Active Directory

Active Directory to usługa katalogowa systemów Windows Server, w której firma trzyma konta użytkowników, komputery i uprawnienia. Wdrażamy ją tam, gdzie porządek w dostępach przestaje dać się utrzymać ręcznie, oraz integrujemy z chmurą Microsoft Entra ID.

Po co firmie domena

Objaw, że czas na Active Directory, jest zawsze podobny: nikt nie wie, kto ma dostęp do czego. Hasła są ustawiane osobno na każdym komputerze, konta byłych pracowników nadal działają, a nowy pracownik czeka pół dnia, aż ktoś skonfiguruje mu drukarkę i dyski sieciowe.

• Jedno konto do wszystkiego — komputer, dyski sieciowe, drukarki, aplikacje. Jedno hasło, jedna zmiana.
• Centralne uprawnienia — dostęp do zasobów wynika z przynależności do grupy, a nie z ręcznych ustawień na poszczególnych folderach.
• Zasady grupowe (GPO) — konfiguracja komputerów, ustawienia bezpieczeństwa, mapowanie dysków i instalacja oprogramowania rozgłaszane automatycznie.
• Onboarding i offboarding w jednym kroku — utworzenie konta w odpowiedniej grupie nadaje komplet uprawnień; wyłączenie odbiera je wszystkie naraz.
• Rejestr zdarzeń — kto i kiedy się logował, przydatny przy audycie bezpieczeństwa.

Zakres wdrożenia

• Projekt struktury — jednostki organizacyjne, konwencja nazewnictwa, model grup i uprawnień.
• Instalacja kontrolerów domeny, zwykle dwóch, żeby awaria jednego serwera nie zatrzymała logowania w firmie.
• DNS i DHCP — usługi, bez których domena nie działa poprawnie, a których błędna konfiguracja jest najczęstszą przyczyną dziwnych problemów z siecią.
• Zasady grupowe — polityki haseł, blokada ekranu, ustawienia przeglądarek, szyfrowanie BitLocker, dystrybucja drukarek i dysków.
• Serwer plików — struktura katalogów, uprawnienia oparte o grupy, przydziały dyskowe i wersje poprzednie plików.
• Przyłączenie stacji roboczych i migracja profili użytkowników.
• Usługi dodatkowe — pulpit zdalny (RDS), serwer wydruku, uwierzytelnianie sieciowe RADIUS przez rolę NPS.

Active Directory a chmura

Lokalna domena i Microsoft Entra ID to dwie różne usługi, choć często mylone. Firmy korzystające z Microsoft 365 mają tożsamość w chmurze niezależnie od tego, czy w biurze stoi kontroler domeny. Dostępne są trzy sensowne modele:

Model	Dla kogo
Tylko lokalne AD	Firmy z aplikacjami wymagającymi domeny i bez potrzeb chmurowych. Coraz rzadszy przypadek.
Hybryda (AD + Entra ID)	Najczęstszy wariant. Konta z lokalnej domeny synchronizowane do chmury przez Entra Connect, jedno hasło do komputera i do Microsoft 365.
Tylko Entra ID	Firmy bez serwera lokalnego, z komputerami zarządzanymi przez Intune. Najprostszy model dla nowych organizacji.

Dobór modelu omawiamy przed wdrożeniem, bo późniejsza zmiana kierunku jest kosztowna. Jeżeli rozważasz odejście od serwera lokalnego, zobacz migrację do chmury.

Integracja z siecią

Konta domenowe wykorzystujemy również do uwierzytelniania dostępu do sieci — logowania do Wi-Fi i VPN na konto użytkownika zamiast wspólnego hasła, przez serwer RADIUS zintegrowany z domeną. Opisujemy to na stronie UniFi Identity i autoryzacja zintegrowana.

Porządkowanie istniejącej domeny

Częściej niż wdrożenia od zera realizujemy uporządkowanie domen, które rosły latami bez nadzoru. Typowy zakres: usunięcie nieaktywnych kont i komputerów, uporządkowanie grup i uprawnień do zasobów, przegląd kont z uprawnieniami administracyjnymi, aktualizacja poziomu funkcjonalności domeny, dołożenie drugiego kontrolera i wdrożenie kopii zapasowej stanu systemu.

Najczęstsze pytania

Od ilu stanowisk domena ma sens?

Praktycznie od kilkunastu komputerów, ale decyduje nie liczba, lecz rotacja pracowników i wymagania aplikacji. W firmie dziesięcioosobowej z dużą rotacją domena zwraca się szybciej niż w dwudziestoosobowej o stabilnym zespole.

Czy potrzebne są dwa kontrolery domeny?

Przy jednym kontrolerze jego awaria oznacza brak możliwości logowania w całej firmie. Drugi kontroler to zwykle maszyna wirtualna na istniejącym serwerze — koszt niewielki wobec konsekwencji przestoju.

Czy migracja do domeny wymaga przeinstalowania komputerów?

Nie. Komputery przyłączamy do domeny, a profile lokalne migrujemy z zachowaniem danych i ustawień użytkowników.