Active Directory ( AD ) เป็นบริการไดเร็กทอรีที่พัฒนาโดยMicrosoftสำหรับเครือข่ายโดเมน Windows ระบบปฏิบัติการWindows Server รวม AD ไว้เป็นชุดของกระบวนการและบริการ^{[ 1 ] [ 2 ]} เดิมที Active Directory ใช้เฉพาะในการจัดการโดเมนแบบรวมศูนย์เท่านั้น แต่ในที่สุด ก็กลายเป็นชื่อที่ครอบคลุมบริการที่เกี่ยวข้องกับข้อมูลประจำตัวแบบไดเร็กทอรีต่างๆ^{[ 3 ]}

ตัวควบคุมโดเมนคือเซิร์ฟเวอร์ที่ทำงานในบทบาทของActive Directory Domain Services ( AD DS ) ทำหน้าที่ตรวจสอบสิทธิ์และอนุญาตผู้ใช้และคอมพิวเตอร์ทั้งหมดใน เครือข่ายประเภทโดเมน ของ Windowsกำหนดและบังคับใช้นโยบายความปลอดภัยสำหรับคอมพิวเตอร์ทั้งหมด และติดตั้งหรืออัปเดตซอฟต์แวร์ ตัวอย่างเช่น เมื่อผู้ใช้ล็อกอินเข้าสู่คอมพิวเตอร์ที่เป็นส่วนหนึ่งของโดเมน Windows Active Directory จะตรวจสอบชื่อผู้ใช้และรหัสผ่านที่ส่งมา และพิจารณาว่าผู้ใช้เป็นผู้ดูแลระบบหรือผู้ใช้ทั่วไป^{[ 4 ]}นอกจากนี้ยังช่วยให้สามารถจัดการและจัดเก็บข้อมูล จัดเตรียมกลไกการตรวจสอบสิทธิ์และการอนุญาต และสร้างกรอบการทำงานเพื่อใช้งานบริการอื่นๆ ที่เกี่ยวข้อง ได้แก่ บริการใบรับรอง^{บริการ} Active Directory Federationบริการ Lightweight Directory และบริการจัดการสิทธิ์ [ ^{5 ]}

Active Directory ใช้Lightweight Directory Access Protocol ^{( LDAP) เวอร์ชัน 2 และ} 3, Kerberosเวอร์ชันของ Microsoft [ ^{6 ]}และDNS [ ^{7 ]}

โรเบิร์ต อาร์. คิง นิยามไว้ดังนี้: ^{[ 8 ]}

"โดเมนเปรียบเสมือนฐานข้อมูล ฐานข้อมูลนั้นเก็บเรคอร์ดเกี่ยวกับบริการเครือข่าย เช่น คอมพิวเตอร์ ผู้ใช้ กลุ่ม และสิ่งอื่นๆ ที่ใช้งาน สนับสนุน หรือมีอยู่บนเครือข่าย ฐานข้อมูลโดเมนก็คือ Active Directory นั่นเอง"

เช่นเดียวกับความพยายามด้านเทคโนโลยีสารสนเทศหลายอย่าง Active Directory เกิดขึ้นจากกระบวนการออกแบบที่เป็นประชาธิปไตยโดยใช้Requests for Comments (RFCs) Internet Engineering Task Force (IETF) ดูแลกระบวนการ RFC และยอมรับ RFC จำนวนมากที่ริเริ่มโดยผู้เข้าร่วมจากหลายภาคส่วน ตัวอย่างเช่น LDAP เป็นพื้นฐานของ Active Directory นอกจากนี้ ไดเร็กทอรี X.500และOrganizational Unitก็มีมาก่อนแนวคิด Active Directory ที่ใช้วิธีการเหล่านั้น แนวคิด LDAP เริ่มปรากฏขึ้นก่อนการก่อตั้ง Microsoft ในเดือนเมษายน 1975 โดยมี RFC ตั้งแต่ปี 1971 RFC ที่มีส่วนช่วยใน LDAP ได้แก่RFC 1823 (เกี่ยวกับ LDAP API เดือนสิงหาคม 1995) ^{[ 9 ]} RFC 2307 , RFC 3062และRFC 4533 ^{[ 10 ] [ 11 ] [ 12 ]}

ไมโครซอฟต์ได้เปิดตัว Active Directory เวอร์ชันพรีวิวในปี 1999 และวางจำหน่ายครั้งแรกพร้อมกับWindows 2000 Server เวอร์ชันก่อนหน้า จากนั้นจึงปรับปรุงเพื่อขยายฟังก์ชันการทำงานและปรับปรุงการบริหารจัดการในWindows Server 2003นอกจากนี้ยังมีการเพิ่มการสนับสนุน Active Directory ใน Windows 95, Windows 98 และ Windows NT 4.0 ผ่านแพทช์ โดยมีคุณสมบัติบางอย่างที่ไม่รองรับ^{[ 13 ] [ 14 ]}มีการปรับปรุงเพิ่มเติมในWindows Server เวอร์ชันต่อๆ มา ในWindows Server 2008ไมโครซอฟต์ได้เพิ่มบริการเพิ่มเติมให้กับ Active Directory เช่นActive Directory Federation Services [ ^{15 ] ส่วน} ของไดเร็กทอรีที่รับผิดชอบในการจัดการโดเมน ซึ่งเป็นส่วนหลักของระบบปฏิบัติการ^{[ 15 ]}ได้รับการเปลี่ยนชื่อเป็น Active Directory Domain Services (ADDS) และกลายเป็นบทบาทเซิร์ฟเวอร์เช่นเดียวกับบทบาทอื่นๆ^{[ 3 ]} "Active Directory" กลายเป็นชื่อรวมของบริการที่ใช้ไดเร็กทอรีในวงกว้างขึ้น^{[ 16 ]}ตามที่ไบรอน ไฮนส์ กล่าวไว้ ทุกสิ่งที่เกี่ยวข้องกับข้อมูลประจำตัวถูกนำมาอยู่ภายใต้การดูแลของ Active Directory ^{[ 3 ]}

บริการ Active Directory ประกอบด้วยบริการไดเร็กทอรีหลายประเภท บริการที่รู้จักกันดีที่สุดคือ Active Directory Domain Services ซึ่งมักย่อว่า AD DS หรือเรียกสั้น ๆ ว่า AD

Active Directory เป็นบริการที่ประกอบด้วยฐานข้อมูลและโค้ดที่สามารถเรียกใช้งานได้มีหน้าที่จัดการคำขอและบำรุงรักษาฐานข้อมูล Directory System Agent เป็นส่วนที่สามารถเรียกใช้งานได้ ซึ่งเป็นชุดของบริการและกระบวนการ ของ Windows ที่ทำงานบน Windows 2000 และเวอร์ชันที่ใหม่กว่า^{[ 1 ]}การเข้าถึงวัตถุในฐานข้อมูล Active Directory สามารถทำได้ผ่านอินเทอร์เฟซต่างๆ เช่น LDAP, ADSI, Messaging APIและบริการSecurity Accounts Manager ^{[ 2 ]}

วัตถุที่ใช้

โครงสร้างของ Active Directory ประกอบด้วยข้อมูลเกี่ยวกับวัตถุที่จัดประเภทออกเป็นสองประเภท ได้แก่ ทรัพยากร (เช่น เครื่องพิมพ์) และหลักการรักษาความปลอดภัย (ซึ่งรวมถึงบัญชีผู้ใช้หรือคอมพิวเตอร์และกลุ่มต่างๆ) หลักการรักษาความปลอดภัยแต่ละรายการจะได้รับตัวระบุความปลอดภัย (SID) ที่ไม่ซ้ำกัน วัตถุหนึ่งๆ แทนเอนทิตีเดียว เช่น ผู้ใช้ คอมพิวเตอร์ เครื่องพิมพ์ หรือกลุ่ม พร้อมด้วยคุณลักษณะต่างๆ วัตถุบางอย่างอาจมีวัตถุอื่นๆ อยู่ภายในด้วย วัตถุแต่ละรายการมีชื่อที่ไม่ซ้ำกัน และคำจำกัดความของมันคือชุดของลักษณะและข้อมูลโดยสคีมาซึ่งเป็นตัวกำหนดการจัดเก็บใน Active Directory

ผู้ดูแลระบบสามารถขยายหรือแก้ไขสคีมาโดยใช้วัตถุสคีมาเมื่อจำเป็น อย่างไรก็ตาม เนื่องจากวัตถุสคีมาแต่ละชิ้นเป็นส่วนสำคัญในการกำหนดวัตถุ Active Directory การปิดใช้งานหรือการเปลี่ยนแปลงวัตถุเหล่านั้นอาจเปลี่ยนแปลงหรือขัดขวางการใช้งานระบบได้ การแก้ไขสคีมาจะส่งผลกระทบต่อทั้งระบบโดยอัตโนมัติ และวัตถุใหม่ไม่สามารถลบได้ แต่สามารถปิดใช้งานได้เท่านั้น การเปลี่ยนแปลงสคีมามักต้องมีการวางแผน^{[ 26 ]}

ป่า ต้นไม้ และอาณาเขต

ในเครือข่าย Active Directory โครงสร้างที่จัดเก็บอ็อบเจ็กต์มีหลายระดับ ได้แก่ ฟอเรสต์ ต้นไม้ และโดเมน โดเมนภายในระบบจะเก็บอ็อบเจ็กต์ไว้ในฐานข้อมูลเดียวที่สามารถจำลองได้ และ โครงสร้างชื่อ DNSจะระบุโดเมนหรือเนมสเปซ ของอ็อบเจ็กต์เหล่านั้น โดเมนคือกลุ่มเชิงตรรกะของอ็อบเจ็กต์เครือข่าย เช่น คอมพิวเตอร์ ผู้ใช้ และอุปกรณ์ ที่ใช้ฐานข้อมูล Active Directory เดียวกัน

ในทางกลับกัน ต้นไม้ (tree) คือกลุ่มของโดเมนและต้นไม้โดเมนในเนมสเปซที่ต่อเนื่องกัน ซึ่งเชื่อมโยงกันในลำดับชั้นความไว้วางใจแบบถ่ายทอดได้ ป่า (forest) อยู่ที่ด้านบนสุดของโครงสร้าง เป็นกลุ่มของต้นไม้ที่มีแคตตาล็อกส่วนกลางมาตรฐาน โครงสร้างไดเร็กทอรี โครงสร้างเชิงตรรกะ และการกำหนดค่าไดเร็กทอรี ป่าเป็นขอบเขตที่ปลอดภัยซึ่งจำกัดการเข้าถึงสำหรับผู้ใช้ คอมพิวเตอร์ กลุ่ม และวัตถุอื่นๆ

โดเมน-บอสตัน     โดเมน-  นิวยอร์ก     โดเมน-ฟิลลี่   ต้นไม้ทางใต้     โดเมน-แอตแลนตา     โดเมน-ดัลลัส	โดเมน-ดัลลัส   การตลาด OU     ฮิววิตต์     ออน     สตีฟ   OU-Sales     ใบแจ้งหนี้     ราล์ฟ
ตัวอย่างการจัดระเบียบทางภูมิศาสตร์ของโซนที่น่าสนใจภายในต้นไม้และโดเมน

หน่วยงานองค์กร

วัตถุที่อยู่ในโดเมนสามารถจัดกลุ่มเป็นหน่วยองค์กร (OU) ได้^{[ 27 ]} OU สามารถให้ลำดับชั้นแก่โดเมน ช่วยให้การบริหารจัดการง่ายขึ้น และสามารถคล้ายคลึงกับโครงสร้างขององค์กรในแง่ของการจัดการหรือทางภูมิศาสตร์ OU สามารถบรรจุ OU อื่นๆ ได้—โดเมนเป็นคอนเทนเนอร์ในความหมายนี้ Microsoft แนะนำให้ใช้ OU แทนโดเมนสำหรับโครงสร้างและการทำให้การนำนโยบายและการบริหารจัดการไปใช้ง่ายขึ้น OU เป็นระดับที่แนะนำสำหรับการใช้นโยบายกลุ่มซึ่งเป็นวัตถุ Active Directory ที่มีชื่ออย่างเป็นทางการว่าวัตถุนโยบายกลุ่ม (GPO) แม้ว่านโยบายจะสามารถนำไปใช้กับโดเมนหรือไซต์ได้เช่นกัน (ดูด้านล่าง) OU เป็นระดับที่มักจะมอบอำนาจการบริหารจัดการ แต่การมอบอำนาจสามารถทำได้กับวัตถุหรือคุณลักษณะแต่ละรายการเช่นกัน

หน่วยองค์กรแต่ละหน่วยไม่มีเนมสเปซแยกต่างหาก ผลที่ตามมาคือ เพื่อความเข้ากันได้กับการใช้งาน NetBios แบบดั้งเดิม บัญชีผู้ใช้ที่มี SamAccountName เหมือนกันจะไม่ได้รับอนุญาตภายในโดเมนเดียวกัน แม้ว่าวัตถุบัญชีจะอยู่ใน OU ที่แยกจากกันก็ตาม ทั้งนี้เนื่องจาก SamAccountName ซึ่งเป็นคุณลักษณะของวัตถุผู้ใช้ จะต้องไม่ซ้ำกันภายในโดเมน^{[ 28 ]}อย่างไรก็ตาม ผู้ใช้สองคนใน OU ที่แตกต่างกันสามารถมีชื่อทั่วไป (CN) เดียวกันได้ ซึ่งเป็นชื่อที่พวกเขาถูกจัดเก็บไว้ในไดเร็กทอรีเอง เช่น "fred.staff-ou.domain" และ "fred.student-ou.domain" โดยที่ "staff-ou" และ "student-ou" คือ OU

โดยทั่วไป เหตุผลที่ Microsoft ไม่อนุญาตให้มีชื่อซ้ำกันในโครงสร้างไดเร็กทอรีแบบลำดับชั้นก็คือ Microsoft อาศัยหลักการของNetBIOS เป็นหลัก ซึ่งเป็นวิธีการจัดการวัตถุเครือข่ายแบบเนมสเปซแบนราบ ที่สำหรับซอฟต์แวร์ของ Microsoft นั้นมีมาตั้งแต่Windows NT 3.1และMS-DOS LAN Managerการอนุญาตให้มีชื่อวัตถุซ้ำกันในไดเร็กทอรี หรือการยกเลิกการใช้ชื่อ NetBIOS โดยสิ้นเชิง จะทำให้ไม่สามารถใช้งานร่วมกับซอฟต์แวร์และอุปกรณ์รุ่นเก่าได้ อย่างไรก็ตาม การไม่อนุญาตให้มีชื่อวัตถุซ้ำกันในลักษณะนี้เป็นการละเมิด RFC ของ LDAP ซึ่งเป็นพื้นฐานของ Active Directory

เมื่อจำนวนผู้ใช้ในโดเมนเพิ่มขึ้น รูปแบบการตั้งชื่อแบบ "อักษรตัวแรกของชื่อ อักษรตัวแรกของชื่อกลาง นามสกุล" ( แบบตะวันตก ) หรือแบบกลับกัน (แบบตะวันออก) จะใช้ไม่ได้ผลกับนามสกุล ทั่วไป เช่นหลี่ (李) สมิธหรือการ์เซียวิธีแก้ปัญหาคือการเพิ่มตัวเลขต่อท้ายชื่อผู้ใช้ หรืออีกทางเลือกหนึ่งคือการสร้างระบบรหัสประจำตัวแยกต่างหากสำหรับพนักงาน/นักเรียนเพื่อใช้เป็นชื่อบัญชีแทนชื่อผู้ใช้จริง และอนุญาตให้ผู้ใช้เลือกรูปแบบคำที่ต้องการภายใต้นโยบายการใช้งานที่ยอมรับได้

เนื่องจากชื่อผู้ใช้ซ้ำกันไม่สามารถมีอยู่ในโดเมนเดียวกันได้ การสร้างชื่อบัญชีจึงเป็นความท้าทายอย่างมากสำหรับองค์กรขนาดใหญ่ที่ไม่สามารถแบ่งออกเป็นโดเมนแยกต่างหากได้ง่าย เช่น นักเรียนในระบบโรงเรียนของรัฐหรือมหาวิทยาลัยที่ต้องสามารถใช้คอมพิวเตอร์เครื่องใดก็ได้ในเครือข่าย

กลุ่มเงา

ใน Active Directory ของ Microsoft นั้น หน่วยองค์กร (OU) ไม่ได้ให้สิทธิ์การเข้าถึงโดยอัตโนมัติ และวัตถุที่วางอยู่ภายใน OU จะไม่ได้รับการกำหนดสิทธิ์การเข้าถึงโดยอัตโนมัติตาม OU ที่บรรจุอยู่ นี่เป็นข้อจำกัดด้านการออกแบบเฉพาะของ Active Directory และไดเร็กทอรีคู่แข่งอื่นๆ เช่น Novell NDSสามารถกำหนดสิทธิ์การเข้าถึงผ่านการวางวัตถุภายใน OU ได้

Active Directory กำหนดให้ผู้ดูแลระบบต้องดำเนินการอีกขั้นตอนหนึ่งเพื่อกำหนดวัตถุใน OU ให้เป็นสมาชิกกลุ่มภายใน OU นั้นด้วย การใช้เพียงตำแหน่งของ OU ในการกำหนดสิทธิ์การเข้าถึงนั้นไม่น่าเชื่อถือ เนื่องจากเอนทิตีอาจยังไม่ได้รับการกำหนดให้กับวัตถุกลุ่มสำหรับ OU นั้น

วิธีแก้ปัญหาทั่วไปสำหรับผู้ดูแลระบบ Active Directory คือการเขียน สคริปต์ PowerShellหรือVisual Basic แบบกำหนดเอง เพื่อสร้างและบำรุงรักษากลุ่มผู้ใช้สำหรับแต่ละ OU ใน Directory โดยอัตโนมัติ สคริปต์จะทำงานเป็นระยะเพื่ออัปเดตกลุ่มให้ตรงกับการเป็นสมาชิกบัญชีของ OU อย่างไรก็ตาม สคริปต์เหล่านี้ไม่สามารถอัปเดตกลุ่มความปลอดภัยได้ทันทีทุกครั้งที่มีการเปลี่ยนแปลง Directory ดังเช่นที่เกิดขึ้นใน Directory อื่นๆ เนื่องจากความปลอดภัยถูกนำไปใช้โดยตรงใน Directory กลุ่มดังกล่าวเรียกว่ากลุ่มเงา (shadow groups ) เมื่อสร้างแล้ว กลุ่มเงาเหล่านี้จะสามารถเลือกแทน OU ในเครื่องมือการดูแลระบบได้ เอกสารอ้างอิงของ Microsoft Server 2008 กล่าวถึงกลุ่มเงา แต่ไม่ได้ให้คำแนะนำในการสร้างกลุ่มเหล่านั้น นอกจากนี้ ยังไม่มีวิธีการเซิร์ฟเวอร์หรือ snap-in คอนโซลใดๆ ที่ใช้ได้สำหรับการจัดการกลุ่มเหล่านี้^{[ 29 ]}

องค์กรต้องกำหนดโครงสร้างของโครงสร้างพื้นฐานข้อมูลโดยแบ่งออกเป็นโดเมนหนึ่งหรือมากกว่าและ OU ระดับบนสุด การตัดสินใจนี้มีความสำคัญและสามารถอิงตามแบบจำลองต่างๆ เช่น หน่วยธุรกิจ สถานที่ตั้งทางภูมิศาสตร์ บริการไอที ประเภทวัตถุ หรือการผสมผสานของแบบจำลองเหล่านี้ วัตถุประสงค์หลักของการจัดระเบียบ OU คือการทำให้การมอบหมายการบริหารง่ายขึ้น และวัตถุประสงค์รองคือการใช้นโยบายกลุ่ม ในขณะที่ OU ทำหน้าที่เป็นขอบเขตการบริหาร แต่ฟอเรสต์เองเป็นขอบเขตความปลอดภัยเพียงอย่างเดียว โดเมนอื่นๆ ทั้งหมดต้องไว้วางใจผู้ดูแลระบบในฟอเรสต์ในการรักษาความปลอดภัย^{[ 30 ]}

ไซต์เป็นกลุ่มทางกายภาพ (ไม่ใช่เชิงตรรกะ) ที่กำหนดโดยซับเน็ตIP หนึ่งรายการขึ้นไป ^{[ 32 ]} AD ยังกำหนดการเชื่อมต่อ โดยแยกความแตกต่างระหว่างลิงก์ความเร็วต่ำ (เช่นWAN , VPN ) กับลิงก์ความเร็วสูง (เช่นLAN ) คำจำกัดความของไซต์เป็นอิสระจากโครงสร้างโดเมนและ OU และใช้ร่วมกันทั่วทั้งฟอเรสต์ ไซต์มีบทบาทสำคัญในการจัดการปริมาณการรับส่งข้อมูลเครือข่ายที่สร้างขึ้นโดยการจำลองแบบและนำทางไคลเอ็นต์ไปยังตัวควบคุมโดเมน (DC) ที่ใกล้ที่สุด Microsoft Exchange Server 2007ใช้โทโพโลยีไซต์สำหรับการกำหนดเส้นทางอีเมล ผู้ดูแลระบบยังสามารถกำหนดนโยบายในระดับไซต์ได้อีกด้วย

ข้อมูล Active Directory จะถูกจัดเก็บไว้ในตัวควบคุมโดเมน แบบ Peer อย่างน้อยหนึ่งตัว โดยแทนที่ โมเดล NT PDC / BDCตัวควบคุมโดเมนแต่ละตัวจะมีสำเนาของ Active Directory เซิร์ฟเวอร์สมาชิกที่เข้าร่วม Active Directory ที่ไม่ใช่ตัวควบคุมโดเมนจะเรียกว่าเซิร์ฟเวอร์สมาชิก^{[ 33 ]}ในพาร์ติชันโดเมน กลุ่มของวัตถุจะทำหน้าที่เป็นสำเนาของตัวควบคุมโดเมนที่ตั้งค่าเป็นแคตตาล็อกส่วนกลาง เซิร์ฟเวอร์แคตตาล็อกส่วนกลางเหล่านี้จะนำเสนอรายการที่ครอบคลุมของวัตถุทั้งหมดในฟอเรสต์^{[ 34 ] [ 35 ]}

เซิร์ฟเวอร์ Global Catalog จะจำลองวัตถุทั้งหมดจากทุกโดเมนไปยังตัวมันเอง ทำให้มีรายการเอนทิตีในฟอเรสต์ในระดับสากล อย่างไรก็ตาม เพื่อลดปริมาณการรับส่งข้อมูลการจำลองและรักษาฐานข้อมูลของ GC ให้มีขนาดเล็ก จะมีการจำลองเฉพาะแอตทริบิวต์ที่เลือกไว้ของแต่ละวัตถุเท่านั้น ซึ่งเรียกว่าชุดแอตทริบิวต์บางส่วน (PAS) PAS สามารถแก้ไขได้โดยการแก้ไขสคีมาและทำเครื่องหมายคุณลักษณะสำหรับการจำลองไปยัง GC ^{[ 36 ]} Windows เวอร์ชันก่อนหน้าใช้NetBIOSในการสื่อสาร Active Directory ผสานรวมอย่างสมบูรณ์กับ DNS และต้องการTCP/IP —DNS ในการทำงานอย่างสมบูรณ์ เซิร์ฟเวอร์ DNS ต้องรองรับระเบียนทรัพยากร SRVหรือที่เรียกว่าระเบียนบริการ

โดยทั่วไป เครือข่ายที่ใช้ Active Directory จะมีคอมพิวเตอร์เซิร์ฟเวอร์ Windows ที่ได้รับอนุญาตมากกว่าหนึ่งเครื่อง การสำรองข้อมูลและกู้คืน Active Directory สามารถทำได้สำหรับเครือข่ายที่มีตัวควบคุมโดเมนเพียงตัวเดียว^{[ 40 ]}อย่างไรก็ตาม Microsoft แนะนำให้ใช้ตัวควบคุมโดเมนมากกว่าหนึ่งตัวเพื่อ ป้องกัน การล้มเหลว โดยอัตโนมัติ ของไดเร็กทอรี^{[ 41 ]}ตัวควบคุมโดเมนควรมีวัตถุประสงค์เดียวสำหรับการดำเนินการไดเร็กทอรีเท่านั้น และไม่ควรใช้งานซอฟต์แวร์หรือบทบาทอื่นใด^{[ 42 ]}

เนื่องจากผลิตภัณฑ์ของ Microsoft บางอย่าง เช่น SQL Server ^{[ 43 ] [ 44 ]}และ Exchange ^{[ 45 ]}อาจรบกวนการทำงานของตัวควบคุมโดเมน จึงแนะนำให้แยกผลิตภัณฑ์เหล่านี้ไว้บนเซิร์ฟเวอร์ Windows เพิ่มเติม การรวมผลิตภัณฑ์เหล่านี้เข้าด้วยกันอาจทำให้การกำหนดค่าและการแก้ไขปัญหาของตัวควบคุมโดเมนหรือซอฟต์แวร์ที่ติดตั้งอื่นๆ ซับซ้อนขึ้น^{[ 46 ]}หากวางแผนที่จะใช้งาน Active Directory ธุรกิจควรซื้อใบอนุญาตเซิร์ฟเวอร์ Windows หลายใบเพื่อให้มีตัวควบคุมโดเมนแยกกันอย่างน้อยสองตัว ผู้ดูแลระบบควรพิจารณาตัวควบคุมโดเมนเพิ่มเติมเพื่อประสิทธิภาพหรือความซ้ำซ้อน และเซิร์ฟเวอร์แต่ละเครื่องสำหรับงานต่างๆ เช่น การจัดเก็บไฟล์ Exchange และ SQL Server ^{[ 47 ]}เนื่องจากจะรับประกันได้ว่าบทบาทของเซิร์ฟเวอร์ทั้งหมดได้รับการสนับสนุนอย่างเพียงพอ

วิธีหนึ่งในการลดต้นทุนฮาร์ดแวร์ทางกายภาพคือการใช้เวอร์ชวลไลเซชันอย่างไรก็ตาม เพื่อการป้องกันการทำงานล้มเหลวที่เหมาะสม ไมโครซอฟต์แนะนำไม่ให้ใช้งานตัวควบคุมโดเมนเสมือนหลายตัวบนฮาร์ดแวร์ทางกายภาพเดียวกัน^{[ 48 ]}

ฐานข้อมูล Active-Directory ซึ่งเป็นที่เก็บไดเร็กทอรีใน Windows 2000 Server ใช้Extensible Storage Engine (ESE98) ที่ใช้ JET Blueฐานข้อมูลของตัวควบคุมโดเมนแต่ละตัวมีข้อจำกัดที่ 16 เทราไบต์และ 2 พันล้านอ็อบเจ็กต์ (แต่มีเพียง 1 พันล้านหลักการรักษาความปลอดภัย) Microsoft ได้สร้างฐานข้อมูล NTDS ที่มีอ็อบเจ็กต์มากกว่า 2 พันล้านรายการ^{[ 49 ]} Security Account Managerของ NT4 สามารถรองรับอ็อบเจ็กต์ได้มากถึง 40,000 รายการ มีตารางหลักสองตาราง ได้แก่ตารางข้อมูลและตารางลิงก์ Windows Server 2003 เพิ่มตารางหลักที่สามสำหรับ การสร้างอินส แตนซ์เดี่ยวของตัวอธิบายความปลอดภัย^{[ 49 ]}

โปรแกรมอาจเข้าถึงคุณสมบัติของ Active Directory ^{[ 50 ]}ผ่านทางอินเทอร์เฟซ COMที่จัดเตรียมโดยActive Directory Service Interfaces ^{[ 51 ]}

เพื่ออนุญาตให้ผู้ใช้ในโดเมนหนึ่งเข้าถึงทรัพยากรในอีกโดเมนหนึ่ง Active Directory ใช้ทรัสต์^{[ 52 ]}

เมื่อมีการสร้างโดเมน ระบบจะสร้างความไว้วางใจภายในฟอเรสต์โดยอัตโนมัติ ฟอเรสต์จะกำหนดขอบเขตความไว้วางใจเริ่มต้น และความไว้วางใจแบบแฝงและส่งต่อได้จะเกิดขึ้นโดยอัตโนมัติสำหรับทุกโดเมนภายในฟอเรสต์

เครื่องมือจัดการ Microsoft Active Directory ประกอบด้วย:

• ศูนย์บริหารจัดการ Active Directory (เปิดตัวพร้อมกับ Windows Server 2012 และเวอร์ชันที่สูงกว่า)
• ผู้ใช้และคอมพิวเตอร์ Active Directory
• โดเมนและทรัสต์ของ Active Directory
• ไซต์และบริการ Active Directory
• ADSI Edit,
• ผู้ใช้และกลุ่มในพื้นที่
• ส่วนเสริม Active Directory Schema สำหรับMicrosoft Management Console (MMC)
• SysInternals ADExplorer

เครื่องมือบริหารจัดการเหล่านี้อาจไม่มีฟังก์ชันการทำงานที่เพียงพอสำหรับการทำงานอย่างมีประสิทธิภาพในสภาพแวดล้อมขนาดใหญ่ เครื่องมือจากผู้ให้บริการภายนอกบางรายช่วยเพิ่มขีดความสามารถในการบริหารจัดการ โดยมีคุณสมบัติที่จำเป็นสำหรับการบริหารจัดการที่สะดวกยิ่งขึ้น เช่น ระบบอัตโนมัติ รายงาน การบูรณาการกับบริการอื่นๆ เป็นต้น

การทำงานร่วมกันกับ Active Directory ในระดับต่างๆ สามารถทำได้บนระบบปฏิบัติการที่คล้าย Unix ส่วนใหญ่ (รวมถึง Unix , Linux , Mac OS Xหรือโปรแกรมที่ใช้ Java และ Unix) ผ่านไคลเอ็นต์ LDAP ที่เป็นไปตามมาตรฐาน แต่ระบบเหล่านี้มักจะไม่สามารถตีความคุณลักษณะหลายอย่างที่เกี่ยวข้องกับส่วนประกอบของ Windows ได้ เช่นGroup Policyและการสนับสนุนความเชื่อถือแบบทางเดียว

บริษัทภายนอกให้บริการการผสานรวม Active Directory สำหรับแพลตฟอร์มที่คล้าย Unix ซึ่งรวมถึง:

• PowerBroker Identity Servicesซึ่งเดิมชื่อ Likewise ( BeyondTrustซึ่งเดิมชื่อ Likewise Software) – อนุญาตให้ไคลเอนต์ที่ไม่ใช่ Windows เข้าร่วม Active Directory ได้^{[ 56 ]}
• ADmitMac ( Thursby Software Systems ) ^{[ 56 ]}
• Samba (ซอฟต์แวร์ฟรีภายใต้ GPLv3 ) – สามารถทำหน้าที่เป็น Active Directory ที่มีฟังก์ชันการทำงานครบถ้วน ^{[ 57 ] [ 58 ]}

ส่วนเพิ่มเติมของสคีมาที่มาพร้อมกับWindows Server 2003 R2ประกอบด้วยแอตทริบิวต์ที่แมปกับ RFC 2307 อย่างใกล้ชิดเพียงพอที่จะใช้งานได้โดยทั่วไป การใช้งานอ้างอิงของ RFC 2307, nss_ldap และ pam_ldap ที่จัดทำโดย PADL.com รองรับแอตทริบิวต์เหล่านี้โดยตรง สคีมาเริ่มต้นสำหรับการเป็นสมาชิกกลุ่มเป็นไปตาม RFC 2307bis (ที่เสนอ) ^{[ 59 ]} Windows Server 2003 R2 มี สแนปอิน Microsoft Management Consoleที่สร้างและแก้ไขแอตทริบิวต์

อีกทางเลือกหนึ่งคือการใช้บริการไดเร็กทอรีอื่น เนื่องจากไคลเอ็นต์ที่ไม่ใช่ Windows จะตรวจสอบสิทธิ์กับบริการนี้ ในขณะที่ไคลเอ็นต์ Windows จะตรวจสอบสิทธิ์กับ Active Directory ไคลเอ็นต์ที่ไม่ใช่ Windows ได้แก่389 Directory Server (เดิมคือ Fedora Directory Server, FDS), ViewDS v7.2 XML Enabled Directoryและ Sun Microsystems Sun Java System Directory Serverสองตัวหลังสามารถทำการซิงโครไนซ์แบบสองทางกับ Active Directory ได้ จึงให้การผสานรวมแบบ "เบี่ยงเบน"

อีกทางเลือกหนึ่งคือการใช้OpenLDAPร่วมกับ โอเวอร์เลย์ แบบโปร่งแสงซึ่งสามารถขยายรายการในเซิร์ฟเวอร์ LDAP ระยะไกลใดๆ ด้วยแอตทริบิวต์เพิ่มเติมที่จัดเก็บไว้ในฐานข้อมูลภายในเครื่อง ลูกค้าที่ชี้ไปยังฐานข้อมูลภายในเครื่องจะเห็นรายการที่มีทั้งแอตทริบิวต์จากระยะไกลและภายในเครื่อง ในขณะที่ฐานข้อมูลระยะไกลยังคงไม่เปลี่ยนแปลงเลย

การบริหารจัดการ (การสอบถาม การแก้ไข และการตรวจสอบ) Active Directory สามารถทำได้ผ่านภาษาสคริปต์หลายภาษา รวมถึงPowerShell , VBScript , JScript/JavaScript , Perl , PythonและRuby ^{[ 60 ] [ 61 ] [ 62 ] [ 63 ]}เครื่องมือบริหารจัดการ Active Directory ทั้งแบบฟรีและไม่ฟรีสามารถช่วยลดความซับซ้อนและอาจทำให้งานบริหารจัดการ Active Directory เป็นไปโดยอัตโนมัติได้

ตั้งแต่เดือนตุลาคม 2560 Amazon AWSได้นำเสนอการผสานรวมกับ Microsoft Active Directory ^{[ 64 ]}

• AGDLP (การนำระบบควบคุมการเข้าถึงตามบทบาทมาใช้โดยใช้กลุ่มย่อย)
• Apple Open Directory
• การทำงานแบบมาสเตอร์เดียวที่ยืดหยุ่น
• ฟรีไอพีเอ
• รายชื่อซอฟต์แวร์ LDAP
• โปรแกรมบริการรักษาความปลอดภัยระบบ (SSSD)
• เซิร์ฟเวอร์องค์กร Univention

Wikiversity มีแหล่งข้อมูลการเรียนรู้เกี่ยวกับActive Directory

• Microsoft Technet: เอกสารไวท์เปเปอร์: สถาปัตยกรรม Active Directory (เอกสารทางเทคนิคฉบับเดียวที่ให้ภาพรวมเกี่ยวกับ Active Directory)
• Microsoft Technet: คำอธิบายโดยละเอียดเกี่ยวกับActive Directory บน Windows Server 2003
• คลังข้อมูล MSDN ของ Microsoft: [MS-ADTS]: ข้อกำหนดทางเทคนิคของ Active Directory (ส่วนหนึ่งของMicrosoft Open Specification Promise )
• โหมดแอปพลิเคชัน Active Directory (ADAM)
• Microsoft MSDN: [AD-LDS]: บริการไดเร็กทอรีแบบเบาของ Active Directory
• Microsoft TechNet: [AD-LDS]: บริการไดเร็กทอรีแบบเบา (Lightweight Directory Services) ของ Active Directory
• Microsoft MSDN: โครงสร้างข้อมูล Active Directory
• Microsoft TechNet: ทำความเข้าใจ Schema
• นิตยสาร Microsoft TechNet: การขยาย Schema ของ Active Directory
• Microsoft MSDN: บริการใบรับรอง Active Directory
• Microsoft TechNet: บริการใบรับรอง Active Directory