Active Directory

Active Directory的最小儲存單元為物件（object），每個物件均有自己的schema屬性，可以儲存不同的資料，像是使用者、群組、電腦、信箱或其他的基本物件等。

一個AD網域底下的基本物件，有：

• Domain Controllers，儲存網域所屬的網域控制站（簡稱DC、域控）。
• Computers，儲存加入網域的電腦物件。
• Builtin，儲存內建的帳戶群組。
• Users，儲存AD中的使用者物件。

若公司需要以不同的組織結構來管理公司的帳戶，則可以在AD中建立一個或多個組織單元（Organization Unit，簡稱OU），組織單元是一個具有收納能力的Active Directory物件（其在ADSI中是IADsContainer介面），可以在OU之中存放AD的物件，包括使用者，群組，電腦等，讓組織結構在AD中可以被真實的反映出來，而且也方便AD中的另一個功能——群組原則（Group Policy）的套用與集中管理。

一個Active Directory網域樹的結構

一個內含子網域的Active Directory網域樹的結構

若組織的網路環境相當龐大與複雜時，網域可能會有許多個，在AD之中，網域可以有一個或多個，而一個大型公司可能會利用分公司或是辦公室的方式來組織網域物件，如此一來，在AD中會有數個網域，若需要在網域中共享資料或是做委派管理與組態設定時，便需要建立彼此間的組織關係，微軟將AD中多網域相互的關係階層化，稱為網域樹（domain tree），網域樹結構以DNS識別方式來區分，例如一間公司可能有業務部門，工程部門與管理部門，那麼若要以部門來建立網域時，則可以如此建立（如右圖）：

• acme.com.tw：根網域。
• sales.acme.com.tw：業務部門。
• engineering.acme.com.tw：工程部門。
• admin.acme.com.tw：管理部門。

如此便可在AD中反映出組織的結構，同樣的，網域內還是可以再建立不同的網域，例如在工程部門中若需要分為軟體部門與硬體部門時，還可以在工程部門的網域中建立：

• software.engineering.acme.com.tw：軟體部門的網域。
• hardware.engineering.acme.com.tw：硬體部門的網域。

而軟體部門和硬體部門的設定，會自動的繼承工程部門網域中的群組原則設定，而在軟體部門的組態，則不會影響到硬體部門（可經過設定來套用）。

一個Active Directory森林結構

在多個網域的環境下，可能在不同的網域之間會需要交換與共享資料，像是組態設定、使用者帳戶與群組原則設定等，在這個時候需要有一個角色來做為不同網域間的資訊交換角色，同時又必須要符合AD樹狀結構的規範，因此微軟在多網域之間建立了一個中介用的角色，稱為森林（Forest），一個組織中最多只能有一個Forest，在Forest下則是各自的網域樹系，而在Forest下的網域或網域樹系間，可以共享資訊。

在AD的實體結構中，最重要的角色非Global Catalog[1]（全域目錄，簡稱GC）莫屬，它儲存了最完整的Active Directory的結構資料，也是以目錄為主（directory-enabled）的應用程式對AD的查詢的主要標的，而通常在不同的地理位置（例如在中國大陸、台灣、美國和英國各有分公司，且各有網域）時，GC扮演了重要的快取結構角色，若台灣的員工出差到英國分公司，並試圖登入網域時，Windows會先搜尋最近的Global Catalog Server（由DNS設定提供），若找不到時，才會連結到其他地區的GC，但若分公司的網路很慢時，這種跨地理位置的AD資料存取會直接影響到登入的時間，因此謹慎的GC的佈署對AD的推行是很重要的。

營運主機（Operation Masters，又稱為Flexible Single Master Operation，即FSMO）[2]是被設定為擔任提供特定角色資訊的網域控制站，在每一個Active Directory網域中，至少會存在三種營運主機的角色。

• Primary Domain Controller Emulator Master：設定作為這個角色的網域控制站，可以被目前仍存在網域中的Windows NT Backup Domain Controller（備份網域控制站）當做Primary Domain Controller （主要網域控制站）來呼叫使用，同時它也是樹系中提供Windows Time Service時間同步的主機。
• RID Master：在網域控制站中會儲存AD物件的relative ID（關聯識別碼），可分散以RID為主的查詢的流量。
• Infrastructure Master：負責處理對目前網域的物件參考，以及對應其他網域的物件參考，並可負責處理針對AD物件的變更（例如刪除與更名）。

另外還有兩種角色，是具有額外功能，但不強制部署在網域的：

• Schema Master：負責處理網域中所有針對物件結構的變更。
• Domain Naming Master：負責處理網域中的目錄分割以及應用目錄分割的工作。

Active Directory站台（site），是指一個實體的網路位置，在一個站台中可能會有很多個網域控制站，AD網域資料的複製，就是以站台為主，實際處理複製作業的工具稱為KCC（Knowledge Consistency Checker，知識一致性檢查器），它會在特定時間對站台設定中的網域進行資料的同步化，複製活動則分為對內複製（intra-site replication）與對外複製（或站間複製，inter-site replication），對內複製是同一個網域間的控制站交換資訊，對外複製則是在網路管理人員的設定下，透過指定的通訊方法（IP或SMTP）以及拓樸進行複製。

預設情況下，站台的通訊方式是使用IP（即RPC over IP）來通訊，這個方式是最快的，且可以利用TCP/IP來執行遠端呼叫以及處理，但若是非網域資料（架構、設定和通用類別目錄更新，亦即沒有AD物件）的複製，則可以利用SMTP通訊方法，但這個方法需要另外建立企業級的憑證服務才可以使用，目的是確保SMTP的資料可以被確認與保全。

在中大型的網路環境中，適當的分散網路流量以及設計網路拓樸是很重要的事，KCC會利用設定好的網路通訊成本（cost）來選擇要用哪一條網路來進行複製，例如可能公司和辦公室間有一條T1和ISDN 64Kbps的線路，而T1的成本設為500（因為會有很大流量），而ISDN只有100時，KCC會選擇ISDN做複製，這樣代表網路管理員可以自己決定要使用哪一條網路來進行複製，KCC的複製演算法會判斷哪一個網路最適合複製AD的資料。除了成本以外，AD也支援了橋接站台（site bridge）的結構，站台橋接能力讓複製的成本得以分散，並可讓同一台GC的複製流量分散，也適合在不同地理區域之間的AD資訊複製與散發工作。

Active Directory極度依賴DNS，因為DNS可以讓AD表現出階層化的樹狀結構，同時也可以和開放的目錄標準接軌，因此在建置網域時，DNS服務（或另有架設DNS Server）一定要存在於網路或該網域控制站中，AD以SRV記錄（SRV Record）來識別網域控制站，以提供網域處理的服務，而和Windows NT網域不同的是，Windows NT使用的是NetBIOS通訊協定，但AD使用的則是TCP/IP，但AD仍然提供可以在Windows NT帳戶格式（DOMAIN\User）和AD帳戶格式（user@domain）的格式互轉。

Active Directory使用強化過的Microsoft Jet Database Engine（基於Microsoft Jet Blue計畫），即Extensible Storage Engine（ESE98），可儲存16TB的資料量，理論上可容納十億個網域物件，檔案名稱為NTDS.dit，它儲存在%system_root%\NTDS目錄中（這個目錄所在的磁碟也必須要是NTFS格式），內含了物件資料表以及連結資料表，在Windows Server 2003中加入了一個描述安全資訊的新資料表。

而在AD更新資料時的記錄，都被儲存在edb*.log，預設的名稱為edb.log，其他的檔案使用"edb" +數字 + ".log"來記錄，另搭配了edb.chk作為檢查點記錄檔，以及Res1.log和Res2.log作為系統的保留檔案。

AD實體儲存的元件有[3]：

• 上層介面（interface）：作為目錄服務用戶端或目錄服務中的其他伺服器的連接介面，像是LDAP、REPL、MAPI與SAM等。
• 目錄服務代理人（Directory Service Agent）：實作於NTDSA.DLL，負責接收與處理來自用戶端的要求或其他伺服器的要求（例如KCC的要求）。
• 資料庫存取層：內含於ntdsa.dll中，負責直接存取資料庫。
• 延伸儲存引擎（Extensible Storage Engine）：負責處理資料庫與其名稱（DN）的記錄對應。
• 資料庫檔案：即NTDS.dit，以及負責處理未認可交易的記錄檔。

網域控制站會定時（預設為12小時）對NTDS.dit做重組（defragment），並清除資料檔中的垃圾，在重組前會檢查磁碟空間是否有大於資料庫檔案1.5倍的空間可用。若資料庫所在的目錄沒有足夠的可用空間，就要把資料庫移往其他地方去。然而，由於Windows 2000與Windows Server 2003在磁碟區陰影複製服務（VSS）的機制有所不同，使這移動過程有可能失敗。對於Windows 2000，log files與數據庫可以分別存放在不同的磁碟上，但Windows Server 2003則必須放在同一個磁碟上。要移動資料庫，必須重新啟動伺服器，並進入Active Directory Restore Mode裡，利用ntdsutil工具進行移動。

在Windows Server 2008中，加入了一個新的網域控制站角色，稱為唯讀型網域控制站（Read-Only Domain Controller，簡稱RODC），RODC可以作為組織的分部、分公司、辦公室或是臨時單位等，將網域控制站放在該處時會有安全性疑慮或風險時使用，顧名思義，RODC不會寫入任何資料到Active Directory，與其他網域的複寫也是有限度的，並且只會以系統管理員定義的Password Replication Policy（密碼複製原則）控制下的帳戶才會快取密碼等功能。

若要在AD中加入唯讀網域控制站，則網域的功能層級必須要在Windows Server 2003以上。

AD以Kerberos V5作為其安全驗證的主要架構，並且每個AD物件都擁有一個獨一無二的安全性識別碼（Security Identifier，SID），其格式範例為S-1-5-21-7623811015-3361044348-030300820-1013，每組代碼均有其意義，這組識別碼儲存在AD的objectSid屬性中。

在AD中，不同階層的OU可以定義不同的安全性資訊，以及不同的使用者權限，而不同的網域階層之間也可以定義不同的使用者權限，管理員也可以利用安全性管理範本（Secutiy Template）來定義不同的安全性資訊，或者使用群組原則（Group Policy）來定義，在大型網路之中，使用群組原則會比安全性範本要來的方便，將兩者合併使用更可達到事半功倍之效（例如和Microsoft Base Security Analyzer的整合）。

在父階層定義的安全性，可以被繼承至子階層。

在大型的網路環境中，可能組織間有夥伴關係，或者是專案間的合作，而需要在兩個Forest間共享或授權存取時，可以利用信任關係（trust relationship）來建立Forest間的信任，以授權在彼此樹系間的存取權，在Windows Server 2003以後版本的AD環境可支援四種信任關係：

• 捷徑式信任（shortcut trust），此為加速驗證流程所設計的信任法，在多層次的網域中，使用者只要連接到最近的網域即可登入，無需要將訊息轉到授權的根服器。
• 外部式信任（external trust），此為跨森林的授權方法。
• 領域式信任（realm trust），作為與非Kerberos驗證的LDAP目錄服務與Windows網域的信任模式。
• 森林式信任（forest trust），此為強化型的外部式信任法，可以經由一個中介的森林信任來取得信任關係，例如acme.com.tw信任aspvendor.com，而contoso.com.tw也信任aspvendor.com，則acme.com.tw可以取得和contoso.com.tw的信任關係。

信任關係的設定可以分為單向（one-way）和雙向（two-way）兩種，單向信任表示被信任的一方可以存取信任的一方的資源，而雙向信任則是可以存取各自的資源。

信任關係的傳遞可分為可遞移（transitive）與不可遞移（non-transitive）兩種，可遞移表示建立信任關係的網域在同一樹系內的其他網域也可以使用在建立信任關係網域中的信任資訊，不可遞移則表示只有建立信任關係的網域（不論是否有階層）才可以使用信任資訊。

每個AD物件均有一個以LDAP組成的名稱，稱為識別名（Distinguished name，簡稱DN），這個識別名是作為使用LDAP查詢AD目錄中識別物件的名稱，其格式類似下列：

LDAP://cn=John Smith, ou=Software Engineering, dc=engineering, dc=acme, dc=com, dc=tw
LDAP://cn=COMP1024, ou=Computers, dc=acme, dc=com, dc=tw

在LDAP字串中經常使用的代字有：

• DC：domainComponent
• CN：commonName
• OU：organizationalUnitName
• O：organizationName
• STREET：streetAddress
• L：localityName
• ST：stateOrProvinceName
• C：countryName
• UID：userid

當用戶端在下達LDAP查詢字串時，若無法符合AD物件的LDAP DN，則會找不到資料，LDAP代字亦可使用於搜尋（IADsDSObject與ADsDSObject(），參見Active Directory Service Interface條目）。

每個AD中的物件都會有一個一般的名稱，又稱為別名（Canonical Name），在Schema中的屬性為cn（Common Name），但組織單元（OU）基本上是例外，它自己有一個代字ou作為識別符。

為了要在容器與物件間作識別，在Schema中設定了一個Relative Distinguished name（簡稱RDN），儲存在rDnAttId屬性中，可在搜尋AD時可以快速的對應容器內的物件。

每一個物件都有一個唯一的GUID物件識別碼，儲存在objectGUID屬性中，其編碼方式與GUID相同。

• Windows NT使用者名稱系統：即SAM（Security Account Manager）的名稱系統，儲存在使用者的sAMAccountName屬性中。
• 使用者主體名稱：即User Principal Name，在AD中使用者是以user@domain的方式呈現，這個值儲存在userPrincipalName屬性。

由於AD本身具有可分散式的身份驗證與授權能力，且在2003年時Web正吹起了單一簽入（single-sign on）的架構研究風，微軟也開始利用AD來設計一個可支援多個網站（或應用程式）的單一簽入功能，其實作品即為Active Directory Federation Services（AD聯合服務，簡稱ADFS），它顯露了幾個主要成員[5]：

• Federation Service：負責在ADFS的SSO架構中處理驗證的伺服器。
• Federation Service Proxy：在外部網路或是WS-I服務中，扮演Federation Service的代理角色，並支援WS-Federation規格的驗證設定。
• Claim-aware client：由ADFS開放的Claim-aware（宣告感知）元件的Web用戶端，或是ASP.NET應用程式，可直接支援ADFS的SSO架構。
• Windows Token-based Agent：以Windows驗證為主的Web應用程式，ADFS可支援AD權仗與Windows NT權仗的模擬與交換。

此服務在Windows Server 2003 R2版本中首次出現，並在Windows Server 2008中升級為Active Directory Federation Service角色。

輕量級服務（Lightweight Directory Service）[6]在Windows Server 2003中被稱為Active Directory Application Mode（ADAM），它是一個不需要與AD基礎架構整合就可以獨立運作的目錄服務，適合用來表現企業的階層化概念與物件的管理，而且開發人員只要把使用ADSI的經驗搬過來即可使用，不必另外學習ADAM的操作方法，它也可以做為ADFS的外部驗證提供者。輕量級目錄可以在同一台電腦中安裝多個執行個體，因此也很適合用ADAM來實作Directory-Enabled的應用程式，尤其是與組織結構相關的（例如人事或人力資源系統），ADAM本身也可以延伸schema，開發人員可以將ADAM視為另一種型式的資料庫，也可以由AD中複製資料到ADAM，不過ADAM不會對AD進行站台複製，開發人員需要自行撰寫程式來複製資料。

輕量級服務在Windows Server 2008中改名為Active Directory Lightweight Directory Service（簡稱AD LDS），並提升為AD的應用角色之一。

憑證服務（Certificate Service）[7]是在Windows Server 2008中首次納入Active Directory體系的服務，它原本是在Windows 2000與Windows Server 2003的憑證伺服器（Certificate Server），用來建立企業中的公開金鑰基礎建設，在Windows Server 2008中，憑證和AD物件有了更強更緊密的整合，所以有了Active Directory Certificate Service（AD CS）的角色，這個角色還可以和權限管理的Right Management Service（RMS）整合在一起，提供對文件或應用程式層次的權利管理。

權利管理服務（Right Management Service）[8]也是在Windows Server 2008中首次納入Active Directory體系的服務，最早的時候，它是在Microsoft Office 2003開始提出的資訊權利管理（Information Right Management）功能，可利用它來控制Office文件散布時的權限，例如列印以及儲存檔案等，接著微軟發表了Right Management Server以及RMS SDK，供Windows Server 2003平台使用，而在Windows Server 2008中即將它整合到Active Directory中，變成AD服務的一部份。