Что такое Active Directory?

Что такое Active Directory (AD)?

Active Directory (AD) — это служба каталогов, разработанная компанией Microsoft для операционных систем семейства Windows Server. По своей сути, это централизованная иерархическая база данных, предназначенная для управления сетевыми ресурсами в доменной среде. AD выступает в роли фундамента для аутентификации, авторизации и администрирования пользователей, компьютеров, групп, политик и других объектов в корпоративной IT-инфраструктуре. Её можно представить как «телефонную книгу» или «реестр» всей сети, где каждый объект имеет уникальные атрибуты и связи.

С точки зрения DevOps Engineer, понимание AD критически важно, даже если вы работаете в средах, ориентированных на Linux и облака, так как многие предприятия используют гибридные инфраструктуры, где AD служит центральным источником истины для идентификации (система IAM — Identity and Access Management).

Ключевые концепции и компоненты AD

1. Домен (Domain): Основная административная единица. Группа объектов (пользователей, компьютеров), которые используют общую базу данных каталога, политики безопасности и доверительные отношения с другими доменами.
2. Контроллер домена (Domain Controller, DC): Сервер, на котором работает служба Active Directory Domain Services (AD DS). Он хранит копию базы данных каталога (NTDS.DIT), обрабатывает запросы на аутентификацию (логин) и авторизацию. Для отказоустойчивости в домене всегда развертывают несколько DC.
3. Объекты и Атрибуты: Всё в AD представлено как объект: пользователь, компьютер, группа, принтер. Каждый объект имеет атрибуты (например, для пользователя: sAMAccountName, displayName, mail).
4. Схема (Schema): Определяет типы объектов и их атрибуты, которые могут храниться в каталоге. Это «шаблон» для всей базы данных AD.
5. Групповая политика (Group Policy, GPO): Механизм централизованного управления настройками операционных систем и приложений для пользователей и компьютеров в домене. Ключевой инструмент для стандартизации и безопасности.
6. Доверительные отношения (Trust Relationships): Позволяют пользователям одного домена получать доступ к ресурсам другого домена. Лежит в основе построения лесов (Forests) и деревьев (Trees) доменов.
7. DNS (Domain Name System): AD абсолютно зависима от DNS. Имена доменов AD являются DNS-именами, а контроллеры домена регистрируют в DNS специальные записи (SRV), чтобы клиенты могли их найти.

Практическое значение для DevOps

Для инженера DevOps, особенно в enterprise-среде, взаимодействие с AD часто происходит в следующих сценариях:

• Аутентификация и SSO: Настройка интеграции приложений (например, веб-сервисов на Linux, CI/CD-систем типа Jenkins, контейнерных оркестраторов) с AD через протоколы Kerberos или LDAP (Lightweight Directory Access Protocol). Это позволяет сотрудникам использовать свои корпоративные учетные данные для доступа к внутренним инструментам.

  # Пример: Проверка подключения к LDAP-порту контроллера домена с Linux-хоста
  nc -zv dc01.corp.example.com 389
  

• Автоматизация управления объектами: Создание, изменение, удаление пользователей, групп или компьютеров через скрипты (PowerShell) как часть процессов онбординга сотрудников или развертывания инфраструктуры.

  # Пример PowerShell: Создание нового пользователя в AD
  New-ADUser -Name "Иван Петров" -GivenName "Иван" -Surname "Петров" `
             -SamAccountName "ipetrov" -UserPrincipalName "ipetrov@corp.example.com" `
             -Enabled $true -AccountPassword (ConvertTo-SecureString "P@ssw0rd!" -AsPlainText -Force) `
             -Path "OU=Users,OU=StPetersburg,DC=corp,DC=example,DC=com"
  

• Безопасность и соблюдение требований: Работа с группами безопасности (Security Groups) для управления доступом к ресурсам (например, к секретам в HashiCorp Vault, к репозиториям в Git). Аудит событий AD через логи безопасности.
• Инфраструктура как код (IaC): При использовании инструментов вроде Terraform для развертывания инфраструктуры в Azure, часто требуется интеграция с Azure AD (облачная эволюция классической AD), чтобы назначать права доступа к ресурсам Azure (виртуальным машинам, базам данных).
• Миграция и гибридные среды: Понимание работы Azure AD Connect — инструмента для синхронизации локальной AD с Azure AD, что создает гибридную модель идентификации, критичную для современных облачных стратегий.

Эволюция: от AD к Azure AD

Важно различать классическую Active Directory (развертывается на собственных серверах) и Azure Active Directory (Azure AD) — это облачный сервис управления идентификацией от Microsoft, являющийся основой для Microsoft 365 и Azure. Хотя они решают схожие задачи (аутентификация, авторизация), их архитектура и протоколы различаются. В современных DevOps-практиках всё чаще работа ведется именно с Azure AD через его Graph API, протокол OAuth 2.0 и OpenID Connect.

В итоге, Active Directory — это не просто «база пользователей Windows», а сложная экосистема, обеспечивающая управление идентификацией и доступом в корпоративных сетях. Для DevOps-инженера знание её принципов, особенно протоколов LDAP/Kerberos и методов автоматизации (PowerShell, API), необходимо для построения безопасных, интегрированных и легко управляемых pipeline и инфраструктур как в чисто Windows-средах, так и в гибридных или мультиплатформенных окружениях.