อธิบาย: บทบาท FSMO ของ Active Directory ทำงานอย่างไร

Active Directory (AD) คือบริการไดเร็กทอรีที่ให้บริการการรับรองความถูกต้องและการอนุญาตจากส่วนกลาง องค์กรโฮสต์โฆษณาบนตัวควบคุมโดเมน (DC) ที่จำลองข้อมูลระหว่างกันในการกำหนดค่าแบบหลายหลัก บทบาท Single Master Operation (FSMO) ที่ยืดหยุ่นช่วยให้มั่นใจได้ว่าข้อมูลมีความสอดคล้องและเชื่อถือได้จากแหล่งข้อมูลทั้งหมด

บทบาทของ FSMO ช่วยให้การจำลองแบบ AD ทำงานได้อย่างราบรื่น และช่วยให้แน่ใจว่าบริการที่สำคัญอื่นๆ มากมายทำงานได้ตามที่ตั้งใจไว้ ในบทความนี้ คุณจะได้เรียนรู้ว่าบทบาทของ FSMO คืออะไร บทบาทเหล่านี้ส่งผลต่อ AD อย่างไร และคุณสามารถจัดการบทบาทเหล่านั้นได้อย่างปลอดภัยในฟอเรสต์ AD ได้อย่างไร

ในตอนท้ายของบทความนี้ คุณจะเข้าใจบทบาทของ FSMO ได้ดีขึ้น และวิธีจัดการบทบาทเหล่านั้นเพื่อให้มีสภาพแวดล้อม AD ที่ดี

บทบาท FSMO คืออะไร

บทบาทของ FSMO คือบริการที่แต่ละบริการโฮสต์แยกกันบน DC ในฟอเรสต์ AD แต่ละบทบาทมีวัตถุประสงค์เฉพาะ เช่น การรักษาเวลาในการซิงค์ระหว่างอุปกรณ์ การจัดการตัวระบุความปลอดภัย (SID) และอื่นๆ

บทบาท FSMO มีการกำหนดขอบเขตที่ระดับฟอเรสต์หรือโดเมน และมีลักษณะเฉพาะสำหรับขอบเขตนั้น ดังที่แสดงด้านล่าง ตัวอย่างเช่น ฟอเรสต์ที่มีสองโดเมนจะมีหนึ่ง DC ในแต่ละโดเมน (รวมสองแห่ง) ที่โฮสต์บทบาท RID Master ในขณะที่ DC เพียงแห่งเดียวที่โฮสต์บทบาท Schema Master

FSMO Role: ขอบเขต
Schema Master: ป่า
Domain Naming Master: ป่า
Primary Domain Controller Emulator: โดเมน
RID Master: โดเมน
Infrastructure Master: โดเมน

DC สามารถดำรงตำแหน่งได้หลายบทบาทในคราวเดียว

สคีมามาสเตอร์

องค์ประกอบที่สำคัญของ AD คือฐานข้อมูล ฐานข้อมูลก็เหมือนกับฐานข้อมูลอื่นๆ ทั้งหมด มีสคีมาที่กำหนดโครงสร้างด้วย พาร์ติชันหรือบริบทการตั้งชื่อ ต่างๆ AD schema คือพาร์ติชันฐานข้อมูลที่ประกอบด้วยข้อมูลเมตาเกี่ยวกับออบเจ็กต์ AD ตัวอย่างเช่น ประกอบด้วยคลาสต่างๆ เช่น บุคคล, group หรือ msPKI-Key-RecoveryAgent และแอตทริบิวต์ เช่น หมายเลขโทรศัพท์ , badPwdCount หรือ dNS-HostName

สคีมา AD เป็นพาร์ติชันที่ "ละเอียดอ่อน" ที่สุดในฐานข้อมูล Active Directory

AD ต้องการบริการเพื่อจัดการสคีมา ดังนั้นบทบาทสคีมามาสเตอร์ บทบาท Schema Master มีหน้าที่ควบคุมการเปลี่ยนแปลงใน AD schema หากคุณเคย ขยายสคีมา AD เพื่อติดตั้งผลิตภัณฑ์ เช่น Exchange หรือ เพิ่มระดับการทำงานของฟอเรสต์ แสดงว่าคุณทำงานร่วมกับบทบาท Schema Master แล้ว

คุณควรดำเนินการเปลี่ยนแปลงใดๆ กับ AD schema ผ่านบทบาท Schema Master ภายใต้เงื่อนไขที่เข้มงวดใน DC เดียวเท่านั้น คุณไม่ต้องการเปลี่ยนแปลงใน DC สองตัวและรอการจำลองเพื่อดูว่าการเปลี่ยนแปลงใด "ชนะ" ผ่านการจำลอง

ต้นแบบการตั้งชื่อโดเมน

ฐานข้อมูล AD ประกอบด้วยหลายพาร์ติชันทั้งที่ขอบเขตฟอเรสต์และโดเมน AD ทำการเปลี่ยนแปลงพาร์ติชันเหล่านี้เป็นครั้งคราว และต้องการบริการเพื่อทำเช่นนั้น ดังนั้นบทบาท FSMO หลักการตั้งชื่อโดเมน

เมื่อคุณทำการเปลี่ยนแปลงพื้นที่โดเมนฟอเรสต์ (เพิ่มพาร์ติชันลงในฟอเรสต์) Domain Naming Master จะเขียนการเปลี่ยนแปลงเหล่านี้ใน Configuration\\Partitions กิจกรรมนี้เกิดขึ้นเมื่อตัวควบคุมโดเมนได้รับการเลื่อนระดับหรือลดระดับ เป็นต้น .

ตัวจำลองตัวควบคุมโดเมนหลัก (PDCe)

บทบาท FSMO ที่สำคัญที่สุดใน AD ก็คือ PDCe บทบาท PDCe มีหน้าที่รับผิดชอบงานต่างๆ เช่น การซิงโครไนซ์การเปลี่ยนรหัสผ่าน การล็อคบัญชี (และการปลดล็อค) การซิงค์เวลา และอื่นๆ อีกมากมาย

ย้อนกลับไปในยุคแรกๆ ของ Active Directory (Windows NT) Primary Domain Controller (PDC) เป็น DC แบบเขียนได้เพียงตัวเดียวในโดเมน AD DC อื่นๆ ทั้งหมดเป็น Backup Domain Controllers (BDC) ที่ใช้สำหรับคำขอการรับรองความถูกต้องเท่านั้น

เริ่มตั้งแต่ Windows 2000 DC ทั้งหมดสามารถเขียนได้ ยกเว้น ตัวควบคุมโดเมนแบบอ่านอย่างเดียว (RODC) ซึ่งเปิดตัวใน Windows Server 2008 เนื่องจาก AD ยังคงต้องการฟังก์ชันการทำงานของ PDC แต่ไม่มีในทางเทคนิค PDC อีกต่อไป Microsoft เปิดตัวบทบาท PDC emulator (PDCe)

การเปลี่ยนเส้นทางแอปพลิเคชันรุ่นเก่า

หนึ่งในคุณสมบัติพื้นฐานที่สุดของบทบาท PDCe คือการพร้อมใช้งานสำหรับแอปพลิเคชันรุ่นเก่า โดยแจ้งให้ทราบว่า DC ที่โฮสต์อยู่คือจุดที่ AD สามารถเขียนการเปลี่ยนแปลงได้ ตัวอย่างเช่น หากคุณโชคไม่ดีที่ยังคงใช้งานบริการ Windows NT และบริการนั้นไม่รู้ว่าจะเขียนการเปลี่ยนแปลงไปยังฐานข้อมูล AD ได้ที่ไหน บริการจะติดต่อ PDCe เพื่อขอความช่วยเหลือ

การซิงโครไนซ์เวลา

สิ่งสำคัญคืออุปกรณ์ทั้งหมดที่เข้าร่วมโดเมนจะต้องรักษาเวลาให้สม่ำเสมอ การรับรองความถูกต้อง Kerberos (โหมดการรับรองความถูกต้องเริ่มต้น) ต้องมีช่องว่างสูงสุดห้านาทีระหว่างไคลเอนต์และ DC หรือระหว่างพันธมิตรการจำลองแบบ DC

บทบาท PDCe เป็นแหล่งเวลาส่วนกลางสำหรับคอมพิวเตอร์เครื่องอื่นๆ ทั้งหมดในฟอเรสต์ AD

คอมพิวเตอร์ไคลเอนต์ทั้งหมดซิงโครไนซ์เวลาจาก DC ที่พวกเขาเข้าสู่ระบบ
DC ทั้งหมดซิงโครไนซ์เวลาจาก PDCe ในโดเมนของตน
ในฟอเรสต์โฆษณาหลายโดเมน DC ที่โฮสต์บทบาท PDCe จะซิงโครไนซ์เวลาจาก PDCe ในโดเมนหลัก
จากนั้นบทบาท PDCe ในโดเมนรากจะใช้แหล่งเวลาภายนอกที่เชื่อถือได้ในการซิงค์

การจัดการการเปลี่ยนแปลงรหัสผ่าน

เมื่อทำการเปลี่ยนแปลงโฆษณา การเปลี่ยนแปลงนั้นไม่จำลองแบบทันทีกับ DCs ทั้งหมด เป็นไปตามกำหนดการจำลองแบบ AD แทน อย่างไรก็ตาม การเปลี่ยนแปลงรหัสผ่านจะถูกจำลองแบบแตกต่างออกไปเล็กน้อย การเปลี่ยนแปลงรหัสผ่านจะทำซ้ำจาก DC ต้นทางเป็น DC ที่มีบทบาท PDCe ก่อนเสมอ จากนั้นจึงออกไปยัง DC อื่นๆ ในโทโพโลยี

ตัวอย่างเช่น หากปัจจุบัน DC ไม่มีรหัสผ่านล่าสุด และผู้ใช้พยายามตรวจสอบสิทธิ์ด้วยรหัสผ่านเก่า DC ที่ตรวจสอบสิทธิ์จะติดต่อ DC ที่มีบทบาท PDCe ก่อนเพื่อตรวจสอบรหัสผ่านที่อัปเดตก่อนที่จะปฏิเสธการตรวจสอบสิทธิ์

คุณจะสังเกตเห็นปัญหากับ PDCe ทันทีเมื่อคุณพบว่าผู้ใช้ที่เปลี่ยนรหัสผ่านมีปัญหาในการเชื่อมต่อกับ DC อื่นที่ยังไม่ได้จำลองรหัสผ่านใหม่

กำลังประมวลผลการล็อกบัญชี

บทบาท PDCe ยังประมวลผลการล็อกบัญชีด้วย ตรงข้ามกับการเปลี่ยนแปลงรหัสผ่าน การล็อกบัญชีไม่เป็นไปตามช่วงเวลาการจำลองแบบปกติ การล็อกบัญชีจะถูกจำลองแบบทันทีไปยัง DC อื่นๆ ผ่านกลไกที่เรียกว่า จำลองออบเจ็กต์เดียว นี่เป็นมาตรการรักษาความปลอดภัยเพื่อให้แน่ใจว่าบัญชีที่ถูกล็อคไม่สามารถเข้าสู่ระบบไปยัง DC อื่นที่ยังไม่ได้จำลองแบบเลย

เป้าหมายเริ่มต้นสำหรับคอนโซลการจัดการนโยบายกลุ่ม (GPMC)

การจัดการนโยบายกลุ่มทำได้ด้วยเครื่องมือ Group Policy Management Console (GPMC) หากต้องการเปลี่ยนแปลง AD GPMC จำเป็นต้องเชื่อมต่อกับ DC ตามค่าเริ่มต้น GPMC จะเชื่อมต่อกับ DC ที่มีบทบาท PDCe เสมอ แม้ว่าจะอยู่ใน ไซต์ AD อื่นก็ตาม หากไม่สามารถเข้าถึง PDCe คุณจะได้รับคำเตือนระบุว่าไม่สามารถเข้าถึงบทบาท PDCe ได้ และ GPMC จะแจ้งให้คุณเลือก DC อื่น

ที่เกี่ยวข้อง: นโยบายกลุ่มคืออะไรและทำงานอย่างไร (โดยละเอียด)

การให้บริการข้อมูลเนมสเปซ Distributed File System (DFS)

ในการปัดเศษฟังก์ชันการทำงานของบทบาท PDCe FSMO บทบาท PDCe จะทำหน้าที่ข้อมูลเนมสเปซ DFS เซิร์ฟเวอร์ราก DFS จะร้องขอข้อมูลเนมสเปซ DFS ที่อัปเดตจาก PDCe ซึ่งเก็บข้อมูล DFS ที่เชื่อถือได้เป็นระยะๆ

แม้ว่าโดยปกติแล้วจะไม่โหลดมากเกินไปสำหรับบทบาท PDCe FSMO แต่คุณเปลี่ยนลักษณะการค้นหาเนมสเปซ DFS เริ่มต้นในสภาพแวดล้อมที่มีเซิร์ฟเวอร์ DFS จำนวนมาก

กำจัดอาจารย์

ทุกออบเจ็กต์ในโดเมน AD ต้องมีรหัสเฉพาะเพื่อแยกความแตกต่างจากออบเจ็กต์อื่นที่คล้ายคลึงกันทั้งหมด จำเป็นอย่างยิ่งที่ AD จะกำหนด ID ที่ไม่ซ้ำให้กับออบเจ็กต์ใหม่ทุกอันที่เรียกว่า ตัวระบุความปลอดภัยหรือ SID

SID แต่ละอันประกอบด้วย องค์ประกอบหลายอย่าง: S (สำหรับ SID), หมายเลข การแก้ไข, I - ตัวระบุ Authority-, ID โดเมน และ ID ที่เกี่ยวข้อง รหัสโดเมนจะไม่ซ้ำกันสำหรับแต่ละโดเมนในฟอเรสต์ รหัสสัมพัทธ์จะไม่ซ้ำกันสำหรับแต่ละออบเจ็กต์ในโดเมน SID มีลักษณะดังนี้โดยมี DomainId แสดงถึง ID โดเมน และ RelativeId แสดงถึง ID ที่เกี่ยวข้อง

S-Revision-I-DomainId-Rid

Example: S-1-5-12-7273811915-2261004348-033256673-515
The string identifies this value as a SID. The string starts with an "S";
And has a revision level of 1;
An identifier authority value of 5 (NT Domain);
The domain identifier is a four-part value, 
The RID has a value of 515. The value of the RID is fixed and will never be generated; it's hard-coded and won't be repeated. (In this example, this is the well-known SID for the Domain Computers security group).

บทบาทหลัก Relative ID (RID) ช่วยให้มั่นใจได้ว่า SID ที่กำหนดให้กับออบเจ็กต์ AD แต่ละรายการไม่ซ้ำกัน

RID บางตัวถูกสงวนไว้สำหรับบัญชีพิเศษและกลุ่มที่รู้จัก

DC แรกในโดเมนจะกลายเป็น RID Master โดยอัตโนมัติ เพื่อให้การออก RID อยู่ภายใต้การควบคุม

DC ที่ดำรงตำแหน่ง RID Master มีบทบาทหลักในสามเหตุการณ์ที่แตกต่างกัน:

DC เลื่อนตำแหน่ง/ลดตำแหน่ง

แต่ละครั้งที่มีการเลื่อนระดับ DC ใหม่ ต้นแบบ RID จะกำหนดบล็อกจำนวน 500 RID ให้กับมัน จากนั้น RID เหล่านี้จะถูกกำหนด (ตามลำดับที่เพิ่มขึ้น) เมื่อมีการสร้างบัญชีใหม่ที่จำเป็นต้องมี SID บน DC นั้น

ตัวอย่างเช่น หากบล็อกสุดท้ายของ RIDS ที่กำหนดคือจาก 5501 ถึง …6000 DC ถัดไปที่ต้องการบล็อก (DC ที่เพิ่งเลื่อนระดับหรือ DC ที่มี ทำให้บล็อกปัจจุบันหมดลง) จะได้รับ …6001 ถึง …6500 ไปเรื่อยๆ

เมื่อ DC ถูกลบออกจากฐานข้อมูล AD ต้นแบบ RID จะมองเห็นสิ่งนี้ และรับประกันว่าจะไม่มอบหมาย RID ใดๆ ที่ DC มีเป็นมาตรการด้านความปลอดภัยเพื่อป้องกัน SID ที่ซ้ำกัน

กำจัดความเหนื่อยล้า

เมื่อ DC ถึงความจุ RID 50% มันจะไปที่ RID Master และขอบล็อกใหม่ของ RID DC จะขอ RID ใหม่ 50% หาก RID Master ออฟไลน์อยู่ ซึ่งให้เวลาบัฟเฟอร์เพียงพอเพื่อให้แน่ใจว่าการจัดสรร RID จะไม่หมดลง

การยึดบทบาทหลักของ RID

ผู้ดูแลระบบสามารถย้ายบทบาทจาก DC หนึ่งไปยังอีก DC ผ่านการยึดหรือถ่ายโอนบทบาท FSMO เมื่อผู้ดูแลระบบย้ายบทบาท RID Master จาก DC หนึ่งไปยังอีก DC หนึ่ง RID # ที่มีอยู่ถัดไปจะเพิ่มขึ้น 10,000

ที่เกี่ยวข้อง: วิธีถ่ายโอนบทบาท FSMO (GUI และ PowerShell)

การเพิ่ม RID ถัดไปที่มีอยู่ 10,000 เป็นกลไกด้านความปลอดภัยที่นำมาใช้เพื่อหลีกเลี่ยง SID ที่ซ้ำกัน หากผู้ดูแลระบบเข้ารับบทบาท RID Master และ RID Master เก่ากลับมาออนไลน์อีกครั้ง ผู้ดูแลระบบอาจเริ่มออก SID ที่ซ้ำกันพร้อมกับ RID Master ใหม่

ปริญญาโทโครงสร้างพื้นฐาน

ออบเจ็กต์ AD ทุกรายการมี SID ที่กำหนดโดยบทบาท RID Master FSMO เมื่อคุณดูผู้ใช้ กลุ่ม และข้อมูลโฆษณาอื่นๆ มนุษย์เราต้องการเห็นชื่อ ไม่ใช่ SID นี่คือที่มาของบทบาท Infrastructure Master

ตามค่าเริ่มต้น แต่ละ DC ได้รับการกำหนดค่าเป็นแค็ตตาล็อกส่วนกลาง (GC) GC โฮสต์ข้อมูลจากโดเมนทั้งหมดในฟอเรสต์ วิธีหนึ่งในการลดการรับส่งข้อมูลการจำลองระหว่างไซต์คือการกำหนดค่า DC บางตัวให้ไม่ใช่ GC

หากคุณได้รับการรับรองความถูกต้องกับ DC ที่ไม่ใช่ GC Infrastructure Master จะรับผิดชอบในการแปล SID จากโดเมนอื่นให้เป็นชื่อที่เป็นมิตรต่อมนุษย์

ตัวอย่างเช่น จากคอมพิวเตอร์ที่เข้าร่วมโดเมน ให้ตรวจสอบแท็บความปลอดภัยหรือการแชร์ของโฟลเดอร์ใน Windows Explorer ที่มีสิทธิ์ที่ตั้งค่าไว้สำหรับบัญชีในโดเมนอื่น คุณจะเห็นชื่อผู้ใช้ คอมพิวเตอร์ และกลุ่ม ไม่ใช่ SID ของพวกเขา หากคอมพิวเตอร์ของคุณไม่พบบทบาท Infrastructure Master ในโดเมน คุณจะมีเพียง SID ของบัญชีในโดเมนอื่นเท่านั้น

หากคุณเปิดใช้งาน Active Directory Recycle Bin แล้ว DC ทั้งหมดจะทำงานเหมือนมีบทบาทหลักด้านโครงสร้างพื้นฐาน ถังรีไซเคิล AD แสดงผลบทบาท Infrastructure Master ตามคำพูดของ Microsoft ว่าไม่สำคัญ

ที่เกี่ยวข้อง: วิธีประหยัดเบคอนของคุณด้วยถังรีไซเคิล Active Directory

บทสรุป

บทบาทของ AD FSMO เป็นองค์ประกอบที่สำคัญเพื่อให้แน่ใจว่า AD ยังคงทำงานตามที่ออกแบบไว้ แม้ว่าโดยส่วนใหญ่แล้ว คุณไม่จำเป็นต้องกังวลเกี่ยวกับบทบาทของ FSMO แต่ก็ยังเป็นสิ่งสำคัญที่จะต้องเข้าใจว่าบทบาทเหล่านั้นทำงานอย่างไรเมื่อถึงเวลา!