obiecte în domeniu. În urma instalării serviciului Active Directory
serverul devine controler de domeniu. Serverul care va deveni controler de domeniu
trebuie să aibă de la început o adresa IP statică şi să fie client la serverul DNS
responsabil cu rezolvarea numelor în domeniu. Microsoft recomandă ca serverul
controler de domeniu să îndeplinească şi rolul de server DNS. Mai mult decât atât,
Microsoft recomandă ca instalarea serviciului DNS să aibă loc o dată cu instalarea
Active Directory. (Figura 10 Anexa 5, Figura 11 Anexa 6, Figura 12 Anexa 6)
PROMOVAREA UNUI SERVER LA ROLUL DE CONTROLER DE
DOMENIU
Comanda de promovare este dcpromo. Aceeaşi comandă poate fi folosită şi
pentru retrogradarea controlerului de domeniu: dacă serverul este deja controler de
domeniu comanda dcpromo dezinstalează serviciul Active Directory.
• Start -> Run şi introducem dcpromo în caseta de dialog Run.
• Vrăjitorul (Wizard) Active Directory Installation Wizard a fost lansat în
execuţie şi continuăm (Next).
În caseta de dialog Domain Controller Type, va fi ales tipul noului controler de
domeniu: va fi el un controler pentru un domeniu nou (încă necreat) sau un controler
de domeniu suplimentar într-un domeniu existent, creat cândva înainte. Domain
Controller for a new domain este opţiunea pentru crearea unui domeniu nou, implicit
a unui controler de domeniu într-un nou domeniu. (Figura 13 Anexa 7)
Noul domeniu trebuie plasat într-o ierarhie: este începutul unei ierarhii noi
(adică un forest nou), sau doar un arbore nou într-un forest existent, sau este un
subdomeniu (domeniu copil – child) al unui domeniu existent. Întrucât acesta va fi
primul domeniu Active Directory, selectăm opţiunea Create a New Domain in a new
forest (crearea unui domeniu nou într-un forest nou).
New Domain Name (numele noului domeniu) este locul unde va fi specificat
numele în format DNS al noului domeniu. De aici în acolo, domeniul va purta două
nume: numele în format DNS şi cel în format NetBIOS. (Figura 14 Anexa 7)
7
Numele NetBIOS ale domeniilor sunt utilizate pentru compatibilitatea cu alte
sisteme de operare. Implicit, numele NetBIOS al domeniului va fi prima parte a
numelui în specificator DNS (până la primul punct).
În caseta de dialog Database and Log Folders (baza de date şi fişiere log -
jurnal) va fi specificat locul unde vor fi create baza de date a serviciului şi fişierele
jurnal. În mod implicit, este vorba despre calea C:\Windows\NTDS. (Figura 15
Anexa 8)
Volumul Shared System Volume (volum sistem partajat) păstrează politicile de
securitate Active Directory. O replică a conţinutului va fi transmisă către toate
celelalte controlere de domeniu. Acest folder se va afla într-o partiţie NTFS şi se
numeşte SYSVOL. Calea implicită este C:\Windows.
Serviciul Active Directory are nevoie de suportul DNS. Controlerul de domeniu
trebuie să fie client al unui server DNS, unde există un domeniu DNS cu acelaşi nume
ca şi numele domeniului Active Directory. În cazul în care nu există deja un server
DNS care să îndeplinească aceste condiţii, promovarea serverului la rolul de controler
de domeniu poate conţine şi secvenţa de instalare şi configurare a serviciului Domain
Name System (DNS) – Install and configure the DNS Server.
Urmează stabilirea parolei administratorului pentru modul de lucru Directory
Services Restore Mode (restaurarea serviciilor director). Este situaţia când
administratorul va încerca să restaureze serviciul Active Diretory folosind pentru
autentificare un cont special. Pentru restaurare administratorul va folosi o copie de
siguranţă (backup) în timp de serviciul Active Directory nu va fi pornit.
În baza opţiunilor de instalare pe care le-am selectat, Active Directory
Installation Wizard (vrăjitorul pentru instalarea Active Directory) afişează un sumar al
alegerilor făcute şi construieşte apoi baza de date a serviciului.
3. 1 OBIECTE ACTIVE DIRECTORY
Active Directory Users and Computers este utilitarul care afişează structura
logică, arborescentă a unui domeniu. El asigură interfaţa pentru crearea şi
administrarea obiectelor din Active Directory. (Figura 16 Anexa 8)
O unitate organizaţională poate fi creată folosind utilitarul Active Directory
Users and Computers (utilizatori şi computere din Active Directory). Pentru creare
folosim întotdeauna comanda New (Nou). Obiectele, oricare ar fi ele, sunt recunoscute
prin nume.
Permisiunile acordate unui utilizator sau unui grup la nivelul unui container se
propagă, se moştenesc la obiectele conţinute de acel container. Tab-ul Security
(securitate) din fereastra de proprietăţi ale unui obiect prezintă setul de permisiuni
standard la acel obiect. Permisiunile standard sunt seturi sau combinaţii de permisiuni
acordate unor grupuri şi utilizatori.
8
Permisiunile standard sunt următoarele:
• Full Control – Control deplin, complet. Utilizatorul care are această permisiune
poate avea acces deplin la obiect. În cazul în care este vorba despre un
container, atunci utilizatorul care are această permisiune are acces deplin la
toate obiectele din container.
• Read – Citire. Cine are această permisiune poate citi, poate afişa conţinutul şi
proprietăţile obiectului.
• Write – Scriere. Este permisiunea necesară în vederea modificării conţinutului
şi a proprietăţilor obiectului.
• Create All Child Objects – Creare obiecte copil. Este o permisiune asociată
containerelor şi permite crearea obiectelor copil în acel container.
• Delete All Child Objects – Ştergere obiecte copil. Este o permisiune asociată
containerelor şi permite ştergerea din container a oricărui obiect copil.
Permisiunile pot lua două valori : Allow (permite) sau Deny (interzice).
Permisiune acordată în mod explicit la un anumit nivel are precedenţă faţă de o
permisiune moştenită. Dacă o permisiune nu este acordată nici direct nici prin
moştenire, deci dacă nu se spune nimic despre valoare – nici Allow nici Deny, atunci
se consideră implicit Deny.
Nou creata unitate de organizare este un container, aşa cum indică şi
pictograma care îi este asociată. Se observă că pot fi crete aici obiecte noi.
Conturi pentru utilizatori
Contul pentru utilizatori este un obiect Active Directory care conţine toate
informaţiile necesare pentru definirea şi identificarea unui utilizator în domeniu.
Administratorul domeniului va crea câte un cont pentru fiecare utilizator din domeniu.
Unele conturi sunt create automat, la instalarea serviciului Active Directory.
În domeniu există, de la bun început, contul Administrator pentru administratorul
domeniului şi respectiv contul Guest (oaspete, musafir), care este implicit dezactivat
şi care are drepturi limitate în sistem. Ambele conturi sunt plasate în containerul
Users.
Pentru crearea unui cont utilizator avem la îndemână comanda New -> User
Primele informaţii despre noul utilizator sunt cele legate de identitatea lui şi de
numele folosit pentru deschiderea de sesiune. Urmează apoi parola şi celelalte
informaţii. (Figura 17 Anexa 9)
Odată contul de utilizator creat putem efectua diverse operaţii asupra acestuia,
ca de exemplu cele care apar după un clic dreapta pe obiectul respectiv:
• Resetare Parolă (Reset Password) – îi oferă administratorului posibilitatea
stabilirii unei noi parole pentru acel utilizator.
9
• Dezactivare cont (Disable Account) - contul devine dezactivat, nefolosibil; nu
se poate face deschidere de sesiune folosind un cont dezactivat. Operaţia
inversă este Activare cont (Enable Accout)
• Adăugare în grup (Add to a group)
• Copiere (Copy)
• Mutare (Move)
3. 2 PUBLICAREA RESURSELOR PARTAJATE
Resursele partajate ale unei reţele – directoare (foldere) sau imprimante
partajate – pot fi publicate în Active Directory. Prin publicare se creează în Active
Directory un obiect nou de tipul shared folder (folder partajat), respectiv shared
printer (imprimantă partajată), corespunzător resursei existente şi deja partajate.
Obiectele din Active Directory sunt uşor de localizat şi de folosit de către utilizatorii
din domeniu, la fel şi resursele partajate reprezentate prin obiecte publicate (plasate)
în Active Directory. Resursele partajate publicate în Active Directory sunt specificate
prin numele UNC (Universal Naming Convention). Sintaxa generală UNC este:
\\NumeComputer\NumeResursăPartajată
Pentru publicarea dosarelor partajate se foloseşte Active Directory Users and
Computers.
Acest obiect va fi folosit la fel ca toate obiectele Active Directory. De la
calculatoare membre ale domeniului şi cu sesiune deschisă în domeniu, utilizatorii se
pot conecta la folderul partajat şi vor avea acces în limita permisiunilor acordate.
Utilizatorul îşi poate construi propriile proiecţii de tip Map Network Drive prin care
asociază un nume de unitate logică (drive:) cu obiectul din Active Directory care
corespunde resursei partajate.
Publicarea în Active Directory a unei imprimante partajate are loc chiar la
partajarea ei. În mod implicit, imprimantele partajate sunt listate în Active Directory
(List in the Directory).
10
ANEXA 1
Figura 1. Serviciile Active Directory
Figura 2. Obiecte in Active Directory
11
ANEXA 2
Figura 3. Structura logică şi fizică Active Directory
Figura 4. Administrare centralizată Active Directory
12
ANEXA 3
Figura 5. Scalabilitate în Active Directory
Figura 6. Domeniul
13
ANEXA 4
Figura 7. Structura de domenii cu un singur arbore
Figura 8. Pădure cu două arborescenţe în Active Directory
14
ANEXA 5
Figura 9. Topologie de replicare
jate
15