Name: الأساس الحديدي — الأسبوع 22 — Active Directory — دليل المؤسسة
Author: Amine RAITI

RATIO

الأساس الحديدي · دعامة الدرس · الأسبوع 22

◆◆◆

Active Directory
دليل المؤسسة
الأسبوع 22 من 26 · الوحدة 8 — Active Directory وGPO
10 ساعات نظرية · 25 ساعة تطبيقية

◆

◆ الأهداف التعليمية للأسبوع

1. فهم البنية المنطقية لـActive Directory (الغابة، النطاق، وحدات تنظيمية)
2. تثبيت وترقية متحكم نطاق على Windows Server
3. إنشاء وتنظيم مستخدمين ومجموعات ووحدات تنظيمية
4. دمج جهاز عميل Windows في النطاق
5. مصادقة مستخدمي النطاق على الأجهزة العميلة

◆◆◆

⚠ تنبيه — ديمومة الإصدارات وتذكير بالتسلسل

يُدرَّس Active Directory هنا لأن DNS (الأسبوع 21) أصبح عاملًا الآن — إنه شرطه المسبق التقني المباشر. تتطور إصدارات Windows Server؛ يكيّف المكوِّن إجراءات تثبيت متحكم النطاق مع الإصدار المتوفر بالقاعة.

◆

Amine RAITI · مهندس بنية تحتية وSRE
وثيقة عمومية · CC BY-NC-SA 4.0 · AI Powered by Amine
عملية ديندون

RATIO

خطة الدرس · 10 ساعات

الخيط النظري الناظم

◆

22.1 · البنية المنطقية لـActive Directory3 ساعات

— الغابة (Forest): مجموعة نطاقات تتشارك مخططًا مشتركًا (قمة تسلسل AD)
— النطاق (Domain): الوحدة الإدارية الأساسية، حدود الأمان والنسخ
— الوحدة التنظيمية (OU): حاوية منطقية لتنظيم المستخدمين والمجموعات والحواسيب، وتطبيق GPO بشكل مستهدف (صلة مسبقة بالأسبوع 23)
— العلاقة بـLDAP: AD تطبيق لـLDAP أثرته Microsoft

22.2 · متحكم النطاق والاعتماد على DNSساعتان

— متحكم النطاق (DC) هو الخادم الذي يستضيف Active Directory
— أدوار FSMO (عمليات السيد الوحيد المرنة): تقديم مفاهيمي للأدوار الخمسة ذات السيد الوحيد
— الاعتماد على DNS: تذكير صريح بالصلة مع الأسبوع 21 — دون DNS عامل، يستحيل تثبيت نطاق

22.3 · المستخدمون والمجموعات والحواسيب في AD3 ساعات

— الفرق بين حساب محلي (الأسبوع 12) وحساب نطاق (هذا الدرس) — نفس المنطق، نطاق مختلف
— أنواع مجموعات AD: أمان مقابل توزيع، نطاق محلي / عام / شامل
— الانضمام إلى النطاق: ما يحدث تقنيًا عندما ينضم جهاز إلى النطاق

22.4 · النسخ والتوافر العالي في ADساعتان

— لماذا يُنصَح بعدة متحكمات نطاق (تحمل الأعطال، صلة بالأسبوع 14 — HA)
— المواقع والخدمات في AD: مفهوم النسخ بين المواقع الجغرافية

RATIO

التمرين التطبيقي 1 · تثبيت متحكم النطاق · 12 ساعة

المعدات: VM بـWindows Server (الأسبوع 11)، DNS عامل منذ الأسبوع 21، VM عميلة بـWindows للانضمام إلى النطاق.

(ساعتان) التحقق من الشروط المسبقة: IP ثابت على الخادم، DNS يشير إلى نفسه أو إلى خادم DNS للأسبوع 21، اتصال شبكي مؤكَّد.

(3 ساعات) تثبيت دور Active Directory Domain Services (AD DS) وترقية الخادم إلى متحكم نطاق، إنشاء النطاق (مثلًا: socle.lan)، اختيار المستوى الوظيفي للنطاق.

(ساعتان) التحقق بعد التثبيت: تم إنشاء تسجيلات SRV لـDNS تلقائيًا من طرف DC (التأكيد في نطاق DNS للأسبوع 21)، خدمة AD DS نشطة.

(3 ساعات) إنشاء البنية التنظيمية: 3 وحدات تنظيمية (الإدارة، التقني، الزوار)، إنشاء 5 مستخدمي نطاق موزَّعين وفق السيناريو المُوفَّر، إنشاء مجموعات أمان.

(ساعتان) انضمام VM عميلة بـWindows إلى النطاق، الاتصال بحساب نطاق، التحقق من ظهور الحساب في سجلات أحداث DC.

تصحيح التمرين التطبيقي 1

التحقق من تسجيلات SRV: في نطاق DNS للنطاق، التحقق من وجود تسجيلات _ldap._tcp وkerberos._tcp_ وkpasswd._tcp_ في المجلد الفرعي _tcp — يؤكد وجودها أن DC سجَّل نفسه بشكل صحيح وأن العملاء سيتمكنون من تحديد موقعه.

خطأ شائع: يشير DNS خادم Windows إلى خادم خارجي بدلًا من نفسه (أو DNS الأسبوع 21) — يفشل تثبيت DC أو لا تُنشأ تسجيلات SRV في النطاق الصحيح.

RATIO

التمرين التطبيقي 2 · إدارة AD وإدارة الحسابات · 13 ساعة

المعدات: متحكم النطاق المُعدّ في التمرين 1.

(3 ساعات) إدارة AD عبر الواجهة الرسومية (مستخدمو وحواسيب Active Directory) وعبر PowerShell (Get-ADUser، New-ADUser، Add-ADGroupMember) — إظهار تكافؤ الطريقتين.

(3 ساعات) سيناريو وصول/مغادرة: إنشاء حساب لمستخدم جديد، إسناده إلى المجموعات وOU الصحيحة، ثم محاكاة مغادرته (تعطيل الحساب، إزالته من المجموعات، أرشفته في OU "حسابات قديمة").

(3 ساعات) اختبار المصادقة من عدة أجهزة عميلة بحسابات نطاق مختلفة، التحقق من صلاحيات الوصول إلى الموارد المشتركة المُنشأة في الأسبوع 12 (الآن عبر حسابات نطاق بدلًا من حسابات محلية).

(ساعتان) تفويض التحكم: إعداد إمكانية لمستخدم غير مدير إعادة تعيين كلمات المرور في OU محددة — دون صلاحيات مدير كاملة.

(ساعتان) كتابة مخطط لبنية AD المنشورة (الغابة، النطاق، OUs، المجموعات، الحسابات).

تصحيح التمرين التطبيقي 2

نقطة تعليمية حول التفويض: يسمح تفويض التحكم في AD بتطبيق مبدأ الامتياز الأدنى (الأسبوع 15) على مستوى الدليل — يستطيع helpdesk إعادة تعيين كلمات المرور دون أن يكون مدير النطاق، مما يقلل سطح التعرض في حال اختراق حساب helpdesk.

◆ بطاقة تجميع — التقييم الذاتي للأسبوع 22

1. أستطيع شرح بنية غابة/نطاق/OU لـActive Directory.

2. أستطيع تثبيت وترقية متحكم نطاق.

3. أفهم لماذا DNS شرط مسبق لـActive Directory.

4. أستطيع إنشاء مستخدمين ومجموعات وOUs في AD.

5. أستطيع ضم جهاز Windows إلى نطاق.

6. أستطيع إدارة AD عبر PowerShell.

7. أستطيع إدارة دورة حياة حساب (إنشاء، تعطيل، أرشفة).

8. أستطيع إعداد تفويض تحكم على OU.