Active Directory: principy a správa identit v podnikové síti

Active Directory

Active Directory (AD) je adresářová služba společnosti Microsoft určená k centrální správě identit, přístupů a prostředků v prostředí Windows. Poskytuje jednotné úložiště objektů (uživatelé, skupiny, počítače, služby), autentizaci, autorizaci, zásady konfigurace a integrační body pro aplikace a cloud. Správná architektura a správa AD jsou klíčové pro bezpečnost, dostupnost i provozní efektivitu organizace.

Logická architektura: forest, doména a OU

• Forest: nejvyšší hranice důvěry a schématu; sdílí globální katalog, konfiguraci a schéma. Kvůli bezpečnostní a provozní jednoduchosti bývá v organizaci obvykle jeden forest.
• Doména: hranice zásad hesel, replikace a správy. Oddělení domén zvažujte pouze z právních, geografických či bezpečnostních důvodů.
• OU (Organizational Unit): logická struktura pro delegování práv a uplatňování zásad skupiny (GPO). Návrh OU kopíruje model správy (kdo co spravuje), nikoli nutně organizační schéma na papíře.

Fyzická architektura: lokality, replikace a DC

• Domain Controller (DC): server s rolí AD DS a DNS; uchovává zapisovatelnou kopii databáze NTDS.dit (případně RODC pouze pro čtení).
• Lokality (Sites): mapují podsítě IP na fyzickou topologii; optimalizují replikaci i přihlašování (blízký DC, distribuované DFS).
• Replikační model: multi-master s plánovačem a kompresí. SYSVOL musí replikovat DFSR (nahrazuje historický FRS).
• Globální katalog (GC): částečná replikace atributů všech objektů ve forestu; je vyžadován pro přihlašování uživatelů s univerzálními skupinami.

Schéma a třídy objektů

Schéma definuje typy objektů a atributů. Rozšíření schématu je nevratná operace a mělo by se provádět řízeně (testování, řízení změn). Aplikace (např. e-mailové systémy či správa identit) často přidávají vlastní třídy a atributy – je nutné posoudit dopady na replikaci a bezpečnost.

Integrace DNS

AD je úzce závislé na DNS. Zóny bývají často „integrované s AD“ s víceúrovňovým zápisem a zabezpečenými dynamickými aktualizacemi. DC publikuje záznamy SRV (_ldap._tcp.dc._msdcs apod.), které klienti využívají k nalezení služeb. Nesoulad v DNS je častou příčinou problémů s přihlašováním a chyb replikace.

Autentizace a autorizace

• Kerberos: výchozí protokol pro přihlašování; podporuje delegování (KCD, RBCD), vzájemné ověření i jednotné přihlašování.
• NTLM: ponechávejte pouze kvůli starším systémům; je vhodné jej auditovat a postupně omezovat.
• LDAP/LDAPS: adresářový protokol pro čtení a zápis; vynucujte TLS a moderní šifry.
• Autorizace: ACL u objektů AD, členství ve skupinách a GPO; používejte pouze nezbytná oprávnění a delegování s dědičností.

Skupiny a rozsahy

• Typ: bezpečnostní (ACL) vs. distribuční (pošta).
• Rozsah: Global (členství v doméně, použití napříč forestem), Domain Local (ACL v doméně), Universal (napříč forestem – vyžaduje GC a zvyšuje replikaci).
• Doporučený model AGDLP/AGUDLP: účty → globální skupiny → (univerzální skupiny) → doménové lokální skupiny → oprávnění k prostředku.

Role FSMO (operační mistři)

Zásady skupiny (GPO) a jejich zpracování

• Hierarchie LSDOU: Local → Site → Domain → OU (pořadí uplatňování, pozdější zásada má přednost), s možností Enforce a Block Inheritance.
• Loopback: Merge/Replace pro kiosky a terminálové servery.
• GPP a cílení: podrobné nastavení konfigurace (mapování tiskáren, registr, naplánované úlohy) s cílením na úrovni položek.
• Správa: verzování, řízení změn, testovací OU a postupné nasazování.

Hygiena identit a privilegovaná správa

• Model tiering a PAW: oddělení správcovských stanic a účtů (Tier 0/1/2), zákaz přihlašování správcovských účtů na běžné stanice.
• LAPS / Windows LAPS: jedinečná hesla místních správců na stanicích a serverech, uložená v AD a chráněná pomocí ACL.
• gMSA: skupinové spravované servisní účty s automatickou obměnou klíčů.
• Protected Users a AdminSDHolder: ochrana vysoce privilegovaných účtů před nově přiděleným delegováním oprávnění.
• Zákaz členství „domain users“ v místních skupinách správců: minimalizace laterálního pohybu.

Delegování a správa oprávnění

Delegujte správu na úrovni OU (např. HR spravuje účty v OU „Zaměstnanci“). Používejte předdefinované role, vlastní skupiny a princip least privilege. Vyvarujte se přímého přidělování oprávnění jednotlivým objektům – upřednostňujte dědičnost a skupiny.

Bezpečnost doménových vztahů (trustů)

• Typy: v rámci forestu (tranzitivní), externí (NTLM/Kerberos), forest-to-forest, realm (Kerberos). Vždy zvažujte selective authentication.
• SID filtering a SIDHistory: zabraňují zneužití migračních identit; používejte je obezřetně a auditujte.

Auditování a detekce anomálií

• Pokročilá zásada auditování: kategorie Logon/Logoff, Account Management, DS Access, Object Changes.
• Důležité události: 4624/4625 (přihlášení), 4720/4722/4726 (správa účtů), 4732/4733 (členství ve skupinách), 5136 (změny v adresáři).
• Integrace se SIEM: centralizované protokoly, korelace, detekce neobvyklého chování (např. vytváření skrytých správců, pokusy o DC Sync/DC Shadow).

Údržba, monitorování a stav AD

• Pravidelné kontroly: dcdiag, repadmin /replsummary, kontrola fronty replikace, stavu SYSVOL (DFSR) a konzistence DNS.
• Stav časové synchronizace: PDC Emulator synchronizuje čas (W32Time) a slouží jako časová reference pro doménu; pro kořenový forest nastavte spolehlivý externí zdroj.
• Plánování kapacity: velikost NTDS.dit, indexy, počet objektů, rozmístění GC/DC podle lokalit.

Zálohování a obnova

• Záloha System State: pravidelně ze všech DC (alespoň z každé lokality). Ověřujte možnost obnovy.
• Obnova AD: neautoritativní vs. autoritativní (povýšení objektů/OU), využití DSRM. AD Recycle Bin umožňuje rychlou obnovu bez autoritativní obnovy.
• Katastrofické scénáře: ztráta PDC, obnova forestu, offline obnova DC a případné převzetí rolí FSMO pomocí seize.

Zásady hesel a ověřování

• Fine-Grained Password Policies (FGPP): odlišné požadavky na délku, složitost a uzamčení účtu pro vybrané skupiny.
• MFA a čipové karty: integrace s ADFS či cloudovými službami, PKI (AD CS) pro vydávání certifikátů, vynucení přihlašování pomocí čipové karty u vysoce privilegovaných účtů.
• Předběžné ověřování Kerberos a šifry AES: vynucujte moderní šifrování, postupně omezujte RC4/NTLM.

RODC a pobočkové kanceláře

Read-Only Domain Controller (RODC) snižuje rizika v méně zabezpečených lokalitách. Umožňuje využití Password Replication Policy (PRP) – určete, které hodnoty hash lze ukládat do místní mezipaměti. Delegujte místní správu bez plných doménových oprávnění.

Správa pomocí PowerShellu a automatizace

• Moduly: ActiveDirectory, GroupPolicy, DFSR, DnsServer.
• Procesy: zřizování a rušení účtů, obměna klíčů (gMSA), hromadné změny atributů, exporty do SIEM/CMDB.
• Řízení změn: verzování skriptů (Git), schvalování, testovací prostředí, „just-enough“ a „just-in-time“ správa (JEA/JIT).

Hybridní identity a cloud

• Synchronizace identit: Microsoft Entra Connect (dříve Azure AD Connect) s režimy PHS (Password Hash Sync) či PTA (Pass-Through Authentication) a volitelným ADFS.
• Hybridní přístup: SSO s Entra ID (dříve Azure AD), Conditional Access, integrace s MDM/MAM (Intune), synchronizace skupin a atributů.
• Správa identit: životní cyklus účtů mezi prostředím on-prem a cloudem, správné mapování UPN, směrovatelné domény a filtrování OU/atributů.

Typické chyby a jak se jim vyhnout

• Další DC bez správně nastaveného DNS a času → chyby replikace a přihlašování.
• Příliš plochá struktura OU a absence delegování → ruční správa, riziko chyb.
• „Všichni jsou místní správci“ → laterální pohyb a eskalace oprávnění.
• Absence LAPS/gMSA a AdminSDHolder → rizikové servisní účty a oprávnění.
• GPO bez monitorování a nekontrolované propojování → konflikty a dlouhé přihlašování.

Doporučené postupy (best practices)

• Jeden forest a jedna doména (pokud to dává smysl), jasný návrh OU podle správy a GPO.
• Minimálně dva DC na doménu a lokalitu, alespoň jeden s rolí GC; SYSVOL na DFSR.
• Víceúrovňová správa, PAW, LAPS/Windows LAPS, gMSA; audit privilegovaných akcí.
• Pravidelné zálohy System State, testy obnovy, zapnutý AD Recycle Bin.
• Audit a detekce: centralizace protokolů, základní sada pravidel, upozornění na změny privilegovaných skupin.
• Plánovaný životní cyklus: nástup a odchod zaměstnanců, obměna hesel a klíčů, opětovná certifikace v PKI.

Metriky a provozní ukazatele

Závěr

Active Directory je páteří správy identit v prostředí on-prem a často také v hybridním modelu s Microsoft Entra ID. Stabilní a bezpečný provoz vyžaduje promyšlenou architekturu, kvalitní DNS a časovou synchronizaci, důslednou správu oprávnění, řízené GPO a pravidelné zálohy s testy obnovy. Dodržování principů least privilege, segmentace správy a systematický monitoring s auditem významně snižují rizika a provozní náklady. Investice do automatizace a standardizace procesů (PowerShell, CI/CD pro konfigurace) pak umožňují škálovat a dlouhodobě udržovat kvalitu služeb.