اکتیودایرکتوری چیست و دامین چه کمکی به شرکت می‌کند؟

در یک مثال فرضی، کارمند تازه واحد مالی به حساب شخصی و دسترسی پوشه مالی نیاز دارد. مسئول شبکه می‌تواند حساب او را در دامین بسازد و به گروه مربوط اضافه کند؛ سپس مجوز پوشه با همان گروه مدیریت شود. اگر کارمند به فروش منتقل شد، دسترسی‌های قبلی هم باید بازبینی و دسترسی لازم تازه داده شود؛ فقط اضافه‌کردن گروه جدید کافی نیست.

این روش به‌جای سپردن یک رمز مشترک به همه، هویت افراد را جدا نگه می‌دارد. با این حال، عضو دامین بودن به معنی دسترسی آزاد به تمام منابع نیست. برنامه‌ای که حساب داخلی و مستقل دارد نیز خودکار به این فرایند وصل نمی‌شود.

تکرار نام کاربری و رمز یکسان روی چند کامپیوتر، آن‌ها را به یک حساب مرکزی تبدیل نمی‌کند. از طرف دیگر، هر دفتر کوچک الزاماً به دامین نیاز ندارد؛ برنامه‌های مورد استفاده، شیوه دورکاری، سرویس‌های ابری و هزینه مدیریت تعیین‌کننده‌اند.

گروه امنیتی، مجموعه‌ای از حساب‌هاست که می‌توان به آن مجوز منبع داد؛ مثلاً خواندن پوشه یک واحد. OU یا واحد سازمانی، ظرفی برای نظم‌دادن به اشیای دامین و واگذاری مدیریت است. قرارگرفتن کاربر در OU مالی به‌خودی‌خود مجوز پوشه مالی نمی‌دهد؛ باید مجوزها جدا درست طراحی شوند.

Group Policy مجموعه تنظیماتی است که می‌تواند روی کاربران یا کامپیوترهای انتخاب‌شده اثر بگذارد؛ مانند بعضی تنظیمات امنیتی یا محیط کار. اتصال سیاست به دامین یا OU و شرایط اعمال آن اهمیت دارد. همه تنظیم‌ها هم فوراً روی همه دستگاه‌ها اجرا نمی‌شوند؛ ورود، راه‌اندازی و تازه‌سازی پس‌زمینه می‌توانند در زمان اعمال نقش داشته باشند.

برای شرکت، پرسش مفید این است: «کدام گروه باید به چه چیزی دسترسی داشته باشد و چه کسی تغییر را تأیید می‌کند؟» ساخت تعداد زیادی OU بدون پاسخ به این سؤال، به‌تنهایی مشکل دسترسی را حل نمی‌کند.

دامنه وب‌سایت برای نام‌گذاری و یافتن سرویس اینترنتی استفاده می‌شود؛ دامین AD محدوده هویت و مدیریت شبکه است. داشتن دامنه برای سایت، دامین داخلی شرکت ایجاد نمی‌کند. نام‌ها ممکن است به هم مرتبط طراحی شوند، اما نقششان متفاوت است.

Domain Controller نیز دروازه عبور همه ترافیک نیست. کاربر ممکن است برای احراز هویت به سرویس دامین وابسته باشد و سپس داده را با سرور فایل یا برنامه مبادله کند. پس کندی یا قطعی هر ارتباطی را نباید خودکار خرابی دامین دانست.

Microsoft Entra ID سرویس هویت ابری است و همان AD DS با نام جدید نیست. قابلیت‌ها و شیوه پیوستن برنامه‌ها و دستگاه‌ها متفاوت‌اند؛ ممکن است سازمان از یکی یا ترکیبی از آن‌ها استفاده کند. پیش از انتخاب، باید معلوم باشد نرم‌افزارهای شرکت کدام روش هویت را پشتیبانی می‌کنند.

• امنیت کامل شبکه: طراحی مجوز، نگهداری، به‌روزرسانی و حفاظت از حساب مدیر همچنان لازم‌اند.
• بکاپ داده و سرویس هویت: داشتن کنترلر دامین دوم به‌تنهایی جای نسخه قابل بازیابی را نمی‌گیرد.
• ورود یکپارچه به همه برنامه‌ها: اتصال و پشتیبانی هر برنامه باید بررسی شود.
• انتقال خودکار فایل و محیط کار: پیوستن کامپیوتر به دامین، جابه‌جایی پروفایل و داده قبلی را تضمین نمی‌کند.
• قطع فوری تمام راه‌های دسترسی فرد: حساب‌های مستقل، نشست‌های باز و نسخه‌های قبلاً دریافت‌شده رسیدگی جدا دارند.

به همین دلیل، تغییر ساختار هویت باید با برنامه انتقال کاربران و کنترل کارکرد نرم‌افزارها همراه باشد. برای پایان همکاری نیز چک‌لیست دسترسی‌های کارمند هنگام خروج مسیر حساب‌ها، داده‌ها و تحویل کار را جدا دنبال می‌کند.

اگر مدیریت حساب‌های پراکنده سخت شده، مجوز پوشه‌ها نامنظم است یا باید تنظیم مشترکی روی کامپیوترها اعمال شود، بررسی AD DS می‌تواند مفید باشد. اگر کار عمدتاً با سرویس‌های ابری و دستگاه‌های متنوع انجام می‌شود، راهکار هویت ابری هم باید در تصمیم دیده شود. دامین خوب، متناسب با کار و قابل نگهداری است؛ تعداد کارکنان به‌تنهایی نسخه آماده تعیین نمی‌کند.

برای بررسی ساختار فعلی، انتقال کاربران یا اجرای مدیریت مرکزی، خدمات اکتیودایرکتوری نت‌مسترز قابل سفارش است. این مقاله مفهوم و مرزها را توضیح می‌دهد؛ جزئیات نصب باید متناسب با نسخه، شبکه و برنامه‌های واقعی شرکت طراحی و کنترل شوند.