Gdzie przechowywane są informacje o kontach użytkowników domenowych w systemach Windows Server?
A. W bazie danych kontrolera domeny.
B. W plikach hosts na każdym komputerze używanym w domenie.
C. W bazie SAM zapisanej na lokalnym komputerze.
D. W pliku users w katalogu komputera C:\Windows\system32.
Pytanie z egzaminu CKE, styczeń 2019 (arkusz E.13-X-19.01).
Informacje o kontach użytkowników domenowych w Windows Server są przechowywane w bazie danych kontrolera domeny, czyli w usługach Active Directory Domain Services. Technicznie dane katalogowe znajdują się głównie w pliku NTDS.dit na kontrolerze domeny, ale w praktyce mówi się po prostu o bazie Active Directory. To tam są obiekty użytkowników, grup, komputerów, jednostek organizacyjnych OU, a także informacje potrzebne do logowania, autoryzacji i stosowania zasad grupy. Hasła nie są tam trzymane jako zwykły tekst, tylko jako zabezpieczone skróty, co jest bardzo ważne z punktu widzenia bezpieczeństwa. W domenie komputer kliencki nie sprawdza użytkownika tylko lokalnie, ale kontaktuje się z kontrolerem domeny, najczęściej z użyciem Kerberos i LDAP. Z mojego doświadczenia to jedna z podstawowych rzeczy w administracji Windows Server: jeśli konto jest domenowe, zarządzasz nim centralnie w Active Directory Users and Computers albo przez PowerShell, np. moduł ActiveDirectory. Dobra praktyka branżowa mówi, żeby mieć co najmniej dwa kontrolery domeny, regularne kopie zapasowe stanu systemu i poprawnie skonfigurowaną replikację AD, bo awaria jednego serwera nie powinna zatrzymać logowania w całej firmie.
W tym pytaniu łatwo pomylić konto domenowe z kontem lokalnym, bo oba dotyczą użytkowników Windows, ale działają w innym miejscu i mają inne przeznaczenie. Baza SAM, czyli Security Account Manager, rzeczywiście istnieje w systemie Windows, ale dotyczy kont lokalnych danego komputera albo serwera, który nie pełni roli kontrolera domeny w taki sposób jak Active Directory. Jeśli utworzysz użytkownika lokalnego na stacji roboczej, to jego dane będą związane właśnie z tym konkretnym komputerem. Taki użytkownik nie staje się automatycznie użytkownikiem domenowym i nie zaloguje się centralnie do zasobów firmy na podstawie konta z SAM. To typowy błąd myślowy: skoro Windows ma gdzieś lokalną bazę kont, to pewnie domena też korzysta z tego samego mechanizmu. W praktyce domena Windows Server opiera się na Active Directory Domain Services i bazie katalogowej kontrolera domeny. Pomysł z plikiem users w katalogu C:\Windows\system32 też nie pasuje do działania Windows Server. System nie przechowuje kont domenowych w zwykłym pliku tekstowym, bo byłoby to niebezpieczne, trudne do replikacji i praktycznie niezarządzalne. Plik hosts ma jeszcze zupełnie inne zadanie: służy do ręcznego mapowania nazw hostów na adresy IP, czyli dotyczy rozwiązywania nazw, a nie kont użytkowników, haseł, grup czy uprawnień. Moim zdaniem warto zapamiętać prostą zasadę: konta lokalne są związane z konkretną maszyną, a konta domenowe są centralnie zarządzane w Active Directory na kontrolerach domeny. Dzięki temu administrator może stosować GPO, kontrolować dostęp do zasobów sieciowych, blokować konta, wymuszać polityki haseł i audytować logowania w sposób zgodny z dobrymi praktykami bezpieczeństwa.