AD DS

AD DS(Active Directory Domain Server)란?

AD DS는 Windows Server 운영체제(OS) 환경에서 중요한 ID 및 액세스 관리(IAM) 솔루션 AD의 메인 서비스이다. AD DS는 네트워크에 연결된 사용자, 서비스 및 장치에 대한 정보를 계층 구조로 저장 및 관리한다. AD DS를 사용하면 네트워크상의 모든 액티비티를 일원화하여 IAM 서비스를 합리화할 수 있다.

AD DS를 호스트하는 서버는 DC이다. 그리고 여러 개의 DC를 가질 수 있으며 각각의 DC에 도메인 전체 AD DS 복사본을 저장할 수 있다. 대부분의 조직에서는 AD DS를 사용하여 Windows 환경의 온프레미스 IAM을 관리한다. 단, 일부가 온프레임이고 일부가 애저에서 애플리케이션을 호스팅하는 경우 애저에서도 복제할 수 있다.

AD DS 계층 구조

ADDS는 LDAP, Kerberos, DNS 등 다양한 표준과 프로토콜을 기반으로 정보를 계층화한다. 이를 통해 사용자가 액세스하거나 관리하는 동안 여러 도메인 서비스와 연결할 수 있다.

계층에는 다음 구성 요소가 포함된다.

DOMAIN

동일한 AD 데이터베이스를 공유하는 사용자, 엔드포인트 또는 그룹과 같은 개체 세트이다. 도메인은 여러 하위 도메인을 가질 수 있고, 그 후 자체 하위 도메인을 가질 수 있다. 도메인 내 사용자 인증은 과도한 신뢰 관계를 통해 이루어진다.

TREES

동일한 경계와 네임스페이스를 공유하는 AD 네트워크 내 도메인 그룹이다. 각 도메인에는 계층 트리 구조를 형성하는 부모 또는 루트가 정확히 하나 있다. 단, 두 개의 다른 트리는 동일한 네임스페이스를 공유할 수 없다.

FOREST

AD DS 설정 중 가장 높은 수준의 논리 컨테이너로 도메인, 디바이스, 사용자 및 그룹 정책이 포함된다. 각 포레스트는 하나의 데이터베이스 보안 경계를 공유하고 하나의 글로벌 주소 목록을 가진다. 기본적으로 한 포레스트의 IT 관리자 또는 사용자는 다른 포레스트에 액세스할 수 없다.

ORGANIZATION UNIT (OU)

계정 권한 또는 그룹 정책 설정을 할당할 수 있는 최소 단위이다. 각 조직 유닛에는 복수의 OU를 포함할 수 있다. 단, OU 내의 모든 속성에 다른 도메인의 AD 객체를 포함할 수는 없다.

Containers

컨테이너는 OU와 같지만 OU와 달리 GPO(Group Policy Object)를 일반 AD 컨테이너에 연결할 수 없다.

계층 구조

AD DS 작동원리

AD DS는 Active Directory의 가장 중요한 컴포넌트이며, 사용자는 인증을 수행하고 네트워크상의 리소스에 액세스할 수 있다. AD에서는 객체를 계층화하여 다양한 도메인 서비스가 객체와 연결되어 사용자가 객체에 액세스하거나 관리할 수 있도록 한다. AD DS의 계층 구조를 다음에 나타낸다.

Domains: 도메인은 사용자나 디바이스 그룹 등의 객체 집합이며, 이들은 동일한 AD 데이터베이스를 공유해야 한다. 도메인을 트리 내 브랜치로 간주할 수도 있다. 도메인의 구조는 표준 도메인 및 하위 도메인과 비슷하다. 도메인은 다른 여러 하위 도메인으로 구성될 수도 있으며, 이러한 하위 도메인에도 하위 도메인이 있다.

Organizational units: 도메인 내에서 개체 편성은 조직 단위로 이루어진다. 이는 최소 단위로 간주되며 그룹 정책 설정을 할당할 수 있다. 또는 이 최소 단위에 대한 계정 권한이다.

Active Directory Tree:논리 계층 내의 여러 도메인 집합이다. 그리고 이 영역들 사이에는 신뢰로 알려진 나무 속의 유대감이 있다. 트리는 유사한 AD 네트워크 내의 여러 도메인 그룹으로 간주할 수도 있으며, 이러한 도메인은 공통 네임스페이스와 경계를 공유한다.

Active Directory Forest: 이 AD 기능 수준에서는 여러 트리가 그룹화된다. 도메인이 트리에 대한 신뢰를 공유하듯이 트리도 AD 포레스트에 대한 신뢰를 공유한다. 신뢰함으로써 트리 또는 포레스트 구성 부분에서 디렉토리 스키마, 설정 사양 등의 리소스를 공유할 수 있다.

AD DS 장점

• 데이터를 맞춤형 방식으로 정리하여 회사의 요건을 충족할 수 있다.
• 필요에 따라 네트워크상의 임의의 컴퓨터에서 AD DS를 관리할 수 있다.
• 임베디드 복제와 중복성도 AD DS에 의해 제공된다.하나의 DC에 장애가 발생하면 다른 DC가 부하를 받는다.
• 네트워크 리소스에 대한 모든 액세스가 AD DS를 경유해야 하므로 네트워크 액세스권 관리를 일원화할 수 있다.
• AD에 저장된 정보의 계층 구조를 제공한다.
• 단일 액세스 포인트는 도메인 서비스에 의해 생성된다.