Active Directory

Active Directory nedir?Network üzerindeki nesneleritutar.Network üzerindeki nesneleriyönetmek için directory servisleritasarlanmıştırActiveDirectoryDizin Hizmetleri İşlevleriMerkezi YönetimTek bir noktadanyönetimKullanıcıların tek biroturumla dizinkaynaklarına erişebilmesiOrganizasyonYönetimKontrol
--------------------------------------------------------------------------------
Page 4
Active Directory Ne Sağlar?Network’ün domain olarak adlandırılan birimler halindedüzenlenmesini sağlar.Kullanıcı ve grupların listesini merkezi olarak tutar.Kullanıcı ve grupların ancak gerekli izinlere sahip olmasıdurumunda kaynaklara erişmesini sağlar.Domain içindeki nesnelere birçok özelliklerinden erişimisağlar.Domainin OU adı verilen alt parçalara bölünmesinisağlar. Bu yönetimin delege edilmesini sağlar.
--------------------------------------------------------------------------------
Page 5
Active DirectoryveritabanıActive Directory dizin sistemiActive Directory dizin sistemi network’ü yönetmeyi sağlar.
--------------------------------------------------------------------------------
Page 6
Active Directory Domain ModeliDizin sistemiyle yönetilen networke domainadı verilir. Workgroupların aksine merkezibir oterite sağlarlar. Administrator’larnetwork üzerindeki kullanıcı ve kaynaklarıtanımlayarak domaini oluştururlar. Böylecekullanıcıların domain üzerindeki bir kaynağaerişebilmeleri için Administrator’ın kendisineizin vermesi gerekir. Domaine girmek içingeçerli bir kulanıcı adına ihtiyaç vardır.
--------------------------------------------------------------------------------
Page 7
Active Directory Domain ModeliBluehat.com.istanbul.bluehat.comankara.bluehat.comizmir.bluehat.comfatih.istanbul.bluehat.com
--------------------------------------------------------------------------------
Page 8
Active Directory’nin ÖzellikleriMerkezi Veri DepolamaÖlçeklenebilirlikGenişletilebilirlikYönetilebilirlikDomain Name System (DNS) ile entegrasyonClient yapılandırma yönetimiPolitika-tabanlı yönetimBilginin kopyalanması (replication)Esnek ve güvenli kimlik doğrulama veyetkilendirmeGüvenlik entegrasyonuDiğer dizin servisleriyle birlikte çalışabilmeİmzalanmış ve şifrelenmiş LDAP trafiği
--------------------------------------------------------------------------------
Page 9
Desteklediği teknolojilerDHCP (Dynamic Host Configuration Protocol)DNS (Domain Name System)LDAP (Lightweigth Directory Access Protocol)Dizin sistemlerine standart olarak erişmeyi sağlar.Örnek: CN=halil, OU=bim, DC=sakarya DC=edu DC=trCN=Common NameDC=Domain ComponentOU=Organizational unit
--------------------------------------------------------------------------------
Page 10
Desteklediği teknolojilerKerberos v5 : Domain içinde kimlikdoğrulaması için kullanılan standart birprotokoldür. Kerberos v5 protokolükullanıcıyı ve networkservislerini tanımlar.Network servislerine erişim için ticketbilgisini kullanır. Bu bilgiler şifrelenmişverilerdir. Bu servisin önemli bir kısmınıKey Distribution Center (KDC) oluşturur.KDC, her domain kontroler üzerinde ADservisinin bir parçası olarak çalışarakparolaları ve diğer hesap bilgilerini saklar.
--------------------------------------------------------------------------------
Page 11
Active Directory’e GeçmekActive Directory kurulumu başta domainadlandırmak olmak üzere bir dizi işlemgerektirir.Active Directory tasarımı ve gelişme süreci ikikısımda ele alınır.Mantıksal TasarımFiziksel Tasarım
--------------------------------------------------------------------------------
Page 12
Mantıksal TasarımTestsirket.comOUOUOUOrg1.Testsirket.comOrg2.Testsirket.com
--------------------------------------------------------------------------------
Page 13
Mantıksal TasarımDomain Kullanıcılarını ve bilgisayarlarınıtanımlayarak mantıksal tasarım başlar.Mantıksal tasarımın amacı yönetim içingerekli bileşenlerin oluşturulmasıdır.Mantıksal tasarımda şu bileşenler yer alır:ForestTreeDomainOrganizational Unit
--------------------------------------------------------------------------------
Page 14

ForestBir organizasyon için tasarlanan networke en genişanlamda verilen addır. Forestlar içinde tree’ler vedomain’ler bulunur. Bu domainler bir yada daha çoktree olarak organize edilebilir.Forestlar aşağıdaki özellikleri taşırlar:Forest’taki tüm domain’ler ortak bir şemayı paylaşırlar.Forest’taki tüm domain’ler ortak bir global kataloğupaylaşırlar.Forest’taki tüm domain’ler iki taraflı güven ilişkileriylebirbirine bağlanmışlardır.
--------------------------------------------------------------------------------
Page 15
Forestfirma.comfirma2.coma1.firma.comb1.firma.coma1.firma2.comb1.firma2.comb2.b1.firma.comb2.b1.firma2.com
--------------------------------------------------------------------------------
Page 16
TreeForest içindeki domainler belli bir hiyerarşi veadlandırma sistemi içinde treelerden oluşur.Tree’lerde adlandırma bir root’tan başlayarakilerler.Sakarya.edu.trMuhendislik.sakarya.edu.trBilgisayar.mühendislik.sakarya.edu.trVar olan bir domain’e bir ya da daha çokdomain ekleyerek oluşturulan gruplamaya yada hiyerarşik düzene TREE denir.
--------------------------------------------------------------------------------
Page 17
DomainActive directory mantıksal tasarımın temelbileşeni domain’dir. Domain, ortak yönetimipaylaşan, sınırı olan, belli bir adı olannetwork’tür. Domainler kendi güvenlik sınırıdaoluşturur ve kendi yöneticileri tarafındanyönetilirler. Domainler aynı zamanda birreplikasyon birimidirler. Domain içindekibütün domain kontroler bilgisayarlar, kendidomainlerinin veritabanının bir kopyasınıiçerirler multi master sistemiyle birbirinekopyalarlar.
--------------------------------------------------------------------------------
Page 18
Organizational UnitOU’lar domain içinde kullanıcı, grup vebilgisayarların yer aldığı konteynerlardır.OU’ların kullanım alanları:Yönetimi delege etmekGroup policy sayesinde kısıtlamalar yapmakNesneleri saklamak
--------------------------------------------------------------------------------
Page 19
DosyalarPrinterlaryöneticiKullanıcılarIzmirSatışMuhFc-holding.comDomain ModeliSatış OU’su
--------------------------------------------------------------------------------
Page 20
Fiziksel TasarımMantıksaltasarımdomainveOU’larınşirketin yönetim amacına uygunlarak oluşturulmasını içerirken, fizikseltasarım tümüyle ağın alt yapısıylailgilidir.Yani networkün fiziksel açıdantasarımı, yerleşimi, WAN teknolojileri,kullanılan protokoller, sunucular vebilgisayarların yerleşimi tasarlanır.
--------------------------------------------------------------------------------
Page 21
istanbulankaraIP subnet192.168.1. _Site linkFiziksel Tasarımsitesite
--------------------------------------------------------------------------------
Page 22
Site KavramıSite bir IP subnettir. IP adresi sistemi içindeoluşturulmuş bir network’tür. Bu anlamda site,çok güvenilir ve hızlı bağlantılarla birbrinebağlanabilen bir yada daha çok IP subnet’ikombinasyonu olarak oluşur. Genel olaraksite LAN ile aynı sınırlara sahiptir. Siteler birerIP adresiyle tanımlanır:İstanbul sitesi: 192.168.2.1/24
--------------------------------------------------------------------------------
Page 23
sakarya.comDC 1DC 2Domain Controller
--------------------------------------------------------------------------------
Page 24
Domain ControllerDomain’de directory veritabanının bir kopyasınıbarındıran Windows Server 2003 işlerim sistemesahip bilgisayara domain controller denir.Fonksiyonları:Güncellenen bilgileri diğer DC’lerden replike eder.Kullanıcıların domaine logon olmasını sağlar.AD multi-master replikasyonu kullanır. Bunun anlamıbütün DC’ler üzerinde update işlemi yapılabilir.Forest domainleri hakkında bilgi sahibi olur bu durumda global katalog olarak adlandırılır.
--------------------------------------------------------------------------------
Page 25
Global CatalogBirden çok domainli bir forest’da bütündomainler hakkında sorgu yapmak için GlobalCatalog kullanılır. Global Catalog olan yadarolünü üstlenen DC, directory’de yer alan tümdomainlere ilişkin temel bilgilere sahiptir.Böylece GC’ye ulaşan bir client, bütündomainlerin nesnelerini sorgulama şansınasahip olur. Farklı domainlerdeki kullanıcılarınfaklı domainlere logon olmasını sağlar.
--------------------------------------------------------------------------------
Page 26
Active Directory nesneleriDomainDomainDomainDomainDomainDomainGlobalKatalogGlobal Catalog
--------------------------------------------------------------------------------
Page 27
Trust İlişkileriBirden çok domainden oluşan bir forest içindedomainler arasındaki ilişkiye güven (trust)denir. Trustlar sayesinde bir domaindekikullanıcı diğer domaindeki gruba üye olabiliryada kaynak paylaşımına erişebilir.Domain Güven ilişkileri şu şekilde sınıflanır:One-wayTwo-wayTransitiveNon-transitive
--------------------------------------------------------------------------------
Page 28
Windows Server 2003 Trust’larıForest(root)Tree/RootTrustTree/RootTrustForestTrustForestTrustShortcut TrustExternalTrustExternalTrustKerberos RealmRealmTrustRealmTrustDomain DForest 1Domain BDomain ADomain EDomain FForest(root)Domain PDomain QParent/ChildTrustParent/ChildTrustForest 2Domain C
--------------------------------------------------------------------------------
Page 29
ReplikasyonReplikasyon iki DC arasındaki otomatikkopyalamaişlemineverilenaddır.Replikasyon süreci söyle çalışır:Bir DC üzerinde AD nesnesi güncellenir.5 dak. Change Notificasyon süresi beklenir.Bu süre içinde güncellemeler de replikeedilmek üzre biriktirilir. Böylece her değişiklikiçin bir replikasyon yapılmamış olur.Süre dolduğunda, replikasyon yapılır. HedefDC replikasyon topolojisine göre otomatikolarak seçilir.
--------------------------------------------------------------------------------
Page 30
ReplikasyonOUiibfMuhKampüs1)2)2)intrasiteintrasiteintersitehendeksakarya.com
--------------------------------------------------------------------------------
Page 31
Replikasyon SistemleriUrgent Replication (Acil Replikayon) : Budurumda bu 5 dak. süre beklenmez.Store-and-forward işlemi: Bir değişiklikolduğunda bu sistem sayesinde diğer DC’lerehemen göndermez. Belli bir süre bekletir vegönderir.
--------------------------------------------------------------------------------
Page 32
Şema KavramıAD’de hangi nesnelerin yer alabileceği ve bunesnelerin niteliklerinin neler olabileceğini tanımlayanbir kurallar grubudur. Shema, AD’nin biçimsel birtanımı olarak değerlendirilebilir. AD ile birliktekullanacılar, gruplar, domain ve bilgisayarlar gibiAD’de yer alabilecek network nesnelerini tanımlayanve çoğu durum için yeterli olan varsayılan bir schemagelmektedir. Bu SChema’ya yeni nesne sınıfları venitelik tipleri eklenebilir.Bunu Shema Admins grubuüyeleri yapabilir.Semayı oluşturan bileşenler nesne sınıfları, niteliktipleri ve Control Access Rights’dır.
--------------------------------------------------------------------------------
Page 33
BilgisayarlarBilg 1Bilg 2Bilg 3KullanıcılarUser 1User 2ACTIVE DIRECTORYAttributeBilgisayar AdıTanımBilgisayarlarAdSoyadLogon AdıAttributeKullanıcılar
--------------------------------------------------------------------------------
Page 34
Active Directory VeritabanıActive Directory dizin bilgileri bir veritabanı üzerinde tutulur. Budizinde kullanıcılar, gruplar, bilgisayarlar, domain’ler Ou’lar vegüvenlik politikaları gibi nesneler saklanır. Dizin verileri domaincontrollerlar üzerinde NTDS.dit dosyasında tutulur. Ntds.ditaşağıdaki tabloları içerir:Shema tablosu: Active Directory’de yazılabilecek nesnetürlerini, aralarındaki ilişkileri ve her nesne üzerinde seçimlikve zorunlu özellikleri gösterir. Bu tablo oldukça statiktir veveri tablosundan daha küçüktür.Link Tablosu: AD’de yer alan nesnelerle ilgili değerleriiçeren özelliklerden oluşur. Örneğin member of özelliğini elealalım. Bu özellik, kullanıcının üye olduğu gruplarla ilgilibilgileri içerir. Bu tablo da veri tablosundan küçüktür.
--------------------------------------------------------------------------------
Page 35
Active Directory VeritabanıVeri Tablosu: Active Directory’de yer alankullanıcıları, grupları, diğer nesneleri veuygulamaya yönelik verileri içerir. Bu tablodaher satır bir nesneyi, her sütun da o nesneninözelliğini temsil eder.Replikasyon bakımından ise Active Directoryveri tabanı Dört kısımdan oluşurDomain DataConfigurasyon DataShema DataApplication Data
--------------------------------------------------------------------------------
Page 36
Directory Partition’larıActiveDirectoryDatabaseApplicationSchemaConfigurationdomainforestdomain
--------------------------------------------------------------------------------
Page 37
Directory Partition’larıDomain Partition: Domaine ait nesnelerbulunur. Kullanıcı, bilgisayar vb. Kayıtları bubölüm içinde yer alır. Domain Partition bilgileriyalnızca kendi domaini içindeki diğer DCpartnerları arasında replike edilir.Configuration Partition içinde AD forestınınyapısı tutulur. Yeni bir domainin eklenmesiyada silinmesi bu bölüm içinde yapılır.Burdaki bilgiler forest içindeki diğer DCpartnerları arasında replike edilir.
--------------------------------------------------------------------------------
Page 38
Directory Partition’larıŞema kısmında AD nesnelerinin özellikleri(attributes) yer alır. Şema bilgileri bu bölümdetutulur. Burdaki bilgiler forest içindeki diğerDC partnerları arasında replike edilir.Application Partition ise yalnızca belli DCbilgisayarlarla replike olur. Bu bölümuygulamalar ve servisler tarafından özelbilgiler saklanmak üzere kullanılır.


Active Directory Ne Sağlar

Network’ün domain olarak adlandırılan birimler halindedüzenlenmesini sağlar.Kullanıcı ve grupların listesini merkezi olarak tutar.Kullanıcı ve grupların ancak gerekli izinlere sahip olmasıdurumunda kaynaklara erişmesini sağlar.Domain içindeki nesnelere birçok özelliklerinden erişimisağlar.Domainin OU adı verilen alt parçalara bölünmesinisağlar. Bu yönetimin delege edilmesini sağlar

İndir

http://download.sysinternals.com/Files/AdExplorer.zip