konto powiązane z Active Directory

Konto powiązane z Active Directory to profil uwierzytelniany danymi z centralnej usługi katalogowej organizacji.

Rola konta w domenie Active Directory

Konto powiązane z Active Directory jest obiektem użytkownika zapisanym w usłudze katalogowej domeny. Active Directory Domain Services, czyli AD DS, przechowuje między innymi nazwę logowania, identyfikator zabezpieczeń SID, członkostwo w grupach oraz informacje potrzebne do uwierzytelniania. Konto nie jest więc wyłącznie profilem zapisanym lokalnie na jednym laptopie lub komputerze PC. Jego dane są obsługiwane przez kontroler domeny, a komputer korzystający z domeny może sprawdzać tożsamość użytkownika w centralnym katalogu.

Podczas logowania użytkownik podaje nazwę w formacie domenowym, na przykład DOMENA\użytkownik albo Ten adres pocztowy jest chroniony przed spamowaniem. Aby go zobaczyć, konieczne jest włączenie w przeglądarce obsługi JavaScript.. Komputer przekazuje żądanie do odpowiednich usług domenowych, a po pomyślnym uwierzytelnieniu system Windows tworzy lub otwiera lokalny profil użytkownika. Profil zawiera ustawienia pulpitu, dane aplikacji i część konfiguracji środowiska, ale nie zastępuje konta przechowywanego w Active Directory. Usunięcie profilu z komputera nie usuwa konta z katalogu, natomiast usunięcie lub zablokowanie obiektu w katalogu może uniemożliwić kolejne logowania domenowe.

Uwierzytelnianie i bilety Kerberos

W typowej domenie Active Directory podstawowym mechanizmem uwierzytelniania jest Kerberos w wersji 5. Kontroler domeny pełni funkcję centrum dystrybucji kluczy, a jego usługa Kerberos wydaje bilety potrzebne do korzystania z zasobów. Po zalogowaniu komputer otrzymuje bilet przyznający bilety, znany jako TGT. Na jego podstawie może uzyskać bilety usługowe dla konkretnych zasobów, takich jak udział plików dostępny przez SMB. Dzięki temu hasło nie musi być przesyłane przy każdym dostępie do kolejnej usługi.

Jeżeli warunki wymagane przez Kerberos nie są spełnione, system może próbować użyć starszego mechanizmu NTLM, zależnie od konfiguracji domeny i rodzaju żądania. Problemy z logowaniem często wynikają z niezgodności czasu między komputerem a kontrolerem domeny, błędnej konfiguracji DNS, braku łączności z kontrolerem albo nieprawidłowej nazwy głównej usługi. Active Directory jest silnie zależne od DNS: komputer musi móc odnaleźć rekordy usług domenowych, w tym rekordy SRV wskazujące kontrolery domeny. Sam dostęp do Internetu nie potwierdza poprawnego połączenia z domeną.

Uprawnienia, grupy i zasady domenowe

Tożsamość konta jest rozpoznawana nie tylko po nazwie użytkownika. System Windows wykorzystuje SID konta oraz SID grup, do których konto należy. Uprawnienia do plików i folderów są zapisywane na listach kontroli dostępu NTFS i mogą odnosić się bezpośrednio do użytkownika albo do grupy domenowej. Zmiana nazwy konta nie musi zmienić jego SID, natomiast usunięcie obiektu i utworzenie nowego konta o takiej samej nazwie tworzy inną tożsamość zabezpieczeń. Wtedy wcześniejsze uprawnienia mogą przestać działać.

Konfiguracja konta może obejmować zakaz logowania, datę wygaśnięcia, wymuszenie zmiany hasła, blokadę po wielu nieudanych próbach oraz członkostwo w grupach. Na zachowanie systemu wpływają również zasady grupy, czyli Group Policy. Zasady mogą określać wymagania dotyczące haseł, uruchamiania usług, mapowania dysków sieciowych, konfiguracji zapory i ustawień środowiska użytkownika. Po zmianie zasad nie zawsze następuje natychmiastowa aktualizacja; komputer pobiera konfigurację zgodnie z mechanizmem odświeżania zasad, a administrator może wymusić jej przetworzenie poleceniem gpupdate /force.

Rozpoznawanie problemów z kontem domenowym

Diagnozę należy rozpocząć od ustalenia, czy problem dotyczy samego konta, komputera, sieci czy kontrolera domeny. Warto sprawdzić, czy inne konto domenowe może zalogować się na tym samym komputerze oraz czy dane konto działa na innym urządzeniu. Należy również rozróżnić logowanie do konta lokalnego od logowania do domeny, ponieważ wpisanie podobnej nazwy użytkownika może skierować system do niewłaściwego źródła poświadczeń. Pomocne są informacje wyświetlane przez polecenia whoami i whoami /user, które pokazują bieżącą tożsamość oraz jej SID.

W przypadku błędów dostępu do zasobów należy sprawdzić bieżące bilety poleceniem klist. Nieprawidłowe lub wygasłe bilety mogą powodować odmowę dostępu mimo poprawnego hasła. Polecenie ipconfig /all pozwala zweryfikować, czy komputer używa właściwego serwera DNS, a nltest /dsgetdc:nazwa-domeny może pomóc sprawdzić odnalezienie kontrolera domeny. W Podglądzie zdarzeń istotne są dzienniki dotyczące logowania, profilu użytkownika, zasad grupy i usług systemowych. Jeżeli komputer utracił relację zaufania z domeną, samo wyczyszczenie profilu użytkownika zwykle nie rozwiązuje problemu, ponieważ relacja ta jest związana także z kontem komputera i jego hasłem domenowym.