Skip to main content

Active Directory(AD)是由微软开发的一种目录服务系统,自 1999 年发布以来,它已成为许多企业 IT 基础设施的核心组件。AD 提供了集中化的用户管理、身份验证、访问控制以及各种安全功能,为企业网络的管理和保护提供了强大的支持。

本文将介绍 AD 的基本概念、架构、特点及其使用的关键协议,并探讨其在企业环境中的应用。

 

 

集权设施AD的定义与功能

 

Active Directory 是一个目录服务,旨在用于管理计算机网络中的用户和资源。目录服务是一种可以存储关于用户、计算机、应用程序和其他资源的信息,并允许管理员和用户轻松地查找和访问这些信息的系统。

 

功能

集中身份验证和授权:

通过域控制器(Domain Controller, DC)进行集中身份验证,确保用户和计算机的安全访问。

目录服务:

存储和组织关于域内资源的信息,方便查找和管理。

组策略管理:

允许管理员配置和管理用户和计算机的设置。

 

基本概念

域(Domain):

域是 AD 的基本单位,代表一个逻辑组的用户、计算机和其他资源。每个域都有一个唯一的 DNS 名称,例如netstar.com。域中的所有对象都存储在域控制器上,并且通过目录服务进行管理。域提供了一种集中化的管理方式,使得域管理员可以统一管理域内所有资源。

域树(Domain Tree):

域树是 Active Directory 中多个具有信任关系的域的集合,这些域共享一个公共的 DNS 命名空间。每个域都有一个唯一的 DNS 名称,形成层次化的结构,例如 netstar.com 下的 it.netstar.com 和 hr.netstar.com。域树通过自动信任关系,实现了跨域的资源访问和管理。

域森林(Domain Forest):

域森林是 Active Directory 的最高层次结构,它包含一个或多个域树,这些域树共享一个全局目录、架构和配置。森林中的所有域默认通过双向传递信任关系连接,允许跨域资源访问和身份验证。这些信任关系可以根据企业的安全策略进行调整,以限制或允许特定域之间的访问。森林提供了统一的管理框架,支持复杂的企业网络结构。

组织单位 (Organizational Unit, OU):

OU 是域中的容器,用于组织和管理对象。域管理员可以使用 OU 来分组用户、计算机和其他资源,并应用组策略。OU 结构允许灵活的管理权限委派和分层次的管理。

 

7大核心组件

 

用户和组

用户是Active Directory中最基本的对象之一,代表网络中的个体,可以是人或服务账户。每个用户对象包含以下关键信息:

用户名:用户的唯一标识。

密码:用于身份验证。

个人信息:如姓名、职务、联系电话等。

组成员身份:用户所属的组,用于权限管理。

是用户的集合,用于简化权限管理。组分为两种类型:

安全组:用于分配权限和访问控制。通过将用户添加到安全组,可以简化权限管理过程。

分发组:主要用于电子邮件分发,不具备安全功能。

 

域名系统(DNS)

DNS(Domain Name System)在Active Directory中扮演了重要角色。它用于将域名转换为IP地址,帮助客户端找到域控制器和其他网络资源。主要功能如下:

服务定位(SRV)记录:AD使用SRV记录帮助客户端定位域控制器、全局编录服务器等。

命名解析:提供域名到IP地址的转换,确保网络通信的顺利进行。

域层次结构:支持AD的域命名空间,使网络资源和服务的访问更加方便。

 

组策略(Group Policy)

组策略是一种集中管理用户和计算机设置的功能。通过组策略,管理员可以控制各种配置和安全设置。主要功能如下:

策略设置:配置安全设置、软件安装、脚本等。

继承和覆盖:组策略可以应用于域、OU(组织单位)和本地计算机,并且支持继承和覆盖机制。

管理模板:提供预定义的策略设置模板,简化配置过程。

组策略对象(GPO):组策略对象是组策略的具体实现。每个GPO包含多个策略设置,可以链接到域、OU或站点。

 

轻量级目录访问协议(LDAP)

LDAP(Lightweight Directory Access Protocol)是用于访问和管理目录服务的协议。它是AD的核心通信协议,支持目录数据的查询和修改。主要功能如下:

目录查询:允许客户端查询目录服务中的数据,如用户信息、组成员身份等。

数据操作:支持对目录对象的添加、删除、修改等操作。

目录同步:用于在不同目录服务之间同步数据。

 

域控制器(DC)

域控制器DC是运行Active Directory服务的服务器,负责处理身份验证请求和目录服务的所有操作。它是存储AD数据库的地方,包含关于域中的用户、计算机、组及其他对象的所有信息。主要功能如下:

身份验证:DC负责对用户和计算机进行身份验证,确保只有经过验证的实体才能访问网络资源。它支持Kerberos和NTLM等身份验证协议。

授权:根据用户或计算机的身份及其在AD中的权限,DC授予或拒绝对资源的访问。

目录服务操作:DC处理所有目录服务的操作,包括对象的创建、删除、修改和查询。

复制:在拥有多个DC的环境中,AD通过多主复制(Multi-Master Replication)在各DC之间同步数据,确保一致性和冗余性。

 

全局目录服务器(GCS)

全局目录服务器是一个特殊的域控制器,它包含域内所有对象的部分属性,并提供跨域查询服务。GCS在多域环境中尤为重要,因为它能提供快速、全面的目录查询。主要功能如下:

跨域查询:GCS包含所有域中对象的部分属性,可以响应来自任何域的查询请求,提供全局目录服务。

登录验证:在用户登录时,GCS提供快速验证用户在其他域中的群组成员身份。

部分属性集(PAS):GCS存储每个对象的一部分属性,而不是全部属性,这些属性通常用于查询操作。

 

证书服务(ADCS)

ADCS是一个扩展组件,提供数字证书的创建、管理和分发功能,增强网络安全。主要功能如下:

证书颁发机构(CA):管理和颁发数字证书。

证书注册点:帮助用户和设备请求和获得证书。

证书吊销列表(CRL):管理和发布证书吊销信息。

 

6大关键协议

LDAP (Lightweight Directory Access Protocol):LDAP 是 AD 访问和查询目录信息的主要协议。它提供了一种标准化的方式来访问和操作目录服务,使得 AD 可以与其他 LDAP 兼容的系统和应用程序集成。
Kerberos:Kerberos 是 AD 的主要身份验证协议,提供强大的安全性和单点登录(SSO)功能。Kerberos 使用票据授予机制,确保用户身份验证的安全性和有效性。
DNS (Domain Name System):DNS 是 AD 命名空间的重要组成部分,用于解析域名和 IP 地址。AD 依赖 DNS 来定位域控制器和其他目录服务组件。
SMB (Server Message Block):SMB 协议用于文件共享和打印服务。AD 使用 SMB 协议来支持文件访问和共享,以及其他网络服务。
RPC (Remote Procedure Call):RPC 是 AD 进行远程管理和服务调用的基础协议。它允许客户端和服务器之间进行远程调用,支持分布式计算环境中的交互。
NTLM (NT LAN Manager):NTLM 是一种较旧的身份验证协议,尽管 Kerberos 已经成为主流,但 NTLM 仍然在某些情况下使用,特别是与非 Windows 系统的兼容性方面。

AD在企业中的应用优势

 

用户管理流程,化繁为简

集中管理用户帐户:

管理员可以通过AD轻松地在一个中心位置创建、修改和删除用户帐户,而不需要逐个访问每台计算机进行操作。

组管理:

AD允许管理员将用户分组,这样可以通过一次操作来分配或更改多个用户的权限。例如,可以为一个部门创建一个组,然后分配该组的访问权限。

策略实施:

通过组策略对象(GPO),管理员可以配置并强制执行用户和计算机的设置,如密码策略、桌面配置和软件安装,从而保持一致性和合规性。

 

多重BUFF加持,安全感满满

身份验证和授权:

AD使用Kerberos协议进行安全的身份验证,确保只有经过验证的用户和设备才能访问网络资源。通过分配权限,管理员可以精确控制用户对文件、应用程序和系统的访问。

组策略:

管理员可以使用组策略来定义安全设置,如密码复杂性要求、账户锁定策略和防火墙配置。这些策略可以自动应用到所有用户和计算机上,确保整个网络的一致安全性。

审计和日志记录:

AD可以记录所有用户的登录、注销和其他活动,提供详细的审计跟踪,有助于检测和防止安全威胁。

 

自动化管理,作业效率轻松翻倍

自动化任务:

通过脚本和自动化工具,许多常见的管理任务可以自动执行,如用户帐户创建、密码重置和资源分配。这减少了手动操作的需求,降低了错误率。

集中管理控制台:

使用Active Directory管理工具(如AD用户和计算机管理控制台),管理员可以在一个界面中管理整个网络资源,提高了管理效率。

资源共享:

AD允许管理员集中管理共享资源(如打印机、文件夹和应用程序),简化了用户的访问和使用。

 

支持本地和云环境

本地和云集成:

AD可以与Azure Active Directory(Azure AD)无缝集成,使企业能够扩展其本地目录服务到云端。这种混合模式允许用户使用单一身份在本地和云资源之间切换,提供了更大的灵活性。

Azure AD的功能:

通过Azure AD,企业可以实现更多的云服务集成,如Office 365、Dynamics 365和其他SaaS应用程序。Azure AD还提供高级功能,如多重身份验证(MFA)、条件访问和应用程序代理。

统一身份管理:

企业可以通过Azure AD Connect工具将本地AD与Azure AD同步,实现统一的身份管理和用户登录体验,简化了跨平台的身份验证过程。

 

AD安全在高效率、高安全性、高精确性、支持本地与云集成等多重BUFF加持下,突破了一系列安全赛道的难题,随着技术的不断发展和企业需求的不断变化,Active Directory也将积极适应这些变化并不断完善其功能和服务。