Utworzenie kontrolera domeny w rodzinie systemów Windows Server na lokalnym serwerze wymaga zainstalowania roli
A. usługi domenowej w usłudze Active Directory
B. usługi certyfikatów w usłudze Active Directory
C. usługi LDS w usłudze Active Directory
D. usługi zarządzania prawami dostępu w usłudze Active Directory
Pytanie z egzaminu CKE, styczeń 2018 (arkusz E.13-X-18.01).
Do utworzenia kontrolera domeny w Windows Server potrzebna jest rola usługi domenowej w usłudze Active Directory, czyli Active Directory Domain Services, często skracane do AD DS. To właśnie ta rola pozwala serwerowi pełnić funkcję kontrolera domeny, przechowywać bazę katalogową domeny, obsługiwać logowanie użytkowników, konta komputerów, grupy, jednostki organizacyjne oraz zasady grupy GPO. W praktyce wygląda to tak, że najpierw instalujesz rolę AD DS w Menedżerze serwera albo przez PowerShell, a dopiero potem promujesz serwer do roli kontrolera domeny, tworząc nową domenę albo dołączając kontroler do istniejącej. Moim zdaniem to jedna z podstawowych rzeczy w administracji Windows Server, bo bez AD DS nie ma klasycznej domeny Windows. Dobrą praktyką jest też poprawna konfiguracja DNS, stały adres IP serwera, sensowne nazewnictwo domeny i wykonanie kopii zapasowej kontrolera domeny. W środowiskach firmowych często stawia się co najmniej dwa kontrolery domeny, żeby awaria jednego serwera nie zablokowała logowania użytkowników i działania usług sieciowych.
W tym pytaniu łatwo pomylić różne role Active Directory, bo wszystkie mają podobne nazwy i brzmią dość administracyjnie. Trzeba jednak pamiętać, że kontroler domeny to konkretny serwer z rolą Active Directory Domain Services, czyli usługą domenową Active Directory. To ona odpowiada za domenę, uwierzytelnianie Kerberos, LDAP, konta użytkowników, konta komputerów, grupy zabezpieczeń i zasady grupy. Bez tej roli serwer Windows Server może być zwykłym serwerem członkowskim, ale nie stanie się kontrolerem domeny. Usługi LDS, czyli Active Directory Lightweight Directory Services, służą raczej do tworzenia lekkich katalogów LDAP dla aplikacji. Nie wymagają tworzenia domeny i nie zapewniają typowego logowania domenowego komputerów w firmie. Usługi certyfikatów Active Directory, czyli AD CS, są od infrastruktury klucza publicznego PKI: wystawiania certyfikatów, szyfrowania, podpisów cyfrowych, VPN czy 802.1X. To bardzo ważny temat bezpieczeństwa, ale sama instalacja AD CS nie tworzy domeny. Usługi zarządzania prawami dostępu, czyli AD RMS, dotyczą ochrony dokumentów i kontrolowania, kto może je otwierać, drukować albo przesyłać dalej. Z mojego doświadczenia typowy błąd polega na tym, że ktoś widzi nazwę Active Directory i zakłada, że każda taka rola robi mniej więcej to samo. No nie do końca. W Windows Server role AD mają osobne zadania, a kontroler domeny zawsze kojarzymy przede wszystkim z AD DS oraz poprawnie skonfigurowanym DNS.