Active Directory — Cheat Sheet

Tag: active directory, windows server, ldap, kerberos, domain controller, gpo

Livello: intermedio

TL;DR: Servizio di directory Microsoft per la gestione centralizzata di domini, identità, computer e policy aziendali (GPO) tramite protocolli LDAP, DNS e Kerberos.

Concetti chiave

Domain Controller (DC): server che autentica gli utenti e gestisce i dati direttoriali del dominio.

Foresta e Dominio: la foresta è il confine di sicurezza assoluto; il dominio è il raggruppamento logico degli oggetti.

Organizational Unit (OU): contenitori logici usati per delegare l'amministrazione e applicare le GPO.

Global Catalog (GC): server che memorizza una copia completa degli oggetti del proprio dominio e parziale degli altri domini.

FSMO Roles: i 5 ruoli a master singolo che evitano conflitti in operazioni critiche del dominio e della foresta.

Group Policy Object (GPO): regole per configurare automaticamente impostazioni di sicurezza, software e registro sui client.

Kerberos: protocollo di autenticazione standard di Active Directory basato sul rilascio e validazione di ticket (TGT).

DNS in AD: fondamentale per la localizzazione dei DC tramite i record SRV; senza DNS funzionante AD è irraggiungibile.

Domande tipiche e risposte pronte

Q: Qual è la differenza tra autenticazione NTLM e Kerberos?R: NTLM si basa su challenge-response ed è legacy e vulnerabile; Kerberos usa ticket crittografati e timestamp anti-replay, ed è lo standard moderno in AD.

Q: Quali sono i 5 ruoli FSMO?R: A livello di foresta abbiamo Schema Master e Domain Naming Master. A livello di dominio RID Master, PDC Emulator e Infrastructure Master.

Q: Cosa succede se il PDC Emulator va offline?R: Si perdono la sincronizzazione dell'orario autorevole, le modifiche immediate alle password, la gestione dei lockout e la retrocompatibilità con i client obsoleti.

Insidie e errori comuni

Sincronizzazione dell'orario (Time Drift): Kerberos rifiuta i ticket se la differenza di orario tra client e server supera i 5 minuti.

Problemi di risoluzione DNS: i client non riescono a trovare i servizi di dominio se i record SRV non sono registrati correttamente.

Modifica indiscriminata delle policy predefinite: è un errore modificare pesantemente la Default Domain Policy invece di creare GPO granulari dedicate.

Snippet e comandi

# Trovare tutti i ruoli FSMO nel dominio e nella foresta
netdom query fsmo

# Forzare l'aggiornamento immediato delle Group Policy sul client
gpupdate /force

# Sbloccare un account utente tramite modulo ActiveDirectory
Unlock-ADAccount -Identity "username"

# Forzare la replica tra tutti i Domain Controller
repadmin /syncall