Sieci powstały w dniu, kiedy pierwszy użytkownik zdecydował, że nie ma ochoty przechodzić przez korytarz, aby pobrać pewne dane od innego użytkownika. W końcu sieci są wszystkim, co związane jest z udostępnianiem zdalnym zasobów. Zasoby te to najczęściej pliki, foldery i drukarki. Z czasem lista zasobów wydłużyła się, a najbardziej znaczące z nich to wiadomości e-mail, bazy danych czy aplikacje. W związku z tym musi istnieć pewien mechanizm śledzenia tych zasobów, ich udostępniania oraz co najmniej katalog użytkowników i grup tak, aby zasoby mogły być zabezpieczane przed niepożądanym dostępem.

Sieci systemów Microsoft Windows obsługują dwa modele usług katalogowych: grupy robocze i domeny.

Grupy robocze są prostym zbiorem systemów komputerowych korzystających nawzajem ze swoich zasobów. Współdzielą tę samą nazwę i są umieszczone w tym samym pojemniku modułu Moje miejsca sieciowe. Ich najważniejszą cechą jest brak centralnej administracji. Konta użytkowników są zakładane na każdym z komputerów należących do grupy roboczej i dlatego zarządzanie nimi jest mocno utrudnione. Problemy związane z administracją takim środowiskiem są główną przyczyną ograniczania grup roboczych do sieci liczących maksymalnie 10 stacji.

Domeny charakteryzuje całkowicie odmienne podejście do zarządzania siecią. Ich administracja jest uproszczona przez umieszczenie w jednej bazie informacji o kontach użytkowników, zabezpieczeniach i zasobach sieci. Za jej obsługę i udostępnianie odpowiada usługa Active Directory. Chcąc założyć domenę, należy na jednym z serwerów rodziny Windows Server (2000, 2003 lub 2008 ale nie tylko) zainstalować Active Directory. Od tej pory komputer ten będzie nazywany kontrolerem domeny. Baza zasobów może być replikowana na dodatkowe serwery, dzięki czemu awaria jednego z komputerów nie prowadzi do paraliżu sieci. Jeśli dany serwer staje się kontrolerem domeny, przechowuje kopie lub repliki usługi Active Directory oraz zmienia bazę danych, a zmiany te replikowane są do każdego kontrolera domeny.

Centralne zarządzanie nie jest jedyną zaletą środowiska domenowego. Użytkownicy są uwierzytelniani przez kontrolery domeny, więc nie trzeba tworzyć wielu kont dla tego samego klienta sieci. Korzystanie z wszystkich zasobów wymaga jednego logowania, przy czym nie ma znaczenia liczba komputerów w sieci. Jeśli serwer będzie wystarczająco mocny, może obsłużyć uwierzytelnienie kilkuset stacji. Naturalnie ze względów bezpieczeństwa zaleca się instalację co najmniej dwóch kontrolerów domeny. Ponieważ w przypadku domen nie ma ograniczeń związanych z liczbą przechowywanych kont, znajdują one zastosowanie zarówno w małych biurach, jak i dużych firmach. Firma może mieć jedną domenę, która będzie obejmować rozległy obszar geograficzny, np. centralę i filie rozproszone po całej Polsce.

Tak więc Active Directory to usługa katalogowa identyfikująca wszystkie zasoby w sieci i udostępniająca informacje o nich użytkownikom oraz aplikacjom. Usługi katalogowe są ważne, ponieważ zapewniają zgodność informacji o nazwach, opisach, lokalizacjach, dostępie, zarządzaniu i zabezpieczeniach dotyczących zasobów.

Usługa Active Directory nie może istnieć bez co najmniej jednej domeny i vice versa. Domena jest główną jednostką administracyjną usługi katalogowej Windows Server. W usłudze Active Directory firma może mieć kilka domen. Model wielu domen tworzy strukturę logiczna nazwaną drzewami, gdzie zachowana jest ciągłość nazw DNS. Na przykład nazwy firma.com, polska.firma.com oraz warszawa.polska.firma.com współużytkują ciągłą przestrzeń nazw DNS i dlatego mogą być traktowane jako drzewo.

Elementy Active Directory

Jeśli domeny usługi Active Directory nie współdzielą jednej domeny głównej, to tworzą wiele drzew. Powstaje w ten sposób największa struktura usługi Active Directory: las. Las usługi Active Directory zawiera wszystkie domeny tej usługi. Las może zawierać wiele domen w wielu drzewach lub tylko jedną domenę. Jeśli istnieją co najmniej dwie domeny, znaczenia nabiera element usługi Active Directory nazwany Global Catalog (Katalog globalny), ponieważ udostępnia on informacje o obiektach znajdujących się w innych domenach lasu.

Zasoby przedsiębiorstwa są przedstawiane w usłudze Active Directory jako obiekty. Każdy obiekt ma atrybuty lub właściwości, które go definiują. Przykładowo obiekt użytkownika zawiera np. nazwę logowania użytkownika i hasło, a obiekt grupy zawiera nazwę grupy i listę jej członków (użytkowników). Usługa Active Directory może przechowywać miliony obiektów, takich jak użytkownicy, grupy, komputery, drukarki, współużytkowane foldery, witryny, odsyłacze do witryn, obiekty GPO - Group Policy Object (obiekt zasad grupy). Łatwo można sobie wyobrazić, że bez pewnego rodzaju struktury, dostęp i zarządzanie takim katalogiem byłoby koszmarem. Dlatego wprowadzono jednostkę organizacyjną (w skrócie OU) grupującą inne obiekty w jedną strukturę.

Wewnątrz domeny jednostki OU są kontenerami, które umożliwiają grupowanie obiektów o wspólnej administracji lub konfiguracji. Jednostki OU mają jednak większe możliwości niż organizowanie obiektów usługi Active Directory. Udostępniają ważne funkcje administracyjne - są punktem, z którego funkcje administracyjne mogą być delegowane oraz do którego odnoszone mogą być zasady grupy. W ramach jednej domeny może być wiele jednostek organizacyjnych, które mogą odzwierciedlać np. podział przedsiębiorstwa na działy. Obiekty zawarte w jednostkach organizacyjnych muszą należeć do tej samej domeny co jednostka.

Tak więc zbierając to wszystko razem do kupy usługa Active Directory zapewnianam integrację z usługą DNS czyli usługa Active Directory korzysta z konwencji nazewnictwa DNS przy tworzeniu struktury hierarchicznej zapewniającej znany, uporządkowany i skalowalny widok połączeń sieciowych. Zapewnia również  skalowalność dzięki czemu można przechowywać bardzo dużą liczbę obiektów. W efekcie usługę Active Directory można rozbudowywać wraz ze wzrostem organizacji. Organizacja z pojedynczym serwerem i kilkuset obiektami może się rozwinąć i stać się organizacją z tysiącami serwerów i milionami obiektów. Umożliwia centralne zarządzanie dając administratorom narzędzia do zarządzania komputerami rozproszonymi, usługami sieciowymi oraz aplikacjami z centralnej lokalizacji, przy użyciu zgodnego interfejsu do zarządzania. Usługa Active Directory umożliwia również centralne sterowanie dostępem do zasobów sieciowych, dzięki czemu użytkownicy mogą uzyskać pełny dostęp do zasobów, logując się tylko jeden raz do usługi Active Directory. A także pozwala na delegowanie administracji dzięki czemu użytkownik uwierzytelniony przez wyższy podmiot administracyjny może wykonywać zadania administracyjne w określonej części struktury. Na przykład użytkownicy mogą mieć ograniczone uprawnienia administracyjne do ustawień stacji roboczej, a kierownik wydziału może mieć prawa administracyjne do tworzenia nowych użytkowników w jednostce organizacyjnej.

Instalacja roli kontrolera domeny PDC

Po zainstalowaniu Windows Serwer 2003/2008 komputer nie pełni żadnej roli. Gdy podczas instalacji systemu podaliśmy hasło administratora po włączeniu go musi je podać i następuje logowanie do systemu (lokalne).

Instalacje domeny przeprowadzimy wykorzystując narzędzie Kreator konfigurowania serwera uruchamianego z panelu Zarządzanie tym serwerem. Instalowanie kontrolera domeny przy wykorzystaniu polecenia dcpromo zostało opisane przy instalacji roli kontrolera zapasowego domeny BPC i domeny podrzędnej.

Logowanie do systemu (lokalne)

Aby zainstalować rolę kontrolera domeny, należy uruchomić Zarządzenie tym serwerem, po czym wybrać przycisk Dodaj lub usuń rolę.

Instalacja nowej roli

Klikamy Dalej, następuje wykrywanie ustawień sieciowych.

Kreator konfigurowania serwera

Opcje konfiguracji

Następuje wybór opcji. Przy wybraniu Konfiguracja standardowa dla pierwszego serwera zostaną zainstalowane następujące role: usługa katalogowa Active Directory, serwer DNS oraz serwer DHCP. Przy wyborze Konfiguracja niestandardowa, sami możemy wybrać role, które chcemy zainstalować.

Wybór ról serwera.

Po kliknięciu Dalej zostanie uruchomiony Kreator instalacji usług Active Directory.

Tworzona jest zupełnie nowa domena, w kolejnym kroku kreatora należy podać pełną nazwę domeny. Może to być pełna nazwa domeny w Internecie (test.microsoft.com), albo też domena lokalna (wtedy, do nazwy należy dodać przyrostek local - test.local).

Tworzenie domeny

W kolejnym kroku określana jest nazwa domeny widzianej za pośrednictwem interfejsu NetBIOS. Z tego interfejsu mogą korzystać komputery wyposażone w starsze wersje systemu operacyjnego (np. Windows 98). Nazwa podlega wielu ograniczeniom - na przykład nie może być dłuższa niż 15 znaków, i nie może zawierać niedozwolonych znaków - jak *, spacja itp.

Nazwa NetBios

Serwer DNS jest skonfigurowany do automatycznego przesyłania dalej nierozwiązanych kwerend. Usługa ta polega na przekazywaniu innym serwerom DNS tych zapytań klientów, których serwer nie potrafi zrealizować.

Przesyłanie kwerend dalej

Podsumowanie wybranych opcji

Stosowanie wyborów

Instalacja kontrolera domeny

Instalacja serwera DHCP

Logowanie do nowo utworzonej domeny

Instalacja końcowa po restarcie

Koniec instalacji

Zapasowy kontroler domeny (BDC - Backup Domain Controller) - W systemie Windows Server, który otrzymuje kopię bazy danych katalogu domeny (zawierającej wszystkie informacje o kontach i zasadach zabezpieczeń danej domeny). Kopia jest automatycznie okresowo synchronizowana z kopią główną znajdującą się na podstawowym kontrolerze domeny (PDC). Zapasowe kontrolery domeny uwierzytelniają również informacje dotyczące logowania użytkowników i mogą być wyznaczane do pełnienia funkcji podstawowych kontrolerów domeny, jeżeli jest to konieczne. W domenie może istnieć wiele kontrolerów BDC.

Jeżeli ma to być kontroler zapasowy, to po uruchomieniu kreatora nowej domeny należy podać nazwę istniejącej domeny, oraz hasło administratora o uprawnieniach wystarczających do zainstalowania kopii domeny. Następnie należy podać pełną nazwę bazowej domeny. Należy pamiętać, że instalacja kontrolera zapasowego powoduje skasowanie wszystkich informacji o istniejących kontach czy kluczach kryptograficznych.

Kreator instalacji usługi Active Directory

Kreator instalacji usługi Active Directory - Zgodność system operacyjnego

Po kliknięciu Dalej na następnym ekranie zaznaczamy Dodatkowy kontroler domeny dla istniejącej domeny ponieważ instalowany serwer jest dodatkowym kontrolerem domeny w domenie.

Kreator instalacji usługi Active Directory - Typ kontrolera domeny

Na następnych ekranach pojawią się monity o poświadczenia. Wpisz nazwę użytkownika, hasło i nazwę domeny konta, które ma być używane do tej operacji. Konto musi mieć pełne uprawnienia administracyjne.

Kreator instalacji usługi Active Directory - Poświadczenie sieciowe

Na ekranie Dodatkowy kontroler domeny wpisz pełną nazwę DNS istniejącej domeny.

Kreator instalacji usługi Active Directory - Dodatkowy kontroler domeny

Następnie określane są ścieżki do baz danych Active Directory. Aby zapewnić maksymalną wydajność, folder dziennika powinien znajdować się na oddzielnym dysku niż baza danych. Warto też przeznaczyć na bazę danych i dziennik szybkie dyski twarde.

Kreator instalacji usługi Active Directory - Folder bazy danych i dziennika

Wolumin systemowy musi znajdować się na dysku NTFS. SYSVOL jest replikowany do wszystkich kontrolerów w obrębie danej domeny. Pliki bazy danych (główny folder i dziennik) nie muszą być zapisane na NTFS, ale jest to zalecane z uwagi na większą niezawodność tego systemu plików w porównaniu z FAT.

Kreator instalacji usługi Active Directory - Udostępniony wolumin systemowy

W kolejnym kroku można skonfigurować specjalne hasło dla użytkownika, który jest wykorzystywany, gdy serwer uruchomiony jest w trybie przywracania usługi katalogowych po awarii.

Kreator instalacji usługi Active Directory - Hasło administrator trybu przywracania usług katalogowych

Na koniec pokazane są ustawienia określone podczas pracy z kreatorem. Po kliknięciu Dalej rozpocznie się proces instalacji kontrolera domeny. Może to być proces długotrwały - ponieważ tu tworzony jest kontroler zapasowy, liczba danych zależy od rozmiaru źródłowej domeny.

Kreator instalacji usługi Active Directory - Podsumowanie

Kreator instalacji usługi Active Directory - Instalacja

Kreator instalacji usługi Active Directory - Zakończenie

Warto dodać, że Windows 2003 Server może pełnić rolę zapasowego kontrolera domeny zarówno dla domen Windows 2003 jak i Windows 2000.

Instalacja domeny podrzędnej

Instalacja ta nie różni się bardzo od instalacji kontrolera BDC i została pokazana w zrzutach ekranu,  dodatkowe opisy są tylko przy oknach i opcjach które pojawiły się po raz pierwszy.

Kreator instalacji usługi Active Directory

Kreator instalacji usługi Active Directory - Zgodność system operacyjnego

Kreator instalacji usługi Active Directory - Typ kontrolera domeny

Na stronie Typ kontrolera domeny kliknij opcję Domena podrzędna w istniejącym drzewie domen.

Kreator instalacji usługi Active Directory -Utwórz nową domenę

Na stronie Poświadczenia sieciowe wpisz nazwę użytkownika, hasło i domenę konta użytkownika, których chcesz używać. Konto użytkownika musi być członkiem grupy Administratorzy domeny (w domenie nadrzędnej) lub członkiem grupy Administratorzy przedsiębiorstwa, albo uzyskać odpowiednie uprawnienia drogą delegowania.

Kreator instalacji usługi Active Directory - Poświadczenie sieciowe

Na stronie Instalacja domeny podrzędnej sprawdź domenę nadrzędną, a następnie nazwę nowej domeny podrzędnej. Nazwy domen usługi Active Directory są zgodne z nazwami DNS i tworzą tę samą strukturę hierarchiczną, co usługa DNS. Wybierając nazwy DNS dla domeny podrzędnej, należy rozważyć możliwość wyboru nazw zgodnych z podziałem geograficznym lub nazwami działów organizacji.

Zgodnie ze standardami usługi DNS nazwy domen są w pełni kwalifikowanymi nazwami domen (FQDN), które składają się z nazwy domeny dołączonej do nazw domen nadrzędnych i domen katalogu głównego, zapisanych w formacie z kropkami (.). Na przykład domena usługi Active Directory o nazwie "podrzedna" i domena nadrzędna o nazwie "firma.local" mają nazwę FQDN (zwaną także pełną nazwą DNS) domeny "podrzedna.firma.local".

Po zakończeniu kliknij przycisk Dalej.

Kreator instalacji usługi Active Directory - Domena podrzędna

Na stronie Nazwa NetBIOS domeny sprawdź nazwę NetBIOS. Chociaż nazwy domen usługi Active Directory są zgodne ze standardami nazewnictwa usługi DNS, przy tworzeniu domen usługi Active Directory trzeba również określić nazwę NetBIOS. Jeżeli tylko jest to możliwe, nazwa NetBIOS powinna być taka sama, jak pierwsza etykieta nazwy DNS domeny. Jeżeli domena usługi Active Directory ma nazwę taką samą, jak pierwsza etykieta nazwy DNS, która różni się od jej nazwy NetBIOS, nazwa FQDN jest konstruowana przy użyciu nazwy DNS domeny, a nie nazwy NetBIOS. Na przykład jeżeli pierwszą etykietą w pełnej nazwie DNS domeny jest "podrzedna" (podrzedna.firma.local jest nazwą FQDN), a nazwą NetBIOS domeny jest "marketing", nazwą FQDN pozostaje "podrzedna.firma.local".

Kreator instalacji usługi Active Directory - Nazwa NetBIOS domeny podrzędnej

Kreator instalacji usługi Active Directory - Folder bazy danych i dziennika

Kreator instalacji usługi Active Directory - Udostępniony wolumin systemowy

Na stronie Diagnostyka rejestracji w usłudze DNS sprawdź, czy ustawienia DNS są poprawne.

Kreator instalacji usługi Active Directory - Diagnostyka w rejestracji w usłudze DNS

Na stronie Uprawnienia kliknij żądany poziom zgodności aplikacji z systemami operacyjnymi starszymi niż Windows 2000 i systemami Windows 2000 lub Windows Server 2003.

Kreator instalacji usługi Active Directory - Uprawnienia

Kreator instalacji usługi Active Directory - Hasło administrator trybu przywracania usług katalogowych

Kreator instalacji usługi Active Directory - Podsumowanie

Kreator instalacji usługi Active Directory - Instalacja

Kreator instalacji usługi Active Directory - Zakończenie

Kreator instalacji usługi Active Directory - Restart

Usuwanie usługi Active Directory z kontrolera domeny

UWAGA: Gdy obniża się poziom kontrolera, jeśli nie jest on ostatnim kontrolerem w domenie, dokonuje się końcowej replikacji, a następnie przenosi role na inny kontroler domeny. Jako część procesu obniżania poziomu program narzędziowy dcpromo usuwa dane konfiguracyjne kontrolera domeny z usługi Active Directory. Dane te mają postać obiektu NTDS Settings, który istnieje jako obiekt podrzędny obiektu serwera w oknie Lokacje Active Directory i Menedżer usług. Po obniżeniu poziomu kontrolera domeny nie są dla niego dostępne informacje Active Directory i używa on bazy danych SAM (Security Accounts Manager) w celu uzyskania lokalnych informacji z bazy danych. Jeśli kontroler domeny jest katalogiem globalnym, rola ta jest przekazywana do innego kontrolera domeny. W tym przypadku należy ręcznie zaznaczyć pole wyboru w usłudze Lokacje Active Directory i Menedżer usług innego kontrolera domeny, aby przejął on tę rolę.

Jeśli proces obniżania poziomu nie udaje się z jakiegoś powodu, należy ręcznie usunąć te metadane z katalogu. Do ręcznego usunięcia obiektu NTDS Settings służy program narzędziowy Ntdsutil.exe.

Kliknij przycisk Start, kliknij polecenie Uruchom, wpisz tekst dcpromo, a następnie kliknij przycisk OK.

Uruchamianie - dcpromo

Spowoduje to uruchomienie Kreatora instalacji usługi Active Directory. Kliknij przycisk Dalej.

Kreator instalacji usługi Active Directory

Na ekranie Usuń usługę Active Directory znajduje się pole wyboru. Jeśli kontroler jest ostatnim kontrolerem domeny, zaznacz to pole wyboru. W przeciwnym przypadku kliknij przycisk Dalej.

Usuwanie usługi Active Directory

Na następnym ekranie ustaw hasło konta administratora na serwerze po usunięciu usługi Active Directory. Wpisz odpowiednie hasło w polach Hasło i Potwierdź hasło, a następnie kliknij przycisk Dalej.

Potwierdzenie usunięcia

Na ekranie Podsumowanie obejrzyj i potwierdź wybrane opcje, a następnie kliknij przycisk Dalej.

Podsumowanie

Kreator rozpocznie proces usuwania usługi Active Directory z serwera. Po zakończeniu procesu pojawi się komunikat wskazujący, że usługa Active Directory została usunięta z komputera.

Usuwanie zapasowego kontrolera domeny

Usuwanie zapasowego kontrolera domeny

Potwierdzenie usunięcia kontrolera domeny

Kliknij przycisk Zakończ, aby zamknąć kreatora. Ponownie uruchom komputer.

Restart

UWAGA: Serwery DNS oparte na systemie Windows 2000 powinny wskazywać na siebie w sekcji DNS właściwości TCP/IP. Jeśli ten serwer musi rozpoznawać nazwy pochodzące od usługodawcy internetowego (ISP), należy skonfigurować usługę przesyłania dalej.

Instalacja usługi Active Directory z wykorzystaniem polecenia dcpromo

Instalacja usługi Active Directory z wykorzystaniem kreatora

DODATKI