pdf (it, 167 KB, 28/10/09)

INTRODUZIONE
Active Directory (AD) è il sistema sviluppato da Microsoft per il servizio di Sistema Directory Services
(SDS), ovvero un insieme di servizi di rete meglio noti come “directory service” adottati dai sistemi
operativi Microsoft a partire da Windows 2000 Server.
Active Directory (AD) si fonda sui concetti di DOMINIO e di Directory. Si potrebbe vedere Active Directory
(AD) e quindi il Dominio come un elenco in cui vengono concentrate tutte le risorse della rete a partire da
account utente, account computer, cartelle condivise, stampanti etc.
Nel dominio Active Directory di Microsoft i computer connessi in rete hanno una gerarchia definita essendo
impostati come server o come client.
I domini hanno criteri di protezione gestiti e impostati sui controller di dominio (server); gli utenti vengono
autenticati proprio tramite il controller (server) al momento dell'accesso.
Architettura Standard per un AD
Per un utilizzo efficiente dei controller di dominio dell'organizzazione è opportuno stimare il numero di
controller di dominio necessari, non tralasciando di considerare le misure di protezione fisica da adottare,
nonché gestirli, secondo la prassi e le tecniche previste da Microsoft, non dimenticando l'aggiornamento
periodico degli stessi e il backup dei dati di dominio.
1
PREREQUISITI MINIMI1
REQUISITI HARDWARE
Il requisito hardware minimo da soddisfare, per poter creare un dominio (di “secondo livello”)
nell’infrastruttura Active Directory creata dalla Direzione Informatica, è quello di disporre di DUE Domain
Controller, in grado di replicare le informazioni contenute in uno anche nell’altro.
La sincronizzazione, che viene svolta automaticamente nell’infrastruttura, viene chiamata REPLICA (serve
per avere una tolleranza maggiore nel caso di guasti di un Domain Controller) e deve essere fatta ad
intervalli di tempo regolari all'interno del dominio. In questo senso, infatti, il concetto di Primary Domain
Controller e Backup Domain Controller è stato sostituito da più Domain Controller equivalenti tra loro che
sono in grado di replicare automaticamente le informazioni su tutti i Domain Controller coinvolti.
La garanzia dell’hardware dovrebbe essere attiva per un periodo di almeno 36 mesi dall’installazione del
servizio, con modalità Next Business Day (NBD).
Per quanto concerne le configurazioni “hardware” minimali del server da adibire a Domain Controller, come
detto, è opportuno seguire le indicazioni date da Microsoft a riguardo. Qui sotto ne è riportato uno stralcio:
Microsoft Windows 2003 - Requisiti di sistema2
Requisito
Standard Edition
:
:
:
:
:
:
Velocità minima CPU
Velocità consigliata CPU
RAM minima
RAM massima
Supporto per più processori
Spazio su disco per l'installazione
133 MHz
550 MHz
128 MB
4 GB
fino a 4
1.5 GB
Microsoft Windows 2008 - Requisiti di sistema3
1 GHz (CPU x86) o 1,4 GHz (CPU x64)
Processore4 Requisito minimo
:
Consigliato: Almeno 2 GHz
Requisito minimo
:
Memoria
Consigliato
Requisito massimo
: 512 MB di RAM
Almeno 2 GB di RAM sistemi a 32 bit; 4 GB
:
Standard64 GB Enterprise/Datacenter
32 GB sistemi a 64 bit
;
2 TB Enterprise/Datacenter/Itanium
Requisito minimo: 10 GB
Spazio su disco disponibile5
:
Unità
: Unità DVD-ROM
1
2
3
4
5
Consigliato: Almeno 40 GB
Tali prerequisiti non sostituiscono le buone prassi e le metodologie previste da Microsoft per la gestione dei Domini
http://www.microsoft.com/italy/server/windowsserver2008/versioni_precedenti/r2/requisiti.mspx
http://www.microsoft.com/italy/server/windowsserver2008/versioni_precedenti/r2/requisiti.mspx
Windows Server 2008 per i sistemi basati su Itanium richiede un processore Intel Itanium 2
Nota: i computer con oltre 16 GB di RAM richiedono ulteriore spazio su disco per i file di paging, ibernazione e
dump
2
REQUISITI AMBIENTALI MINIMI
Il locale dati in cui saranno posizionati i server deve essere normato secondo quanto previsto dal Dlgs.
196/2003 e i suoi allegati. Quindi, ad esempio, l'ambiente deve esere dotato di un sistema di controllo degli
accessi a norma; l’alimentazione elettrica, oltre al collegamento alla rete generale, deve prevedere
l'installazione e la configurazione di UPS per la stabilizzazione della tensione e per garantire, anche in
emergenza, lo spegnimento controllato dei server. Più in generale, l'ambiente dev'essere predisposto e
attrezzato per ottemperare appieno le normative vigenti.
REQUISITI SOFTWARE
Trattandosi di Domain Controller Active Directory di Microsoft, il Sistema Operativo da installare sui server
deve essere Microsoft Windows 2003 o Microsoft Windows 2008, in lingua inglese.
Occorre che sia installato un software Antivirus, con verifica periodica dell’aggiornamento del motore e
delle relative impronte virali.
REQUISITI SISTEMISTICI
Dopo aver installato e configurato i servizi sulle macchine adibite a Domain Controller, è opportuno stilare e
mantenere un “Diario di bordo” per ogni server, su cui tener traccia di tutte le azioni amministrative
eseguite.
Deve essere prevista la periodica installazione degli aggiornamenti di sicurezza del SO, secondo quanto
stabilito dalle leggi in materia.
È fondamentale prevedere una politica di backup riguardo al Sistema Operativo, ad eventuali software
installati di terze parti, alla configurazione dell’AD e, più in generale, a tutti i dati che si ritengano
necessari.
SKILL OPERATORI
Le operazioni di gestione, configurazione e monitoraggio di Dominio sono molto delicate e prevedono un
curriculum formativo adeguato (meglio se certificato), così come indicato dal sito di Microsoft
(Certificazione MCSE, Exam 70-294, Planning, Implementing, and Maintaining a Microsoft Windows
Server 2003 Active Directory Infrastructure – http://www.microsoft.com/learning/en/us/exam.aspx?ID=70294&locale=en-us).
I tecnici devono, tra l'altro, provvedere a:
• Installare e gestire il Sistema Operativo Windows Server 2003 (o Windows Server 2008)
• Creare e gestire il dominio (dcpromo, gestione DNS interno, join di macchine al dominio...)
• Implementare corrette politiche di backup
• Gestire le proprie workstations (applicazione di patch di sicurezza, gestione antivirus locale...)
RESPONSABILITÀ/TRATTAMENTO DATI
Si ricorda che, in ogni caso, il Responsabile ai sensi della Privacy del Centro di Responsabilità diviene
responsabile anche dei dati di Active Directory. Inoltre, per effetto delle recenti disposizioni del Garante per
la protezione dei dati personali (per riferimenti, consultare http://www.garanteprivacy.it/garante/doc.jsp?
ID=1577499 - Misure e accorgimenti prescritti ai titolari dei trattamenti effettuati con strumenti elettronici
relativamente alle attribuzioni delle funzioni di amministratore di sistema - 27 novembre 2008), occorre
identificare formalmente i tecnici che gestiscono, nei vari ruoli, i server ed i servizi ad essi associati.
3