Контроллер домена (Domain Controller)
Что такое контроллер домена
Контроллер домена (Domain Controller, DC) — сервер, который хранит данные доменной инфраструктуры и участвует в аутентификации пользователей, управлении компьютерами и применении политик безопасности.
В нём содержится информация о пользователях, компьютерах, группах и других объектах каталога. При входе пользователя контроллер проверяет его учётные данные и предоставляет информацию, необходимую для доступа к корпоративным ресурсам.
Какие задачи выполняет контроллер домена
Контроллер домена отвечает за несколько ключевых процессов:
- аутентификацию пользователей — проверяет учётные данные;
- хранение данных каталога — содержит информацию об объектах домена;
- управление доступом — использует данные о группах и правах;
- применение политик — участвует в централизованном управлении настройками;
- репликацию — синхронизирует данные с другими контроллерами.
Зачем нужно несколько контроллеров домена
Один контроллер домена создаёт единую точку отказа. Если сервер выйдет из строя, пользователи могут потерять возможность аутентифицироваться и получать доступ к ресурсам.
Поэтому в корпоративной инфраструктуре обычно используют несколько контроллеров. Они синхронизируют данные и резервируют друг друга.
В крупных организациях контроллеры могут размещаться в разных дата-центрах. Это позволяет совместить резервирование с геораспределённой инфраструктурой.
Как защищают контроллеры домена
Контроллер домена — критичный компонент инфраструктуры. Его компрометация может дать злоумышленнику широкие возможности для доступа к корпоративной сети.
Поэтому контроллеры обычно:
- размещают в защищённых сетевых сегментах;
- ограничивают административный доступ;
- используют отдельные учётные записи администраторов;
- регулярно обновляют;
- контролируют их состояние;
- резервируют критичные данные.
Важно защищать не только сам сервер, но и учётные записи с административными полномочиями.
Контроллер домена при миграции службы каталогов
При миграции с одной службы каталогов на другую необходимо сохранить не только учётные записи, но и доменную аутентификацию, группы, политики, права доступа и интеграции.
MULTIDIRECTORY поддерживает ключевые механизмы корпоративной службы каталогов и может использоваться для построения новой доменной инфраструктуры при миграции с Microsoft Active Directory.
