Microsoft Active Directory

Microsoft Active Directory — это служба каталогов корпорации Microsoft, предназначенная для централизованного управления пользователями, компьютерами, группами, принтерами и другими сетевыми ресурсами в среде Windows. Active Directory (AD) выполняет функции аутентификации, авторизации и конфигурационного управления, обеспечивая единую точку контроля над правами доступа и политиками безопасности в доменной сети.

История

Разработка Active Directory началась в середине 1990-х годов на основе технологии каталогов X.500 и протокола LDAP (Lightweight Directory Access Protocol). Первая версия была выпущена вместе с операционной системой Windows 2000 Server как замена устаревшей модели рабочих групп и доменов Windows NT 4.0. В отличие от предшественницы, Active Directory поддерживала иерархическую структуру, многоуровневые доверительные отношения и расширенные средства групповой политики.

В Windows Server 2003 были добавлены схемы перекрестных доверительных отношений между лесами, улучшена поддержка групповых политик и введены дополнительные компоненты, такие как Active Directory Federation Services (AD FS). С выходом Windows Server 2008 Active Directory получила дополнительные роли, включая Active Directory Certificate Services (AD CS) и Active Directory Lightweight Directory Services (AD LDS). Версии Windows Server 2012, 2016 и 2019 продолжили развитие продукта, добавив поддержку облачных гибридных сценариев с Azure Active Directory и улучшенные средства администрирования.

Архитектура и компоненты

Active Directory организована как распределённая база данных, построенная на технологии Microsoft Jet Blue (Extensible Storage Engine, ESE). Основные логические и физические компоненты включают:

Лес (Forest)

Верхний уровень иерархии. Лес объединяет одно или несколько доменных деревьев с общей схемой, единым каталогом конфигурации и глобальным каталогом. Все домены в одном лесу автоматически доверяют друг другу через транзитивные доверительные отношения.

Домен (Domain)

Основная административная единица. Домены образуют иерархию; домен верхнего уровня может содержать дочерние домены. В рамках домена хранятся объекты (пользователи, группы, компьютеры), и действуют собственные политики безопасности.

Организационные единицы (Organizational Units, OU)

Контейнеры внутри домена, позволяющие группировать объекты для упрощения делегирования управления и применения групповых политик. Администратор может назначить права на OU определённому пользователю, не давая ему полного доступа ко всему домену.

Дерево (Tree)

Набор доменов, связанных непрерывной цепочкой доверительных отношений. Домены в одном дереве имеют общее корневое имя (например, corp.contoso.com и sales.corp.contoso.com).

Глобальный каталог (Global Catalog)

Специальная база данных, содержащая частичную (или полную, для малых лесов) копию объектов всех доменов леса. Используется для быстрого поиска ресурсов без обращения ко всем контроллерам домена.

Контроллер домена (Domain Controller)

Сервер, хранящий реплику базы данных Active Directory и отвечающий за аутентификацию и обработку запросов. В крупных сетях несколько контроллеров обеспечивают отказоустойчивость и балансировку нагрузки.

Схема Active Directory

Схема определяет классы объектов и их атрибуты. В стандартную поставку Windows включена базовая схема, но она может расширяться путём добавления новых классов и атрибутов (используется, например, при внедрении Exchange Server или сторонних решений). Каждый объект в каталоге является экземпляром класса, наследуя его атрибуты и ограничения.

Протоколы и службы

Active Directory использует преимущественно протокол LDAP (версия 3) для выполнения операций поиска, чтения, добавления и изменения объектов. Аутентификация производится по протоколам Kerberos (по умолчанию) и NTLM (для обратной совместимости). Для репликации данных между контроллерами домена применяется собственный протокол Microsoft — усечённая версия DCOM, работающая поверх RPC.

Дополнительные службы, часто входящие в инфраструктуру Active Directory:

• DNS — Active Directory тесно интегрирована с службой DNS: каждый домен имеет собственные DNS-зоны, а записи регистрируются автоматически.
• Групповая политика (Group Policy) — механизм конфигурации и настройки параметров рабочих станций, серверов и пользователей.
• Active Directory Federation Services (AD FS) — обеспечивает единый вход (SSO) для приложений, используя федеративные протоколы (WS-Federation, SAML 2.0).
• Active Directory Certificate Services (AD CS) — реализация инфраструктуры открытых ключей (PKI) для выпуска и управления сертификатами.
• Active Directory Rights Management Services (AD RMS) — защита конфиденциальных документов с помощью шифрования и управления правами.
• Azure Active Directory (гибридный сценарий) — облачная служба каталогов Microsoft, интегрируется с локальной AD через Azure AD Connect для синхронизации объектов и обеспечения сквозной аутентификации.

Администрирование

Администрирование Active Directory выполняется с помощью оснасток (MMC-консоли):

• Active Directory Users and Computers — управление пользователями, группами, контактами и компьютерами.
• Active Directory Domains and Trusts — настройка доверительных отношений между доменами и лесами.
• Active Directory Sites and Services — конфигурация репликации между сайтами (географически разнесёнными сегментами сети) и оптимизация трафика.
• Active Directory Administrative Center — современная консоль с графическим интерфейсом, поддерживающая пакетное редактирование объектов.
• PowerShell — cmdlets модуля ActiveDirectory для автоматизации административных задач (Get-ADUser, New-ADGroup, Set-ADComputer и др.).

Безопасность

Служба каталогов реализует многоуровневую модель безопасности:

• Аутентификация на основе Kerberos: билеты выдаются службой Key Distribution Center (KDC), работающей на контроллерах домена.
• Авторизация через списки DACL (Discretionary Access Control List) на объектах и атрибутах.
• Групповые политики позволяют централизованно задавать параметры парольной политики (срок действия, сложность, блокировка).
• Встроенные группы (Administrators, Domain Admins, Enterprise Admins) имеют строго определённые привилегии; рекомендуется сведение их использования по модели наименьших привилегий.
• Репликация между контроллерами подписывается с использованием Kerberos или SSL/TLS-сертификатов для защиты от подмены трафика.

Критика и ограничения

Среди недостатков Active Directory отмечают:

• Сложность развёртывания и обслуживания в больших гетерогенных средах (с участием не-Windows клиентов), хотя существует поддержка LDAP со стороны Linux и macOS.
• Отсутствие встроенной поддержки некоторых современных концепций, таких как гибкая политика паролей на уровне OU в версиях до Windows Server 2008 R2 (реализовано только с появлением Fine-Grained Password Policies).
• Сложность миграции между лесами и восстановления после сбоев схемы.
• Требовательность к сетевым условиям для репликации: при медленных или нестабильных каналах могут возникать конфликты и задержки.
• Критическая зависимость от целостности службы DNS: сбой в зоне DNS приводит к неработоспособности всей доменной среды.

Значение и распространение

Начиная с 2000-х годов Active Directory стала доминирующей платформой управления корпоративными сетями на платформе Windows. Её используют подавляющее большинство предприятий среднего и крупного бизнеса в России и мире, часто в комбинации с Microsoft Exchange, SharePoint, Skype for Business и другими серверными продуктами. В государственных учреждениях России Active Directory применяется наряду с решениями на базе свободного ПО (например, FreeIPA, Samba) или пакетами импортозамещения («Альт Линукс», Astra Linux с собственными службами каталогов). В последние годы Microsoft активно продвигает гибридную модель, объединяющую локальную Active Directory и Azure Active Directory, что обеспечивает единую точку входа в локальные и облачные ресурсы.

См. также

• LDAP
• Kerberos
• Windows Server
• Azure Active Directory
• Group Policy

Источники

• Microsoft TechNet: Active Directory Overview (документация)
• «Active Directory: линейка продуктов и архитектура» / Windows IT Pro
• Работа службы каталогов Active Directory в смешанных средах / Microsoft Press
• Dell, T. (2010). «Microsoft Active Directory: Administrative Companion»
• Спецификации протоколов Microsoft: [MS-ADTS] – Active Directory Technical Specification
• Материалы Microsoft Ignite/EDU по AD DS (2.