Active Directory: hvad det er, hvem der kan det, og hvad de tjener

Active Directory-færdighed er evnen til at administrere, sikre og fejlfinde Microsoft Active Directory Domain Services, normalt forkortet AD DS. Det er den del af Windows Server, der blandt andet håndterer brugere, computere, grupper, domæner og adgang til ressourcer.

En person med Active Directory-færdigheder kan oprette og strukturere brugere, grupper, computere og Organizational Units. Vedkommende kan designe en OU-struktur, der understøtter administration og Group Policy uden at gøre miljøet unødigt kompliceret.

Group Policy er en central del af færdigheden. Vedkommende kan oprette, linke og fejlfinde Group Policy Objects og forstå rækkefølge, arv, filtrering og scope. Det viser sig eksempelvis, når sikkerhedsindstillinger eller computerkonfiguration skal rulles ensartet ud til bestemte systemer.

Active Directory kræver også forståelse for domæner, forests, domain controllers, sites og replication. En erfaren administrator kan vurdere, hvor domain controllers bør placeres, hvordan replication fungerer mellem lokationer, og hvorfor en ændring ikke nødvendigvis er synlig på alle servere med det samme.

DNS er tæt knyttet til Active Directory. AD DS bruger DNS til blandt andet at finde domain controllers og centrale tjenester. En dygtig person, der arbejder med Active Directory, undersøger derfor DNS tidligt, når login, domain join, Kerberos eller replication fejler.

Færdigheden omfatter også authentication og authorization. Vedkommende bør forstå Kerberos, NTLM, LDAP, security groups, permissions og delegation. Det er ikke nok at kunne nulstille adgangskoder og tilføje brugere til grupper.

FSMO-roller er en anden del af administrationen. Personen skal vide, hvad rollerne bruges til, hvordan de flyttes, og hvordan problemer håndteres, hvis en domain controller med en vigtig rolle ikke længere er tilgængelig.

Sikkerhed fylder meget i moderne Active Directory-arbejde. En erfaren person, der arbejder med Active Directory, beskytter privilegerede konti, begrænser administrative rettigheder og undgår, at Domain Admin-rettigheder bruges til almindeligt arbejde. Vedkommende forstår også, hvorfor domain controllers og andre identitetskritiske systemer kræver særlig beskyttelse.

PowerShell er vigtig i større miljøer. En dygtig administrator kan automatisere oprettelse, ændring, kontrol og rapportering af AD-objekter i stedet for at udføre alle opgaver manuelt i grafiske værktøjer.

Fejlfinding er en afgørende del af færdigheden. Personen kan arbejde med blandt andet Event Viewer, dcdiag, repadmin, DNS-værktøjer, PowerShell og Group Policy-resultater for at finde årsagen til problemer med login, replication, policies eller trust-forhold.

Active Directory er heller ikke det samme som Microsoft Entra ID. AD DS er den klassiske domænetjeneste med blandt andet LDAP, Kerberos, domain join og Group Policy. Microsoft Entra ID er Microsofts cloudbaserede identitetsplatform. Mange virksomheder bruger begge dele i hybride identitetsmiljøer.

Active Directory-færdigheden er vigtig i organisationer, hvor Windows-servere, arbejdsstationer, brugere eller applikationer er knyttet til et AD DS-domæne.

Færdigheden gør en forskel ved den daglige identitetsadministration. Brugere skal have de rigtige rettigheder, computere skal placeres korrekt, og adgang skal tildeles gennem en struktur, der kan forstås og kontrolleres senere.

Den er særlig vigtig ved større ændringer. Det kan være etablering af nye domain controllers, ændringer i Group Policy, konsolidering af domæner, opgradering af Windows Server eller flytning af systemer mellem miljøer.

Active Directory-kompetence er også central ved virksomhedssammenlægninger og separationer. Her kan der være behov for trusts, migrering af brugere og grupper, adgang til gamle ressourcer og gradvis flytning mellem forests eller domæner.

Ved sikkerhedshændelser er AD ofte et kritisk område. Hvis en angriber får kontrol over højt privilegerede AD-konti eller domain controllers, kan store dele af virksomhedens Windows-miljø være påvirket. Derfor er evnen til at forstå privilegier, delegation og administrative adgangsveje vigtig for både drift og cybersikkerhed.

Færdigheden er også vigtig i hybride miljøer. Lokalt Active Directory kan være forbundet med Microsoft Entra ID, så identiteter bruges på tværs af lokale systemer og cloud-tjenester. Her skal vedkommende forstå grænsen mellem de to miljøer og kunne fejlfinde synkronisering og afhængigheder.

Disaster recovery er et andet område, hvor erfaring betyder meget. En administrator skal forstå backup og recovery af domain controllers og vide, at gendannelse af Active Directory kræver mere omtanke end blot at starte en gammel serverkopi.

Typiske roller er Windows Server Administrator, Infrastructure Engineer, Identity Engineer, Systems Administrator, IAM-ekspert, Security Engineer og Infrastructure Architect. På større arbejdspladser kan Active Directory være et selvstændigt område.

Active Directory læres bedst i et laboratoriemiljø, hvor man selv kan bygge et domæne og tillade sig at lave fejl. Opret domain controllers, DNS, brugere, grupper og Organizational Units. Tilføj klientmaskiner til domænet og begynd derefter at arbejde med Group Policy.

Microsoft Learn-forløbet Administer Active Directory Domain Services er et relevant struktureret udgangspunkt. Det dækker blandt andet deployment og vedligeholdelse af domain controllers, AD-objekter, Group Policy, sikkerhed og fejlfinding. Microsoft tilbyder også en Applied Skills-credential med samme fokusområde.

En god træningsmetode er at bygge problemer med vilje. Stop DNS på en domain controller. Lav en forkert DNS-konfiguration på en klient. Opret replication-problemer i et isoleret lab. Konfigurér en Group Policy forkert og find årsagen med de normale administrationsværktøjer.

Man bør også træne PowerShell. Start med søgning efter brugere og grupper. Gå derefter videre til masseændringer, rapportering, gruppeadministration og automatisering af gentagne administrative opgaver.

DNS bør trænes som et selvstændigt område. Mange Active Directory-problemer bliver langt lettere at forstå, når vedkommende ved, hvordan DNS-zoner, records, navneopslag og domain controller discovery fungerer.

Derefter bør man arbejde med replication, sites, subnets, FSMO-roller, trusts og delegation. De områder bliver særligt vigtige, når miljøet vokser ud over et enkelt domæne på en enkelt lokation.

Sikkerhed skal være en del af træningen fra starten. Microsofts vejledning om sikring af Active Directory lægger blandt andet vægt på least privilege, beskyttelse af privilegerede konti og sikring af domain controllers. Det er langt bedre at lære sikker administration fra begyndelsen end senere at forsøge at rette et miljø, hvor alle administratorer har for brede rettigheder.

Hybrid identitet er relevant for mange moderne miljøer. Derfor bør man efter det grundlæggende AD DS også forstå integrationen mellem lokalt Active Directory og Microsoft Entra ID.

Et kursus eller et Microsoft Learn-forløb kan lære strukturen og værktøjerne. Det gør ikke alene en person til en, der kan arbejde med Active Directory. Den stærke færdighed opstår gennem migrationer, sikkerhedsarbejde, recovery, replication-fejl, DNS-problemer og de situationer, hvor en tilsyneladende lille ændring påvirker mange brugere.

Spørg først, hvordan Active Directory afhænger af DNS. En erfaren kandidat bør kunne forklare mere end, at DNS skal virke. Vedkommende bør forstå, hvordan klienter og servere finder domain controllers og hvorfor forkert DNS-konfiguration kan give problemer med blandt andet login og replication.

Spørg derefter om Group Policy. Giv eksempelvis et scenarie, hvor en bestemt policy ikke rammer en bruger eller computer. Kandidaten bør kunne undersøge link, scope, arv, sikkerhedsfiltrering, OU-placering og den faktiske policy-behandling.

Et godt spørgsmål er også, hvad kandidaten gør, hvis to domain controllers ikke replikerer korrekt. En erfaren person vil normalt undersøge replication-status, DNS, connectivity og relevante logs frem for straks at genstarte serverne eller oprette dem på ny.

Spørg om privilegerede konti. Hvis kandidaten mener, at Domain Admin bør bruges til daglig administration, er det et advarselstegn. En stærk profil kan forklare least privilege, delegation og beskyttelse af de identiteter, der kan kontrollere hele domænet.

Bed kandidaten forklare FSMO-roller og hvad der sker, hvis en server med en rolle forsvinder. Det er ikke nødvendigt at kunne remse alle detaljer op udenad. Det vigtige er, om vedkommende forstår rollerne og forskellen på en kontrolleret overførsel og recovery efter et servertab.

Spørg også om recovery. Hvordan ville personen forberede sig på tab eller kompromittering af domain controllers? Erfaring viser sig ofte i forståelsen af backup, restore, system state og behovet for en dokumenteret recovery-proces.

Ved hybride miljøer bør kandidaten kunne forklare forskellen på Active Directory Domain Services og Microsoft Entra ID. De to teknologier hænger ofte sammen, men de har forskellige protokoller, funktioner og administrationsmodeller.

Se efter konkrete eksempler. En erfaren person, der arbejder med Active Directory, kan normalt fortælle om en vanskelig replication-fejl, en problematisk Group Policy, en domænemigrering, delegation af rettigheder eller en sikkerhedsoprydning og forklare, hvordan problemet blev analyseret.

Det stærkeste tegn på Active Directory-færdighed er systemforståelse. Vedkommende ser sammenhængen mellem identiteter, DNS, domain controllers, replication, Group Policy, authentication og sikkerhed og kan fejlfinde uden at gætte.