۱. سایت، پارتیشن و SYSVOL
مباحث اپیزود اول روی معماری فیزیکی، همگامسازی بین سرورها (Replication) و مدیریت پیشرفته اشیاء متمرکز است.
نامگذاری فارست
در معماری دامین، نام کل Forest (فارست) دقیقاً برابر با نام اولین دامینی است که ساخته میشود و به آن Forest Root Domain میگویند.
اکتیودایرکتوری سایت (AD Site) و دو کارکرد آن
مفهوم Site برای مدیریت توپولوژی فیزیکی شبکه استفاده میشود و دو وظیفه بسیار مهم دارد:
Service Localization
به کلاینتها میفهمانیم که برای سرویس گرفتن، باید از DC شعبه لوکال (محلی) خودشان استفاده کنند، نه اینکه بر اساس شبکه، به شعبه دیگری متصل شوند.
Traffic Control
با سایتها مشخص میکنیم که کلاینتها به صورت کنترلشده در DCهای مختلف پخش شوند تا بار ترافیکی (حتی در یک شعبه لوکال) بالانس شود.
کنترل ترافیک بین شعبات و نمایندهها
در هر سایت یک نماینده (Bridgehead Server) داریم. وقتی شعبات میخواهند دیتابیس را آپدیت کنند، نمایندهها با هم صحبت میکنند، نه اینکه تمام DCها با هم ارتباط بگیرند که باعث افت شبکه شود. در کنترل ترافیک، همین نمایندهها مشخص میکنند که هر چند دقیقه و چندبار با هم ارتباط و همگامسازی (Replication) داشته باشند.
پارتیشنهای اکتیودایرکتوری
وقتی DCها با هم ارتباط میگیرند، ۴ دسته اطلاعات را به هم میگویند که به آنها پارتیشنهای اکتیودایرکتوری گفته میشود:
- Domain Naming Context: یا پارتیشن دامین.
- Schema Partition: حاوی ساختار اکتیو دایرکتوری.
- Configuration Partition: تنظیمات مربوط به سایتها و دامینها.
- Application Partition: اطلاعات اپلیکیشنهای متصل به دامین.
پوشه SYSVOL و Replication آن
وقتی اکتیودایرکتوری را نصب میکنیم، پوشه SYSVOL به صورت خودکار ایجاد میشود. وظیفه این پوشه این است که تمامی GPOها (Group Policy) را درون خود سیو کند. این پوشه و پالیسیها بین DCها رد و بدل میشوند تا همهجا یکسان باشند، که این کار از طریق پروتکل DFSR انجام میپذیرد.
ترابلشوتینگ پوشه SYSVOL
اشکالات زیادی ممکن است در پوشه SYSVOL اتفاق بیفتد. مثلاً وقتی یک DC جدید نصب میکنید، ممکن است پالیسیها Replicate نشوند. در اینجا ادمین باید با دیباگ و ترابلشوتینگ مشکل را حل کند تا GPOها روی DC جدید هم اعمال شوند.
ادیشنهای (Editions) ویندوز سرور
مایکروسافت برای ویندوز سرور نسخههای مختلفی ارائه کرده است:
- Datacenter (دیتاسنتر): کاملترین ادیشن ویندوز است که تمامی رولها و فیچرها را داراست.
- Standard (استاندارد): نسخه پایهایتر برای محیطهایی که نیاز به مجازیسازی سنگین ندارند.
- Essential (اسنشیال): برای شرکتهای کوچک (در حد ۲۵ یوزر و ۵۰ دیوایس). نکته جالب این است که وقتی نصب میشود، خودش اتوماتیک آماده است و اکتیودایرکتوری (DC) را نصب میکند و قیمت پایینتری دارد.
- Multipoint Premium Server: برای این استفاده میشود که اپلیکیشنها را روی این سرور نصب کنیم تا کلاینتها بتوانند به آن ریموت زده و از برنامهها استفاده کنند.
- Hyper-V Server: نسخهای که فقط و فقط رول هایپر-وی را دارد و جز این هیچ چیز دیگری ندارد.
مزیت طلایی نسخه Datacenter در مجازیسازی
نکته بسیار مهم در محیط Hyper-V این است: وقتی ویندوز سرور دیتاسنتر نصب و اکتیو (لایسنسدار) باشد، شما میتوانید نامحدود ماشین مجازی (Virtual Machine) روی آن بالا بیاورید که همگی به صورت رایگان اکتیو میشوند! اما روی ویندوز سرور استاندارد، فقط مجازید ۲ عدد ماشین مجازی را رایگان و بدون نیاز به لایسنس مجدد بالا بیاورید.
محیطهای POSE و VOSE
دو محیط اصلی برای اجرای سیستمعامل سرور وجود دارد:
POSE
ویندوزی که مستقیماً روی سختافزار ما نصب شده است (همان Host اصلی).
VOSE
ویندوزهایی که به صورت ویرچوال (مجازی) نصب شدهاند و با استفاده از Hardware Virtualization منابع به آنها تخصیص داده شده است.
محیط کاربری (GUI در برابر Server Core)
ما معمولاً با ویندوز سرور دیتاسنتر کار میکنیم. دسکتاپ (یا همان GUI) به شدت منابع سرور را مصرف میکند. به همین دلیل ما از محیط Core (بدون گرافیک) استفاده میکنیم.
استراتژی کانفیگ: همه سرورها را Core نصب میکنیم. سپس فقط یک سرور GUI راهاندازی میکنیم تا از طریق همان یک سرور، تمامی سرورهای Core را کانفیگ و مدیریت کنیم. البته باید توجه داشت که نسخه Core یکسری رولهای محدود را ساپورت نمیکند که تعدادشان واقعاً زیاد نیست و مشکلی ایجاد نمیکند.
مدیریت با OU و Container
برای کنترل خیلی بهتر یوزرها در AD DS، OU (Organizational Unit) های جداگانه میسازیم (برای مثال OU مالی، اداری، مدیران).
معیارهای ساخت OU: ساختارهای سازمانی معمولاً بر این سه اساس ساخته میشوند:
- Function (عملکرد/وظیفه)
- Location (موقعیت جغرافیایی/شعبه)
- Organization (ساختار سازمانی)
تفاوت کلیدی: به OUها مستقیماً میشود گروپ پالیسی (GPO) اعمال کرد، ولی به کانتینر (Container) خیر! نکته مهم اینجاست که وقتی کامپیوتری عضو دامین میشود، خودکار در کانتینری به نام Computers عضو میشود (که GPO مستقیمی نمیگیرد) تا زمانی که آن را به OU مدنظرمان منتقل کنیم.
پسوردها و ورود Administrator
پسوردهای دامین به صورت پیشفرض کامپلکس (پیچیده) هستند و باید حداقل ۷ رقمی باشند.
وقتی در کادر Sign-in عبارت Administrator را مینویسیم، سیستم آن را به عنوان لوکال ادمین در نظر میگیرد؛ مگر اینکه با روشهای نامگذاری دامین مثل استفاده از @ یا \ وارد ادمین دامین شویم. البته به خاطر مسائل هاردنینگ (Hardening) و امنسازی، حتماً باید این اسمهای پیشفرض را تغییر دهیم.
محدودیت لاگین (Log On To) و چالش اپلیکیشنها
در بخش Properties یوزر، در کادر Log On To میتوانیم محدود کنیم که این یوزر فقط در کدام کامپیوترها و با چه آیپیهایی امکان لاگین دارد (این لیست میتواند شامل چند آیپی باشد).
نکته عملیاتی: به علت مشکلات Authentication در بعضی از اپلیکیشنهای درپیت (غیراستاندارد)، گاهی مجبور میشویم آدرس خود سرور را هم در کادر Log On To وارد کنیم تا یوزر بتواند از آن اپلیکیشنها که روی سرورها قرار دارند استفاده کند!
مدیریت اسکیما (Schema)
برای دسترسی به اسکیما، بعد از زدن کامند/DLL مربوطه در کادر Run، میتوانیم با کنسول MMC وارد Schema Manager بشویم. باید بدانید که اشیاء داخل اسکیما هرگز پاک نمیشوند، بلکه در صورت نیاز فقط غیرفعال (Disable) میشوند.
پروتکل LDAP
پروتکل LDAP پروتکلی است که قالب و نحوه قرارگیری اطلاعات در دیتابیس دایرکتوری را مشخص میکند و استانداردی برای تبادل اطلاعات با اکتیودایرکتوری است.
رومینگ پروفایل (Roaming Profile)
رومینگ پروفایل برای این است که دسکتاپ و تنظیمات کاربر در شبکه همراهش باشد. نحوه راهاندازی آن به این شکل است:
- ابتدا فولدری را در File Server شیر (Share) میکنیم.
- به Properties یک یوزر رفته و در تب Profile، در قسمت Path، آدرس تحت شبکه آن سرور و فولدر و سابفولدرها را میزنیم.
ترفند نامگذاری: اگر خواستیم سرور به صورت خودکار به اسم همان یوزر پوشه بسازد، در انتهای مسیر از متغیر %username% استفاده میکنیم.
نکته مهم این است که رومینگ پروفایل، هم روی سیستم لوکال کش میشود و هم روی لوکیشنی که ما روی سرور تعریف کردهایم قرار دارد.
جابجایی پوشهها (Folder Redirection)
رومینگ پروفایل گاهی میتواند باعث کندی شبکه شود. با قابلیت Folder Redirection میتوانیم تعریف کنیم که کل پروفایل کاربر را نبرد، بلکه فقط داکیومنتها، فولدر دسکتاپ یا موارد اینچنینی به سمت سرور هدایت شوند.
مانیتورینگ اکتیودایرکتوری
ابزار ADAudit Plus
نرمافزار ManageEngine ADAudit Plus یک ابزار فوقالعاده حرفهای و کارآمد برای مانیتورینگ دقیق تغییرات و حسابرسی در اکتیودایرکتوری است.
کنسول ADAC و اهمیت Recycle Bin
ما علاوه بر کنسول سنتی، یک کنسول جدیدتر به نام ADAC (Active Directory Administrative Center) هم داریم که قابلیتهای مضاعفی در مدیریت به ما میدهد.
یکی از این قابلیتها، فعالسازی Recycle Bin (سطل زباله اکتیودایرکتوری) است که فعال کردنش خیلی مهم است. وقتی فعال شود، هر آبجکتی که پاک بشود را تا ۱۸۰ روز نگه میدارد.
بازگردانی با Recycle Bin
با استفاده از Recycle Bin، اگر آبجکتی را بازگردانی کنیم، همهچیز کامل برمیگردد و هیچ اطلاعاتی از دست نمیرود.
بازگردانی با Tombstone
اگر سطل آشغال را فعال نکرده باشیم، مجبوریم با قابلیتی به نام Tombstone آبجکتها را برگردانیم. عیب بزرگش این است که اگر با آن برگردانیم، تمامی Attributeها از بین میروند!
قابلیت جستجوی پیشرفته (Query)
در اکتیودایرکتوری قابلیتی به اسم Query داریم که با آن میتوانیم سرچهای دقیق و هوشمندانهای انجام بدهیم. برای مثال میتوانیم جستجو کنیم:
- وضعیت اکانتها: Enable / Disable Accounts
- زمان آخرین ورود: Last Log On Days
- وضعیت پسورد: Password Never Expire
مدیریت از راه دور با MMC و Server Manager
برای مدیریت سرورها از راه دور، ابزارهای متمرکزی داریم:
مدیریت با کنسول MMC
با قابلیت On Another PC در کنسول MMC میتوانیم از راه دور، یک سرور DC یا کامپیوتر دیگر را به کنسول خود اضافه کرده و مدیریت کنیم.
مدیریت در Server Manager
همانطور که قبلاً گفته شد، ما با اضافه کردن سرورها از قسمت All Servers در Server Manager، میتوانیم تمام سرورهای Core شبکه را با یک سرور دارای GUI، به صورت متمرکز کانفیگ کنیم.