Aby móc tworzyć konta użytkowników, komputerów i innych obiektów oraz przechowywać centralnie informacje o nich, należy na serwerze Windows zainstalować rolę
A. Active Directory Federation Service.
B. usługi Domain Name System w usłudze Active Directory.
C. usługi certyfikatów Active Directory.
D. usługi domenowe Active Directory.
Pytanie z egzaminu CKE, czerwiec 2017 (arkusz E.13-X-17.06).
Rolą potrzebną do tworzenia kont użytkowników, komputerów, grup i innych obiektów oraz do centralnego przechowywania informacji o nich są usługi domenowe Active Directory, czyli AD DS. To właśnie AD DS tworzy domenę i kontrolery domeny, a dane katalogowe są przechowywane m.in. w bazie NTDS.dit. W praktyce administrator dodaje tam użytkowników, komputery, jednostki organizacyjne OU, grupy zabezpieczeń, a potem może zarządzać uprawnieniami i zasadami grupy GPO z jednego miejsca. Moim zdaniem to jedna z podstawowych usług w sieci firmowej Windows, bo bez niej robi się szybko bałagan z lokalnymi kontami na każdym komputerze osobno. AD DS korzysta m.in. z LDAP do dostępu do katalogu oraz Kerberos do uwierzytelniania w domenie. Dobra praktyka branżowa to uruchomienie co najmniej dwóch kontrolerów domeny, poprawna konfiguracja DNS, regularna kopia stanu systemu kontrolera domeny i sensowny podział obiektów na OU. Dzięki temu można centralnie wdrażać polityki haseł, mapować zasoby, przypisywać drukarki, blokować ustawienia systemu i zarządzać komputerami w sposób przewidywalny, a nie ręcznie na każdej stacji.
W tym pytaniu łatwo pomylić kilka ról serwera Windows, bo wszystkie mają w nazwie Active Directory albo są mocno związane z domeną. Active Directory Federation Services, czyli AD FS, nie służy do klasycznego tworzenia kont użytkowników i komputerów w domenie. To usługa federacyjna, używana głównie do logowania jednokrotnego SSO między różnymi organizacjami lub aplikacjami, często na podstawie tokenów i roszczeń. Ona może korzystać z kont przechowywanych w AD DS, ale sama nie jest bazą katalogową domeny. Usługi certyfikatów Active Directory, czyli AD CS, również są czymś innym. Ich zadaniem jest budowa infrastruktury klucza publicznego PKI: wystawianie certyfikatów, obsługa urzędów certyfikacji, certyfikaty dla użytkowników, komputerów, VPN, Wi-Fi czy podpisywania. To bardzo ważna rola, ale nie od niej zaczyna się centralne zarządzanie kontami. Z kolei DNS w środowisku Active Directory jest krytyczny, bo domena Windows używa rekordów SRV do odnajdywania kontrolerów domeny i usług katalogowych. Jednak DNS odpowiada za rozwiązywanie nazw, a nie za przechowywanie obiektów typu użytkownik, komputer czy grupa. Typowy błąd myślowy polega na tym, że skoro DNS jest wymagany do działania domeny, to traktuje się go jako główną usługę domenową. W rzeczywistości fundamentem jest AD DS, a DNS, certyfikaty czy federacja są usługami dodatkowymi albo wspierającymi. W dobrze zaprojektowanej sieci najpierw planuje się strukturę domeny, kontrolery domeny, OU i zasady GPO, a dopiero potem dokłada się pozostałe role według potrzeb organizacji.