מבוא ל-Active Directory Domain Services - מה שקורה מתחת לדומיין הבודד

מי שכבר מכיר את המושגים הבסיסיים של Active Directory, כמו דומיין ובקר תחום, בטח מכיר גם את התחושה שנשאר עוד משהו לא מוסבר - מה קורה כשיש יותר מדומיין אחד בארגון, איך כמה בקרי תחום נשארים מסונכרנים, ומי בעצם מחליט מה מותר ומה אסור להוסיף למערכת. כל זה חי בתוך השירות שנקרא Active Directory Domain Services, בקיצור AD DS, וזה בדיוק מה שנפרק כאן.

AD DS זה לא רק "השירות שמריץ דומיין"

AD DS הוא התפקיד (role) שמתקינים על שרת Windows Server כדי שהוא יהפוך לבקר תחום. אבל התפקיד הזה מגיע עם ארכיטקטורה שלמה שמוגדרת מראש - איך דומיינים מתארגנים ביחס אחד לשני, איך מידע מוגדר ומאומת מבנית, ואיך שינוי שמתבצע בבקר תחום אחד מגיע לכל שאר בקרי התחום ברשת. זו לא תוכנה בודדת, זו מערכת שלמה של כללים ומנגנונים.

יער, עץ ודומיין - ההיררכיה שמעל הדומיין הבודד

ארגון גדול, במיוחד כזה שנוצר משילוב של כמה חברות או חטיבות, לרוב לא מסתפק בדומיין אחד.

• דומיין (Domain). יחידת הניהול הבסיסית, עם מאגר משתמשים ומדיניות אבטחה משלה.
• עץ (Tree). קבוצת דומיינים שחולקים מרחב שמות משותף, למשל company.local ותת-הדומיין sales.company.local, ומתפקדים יחד תחת מבנה שמות היררכי אחד.
• יער (Forest). הגבול האבטחתי האמיתי של Active Directory. יער יכול להכיל כמה עצים שונים, שלא בהכרח חולקים מרחב שמות, אבל כן חולקים סכימה משותפת ו-Global Catalog משותף.

בין דומיינים שונים באותו יער, או ביערות שונים לגמרי, אפשר להגדיר יחסי אמון - Trust Relationships - שמאפשרים למשתמש בדומיין אחד לגשת למשאבים בדומיין אחר, בלי שיצטרך חשבון נפרד בכל אחד מהם.

הסכימה - המילון שמגדיר מה בכלל אפשר לאחסן

הסכימה (Schema) של Active Directory היא ההגדרה הפורמלית של כל סוגי האובייקטים שהמערכת יכולה לכלול - משתמש, מחשב, קבוצה, מדפסת - ואילו תכונות (attributes) לכל סוג יכול להיות. אי אפשר סתם להוסיף שדה חדש למשתמש בלי לשנות את הסכימה עצמה, וזו הסיבה ששינויי סכימה נחשבים פעולה רגישה במיוחד, כזו שמשפיעה על היער כולו ולא רק על דומיין בודד.

תפקידי FSMO - כשמרכזיות פוגשת מציאות מבוזרת

Active Directory הוא בעיקרון מערכת מבוזרת - כל בקר תחום מחזיק עותק מלא של מסד הנתונים ויכול לבצע רוב הפעולות בעצמו. אבל יש כמה פעולות שחייבות להתבצע במקום אחד בלבד, כדי למנוע התנגשויות. אלה נקראים תפקידי FSMO - Flexible Single Master Operations - וכוללים בין השאר את השרת האחראי להענקת שמות ייחודיים חדשים, ואת השרת האחראי לשמירה על מבנה הסכימה. אלה תפקידים שברירת המחדל שלהם מוגדרת בבקר תחום ספציפי, אבל אפשר וצריך להעביר אותם בין שרתים בתכנון נכון.

שכפול - איך כל בקרי התחום נשארים מסונכרנים

כשמנהל מערכת יוצר משתמש חדש בבקר תחום אחד, השינוי הזה צריך להגיע לכל שאר בקרי התחום ברשת, לפעמים במיקומים גיאוגרפיים שונים לגמרי. זה קורה דרך תהליך שנקרא שכפול (Replication), שרץ ברקע לפי טופולוגיה שמוגדרת דרך מושג שנקרא Sites - חלוקה לוגית של הרשת לפי מיקום פיזי, כדי לא להציף קווי תקשורת איטיים בין סניפים בעדכוני שכפול מיותרים.

למה כדאי להכיר את הארכיטקטורה הזאת, לא רק את הדומיין

מי שמנהל רק ארגון קטן עם דומיין אחד ובקר תחום אחד לא בהכרח נתקל ביער, אמון בין דומיינים, או שכפול מורכב. אבל ברגע שעוברים לארגון גדול יותר, או לתפקיד שכולל תכנון תשתית מלכתחילה, ההבנה הזאת היא ההבדל בין מישהו שמכיר את הכפתורים לבין מישהו שבאמת מבין למה הארכיטקטורה בנויה ככה.

איך מתחילים ללמוד את זה נכון

הדרך הנכונה היא לבנות קודם בסיס איתן בהבנת ווינדוס עצמו, ורק אז לעלות לרמת התשתית הארגונית - כי בלי בסיס טוב, מושגים כמו יער ותפקידי FSMO נשארים שמות בלי הקשר אמיתי.

קורס הרשתות המלא נמצא כאן, חינם ובעברית, כולל הבנה מעמיקה של רשתות ארגוניות וניהול זהויות מרכזי.

יש לכם שאלה על מבנה יער או תפקידי FSMO? שאלו בדיסקורד.

הצטרפו לקהילה בדיסקורד

לסיכום

Active Directory Domain Services הוא הרבה יותר מ"השירות שמריץ דומיין" - הוא ארכיטקטורה שלמה של יערות, עצים, סכימה, תפקידי ניהול ייחודיים, ומנגנון שכפול שמחזיק את כל זה מסונכרן. הבנה של השכבה הזאת היא מה שמבדיל בין ידע בסיסי לבין הבנה אמיתית של תשתית ארגונית.