W Linuxie rozłożyliśmy już na czynniki pierwsze strukturę katalogów. Czas zrobić to samo po stronie Windows Server. Active Directory i GPO to fundament, na którym stoi zarządzanie kontami, komputerami i uprawnieniami w zdecydowanej większości sieci firmowych na świecie.
Wyobraź sobie firmę bez recepcji. Każdy pracownik ma własny klucz do własnego biura, sam decyduje, kto dostaje kopię, sam pilnuje swojej listy gości, a żeby zmienić zasadę „po godzinach budynek jest zamknięty", trzeba by obejść osobno każde biuro i przekonać każdego z osobna. Tak właśnie wygląda sieć złożona z komputerów działających w pojedynkę, bez centralnego zarządzania. Active Directory to recepcja, ochrona i dział kadr tej firmy w jednym - centralna baza, która wie, kto jest kim, do czego ma dostęp i jakie zasady go obowiązują, niezależnie od tego, przy którym komputerze akurat usiądzie.
Zanim pojawiły się domeny, komputery w sieci firmowej pracowały w tak zwanej grupie roboczej (workgroup). Każdy komputer miał własną, lokalną listę kont i haseł, zupełnie niezależną od pozostałych. Jeśli pracownik miał pracować na trzech różnych stanowiskach, administrator musiał założyć mu konto trzy razy, osobno na każdym z nich, i pilnować, żeby hasła się nie rozjechały. Zmiana jednej zasady bezpieczeństwa, na przykład wymogu długości hasła, oznaczała ręczne przejście przez każdy komputer z osobna.
To rozwiązanie sprawdza się w domu, przy dwóch czy trzech komputerach. W firmie zatrudniającej dwadzieścia, pięćdziesiąt czy pięćset osób zamienia się w koszmar administracyjny, którego po prostu nie da się utrzymać ręcznie. Active Directory, wprowadzone przez Microsoft wraz z Windows 2000 Server jako następca prostszych domen NT4, powstało dokładnie po to, żeby ten problem rozwiązać raz na zawsze - centralizując konta, komputery i zasady w jednym miejscu.
Active Directory, w skrócie AD, to usługa katalogowa firmy Microsoft. Usługa katalogowa to, mówiąc najprościej, uporządkowana baza danych zoptymalizowana pod kątem przechowywania informacji o obiektach takich jak użytkownicy, komputery, grupy czy drukarki, oraz pod kątem bardzo szybkiego wyszukiwania i weryfikacji tych informacji. Nie jest to zwykła baza danych w rozumieniu np. MySQL - AD korzysta z protokołu LDAP (Lightweight Directory Access Protocol), branżowego standardu do komunikacji z tego typu katalogami, używanego też przez wiele systemów spoza świata Microsoftu.
Fizycznie cała baza AD przechowywana jest w pliku o nazwie ntds.dit, znajdującym się na każdym kontrolerze domeny. To właśnie tam trafia każde konto użytkownika, każdy komputer dołączony do domeny, każda grupa i każda zasada, którą administrator kiedykolwiek utworzył.
Mogę Ci jakoś pomóc?
Domena to logiczna granica, w obrębie której Active Directory zarządza obiektami. Komputer „dołączony do domeny" przestaje polegać na własnej, lokalnej liście kont, a zamiast tego pyta o autoryzację centralną bazę danych domeny.
Sercem domeny jest kontroler domeny (Domain Controller, w skrócie DC) - serwer z rolą Active Directory Domain Services, który przechowuje kopię bazy ntds.dit i odpowiada na zapytania o uwierzytelnianie oraz autoryzację. W małej firmie wystarczy jeden kontroler domeny, ale w praktyce zaleca się co najmniej dwa, bo Active Directory działa w modelu replikacji wielomasterowej (multi-master) - każdy kontroler domeny ma pełną, zapisywalną kopię bazy, a zmiany wprowadzone na jednym z nich automatycznie rozchodzą się na pozostałe. Dzięki temu awaria jednego kontrolera domeny nie oznacza utraty dostępu do logowania w całej firmie.
To trochę jak kilka recepcji w tym samym biurowcu, każda z dostępem do tej samej, stale aktualizowanej listy pracowników. Jeśli jedna recepcja akurat nie działa, pracownik i tak może zalogować się przez drugą, bo obie mają tę samą wiedzę.
Active Directory organizuje obiekty w wyraźnej hierarchii, którą warto rozłożyć na czynniki pierwsze.
Las to najwyższy poziom całej struktury - jedna lub więcej domen, które łączy wspólne zaufanie i wspólny schemat, czyli definicja tego, jakie typy obiektów i atrybutów w ogóle mogą istnieć w tej instalacji Active Directory. Większość małych i średnich firm ma jeden las z jedną domeną, i to zupełnie wystarcza.
Mogę Ci jakoś pomóc?
Drzewo to grupa domen połączonych wspólną przestrzenią nazw, na przykład
firma.local i jej poddomena
oddzial.firma.local Sama domena to już opisany wcześniej podstawowy kontener na konta, komputery i zasady.
OU to kontener wewnątrz domeny, służący do porządkowania obiektów, na przykład według działów firmy:
To właśnie na poziomie jednostek organizacyjnych administrator najczęściej deleguje uprawnienia i przypisuje zasady grupy, o czym więcej w dalszej części artykułu.
Mogę Ci jakoś pomóc?
źródło: activedirectorypro.comPełna ścieżka do obiektu w Active Directory wygląda podobnie do ścieżki pliku w systemie plików, tylko odczytywana od najbardziej szczegółowego elementu do najbardziej ogólnego, w formacie zwanym distinguished name. Konto pracownika Jana Kowalskiego z działu sprzedaży mogłoby wyglądać tak:
cn=Jan Kowalski,ou=Sprzedaz,dc=firma,dc=local Czyli: obiekt (
cn , common name) o nazwie Jan Kowalski, wewnątrz jednostki organizacyjnej (
ou ) Sprzedaz, wewnątrz domeny (
dc , domain component) firma.local.
Każda rzecz, którą Active Directory zarządza, jest obiektem posiadającym zestaw atrybutów, czyli konkretnych, nazwanych cech.
Konto użytkownika to obiekt reprezentujący osobę - zawiera nazwę logowania, zaszyfrowane hasło, adres e-mail, numer telefonu, dział, przełożonego i dziesiątki innych atrybutów, z których większość jest opcjonalna.
Konto komputera to osobny typ obiektu, reprezentujący konkretną maszynę dołączoną do domeny. Komputer, podobnie jak użytkownik, ma własną tożsamość w Active Directory i własne hasło, które system rotuje automatycznie w tle - to dlatego skradziony, ale nigdy nie dołączony do domeny laptop nie może po prostu „udawać" zaufanego urządzenia firmowego.
Grupy służą do zbiorowego zarządzania uprawnieniami, zamiast nadawania ich pojedynczo każdemu kontu z osobna. Zamiast dawać dostęp do folderu księgowości dwudziestu osobom z osobna, tworzy się grup Księgowość, dodaje do niej te dwadzieścia kont, a dostęp nadaje się raz - samej grupie. Gdy ktoś dołącza do działu albo go opuszcza, wystarczy zmienić jego członkostwo w grupie, bez dotykania samych uprawnień do zasobu.
Grupy w AD dzielą się dodatkowo na grupy zabezpieczeń, używane do nadawania uprawnień do zasobów, oraz grupy dystrybucyjne, używane wyłącznie jako listy odbiorców w poczcie elektronicznej, bez żadnego znaczenia dla uprawnień.
Kiedy pracownik loguje się na komputerze dołączonym do domeny, w tle uruchamia się protokół uwierzytelniania Kerberos, opracowany jeszcze w latach osiemdziesiątych w MIT i nazwany od trójgłowego psa strzegącego bram podziemi w mitologii greckiej.
Proces upraszcza się do trzech kroków. Po podaniu poprawnego hasła komputer pracownika otrzymuje od kontrolera domeny specjalny bilet nadrzędny, zwany TGT (Ticket Granting Ticket) - coś w rodzaju przepustki wstępu do budynku, ważnej przez określony czas, zwykle dziesięć godzin. Kiedy pracownik próbuje potem skorzystać z konkretnego zasobu, na przykład otworzyć plik na serwerze, komputer wymienia TGT na osobny, dedykowany bilet usługi (service ticket), ważny tylko dla tego jednego zasobu. Serwer, do którego pracownik się loguje, sprawdza ten bilet i na jego podstawie decyduje, czy udzielić dostępu.
Cała ta wymiana odbywa się w ułamku sekundy, bez udziału użytkownika, a jej największą zaletą jest to, że hasło pracownika nigdy nie wędruje w sieci w rozpoznawalnej formie po pierwszym zalogowaniu - krążą tylko bilety o ograniczonej ważności, które trudniej wykorzystać, nawet jeśli ktoś je przechwyci.
Active Directory jest ściśle powiązane z DNS i bez sprawnie działającego DNS-a po prostu nie zadziała poprawnie. Komputer, który chce znaleźć najbliższy kontroler domeny, nie pyta o adres IP wpisany na sztywno, tylko odpytuje serwer DNS o specjalne rekordy typu SRV, które wskazują, które serwery w sieci pełnią rolę kontrolerów domeny dla danej domeny. Z tego powodu serwery DNS obsługujące domenę Active Directory najczęściej instaluje się bezpośrednio na kontrolerach domeny, a strefa DNS integruje się z samym Active Directory, korzystając z tej samej replikacji.
Skoro Active Directory rozwiązuje problem centralnych kont, zasady grupy (Group Policy Objects, w skrócie GPO) rozwiązują drugi, równie uciążliwy problem - centralne zarządzanie konfiguracją komputerów i zachowaniem użytkowników.
GPO to zestaw ustawień, które administrator definiuje raz, a które automatycznie stosują się do wszystkich komputerów i kont objętych daną zasadą, bez konieczności dotykania każdego urządzenia z osobna. Pojedynczy obiekt zasad grupy przypisuje się (linkuje) do konkretnego poziomu struktury Active Directory - do całej domeny, do konkretnej jednostki organizacyjnej albo do lokacji sieciowej (site).
źródło: varonis.com
Zasady grupy nie działają w próżni - jeden komputer może podlegać wielu GPO naraz, a system musi w jakiejś kolejności rozstrzygnąć, które ustawienie ostatecznie zwycięży, jeśli dwie zasady się ze sobą kłócą. Kolejność przetwarzania określa skrót LSDOU:
Zasady przetwarzane później nadpisują te przetworzone wcześniej, więc ostatnie słowo mają zwykle zasady przypisane najbliżej konkretnego konta czy komputera, czyli te na poziomie najbardziej szczegółowej jednostki organizacyjnej. Administrator może to zachowanie świadomie zmienić, blokując dziedziczenie zasad z wyższego poziomu albo oznaczając konkretne GPO jako wymuszone (enforced), co sprawia, że nie da się go nadpisać z niższego poziomu - to typowe rozwiązanie dla zasad bezpieczeństwa, które mają obowiązywać absolutnie wszędzie, bez wyjątków.
Zakres tego, co da się skonfigurować przez zasady grupy, jest ogromny. Kilka przykładów z życia małej i średniej firmy:
Każde z tych ustawień z osobna wygląda jak drobiazg. Zastosowane konsekwentnie na całą firmę oszczędzają administratorowi setki godzin ręcznej pracy rocznie i eliminują sytuacje, w których „na komputerze Kasi jest inaczej niż wszędzie", bo ktoś kiedyś skonfigurował go ręcznie i o tym zapomniał.
Administrator zarządza kontami i komputerami przez konsolę Active Directory Users and Computers (
dsa.msc ), a zasadami grupy przez Group Policy Management Console (
gpmc.msc ). Po utworzeniu lub zmianie GPO zasady nie trafiają na komputery natychmiast - domyślnie odświeżają się co około dziewięćdziesiąt minut, choć administrator albo sam użytkownik może wymusić natychmiastowe odświeżenie poleceniem
gpupdate /force , uruchomionym w wierszu poleceń na komputerze docelowym.
Kiedy trzeba sprawdzić, które konkretnie zasady faktycznie zadziałały na danym komputerze, i dlaczego akurat te, a nie inne, z pomocą przychodzi polecenie
gpresult /r , pokazujące pełny raport zastosowanych zasad wraz z ich pochodzeniem w strukturze OU.
Warto wspomnieć, że świat nie stoi w miejscu. Microsoft rozwija równolegle Entra ID (dawniej Azure Active Directory) - usługę tożsamości działającą w chmurze, obsługującą logowanie do Microsoft 365, Teams czy aplikacji SaaS. Mimo podobnej nazwy, Entra ID nie jest bezpośrednim następcą klasycznego Active Directory ani nie obsługuje zasad grupy w tej samej formie - to inny model, oparty o protokoły takie jak OAuth i SAML zamiast Kerberosa, lepiej dopasowany do świata, w którym pracownicy logują się z dowolnego miejsca, a nie tylko z komputerów wpiętych do firmowej sieci lokalnej.
W praktyce wiele firm działa dziś w modelu hybrydowym - lokalne Active Directory nadal zarządza komputerami, GPO i zasobami wewnętrznymi, a jednocześnie te same konta są synchronizowane do Entra ID (przez narzędzie Entra Connect), żeby pracownicy mogli tym samym hasłem logować się do Microsoft 365 i innych usług chmurowych. Klasyczne Active Directory wciąż ma się dobrze i wiele firm będzie z niego korzystać jeszcze przez lata, ale coraz częściej działa już nie samo, tylko obok swojego chmurowego odpowiednika.
Kilka rzeczy, które regularnie odróżniają dobrze utrzymane środowisko Active Directory od takiego, które za pół roku staje się nie do ogarnięcia.
Struktura jednostek organizacyjnych powinna odzwierciedlać sposób, w jaki faktycznie zarządza się firmą, a nie jej schemat organizacyjny z ulotki - najczęściej sprawdza się podział według lokalizacji albo funkcji, z myślą o tym, komu jakie zasady i uprawnienia trzeba będzie kiedyś przypisać zbiorczo. Zbyt płaska struktura, w której wszystkie konta leżą w jednym wspólnym kontenerze, prędzej czy później uniemożliwia sensowne różnicowanie zasad.
Liczba zasad grupy powinna być rozsądna i konsekwentnie nazwana - GPO nazwane
Polityka1,
Polityka1_kopia,
Polityka1_nowa_final po kilku latach staje się zagadką nawet dla administratora, który je stworzył. Dobra konwencja nazewnictwa i krótki opis w każdym GPO oszczędzają godziny dochodzenia, co dana zasada właściwie robi.
Nadawanie kontom szerokich uprawnień administracyjnych „na wszelki wypadek" to jeden z najczęstszych błędów bezpieczeństwa w środowiskach AD. Warto trzymać się zasady najmniejszych koniecznych uprawnień oraz rozdzielać konta codziennego użytku od kont administracyjnych, tak żeby przejęcie zwykłego konta pracownika nie oznaczało automatycznie przejęcia całej domeny.
Active Directory to centralna baza tożsamości i zaufania w sieci firmowej - wie, kto jest kim, jakich komputerów używa i do czego ma dostęp, dzięki czemu administrator nie musi konfigurować każdej maszyny z osobna.
GPO to naturalne rozszerzenie tej samej idei na konfigurację i zachowanie systemów - zasada ustawiona raz, na odpowiednim poziomie struktury, automatycznie trafia do wszystkich objętych nią komputerów i kont.
Razem tworzą fundament, na którym od ponad dwudziestu lat opiera się zarządzanie sieciami firmowymi opartymi o Windows, i mimo rosnącej roli chmury, prędko z tego fundamentu nie znikną.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Podatność CVE-2026-35273 w Oracle PeopleSoft może skutkować zdalnym wykonaniem kodu, a CISA wiąże ją z kampaniami ransomware. Z tekstu dowiesz się, co to oznacza dla firmy, jak wygląda atak i jakie działania są pilne.
Czytaj artykułAmerykańska agencja CISA wpisała podatność SSRF w urządzeniach SonicWall SMA1000 na listę luk aktywnie wykorzystywanych w atakach, według katalogu także w kampaniach ransomware. Tekst wyjaśnia, na czym polega błąd, które wersje są zagrożone i jakie działania podjąć w jakiej kolejności.
Czytaj artykułLuka CVE-2026-46817 w module Oracle Payments trafiła do katalogu podatności wykorzystywanych w atakach, prowadzonego przez CISA. Według producenta włamanie nie wymaga loginu ani hasła, a poprawka istnieje od maja 2026 roku. Tekst pokazuje, kogo dotyczy i co zrobić.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.