الدليل النشط

تُعدّ خدمات مجال Active Directory (AD DS) أساس كل شبكة مجال Windows . فهي تخزن معلومات حول أعضاء المجال، بما في ذلك الأجهزة والمستخدمين، وتتحقق من بيانات اعتمادهم ، وتحدد حقوق الوصول الخاصة بهم . يُطلق على الخادم الذي يُشغّل هذه الخدمة اسم وحدة تحكم المجال . يتم الاتصال بوحدة تحكم المجال عندما يُسجّل المستخدم دخوله إلى جهاز، أو يصل إلى جهاز آخر عبر الشبكة، أو يُشغّل تطبيقًا تجاريًا من نوع Metro مُثبّتًا بشكل جانبي على جهاز.

تعتمد خدمات Active Directory الأخرى (باستثناء LDS ، كما هو موضح أدناه) ومعظم تقنيات خوادم Microsoft على خدمات المجال أو تستخدمها؛ وتشمل الأمثلة نهج المجموعة ، ونظام تشفير الملفات ، و BitLocker ، وخدمات أسماء المجال ، وخدمات سطح المكتب البعيد ، وخادم Exchange ، وخادم SharePoint .

يجب أن يكون Active Directory DS المُدار ذاتيًا مختلفًا عن Azure AD DS المُدار ، وهو منتج سحابي. ^{[ 17 ]}

تُنفّذ خدمة Active Directory Lightweight Directory Services (AD LDS)، التي كانت تُعرف سابقًا باسم Active Directory Application Mode (ADAM)، ^{[ 18 ]} بروتوكول LDAP لخدمة Active Directory Domain Services (AD DS). ^{[ 19 ]} تعمل هذه الخدمة على نظام Windows Server ، وتُقدّم نفس وظائف AD DS، بما في ذلك واجهة برمجة تطبيقات (API) مُماثلة . مع ذلك، لا تتطلب AD LDS إنشاء نطاقات أو وحدات تحكم نطاق. فهي تُوفّر مخزن بيانات لتخزين بيانات الدليل، وخدمة دليل بواجهة LDAP. على عكس AD DS، يُمكن تشغيل عدة نسخ من AD LDS على نفس الخادم.

تُنشئ خدمات شهادات Active Directory (AD CS) بنية تحتية للمفاتيح العامة داخل المؤسسة . وتتيح هذه الخدمات إنشاء شهادات المفاتيح العامة والتحقق من صحتها وإلغائها، بالإضافة إلى تنفيذ إجراءات مماثلة أخرى، وذلك للاستخدامات الداخلية للمؤسسة. ويمكن استخدام هذه الشهادات لتشفير الملفات (عند استخدامها مع نظام تشفير الملفات )، ورسائل البريد الإلكتروني (وفقًا لمعيار S/MIME )، وحركة مرور الشبكة (عند استخدامها بواسطة الشبكات الخاصة الافتراضية ، أو بروتوكول أمان طبقة النقل ، أو بروتوكول IPSec ).

تسبق خدمة AD CS نظام التشغيل Windows Server 2008، ولكن كان اسمها ببساطة خدمات الشهادات. ^{[ 20 ]}

يتطلب AD CS بنية تحتية لـ AD DS. ^{[ 21 ]}

خدمات Active Directory Federation Services (AD FS) هي خدمة تسجيل دخول موحد . مع وجود بنية AD FS التحتية، يمكن للمستخدمين استخدام العديد من الخدمات المستندة إلى الويب (مثل منتديات الإنترنت ، والمدونات ، والتسوق الإلكتروني ، والبريد الإلكتروني ) أو موارد الشبكة باستخدام مجموعة واحدة فقط من بيانات الاعتماد المخزنة في موقع مركزي، بدلاً من الحاجة إلى الحصول على مجموعة بيانات اعتماد مخصصة لكل خدمة. تستخدم AD FS العديد من المعايير المفتوحة الشائعة لتمرير بيانات اعتماد الرموز المميزة، مثل SAML و OAuth و OpenID Connect . ^{[ 22 ]} تدعم AD FS تشفير وتوقيع تأكيدات SAML . ^{[ 23 ]} يُعدّ غرض AD FS امتدادًا لغرض AD DS: حيث يُمكّن الأخير المستخدمين من المصادقة على الأجهزة التي تُشكّل جزءًا من نفس الشبكة واستخدامها، باستخدام مجموعة واحدة من بيانات الاعتماد. بينما يُمكّنهم الأول من استخدام نفس مجموعة بيانات الاعتماد في شبكة مختلفة.

كما يوحي الاسم، يعمل نظام AD FS بناءً على مفهوم الهوية الموحدة .

يتطلب AD FS بنية تحتية لـ AD DS، على الرغم من أن شريك الاتحاد الخاص به قد لا يتطلبها. ^{[ 24 ]}

خدمات إدارة حقوق Active Directory ( AD RMS )، المعروفة سابقًا باسم خدمات إدارة الحقوق أو RMS قبل Windows Server 2008 ، هي برنامج خادم مُضمّن في Windows Server ، يُتيح إدارة حقوق المعلومات . يستخدم هذا البرنامج التشفير والرفض الانتقائي لتقييد الوصول إلى مختلف المستندات، مثل رسائل البريد الإلكتروني الخاصة بالشركات ، ومستندات Microsoft Word ، وصفحات الويب . كما يُقيّد العمليات التي يُمكن للمستخدمين المُصرّح لهم القيام بها، مثل العرض والتحرير والنسخ والحفظ والطباعة. يُمكن لمسؤولي تقنية المعلومات إنشاء قوالب مُعدة مسبقًا للمستخدمين النهائيين لتسهيل الأمر، ولكن يظل بإمكان المستخدمين النهائيين تحديد من يُمكنه الوصول إلى المحتوى والإجراءات التي يُمكنهم اتخاذها. ^{[ 25 ]}

تتألف بنية Active Directory من معلومات حول الكائنات المصنفة إلى فئتين: الموارد (مثل الطابعات) والكيانات الأمنية (التي تشمل حسابات المستخدمين أو أجهزة الكمبيوتر والمجموعات). يُخصص لكل كيان أمني مُعرّف أمان فريد (SID). يُمثل الكائن كيانًا واحدًا، مثل مستخدم أو جهاز كمبيوتر أو طابعة أو مجموعة، بالإضافة إلى سماته. قد تحتوي بعض الكائنات على كائنات أخرى بداخلها. لكل كائن اسم فريد، وتعريفه عبارة عن مجموعة من الخصائص والمعلومات وفقًا لمخطط ، والذي يُحدد التخزين في Active Directory.

يمكن للمسؤولين توسيع أو تعديل المخطط باستخدام كائن المخطط عند الحاجة. مع ذلك، ولأن كل كائن مخطط جزء لا يتجزأ من تعريف كائنات Active Directory، فإن تعطيله أو تغييره قد يُحدث تغييرًا جذريًا في عملية النشر أو يُعطّلها. يؤثر تعديل المخطط على النظام بأكمله تلقائيًا، ولا يمكن حذف الكائنات الجديدة، بل تعطيلها فقط. يتطلب تغيير المخطط عادةً تخطيطًا مسبقًا. ^{[ 26 ]}

في شبكة Active Directory، يتكون إطار العمل الذي يخزن الكائنات من مستويات مختلفة: الغابة، والشجرة، والنطاق. تحتوي النطاقات ضمن عملية النشر على كائنات مخزنة في قاعدة بيانات واحدة قابلة للتكرار، ويحدد هيكل اسم DNS نطاقاتها، أي مساحة الاسم . النطاق هو مجموعة منطقية من كائنات الشبكة مثل أجهزة الكمبيوتر والمستخدمين والأجهزة التي تشترك في قاعدة بيانات Active Directory نفسها.

من جهة أخرى، الشجرة عبارة عن مجموعة من النطاقات وأشجار النطاقات ضمن مساحة أسماء متصلة، مرتبطة بتسلسل هرمي للثقة المتعدية. تقع الغابة في أعلى هذا الهيكل، وهي عبارة عن مجموعة من الأشجار ذات فهرس عالمي قياسي، ومخطط دليل، وبنية منطقية، وتكوين دليل. تُشكل الغابة حدودًا آمنة تحد من الوصول إلى المستخدمين، وأجهزة الكمبيوتر، والمجموعات، والكائنات الأخرى.

دومين-بوسطن     دومين-  نيويورك     دومين-فيلي   شجرة جنوبية     دومين-أتلانتا     دومين-دالاس	دومين-دالاس   التسويق في جامعة أوكلاهوما     هيويت     أيون     ستيف   مبيعات جامعة أوكلاهوما     فاتورة     رالف
مثال على التنظيم الجغرافي لمناطق الاهتمام داخل الأشجار والمجالات

الوحدات التنظيمية

يمكن تجميع الكائنات الموجودة ضمن نطاق في وحدات تنظيمية (OUs). ^{[ 27 ]} توفر الوحدات التنظيمية تسلسلًا هرميًا للنطاق، وتسهل إدارته، ويمكن أن تحاكي هيكل المؤسسة من الناحية الإدارية أو الجغرافية. يمكن أن تحتوي الوحدات التنظيمية على وحدات تنظيمية أخرى - فالنطاقات تُعد حاويات في هذا السياق. توصي مايكروسوفت باستخدام الوحدات التنظيمية بدلًا من النطاقات للهيكلة وتبسيط تطبيق السياسات والإدارة. تُعد الوحدة التنظيمية المستوى الموصى به لتطبيق سياسات المجموعة ، وهي كائنات Active Directory تُسمى رسميًا كائنات سياسة المجموعة (GPOs)، على الرغم من إمكانية تطبيق السياسات أيضًا على النطاقات أو المواقع (انظر أدناه). تُعد الوحدة التنظيمية المستوى الذي تُفوض فيه الصلاحيات الإدارية عادةً، ولكن يمكن أيضًا إجراء التفويض على الكائنات أو السمات الفردية.

لا تمتلك الوحدات التنظيمية مساحة اسم منفصلة. ونتيجةً لذلك، ولضمان التوافق مع تطبيقات NetBIOS القديمة، لا يُسمح بوجود حسابات مستخدمين تحمل اسم SamAccountName متطابقًا ضمن نفس النطاق، حتى لو كانت كائنات الحسابات موجودة في وحدات تنظيمية منفصلة. والسبب في ذلك هو أن SamAccountName، وهو سمة لكائن المستخدم، يجب أن يكون فريدًا ضمن النطاق. ^{[ 28 ]} مع ذلك، يمكن لمستخدمين في وحدتين تنظيميتين مختلفتين أن يحملا نفس الاسم الشائع (CN)، وهو الاسم الذي يُخزَّنان به في الدليل نفسه، مثل "fred.staff-ou.domain" و"fred.student-ou.domain"، حيث "staff-ou" و"student-ou" هما الوحدتان التنظيميتان.

بشكل عام، يعود سبب عدم السماح بتكرار أسماء الكائنات في الدليل الهرمي إلى اعتماد مايكروسوفت بشكل أساسي على مبادئ NetBIOS ، وهي طريقة لإدارة كائنات الشبكة تعتمد على مساحة أسماء مسطحة، وتعود جذورها في برامج مايكروسوفت إلى نظامي التشغيل Windows NT 3.1 و MS-DOS LAN Manager . إن السماح بتكرار أسماء الكائنات في الدليل، أو حتى إلغاء استخدام أسماء NetBIOS تمامًا، سيمنع التوافق مع الإصدارات السابقة من البرامج والأجهزة. مع ذلك، يُعدّ منع تكرار أسماء الكائنات بهذه الطريقة انتهاكًا لمعايير LDAP RFC التي يُفترض أن Active Directory مبني عليها.

مع ازدياد عدد المستخدمين في نطاق ما، تصبح قواعد كتابة الأسماء مثل "الحرف الأول من الاسم الأول، ثم الحرف الأول من الاسم الأوسط، ثم اسم العائلة" ( الترتيب الغربي ) أو العكس (الترتيب الشرقي) غير مناسبة لأسماء العائلات الشائعة مثل لي (李) وسميث وغارسيا . وتشمل الحلول البديلة إضافة رقم في نهاية اسم المستخدم. كما تشمل إنشاء نظام تعريف منفصل بأرقام تعريف فريدة للموظفين/الطلاب لاستخدامها كأسماء حسابات بدلاً من أسماء المستخدمين الفعلية، والسماح للمستخدمين باختيار تسلسل الكلمات المفضل لديهم ضمن سياسة استخدام مقبولة .

نظراً لعدم إمكانية وجود أسماء مستخدمين مكررة داخل نطاق واحد، فإن إنشاء اسم الحساب يمثل تحدياً كبيراً للمؤسسات الكبيرة التي لا يمكن تقسيمها بسهولة إلى نطاقات منفصلة، ​​مثل الطلاب في نظام المدارس العامة أو الجامعة الذين يجب أن يكونوا قادرين على استخدام أي جهاز كمبيوتر عبر الشبكة.

جماعات الظل

في خدمة Active Directory من مايكروسوفت، لا تمنح الوحدات التنظيمية (OUs) أذونات الوصول، ولا تُمنح الكائنات الموجودة داخل الوحدات التنظيمية امتيازات الوصول تلقائيًا بناءً على الوحدة التنظيمية التي تحتويها. يُمثل هذا قيدًا تصميميًا خاصًا بخدمة Active Directory، بينما تستطيع خدمات الدليل المنافسة الأخرى، مثل Novell NDS ، تحديد امتيازات الوصول من خلال وضع الكائنات داخل وحدة تنظيمية.

يتطلب Active Directory خطوة منفصلة من المسؤول لتعيين كائن في وحدة تنظيمية كعضو في مجموعة داخل تلك الوحدة التنظيمية نفسها. إن الاعتماد على موقع الوحدة التنظيمية فقط لتحديد أذونات الوصول غير موثوق به، إذ قد لا يكون الكيان قد تم تعيينه لمجموعة الكائنات الخاصة بتلك الوحدة التنظيمية بعد.

يُعدّ كتابة برنامج نصي مخصص بلغة PowerShell أو Visual Basic حلاً شائعاً لمسؤول Active Directory، حيث يقوم بإنشاء مجموعة مستخدمين لكل وحدة تنظيمية (OU) في الدليل الخاص به وصيانتها تلقائياً. تُشغّل هذه البرامج النصية دورياً لتحديث المجموعة بما يتوافق مع عضوية حسابات الوحدة التنظيمية. مع ذلك، لا يمكنها تحديث مجموعات الأمان فوراً عند تغيير الدليل، كما هو الحال في الأدلة المنافسة، لأن الأمان مُدمج مباشرةً في الدليل. تُعرف هذه المجموعات باسم " المجموعات الظلية" . بمجرد إنشائها، يُمكن تحديد هذه المجموعات الظلية بدلاً من الوحدة التنظيمية في أدوات الإدارة. تشير وثائق Microsoft Server 2008 المرجعية إلى المجموعات الظلية، لكنها لا تُقدّم إرشادات حول كيفية إنشائها. إضافةً إلى ذلك، لا توجد طرق خادم أو وحدات تحكم إضافية متاحة لإدارة هذه المجموعات. ^{[ 29 ]}

يتعين على المؤسسة تحديد هيكل بنيتها التحتية للمعلومات بتقسيمها إلى نطاق واحد أو أكثر ووحدات تنظيمية عليا. يُعد هذا القرار بالغ الأهمية، ويمكن أن يستند إلى نماذج مختلفة، مثل وحدات الأعمال، والمواقع الجغرافية، وخدمات تقنية المعلومات، وأنواع الكائنات، أو مزيج من هذه النماذج. يتمثل الهدف المباشر من تنظيم الوحدات التنظيمية في تبسيط تفويض الصلاحيات الإدارية، وثانيًا، في تطبيق سياسات المجموعة. وبينما تُشكل الوحدات التنظيمية حدودًا إدارية، فإن الغابة نفسها هي الحد الأمني ​​الوحيد. يجب على جميع النطاقات الأخرى أن تثق بأي مسؤول في الغابة للحفاظ على الأمن. ^{[ 30 ]}

تُنظَّم قاعدة بيانات Active Directory في أقسام ، يحتوي كل قسم منها على أنواع كائنات محددة ويتبع نمط نسخ متماثل معين. غالبًا ما تُشير مايكروسوفت إلى هذه الأقسام باسم "سياقات التسمية". ^{[ 31 ]} يُحدد قسم "المخطط" فئات الكائنات وخصائصها داخل الغابة. يحتوي قسم "التكوين" على معلومات حول البنية المادية وتكوين الغابة (مثل بنية الموقع). يقوم كلا القسمين بنسخ جميع النطاقات في الغابة. يحتوي قسم "النطاق" على جميع الكائنات التي تم إنشاؤها في ذلك النطاق، ويتم نسخها داخله فقط.

تقوم بعض أقسام الدليل بتخزين معلومات التكوين على مستوى الغابة ومعلومات المخطط؛ بينما تقوم أقسام الدليل الأخرى بتخزين معلومات خاصة بمجالات فردية، مثل المستخدمين والمجموعات والوحدات التنظيمية.

بشكل افتراضي، تحتوي خدمة مجال Active Directory على سياقات التسمية التالية:

• مخطط NC: يخزن معلومات المخطط التي يتم نسخها إلى وحدات التحكم في المجال في جميع مجالات الغابة.
• Configuration NC: يخزن معلومات الطوبولوجيا ومعلومات التكوين الأخرى التي يتم نسخها إلى وحدات التحكم في المجال في جميع مجالات الغابة.
• وحدة التحكم في المجال: تخزن معلومات المجال مثل المستخدمين وأجهزة الكمبيوتر التي يتم نسخها إلى وحدات التحكم في المجال في ذلك المجال فقط.

يستخدم Active Directory النسخ المتماثل متعدد المصادر لمزامنة التغييرات، ^{[ 37 ]} مما يعني أن النسخ المتماثلة تسحب التغييرات من الخادم الذي حدث فيه التغيير بدلاً من دفعها إليه. ^{[ 38 ]} يستخدم مدقق اتساق المعرفة (KCC) مواقع محددة لإدارة حركة البيانات وإنشاء بنية نسخ متماثل لروابط المواقع. يحدث النسخ المتماثل داخل الموقع بشكل متكرر وتلقائي بفضل إشعارات التغيير، التي تحث النظراء على بدء دورة سحب النسخ المتماثل. عادةً ما تكون فترات النسخ المتماثل بين المواقع المختلفة أقل اتساقًا ولا تستخدم عادةً إشعارات التغيير. ومع ذلك، من الممكن إعدادها لتكون مماثلة للنسخ المتماثل بين المواقع على نفس الشبكة إذا لزم الأمر.

لكل وصلة من وصلات DS3 و T1 و ISDN تكلفة، ويقوم KCC بتعديل بنية وصلات المواقع وفقًا لذلك. قد تتم عملية النسخ بشكل غير مباشر عبر عدة وصلات مواقع على جسور وصلات مواقع من نفس البروتوكول إذا كانت التكلفة منخفضة. مع ذلك، يُحدد KCC تلقائيًا تكلفة وصلة مباشرة بين موقعين أقل من تكلفة الاتصالات غير المباشرة. يمكن لخادم رأس الجسر في كل منطقة إرسال التحديثات إلى وحدات تحكم المجال الأخرى في الموقع نفسه لنسخ التغييرات بين المواقع. لتكوين النسخ لمناطق Active Directory، فعّل نظام أسماء النطاقات (DNS) في المجال بناءً على الموقع.

لنسخ Active Directory، تُستخدم استدعاءات الإجراءات عن بُعد عبر بروتوكول الإنترنت (RPC/IP). يُستخدم بروتوكول SMTP للنسخ بين المواقع، ولكن فقط لتعديلات المخطط أو التكوين أو مجموعة السمات الجزئية (الكتالوج العام). وهو غير مناسب لإعادة إنتاج قسم المجال الافتراضي. ^{[ 39 ]}

يُعرف تأخير بيانات الاعتماد بأنه الفترة المؤقتة التي تلي تغيير بيانات الاعتماد أو إعادة تعيينها، والتي يستمر خلالها نظام واحد أو أكثر في قبول أو طلب بيانات الاعتماد المخزنة مؤقتًا مسبقًا. في Active Directory (AD) وبيئات الهوية المختلطة، ينتج هذا التأخير عادةً عن:

• زمن استجابة نسخ وحدة تحكم المجال: الوقت اللازم لنسخ سمات الحساب المحدثة عبر وحدات تحكم المجال الموزعة جغرافيًا.
• تخزين الرموز والجلسات مؤقتًا: قد تسمح بروتوكولات المصادقة الحديثة (مثل OAuth 2.0 أو OpenID Connect) وآليات مثل رموز التحديث الأساسية لمعرف Microsoft Entra ID (PRT) ببقاء رموز الوصول الحالية صالحة حتى تاريخ انتهاء صلاحيتها المحدد، حتى بعد إعادة تعيين كلمة المرور. ^{[ 40 ]}
• مزامنة الهوية المجدولة: تطبيقات خارجية، أو خدمات سحابية، أو وكلاء التزويد (مثل SCIM أو Microsoft Entra Connect) تقوم بمزامنة بيانات المصادقة بشكل دوري بدلاً من الاستعلام عن Active Directory في الوقت الفعلي. ^{[ 41 ] [ 42 ]}

على سبيل المثال، إذا قام المستخدم بتغيير كلمة مرور نطاق ويندوز منتهية الصلاحية، يتم تحديث Active Directory فورًا. مع ذلك، إذا كان تطبيق إنترانت داخلي يُزامن قاعدة بيانات بيانات الاعتماد المحلية الخاصة به كل 15 دقيقة فقط، فلن يتمكن المستخدم من المصادقة على هذا التطبيق باستخدام كلمة المرور الجديدة حتى تكتمل دورة المزامنة التالية.

ثقة من جانب واحد

يسمح أحد النطاقات بالوصول إلى المستخدمين في نطاق آخر، لكن النطاق الآخر لا يسمح بالوصول إلى المستخدمين في النطاق الأول.

الثقة المتبادلة

يتيح نطاقان الوصول للمستخدمين على كلا النطاقين.

نطاق موثوق به

النطاق الموثوق به؛ الذي يتمتع مستخدموه بإمكانية الوصول إلى النطاق الموثوق به.

الثقة المتعدية

ثقة يمكن أن تمتد إلى ما هو أبعد من نطاقين لتشمل نطاقات موثوقة أخرى في الغابة.

الثقة غير المتعدية

ثقة من جانب واحد لا تمتد إلى ما وراء نطاقين.

ثقة صريحة

الثقة التي ينشئها المسؤول. وهي ليست متعدية، بل أحادية الاتجاه فقط.

الثقة المتبادلة

الثقة الصريحة بين المجالات في أشجار مختلفة أو في نفس الشجرة عندما لا توجد علاقة سليل/سلف (ابن/والد) بين المجالين.

اختصار

يربط بين نطاقين في شجرتين مختلفتين، وهو ربط متعدٍ، أحادي أو ثنائي الاتجاه.

صندوق الغابات

ينطبق على الغابة بأكملها. فعل متعدٍ، أحادي الاتجاه أو ثنائي الاتجاه.

عالم

يمكن أن يكون متعدياً أو غير متعدٍ، أحادي الاتجاه أو ثنائي الاتجاه.

خارجي

الاتصال بغابات أخرى أو نطاقات غير تابعة لـ Active Directory. غير متعدٍ، أحادي أو ثنائي الاتجاه. ^{[ 56 ]}

صندوق PAM

ثقة أحادية الاتجاه يستخدمها مدير هوية مايكروسوفت من غابة إنتاج (ربما منخفضة المستوى) إلى غابة "حصينة" ( على مستوى وظائف Windows Server 2016 )، والتي تصدر عضويات مجموعات محدودة المدة. ^{[ 57 ] [ 58 ]}

أدى التحول نحو إدارة الهوية السحابية إلى إنشاء Microsoft Entra ID (المعروف سابقًا باسم Azure Active Directory). على عكس خدمات مجال Active Directory التقليدية، تُعد Microsoft Entra ID منصة هوية سحابية تستخدم بروتوكولات مصادقة الويب الحديثة مثل OAuth 2.0 و SAML 2.0 و OpenID Connect بدلاً من Kerberos و LDAP . ^{[ 69 ]}

لربط الدلائل المحلية بالسحابة، تقوم المؤسسات بنشر أدوات مزامنة مثل Microsoft Entra Connect. تقوم هذه الأداة بنسخ حسابات المستخدمين والمجموعات وتجزئات كلمات المرور من Active Directory إلى السحابة، مما يتيح ^تسجيل الدخول الموحد (SSO) عبر موارد الشبكة المحلية وخدمات السحابة مثل Microsoft 365. ^{[ 70} ]

مع ازدياد عرض النطاق الترددي للشبكات العالمية وتقادم روابط الشبكات الواسعة التقليدية، تحوّل تركيز إدارة Active Directory من حسابات تكلفة روابط المواقع إلى أمن الهوية والتخفيف من المخاطر. ولا يزال Active Directory هدفًا رئيسيًا في الهجمات الإلكترونية على المؤسسات، مما يدفع المسؤولين إلى إعطاء الأولوية لما يلي:

• تخفيف هجمات انتحال الهوية: الدفاع ضد تقنيات الحركة الجانبية، وإساءة استخدام تذاكر Kerberos (مثل هجمات تمرير التذكرة، والتذكرة الذهبية، وهجمات Kerberoasting)، وهجمات رش كلمات المرور. ^{[ 71 ]}
• إدارة الوصول المتميز (PAM): تطبيق نماذج التدرج الإداري، وضوابط الوصول "الأقل امتيازًا"، وغابات الحصون الإدارية لمنع تصعيد اختراق نقاط النهاية إلى الاستيلاء الكامل على المجال. ^{[ 72 ]}
• تكامل مبدأ الثقة الصفرية: توسيع نطاق المصادقة المحلية لتشمل سياسات الوصول المشروط المستندة إلى السحابة، وفرض المصادقة متعددة العوامل (MFA) والتقييم المستمر للمخاطر لمحاولات تسجيل الدخول. ^{[ 73 ]}