Home » Active Directory คู่มือ AD Windows Server สำหรับองค์กร
Active Directory คู่มือ AD Windows Server สำหรับองค์กร
Active Directory คืออะไร? ทำไมองค์กรต้องมี AD
Active Directory (AD) คือ ระบบจัดการ Identity และ Access ของ Microsoft สำหรับองค์กร ช่วยให้ IT จัดการ User Account, Computer, Group Policy และสิทธิ์การเข้าถึงทรัพยากรทั้งหมดจากศูนย์กลาง แทนที่พนักงานจะมี Username/Password แยกบนแต่ละเครื่อง AD ให้พนักงาน Login ครั้งเดียว (Single Sign-On) เข้าถึง PC, File Server, Printer, Email และ Application ทั้งหมดด้วยบัญชีเดียว IT จัดการสิทธิ์ ตั้ง Policy และ Deploy Software จากที่เดียว
องค์ประกอบของ Active Directory
| องค์ประกอบ |
คำอธิบาย |
ตัวอย่าง |
| Domain |
ขอบเขตการจัดการ AD ทั้งหมด |
company.local, corp.siamlancard.com |
| Domain Controller (DC) |
Server ที่รัน AD ยืนยันตัวตน จัดเก็บข้อมูล |
DC01, DC02 (ต้องมีอย่างน้อย 2 ตัว) |
| Organizational Unit (OU) |
โฟลเดอร์จัดกลุ่ม User/Computer |
OU=Sales, OU=IT, OU=Bangkok |
| User Account |
บัญชีผู้ใช้แต่ละคน |
john.smith, somchai.k |
| Group |
กลุ่มสำหรับจัดสิทธิ์ |
G-Finance-Read, G-IT-Admin |
| Group Policy (GPO) |
นโยบายที่บังคับใช้กับ User/Computer |
Password Policy, Desktop Wallpaper |
| DNS |
AD ต้องมี DNS AD-integrated Zone |
company.local → DC IP |
ติดตั้ง Domain Controller
- เตรียม Server: Windows Server 2022, ตั้ง Static IP, ตั้งชื่อ Server เช่น DC01
- ติดตั้ง Role: Server Manager → Add Roles → Active Directory Domain Services
- Promote: Promote to Domain Controller → New Forest → ใส่ Domain Name เช่น corp.company.com
- DNS: ติดตั้ง DNS Server Role พร้อมกับ AD (AD-integrated DNS)
- DC ตัวที่ 2: ติดตั้ง DC ตัวที่ 2 เพื่อ Redundancy → Add to Existing Domain
จัดโครงสร้าง OU
corp.company.com
├── OU=Bangkok
│ ├── OU=Users
│ ├── OU=Computers
│ └── OU=Servers
├── OU=Chonburi (สาขา)
│ ├── OU=Users
│ └── OU=Computers
├── OU=Groups
│ ├── OU=Security Groups
│ └── OU=Distribution Groups
├── OU=Service Accounts
└── OU=Disabled
Group Policy (GPO) ที่ต้องมี
| GPO |
สิ่งที่ทำ |
Link ไปที่ |
| Password Policy |
ความยาว 12+ ตัว, ซับซ้อน, หมดอายุ 90 วัน |
Domain Level |
| Account Lockout |
ล็อคบัญชีหลัง Login ผิด 5 ครั้ง, ปลด 30 นาที |
Domain Level |
| Windows Update |
ตั้ง WSUS Server, กำหนดเวลา Update |
OU=Computers |
| Drive Mapping |
Map Network Drive อัตโนมัติ เช่น S: → File Server |
OU=Users |
| Printer Deploy |
Deploy Printer ตามแผนก |
OU=Users (ตามแผนก) |
| Desktop Restriction |
ปิด Control Panel, CMD, Registry สำหรับ User ทั่วไป |
OU=Users |
| BitLocker |
เข้ารหัส Hard Drive Laptop |
OU=Laptops |
| Firewall |
ตั้ง Windows Firewall Rule |
OU=Computers |
DHCP และ DNS สำหรับ AD
DNS
- AD-integrated DNS: DNS Zone เก็บใน AD Replicate อัตโนมัติระหว่าง DC
- Forward Lookup: แปลงชื่อ → IP เช่น dc01.corp.company.com → 10.0.20.10
- Reverse Lookup: แปลง IP → ชื่อ สำหรับ Troubleshooting
- Forwarder: ตั้ง DNS Forwarder ไปยัง ISP DNS หรือ 8.8.8.8 สำหรับ Internet
DHCP
- DHCP Server: ติดตั้งบน DC หรือ Server แยก Authorize ใน AD
- Scope: สร้าง Scope ตาม VLAN เช่น 10.0.30.100-10.0.30.200 สำหรับ User VLAN
- Option: ตั้ง Default Gateway, DNS Server, Domain Name
- Reservation: จอง IP สำหรับ Printer, Server, AP
AD Security Best Practices
- DC อย่างน้อย 2 ตัว: ถ้า DC 1 ตัวล่ม DC อีกตัวทำงานแทนอัตโนมัติ
- Admin Account แยก: IT ใช้ Admin Account แยกจาก Account ปกติ ไม่ Login Admin ตลอดเวลา
- LAPS: Local Administrator Password Solution เปลี่ยน Local Admin Password ทุกเครื่องอัตโนมัติ
- Tiered Admin: แบ่ง Admin เป็น Tier 0 (DC), Tier 1 (Server), Tier 2 (Workstation)
- Audit Log: เปิด Audit Log สำหรับ Login, Account Change, GPO Change
- Backup AD: Backup System State ของ DC ทุกวัน ทดสอบ Restore ทุกไตรมาส
- อย่าใช้ Domain Admin: ใช้ Domain Admin เฉพาะบน DC ไม่ Login บน PC/Server ทั่วไป
AD Troubleshooting
| ปัญหา |
สาเหตุ |
วิธีแก้ |
| Login ไม่ได้ |
Password ผิด, Account Locked, DC ล่ม |
ตรวจ Event Log, Unlock Account, ตรวจ DC |
| GPO ไม่ทำงาน |
Link ผิด OU, Security Filtering, WMI Filter |
gpresult /r, Group Policy Modeling |
| Replication ล้มเหลว |
Network, DNS, Firewall |
repadmin /replsummary, dcdiag |
| DNS ไม่ Resolve |
DNS Server ผิด, Zone ไม่มี Record |
nslookup, ตรวจ DNS Zone, Flush DNS |
สรุป Active Directory — ศูนย์กลางการจัดการ IT องค์กร
Active Directory เป็นพื้นฐานของ IT องค์กร จัดการ User Computer และสิทธิ์ทั้งหมดจากศูนย์กลาง สิ่งสำคัญคือมี DC อย่างน้อย 2 ตัว จัด OU ให้เป็นระเบียบ ตั้ง GPO ให้ครบ และรักษาความปลอดภัย Admin Account หากต้องการข้อมูลเพิ่มเติม ติดตามได้ที่ SiamLanCard.com
