Comprendre La structure de Active Directory

 

 

Définition

Active Directory est  un service d'annuaire (Directory Service)  qui mappe les noms des ressources réseau avec leurs adresses réseau respectives. Développé par Microsoft pour les réseaux de domaine de Windows.

Active Directory sépare complètement la structure logique de la hiérarchie de domaine de la structure physique.

La structure logique

Dans Active Directory, vous organisez les ressources dans une structure logique. Cela vous permet de rechercher une ressource par son nom plutôt que par son emplacement physique. Comme vous regroupez les ressources de manière logique, Active Directory rend la structure physique du réseau transparente pour les utilisateurs.

Les objets
Un objet est un ensemble d'attributs distincts, nommés qui représente une ressource réseau.
Les attributs de l’objet sont les caractéristiques des objets de l’annuaire. Par exemple, les attributs d'un compte d'utilisateur peuvent inclure le prénom et le nom de l'utilisateur, son département et son adresse électronique.

Dans Active Directory, vous pouvez organiser des objets en classes, qui sont des groupements logiques d'objets.
Par exemple, une classe d'objet peut être:

    • les comptes d'utilisateurs,
    • les groupes, les ordinateurs,
    • les domaines 
    • les unités d'organisation
    • …

Certains objets, appelés conteneurs, peuvent contenir d'autres objets. Par exemple, un domaine est un objet conteneur.

Unités d’organisation (Organizational Units)

Une unité d'organisation est un conteneur utilisé pour organiser les objets d'un domaine en groupes d'administration logiques. Une unité d'organisation peut contenir des objets tels que des comptes d'utilisateurs, des groupes, des ordinateurs, des imprimantes, des applications, des fichiers partagés
ou d’autres unités d’organisation.

La hiérarchie des unités d'organisation d'un domaine est indépendante de la structure hiérarchique des autres domaines. Chaque domaine peut implémenter sa propre hiérarchie. Il n'y a aucune restriction sur la profondeur de la hiérarchie des unités d'organisation. Cependant, une hiérarchie superficielle fonctionne mieux qu'une hiérarchie profonde, vous ne devez donc pas créer une hiérarchie d'unités d'organisation plus profonde que nécessaire.
Vous pouvez déléguer des tâches administratives en attribuant des autorisations à des unités d'organisation.

Domaines

L'unité principale de la structure logique dans Active Directory est le domaine.
Le regroupement d'objets dans un ou plusieurs domaines permet à votre réseau de refléter l'organisation de votre entreprise.
Les domaines partagent les caractéristiques suivantes:

    • Tous les objets réseau existent dans un domaine ,
    • Chaque domaine stocke des informations uniquement sur les objets qu'il contient.
    • Un domaine est une borne de sécurité. : les listes de contrôle d'accès (LCA ou ACL) contrôlent l'accès aux objets du domaine.

Les  arborescences (Trees)

Une arborescence est un regroupement ou un arrangement hiérarchique d'un ou plusieurs domaines  partageant un espace de noms contigu.

Les arborescences ont les caractéristiques suivantes:

    • Respectent les normes DNS :
le nom de domaine = nom_relatif_de_ce_domaine.nom_du_domaine_parent
    • Tous les domaines d'une même arborescence partagent un schéma commun, qui est une définition formelle de tous les types d'objet que vous pouvez stocker dans un déploiement Active Directory.
    •  Tous les domaines d'une même arborescence partagent un catalogue global commun, qui est le référentiel central des informations sur les objets d'une arborescence.

Schéma Active Directory

Le schéma Active Directory est un composant d'Active Directory qui contient des règles pour la création d'objets au sein d'une forêt Active Directory. Le schéma Active Directory est une liste de définitions sur les objets Active Directory et d'informations sur ces objets stockés dans Active Directory.

Le schéma définit les types d'objets pouvant exister dans la base de données Active Directory et les attributs de ces objets.

Une forêt

Une forêt est un regroupement ou un arrangement hiérarchique d'une ou de plusieurs arborescences de domaines qui forment un espace de noms disjoint.


Les forêts présentent les caractéristiques suivantes:
    • Tous les arbres d'une forêt partagent un schéma commun.
    • Les arbres d'une forêt ont différentes structures de nommage, en fonction de leurs domaines.
    • Tous les domaines d'une forêt partagent un catalogue global commun.
    •  Les domaines d'une forêt fonctionnent de manière indépendante, mais la forêt permet la communication à travers toute l'organisation.
La Structure physique
Les composants physiques d'Active Directory, les contrôleurs de domaine et les sites, sont utilisés pour refléter la structure physique d'une organisation.
Contrôleurs de domaine
Un contrôleur de domaine est un ordinateur exécutant Windows X  Server qui stocke une réplique (copie identique) du répertoire du domaine (base de données de domaine local). Étant donné qu'un domaine peut contenir un ou plusieurs contrôleurs de domaine, chaque contrôleur de domaine  possède une réplique complète de la partie de l'annuaire appartenant au domaine.
Les fonctions des contrôleurs de domaine sont les suivantes:
    • Chaque contrôleur de domaine stocke une copie complète de toutes les informations Active Directory sur ce domaine,
    • Chaque contrôleur de domaine  gère les modifications apportées à ces informations et réplique ces modifications sur d'autres contrôleurs  du même domaine.
    • Vous pouvez contrôler la réplication du trafic entre les contrôleurs de domaine du réseau en spécifiant la fréquence de réplication et la quantité de données répliquées à la fois.
    • Les contrôleurs de domaine répliquent immédiatement certaines mises à jour importantes, telles que la désactivation d'un compte d'utilisateur.
    • Active Directory utilise la réplication multi-maître, dans laquelle aucun contrôleur de domaine n'est le contrôleur de domaine maître.
    • Avoir plusieurs contrôleurs de domaine dans un domaine assure la tolérance aux pannes.
    •  Les contrôleurs de domaine gèrent tous les aspects de l'interaction utilisateur-domaine, tels que la localisation d'objets Active Directory et la validation des tentatives de connexion de l'utilisateur.
En général, il devrait y avoir un contrôleur de domaine pour chaque domaine de chaque site à des fins d'authentification. Toutefois, les exigences d'authentification de votre organisation déterminent le nombre de contrôleurs de domaine et leurs emplacements.

Les sites

Un site Web est une combinaison de plusieurs sous-réseau IP connecté par un lien rapide et hautement fiable afin que le trafic soit autant que possible. En règle générale, un site à la limite d'un réseau local (LAN).
Avec Active Directory, les sites ne font pas partie de l'espace de noms. Lorsque vous parcourez l'espace de noms logique, vous voyez des ordinateurs et des utilisateurs regroupés dans des domaines et des unités d'organisation, et non des sites.
Les sites contiennent uniquement des objets ordinateur et des objets de connexion utilisés pour configurer la réplication entre sites.
Un seul domaine peut couvrir plusieurs sites géographiques et un seul site peut inclure des comptes d'utilisateurs et des ordinateurs appartenant à plusieurs domaines.

Résumé

    • Active Directory sépare complètement la structure logique de la hiérarchie de domaine de la structure physique.
    •  Dans Active Directory, le regroupement logique des ressources vous permet de rechercher une ressource par son nom plutôt que par son emplacement physique, ce qui rend la structure physique du réseau transparente pour les utilisateurs.
    •   L'unité principale de la structure logique dans Active Directory est le domaine. Tous les objets réseau existent dans un domaine et chaque domaine stocke des informations uniquement sur les objets qu'il contient.
    •     Une unité d'organisation (UO) est un conteneur utilisé pour organiser les objets d'un domaine en groupes d'administration logiques, et une unité d'organisation peut contenir des objets tels que des comptes d'utilisateurs, des groupes, des ordinateurs, des imprimantes, des applications, des partages de fichiers et d'autres unités d'organisation.
    •  Une arborescence est un regroupement ou un arrangement hiérarchique d'un ou plusieurs domaines partageant un espace de noms contigu.
    • Une forêt est un regroupement ou un arrangement hiérarchique d'un ou de plusieurs arbres formant un espace de noms disjoint.
    •  La structure physique d'Active Directory est basée sur les sites et les contrôleurs de domaine.
    •  Un site est une combinaison d'un ou de plusieurs sous-réseaux IP connectés par un lien haute vitesse.