Active Directory (AD) سرویس هویت مایکروسافت برای شبکه ویندوزی است. به زبان ساده، یک دفترچه مرکزی است که میگوید چه کسی هستید، به چه دستگاهی وصل میشوید، و چه اجازهای دارید. اگر این دفترچه نامرتب باشد، نه ورود کاربران پایدار میماند و نه امنیت.
حتی در سال ۲۰۲۶ که بسیاری از سازمانها به سمت Entra ID و هویت ابری رفتهاند، AD محلی یا حالت ترکیبی هنوز ستون خیلی از شبکههاست. یادگیری پایهاش کهنه نشده است.
دامنه؛ مرز هویت شما
دامنه (Domain) فضای نام و مرز مدیریت است؛ مثلاً corp.example.com. کاربر و رایانه عضو دامنه، هویت را از کنترلکننده دامنه میگیرند، نه از حساب محلی جدا روی هر سیستم. همین یک نقطه مدیریت، ورود یکپارچه و اعمال سیاست را ممکن میکند.
کنترلکننده دامنه (Domain Controller) نسخهای از این دفترچه را نگه میدارد. اگر فقط یک DC داشته باشید و از کار بیفتد، ورود دامنه مختل میشود. برای محیط واقعی، تکرار و پشتیبانگیری بخشی از طراحی است، نه کار اختیاری.
OU و گروه؛ نظم بهجای هرجومرج
واحد سازمانی (OU) پوشهبندی منطقی اشیاء است: کاربران مالی، رایانههای انبار، سرورهای آزمایشی. هدفش مرتب کردن و اعمال سیاست است، نه اینکه شبیه واحد منابع انسانی باشد.
گروه برای دسترسی ساخته شده: عضویت در گروه «حسابداری» باید اجازه پوشه مشترک را بدهد، نه اینکه برای هر نفر جداگانه مجوز بگذارید. مدل درست این است: کاربر → گروه → منبع. اگر مستقیم روی کاربر مجوز بدهید، بعد از چند ماه هیچکس نمیداند چرا کسی به چیزی دسترسی دارد.
Group Policy؛ سیاست، نه تنظیم دستی
GPO به شما اجازه میدهد تنظیمات را یکبار تعریف کنید و روی OU اعمال کنید: قفل صفحه، بهروزرسانی، محدودیت نرمافزار، نقشهکردن درایو. قدرت GPO در تکرارپذیری است؛ خطرش در سیاستی است که بدون آزمایش روی همه سیستمها پخش میشود.
تغییر را اول روی یک OU آزمایشی بسنجید. مستند کنید چه سیاستی برای چیست. AD بدون مستند، بعد از رفتن یک ادمین به جعبه سیاه تبدیل میشود.
نگاه ۲۰۲۶: ترکیبی فکر کنید
اگر سازمان به ابر میرود، AD را دشمن ابر نبینید. خیلی از محیطها هویت را همگام میکنند و دسترسی را لایهلایه میسازند. اصل همان است: هویت واحد، حداقل دسترسی، و حسابرسی. کسی که OU و گروه را بفهمد، مهاجرت را هم بهتر طراحی میکند.