Co je to Active Directory? Návod krok za krokem

S rostoucí složitostí síťových zdrojů se adresářové služby stávají stále důležitějšími pro správu IT infrastruktury. Neexistuje žádná adresářová služba s větším názvem nežAktivní adresář. Adresářová služba společnosti Microsoft byla zavedena jako základní nástroj mezi správci sítí. V tomto tutoriálu Active Directory se podíváme na to, co je Active Directory, jak ji používat a Nástroje služby Active Directory jakoSprávce přístupových práv SolarWindsaManageEngine AD360. Mezi témata, která je třeba se naučit, patří:

• Co je to Active Directory?
• Co dělá služba Active Directory?
• Jak nastavit Active Directory
• Jak používat Active Directory: Nastavení řadiče domény, vytvoření uživatelů adresáře
• Události služby Active Directory ke sledování
• Důvěrné vztahy (a typy důvěry)
• Přehled doménových struktur a stromů služby Active Directory
• Reporting Active Directory (s SolarWinds Access Rights Manager)
• Jak najít zdroj uzamčení účtů ve službě Active Directory

Co je to Active Directory?

Active Directory je aadresářová službanebo kontejner, který ukládá datové objekty v prostředí vaší místní sítě. Služba zaznamenává údaje nauživatelů,zařízení,aplikací,skupiny, azařízenív hierarchické struktuře.

Struktura dat umožňuje najít podrobnosti o zdrojích připojených k síti z jednoho místa. Active Directory v podstatě funguje jako telefonní seznam pro vaši síť, takže můžete snadno vyhledávat a spravovat zařízení.

Co dělá služba Active Directory?

Existuje mnoho důvodů, proč podniky používají adresářové služby, jako je Active Directory. Hlavním důvodem je pohodlí. Služba Active Directory umožňuje uživatelům přihlásit se a spravovat různé zdroje z jednoho místa. Přihlašovací údaje jsou sjednoceny, takže je snazší spravovat více zařízení, aniž byste museli zadávat podrobnosti o účtu pro přístup ke každému jednotlivému počítači.

Jak nastavit Active Directory (s RSAT)

Chcete-li začít, musíte se nejprve ujistit, že máteWindows ProfessionalneboWindows Enterprisenainstalováno, jinak nebudete moci nainstalovatNástroje pro vzdálenou správu serveru. Potom proveďte následující:

Pro Windows 10 verze 1809:

1. Klepněte pravým tlačítkem myši naStarttlačítko a přejděte naNastavení > Aplikace > Správa volitelných funkcí > Přidat funkci.
2. Nyní vyberteRSAT: Active Directory Domain Services a Lightweight Directory Tools.
3. Nakonec vyberteNainstalujtepak přejděte naStart > Nástroje pro správu systému Windowspro přístup ke službě Active Directory po dokončení instalace.

Pro Windows 8 (a Windows 10 verze 1803)

1. Stáhněte a nainstalujte správnou verzi Server Administrator Tools pro vaše zařízení: Windows 8 , Windows 10 .
2. Dále klikněte pravým tlačítkem naStarttlačítko a vyberteOvládací panely > Programy > Programy a funkce > Zapnout nebo vypnout funkce systému Windows.
3. Posuňte se dolů a klikněte naNástroje pro vzdálenou správu serveruvolba.
4. Nyní klikněte naNástroje pro správu rolí.
5. Klikněte naNástroje AD DS a AD LDSa ověřitNástroje AD DSbyl zkontrolován.
6. lisOK.
7. Jít doStart > Nástroje pro správunaStartpro přístup k Active Directory.

Jak používat Active Directory: Jak nastavit řadič domény, Vytvoření uživatelů adresáře

Jak nastavit řadič domény

Jednou z prvních věcí, kterou musíte udělat při používání služby Active Directory, je nastavení řadiče domény. Řadič domény je centrální počítač, který bude reagovat na požadavky na ověření a ověřovat ostatní počítače v síti. Řadič doményukládá přihlašovací údaje všech ostatních počítačůa tiskárny.

Všechny ostatní počítače se připojují k řadiči domény, takže uživatel může ověřit každé zařízení z jednoho místa. Výhodou je, že administrátor nebude muset spravovat desítky přihlašovacích údajů.

Proces nastavení řadiče domény je poměrně jednoduchý.Přiřaďte svému řadiči domény statickou IP adresua nainstalovat službu Active Directory Domain ServicesneboPŘIDÁVÁ . Nyní postupujte podle těchto pokynů:

1. OTEVŘENOSprávce serverua klikněteSouhrn rolí > Přidat role a funkce.
2. Kliknětedalší.
3. VybratSlužby vzdálené plochyinstalacepokud nasazujete řadič domény do virtuálního počítače nebo vyberteinstalace na základě rolí nebo funkcí.
4. Vyberte server zserverový fond.
5. VybratSlužba Active Directory Domain Services ze seznamu a kliknětedalší.
6. Ve výchozím nastavení nechte Funkce zaškrtnuté a stisknětedalší.
7. KlikněteV případě potřeby automaticky restartujte cílový servera klikněteNainstalujte. Po dokončení instalace okno zavřete.
8. Po instalaci role ADDS se vedle položky zobrazí upozorněníSpravovatJídelní lístek. lisPovýšit tento server na řadič domény.
9. Nyní kliknětePřidat nový lesa zadejte aNázev kořenové domény. lisdalší.
10. VybratFunkční úroveň doménya zadejte do něj hesloZadejte režim obnovení adresářových služeb (heslo DSRM)sekce. Kliknětedalší.
11. Když se zobrazí stránka Možnosti DNS, klikněte nadalšíznovu.
12. Do pole zadejte doménuNázev domény NetBiosbox (nejlépe stejný jako název kořenové domény). lisdalší.
13. Vyberte složku pro uložení souborů databáze a protokolu. Kliknětedalší.
14. lisNainstalujtedokončit. Váš systém se nyní restartuje.

Přidejte řadič domény do existující domény v systému Windows Server 2016

Postupy pro přidání řadiče domény do existující domény v Active Directory jsou stejné, bez ohledu na to, jaký máte operační systém. Tyto instrukce však byly organizovány během cvičení na Windows Server 2016 . Vždy je dobré mít v doméně AD alespoň dva řadiče domény pro případ, že by jeden vypadl.

Druhý řadič domény je samostatný počítač než počítač určený pro váš první řadič domény. Ten druhý počítač je potřeba nastavit Windows Server 2016 . Před zahájením nastavení AD na tomto počítači jej nechte plně opravit a přidělte mu IP adresu. Poté postupujte takto:

1. OTEVŘENO Správce serveru , klikněte na Spravovat na pásu karet nabídky a vyberte Přidat role a funkce .
2. Na úvodní obrazovce průvodce klikněte na další .
3. V Typ instalace vyberte na obrazovce Instalace na základě rolí nebo funkcí přepínač a klikněte na další .
4. v Výběr serveru ponechte zvýrazněný jediný server v seznamu a stiskněte další .
5. V Role serveru obrazovce, zkontrolujte Active Directory Domain Services box. Zobrazí se dialogové okno. Klikněte na Přidat funkce knoflík.
6. Zpět na obrazovce výběru hlavní funkce klikněte na další knoflík.
7. Toto cyklicky prochází do Funkce obrazovka. Stačí kliknout na další knoflík. V AD DS obrazovce, klikněte na další knoflík.
8. Nakonec klikněte na Nainstalujte knoflík. Po dokončení procesu instalace se zobrazí upozornění, že jsou nutné další kroky. Klikněte na odkaz, který říká Povýšit tento server na řadič domény . To přináší Konfigurace nasazení obrazovka.
9. Opustit Přidejte řadič domény do existující domény aktivní přepínač. Ve spodní části seznamu možností uvidíte . Klikněte na Změna tlačítko vedle toho.
10. Zadejte uživatelské jméno a heslo účtu správce v instanci AD, kterou jste poprvé nastavili. Toto uživatelské jméno by mělo být ve formátuSprávce. Klikněte OK .
11. Po návratu z přihlašovacího vyskakovacího okna uvidíte, že Doména pole bylo vyplněno doménou, kterou jste zadali pro uživatelský účet. Klikněte na další knoflík.
12. Rozhodněte se, zda z toho udělat řadič domény jen pro čtení (RODC). Pokud ano, zaškrtněte toto políčko v Možnosti Pokud ne, zkontrolujte obě DNS server a Globální katalog krabice.
13. Vložte heslo DSRM a potvrďte to. Klikněte na další knoflík. Zobrazí se upozornění, ale stačí na něj kliknout další znovu tlačítko.
14. v Další možnosti vyberte svůj původní řadič domény pro Replikovat z: pole. Klikněte na další .
15. Ponechte všechny cesty ve výchozím nastavení a klikněte na další . V Možnosti kontroly obrazovce, klikněte další .
16. Systém provede kontrolu předpokladů. Pokud to skončí uspokojivě, Nainstalujte tlačítko bude aktivní. Klikněte na něj.
17. Počkejte na dokončení instalace. Počítač se restartuje. Přihlaste se ke stroji.

Vraťte se do původního počítače s řadičem domény a otevřete Uživatelé a počítače služby Active Directory a uvidíte, že váš nový DC je uveden v seznamu Ovladače domén složku.

Vytváření uživatelů služby Active Directory

Uživateléapočítačejsou dva nejzákladnější objekty, které budete muset spravovat při používání služby Active Directory. V této části se podíváme na to, jak vytvořit nové uživatelské účty. Tento proces je poměrně jednoduchý a nejjednodušší způsob, jak spravovat uživatele, je prostřednictvímUživatelé a počítač služby Active Directorynebo nástroj ADUC, který je dodáván sNástroje pro vzdálenou správu serveruneboRSATbalíček. ADUC můžete nainstalovat podle následujících pokynů:

Nainstalujte ADUC na Windows 10 verze 1809 a vyšší:

1. Klepněte pravým tlačítkem myši naStarttlačítko a klikněteNastavení > Aplikace,pak klikněteSpráva volitelných funkcí > Přidat funkci.
2. VybratRSAT: Active Directory Domain Services a Lightweight Directory Tools.
3. VybratNainstalujtea počkejte na dokončení instalace.
4. Jít doStart > Nástroje pro správu systému Windowspro přístup k funkci.

Nainstalujte ADUC na Windows 8 a Windows 10 verze 1803 nebo nižší:

1. Stáhněte a nainstalujte Remote Server Administrator Tools pro vaši verzi Windows. Můžete tak učinit z jednoho z těchto odkazů zde:
   Nástroje pro správu vzdáleného serveru pro Windows 10 , Nástroje pro správu vzdáleného serveru pro Windows 8 nebo Nástroje pro správu vzdáleného serveru pro Windows 8.1 .

1. Klikněte pravým tlačítkem naStart > Ovládací panely > Programy > Programy a funkce > Zapnout nebo vypnout funkce systému Windows.
2. Přejděte dolů a vyberteNástroje pro vzdálenou správu serveru.
3. RozšířitNástroje správce rolí > Nástroje AD DS a AD LDS.
4. ŠekNástroje AD DSa stiskněteOK.
5. Jít doStart > Nástroje pro správua vyberteUživatelé a počítače služby Active Directory.

Jak vytvořit nové uživatele s ADUC

1. OtevřiSprávce serveru, přejděte naNástrojemenu a vyberteUživatelé a počítače služby Active Directory.
2. Rozbalte doménu a klikněteUživatelé.
3. Klepněte pravým tlačítkem myši na pravé podokno a stiskněteNový > Uživatel.
4. Když se zobrazí pole Nový uživatel objektu, zadejte aJméno,Příjmení,přihlašovací jméno uživatele,a kliknětedalší.
5. Zadejte heslo a stisknětedalší.
6. KlikněteDokončit.
7. Nový uživatelský účet najdete vUživatelésekce ADUC.

Události služby Active Directory ke sledování

Stejně jako všechny formy infrastruktury musí být služba Active Directory monitorována, aby zůstala chráněna. Monitorování adresářové služby je nezbytné pro prevenci kybernetických útoků a poskytování nejlepšího uživatelského zážitku pro vaše uživatele.

Níže uvádíme některé z nejdůležitějších síťových událostí, na které byste si měli dát pozor. Pokud zaznamenáte některou z těchto událostí, měli byste co nejdříve dále prošetřit, abyste se ujistili, že vaše služba nebyla ohrožena.

Přehled doménových struktur a stromů služby Active Directory

Les a stromy jsou dva pojmy, které uslyšíte hodně, když se ponoříte do Active Directory. Tyto termíny odkazují na logickou strukturu Active Directory. Stručně řečeno, astrom je entita s jednou doménou nebo skupinou objektůza kterým následují podřízené domény.Les je skupina doméndát dohromady. Kdyžvíce stromů je seskupeno a stávají se lesem.

Stromy v lese se navzájem spojují prostřednictvím avztah důvěry,který umožňuje různým doménám sdílet informace. Všechnodomény si budou automaticky důvěřovattakže k nim můžete přistupovat pomocí stejných informací o účtu, které jste použili v kořenové doméně.

Každá doménová struktura používá jednu jednotnou databázi. Logicky, les sedí na nejvyšší úrovni hierarchie a strom je umístěn dole. Jednou z výzev, které mají správci sítě při práci se službou Active Directory, je správa doménových struktur a udržování zabezpečení adresáře.

Například správce sítě bude mít za úkol vybrat mezi ajediný lesní designnebomultilesní design. Návrh s jednou doménovou strukturou je jednoduchý, levný a snadno ovladatelný pouze s jednou doménou zahrnující celou síť. Naproti tomu návrh s více doménovými strukturami rozděluje síť do různých doménových struktur, což je dobré pro zabezpečení, ale komplikuje správu.

Důvěrné vztahy (a typy důvěry)

Jak bylo uvedeno výše, důvěryhodnosti se používají k usnadnění komunikace mezi doménami. Trusty umožňují ověřování a přístup ke zdrojům mezi dvěma entitami. Trusty mohou být jednosměrné nebo obousměrné povahy. V rámci důvěryhodnosti jsou dvě domény rozděleny na důvěřující doménu a důvěryhodnou doménu.

V jednosměrné důvěře,důvěřující doména přistupuje k podrobnostem ověřovánídůvěryhodné domény, aby měl uživatel přístup ke zdrojům z jiné domény. V obousměrném vztahu důvěryhodnosti přijmou obě domény ověřovací údaje druhé domény. Všechnodomény v rámci doménové struktury si navzájem automaticky důvěřují, ale můžete také nastavit vztahy důvěryhodnosti mezi doménami v různých doménových strukturách pro přenos informací.

Můžete vytvářet trusty prostřednictvímPrůvodce novými důvěry. TheNový průvodce důvěryje průvodce konfigurací, který umožňuje vytvářet nové vztahy důvěryhodnosti. Zde si můžete prohlédnoutDoménové jméno,Typ důvěry, aTranzitivnístav existujících trustů a vyberte typ trustu, který chcete vytvořit.

Typy důvěry

Ve službě Active Directory existuje řada typů důvěryhodnosti. Uvedli jsme je v tabulce níže:

Hlášení služby Active Directory se správcem přístupových práv SolarWinds (ZKOUŠKA ZDARMA)

Generování zpráv o službě Active Directory je nezbytné pro optimalizaci výkonu a zachování souladu s předpisy. Jedním z nejlepších nástrojů pro vytváření sestav Active Directory jeSolarWinds Access Rights Manager (ARM). Tento nástroj byl vytvořen, aby zvýšil přehled o tom, jak se používají a spravují přihlašovací údaje adresáře. Můžete například zobrazit účty s nezabezpečenou konfigurací a zneužitím pověření, které by mohlo naznačovat kybernetický útok.

Pomocí nástroje třetí strany, jako jeSprávce přístupových práv SolarWindsje přínosné, protože vám poskytuje informace a funkce, ke kterým by bylo mnohem obtížnější nebo nemožné přistupovat přímo přes Active Directory.

Klady:

• Usnadňuje správu AD prostřednictvím vizualizací a sestav
• Poskytuje jasný pohled do struktury oprávnění a souborů prostřednictvím automatického mapování a vizualizací
• Předkonfigurované sestavy usnadňují prokázání souladu
• Jakékoli problémy s dodržováním předpisů jsou popsány po skenování a spárovány s nápravnými akcemi
• Sysadmins mohou přizpůsobit přístupová práva a ovládání ve Windows a dalších aplikacích

Nevýhody:

• SolarWinds Access Rights Manager je podrobná platforma navržená pro správce systému, jejíž úplné naučení může chvíli trvat

Stejně jako generování zpráv můžeteautomaticky odstranit neaktivní nebo vypršelé účtyna které se kyberzločinci zaměřují.Správce přístupových práv SolarWindszačíná na 3 444 $ (2 829 GBP). Je tam také30denní bezplatná zkušební verzeverzi, kterou si můžete stáhnout.

SolarWinds Access Rights Manager Stažení 30denní zkušební verze ZDARMA

Viz také: Správa přístupových práv

Jak najít zdroj uzamčení účtů ve službě Active Directory

Nejjednodušší způsob, jak najít uzamčení účtů ve službě Active Directory, je použít Prohlížeč událostí, který je integrován do systému Windows. Služba Active Directory generuje zprávy událostí systému Windows pro každou ze svých akcí, takže vaším prvním úkolem je vyhledat správný protokol událostí.

1. Otevřete okno PowerShellu současným stisknutím klávesy Windows a R. Ve vyskakovacím okně Spustit zadejte powershell a stiskněte ENTER.
2. Na příkazovém řádku zadejte (get-addomain).pdcemulator
3. Poznamenejte si adresu doménového řadiče emulátoru PCD, která bude zobrazena na dalším řádku.
4. Typ výstup zavřete okno PowerShellu.
5. Standardní prohlížeč protokolu událostí, který je integrován do operačního systému Windows, vám pomůže najít uzamčení účtu.
6. Přejděte na DC pojmenovaný jako emulátor PDC.
7. Otevřete Prohlížeč událostí rozbalením Nástroje pro správu systému Windows v nabídce Start a kliknutím na Prohlížeč událostí záznam v tomto podmenu.
8. V prohlížeči událostí rozbalte položku Protokoly systému Windows uzel ve stromu nabídky vlevo. Klikněte na Bezpečnostní . Na centrálním panelu Prohlížeče událostí se zobrazí seznam událostí zabezpečení.
9. V pravém panelu Prohlížeče událostí klikněte na Filtrovat aktuální protokol , který otevře vyskakovací okno.
10. V ID událostí pole nahradit s 4740 .
11. Vyberte časový horizont v Přihlášeno rozevírací seznam v horní části formuláře.
12. Volitelně zadejte uživatelské jméno nebo název hostitele, pokud konkrétně hledáte uzamčení konkrétního uživatele nebo zdroje.
13. lis OK .
14. Dvakrát klikněte na záznam protokolu, který se týká uživatele nebo zdroje, který vás zajímá, a který má časové razítko, které odpovídá okamžiku, kdy si myslíte, že došlo k uzamčení. Otevře se zpráva o události.

Zpráva o události vám ukáže uživatele, který byl uzamčen, počítač, na kterém k události došlo, a zdroj nebo důvod uzamčení.

Správa Active Directory pomocí ManageEngine AD360 (ZKUŠEBNÍ ZKOUŠKA ZDARMA)

ManageEngine AD360je přehled systémů pro správu ManageEngine Active Directory plus služba zálohování a obnovy. Tento balíček představuje dobrý příklad nástrojů, které jsou k dispozici pro automatizaci úloh správy souvisejících s používáním služby Active Directory. Je schopen rozhraní k implementacím AD pro SharePoint , Microsoft 365 , Blankyt , a AWS , stejně jako systém Active Directory, který máte ve svém Windows Server operační systém.

Klady:

• Balíček nástrojů AD
• Vynucuje vícefaktorovou autentizaci
• Audituje objekty AD za účelem zlepšení správy skupiny
• Detekuje neaktivní účty
• Analytika chování uživatelů

Nevýhody:

• Možná budete potřebovat pouze jeden z komponentních nástrojů

ManageEngine AD360 je k dispozici na a30denní bezplatná zkušební verze.

ManageEngine AD360 Start 30denní zkušební verze ZDARMA

Výukový program Active Directory: Základy

Active Directory je jedním z nejlepších nástrojů pro správu zdrojů ve vaší síti. V tomto článku jsme právě načrtli povrch potenciálu tohoto nástroje. Pokud používáte Active Directory, nezapomeňte, že je to potenciální vstupní bod pro kybernetické útočníky. Zapisování si klíčových událostí v adresáři a používání sledování adresářů výrazně sníží riziko škodlivého útoku a ochrání dostupnost vaší služby.

Nejčastější dotazy týkající se služby Active Directory s

Jaký je rozdíl mezi Active Directory a řadičem domény?

Aktivní adresář je autentizační systém. A doména je kolekce objektů, což jsou uživatelé, počítače a zařízení, které mají přístupová práva spravovaná ve stejné databázi Active Directory. The doménový řadič je systém správy ověřování, který implementuje funkce Active Directory na databázových objektech domény.

Jak povolit auditování zabezpečení služby Active Directory?

Chcete-li zahájit audit zabezpečení v rámci služby Active Directory:

1. Přihlásit se do Windows Server jako správce.
2. Jít do Start , klikněte na Administrativní nástroje a vyberte Konzola pro správu zásad skupiny .
3. Dostat se do doména/OU být auditován.
4. Klepněte pravým tlačítkem myši na Objekt zásad skupiny a vyberte si Upravit . Tím se otevře Editor správy zásad skupiny.
5. V levém stromovém menu rozbalte Konfigurace počítače , pak Opatření , rozšířit Nastavení systému Windows , pak Bezpečnostní nastavení , a nakonec Místní zásady . Klikněte na Zásady auditu.
6. Na hlavním panelu Editoru klikněte na Auditovat přístup k objektu a vyberte obojí Úspěch a Selhání možnosti.
7. Klikněte na Audit přístupu k adresářové službě a vyberte obojí Úspěch a Selhání možnosti.

Jaký je rozdíl mezi Active Directory a LDAP?

TheLightweight Directory Access Protocol(LDAP) je otevřený standard, který popisuje, jak lze spravovat přístupová práva.Aktivní adresářje systém pro správu přístupových práv napsaný společností Microsoft. Active Directory je vývojem konceptů definovaných v LDAP.

Co je služba Active Directory a jednotné přihlášení a jaké jsou mezi nimi rozdíly?

Jednotné přihlášení(SSO) poskytuje každému uživateli přístup k několika systémům pouze jednou autentizační procedurou.Aktivní adresář(INZERÁT) je systém správy přístupových práv, který může implementovat prostředí SSO.

Mohu nainstalovat Active Directory na klientské operační systémy?

Ne. Active Directory je serverová funkce a je integrována do operačního systému Windows Server. Logicky by se každý klient se službou Active Directory stal serverem.

Co byste měli hledat v nástrojích Active Directory?

Přezkoumali jsme trh se softwarem pro monitorování Active Directory a analyzovali možnosti na základě následujících kritérií:

• Rozhraní, které nabízí jednodušší způsob organizace Active Directory
• Reportingové funkce pro audit
• Schopnost monitorovat mnoho instancí AD
• Sledování replikace, synchronizace, zálohování a migrace
• Rychlá identifikace stavu účtu
• Bezplatná zkušební verze, která poskytuje bezplatné zkušební období
• Hodnota za peníze z nástroje, který se sám vyplatí zvýšením efektivity