התקנת שירותי תחום Active Directory של Windows Server

התקנת שירותי תחום Active Directory של Windows Server

Active Directory (AD) הוא הבסיס לזהות הארגונית. ברגע שתחום נפרס, כל משתמש, מחשב ושירות מצטרפים למערכת אימות אחידה. זה נוח רק אם התחום מתוכנן כראוי. הבעיות מתחילות כאשר התחום נפרס "במהירות" ללא הבנה של מבנה OU, האצלת הרשאות ומדיניות שכפול. נתקלנו בפרויקטים שבהם OUs נוצרו תוך כדי תנועה, GPOs יושמו בצורה כאוטית, והשחזור לאחר תקלה ארך ימים. לקוח אחד — רשת קמעונאית עם 50 סניפים — חווה השבתה של 8 שעות עקב תכנית שכפול שגויה בין DCs. לאחר הביקורת והתכנון מחדש שלנו, ה-MTTR ירד ל-15 דקות, והעלויות האדמיניסטרטיביות ירדו ב-40%. תכנון OU נכון מפחית את העומס האדמיניסטרטיבי ב-30%. הניסיון שלנו — למעלה מ-10 שנים בתשתיות גדולות — מאפשר לנו להימנע מטעויות אלו מההתחלה.

למה תכנון OU הוא חצי מההצלחה?

הטעות הנפוצה ביותר היא יצירת OUs תוך כדי תנועה ללא תכנון. מאוחר יותר המבנה הופך לכאוטי, GPOs מיושמים בצורה בלתי צפויה, והאצלת הרשאות הופכת לבלתי אפשרית. עבור חברה עם 500+ משתמשים ומספר משרדים, OU מתוכנן כראוי מפחית את זמן יישום המדיניות ב-30% ומפשט את ההאצלה. מבנה עובד:

company.local
├── _Admin
│   ├── Service Accounts
│   └── Admin Users
├── Computers
│   ├── Moscow
│   │   ├── Workstations
│   │   └── Servers
│   └── Remote
│       └── Workstations
├── Groups
│   ├── Distribution
│   └── Security
└── Users
    ├── Moscow
    │   ├── IT
    │   ├── Finance
    │   └── HR
    └── Remote

# Создать структуру OU
$domain = "DC=company,DC=local"
New-ADOrganizationalUnit -Name "_Admin" -Path $domain
New-ADOrganizationalUnit -Name "Service Accounts" -Path "OU=_Admin,$domain"
New-ADOrganizationalUnit -Name "Computers" -Path $domain
New-ADOrganizationalUnit -Name "Moscow" -Path "OU=Computers,$domain"
New-ADOrganizationalUnit -Name "Workstations" -Path "OU=Moscow,OU=Computers,$domain"
New-ADOrganizationalUnit -Name "Servers" -Path "OU=Moscow,OU=Computers,$domain"
New-ADOrganizationalUnit -Name "Users" -Path $domain
New-ADOrganizationalUnit -Name "Moscow" -Path "OU=Users,$domain"
New-ADOrganizationalUnit -Name "IT" -Path "OU=Moscow,OU=Users,$domain"

אילו בעיות מתרחשות בעת פריסת Active Directory?

1. תלות ב-DNS. ללא אזור DNS נכון, השכפול נכשל — 80% מכשלי השכפול קשורים ל-DNS. כל DC חייב לרשום רשומות SRV ו-A, ולקוחות חייבים להיות מסוגלים למצוא DCs לפי שם התחום.
2. שגיאות בהרשאות שכפול. אם טופולוגיית האתרים מוגדרת שגוי, שינויים עלולים להתעכב במשך שעות. הגדרת אתרים ורשתות משנה ב-Active Directory Sites and Services היא חובה.
3. מבנה OU שגוי. ללא היררכיה, GPOs מיושמים בצורה כאוטית, וביקורת הרשאות הופכת לבלתי אפשרית. מקרה: ללקוח אחד היו 300 GPOs ברמת התחום — לאחר ארגון מחדש של OUs, המספר ירד ל-40.

איך אנו פורסים AD DS במפתח?

התהליך כולל ביקורת על התשתית הקיימת, תכנון תכנית התחום, התקנה והגדרה של בקרי תחום, בדיקת שכפול ומסירת תיעוד. בכל שלב, אנו מתעדים את התצורה כדי למנוע הפתעות. אנו מבטיחים פעולה תקינה של השירות למשך 30 יום לאחר ההשקה.

ביקורת ותכנון

אנו מעריכים משאבים קיימים (שרתים, רשת, דרישות אבטחה). אנו קובעים את המספר והמיקום של DCs, תכנית השכפול והצורך ב-Read-Only DCs במשרדים מרוחקים. אנו מסכמים איתך על מבנה ה-OU וה-GPOs. העלות מחושבת לאחר הביקורת — צור קשר להערכה מוקדמת.

פריסת בקר התחום הראשון

# Установить роль AD DS
Install-WindowsFeature AD-Domain-Services -IncludeManagementTools

# Создать новый лес и домен (первый DC)
Import-Module ADDSDeployment
Install-ADDSForest `
    -CreateDnsDelegation:$false `
    -DatabasePath "C:\Windows\NTDS" `
    -DomainMode "WinThreshold" `
    -DomainName "company.local" `
    -DomainNetbiosName "COMPANY" `
    -ForestMode "WinThreshold" `
    -InstallDns:$true `
    -LogPath "C:\Windows\NTDS" `
    -SysvolPath "C:\Windows\SYSVOL" `
    -NoRebootOnCompletion:$false `
    -SafeModeAdministratorPassword (ConvertTo-SecureString `
        "P@ssw0rd!" -AsPlainText -Force) `
    -Force:$true

לאחר אתחול מחדש, ה-DC הראשון מוכן. השלב הבא הוא הוספת DC שני לסובלנות תקלות.

בקר תחום שני

DC אחד הוא SPOF. אם הוא נכשל, האימות והגישה למשאבים נחסמים. זמן השחזור הממוצע (MTTR) בתרחיש כזה הוא עד 4 שעות. עם שני DCs, זמן ההשבתה מתקרב לאפס. שני DCs מספקים MTTR נמוך פי 10 מאשר DC אחד. הוסף את ה-DC השני מיד לאחר הפריסה:

# На втором сервере
Install-WindowsFeature AD-Domain-Services -IncludeManagementTools
Install-ADDSDomainController `
    -DomainName "company.local" `
    -InstallDns:$true `
    -DatabasePath "C:\Windows\NTDS" `
    -SysvolPath "C:\Windows\SYSVOL" `
    -LogPath "C:\Windows\NTDS" `
    -SiteName "Default-First-Site-Name" `
    -NoRebootOnCompletion:$false `
    -Credential (Get-Credential) `
    -Force:$true

בדוק את השכפול לאחר ההוספה:

# Состояние репликации repadmin /showrepl repadmin /replsummary # Принудительная синхронизация repadmin /syncall /AdeP 

אם company.local ├── _Admin │ ├── Service Accounts │ └── Admin Users ├── Computers │ ├── Moscow │ │ ├── Workstations │ │ └── Servers │ └── Remote │ └── Workstations ├── Groups │ ├── Distribution │ └── Security └── Users ├── Moscow │ ├── IT │ ├── Finance │ └── HR └── Remote מציג שגיאות — זה בדרך כלל DNS (ה-DC לא יכול למצוא את השותף לפי שם) או חומת אש בין DCs. בניסיון שלנו, 80% מבעיות השכפול קשורות ל-DNS.

השוואה: DC אחד לעומת שני DCs

עם שני DCs, אתה משיג SLO 99.9% עבור שירותי הספרייה — הסטנדרט לתשתיות קריטיות לעסק.

תכנית פריסת AD DS שלב אחר שלב

1. ביקורת: הערכת שרתים, רשת, דרישות.
2. תכנון: תכנית תחום, OUs, GPOs, שכפול.
3. התקנת DC ראשון: יצירת יער ותחום.
4. הוספת DC שני: הבטחת סובלנות תקלות.
5. הגדרת שכפול: אימות עם repadmin.
6. יצירת OUs וחשבונות שירות: עם הרשאות מינימליות.
7. בדיקת אימות ויישום GPO.
8. מסירת תיעוד והדרכה.

חשבונות שירות עם הרשאות מינימליות

לאחר הפריסה, אנו יוצרים חשבונות לפעולות יומיומיות: הצטרפות מחשבים לתחום, גיבויים, עדכוני DNS. הרשאות מואצלות באמצעות אשף האצלת השליטה — הימנעות מהרשאות מיותרות.

מה כלול בעבודה

• תכנית תחום ומבנה OU (תיעוד וסקריפטים)
• הגדרת GPO והאצלת הרשאות
• הגדרת שכפול ו-DNS
• חשבונות שירות עם הרשאות מינימליות
• הוראות להוספת DCs חדשים ושחזור
• הדרכה לצוות שלך (שעתיים)
• תמיכה טכנית למשך 30 יום לאחר ההשקה
• הזמן תכנון AD DS — קבל תכנית תחום מוכנה עם תיעוד.

הערכות זמן

צור קשר לביקורת תשתית — אנו נעריך את המצב הנוכחי תוך יום אחד. העלות מחושבת באופן אישי לאחר הביקורת.

מידע נוסף על מושג Active Directory ניתן לקרוא בתיעוד הרשמי של Microsoft.