Bài giảng Quản trị mạng - Chương 2: Active directory

CHƯƠNG 2:

ACTIVE DIRECTORY

Trình bày: Bùi Minh Quân

Email: bmquan@cit.ctu.edu.vn

1

Nội dung

 Active Directory (AD) là gì

 Kiến trúc Active Directory

 Cài đặt Active Directory Domain Services (AD-DS)

2

Thư mục động (Active Directory )

 Active Directory là thành phần quan trọng của hệ điều hành

máy chủ:

 Active Directory (AD): là nơi lưu trữ thông tin tài nguyên

mạng: User data, printers, servers, databases, groups,

computers, and security policies… được tổ chức theo miền,

cây, rừng.

 Thông tin được sử dụng để truy xuất và quản lý tài nguyên

trên mạng

 Cung cấp một cách đặt tên nhất quán giúp mô tả, định vị,

truy xuất và bảo mật tài nguyên mạng

3

Active Directory

2012

4

Thuận lợi của Active Directory

 Ưu điểm Active Directory:

 Đơn giản hóa quản lý bảo mật (Domain, OU)

 Lưu trữ dự phòng thông tin bảo mật

 Chính sách nhóm

 Khả năng mở rộng

 Ủy quyền quản trị

5

Active Directory Server Roles là gì?

Server Role

Mô tả

Active Directory Domain

Services (AD DS)

Một thư mục tập trung quản lý và chứng thực cho người sử dụng và

máy tính trong mạng Windows Server

Active Directory

Lightweight Directory

Services (AD LDS)

Một dịch vụ thư mục LDAP (Lightweight Directory Access Protocol)

cung cấp một cơ chế nhằm hỗ trợ các ứng dụng directory-enabled (sử

dụng thư mục để lưu trữ dữ liệu), mà không có yêu cầu triển khai

miền, bộ điều khiển miền.

Active Directory Certificate Một giải pháp được sử dụng để bảo vệ thông tin được lưu trữ trong

Services (AD CS)

các văn bản, tin nhắn, e-mail và các trang Web không được phép xem,

sửa đổi, hoặc sử dụng

Active Directory Rights

Là dịch vụ được dùng để kết hợp với các ứng dụng hỗ trợ AD RMS

Management Services (AD (AD RMS – enable application), nhằm bảo vệ dữ liệu quan trọng trước

RMS)

những đối tượng người dùng không được phép (unauthorized users).

Active Directory Federation

Services (AD FS)

Là một dịch vụ cung cấp cơ chế đăng nhập - single sign- on (SSO),

cho phép bạn đăng nhập chỉ một lần nhưng có thể dùng nhiều ứng

dụng Web có quan hệ với nhau.

6

Active Directory

 Active Directory Domain Services (AD DS) là một dịch vụ

trên WServer, sử dụng thông tin lưu trữ trong Active

Directory để quản lý các đối tượng users, group, computer.

 Cung cấp thông tin về tài nguyên dựa vào thuộc tính của tài

nguyên.

 Tự phân tán đến các máy tính trên mạng.

 Tự nhân bản: giúp ADDS tự bảo vệ, dễ truy xuất.

 Có khả năng phân tán -> tăng khả năng lưu trữ

 Gồm nhiều phần: miền, cấu hình, lược đồ

7

AD DS Integration with Other Active Directory

Server Roles

 AD DS là nền tảng cho một mạng chức năng

 Hầu hết các vai trò máy chủ phụ thuộc vào

AD DS để cung cấp cho người sử dụng và

nguồn tài nguyên thông tin cho các vai trò

máy chủ khác

 AD DS cũng cung cấp dịch vụ xác thực và

ủy quyền

8

Kiến trúc Active Directory

 Kiến trúc

 Đối tượng AD (Active Directory Objects)

 Lược đồ AD (Active Directory Schema)

 Các thành phần AD (Active Directory Components – cấu

trúc luận lý và cấu trúc vật lý)

9

Kiến trúc Active Directory

 Active Directory như một Datastore có 2 thành phần

 NTDS.DIT có 5 thành phần

Domain NC: chứa các đối tượng như user, computer, OU….

Schema: là nơi lưu trữ các định nghĩa về từng thuộc tính trên

mỗi đối tượng

Configuration: chứa toàn bộ các cấu hình của Active Directory

DNS: lưu thông tin cấu hình DNS

Global Catalog (PAS): đảm nhiểm chức năng chứng thực

(authentication) cho hệ thống Active Directory. Máy chủ quản

trị miền nào (Domain controller) lưu trữ Global Catalog thì

được gọi là Global Catalog Server.

10

Kiến trúc Active Directory

 Active Directory như một Datastore có 2 thành phần

 SYSVOL: là một thư mục chứa các chính sách dành cho các

đối tượng người dùng hoặc máy tính và các đoạn script quan

trọng khác.

11

Đối tượng AD

 Thông tin users, máy in, server, database, groups,

computers và security policies

 Mỗi object có những thuộc tính riêng đặc trưng cho object

đó (ví dụ như object user có các thuộc tính liên quan như

First Name, Last Name, Logon Name, … )

 Một số object đặc biệt bao gồm nhiều object khác bên trong

được gọi là các “container”, (ví dụ như domain là một

container bao gồm nhiều user và computer account).

12

Đối tượng AD

13

Các quy ước đặt tên trong AD

 Mỗi đối tượng trong Active Directory được nhận biết thông

qua một tên

 Active Directory hỗ trợ các quy ước đặt tên bao gồm:

 Distinguished Name (DN)

 Globally Unique Identifier (GUID)

 Relative Distinguished Name (RDN)

 User Principal Name (UPN)

14

Các quy ước đặt tên trong AD-DN

 Distinguished Name (DN)

 Mỗi đối tượng trong Active Directory sẽ có một tên duy nhất dựa

trên giao thức LDAP (Lightweight Directory Access Protocol)

 DN chứa đầy đủ thông tin về đối tượng bao gồm:

Tên của miền nơi lưu trữ đối tượng

Đường dẫn đầy đủ tới đối tượng

 Thí dụ sau đây chỉ ra DN của người dùng David Beckham trong

Cty abc (abc.com) và thuộc phòng Development (OU=Dev):

/DC=com/DC=abc/OU=dev/CN=Users/CN=David Beckham

DC: Domain Component Name

OU: Organizational Unit Name

CN: Common Name

15

Các quy ước đặt tên trong AD-GUID

 Globally Unique Indentifier (GUID)

 Các GUID là các số 128 bit duy nhất được gán cho đối tượng

tại thời điểm nó được tạo.

 GUID không bao giờ thay đổi ngay cả khi đối tượng được

đổi tên (DN) hay di chuyển.

 Tương tự như một SID (Security Identifiers) trong Windows

NT nhưng:

SID được tạo bên trong một miền là duy nhất trong miền đó

GUID là duy nhất trên tất cả các miền trong một rừng

 GUID giống như số CMNN của một người nào đó

16

Các quy ước đặt tên trong AD-RDN

 ADDS hỗ trợ truy vấn

thông qua thuộc tính của

một đối tượng, do đó có

thể xác định được đối

tượng ngay cả khi không

biết DN.

 RDN của một đối tượng

là thuộc tính của đối

tượng đó

17

Các quy ước đặt tên trong AD-UPN

 User Principal Name (UPN)

 Là tên thân thiện của đối tượng người dùng.

 Nó là sự kết hợp giữa một tên ngắn của đối tượng và tên

 DNS của Domain nơi lưu giữ đối tượng.

 Tên ngắn thường là tên đăng nhập (logon) của người dùng.

 Ví dụ: đối với người dùng Lam Chi Nguyen có tên đăng

nhập là lcnguyen, thì UPN sẽ là: lcnguyen@abc.com

18

Lược đồ AD

 Chứa những định nghĩa về các đối tượng khác nhau được

lưu trữ trong AD.

 Các định nghĩa được lưu trữ như đối tượng trong AD.

 Lược đồ là duy nhất trong một rừng và được tạo ra trong

quá trình cài đặt Domain Controller đầu tiên của rừng.

 Schema được định nghĩa gồm 2 loại object là Schema Class

Objects và Schema Attribute Objects.

 Schema Class có chức năng như một template cho việc tạo

mới các đối tượng trong AD.

 Schema Attribute định nghĩa các Schema Class tương ứng

với nó.

19

Lược đồ AD

20