Khi người dùng (User) đăng nhập mạng, máy sẽ hỏi tên người dùng (Username) và mật khẩu (Password). Nếu tên người dùng và mật khẩu hợp lệ, máy cho phép truy nhập mạng, giai đoạn này được gọi là chứng thực thành viên mạng (Anthentication). Khi đã đăng nhập mạng, người dùng truy nhập tài nguyên sẽ có hai trường hợp xãy ra.
Tóm lại, khi người dùng đăng nhập mạng đều phải qua hai giai đoạn kiểm tra.
Tên người dùng, mật khẩu, thông tin cho phép người dùng truy nhập tài nguyên được lưu trữ trong tệp tin ntds.dtt. Tệp tin ntds.dtt và trình quản lý được gọi là Directory Service.
Directory ở đây không phải là thư mục chứa tệp tin mà bạn cần phải hiểu đó là một cơ sở dữ liệu về danh mục người dùng.
Khi đăng ký sử dụng mạng, người dùng sẽ nhận được một tài khoản gồm hai tên.
Thí dụ: Anh Nam đăng ký tên sử dụng trên Domain abc.com thì anh Nam được cấp hai tên là Nam dùng cho chương trình Pre-Windows 2000 và nam@abc.com.
Syntax:name@domainname
Microsoft hướng cách đặt tên theo mẫu tên E-mail. Trên môi trường có nhiều Domain, Windows 2000 Server muốn xác định User này từ Domain nào đăng nhập vào.
Hậu tố UPN là phần đi sau ký tự @ của tên UPN.
Khi đăng ký tên vào một vùng nào đó, thì ngoài tên của người dùng, vùng Domain người dùng đăng ký Windows 2000 Server còn cho phép người dùng tự đặt phần tên vùng cho tiện sử dụng.
Thí dụ: Anh Nam đăng ký sử dụng vào vùng Domain abc.com. Như thế theo cách đặt tên ở trên anh Nam se nhận được tài khoản tên: nam@abc.com. Tuy nhiên, anh Nam muốn có tên tài khoản là nam@microsoft.com. Để được như vậy anh Nam đăng ký tên name, tên Domain abc.com đồng thời đăng ký thêm hậu tố microsoft.com.
Tài khoản do người quản trị mạng khởi tạo cho các server nối vào Domain. Computer Account phải giống với tên server nối vào Domain.
Server trong một Domain xác định cho phép người dùng truy nhập tài nguyên của nó dựa trên việc xác định tính hợp pháp của User trong Domain (yêu cầu Domain Controller xác định).
Server sau khi kết nối được với Domain thì nó đổi ngay mật khẩu của nó và cứ mỗi 7 ngày server đổi một lần.
Primary DNS Suffix: tên Domain mà Server nối vào.
DNS Host Name của máy là tên ghép của tên máy và tên Domain mà Server đó nối. Thí dụ webserver.sunlight.com
Service: Pruncipal Name: được xậy dựng từ DNS Host Name. Client tìem kiếm Computer Account dựa trên tên Service Principal Name của Service mà nó truy xuất tới.
Tệp tin ntds.dit và trình quản lý tệp tin ntds.dit tạo ra Directory Service, được dùng để kiểm tra đăng nhập và truy nhập tài nguyên mạng.
Máy lưu tệp tin ntds.dit được gọi là Domain Controller hay Active Directory Server, đôi khi còn được gọi là Logon Server.
Một nhóm máy tính trong đó có Domain Controller được giao cho việc kiểm tra đăng nhập và truy nhập tài nguyên của nhóm được gọi là Domain.
Đặc điểm
Ủy thác cho phép thiết lập mối quan hệ giữa hai Domain cho phép người dùng của Domain này Logon vào Domain kia. Thí dụ: Có hai Domain A và B, giả sử Domain B được ủy thác bởi Domain A. Như vậy, người dùng ở Domain B sẽ Logon vào được Domain A, nhưng người dùng ở Domain A không Logon vào được Domain B. Sự ủy thác này là ủy thác một chiều. Trên Winodws 2000 Server, sự ủy thác được tự động hiểu là hai chiều.
Domain được tạo ra đầu tiên được gọi là Domain gốc, Domain thứ hai được tạo ra sẽ được gọi là Domain con và tiếp tục sẽ có Domain cháu, chắt, .... Tập hợp các Domain đó được gọi là cây Domain.
Thí dụ:
Đặc điểm
Domain A ủy thác cho Domain B và ngược lại.
Domain A ủy thác cho Domain B, Domain B ủy thác cho Domain C thì cũng có nghĩa là Domain A ủy thác cho Domain C.
OU là một nhóm bao gồm thành viên User, Group, Computer hay OU khác mà được ủy thác một số quyền quản lý nhất định.
Groups cũng là một nhóm bao gồm thành viên User, Group, Computer, nhưng những quyền gán cho nhóm có ảnh hưởng trên toàn mạng. Ví dụ nhóm Administrator, các thành viên của nhóm này sẽ có mọi quyền trên toàn Domain.
Để dễ quản lý, người quản trị thường cấp phép truy nhập tài nguyên tới nhóm hơn là cấp riêng cho từng người dùng.
Có hai loại nhóm trên Windows 2000 Server
Là nhóm đã được tạo sẵn trên Windows 2000 Server, thí dụ nhóm Administrator là nhóm được tất cả các quyền trên Domain.
Ngoài ra trên Domain Controller còn có các nhóm
Một hệ WAN gồm hai LAN ở cách xa nhau. Mỗi một LAN đều có một Domain Controller riêng và có khả năng xử lý đăng nhập mạng. Tuy nhiên, các LAN này phải liên lạc với nhau để trao đổi thông tin về Directory. Thí dụ trên một LAN có sự thay đổi mật khẩu của người dùng hay tạo người dùng mới, thì thông tin đó phải được sao lưu một bản giống như vậy qua LAN kia. Sự sao y thông tin về Directory giữa các Domain Controller được gọi là Replication.
Có ba loại dữ liệu trong Active Directory được sao lưu
Việc sao y thông tin hệ thống giữa các Domain Controller trên cùng LAN thì không có gì xảy ra.
Nhưng đối với WAN cần xem xét lại việc sao y giữa LAN với LAN.
Site là một đơn vị LAN
Sao y hệ thống tùy thuộc vào người điều hành thiết lập sao cho truyền được tốt nhất và giá thành hạ nhất.
Global Catalog được khởi tạo tự động khi khởi tạo Domain Controller gốc của một Forest. Nó lưu toàn bộ Replicate Domain của nó và một Raplicate của các đối tượng của các Domain khác.
Global Catalog thực hiện hai vai trò
Một Domain duy nhất. Với một vài Domain Controller dạng này phù hợp với LAN nhỏ hay cơ quan có cấu trúc tập trung, giữa các đơn vị bộ phận không cần riêng biệt. Có thể sử dụng mô hình cây các OU để phân một số quyền giới hạn tới đơn vị bộ phận trực thuộc.
Cần tổ chức Master Domain với các lý do
Domain Master chính là Domain gốc của cây
Cần tổ chức Multi Domain Master với các lý do
Các Domain độc lập hoàn toàn không chia xẻ thông tin với các Domain khác. Việc trao đổi thông tin chỉ thực hiện Trust các Domain.
Khởi tạo Domain Controller là để
Trong một Domain có thể khởi tạo được hai Domain Controller. Trong đó một Domain Controller đóng vai trò
Schema Master: kiểm soát việc truy nhập và thay đổi Schema.
Domain Naming Master: giữ vai trò thêm bớt Domain trong rừng Domain.
Relative ID Master: cấp chuỗi ID tới các Domain Controller của nó khi khởi tạo User, Group hay Computer, domain Controller gần cho đối tượng một ID gồm hai phần
PDC Emulator: nếu trong Domain có một WinNT Backup Domain Controller thì PDC Emulator đóng vai trò Primary Domain controller.
Infrastructure Master cập nhật thông tin các đối tượng.