مدیریت ویندوز سرور و Active Directory

راهنمای مدیریت ویندوز سرور و Active Directory در شبکه سازمان

در شبکه‌ای که روی Active Directory کار می‌کند، ورود کاربران، دسترسی به پوشه‌های اشتراکی، چاپگرها و بسیاری از نرم‌افزارها به سلامت دامنه وابسته است. مدیریت ویندوز سرور یعنی این وابستگی‌ها را بشناسید و پیش از خرابی مراقبشان باشید. علت بسیاری از مشکلات رایج دامنه DNS نادرست، Replication ناسالم یا GPOهایی است که بدون آزمایش اعمال شده‌اند. این راهنما برای مدیر IT نوشته شده که دامنه را خودش نگهداری می‌کند یا می‌خواهد کار پیمانکار را بسنجد.

طراحی دامنه: Forest، OU و تعداد Domain Controllerها

برای بیشتر سازمان‌های کوچک و متوسط یک Forest با یک دامنه کافی است و هر لایه اضافه فقط نگهداری را دشوارتر می‌کند. ساختار OU را بر اساس اینکه هر GPO روی چه کسانی اعمال می‌شود و مدیریت هر بخش به چه کسی سپرده می‌شود بچینید. اگر کاربران و کامپیوترها در پوشه‌های پیش‌فرض Users و Computers بمانند، نمی‌توانید GPO را به گروه مشخصی لینک کنید.

از نظر فنی یک Domain Controller کافی است، اما با خرابی همان سرور ورود کاربران متوقف می‌شود و ممکن است دامنه از دست برود. به همین دلیل دست‌کم دو Domain Controller با DNS فعال لازم است. نقش‌های FSMO را هم بشناسید و بدانید روی کدام سرورند، چون هنگام خارج کردن هر DC قدیمی باید اول منتقل شوند.

DNS، Replication و خطاهای ورود به دامنه

کلاینت‌ها و خود Domain Controllerها باید فقط از DNS دامنه استفاده کنند. اگر روی کارت شبکه کلاینت DNS عمومی اینترنت یا DNS مودم تنظیم شود، پیدا کردن رکوردهای SRV دامنه گاهی شکست می‌خورد و نتیجه‌اش ورود کند یا خطای اتصال به دامنه است. آدرس‌های بیرونی را با Forwarder روی DNS سرور resolve کنید و برای دامنه‌های سازمان‌های همکار Conditional Forwarder بسازید.

اختلاف ساعت بین کلاینت و Domain Controller احراز هویت Kerberos را از کار می‌اندازد، پس منبع زمان دامنه را مشخص کنید؛ معمولاً DC دارنده نقش PDC Emulator زمان را از منبع بیرونی می‌گیرد و بقیه از آن. سلامت Replication را با dcdiag و repadmin به‌طور دوره‌ای بررسی کنید، چون DCای که مدت طولانی Replication نداشته ممکن است اشیای حذف‌شده یا تغییرات قدیمی را به دامنه برگرداند. خطاهای Directory Service و DNS Server در Event Viewer اغلب زودتر از شکایت کاربران ثبت می‌شوند.

Group Policy و مجوزهای فایل سرور بدون قفل کردن کاربران

GPO جدید را اول به یک OU آزمایشی لینک کنید و بعد از بررسی نتیجه روی چند سیستم، دامنه اعمالش را گسترش دهید. اگر هر تنظیم تازه به Default Domain Policy اضافه شود، پیدا کردن منشأ یک مشکل دشوار می‌شود؛ GPOهای جداگانه با نام روشن بسازید و در مستندات ثبت کنید. سیاست قفل حساب را هم با دقت تنظیم کنید، چون سرویس یا گوشی‌ای که رمز قدیمی را ذخیره کرده، می‌تواند حساب یک کاربر را پشت‌سرهم قفل کند. Windows LAPS رمز ادمین محلی هر سیستم را یکتا می‌کند تا نفوذ به یک کامپیوتر به بقیه سیستم‌ها نرسد.

در فایل سرور مجوز را به گروه‌ها بدهید تا با جابه‌جایی یک کارمند فقط عضویت گروهش تغییر کند. معمولاً مجوز Share را ساده نگه می‌دارند و سطح دسترسی دقیق را با NTFS تعیین می‌کنند، چون از میان این دو، محدودکننده‌ترین مجوز اعمال می‌شود. حساب ادمین مشترک و پوشه‌هایی که همه کاربران دامنه روی آن‌ها اجازه نوشتن دارند، آسیب یک باج‌افزار را بزرگ‌تر می‌کنند؛ سخت‌سازی خود سرورها در خدمت امن‌سازی سرور انجام می‌شود.

به‌روزرسانی، WSUS و ارتقای نسخه ویندوز سرور

WSUS اجازه می‌دهد به‌روزرسانی‌ها را اول روی یک گروه آزمایشی تأیید کنید و بعد روی سرورها و کلاینت‌های اصلی. مایکروسافت WSUS را در فهرست قابلیت‌های منسوخ گذاشته، ولی در Windows Server 2025 هنوز وجود دارد؛ اگر آن را راه‌اندازی نمی‌کنید، دست‌کم سیاست به‌روزرسانی و پنجره ری‌استارت هر سرور را مکتوب کنید. Domain Controllerها را یکی‌یکی به‌روز کنید تا همیشه یک DC در دسترس بماند.

پشتیبانی Windows Server 2012 و 2012 R2 از اکتبر 2023 تمام شده و پشتیبانی تمدیدشده 2016 در ژانویه 2027 پایان می‌یابد. ارتقای درجا برای سرورهای برنامه ممکن است، اما برای Domain Controller روش امن‌تر اضافه کردن سرور جدید به دامنه، انتقال نقش‌ها و خارج کردن اصولی سرور قدیمی است. پیش از هر تغییر بزرگ از System State بکاپ بگیرید؛ طراحی بکاپ و آزمایش بازیابی در بکاپ و بازیابی بحران توضیح داده شده است.

زمان و هزینه مدیریت ویندوز سرور به چه بستگی دارد؟

تعداد Domain Controllerها، سرورها و کاربران، تعداد شعبه‌ها و اینکه DFS Replication بین آن‌ها لازم است یا نه، پایه برآورد هستند. وضعیت فعلی دامنه هم اثر زیادی دارد: دامنه‌ای که Replication آن مدت‌ها خطا داشته یا GPOهای مستندنشده زیادی دارد، پیش از هر تغییر به بررسی و پاک‌سازی نیاز دارد. ارتقای نسخه و جایگزینی DCهای قدیمی جدا از نگهداری دوره‌ای برآورد می‌شود.

تأمین لایسنس Windows Server، CAL و RDS CAL بخشی از این خدمت نیست و در لایسنس سازمانی بررسی می‌شود. برای برآورد، نسخه سرورها، تعداد کاربران و DCها، سرویس‌های فعال و مشکل فعلی را بفرستید. قیمت پس از بررسی اولیه اعلام می‌شود.

پیش از خارج کردن هر Domain Controller قدیمی، نقش‌های FSMO را منتقل کنید و مطمئن شوید هیچ کلاینت یا سرویسی هنوز از آن سرور به‌عنوان DNS استفاده نمی‌کند.