از آنجایی که درک مفاهیم اولیه ویندوز سرور 2008 و دامین کنترلر و همچنین شناخت سرویس هایی که این سرور می توانید در اختیار ما قرار بدهد بسیار حائز اهمیت می باشد در این مقاله به بررسی و معرفی اولیه برخی از مهمترین سرویس ها و نقش ها ( Roles ) در ویندوز سرور 2008 می پردازیم و در نهایت به شما آموزش نصب و راه اندازی اولین دامین کنترلر در یک دامین را بصورت قدم به قدم خواهیم داد، بدیهی است این مقاله صرفا در حد آشنایی اولیه در خصوص این نقش ها می باشد و صرفا شیوه نصب اولیه آنها بررسی می شود ،قطعا در مقاله های بعدی در خصوص هر یک از این نقش ها اطلاعات بیشتری را در اختیار شما دوستان قرار خواهم داد .
ساختار اکتیودایرکتوری دارای مجموعه ای از دیتابیس ها یا پایگاه های داده می باشد که در آن فایل ها و فرآیند های مربوط به مدیریت و نگهداری کاربران ، سرویس ها و نرم افزارهای کاربردی ذخیره می شود . یک کپی از این اطلاعات که با اصطلاح data store گفته می شود بر روی هر یک از دامین کنترلر های موجود قرار می گیرد ، این data store به عنوان directory نیر شناخته می شود . این دیتابیس شامل چندین قسمت است که از جمله آنها می توان به Schema و Global Catalog و تنظیمات نام دامین و بسیاری دیگر از تنظیمات اشاره کرد ، این دیتابیس در قالب فایلی به نام ntds.dit در پوشه system root و پوشه ntds بر روی دامین کنترلر ها وجود دارد .
پس از اینکه سرویس اکتیودایرکتوری را بر روی یک سرور نصب کردید ، سرویسی به نام Active Directory Directory Services بصورت خودکار بر روی این سرور نصب می شود ، پس از این وظیفه مدیریت و نگهداری از ساختار اکتیودایرکتوری بر عهده این سرور خواهد بود و تمامی تغییرات و اعمال مدیریتی از طریق این سرور انجام می شود ، به این سرور به اصطلاح کنترل کننده دامین یا Domain Controller گفته می شود . یکی دیگر از وظایف مهم این سرور انجام عمل احراز هویت کاربران دامین است که در اکتیودایرکتوری تعریف شده اند ، این عمل با استفاده از سرویس احراز هویتی به نام Kerberos انجام می شود که اطلاعات بیشتر در خصوص این سرویس را می توانید در مقاله زیر مطالعه کنید .
یا بهتر بگوییم Active Directory Domain یک مفهوم کاملا منطقی از شبکه ها است . در حقیقت دامین به معنی دامنه می باشد و در ساختار اکتیودایرکتوری به محیطی گفته می شود که تمامی ساختار های اکتیودایرکتوری بر اساس آن شکل می گیرند اما بصورت فیزیکی وجود ندارد ، برای مثال tosinso.com یک دامین اینترنتی است ، این ساختار بصورت فیزیکی وجود ندارد و صرفا یک نام و الگوی کاری برای ایجاد یک ساختار منظم شبکه است ، در ادامه www.tosinso.com یک زیردامنه یا sub-domain است که از این ساختار پیروی کرده و سرویس وب را اراده می دهد.
همین امر در شبکه داخلی و در ساختار اکتیودایرکتوری نیز وجود دارد. مدیریت این ساختار همانطور که اشاره شد بر عهده Domain Controller می باشد و بنابراین این ساختار منطقی مکان فیزیکی نیز دارد که بر روی آن قرار گرفته است که همان Domain Controller است . تمامی تغییراتی که میبایست در کل ساختار اکتیودایرکتوری داده شوند در واقع به این الگو یا این Domain اعمال می شوند و به نوعی تمامی نقاط مشترک یک ساختار اکتیودایرکتوری در نهایت بر اساس این Domain تعیین می شود . تمامی ساختار هایی از جمله نام های کاربری ، گروه ها ، نامگذاری ها و تنظیمات امنیتی در نهایت از این الگو پیروی می کنند. تمامی سیاست های اکتیودایرکتوری از جمله رمزهای عبور کاربران و ... از این الگو برداشت می شوند.مدل مفهمی این ساختار را به شکل مثلث در طراحی ها مشاهده می کنید.
به مجموعه ای از دامین هایی که بصورت سلسه مراتبی یا به زبانی دیگر موروثی به یکدیگر متصل می شوند در اصطلاح درخت یا Tree گفته می شود. اولین دامینی که در ریشه این درخت تشکیل می شود را به عنوان دامین والد یا Parent شناخته و سایر دامین هایی که بر اساس الگوی ساختاری این دامین والد در زیرمجموعه آن تشکیل می شوند را دامین های فرزند یا Child می نامیم ، به دامین های فرزند زیر دامنه یا Sub Domain نیز گفته می شود ، شماتیک یک درخت در ساختار اکتیودایرکتوری را میتوانید در شکل زیر مشاهده کنید.
از اتصال چندین Tree به یکدیگر یک جنگل یا Forest تشکیل می شود . Forest ها می توانند از ساختارهای سلسله مراتبی خاص دامین های خود تبعیت کنند و در عین حال بتوانند با یکدیگر ارتباط برقرار کنند . بدیهی است که هر Tree ساختار سلسله مراتبی و موروثی منحصر به فرد خود را دارد و به دامین ها و Tree های دیگر بصورت پیشفرض اجازه دسترسی به منابع اطلاعاتی خود را نخواهد داد .
برای اینکه بتوانیم بین Tree ها ارتباط برقرار کنیم بایستی بین آنها اعتماد یا Trust ایجاد کنیم تا بتوانند از منابع همدیگر استفاده کنند.به خاطر داشته باشید که در یک ساختار Tree همگی Child Domain ها به یکدیگر بصورت پیشفرض این اعتماد را دارند اما در ساختار Forest این اعتماد بایستی ایجاد شود.اولین دامینی که در ساختار Forest ایجاد می شود را ریشه یا Forest Root می نامیم و تمامی الگو برداری Tree مستقر در آن Forest از این دامین برداشت خواهد شد. این ریشه معمولا به عنوان مرز امنیتی ارتباطی با سایر Tree ها مورد استفاده قرار میگیرد. در ادامه ساختار Forest را در شکل می توانید مشاهده کنید.
سطح عملیاتی یا Functional Level در واقع میزان امکاناتی است که سرورها بر اساس نوع سیستم عامل هایی که در شبکه به عنوان Domain Controller فعالیت می کنند تعیین می شود .در یک ساختار اکتیودایرکتوری ممکن است سیستم عامل های متفاوتی به عنوان دامین کنترلر در شبکه فعالیت کنند ، هر یک از این سیستم عامل ها با توجه به اقتضای زمانی که در آن درست شده اند امکاناتی دارند و ممکن است امکاناتی که سیستم عامل های سرور جدید در ساختار اکتیودایرکتوری ارائه می دهند را پشتیبانی نکنند .
Functional Level ها در واقع به ما می گویند که می توانیم از قابلیت چه سیستم عامل هایی به عنوان Domain Controller در ساختار اکتیودایرکتوری استفاده کنیم ، برای مثال زمانی که شما در حال استفاده از سرور 2003 به عنوان یکی از Domain Controller های خود هستید قادر نخواهید بود Functional Level سرور 2008 خود را که به تازگی تبدیل به Domain Controller شده است را به 2008 تبدیل کنید زیرا این امر سبب از کار افتاده شدن سرور 2003 خواهد شد .
در واقع سرور 2008 قابلیت هایی دارد که سرور 2003 دارا نمی باشد و برای اینکه ایندو بتوانند با یکدیگر در ساختار اکتیودایرکتوری فعالیت کنند شما بایستی Functional Level خود را در مد 2003 قرار دهید ، اگر شما Domain Controller ای با سیستم عامل پایینتر از 2008 ندارید براحتی می توانید این قسمت را به 2008 تغییر دهید ، اما به خاطر داشته باشید که این فرآیند یک طرفه می باشد و شما با تبدیل کردن Functional Level به 2008 دیگر قادر نخواهید بود آنرا به 2003 تبدیل کنید .
همانند همه شرکت ها و سازمان ها ساختار اکتیودایرکتوری نیز برای طبقه بندی اشیاء و اطلاعات خود از یک ساختار بایگانی مانند استفاده می کند ، شما می توانید براحتی تمامی واحد ها و قسمت های سازمان یا شرکت خود را در قالب این ساختار در بیاورید ، به این پوشه ها به اصطلاح OU می گویند که مخفف کلمات Organization Unit می باشد ، ما نوعی دیگر از این ساختارها را نیز بصورت پیشفرض در ساختار اکتیودایرکتوری داریم که به آنها Container می گوییم که تا حد زیادی به OU شباهت دارند اما تفاوت اصلی ایندو در این است که شما نمیتوانید تنظیمات امنیتی خود بر اساس GPO ها را به Container ها اعمال کنید و این در حالی است که براحتی آنها را به OU ها اعمال می کنید. OU ها محلی برای نگهداری و مدیریت اشیاء در اکتیودایرکتوری هستند،همانطور که یک واحد سازمانی دارای زیر مجموعه هایی می باشد OU ها نیز می توانند زیر مجموعه داشته باشند. در زیر نمونه این از این ساختار OU را مشاهده می کنید.
ساختار اکتیودایرکتوری بصورت کلی به دو قسمت فیزیکی و منطقی تقسیم می شود ، قسمت منطقی همانهایی هستند که تاکنون در خصوص آنها صحبت کردیم اما قسمت فیزیکی قضیه به نام سایت یا Site معروف است . تمامی ساختار های منطقی اکتیودایرکتوری از قبیل OU ، Domain ، Tree و سایر مخلفات آنها در یک محیط فیزیکی قرار می گیرند که در آن سرورها و سویچ ها و تمامی تجهیزات فیزیکی از جمله لینک های ارتباطی قرار دارند ، به این ساختار فیزیکی سایت گفته می شود . در حقیقت این امکانات سایت ها هستند که باعث می شوند ما بتوانیم دامین ها و Forest ها را با یکدیگر ارتباط داده و داده های آنها را یکپارچه کنیم ، ارتباطات بین سایت ها را می توان از نظر میزان سرعت و پهنای باند آنها اولویت بندی و طبقه بندی کرد . در ادامه تصویر چند سایت را در کنار هم مشاهده می کنید.
تمامی سیستم عامل هایی که در نقش سرور فعالیت می کنند برای اینکه بتوانند از مجموعه اطلاعات و اشیائی که در آنها ایجاد می شود به صورت ساختار مند استفاده و مدیریت کنند از ساختاری به نام Directory Service استفاده می کنند ، این مبحث در ابتدا مختص به سیستم عامل ناول بود که با نام Novell Directory Services بود اما مایکروسافت با برداشتی از این سیستم آن را ابتدا در ویندوز سرور 2000 به نام اکتیودایرکتوری و در نهایت در ویندوز سرور 2008 به نام Active Directory Domain Services یا ADDS معرفی کرد .
در این ساختار کلیه اطلاعات بصورت یک پایگاه داده مرکزی در یکجا ذخیره می شوند ، این اطلاعات می تواند نام کاربری و رمز عبور کاربران ، کامپیوترهای عضو دایرکتوری سرویس ، گروه ها ، سرویس ها و و بسیاری دیگر از موارد دیگر باشد . این ساختار باعث یکپارچگی سیستم های احراز هویت و همچنین مدیریت متمرکز ساختارهای شبکه می شود . تمامی فعالیت هایی که تحت شبکه انجام می شوند می بایستی ابتدا در این سیستم احراز هویت و تایید شوند.
برای مثال سرویس DNS می تواند به عنوان یکی از سرویس های مهمی عنوان شود که بسیار وابسته به این سیستم بوده و بعضا در درون این سیستم قرار می گیرد ، تمامی این اطلاعات در قالب پایگاه داده ای به نام Active Directory Data Zone ذخیره می شوند که خود جزئی از این سرویس می باشد . این ساختار در برقراری و مدیریت منابع شبکه همچون فایل سرورها ، پرینتر ها و گروه ها و کاربران شبکه بسیار بسیار مهم است .
اگر تا کنون با ساختار اکتیودایرکتوری کار کرده باشید حتما مشاهده کرده اید که دستگاه هایی که می خواهند با سرور اکتیودایرکتوری یا بهتر بگوییم Directory Service ارتباط برقرار کنند بایستی در این سیستم عضو شوند ، اما نکته در اینجاست که شما چگونه می خواهید یک دستگاه امنیتی مثل یک فایروال یا UTM را به این سیستم عضو کنید ؟ در اینجاست که بحث استفاده از پروتکلی که امکان برقراری ارتباط با اکتیودایرکتوری را در حالتی که شما نیازی به عضویت در آن دامین را ندارید مطرح می شود .
نام این سرویس Active Directory Lightweight Services است ، این سرویس به شما این امکان را می دهد که بدون نیاز به اینکه به عضویت دامینی در بیاید عملیات های مرتبط با احراز هویت و برخی دیگر از عملیات هایی که نیاز به برقراری ارتباط با Active Directory را دارند را انجام دهید ، فرض کنید شما یک فایروال آیزا سرور در لایه بیرونی شبکه خود دارید و نمیخواهید که این سرور به شبکه داخلی شما یا دامین شما عضو شود و در عین حال بتواند کاربرانی که از شبکه دامین شما وارد می شوند را شناسایی کنند .
در اینجاست که شما از پروتکل استانداری که به نام LDAP معروف است استفاده می کنید ، LDAP یک استاندارد است که در بر اساس استانداردی دیگر به نام x.500 بنا شده است و تمامی مواردی که در این قسمت عنوان شد توسط این پروتکل فراهم می شود . در ویندوز سرور 2003 این سرویس به نام ADAM شناخته می شد اما در ویندوز سرور 2008 آنرا ADLDS نامگذاری کردند ، شما با داشتن این سرویس نیازی به بکارگیری اطلاعات و دسترسی های جانبی به سرور اکتیودایرکتوری بصورت مستقیم را نخواهد داشت . این سرویس را علاوه بر استفاده در سخت افزارها می توانید در محیط Work-group برای برقراری ارتباط با اکتیودایرکتوری استفاده کنید .
این سرویس در حقیقت یک سرویس امنیتی برای ارائه خدمات رمزنگاری و مدیریت کلیدها و توزیع این سیستم های رمزنگاری ( تایید صلاحیت دیجیتال یا امضای دیجیتال ) است ، این ساختار بر مبنای زیرساختار کلید عمومی یا Public Key Cryptography پایه گذاری شده است و این امکان را می دهد که در سرویس های مختلف شبکه از جمله وب سرور و سایر سرویس های مرتبط برای ارائه سرویس های مانند SSL مورد استفاده قرار بگیرد ، این سیستم می تواند به عنوان مرجعی برای احراز هویت کاربران و سیستم های تحت شبکه مورد استفاده قرار بگیرد ، در این خصوص بعد ها توضیحات تکمیلی در مقاله ای جداگانه ارائه خواهید داد .
این سرویس ، یک سرویس امنیتی دیگر از مایکروسافت است که برای ما امنیت اطلاعات را به ارمغان می آرد ، با استفاده از این سرویس و همچنین فعال کردن سرویس ADRMS بر روی کلاینت هایی که از این سرویس پشتیبانی می کنند شما قادر خواهید بود که برای مستندات و منابع اطلاعاتی خود سطوح دسترسی مانند اجازه باز کردن ، پرینت کردن ، ارسال کردن و سایر فعالیت ها را قرار دهید . برای مثال شما می توانید از پرینت شدن یک مستند متنی مایکروسافت آفیس جلوگیری کنید ضمن اینکه کاربر حق مشاهده آن را دارد .
این سرویس در واقع نرم افزاری است که توسط تیم توسعه مایکروسافت نوشته شده است و با نصب آن شما را را قادر می سازد تا قابلیت Single Sign On یا SSO بین دامین ها و Forest های گوناگون را فراهم کنید ، با استفاده از این سرویس دیگر نیازی نیست که از ساختار Trust در بین دامین ها و Forest ها برای برقراری ارتباط بین دامین ها استفاده کنید و دیگر ارتباطات بین شبکه ای به جای اینکه با استفاده از پروتکل LDAP انجام شود توسط SSL و پروتکل HTTPS انجام می شود و شما را قادر می سازد که SSO را در سطح Forest خود براحتی پیاده سازی کنید ، جهت بدست آورد اطلاعات بیشتر در خصوص SSO می توانید به مقاله زیر مراجعه کنید . با اینکار تا حد زیادی خطر دسترسی به Directory Service ها توسط سایر کاربران دامین ها کاهش می یابد .
یک دامین کنترلر با تمامی امکانات می باشد اما فقط خواندنی است ، در RODC یک نسخه کامل از اکتیودایرکتوری وجود دارد که شامل نام های کاربری و سایراطلاعاتی است که در این ساختار وجود دارند ، البته قابل ذکر است که رمزهای ورود در این دامین کنترلر وجود ندارند ، این سرور به نوعی برای ایجاد امنیت بیشتر در ساختار های سازمانی است که دارای شعب مخلفی بوده و در هز شعبه مجبور هستیم که یک دامین کنترلر قرار دهیم .
به جای اینکه یک سرور کامل را در آنجا قرار دهیم صرفا یک سرور فقط خواندنی را قرار می دهیم ، با اینکار هکر حتی در صورت دسترسی پیدا کردن به سرور قادر نخواهد بود در سرور دستکاری انجام دهد ، شیوه کاری این سرور به این شکل است که به محض دریافت درخواست های ورود به سیستم این درخواست ها از طریق RODC به سرور اصلی فرستاده می شوند و سرور اصلی آنها را احزار هویت کرده و به RODC بر می گرداند و به این ترتیب کاربر اجازه ورود به سیستم را بدست می آورد . معمولا در محیط هایی که امنیت فیزیکی کمی دارند از این نوع سرورها استفاده می شود ، لازم به ذکر است پس از هر بار احراز هویت هر کاربر رمز وی در سرور RODC کش می شود تا در دسترسی های بعدی سریعتر بتواند مجوز ورود را به وی بدهد . بصورت کلی ویژگیهای یک دامین کنترلر فقط خواندنی یا RODC به شرح زیر است :
کش شدن حساب های کاربری یا Account Caching :با کش شدن حساب های کاربری ، سرعت ورود افزایش پیدا کرده و ورود به سیستم ها نیز بر اساس درخواستی خواهد بود که کلاینت به سرور ارسال می کند و باعث صرفه جویی در زمان Replication نیز می شوند.
نقش هایی را که تاکنون عنوان کردیم را می توانیم با استفاده از دو روش معمول مدیریت کنیم که در ادامه به آنها خواهیم پرداخت ، روش اول استفاده از کنسول Server Manager و روش دوم استفاده از قابلیت Windows Server Core می باشد . کنسول Server Manager برای مدیریت ابزارهای اکتیو دایرکتوری استفاده می شود server manager بصورت پیش فرض با نصب ویندوز سرور 2008 (به غیر از server core)در دسترس قرار می گیرد با این حال می توانیم با استفاده از سیستم رجیستری آن را ببندیم و در صورت نیاز می توان با استفاده از مسیرهای زیر آن را مجددا باز کرد:
Start menu>Administrative tools>server manager یا Start menu>right click on computer>select manage
Server Manager یک ابزار آشنا برای مهندسانی است که با نسخه های قدیمی ویندوز سرور کار کرده اند و راه حلی است که به مدیریت ویندوز سرور ها کمک می کند نسخه کنونی آن در ویندوز سرور 2008 پیشرفته تر از ورژنهای قبلی آن است.
Server core نه تنها یک راه جدید برای مدیریت نقشها به ارمغان می آورد بلکه یک راه کاملا جدید برای استقرار ویندوز سرور است. هسته سرور در حقیقت همان نسخه اولیه ویندوز سرور 2008 است .مایکروسافت هسته سرور را به عنوان یک سرور با حداقل امکانات نصب و راه اندازی ویندوز سرور 2008 ارائه داده است که شامل زیر مجموعه ای از فایلهای اجرایی و 5 نقش سرور می باشد در واقع server core تنها محیط مورد نیاز پشتیبانی نقشها و پایه سیستم عاملها را فراهم می کند بصورت پیش فرض در هسته ویندوز فرایندهای کمتری اجرا می شود.
server core کاملا با ویندوز سرور NT وویندوز سرور های 2000و2003وحتی 2008 متفاوت است ومحیط آن بیشتر شبیه MS-DOS به نظر می رسد.(یک محیط دستوری است) در هسته سرور ویندوز اکسپلورر و اینترنت اکسپلورر ،منوی استارت و حتی ساعت نیز وجود ندارد آشنایی با محیط هسته سرور زمانبر است . جالب توجه است برای کسانیکه امنیت و ویژگیهای یک Server core را با سهولت استفاده از یک رابط کاربری گرافیکی میخواهند،شما توانایی مدیریت نصب هسته سرور را به کمک ابزارهای مدیریتی از راه دور را دارید.Server core قابلیت اجرای نقشها ی زیر را داراست:
علاوه بر نقشهای ذکر شده هسته سرور می تواند Feature های زیر را پشتیبانی کند:
نصب ویندوز server core بسیار آسان است در طول فرایند نصب گزینه هایی برای نصب هسته ویندوز ویا اجرای ویندوز استاندارد وجود دارد با انتصاب گزینه های پیکربندی هارد دیسکها ،مجوز کلید فعال سازی ،قرار داد مجوز کاربر نهایی (EULA) بسادگی windows core بصورت اتو ماتیک نصب شده بعد از rebootشدن سیستم با یک محیط کاملا سنتی مواجه خواهید شد(کار با دستورات در محیط command prompt)
نحوه نصب نقش DNS server: قبل از نصب دامین کنترلر بهتر است این سرویس نصب شود برای این منظور DNSو آی پی آدرس IPv4 را بصورت دستی تعیین و IPv6 را نیز غیر فعال می کنیم.
در محیط سرور منیجر گزینه add roles را انتخاب میکنیم
تیک DNS server را فعال کرده و روی Next کلیک میکنیم
در این قسمت معرفی نامه DNS server را خوانده و Next را میزنیم
روی گزینه install کلیک میکنیم
در این مرحله نصب DNS server شروع میشود
در پایان نتیجه فرایند نصب نمایش داده میشود و روی گزینه close کلیک میکنیم