شناخت شبکه
بررسی کاربران، دستگاهها، شعب و وابستگی نرمافزارها.
اکتیو دایرکتوری چیست؟
Active Directory Domain Services یا AD DS، سرویس دایرکتوری مایکروسافت برای شبکه‌های سازمانی است. اطلاعات حساب‌ها و دستگاهها را نگه می‌دارد و به احراز هویت و کنترل دسترسی کمک می‌کند. برای مثال، کارمند با حساب سازمانی خود وارد رایانه میشود و بر اساس مجوز تعیین‌شده به منابع شبکه دسترسی می‌گیرد.
در این راهنما منظور از «راهاندازی اکتیو دایرکتوری»، اجرای AD DS در بستر Windows Server است. هدف، داشتن مدیریت قابل پیگیری است: ورود کارمند جدید، تغییر مسئولیت یا قطع همکاری باید روند مشخصی برای ایجاد، اصلاح و غیرفعال‌کردن دسترسی‌ها داشته باشد.
طراحی دامین
تعیین نام، کنترلرها، گروه‌ها و ساختار مدیریتی.
اجرای آزمایشی
راهاندازی سرویس و ارزیابی سیاستها روی گروه محدود.
تحویل و نگهداری
مهاجرت مرحلهای، مستندسازی، بکاپ و پایش سلامت.
راهاندازی Active Directory چه مشکلی را حل می‌کند؟
در شبکه‌ای که هر رایانه حساب‌های جداگانه دارد، تغییر یک دسترسی ممکن است به مراجعه به چند دستگاه نیاز داشته باشد. وقتی تعداد کارکنان و منابع مشترک بیشتر میشود، این روش احتمال فراموش‌شدن یک حساب یا باقی‌ماندن دسترسی نامناسب را بالا می‌برد. مدیریت متمرکز، اجرای روندهای مشترک و بازبینی دسترسی‌ها را ساده‌تر می‌کند.
- شروع همکاری: ایجاد حساب و عضویت در گروه‌های مناسب شغل، بر اساس درخواست تأییدشده.
- تغییر واحد: بازبینی مجوزها هنگام جابه‌جایی فرد؛ دسترسی قبلی نباید بدون دلیل باقی بماند.
- خروج از سازمان: غیرفعال‌کردن حساب و بررسی دسترسی‌های وابسته در زمان مشخص.
- مدیریت رایانه‌ها: اجرای تنظیمات مشترک از طریق Group Policy و کاهش تغییرات دستی پراکنده.
برای نمونه، دسترسی پوشهٔ مالی باید به یک گروه مشخص داده شود و افراد مجاز عضو آن شوند. حساب سازمانی مشترک بین چند کارمند، پیگیری مسئولیت هر فرد را دشوار می‌کند.
دامین، Domain Controller، OU و Group Policy چه تفاوتی دارند؟
دامین بخشی از ساختار دایرکتوری است که حساب‌ها و دستگاهها در آن مدیریت می‌شوند. Domain Controller سروری است که سرویس دامین را اجرا می‌کند. OU برای سازمان‌دهی اشیا و واگذاری مدیریت کاربرد دارد؛ گروه‌ها برای مدیریت عضویت و مجوزها استفاده می‌شوند. Group Policy هم روشی برای اعمال تنظیمات روی کاربران و دستگاه‌هاست.
ساختار OU بهتر است با نیاز مدیریت و سیاستها هماهنگ باشد، نه صرفاً نسخه‌ای از نمودار سازمانی. نام‌گذاری حساب‌ها و گروه‌ها نیز باید برای تیم بعدی قابل فهم باشد. این تصمیم‌ها در زمان توسعه یا عیب‌یابی، ارزش خود را نشان می‌دهند.
پیش‌نیازهای اجرای اکتیو دایرکتوری سازمانی
پیش از نصب، موجودی دستگاهها و نسخه‌های سیستم‌عامل، وضعیت سرورها، ظرفیت ذخیره‌سازی، مجوزهای لازم و نیاز دسترسی بین شعب بررسی میشود. همهٔ نسخه‌های سیستم‌عامل کاربران قابلیت عضویت در دامین را ندارند؛ بنابراین سازگاری باید قبل از زمانبندی مهاجرت مشخص شود. برای دامین جدید هم نام داخلی و ارتباط آن با دامنهٔ ثبت‌شدهٔ سازمان از ابتدا طراحی میشود.
- سرور فیزیکی یا بستر مجازی پایدار با منابع متناسب و آدرس شبکهٔ مشخص
- طراحی DNS داخلی، نام‌گذاری و مسیر ارتباط دستگاهها با کنترلرها
- هماهنگی زمان سیستم‌ها و بررسی ارتباطات لازم در شبکه و فایروال
- فهرست کاربران، واحدها، منابع مشترک و مسئول تأیید هر دسترسی
- برنامهٔ پشتیبان‌گیری، بازیابی و رسیدگی به خرابی‌ها
چرا DNS برای Active Directory حیاتی است؟
AD DS از DNS برای پیدا کردن Domain Controller و ارتباط کنترلرها با یکدیگر استفاده می‌کند. بنابراین دسترسی به اینترنت یا بازشدن یک سایت، به‌تنهایی نشان‌دهندهٔ سلامت DNS دامین نیست. دستگاه‌های عضو باید از DNS مناسب برای کشف سرویس‌های داخلی استفاده کنند؛ سرویس DNS داخلی نیز میتواند درخواست‌های بیرونی را طبق طراحی شبکه هدایت کند.
تنظیم DNS عمومی روی یک کلاینت عضو، بدون امکان حل نام‌ها و رکوردهای دامین، ممکن است باعث مشکل در عضویت یا ورود کاربر شود. تست DNS بخشی از تحویل پروژه است، نه کاری که بعد از بروز خطا شروع شود.
مراحل راهاندازی Active Directory در شبکه شرکت
- نیازسنجی: مشخص‌کردن هدف پروژه، نرمافزارهای وابسته، وضعیت شبکه و محدودیت زمان توقف.
- طراحی: انتخاب ساختار دامین، کنترلرها، OU، گروه‌ها و مسئولیت‌های مدیریتی با توجه به رشد سازمان.
- نصب و پیکربندی: آماده‌سازی Windows Server، نصب AD DS، ایجاد یا توسعهٔ دامین و تنظیم DNS و ارتباطات لازم.
- تعریف حساب‌ها و سیاستها: ایجاد کاربران و گروه‌ها و اجرای تدریجی GPO متناسب با نیاز سازمان.
- آزمایش: عضویت چند رایانهٔ منتخب، بررسی ورود، دسترسی منابع، سیاستها و نرمافزارهای حیاتی.
- مهاجرت و تحویل: انتقال مرحلهای کاربران، رفع مشکلات، ثبت تنظیمات و توافق بر برنامهٔ نگهداری.
دستورات نصب یک بخش از اجرا هستند. کیفیت پروژه به تصمیم‌های طراحی و آزمون وابسته است: اگر سیاست جدید یک نرم‌افزار ضروری را مختل کند، باید در مرحلهٔ آزمایشی شناسایی و اصلاح شود.
Group Policy را چطور بدون ایجاد اختلال اجرا کنیم؟
سیاستها باید هدف مشخص و محدودهٔ اعمال روشن داشته باشند. برای مثال، تنظیم قفل‌شدن رایانه یا پیکربندی یک گزینهٔ امنیتی ابتدا روی گروهی محدود آزمایش میشود. مستندات باید نشان دهند هر سیاست برای چه نیازی ساخته شده، روی کدام کاربران یا دستگاهها اثر دارد و چه کسی تغییر آن را تأیید می‌کند.
اعمال هم‌زمان تعداد زیادی سیاست، پیدا کردن علت خطا را سخت می‌کند. بهتر است تغییرات مرحلهای باشند و نتیجه روی یک دستگاه و حساب معمولی بررسی شود؛ موفقیت ورود مدیر شبکه، به‌تنهایی برای تأیید تجربهٔ کاربران کافی نیست.
امنیت اکتیو دایرکتوری بعد از نصب
کنترلر دامین بخشی حساس از زیرساخت هویت است. حساب مدیریتی باید از حساب کار روزانه جدا باشد، مجوزهای ویژه محدود و قابل بازبینی باشند و مدیریت از دستگاه‌های قابل اعتماد انجام شود. نصب سرویس‌های نامرتبط روی کنترلر و استفادهٔ روزمره از آن، سطح حمله را افزایش می‌دهد.
به‌روزرسانی، محدودکردن دسترسی مدیریتی، بررسی رخدادها و محافظت از میزبان مجازی نیز در نگهداری اهمیت دارند. احراز هویت چندعاملی برای مسیرهای سازگار مانند دسترسی راه دور یا ابزار مدیریت، باید با طراحی متناسب اجرا شود؛ صرف نصب AD DS به معنی فعال‌شدن MFA برای همهٔ ورودها نیست.
کنترلر دوم و بکاپ؛ دو نیاز متفاوت
وجود کنترلر دوم روی یک میزبان مستقل میتواند وابستگی به یک سرور را کمتر کند. دو ماشین مجازی روی یک میزبان فیزیکی همچنان در خرابی همان میزبان با هم از دسترس خارج می‌شوند. ارتباط بین کنترلرها، همگام‌سازی و سلامت DNS هم باید پایش شود.
Replication نسخهٔ پشتیبان تاریخی نیست؛ حذف یا تغییر اشتباه نیز میتواند همگام شود. بکاپ سازگار با AD، شامل System State طبق روش پشتیبانی‌شده، باید نگهداری شود و بازیابی آن در محیط مناسب آزمایش شود. Snapshot به‌تنهایی برنامهٔ بازیابی اکتیو دایرکتوری محسوب نمی‌شود.
مهاجرت از شبکه فعلی به دامین
قبل از مهاجرت، فایلها و پروفایل کاربران، مجوز پوشه‌ها، چاپگرها و تنظیمات نرمافزارها بررسی می‌شوند. ورود با حساب دامین ممکن است پروفایل تازه‌ای ایجاد کند؛ داده‌ها و تنظیمات مهم باید از قبل شناسایی و برای انتقال آن‌ها برنامهریزی شود. شبکه‌ای که از قبل دامین دارد هم به ارزیابی سلامت و وابستگی‌ها نیاز دارد.
شروع با یک گروه آزمایشی، اطلاع‌رسانی به کاربران و داشتن مسیر بازگشت، ریسک اختلال را کمتر می‌کند. زمانبندی هر مرحله باید بر اساس ساعات کاری و حساسیت واحدها باشد؛ توقف صفر بدون بررسی شرایط، وعدهٔ قابل اتکایی نیست.
هزینه راهاندازی اکتیو دایرکتوری به چه عواملی بستگی دارد؟
قیمت فقط هزینهٔ نصب یک سرویس نیست. تعداد کاربران و شعب، وضعیت سرورها، مجوزهای Windows Server و دسترسی کاربران، پیچیدگی GPO، انتقال پروفایل‌ها، تنظیم دسترسی منابع و برنامهٔ پشتیبانی در برآورد اثر دارند. پروژهٔ یک دفتر با شبکهٔ تازه، با اصلاح دامین قدیمی چندشعبه‌ای یکسان نیست.
برای دریافت برآورد، تعداد کاربران و رایانه‌ها، سیستم‌عامل‌ها، نرمافزارهای مهم، وجود دامین قبلی و مشکلات فعلی را آماده کنید. پس از بررسی، محدودهٔ اجرا و اقلام تحویل باید روشن باشد تا هزینهٔ توسعه و نگهداری هم قابل برنامهریزی شود.
در تحویل پروژه چه چیزهایی باید بررسی شود؟
- ورود حساب معمولی از رایانهٔ عضو و عملکرد نرمافزارهای ضروری
- دسترسی صحیح به منابع و جلوگیری از دسترسی حساب فاقد مجوز
- اعمال سیاستها در محدودهٔ مورد انتظار و سلامت DNS و همگام‌سازی
- ثبت ساختار OU و گروه‌ها، نام‌گذاری، سیاستها و مسئولیت مدیریت
- موفقیت بکاپ و برنامهٔ قابل آزمون برای بازیابی
خدمات راهاندازی Active Directory در ویوان نت
برای شروع، درخواست خود را در بخش پشتیبانی ویوان نت ثبت کنید و شرحی از وضعیت شبکه بنویسید. نیازسنجی مشخص می‌کند راهاندازی دامین جدید، اصلاح ساختار موجود یا راهکار دیگری برای سازمان شما مناسب است. طراحی حساب‌ها و دسترسی‌ها باید با سرویس‌های تحت شبکه و برنامهٔ پشتیبان‌گیری و بازیابی هماهنگ باشد.
سناریوی آموزشی: حساب‌های پراکنده در یک شرکت
فرض کنید همکاران روی چند رایانه حساب‌های جدا دارند و با ورود یا خروج هر نفر، تغییرها دستی انجام میشود. پیش از راهاندازی اکتیو دایرکتوری باید فهرست دستگاهها، نرمافزارها و حساب‌های وابسته مشخص شود؛ همهٔ ابزارها الزاماً به دامنه متصل نمی‌شوند.
برای اجرای آزمایشی، یک دستگاه و حساب غیرحساس را در محدودهٔ مجاز انتخاب کنید. ورود، دسترسی به سرویس‌های لازم و اعمال سیاست‌های توافق‌شده را بررسی کنید. نتیجهٔ مطلوبِ آزمون باید از قبل تعریف شده باشد؛ مثلاً حساب آزمایشی به منبع مجاز دسترسی داشته باشد، نه اینکه صرفاً عضویت دامنه موفق شود.
بعد از تغییر نقش یا پایان همکاری، سرویس‌های مستقل هم نیازمند بررسی‌اند. این مثال، پروژهٔ واقعی ویوان نت نیست؛ برای روشن‌شدن تصمیم و معیار تحویل نوشته شده است.
این راهنما از مجموعهٔ سرویس‌های شبکه سازمانی ویوان نت است. برای شناخت مجموعه، معرفی ویوان نت و برای بررسی نیاز پروژه، ثبت درخواست مشاوره را ببینید.
پرسش‌های متداول درباره اکتیو دایرکتوری
آیا هر شرکت کوچکی به اکتیو دایرکتوری نیاز دارد؟
خیر؛ تصمیم به تعداد دستگاهها، نیاز به مدیریت متمرکز و نرمافزارهای سازمانی بستگی دارد. برای یک مجموعه کوچک با ابزارهای کاملاً ابری، راهکار مدیریت هویت دیگری هم ممکن است مناسب باشد.
برای راهاندازی Active Directory چند سرور لازم است؟
یک دامین میتواند با یک Domain Controller شروع شود، اما برای کاهش وابستگی به یک سرور، معمولاً دو کنترلر روی میزبانهای مستقل پیشنهاد میشود. تعداد نهایی با نیاز پایداری و ساختار شعب تعیین میشود.
آیا بدون اینترنت هم اکتیو دایرکتوری کار می‌کند؟
برای خدمات داخلی AD DS، دسترسی شبکه به Domain Controller و DNS داخلی اهمیت دارد و اینترنت الزام همیشگی نیست. نرمافزارهای ابری و دسترسی از بیرون سازمان به ارتباطات جداگانه نیاز دارند.
میتوان شبکه فعلی را مرحلهای به دامین منتقل کرد؟
بله؛ پس از بررسی سازگاری دستگاهها و نرمافزارها، مهاجرت با یک گروه آزمایشی شروع میشود. پروفایل کاربران، دسترسی فایلها و زمانبندی هر مرحله باید از قبل برنامهریزی شود.
آیا کنترلر دوم جای بکاپ را می‌گیرد؟
خیر. تغییرات اشتباه ممکن است بین کنترلرها همگام شوند. نسخه پشتیبان سازگار با Active Directory و برنامه تست بازیابی همچنان ضروری است.
هزینه اجرای اکتیو دایرکتوری چگونه برآورد میشود؟
تعداد کاربران و شعب، وضعیت سرورها، مجوزها، پیچیدگی سیاستها و نیاز به مهاجرت و پشتیبانی بر هزینه اثر دارند. برآورد دقیق بعد از نیازسنجی انجام میشود.
منابع فنی و مطالعهٔ بیشتر
برای بررسی مبانی دایرکتوری، وابستگی DNS، امنیت کنترلرها و بازیابی، به مستندات رسمی مایکروسافت مراجعه کنید: