1. Vai trò trung tâm của AD trong enterprise

Active Directory không chỉ là kho tài khoản - đây là trung tâm điều khiển authentication, authorization, configuration, security policy cho toàn bộ doanh nghiệp Windows. Một AD thiết kế sai từ đầu sẽ kéo theo: GPO không apply, group thừa thãi, security holes khó vá, migration đau đớn sau 5 năm.

Windows Server 2025 nâng cấp AD đáng kể nhất kể từ 2003 R2. Doanh nghiệp Việt deploy AD mới nên dùng 2025 ngay từ đầu để tận dụng security enhancement.

2. Forest và Domain - quyết định kiến trúc gốc

Single Forest, Single Domain

Phù hợp 95% doanh nghiệp Việt. Đơn giản, dễ quản lý, ít vấn đề trust. Khuyến nghị cho:

• Công ty single entity, không có subsidiary.
• Dưới 50.000 user (giới hạn kỹ thuật thực ra lên tới hàng triệu).
• Single business unit, single security policy.

Single Forest, Multi-Domain

Cần khi:

• Tập đoàn nhiều công ty con cần security policy độc lập.
• Quốc tế: HQ và branch tại nước ngoài với compliance khác nhau.
• Mua lại công ty (M&A) - tạm thời giữ domain cũ.

Multi-Forest

Hiếm khi cần. Chỉ phù hợp:

• Test lab phải tách biệt hoàn toàn khỏi production.
• Acquisition mà 2 công ty không tin tưởng nhau (M&A chưa xong).
• Government / military với clearance level khác nhau.

Khuyến nghị: bắt đầu đơn giản. Single Forest, Single Domain. Khi nào cần phức tạp hơn sẽ migrate sau - Microsoft hỗ trợ split/merge forest tốt. Nhưng over-engineer từ đầu sẽ tốn công.

3. Domain Controller topology

Số lượng DC tối thiểu

• Tối thiểu 2 DC/domain - HA cơ bản, nếu mất 1 DC vẫn login được.
• 2 DC tại mỗi site nếu có site địa lý - branch không phụ thuộc WAN.
• Hub-and-spoke: HQ có 2-4 DC, branch nhỏ 1-2 DC (cân nhắc RODC cho branch không bảo mật).

RODC (Read-Only Domain Controller)

Phù hợp branch nhỏ, không có server room secure:

• Không lưu password cached của domain admin / sensitive group.
• Nếu RODC bị steal, đổi password user trong cache là đủ - không cần restore toàn forest.
• Read-only: thay đổi không replicate ngược về HQ.

4. FSMO Roles - phân bổ đúng

FSMO (Flexible Single Master Operations) là 5 role không thể có nhiều bản:

Kiểm tra và transfer FSMO

# Xem ai đang giữ FSMO roles
netdom query fsmo

# Hoặc PowerShell
Get-ADDomain | Select-Object PDCEmulator, RIDMaster, InfrastructureMaster
Get-ADForest | Select-Object SchemaMaster, DomainNamingMaster

# Transfer role (graceful)
Move-ADDirectoryServerOperationMasterRole -Identity "DC2" -OperationMasterRole PDCEmulator

# Seize role (khi DC cũ chết, force)
Move-ADDirectoryServerOperationMasterRole -Identity "DC2" -OperationMasterRole PDCEmulator -Force

5. OU structure - 3 lớp tốt nhất

OU (Organizational Unit) là container để áp GPO và delegate quyền. Best practice 3 lớp:

company.local
├── OU=Corp
│   ├── OU=Departments
│   │   ├── OU=Sales
│   │   │   ├── OU=Users
│   │   │   ├── OU=Computers
│   │   │   └── OU=Groups
│   │   ├── OU=IT
│   │   ├── OU=Finance
│   │   └── OU=HR
│   ├── OU=Servers
│   │   ├── OU=Domain Controllers (default)
│   │   ├── OU=File Servers
│   │   ├── OU=Web Servers
│   │   └── OU=Database Servers
│   └── OU=Admin Accounts
│       ├── OU=Tier 0 (DA, EA)
│       ├── OU=Tier 1 (Server admin)
│       └── OU=Tier 2 (Workstation admin)
└── OU=Quarantine (disabled, leavers)

Nguyên tắc

• OU theo chức năng/phòng ban, KHÔNG theo cấu trúc văn phòng vật lý.
• Tách User và Computer trong cùng OU phòng ban - dễ áp GPO computer-only.
• Group trong OU riêng - dễ delegate quản lý.
• Tier admin model: Tier 0 (forest/domain), Tier 1 (server), Tier 2 (workstation). Không cross-tier login.
• OU "Quarantine" cho user disabled chờ delete sau N ngày.

6. Group Policy (GPO) - apply theo least privilege

Cấu trúc GPO chuẩn

• Default Domain Policy: chỉ chứa password policy và Kerberos policy. Không add gì khác.
• Default Domain Controllers Policy: chỉ áp lên DC, không touch.
• Baseline Security GPO: applied to all computers - security baseline Microsoft (Security Compliance Toolkit).
• Per-OU GPO: GPO riêng cho từng OU phòng ban.

Tips quan trọng

• Tránh GPO loopback trừ khi thật sự cần.
• WMI filter để target chi tiết (theo OS version, hardware).
• Security filtering: áp GPO chỉ cho group cụ thể, gỡ Authenticated Users default nếu cần restrict.
• GPO naming convention: {Scope}-{Function}-{Version}, ví dụ Corp-Password-Policy-v2.
• Test GPO trên 1 OU pilot trước khi roll cho toàn corp.

Audit GPO

# Xuất report tất cả GPO ra HTML
Import-Module GroupPolicy
Get-GPOReport -All -ReportType HTML -Path "C:\Reports\AllGPOs.html"

# RSOP (Resultant Set of Policy) cho 1 computer cụ thể
gpresult /h C:\Reports\rsop-PC01.html /USER COMPANY\jdoe

7. Password và Kerberos policy 2025

Default Domain Policy khuyến nghị

Fine-Grained Password Policy (FGPP)

Cho phép set password policy riêng cho group cụ thể (vd: Domain Admins phải 20 ký tự, user thường 14 ký tự):

# Tạo password policy cho Domain Admins
New-ADFineGrainedPasswordPolicy -Name "DA-Strict" `
  -Precedence 1 `
  -MinPasswordLength 20 `
  -ComplexityEnabled $true `
  -ReversibleEncryptionEnabled $false `
  -MaxPasswordAge "90.00:00:00" `
  -LockoutThreshold 5

# Apply cho Domain Admins group
Add-ADFineGrainedPasswordPolicySubject -Identity "DA-Strict" -Subjects "Domain Admins"

8. Hardening AD security - checklist

• Tắt SMBv1: Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol.
• Tắt NTLM v1: GPO Network security: LAN Manager authentication level = Send NTLMv2 response only. Refuse LM & NTLM.
• Bật LDAPS: cài cert cho DC, force LDAP signing và channel binding.
• AES-256 Kerberos: default trên 2025, đảm bảo user account property "Use Kerberos AES 256-bit encryption".
• Disable null sessions: GPO Network access: Restrict anonymous access to Named Pipes and Shares.
• LAPS: Local Administrator Password Solution rotate password local admin mỗi 30 ngày.
• Protected Users group: thêm DA, EA vào group này để chống pass-the-hash, pass-the-ticket.
• Tier admin model: tách Tier 0/1/2 account, không reuse.
• Confidential gMSA trên 2025 cho service account.
• Disable inactive accounts sau 90 ngày không login.
• Audit enable: Advanced Audit Policy, log đầy đủ logon, account change, GPO change.

9. Backup và disaster recovery AD

Backup hàng ngày

# System State backup (chứa AD database)
wbadmin start systemstatebackup -backuptarget:E:

# Hoặc PowerShell với Windows Server Backup
Start-WBBackup -Policy (New-WBPolicy | `
  Add-WBSystemState | `
  Set-WBVssBackupOptions -VssCopyBackup | `
  Add-WBBackupTarget -Target (New-WBBackupTarget -VolumePath "E:"))

Recovery scenario

• Single object deletion: AD Recycle Bin (bật default Windows 2025), restore trong 180 ngày.
• Single DC chết: clean install Windows Server 2025, dcpromo lại, replicate từ DC khác.
• Toàn domain corrupted: authoritative restore từ System State backup, transfer FSMO sang DC sống.
• Forest disaster: forest recovery procedure (Microsoft docs có guide chi tiết - tập huấn trước, đừng đợi disaster mới đọc).

10. Monitoring AD - KPI quan trọng

• DC replication health: repadmin /showrepl và repadmin /replsummary.
• Logon failure rate: event 4625 trên DC.
• Account lockout: event 4740.
• Privileged group change: event 4732/4756 cho DA, EA.
• Time sync drift: nếu DC drift >5 phút, Kerberos broken.
• DNS health: nslookup _ldap._tcp.dc._msdcs..

# Check replication health đầy đủ
repadmin /showrepl /csv | ConvertFrom-Csv | Where-Object {$_.'Number of Failures' -ne 0}

# DCDiag toàn bộ test
dcdiag /v /c /e /q

# Test time sync
w32tm /query /status

11. Migration từ 2019/2022 → 2025

Khuyến nghị quy trình:

1. Backup System State toàn bộ DC hiện tại.
2. Chạy adprep /forestprep và adprep /domainprep với Windows Server 2025 install media.
3. Cài DC mới Windows Server 2025, promote thành additional DC.
4. Để replicate đầy đủ vài ngày, monitor health.
5. Transfer FSMO sang DC 2025.
6. Demote DC cũ.
7. Nâng Domain Functional Level và Forest Functional Level lên Windows2025Forest.

12. Pricing và mua tại TND

Windows Server 2025 Standard 16-core ~22 triệu, Datacenter ~110 triệu. Mỗi DC tối thiểu 16-core base, nếu hardware 24-core thêm 4 pack 2-core. Đặc biệt: DC thường không nặng workload, Standard đủ - không cần Datacenter cho DC role.

Đừng quên CAL: mỗi user/device login domain cần CAL. Tham khảo User vs Device CAL để chọn đúng.

13. Tổng kết

AD 2025 là bước nhảy security đáng giá. Doanh nghiệp Việt deploy mới nên chọn 2025, dùng FGPP cho DA, bật Recycle Bin, tier admin model, và LAPS. Topology 2+ DC mỗi site là tối thiểu. Backup System State hàng ngày, test recovery định kỳ.

Đọc thêm: Standard vs Datacenter, Nâng cấp 2022→2025, Essentials AD nhỏ. Tham khảo Windows Server tại shop TND.