Active Directory

Active Directory
Microsoft Azure Active Directory 와 혼동하지 말아 주세요.

Active Directory(AD)는 Microsoft가 Windows 도메인 네트워크용으로 개발한 디렉토리 서비스입니다.프로세스와 서비스의 세트로 대부분의 Windows Server 운영체제에 포함되어 있습니다.[1][2]처음에 Active Directory는 집중화된 도메인 관리에만 사용되었습니다.그러나 Active Directory는 결국 광범위한 디렉토리 기반 ID 관련 [3]서비스의 포괄적인 제목이 되었습니다.

AD DS(Active Directory 도메인 서비스) 역할을 실행하는 서버를 도메인 컨트롤러라고 합니다.윈도우즈 도메인 유형 네트워크의 모든 사용자와 컴퓨터를 인증 및 인증하고, 모든 시스템에 보안 정책을 할당 및 적용하고, 소프트웨어를 설치 또는 업데이트합니다.예를 들어 사용자가 윈도우즈 도메인의 일부인 컴퓨터에 로그인할 때 Active Directory는 제출된 사용자 이름과 암호를 확인하고 사용자가 시스템 관리자인지 일반 [4]사용자인지 확인합니다.또한 정보의 관리와 저장을 가능하게 하고 인증과 인가 메커니즘을 제공하며 기타 관련 서비스를 도입하기 위한 프레임워크를 확립합니다.증명서 서비스, Active Directory 페더레이션 서비스, Lightweight 디렉토리 서비스 및 권한 관리 [5]서비스.

Active Directory는 LDAP(Lightweight Directory Access Protocol) 버전 2 및 3, Microsoft 버전 Kerberos [6]및 [7]DNS를 사용합니다.

역사

많은 정보기술의 노력과 마찬가지로 Active Directory는 코멘트 요구(RFC)를 사용한 설계의 민주화에 의해 시작되었습니다.RFC 프로세스를 감독하는 Internet Engineering Task Force(IETF; 인터넷 기술 특별 조사위원회)는 광범위한 참가자에 의해 개시된 다수의 RFC를 수용하고 있습니다.예를 들어 LDAP는 Active Directory의 기반이 됩니다.또한 X.500 디렉터리와 조직 단위는 이러한 방법을 사용하는 Active Directory 개념보다 앞서 있었습니다.LDAP 개념은 1975년 4월 Microsoft가 설립되기 전부터 나타나기 시작했으며, 1971년 RFC가 발표되었습니다.LDAP에 기여하는 RFC에는 RFC 1823(LDAP API, 1995년 [8]8월), RFC 2307, RFC 3062 및 RFC 4533이 [9][10][11]있습니다.

Microsoft 는 1999년에 Active Directory 를 프리뷰 해, Windows 2000 Server 에디션으로 최초로 릴리스 해, Windows Server 2003 의 기능을 확장해, 관리를 향상시키기 위해서 개정했습니다.Active Directory 지원도 패치를 통해 Windows 95, Windows 98 및 Windows NT 4.0에 추가되었습니다.일부 기능은 [12][13]지원되지 않습니다.Windows Server 의 후속 버전에서는, 한층 더 개선되고 있습니다.Windows Server 2008 에서는, Active Directory 에 Active Directory 페더레이션 [14]서비스등의 추가 서비스가 추가되었습니다.이전에는 운영 [14]체제의 핵심이었던 도메인 관리를 담당하는 디렉토리의 일부가 Active Directory 도메인 서비스(ADS)로 이름이 변경되어 다른 서버와 [3]같은 서버 역할이 되었습니다."Active Directory"는 광범위한 디렉토리 기반 서비스의 포괄적인 [15]제목이 되었습니다.Byron Hynes에 따르면, 신원과 관련된 모든 것은 Active Directory의 [3]깃발 아래에 있었다.

Active Directory 서비스

Active Directory 서비스는 여러 디렉토리 서비스로 구성됩니다.가장 잘 알려진 것은 Active Directory 도메인 서비스입니다.일반적으로 AD DS 또는 단순 AD로 약칭됩니다.

도메인 서비스

Active Directory 도메인 서비스(AD DS)는 모든 Windows 도메인 네트워크의 기반입니다.디바이스 및 사용자를 포함한 도메인 구성원에 대한 정보를 저장하고 자격 증명을 검증하고 액세스 권한을 정의합니다.이 서비스를 실행하는 서버를 도메인 컨트롤러라고 합니다.도메인 컨트롤러는 사용자가 디바이스에 로그인하거나 네트워크를 통해 다른 디바이스에 액세스하거나 디바이스에 사외로 배치된 LOB(Line-of-Business Metro) 스타일의 앱을 실행할 때 접속됩니다.

기타 Active Directory 서비스(LDS 제외) 및 대부분의 Microsoft 서버 테크놀로지는 도메인 서비스를 이용하거나 사용합니다.예를 들어 그룹 정책, 암호화 파일 시스템, BitLocker, 도메인 네임 서비스, 리모트 데스크톱 서비스, Exchange 서버 및 SharePoint Server 등이 있습니다.

자체 관리 Active Directory DS는 클라우드 [16]제품인 관리되는 Azure AD DS와 혼동해서는 안 됩니다.

Lightweight 디렉토리 서비스

ADAM([17]Active Directory Lightweight Directory Services)은 ADDS용 LDAP 프로토콜 구현입니다.AD [18]LDS는 Windows Server에서 서비스로 실행됩니다.AD LDS는 AD DS와 코드 베이스를 공유하고 동일한 API를 포함한 동일한 기능을 제공하지만 도메인 또는 도메인 컨트롤러를 생성할 필요는 없습니다.디렉토리 데이터 저장용 데이터 스토어와 LDAP 디렉토리 서비스 인터페이스를 갖춘 디렉토리 서비스를 제공합니다.단, AD DS와 달리 여러 AD LDS 인스턴스를 동일한 서버에서 실행할 수 있습니다.

증명서 서비스

Active Directory Certificate Services(AD CS; Active Directory 증명서 서비스)는 사내 공개 키 인프라스트럭처를 확립합니다.조직의 내부 사용을 위한 공개 키 증명서를 작성, 검증 및 해지할 수 있습니다.이러한 증명서는 파일 암호화(파일 시스템 암호화), 이메일(S/MIME 표준에 따라), 네트워크 트래픽(가상 프라이빗 네트워크, 트랜스포트 레이어 보안 프로토콜 또는 IPSec 프로토콜에서 사용되는 경우)을 암호화하는 데 사용할 수 있습니다.

AD CS는 Windows Server 2008보다 이전 버전이지만, 그 이름은 단순히 증명서 [19]서비스였습니다.

AD CS에는 AD DS [20]인프라스트럭처가 필요합니다.

페더레이션 서비스

주요 기사:Active Directory 페더레이션서비스

AD FS(Active Directory Federation Services)는 Single Sign-On 서비스입니다.AD FS 인프라스트럭처를 구축하면 사용자는 각 서비스에 대해 전용 자격 증명 세트를 부여받지 않고 중앙 위치에 저장된 자격 증명 세트를 사용하여 여러 웹 기반 서비스(인터넷 포럼, 블로그, 온라인 쇼핑, 웹 메일 등) 또는 네트워크 리소스를 사용할 수 있습니다.AD FS는 SAML, OAuth, Open 등의 토큰 자격 정보를 전달하기 위해 널리 사용되는 개방형 표준을 사용합니다.[[21]접속]AD FS는 SAML [22]어설션의 암호화 및 서명을 지원합니다.AD FS의 목적은 AD DS의 확장입니다.AD DS에서는, 같은 네트워크의 일부인 디바이스를 1 세트의 credential로 인증해 사용할 수 있습니다.전자를 사용하면, 다른 네트워크내에서 같은 credential 세트를 사용할 수 있습니다.

이름에서 알 수 있듯이 AD FS는 연합 정체성의 개념을 기반으로 작동합니다.

AD FS는 AD DS 인프라스트럭처를 필요로 하지만 페더레이션 파트너는 필요로 하지 않습니다.[23]

권한 관리 서비스

주요 기사:Active Directory 권한 관리 서비스

Active Directory Rights Management Services(AD RMS, Windows Server 2008 이전 버전에서는 RMS)는 Windows Server와 함께 제공되는 정보 권한 관리용 서버 소프트웨어입니다.암호화 및 선택적 기능 거부 형식을 사용하여 회사 전자 메일, Microsoft Word 문서 및 웹 페이지와 같은 문서에 대한 액세스를 제한하고 권한이 부여된 사용자가 이 문서에서 수행할 수 있는 작업을 수행합니다.이러한 작업에는 예를 들어 보기, 편집, 복사, 다른 이름으로 저장 또는 인쇄가 포함될 수 있습니다.IT 관리자는 필요에 따라 최종 사용자의 편의를 위해 미리 설정된 템플릿을 작성할 수 있습니다.그러나 최종 사용자는 여전히 해당 컨텐츠에 액세스할 수 있는 사용자를 정의하고 수행할 수 있는 작업을 설정할 수 있습니다.[24]

논리 구조

디렉토리 서비스로서 Active Directory 인스턴스는 데이터베이스와 요구를 처리하고 데이터베이스를 관리하는 대응하는 실행 가능한 코드로 구성됩니다.디렉토리 시스템 에이전트라고 하는 실행 가능 부분은 윈도우즈 2000 [1]이상에서 실행되는 윈도우즈 서비스 및 프로세스의 모음입니다.Active Directory 데이터베이스의 객체는 LDAP, ADSI(컴포넌트 객체 모델 인터페이스), 메시징 API 및 보안 계정 관리자 서비스를 통해 액세스할 수 있습니다.[2]

물건들

출판사 내부 네트워크의 간단한 예입니다.이 회사에는 네트워크상의 3개의 공유 폴더에 대한 다양한 권한을 가진 4개의 그룹이 있습니다.

Active Directory 구조는 개체에 대한 정보의 배열입니다.오브젝트는 리소스(프린터 등)와 보안 주체(사용자 또는 컴퓨터 계정 및 그룹)의 두 가지 범주로 나뉩니다.보안 주체에는 고유 보안 식별자(SID)가 할당됩니다.

각 개체는 사용자, 컴퓨터, 프린터 또는 그룹에 관계없이 단일 엔티티와 해당 속성을 나타냅니다.특정 개체에는 다른 개체가 포함될 수 있습니다.오브젝트는 이름으로 일의로 식별되며 스키마에 의해 정의된 속성 세트(개체가 나타내는 특성 및 정보)가 있으며 Active Directory에 저장할 수 있는 오브젝트의 종류도 결정됩니다.

스키마 개체를 사용하여 관리자는 필요에 따라 스키마를 확장하거나 수정할 수 있습니다.그러나 각 스키마 개체는 Active Directory 개체 정의에 필수적이므로 이러한 개체를 비활성화하거나 변경하면 기본적으로 배포가 변경되거나 중단될 수 있습니다.스키마 변경은 시스템 전체에 자동으로 전파됩니다.오브젝트는 일단 생성되면 비활성화할 수 있을 뿐 삭제는 할 수 없습니다.스키마를 변경하려면 일반적으로 [25]계획이 필요합니다.

포레스트, 트리 및 도메인

개체를 유지하는 Active Directory 프레임워크는 여러 수준에서 볼 수 있습니다.포레스트, 트리 및 도메인은 Active Directory 네트워크의 논리 분할입니다.

배포 내에서 개체는 도메인으로 그룹화됩니다.단일 도메인의 개체는 단일 데이터베이스에 저장됩니다(복제가 가능).도메인은 DNS 이름 구조(네임스페이스)로 식별됩니다.

도메인은 동일한 Active Directory 데이터베이스를 공유하는 네트워크 개체(컴퓨터, 사용자, 디바이스)의 논리 그룹으로 정의됩니다.

트리는 인접한 네임스페이스에 있는 하나 이상의 도메인 및 도메인 트리의 집합으로, 전이적 신뢰 계층으로 연결됩니다.

그 구조물의 꼭대기는 숲이다.포리스트는 공통 글로벌 카탈로그, 디렉터리 스키마, 논리적 구조 및 디렉터리 구성을 공유하는 트리 모음입니다.포리스트는 사용자, 컴퓨터, 그룹 및 기타 개체에 액세스할 수 있는 보안 경계를 나타냅니다.

Icons-mini-page url.gif 도메인 보스턴
Icons-mini-page url.gif 도메인-뉴욕
Icons-mini-page url.gif 도메인 필리
Icons-mini-page tree.gif 트리-남부
Icons-mini-page url.gif 도메인 아틀란타
Icons-mini-page url.gif 도메인 달라스
Icons-mini-page url.gif 도메인 달라스
Icons-mini-folder.gif OU-마케팅
Icons-mini-icon user.gif 휴이트
Icons-mini-icon user.gif 아온
Icons-mini-icon user.gif 스티브
Icons-mini-folder.gif OU 판매
Icons-mini-icon user.gif 청구서
Icons-mini-icon user.gif 랄프
트리 및 도메인 내 관심 영역의 지리적 구성 예.

조직 단위

도메인 내에 있는 오브젝트는 OU([26]조직단위)로 그룹화할 수 있습니다.OU는 도메인에 계층을 제공하고 관리를 용이하게 하며 관리 또는 지리적 측면에서 조직의 구조와 유사할 수 있습니다.OU에는 다른 OU를 포함할 수 있습니다.도메인은 이런 의미에서 컨테이너입니다.Microsoft 에서는, 도메인보다 OU 를 사용하는 것을 추천합니다.또, 정책과 관리의 실장을 심플화할 수도 있습니다.도메인이나 사이트에도 정책을 적용할 수 있지만 OU는 Active Directory 개체인 그룹 정책을 적용하는 권장 수준입니다(아래 참조).OU는 일반적으로 관리 권한을 위임하는 수준이지만 위임은 개별 개체 또는 속성에도 수행할 수 있습니다.

조직 단위에는 각각 개별 네임스페이스가 없습니다.따라서 레거시 NetBios 구현과의 호환성을 위해 계정 개체가 별도의 OU에 있더라도 동일한 sAMAccountName을 가진 사용자 계정은 동일한 도메인 내에서 허용되지 않습니다.이는 사용자 객체 속성인 sAMAccountName이 [27]도메인 내에서 고유해야 하기 때문입니다.다만, 다른 OU 의 2 개의 유저는, 디렉토리 자체에 격납되어 있는 이름(fred.staff-ou.domain)이나 fred.student-ou.domain 등, 같은 공통명(CN)을 가질 수 있습니다.여기서 「staff-ou」와「student-ou」는 OU입니다.

일반적으로 계층형 디렉토리 배치를 통해 중복 이름을 허용하지 않는 이유는 마이크로소프트가 주로 NetB의 원칙에 의존하기 때문입니다.IOS는 Microsoft 소프트웨어의 경우 Windows NT 3.1 및 MS-DOS LAN Manager로 돌아가는 플랫네임스페이스 방식의 네트워크 객체 관리 방식입니다.디렉토리내의 오브젝트명의 복제를 허가하거나 NetB 의 사용을 완전하게 삭제한다.IOS 이름은 레거시 소프트웨어 및 기기와의 하위 호환성을 방지합니다.단, 이 방법으로 오브젝트명의 중복을 허용하지 않는 것은 Active Directory의 기반이 되는LDAP RFC를 위반하는 것입니다.

도메인 내 사용자 수가 증가함에 따라 Li(),), Smith(스미스), Garcia(가르시아)와 같은 일반적인 성씨에서는 "첫 번째 이니셜, 중간 이니셜, 성" (서양순) 또는 그 반대(동양순)와 같은 관습이 실패합니다.회피책으로는 사용자 이름 끝에 숫자를 추가하는 방법이 있습니다.다른 방법으로는 실제 사용자의 이름 대신 계정 이름으로 사용하는 고유한 직원/학생 ID 번호의 별도의 ID 시스템을 만들고 사용자가 허용 가능한 사용 정책 내에서 선호하는 단어 순서를 지정할 수 있도록 하는 것이 포함된다.

도메인 내에는 중복된 사용자 이름이 존재할 수 없기 때문에 계정 이름 생성은 네트워크를 통해 어떤 컴퓨터도 사용할 수 있어야 하는 공립학교 시스템 학생이나 대학 학생 등 개별 도메인으로 쉽게 세분화할 수 없는 대규모 조직에게 중대한 과제가 됩니다.

섀도 그룹
Active Directory에서는 OU(조직 단위)를 소유자 또는 수탁자로 할당할 수 없습니다.그룹만 선택할 수 있으며 OU 멤버에게는 디렉토리 개체에 대한 권한을 일괄적으로 할당할 수 없습니다.

Microsoft 의 Active Directory 에서는, OU 는 액세스 권한을 부여하지 않습니다.또, OU 에 배치되는 오브젝트에는, 포함되는 OU 에 근거해 자동적으로 액세스 권한이 할당되지 않습니다.이것은 Active Directory 고유의 설계상의 제한입니다.Novell NDS 등 다른 경쟁 디렉토리는 OU 내의 객체 배치를 통해 접근 권한을 할당할 수 있습니다.

Active Directory에서는 관리자가 OU 내의 개체를 해당 OU 내의 그룹의 멤버로 할당하기 위한 별도의 절차가 필요합니다.OU 위치에만 의존하여 접근 권한을 결정하는 것은 해당 OU의 그룹 개체에 개체가 할당되지 않았을 수 있기 때문에 신뢰할 수 없습니다.

Active Directory 관리자의 일반적인 회피책은 커스텀 PowerShell 또는 Visual Basic 스크립트를 작성하여 디렉토리의 각 OU에 대한 사용자 그룹을 자동으로 생성하고 유지하는 것입니다.이 스크립트는 정기적으로 실행되어 OU의 계정 멤버십과 일치하도록 그룹을 갱신하지만 디렉토리 자체에 보안이 직접 구현되는 경쟁 디렉토리에서와 같이 디렉토리가 변경될 때마다 Security Group을 즉시 갱신할 수 없습니다.이러한 그룹을 그림자 그룹이라고 합니다.작성한 섀도 그룹은 관리 도구에서 OU 대신 선택할 수 있습니다.

Microsoft 에서는, 서버 2008 레퍼런스 메뉴얼의 섀도 그룹을 참조하고 있습니다만, 작성 방법에 대해서는 설명하고 있지 않습니다.섀도 [28]그룹을 관리하기 위한 기본 제공 서버 방법이나 콘솔 스냅인은 없습니다.

조직의 정보 인프라스트럭처를 1개 이상의 도메인과 최상위 OU로 이루어진 계층으로 분할하는 것이 중요한 결정입니다.일반적인 모델은 사업부별, 지리적 위치별, IT 서비스별, 객체 유형별 및 하이브리드별입니다.OU는 주로 관리 위임을 용이하게 하고 다음으로 그룹 정책 적용을 용이하게 하도록 구성되어야 합니다.OU는 관리 경계를 형성하지만 진정한 보안 경계는 포레스트 자체이며 포레스트 내의 모든 도메인 관리자를 신뢰할 [29]수 있어야 합니다.

파티션

Active Directory 데이터베이스는 파티션으로 구성되며 각각 특정 개체 유형을 보유하며 특정 복제 패턴을 따릅니다.Microsoft 에서는, 이러한 파티션을 「네이밍 콘텍스트」[30]라고 부릅니다.'Schema' 파티션에는 포리스트 내의 객체 클래스 및 속성의 정의가 포함되어 있습니다.'구성' 파티션에는 포리스트의 물리적 구조 및 구성에 대한 정보(예: 사이트 토폴로지)가 포함되어 있습니다.둘 다 포리스트의 모든 도메인에 복제됩니다.'Domain' 파티션은 해당 도메인에서 생성된 모든 개체를 보관하고 해당 도메인 내에서만 복제합니다.

물리적 구조

사이트는 하나 이상의 IP [31]서브넷에 의해 정의된 (논리가 아닌) 물리적 그룹입니다.AD는 접속 정의도 보유하고 있어 저속(WAN, VPN 등) 링크와 고속(LAN 등) 링크를 구별합니다.사이트 정의는 도메인 및 OU 구조와는 독립적이며 포레스트 전체에서 공통적입니다.사이트는 복제에 의해 생성되는 네트워크 트래픽을 제어하고 클라이언트를 가장 가까운 도메인 컨트롤러(DC)에 참조하기 위해 사용됩니다.Microsoft Exchange Server 2007 은 메일 라우팅에 사이트 토폴로지를 사용합니다.정책은 사이트 수준에서도 정의할 수 있습니다.

물리적으로 Active Directory 정보는 하나 이상의 피어 도메인 컨트롤러에 유지되며 NT PDC/BDC 모델을 대체합니다.각 DC에는 Active Directory 의 카피가 있습니다.도메인 컨트롤러가 아닌 Active Directory에 가입한 서버를 구성원 서버라고 [32]합니다.도메인 파티션의 개체 하위 집합은 글로벌 카탈로그로 구성된 도메인 컨트롤러에 복제됩니다.글로벌 카탈로그(GC) 서버는 [33][34]포레스트에 있는 모든 개체의 글로벌 목록을 제공합니다.글로벌 카탈로그 서버는 모든 도메인의 모든 개체를 자체 복제하므로 포리스트에 있는 개체의 전역 목록을 제공합니다.그러나 복제 트래픽을 최소화하고 GC의 데이터베이스를 작게 유지하기 위해 각 개체의 선택된 특성만 복제됩니다.이것을 Partial Attribute Set(PAS; 부분 속성 세트)라고 부릅니다.PAS는 스키마를 변경하여 [35]GC에 복제하기 위한 속성을 마킹함으로써 변경할 수 있습니다.이전 버전의 Windows는 NetB를 사용했습니다.통신하는 IOS.Active Directory 는 DNS 와 완전하게 통합되어 TCP/IP-DNS 가 필요합니다.DNS 서버가 완전하게 기능하려면 , 서비스 레코드라고도 불리는 SRV 자원 레코드를 서포트할 필요가 있습니다.

레플리케이션

Active Directory는 다중 마스터 [36]복제를 사용하여 변경 사항을 동기화합니다.복제는 기본적으로 '푸시'가 아닌 '풀'이며, 이는 복제본이 [37]변경사항이 적용된 서버에서 변경사항을 가져옵니다.KCC(Knowledge Consistency Checker)는 정의된 사이트를 사용하여 트래픽을 관리하는 사이트 링크의 복제 토폴로지를 만듭니다.변경 통지의 결과로 사이트 내 복제가 빈번하고 자동으로 이루어지며, 이로 인해 피어가 풀 복제 사이클을 시작합니다.사이트간 레플리케이션 간격은 일반적으로 빈도가 낮고 기본적으로 변경 통지는 사용하지 않습니다.다만, 설정 가능하고 사이트내 레플리케이션과 동일하게 할 수 있습니다.

각 링크는 '비용'을 가질 수 있으며(예를 들어 DS3, T1, ISDN 등), KCC는 이에 따라 사이트 링크토폴로지를 변경합니다.복제는 비용이 낮은 경우 동일한 프로토콜 사이트 링크 브리지 상의 여러 사이트 링크를 통해 일시적으로 발생할 수 있습니다.단, KCC는 자동으로 사이트 간 직접 링크 비용이 전이적 연결보다 낮습니다.각 사이트의 브리지 헤드서버간에 사이트간의 레플리케이션을 실행하도록 설정할 수 있습니다.이것에 의해, 사이트내의 다른 DC 에 변경이 복제됩니다.Active Directory 영역에 대한 복제는 사이트에 의해 도메인 기반에서 DNS가 활성화되면 자동으로 구성됩니다.

Active Directory 의 레플리케이션에서는, Remote Procedure Calls(RPC; 리모트 프로시저 콜) over IP(RPC/IP)가 사용됩니다.사이트 간에서는 SMTP를 복제에 사용할 수 있지만 스키마, 구성 또는 부분 특성 집합(글로벌 카탈로그) GC의 변경에만 사용할 수 있습니다. SMTP는 기본 도메인 파티션 [38]복제에 사용할 수 없습니다.

실행

일반적으로 Active Directory를 사용하는 네트워크에는 라이센스가 부여된 윈도우즈 서버 시스템이 두 대 이상 있습니다.Active Directory의 백업 및 restore는 단일 도메인 [39]컨트롤러가 있는 네트워크에서 가능하지만 디렉토리의 [40]자동 페일오버 보호를 제공하기 위해 여러 도메인 컨트롤러를 사용하는 것이 좋습니다.도메인 컨트롤러는 디렉토리 조작만을 목적으로 하는 것이 이상적입니다.다른 소프트웨어나 [41]역할을 실행해서는 안 됩니다.

SQL Server[42][43] 및 Exchange와[44] 같은 특정 Microsoft 제품은 도메인 컨트롤러의 작동을 방해할 수 있으므로 추가 윈도우즈 서버에서 이러한 제품을 분리해야 합니다.이들을 조합하면 도메인컨트롤러 또는 설치된 다른 소프트웨어의 설정이나 트러블 슈팅이 어려워질 [45]수 있습니다.사업상 ActiveDirectory를 구현하려고 하고 따라서 Windows서버 라이선스의 수를 구매하도록 적어도 두개의 분리된 도메인 컨트롤러에 공급하고 권고하는 경우 선택적으로, 성능이나 감원 대상에 추가 도메인 컨트롤러, 별도의 파일 서버, 별도의 Exchange서버, 분리된 SQLServer,[46].로.는 다양한 서버 역할을 지원합니다.

많은 개별 서버의 물리 하드웨어 비용은 가상화를 통해 절감할 수 있지만, 적절한 페일오버 보호를 위해 Microsoft는 동일한 [47]물리 하드웨어 상에서 여러 개의 가상화 도메인 컨트롤러를 실행하지 않는 것이 좋습니다.

데이터베이스

Windows 2000 Server의 Active-Directory 데이터베이스(디렉토리 스토어)는 JET Blue 기반의 Extensible Storage Engine(ESE98)을 사용하며 각 도메인 컨트롤러의 데이터베이스에는 16테라바이트 및 20억개의 오브젝트(단, 10억개의 보안 주체)로 제한됩니다.Microsoft는 20억 [48]개 이상의 개체를 가진 NTDS 데이터베이스를 만들었습니다(NT4의 보안 계정 관리자는 40,000개 이하의 개체를 지원할 수 있습니다).NTDS라고 합니다.DIT에는 데이터 테이블과 링크 테이블의 두 가지 주요 테이블이 있습니다.Windows Server 2003 에서는, 시큐러티 디스크 리프터 싱글 [48]인스턴스용의 3번째 메인 테이블이 추가되었습니다.

프로그램은 Active Directory 서비스 인터페이스에서 제공하는 [50]COM 인터페이스를 통해 Active[49] Directory의 기능에 액세스할 수 있습니다.

신뢰할 수 있다

한 도메인의 사용자가 다른 도메인의 리소스에 액세스할 수 있도록 Active Directory는 [51]트러스트를 사용합니다.

포리스트 내의 트러스트는 도메인이 생성될 때 자동으로 생성됩니다.포리스트는 기본 신뢰 경계를 설정하며 포리스트 내의 모든 도메인에 대해 암묵적인 전이적 신뢰는 자동으로 이루어집니다.

용어.

단방향 신뢰
한 도메인은 다른 도메인의 사용자에 대한 액세스를 허용하지만 다른 도메인은 첫 번째 도메인의 사용자에 대한 액세스를 허용하지 않습니다.
쌍방향 신뢰
2개의 도메인으로, 양쪽 도메인의 유저에의 액세스를 허가합니다.
트러스트 도메인
신뢰할 수 있는 도메인. 사용자가 신뢰할 수 있는 도메인에 액세스할 수 있습니다.
과도적 신뢰
2개의 도메인을 넘어 포리스트 내의 다른 신뢰할 수 있는 도메인으로 확장할 수 있는 트러스트.
자동적 신뢰
2개의 도메인을 넘지 않는 단방향 트러스트.
명시적 신뢰
관리자가 작성하는 신뢰.그것은 과도적이지 않고 오직 한 가지 방법일 뿐이다.
크로스링크 신뢰
하위/조상(자녀/부모) 관계가 두 도메인 간에 존재하지 않는 경우 서로 다른 트리 또는 동일한 트리에 있는 도메인 간의 명시적 신뢰입니다.
지름길
서로 다른 트리의 두 도메인(트랜시티브, 단방향 또는 양방향)을 결합합니다.
포레스트 트러스트
전체 포리스트에 적용됩니다.단방향 또는 양방향의 전이성.
왕국
단방향 또는 양방향으로 전이적(비타협적) 또는 비전이적(비타협적)일 수 있습니다.
외부의
다른 포리스트 또는 Active Directory 이외의 도메인에 연결합니다.비과도적, 단방향 또는 양방향.[52]
PAM 트러스트
Microsoft Identity Manager가 (아마도 낮은 수준의) 프로덕션 포레스트에서 시간 제한 그룹 구성원 자격을 발급하는 (Windows Server 2016 기능 수준) 'bastion'[53][54] 포리스트로 사용하는 단방향 신뢰입니다.

관리도구

Microsoft Active Directory 관리 도구에는 다음이 포함됩니다.

  • Active Directory Administrative Center (Windows Server 2012 이후 도입),
  • Active Directory 사용자 및 컴퓨터,
  • Active Directory 도메인 및 트러스트,
  • Active Directory 사이트 및 서비스,
  • ADSI 편집,
  • 로컬 사용자 및 그룹,
  • Microsoft Management Console(MMC)용 Active Directory 스키마 스냅인,
  • SysInternals ADExplorer

이러한 관리 도구는 대규모 환경에서 효율적인 워크플로우를 위한 충분한 기능을 제공하지 못할 수 있습니다.일부 서드파티 툴은 관리 및 관리 기능을 확장합니다.자동화, 보고서, 다른 서비스와의 통합 등 보다 편리한 관리 프로세스를 위한 필수 기능을 제공합니다.

Unix 통합

표준 준거 LDAP 클라이언트를 통해 대부분의 Unix 계열 운영체제(Unix, Linux, Mac OS X, Java 및 Unix 기반 프로그램 포함)에서 Active Directory와의 상호 운용성을 다양한 수준으로 실현할 수 있지만 일반적으로 이러한 시스템은 그룹 정책 및 지원 등 Windows 컴포넌트와 관련된 많은 속성을 해석하지 않습니다.ne-way trusts.

서드파티는 Unix와 같은 플랫폼용으로 다음과 같은 Active Directory 통합을 제공합니다.

  • PowerBroker Identity Services(이전에는 Likewise(Beyond Trust, 이전에는 Likewise 소프트웨어))– Windows 이외의 클라이언트가 Active[55] Directory에 가입할 수 있도록 합니다.
  • ADmitMac(Thursby 소프트웨어 시스템)[55]
  • Samba(GPLv3의 프리 소프트웨어)– 도메인 컨트롤러로서[56][57] 기능 가능

Windows Server 2003 R2 에 부속된 스키마 추가에는, RFC 2307 에 충분히 가까운 어트리뷰트가 포함되어 있어 일반적으로 사용할 수 있습니다.PADL.com에 의해 제공되는 RFC 2307, nss_module 및 pam_module의 참조 실장은 이러한 속성을 직접 지원합니다.그룹 멤버쉽의 디폴트스키마는 RFC 2307bis([58]제안)에 준거하고 있습니다.윈도우즈 서버 2003 R2에는 속성을 생성하고 편집하는 마이크로소프트 관리 콘솔 스냅인이 포함되어 있습니다.

다른 옵션은 Windows 클라이언트가 Active Directory에 대해 인증하는 동안 Windows 클라이언트가 아닌 다른 디렉터리 서비스를 사용하는 것입니다.Windows 이외의 클라이언트에는 389 Directory Server(이전의 Fedora Directory Server, FDS), ViewDS v7.2 XML Enabled Directory 및 Sun Microsystems Sun Java System Directory Server가 포함됩니다.후자의 2개는 모두 Active Directory와의 쌍방향 동기화를 실행할 수 있기 때문에, 「불편한」통합을 실현할 수 있습니다.

또 다른 옵션은 OpenLDAP의 반투명 오버레이와 함께 사용하는 것입니다.이 오버레이는 로컬 데이터베이스에 저장된 추가 속성을 사용하여 원격 LDAP 서버의 엔트리를 확장할 수 있습니다.로컬 데이터베이스를 가리키는 클라이언트에는 리모트아트리뷰트와 로컬아트리뷰트를 모두 포함하는 엔트리가 표시되지만 리모트데이터베이스는 완전히 변경되지 [citation needed]않습니다.

Active Directory 관리(쿼리, 수정 및 모니터링)는 PowerShell, VBScript, JScript/JavaScript, Perl, Python, Ruby [59][60][61][62]등 다양한 스크립트 언어를 통해 수행할 수 있습니다.Active Directory 관리 툴은 무료 또는 무료입니다.Active Directory 관리 태스크를 심플화하고 자동화할 수 있습니다.

2017년 10월부터 Amazon AWS는 Microsoft Active [63]Directory와의 통합을 제공합니다.

「 」를 참조해 주세요.

레퍼런스

  1. ^ a b "Directory System Agent". MSDN Library. Microsoft. Retrieved 23 April 2014.
  2. ^ a b Solomon, David A.; Russinovich, Mark (2005). "Chapter 13". Microsoft Windows Internals: Microsoft Windows Server 2003, Windows XP, and Windows 2000 (4th ed.). Redmond, Washington: Microsoft Press. p. 840. ISBN 0-7356-1917-4.
  3. ^ a b c Hynes, Byron (November 2006). "The Future of Windows: Directory Services in Windows Server "Longhorn"". TechNet Magazine. Microsoft. Archived from the original on 30 April 2020. Retrieved 30 April 2020.
  4. ^ "Active Directory on a Windows Server 2003 Network". Active Directory Collection. Microsoft. 13 March 2003. Archived from the original on 30 April 2020. Retrieved 25 December 2010.
  5. ^ Rackspace Support (27 April 2016). "Install Active Directory Domain Services on Windows Server 2008 R2 Enterprise 64-bit". Rackspace. Rackspace US, Inc. Archived from the original on 30 April 2020. Retrieved 22 September 2016.
  6. ^ "Microsoft Kerberos - Win32 apps". docs.microsoft.com.
  7. ^ "Domain Name System (DNS)". docs.microsoft.com.
  8. ^ Howes, T.; Smith, M. (August 1995). "The LDAP Application Program Interface". The Internet Engineering Task Force (IETF). Archived from the original on 30 April 2020. Retrieved 26 November 2013.
  9. ^ Howard, L. (March 1998). "An Approach for Using LDAP as a Network Information Service". Internet Engineering Task Force (IETF). Archived from the original on 30 April 2020. Retrieved 26 November 2013.
  10. ^ Zeilenga, K. (February 2001). "LDAP Password Modify Extended Operation". The Internet Engineering Task Force (IETF). Archived from the original on 30 April 2020. Retrieved 26 November 2013.
  11. ^ Zeilenga, K.; Choi, J.H. (June 2006). "The Lightweight Directory Access Protocol (LDAP) Content Synchronization Operation". The Internet Engineering Task Force (IETF). Archived from the original on 30 April 2020. Retrieved 26 November 2013.
  12. ^ Daniel Petri (8 January 2009). "Active Directory Client (dsclient) for Win98/NT".
  13. ^ "Dsclient.exe connects Windows 9x/NT PCs to Active Directory". 5 June 2003.
  14. ^ a b Thomas, Guy (29 November 2000). "Windows Server 2008 - New Features". ComputerPerformance.co.uk. Computer Performance Ltd. Archived from the original on 2 September 2019. Retrieved 30 April 2020.
  15. ^ "What's New in Active Directory in Windows Server". Windows Server 2012 R2 and Windows Server 2012 Tech Center. Microsoft.
  16. ^ "Compare Active Directory-based services in Azure". docs.microsoft.com.
  17. ^ "AD LDS". Microsoft. Retrieved 28 April 2009.
  18. ^ "AD LDS versus AD DS". Microsoft. Retrieved 25 February 2013.
  19. ^ Zacker, Craig (2003). "11: Creating and Managing Digital Certificates". In Harding, Kathy; Jean, Trenary; Linda, Zacker (eds.). Planning and Maintaining a Microsoft Windows server 2003 Network Infrastructure. Redmond, WA: Microsoft Press. pp. 11–16. ISBN 0-7356-1893-3.
  20. ^ "Active Directory Certificate Services Overview". Microsoft TechNet. Microsoft. Retrieved 24 November 2015.
  21. ^ "Overview of authentication in Power Apps portals". Microsoft Docs. Microsoft. Retrieved 30 January 2022.
  22. ^ "How to Replace the SSL, Service Communications, Token-Signing, and Token-Decrypting Certificates". TechNet. Microsoft. Retrieved 30 January 2022.
  23. ^ "Step 1: Preinstallation Tasks". TechNet. Microsoft. Retrieved 21 October 2021.
  24. ^ "Test Lab Guide: Deploying an AD RMS Cluster". Microsoft Docs. Microsoft. Retrieved 30 January 2022.
  25. ^ Windows Server 2003: Active Directory Infrastructure. Microsoft Press. 2003. pp. 1–8–1–9.
  26. ^ "Organizational Units". Distributed Systems Resource Kit (TechNet). Microsoft. 2011. An organizational unit in Active Directory is analogous to a directory in the file system
  27. ^ "sAMAccountName is always unique in a Windows domain… or is it?". Joeware. 4 January 2012. Retrieved 18 September 2013. examples of how multiple AD objects can be created with the same sAMAccountName
  28. ^ Microsoft Server 2008 Reference, 상세한 패스워드 정책에 사용되는 섀도 그룹에 대해 설명합니다.https://technet.microsoft.com/en-us/library/cc770394%28WS.10%29.aspx
  29. ^ "Specifying Security and Administrative Boundaries". Microsoft Corporation. 23 January 2005. However, service administrators have abilities that cross domain boundaries. For this reason, the forest is the ultimate security boundary, not the domain.
  30. ^ Andreas Luther. "Active Directory Replication Traffic". Microsoft Corporation. Retrieved 26 May 2010. The Active Directory is made up of one or more naming contexts or partitions.
  31. ^ "Sites overview". Microsoft Corporation. 21 January 2005. A site is a set of well-connected subnets.
  32. ^ "Planning for domain controllers and member servers". Microsoft Corporation. 21 January 2005. [...] member servers, [...] belong to a domain but do not contain a copy of the Active Directory data.
  33. ^ "What Is the Global Catalog?". Microsoft Corporation. 10 December 2009. [...] a domain controller can locate only the objects in its domain. [...] The global catalog provides the ability to locate objects from any domain [...]
  34. ^ "Global Catalog". Microsoft Corporation.
  35. ^ "Attributes Included in the Global Catalog". Microsoft Corporation. 26 August 2010. The isMemberOfPartialAttributeSet attribute of an attributeSchema object is set to TRUE if the attribute is replicated to the global catalog. [...] When deciding whether or not to place an attribute in the global catalog remember that you are trading increased replication and increased disk storage on global catalog servers for, potentially, faster query performance.
  36. ^ "Directory data store". Microsoft Corporation. 21 January 2005. Active Directory uses four distinct directory partition types to store [...] data. Directory partitions contain domain, configuration, schema, and application data.
  37. ^ "What Is the Active Directory Replication Model?". Microsoft Corporation. 28 March 2003. Domain controllers request (pull) changes rather than send (push) changes that might not be needed.
  38. ^ "What Is Active Directory Replication Topology?". Microsoft Corporation. 28 March 2003. SMTP can be used to transport nondomain replication [...]
  39. ^ "Active Directory Backup and Restore". TechNet. Microsoft. Retrieved 5 February 2014.
  40. ^ "AD DS: All domains should have at least two functioning domain controllers for redundancy". TechNet. Microsoft. Retrieved 5 February 2014.
  41. ^ Posey, Brien (23 August 2010). "10 tips for effective Active Directory design". TechRepublic. CBS Interactive. Retrieved 5 February 2014. Whenever possible, your domain controllers should run on dedicated servers (physical or virtual).
  42. ^ "You may encounter problems when installing SQL Server on a domain controller (Revision 3.0)". Support. Microsoft. 7 January 2013. Retrieved 5 February 2014.
  43. ^ Degremont, Michel (30 June 2011). "Can I install SQL Server on a domain controller?". Microsoft SQL Server blog. Retrieved 5 February 2014. For security and performance reasons, we recommend that you do not install a standalone SQL Server on a domain controller.
  44. ^ "Installing Exchange on a domain controller is not recommended". TechNet. Microsoft. 22 March 2013. Retrieved 5 February 2014.
  45. ^ "Security Considerations for a SQL Server Installation". TechNet. Microsoft. Retrieved 5 February 2014. After SQL Server is installed on a computer, you cannot change the computer from a domain controller to a domain member. You must uninstall SQL Server before you change the host computer to a domain member.
  46. ^ "Exchange Server Analyzer". TechNet. Microsoft. Retrieved 5 February 2014. Running SQL Server on the same computer as a production Exchange mailbox server is not recommended.
  47. ^ "Running Domain Controllers in Hyper-V". TechNet. Microsoft. Planning to Virtualize Domain Controllers. Retrieved 5 February 2014. You should attempt to avoid creating potential single points of failure when you plan your virtual domain controller deployment.frank
  48. ^ a b efleis (8 June 2006). "Large AD database? Probably not this large". Blogs.technet.com. Archived from the original on 17 August 2009. Retrieved 20 November 2011.
  49. ^ Berkouwer, Sander. "Active Directory basics". Veeam Software.
  50. ^ Active Directory 서비스 인터페이스, Microsoft
  51. ^ "Domain and Forest Trusts Technical Reference". Microsoft Corporation. 28 March 2003. Trusts enable [...] authentication and [...] sharing resources across domains or forests
  52. ^ "Domain and Forest Trusts Work". Microsoft Corporation. 11 December 2012. Retrieved 29 January 2013. Defines several kinds of trusts. (automatic, shortcut, forest, realm, external)
  53. ^ "Privileged Access Management for Active Directory Domain Services". docs.microsoft.com.
  54. ^ "TechNet Wiki". social.technet.microsoft.com.
  55. ^ a b Edge, Charles S., Jr; Smith, Zack; Hunter, Beau (2009). "Chapter 3: Active Directory". Enterprise Mac Administrator's Guide. New York City: Apress. ISBN 978-1-4302-2443-3.
  56. ^ "Samba 4.0.0 Available for Download". SambaPeople. SAMBA Project. Archived from the original on 15 November 2010. Retrieved 9 August 2016.
  57. ^ "The great DRS success!". SambaPeople. SAMBA Project. 5 October 2009. Archived from the original on 13 October 2009. Retrieved 2 November 2009.
  58. ^ "RFC 2307bis". Archived from the original on 27 September 2011. Retrieved 20 November 2011.
  59. ^ "Active Directory Administration with Windows PowerShell". Microsoft. Retrieved 7 June 2011.
  60. ^ "Using Scripts to Search Active Directory". Microsoft. Retrieved 22 May 2012.
  61. ^ "ITAdminTools Perl Scripts Repository". ITAdminTools.com. Retrieved 22 May 2012.
  62. ^ "Win32::OLE". Perl Open-Source Community. Retrieved 22 May 2012.
  63. ^ "Introducing AWS Directory Service for Microsoft Active Directory (Standard Edition)". Amazon Web Services. 24 October 2017.

외부 링크

Wikdiversity에는 Active Directory에 대한 학습 리소스가 있습니다.