Hiểu về Active Directory (AD): Tính năng chính và lợi ích

Active Directory (AD) là dịch vụ thư mục độc quyền của Microsoft cho phép quản trị viên mạng quản lý người dùng, quyền hạn và quyền truy cập của họ vào tài nguyên mạng. Nó chạy trên Windows Server và lưu trữ thông tin về các đối tượng, như tài nguyên mạng được chia sẻ, trên mạng doanh nghiệp theo định dạng logic, phân cấp. Điều này cho phép quản trị viên quản lý các tài nguyên đó, cũng như người dùng cần truy cập vào các tài nguyên đó để hoàn thành công việc.

Một domain controller (bộ điều khiển miền) là cần thiết để chạy dịch vụ AD. Domain controller là một server chạy phiên bản của hệ điều hành Windows Server có cài đặt Active Directory Domain Services (AD DS). Bằng cách cài đặt AD DS, quản trị viên có thể cấu hình một vai trò server cụ thể cho máy tính, chẳng hạn như vai trò của domain controller.

Vai trò của Active Directory và nó được dùng để làm gì?

Active Directory lưu trữ dữ liệu về tất cả các đối tượng trên mạng. Một đối tượng là một phần tử đơn lẻ, như người dùng, nhóm, ứng dụng hoặc thiết bị chia sẻ, như server hoặc máy in. Các đối tượng thường được định nghĩa là tài nguyên, như máy in hoặc máy tính, hoặc chủ thể bảo mật (security principals), như người dùng hoặc nhóm.

Active Directory dùng một tập quy tắc gọi là schema (lược đồ) để định nghĩa các lớp đối tượng và thuộc tính của chúng. Schema cũng xác định định dạng của tên mỗi đối tượng. AD cũng bao gồm một global catalog (danh mục toàn cục) chứa thông tin về tất cả các đối tượng. Schema và global catalog giúp quản trị viên mạng dễ dàng xác định và quản lý các đối tượng. Ngoài ra, bằng cách lưu trữ thông tin liên quan về tài khoản người dùng trên mạng, như tên và mật khẩu của họ, AD cho phép người dùng và quản trị viên được ủy quyền khác trên mạng đó truy cập thông tin này.

AD cũng cho phép quản trị viên, người dùng và ứng dụng phát hành và tìm kiếm các đối tượng và thuộc tính của chúng. Họ có thể làm điều này thông qua cơ chế truy vấn và lập chỉ mục (query and index mechanism) của AD. Ngoài ra, AD cung cấp dịch vụ sao chép (replication service) có hai vai trò. Nó đảm bảo tất cả domain controller trong mạng chứa một bản sao hoàn chỉnh của tất cả thông tin thư mục cho domain của chúng, và nó đảm bảo bất kỳ thay đổi nào đối với dữ liệu trong thư mục được sao chép đến tất cả domain controller trong domain. Bằng cách duy trì các bản sao của dữ liệu thư mục trên tất cả domain controller, dịch vụ sao chép đảm bảo tính sẵn sàng của thư mục và cũng tối ưu hóa hiệu suất của nó cho tất cả người dùng.

Active Directory Domain Services (AD DS) là gì?

Trong các phiên bản Windows Server cũ hơn — Windows 2000 Server và Windows Server 2003 — dịch vụ thư mục được đặt tên là Active Directory. Tuy nhiên, từ Windows Server 2008 R2 và Windows Server 2008 trở đi, Microsoft đã đổi tên dịch vụ thư mục thành Active Directory Domain Services.

AD DS lưu trữ thông tin thư mục, bao gồm thông tin về tài khoản người dùng. Nó làm điều này bằng cách dùng một kho dữ liệu có cấu trúc (structured data store) gọi là thư mục (directory). Thư mục này cho phép thông tin thư mục được tổ chức theo định dạng logic và phân cấp. AD DS cũng làm cho dữ liệu thư mục có sẵn cho người dùng và quản trị viên mạng được ủy quyền, cho phép họ truy cập nó khi cần.

Giống như AD, AD DS bao gồm hệ thống sao chép tự động xây dựng và cập nhật global catalog server, là một domain controller. Catalog này lưu trữ bản sao đầy đủ, có thể ghi của tất cả đối tượng và thuộc tính của chúng trong một domain, cũng như bản sao một phần, chỉ đọc của tất cả các domain khác trong rừng (forest). Việc sao chép thuộc tính như vậy giúp người dùng và quản trị viên dễ dàng tìm kiếm đối tượng trong AD DS.

AD DS cung cấp bảo mật qua cơ chế xác thực đăng nhập tích hợp và kiểm soát truy cập. Các cơ chế này cho phép người dùng được ủy quyền truy cập tài nguyên mạng và cho phép quản trị viên dễ dàng quản lý dữ liệu thư mục và tổ chức trên toàn mạng bằng một tên người dùng và mật khẩu mạng đơn nhất.

Để hỗ trợ thêm cho quản trị viên mạng, AD DS cung cấp quản trị dựa trên chính sách (policy-based administration). Điều này cho phép quản trị viên dễ dàng quản lý даже các mạng phức tạp.

Các chế độ, giao thức và dịch vụ của Active Directory

Một số dịch vụ khác nhau cấu thành Active Directory. Dịch vụ chính là Domain Services, nhưng Active Directory cũng có các dịch vụ sau:

Active Directory Lightweight Directory Services (AD LDS) là một chế độ độc lập của AD, nghĩa là nó hoạt động độc lập với domain hoặc rừng AD và có thể cài đặt mà không ảnh hưởng đến AD. Nó cung cấp dịch vụ thư mục cho ứng dụng, bao gồm kho dữ liệu, và dùng giao diện lập trình ứng dụng (API) tiêu chuẩn để truy cập dữ liệu ứng dụng. Tuy nhiên, nó không bao gồm các tính năng cơ sở hạ tầng của AD.
Lightweight Directory Access Protocol (LDAP) là một giao thức dịch vụ thư mục dùng để truy cập và duy trì thư mục qua mạng. Dựa trên mô hình client-server, LDAP chạy trên một lớp trên ngăn xếp TCP/IP. LDAP không thể dùng để tạo thư mục hoặc chỉ định cách dịch vụ thư mục nên hoạt động. Chức năng chính của nó là giúp quản lý thư mục.
Active Directory Certificate Services (AD CS) dùng để tạo, quản lý và chia sẻ chứng chỉ cơ sở hạ tầng khóa công khai (public key infrastructure certificates). Chứng chỉ dùng mã hóa để cho phép người dùng trao đổi thông tin qua internet an toàn với khóa công khai. Các chứng chỉ này cung cấp bảo mật thông qua mã hóa; xác thực máy tính, người dùng và tài khoản thiết bị trên mạng; và giúp duy trì tính toàn vẹn của tài liệu kỹ thuật số thông qua chữ ký số.
Active Directory Federation Services (AD FS) xác thực truy cập người dùng vào nhiều ứng dụng — thậm chí trên các mạng khác nhau — dùng single sign-on (SSO - đăng nhập đơn). Như tên cho thấy, SSO chỉ yêu cầu người dùng đăng nhập một lần thay vì dùng nhiều khóa xác thực chuyên dụng cho từng dịch vụ. Bằng cách cho phép chia sẻ an toàn danh tính kỹ thuật số và quyền tiêu thụ (entitlements rights) qua ranh giới bảo mật và doanh nghiệp, AD FS giúp đơn giản hóa trải nghiệm người dùng khi họ truy cập ứng dụng đối mặt internet.
Active Directory Rights Management Services (AD RMS) cho phép tổ chức bảo vệ tài liệu của họ dùng quản lý quyền thông tin (information rights management - IRM). Với AD RMS, họ có thể tạo chính sách IRM để chỉ định ai có thể truy cập thông tin nhạy cảm, từ đó ngăn chặn việc sử dụng hoặc lạm dụng bởi người không được ủy quyền.

Các tính năng chính của mô hình logic AD và AD DS

Active Directory Domain Services dùng một mô hình logic bao gồm rừng (forests), domain (miền) và đơn vị tổ chức (organizational units - OUs). Mô hình này quan trọng vì nó cung cấp cách để:

Lưu trữ và quản lý thông tin về tài nguyên mạng.
Lưu trữ và quản lý dữ liệu cụ thể ứng dụng từ các ứng dụng bật thư mục.
Cho phép quản trị viên tổ chức người dùng, máy tính, thiết bị và các yếu tố khác của mạng vào một cấu trúc chứa phân cấp.

Các đối tượng khác nhau, như người dùng và thiết bị chia sẻ cùng cơ sở dữ liệu, nằm trên cùng domain. Một cây (tree) là một hoặc nhiều domain nhóm lại với nhau với mối quan hệ tin cậy phân cấp. Một rừng (forest) là một nhóm nhiều cây. Rừng cung cấp ranh giới bảo mật, trong khi domain — chia sẻ cơ sở dữ liệu chung — có thể được quản lý cho các cài đặt như xác thực và mã hóa. Các yếu tố khác nhau này có các chức năng sau:

Rừng là container cấp cao nhất trong AD DS. Nó đề cập đến một nhóm một hoặc nhiều domain AD. Nó cung cấp cấu trúc logic chung cho các domain đó và tự động liên kết chúng với mối quan hệ tin cậy hai chiều, bắc cầu (transitive). Các mối quan hệ này cho phép AD DS cung cấp bảo mật trên nhiều domain hoặc rừng. Chúng cũng cho phép domain mở rộng dịch vụ xác thực đến người dùng trong domain bên ngoài rừng của chúng.
Domain là một container hoặc phân vùng trong rừng. Nó cung cấp danh tính người dùng trên toàn mạng, nên danh tính người dùng chỉ cần tạo một lần. Khi đã làm xong, chúng có thể được tham chiếu trên bất kỳ máy tính nào tham gia vào rừng mà domain đó nằm. Domain dùng một hoặc nhiều domain controller để lưu trữ tài khoản người dùng và thông tin xác thực, cung cấp dịch vụ xác thực cho người dùng và kiểm soát truy cập tài nguyên mạng. Domain controller cho một domain cụ thể có một bản sao của thư mục cho toàn bộ domain nơi nó nằm.
OU là yếu tố nhỏ nhất của mô hình logic AD DS. OUs hình thành một hệ cấp các container trong domain. Quản trị viên thường dùng OUs để đơn giản hóa các tác vụ quản trị, như áp dụng Group Policies. OUs cũng hữu ích cho ủy quyền (delegation of authority), cho phép chủ sở hữu chuyển giao kiểm soát quản trị — đầy đủ hoặc hạn chế — đối với đối tượng cho người dùng hoặc nhóm khác nhằm đơn giản hóa quản lý các đối tượng đó.

Mô hình domain-forest-OU của AD DS áp dụng bất kể topo mạng và số lượng domain controller yêu cầu trong mỗi domain.

Các tính năng chính của AD và Active Directory Domain Services

Một trong các tính năng chính của AD và AD DS là chúng dùng kho dữ liệu có cấu trúc và phân cấp để tổ chức và phát hành logic thông tin thư mục, tức là thông tin về các đối tượng lưu trữ trong thư mục AD DS. Các đối tượng này có thể bao gồm:

Người dùng (Users)
Nhóm (Groups)
Máy tính (Computers)
Domain
OUs
Chính sách bảo mật (Security policies)

Một schema chuẩn hóa được dùng để định nghĩa các lớp đối tượng, thuộc tính và tên, cũng như các ràng buộc và giới hạn trên các instance của các đối tượng này. Schema mặc định trong AD được mô phỏng theo chuỗi tiêu chuẩn X.500 của International Organization for Standardization cho dịch vụ thư mục. Nó cũng có thể mở rộng (extensible), nghĩa là các lớp và thuộc tính có thể được thêm vào và sửa đổi khi cần. Schema AD được lưu trữ trong phân vùng thư mục schema và được sao chép đến tất cả domain controller trong một rừng.

Một tính năng quan trọng khác của AD là nó dùng bốn loại phân vùng thư mục (directory partition types) để lưu trữ và sao chép các loại dữ liệu khác nhau trong file Ntds.dit trên domain controller của một domain. Người dùng và quản trị viên có thể truy cập thông tin này xuyên suốt một domain. Một phân vùng thư mục điển hình chứa dữ liệu về domain, cấu hình, schema và ứng dụng.

AD và AD DS có cơ chế truy vấn và lập chỉ mục. Cơ chế này cho phép người dùng mạng hoặc ứng dụng tìm thấy đối tượng và thuộc tính của chúng lưu trữ trong AD. Cuối cùng, dịch vụ sao chép của AD phân phối dữ liệu thư mục trên mạng. AD bao gồm Knowledge Consistency Checker, tự động tạo kết nối sao chép từ domain controller nguồn đến domain controller đích và tạo topo sao chép cho rừng AD.

Thuật ngữ về tin cậy (Trusting terminology)

Active Directory dựa vào tin cậy (trusts) để tạo điều kiện xác thực và cung cấp bảo mật trên nhiều domain hoặc rừng. Các mối quan hệ tin cậy này áp dụng cho cả domain và rừng trong AD. AD trusts chỉ hoạt động đúng nếu mọi tài nguyên đều có đường dẫn tin cậy trực tiếp đến domain controller trong domain nơi nó nằm. Ngoài ra, để tạo điều kiện, Windows kiểm tra xem domain được yêu cầu bởi người dùng hoặc máy tính đã có mối quan hệ tin cậy với domain của tài khoản yêu cầu hay chưa.

Các thuật ngữ quan trọng nhất liên quan đến tin cậy dùng trong AD bao gồm:

Tin cậy một chiều (one-way trust) là khi domain thứ nhất (Domain A) cho phép đặc quyền truy cập cho người dùng trên domain thứ hai (Domain B). Tuy nhiên, Domain B không cho phép người dùng truy cập Domain A. Nói đơn giản, đó là đường dẫn xác thực một chiều giữa Domain A và B.
Tin cậy hai chiều (two-way trust) là khi hai domain tin cậy lẫn nhau. Do đó, yêu cầu xác thực có thể được truyền giữa các domain này, nghĩa là mỗi domain cho phép truy cập người dùng của domain kia.
Domain được tin cậy (trusted domain) là một domain đơn lẻ cho phép truy cập người dùng đến domain khác, gọi là domain tin cậy (trusting domain). Rừng dùng trusted domain objects để lưu trữ tất cả namespace được tin cậy, như tên cây domain, hậu tố user principal name, hậu tố service principal name và namespace security identifier dùng trong rừng đối tác.
Tin cậy bắc cầu (transitive trust) có thể mở rộng ra ngoài hai domain và cho phép truy cập các domain được tin cậy khác trong rừng. Trong AD, mối quan hệ tin cậy hai chiều, bắc cầu được thiết lập tự động giữa domain mới và domain cha trong rừng.
Tin cậy không bắc cầu (nontransitive trust) là tin cậy một chiều bị giới hạn ở hai domain. Nó thường dùng để từ chối mối quan hệ tin cậy với các domain khác.
Tin cậy rừng (forest trust) cung cấp xác thực và ủy quyền liền mạch trên nhiều rừng AD, do đó cho phép truy cập tài nguyên và đối tượng khác trong những rừng đó. Nó có thể là một chiều hoặc hai chiều bắc cầu.

Lịch sử và phát triển Active Directory

Microsoft cung cấp bản xem trước Active Directory năm 1999 và phát hành nó một năm sau với Windows 2000 Server. Microsoft tiếp tục phát triển tính năng mới với mỗi phát hành Windows Server liên tiếp.

Windows Server 2003 bao gồm cập nhật đáng chú ý thêm rừng (forests) và khả năng chỉnh sửa và thay đổi vị trí domain trong rừng. Domain trên Windows 2000 Server không thể hỗ trợ các cập nhật AD mới chạy trong Server 2003.

Windows Server 2008 giới thiệu AD FS. Ngoài ra, Microsoft đổi thương hiệu thư mục cho quản trị domain thành AD DS, và AD trở thành thuật ngữ chung cho các dịch vụ dựa trên thư mục nó hỗ trợ. AD DS có sẵn trong tất cả phiên bản mới nhất của Windows Server, bao gồm Windows Server 2016, Windows Server 2019, Windows Server 2022 và Windows Server 2025.

Windows Server 2016 cập nhật AD DS để cải thiện bảo mật AD và di chuyển môi trường AD sang đám mây hoặc đám mây lai. Cập nhật bảo mật bao gồm thêm privileged access management (PAM - quản lý truy cập đặc quyền). PAM giám sát truy cập vào đối tượng, loại truy cập được cấp và hành động người dùng thực hiện. PAM thêm bastion AD forests để cung cấp môi trường rừng an toàn và cách ly bổ sung. Windows Server 2016 kết thúc hỗ trợ cho thiết bị trên Windows Server 2003.

Tháng 12 năm 2016, Microsoft phát hành Azure AD Connect, hiện gọi là Microsoft Entra Connect, để kết nối hệ thống Active Directory on-premises với Azure AD, hiện gọi là Microsoft Entra ID. Qua tích hợp này, tổ chức có thể kết nối tất cả danh tính và kiểm soát truy cập trên mạng cục bộ với các dịch vụ đám mây của Microsoft, như Office 365, và bật SSO thân thiện người dùng cho các dịch vụ đó. Azure AD Connect hoạt động với hệ thống chạy Windows Server 2008, 2012, 2016 và 2019. Tất cả phiên bản 1.x của Azure AD Connect đã ngừng hoạt động vào ngày 31 tháng 8 năm 2022.

Domain so với Workgroup

Workgroup là thuật ngữ của Microsoft cho các máy Windows kết nối qua mạng peer-to-peer (P2P). Workgroup là đơn vị tổ chức khác cho máy tính Windows trong mạng. Workgroup cho phép các máy này chia sẻ file, truy cập internet, máy in và tài nguyên khác qua mạng. Mạng P2P loại bỏ nhu cầu server cho xác thực. Có một số khác biệt giữa domain và workgroup:

Domain, khác với workgroup, có thể chứa máy tính từ các mạng cục bộ khác nhau.
Domain có thể chứa nhiều máy tính hơn workgroup nhiều. Domain có thể bao gồm hàng nghìn máy tính; workgroup thường có giới hạn trên gần 20.
Trong domain, ít nhất một server là máy tính, dùng để kiểm soát quyền hạn và tính năng bảo mật cho mọi máy tính trong domain. Trong workgroup, không có server, và máy tính đều là ngang hàng (peers).
Người dùng domain thường yêu cầu định danh bảo mật, như đăng nhập và mật khẩu, khác với workgroup.

Các đối thủ chính của Active Directory

Các dịch vụ thư mục khác trên thị trường cung cấp chức năng tương tự AD bao gồm:

Red Hat Directory Server là thư mục dựa trên LDAP quản lý truy cập người dùng vào nhiều hệ thống trong môi trường Unix. Nó cung cấp registry dựa trên mạng để tập trung thông tin danh tính và bao gồm xác thực dựa trên user ID và chứng chỉ để hạn chế truy cập dữ liệu trong thư mục. Ngoài ra, nó cung cấp kiểm soát truy cập tập trung, chi tiết trên thư mục và bảo vệ dữ liệu nâng cao, ngay khi số hệ thống và người dùng tăng.
Apache Directory là dự án mã nguồn mở chạy trên Java và hoạt động trên bất kỳ server LDAP nào, bao gồm hệ thống trên Windows, macOS và Linux. Nó cung cấp server thư mục tuân thủ LDAP v3 và công cụ thư mục dựa trên Eclipse gọi là Apache Directory Studio. Ngoài ra, phần mềm bao gồm Apache Directory LDAP API cung cấp cách tiện lợi truy cập tất cả loại server LDAP.
OpenLDAP là một lựa chọn thay thế mã nguồn mở khác cho AD. Cụ thể, nó là một triển khai mã nguồn mở của LDAP, với các module như daemon cân bằng tải LDAP độc lập; daemon LDAP độc lập (server); và các thư viện, công cụ và client mẫu để triển khai LDAP.

IT phải quản lý cẩn thận các Group Policies khác nhau cho desktop để đảm bảo các chính sách đúng được triển khai. Tìm hiểu khi nào AD domain-joined Group Policy ghi đè local.