проводится проверка подлинности пользователя на основе его учетной записи, которая содержит имя для входа в систему, пароль и уникальный идентификатор безопасности (security identifier, SID). В процессе входа в систему Active Directory проверяет подлинность имени и пароля. После этого подсистема безопасности может создать маркер доступа, представляющий этого пользователя. В маркере доступа содержатся SID учетной записи пользователя и SID всех групп, к которым относится пользователь. При помощи этого маркера можно проверить назначенные пользователю права, в том числе право локально входить в систему, а также разрешить или запретить доступ к ресурсам, защищенным таблицами управления доступом (access control list, ACL) [1, 5, 9].

в Active Directory. В объекте пользователя хранятся не только имя, пароль и SID, но также контактная информация (например, номера телефонов и адреса), организационная информация, в том числе должность, прямые подчиненные и руководитель, сведения о членстве в группах и конфигурации, например параметры перемещаемого профиля, служб терминалов, удаленного доступа и удаленного управления. Каждый пользователь должен иметь учетную запись.

собой учетную запись пользователя, с помощью которой можно делать изменения, затрагивающие других пользователей компьютера. Администраторы имеют доступ ко всем функциям ОС, могут менять параметры безопасности, устанавливать программное обеспечение и оборудование. Кроме того, администраторы могут изменять любые учетные записи пользователей. При установке Windows потребуется создать учетную запись администратора, позволяющей настраивать компьютер и устанавливать любые программы. После окончания настройки компьютера для повседневного использования рекомендуется использовать стандартную учетную запись. Безопаснее использовать стандартную учетную запись пользователя вместо учетной записи администратора.

сформулировать свои правила назначения имен, паролей с учетом иерархии Active Directory. Это особенно важно в случае большой и сложной сети.

инициалов и фамилии, либо имени пользователя. Например, имя учетной записи пользователя Иван Иванов может быть ИИванов или ИванИ. Когда пользователей много, этот способ становится неудобным, поскольку вероятно существование пользователей с одинаковыми именами и фамилиями, начинающимися на одинаковые буквы. Необходимо разработать соответствующие правила для назначения имен пользователей и строго их придерживаться.

путанице и затрудняет другим администраторам поиск пользователей по именам учетных записей. Необходимы правила, предусматривающие стандартные комбинации инициалов, имен и фамилий, а также действия на тот случай, когда правила дают идентичные имена. Эти правила должны позволить администратору с достаточной уверенностью «вычислить» по имени незнакомого пользователя имя его учетной записи. Также можно для временных пользователей указывать префикс В- (например, В-П_Петров).

выбрать политику управления паролями учетных записей, которая определяется степенью безопасности, требуемой в организации. Active Directory в Windows Server 2003 поддерживает политики безопасности, обеспечивающие сложность паролей и их безопасное использование в рамках предприятия. Рядовой сервер под управлением Windows Server 2003 поддерживает политику для своих локальных учетных записей пользователей, которая настраивается из оснастки Локальная политика безопасности.

Default Domain Policy. Изменять заданные по умолчанию правила назначения паролей можно редактируя при помощи оснастки Group Policy Object Editor (Редактор объектов групповой политики) параметры политики паролей. Наиболее часто настраивают политику в отношении объектов пользователей домена. Политики паролей домена

principal name, UPN) состоит из имени пользователя для входа и суффикса UPN, которым по умолчанию является DNS-имя домена, в котором создается объект. Это свойство обязательно, а UPN-имя в целом (в формате имя_входа@суффикс-UPN) должно быть уникальным в лесу Active Directory.

для входа в систему с клиентов под управлением более ранних версий Windows, например Windows 9x/Me/NT 4 или Windows NT 3.51. Это поле является обязательным и должно быть уникальным в домене. Заполняется автоматически символами (не более 20), взятыми из введенного ранее имени входа.

можно настроить время и дни недели, когда пользователю разрешено входить в сеть. Если разрешенное время входа истекло, в то время когда пользователь еще находится в системе, его сеанс не прерывается.

устанавливается, когда учетная запись пользователя блокируется из-за большого числа неудачных попыток входа в систему. Для разблокирования учетной записи необходимо снять этот флаг.

карты — это переносные устройства, защищенные от несанкционированного вмешательства, на которых хранится уникальная идентификационная информация пользователя. Они присоединяются или вставляются в системное устройство и являются дополнительным физическим идентификационным компонентом процесса проверки подлинности.

Активация этого параметра запрещает делегирование учетной записи другими учетными записями.

Этот параметр заставляет Active Directory использовать шифровальный алгоритм DES для объектов пользователей.

параметр заставляет Active Directory опустить предварительную проверку подлинности по протоколу Kerberos при проверке подлинности пользователя. Это снижает защиту протокола, поэтому не стоит включать данный параметр без причин.