Active Directory / الأساسي / الدرس 3

الوحدات التنظيمية والكائنات وأسماء الدليل

صمّم الاحتواء للإدارة والسياسة وميّز مسار الكائن الحالي من الهوية المستقرة للتكامل.

وقت القراءة التقريبي: 4 دقيقةتاريخ مراجعة المحتوى 2026-10-26

في هذه الصفحة

أهداف الدرس

شرح احتواء OU والتفويض وربط السياسة.
قراءة الاسم المميز دون اعتباره هوية دائمة.
فصل الموضع التنظيمي من عضوية المجموعة الأمنية.

اختيار الوحدة التنظيمية لغرض إداري

الوحدة حاوية داخل نطاق للإدارة ونطاق GPO، وتخدم مسؤولية الكائن والسياسة لا نسخ كل قسم. لا تنشئ عالم مصادقة أو حد غابة مستقلًا. للكائن موضع احتواء حالي واحد وقد تمثل المجموعات أدوارًا متعددة. افصل العلاقتين؛ فقد يؤثر النقل في التفويض والإرث دون تغير وظيفة الشخص. راجع الأثر قبل التغيير المعتمد.

اجتياز التسلسل المعلن دون استعلام دليل

يمثل Python ثلاث حاويات ويتبع الوالد ويفحص المسار والدورة. لا يحلل DN أو كل أصناف الدليل وقواعد الإرث. للأسماء الحقيقية تهريب وصياغة لا يحلهما تقسيم نص بسيط. احصر غرض النموذج؛ فقد يكشف مخطط خطأ ملكية دون إثبات ACL أو GPO أو سلامة نقل كائن، ولا يفتح البرنامج دليلًا.

python نموذج مسار احتواء دون اتصال

parents = {"learners": "people", "people": "domain", "domain": None}
path = []
current = "learners"
while current is not None:
    if current in path:
        raise ValueError("cycle in model")
    path.append(current)
    current = parents[current]
print(" > ".join(path))

الناتج المتوقع

learners > people > domain

المسار learners > people > domain، وهي تسميات نموذج لا وحدات مكتشفة أو نقل قابل للتنفيذ.

قد يتغير الاسم ويبقى الكائن الكيان نفسه

يصف DN الموضع بالأسماء النسبية ومكونات النطاق. تختلف أغراض الاسم الشائع والدخول والعرض والمعرّف. قد يتغير DN بالنقل والتسمية؛ فاختر للتكامل هوية موثقة وسياسة هجرة لا ثبات المسار. يحتاج UPN لاحقة وعقد دخول وليس كل اسم DNS. لا تستنتج الإذن من العرض أو تعتبر إعادة التسمية شخصًا جديدًا مخولًا. ينبغي أن تسجل وثيقة التكامل السمة التي تعتمد عليها فعلًا، وكيف ستتعامل مع تغيير الاسم أو النقل، بدل الاكتفاء باسم العرض الودود.

توثيق الكائن ومالك إدارته

يصف السجل مستخدمًا اصطناعيًا ومالك إدارته؛ ومعرّفه محلي لا GUID أو SID حقيقية. لا ينشئ حسابًا أو يستورد. أدرج الأصناف والإجراءات والإرث والروابط والاستثناء. ليست حاوية Users وحدة تلقائيًا بنفس الربط. تمنح مجموعة الوصول دون احتواء المستخدم؛ فوثّق الموضع والعضوية إذا أثرا بالتطبيق.

json سجل موضع ومسؤولية غير قابل للتشغيل

{"synthetic_object_id":"user-17","dn":"CN=Mira,OU=Learners,OU=People,DC=ad,DC=example,DC=test","management_owner":"learner-support","resource_roles":["course-readers"]}

تميز المراجعة DN والهوية والمالك والدور دون تغيير كائن أو عضوية أو تفويض.

اختبار عواقب الموضع قبل تغييره

حدد ما يتغير بالإرث والتفويض وما يبقى بالعضوية، وراجع التطبيقات التي تعتمد المسار. اختبر ممثلين في عزلة مصرح بها؛ فلا يثبت نموذج الوالد الوصف الأمني أو السياسة الناتجة. احفظ قبل وبعد وحدود التراجع. بعد مشكلة نقل قارن الموضع والسياسة والإذن منفصلة بدل لوم كلمة المرور أو النطاق كله. ولا يثبت بقاء عضوية المجموعة أن كل أثر للنقل آمن؛ فقد تتغير سياسة أو صلاحية موروثة أو طريقة بحث تطبيق عن الكائن نفسه.

الأخطاء الشائعة وإصلاحها

توقع أن تغير المجموعة موضع OU.

لماذا يحدث؟: خُلط الدور بالاحتواء.
كيف تصلحه؟: مثّل العضوية والوالد منفصلين.
كيف تتجنب تكراره؟: وثّق العلاقتين للكائن.

يتعطل تكامل بعد تسمية تبدو بسيطة.

لماذا يحدث؟: استُخدم DN المتغير كهوية دائمة.
كيف تصلحه؟: راجع الهوية المدعومة والعقود المعتمدة على المسار.
كيف تتجنب تكراره؟: اختبر التسمية والنقل بالتصميم.

يغير نقل OU سياسة المستخدم.

لماذا يحدث؟: أُهملت آثار الإرث بالخطة.
كيف تصلحه؟: قارن النطاقين قبل الاعتماد.
كيف تتجنب تكراره؟: اطلب سجل أثر قبل وبعد النقل.

اختبر فهمك

1. انقل learners تحت training بالنموذج. ما البيانات اللازمة وما الخارج عن الفحص؟

اعرض الحل المشروح

أضف training إلى النموذج واجعل والدها domain، ثم غيّر والد learners إلى training. تصبح النتيجة learners > training > domain. يثبت البرنامج حواف الاحتواء التي أُدخلت فقط، ولا يحسب روابط GPO المتغيرة أو ACE الموروثة أو مسارات بحث التطبيقات أو إجراء النقل المدعوم. تحتاج هذه النتائج إلى مراجعة أثر مصرح بها وأدلة من دليل معزول مناسب.

2. يتغير اسم العرض إلى Mira Training. لماذا لا تستنتج الهوية أو إذن الملف من النص؟