active directory

Active Directory: 25 jaar centrale identiteit in Windows-netwerken

Active Directory is een directoryservice van Microsoft die gebruikers, computers, groepen en beveiligingsbeleid centraal beheert in Windows-domeinnetwerken. Dit artikel behandelt de ontwikkeling van het systeem, van de vroege code bij 3Com tot de cloudvariant Microsoft Entra ID, en is bedoeld voor beheerders die de achtergrond van hun dagelijkse tooling willen begrijpen.

VEREISTEN

• Basiskennis van Windows Server en domeinarchitectuur
• Geen actieve Active Directory-omgeving nodig; dit artikel is historisch en conceptueel
• Kennis van LDAP en DNS is nuttig maar niet vereist

De vroegste traceerbare code die tot Active Directory leidde, ontstond rond 1988 of 1989 bij 3Com. Het bedrijf werkte aan netwerksoftware, waaronder een directoryservice die netwerkbronnen en gebruikers moest beheren in een geïntegreerde omgeving. In 1990 stopte 3Com met zijn netwerksoftware-initiatieven en verhuisde de directorycode naar Microsoft als onderdeel van een overname of samenwerking.

Microsoft zette de ontwikkeling intern voort onder de naam NT Directory Services, afgekort NTDS. Deze naam leeft nog steeds voort in het huidige systeem: de Active Directory-database heet NTDS.DIT en het onderhoudshulpprogramma heet NTDSUTIL.EXE. De "NT" verwijst naar Windows NT, de besturingssysteemarchitectuur die Microsoft in de jaren negentig ontwikkelde voor zakelijke omgevingen.

EERSTE RELEASE: WINDOWS 2000 SERVER

In 1999 kondigde Microsoft Active Directory aan als onderdeel van de aankomende Windows 2000 Server. Dat jaar verscheen een preview-versie waarmee organisaties het systeem konden testen. De officiële release volgde op 17 februari 2000, toen Windows 2000 Server met Active Directory beschikbaar kwam voor productieomgevingen. In 2025 bevestigde Microsoft dat het systeem 25 jaar oud is, wat overeenkomt met de lancering in het voorjaar van 2000.

Windows 2000 Server was de eerste versie van Windows Server met Active Directory. Daarvoor moesten netwerken gebruikmaken van Windows NT 4.0 en het NT Domain-model, dat beperkter was in schaalbaarheid en beheer. Active Directory introduceerde een hiërarchische structuur op basis van LDAP (Lightweight Directory Access Protocol). Organisaties konden domeinen inrichten in een forest-model met trusts tussen domeinen. Het systeem ondersteunde Group Policy, waarmee beheerders instellingen centraal konden afdwingen op duizenden computers en gebruikers.

UITBREIDINGEN: 2003 TOT 2008 R2

Windows Server 2003 bracht forest trusts. Deze functie maakte vertrouwensrelaties tussen verschillende Active Directory-forests mogelijk, wat de integratie van netwerken van gefuseerde bedrijven of partners vereenvoudigde. Daarnaast kwamen er verbeterde beheerfuncties voor groepen en gebruikers.

Windows Server 2008 introduceerde de Read-Only Domain Controller (RODC). Een RODC bevat alleen een alleen-lezen kopie van de Active Directory-database. Dit maakt het veiliger om domeincontrollers te plaatsen in omgevingen met lagere fysieke beveiliging, zoals filialen of externe kantoren. Beheerders kunnen bepalen welke wachtwoordhashes naar de RODC worden gerepliceerd, waardoor gevoelige accounts beter beschermd blijven.

Windows Server 2008 R2 voegde de Active Directory Recycle Bin toe. Daarvoor was het herstellen van verwijderde objecten zoals gebruikers of groepen een complex proces dat vaak een backup-restore vereiste. Met de Recycle Bin kunnen beheerders verwijderde objecten eenvoudig herstellen, inclusief alle attributen en groepslidmaatschappen.

DE CLOUD: AZURE ACTIVE DIRECTORY

In oktober 2013 lanceerde Microsoft Azure Active Directory, nu bekend als Microsoft Entra ID. Deze cloudvariant beheert gebruikers en toegang tot cloudapplicaties zoals Microsoft 365, Azure en SaaS-toepassingen. Azure AD is technisch een ander product dan het traditionele Active Directory, maar fungeert als logisch vervolg in Microsofts identiteitsplatform. Veel organisaties gebruiken een hybride aanpak: on-premises Active Directory synchroniseert met Azure AD via Azure AD Connect.

ARCHITECTUUR EN PROTOCOL

Active Directory is gebouwd op LDAP als core protocol. De directory volgt een X.500-achtige hiërarchie met domeinen, trees en forests. Een forest is de bovenste container; daarbinnen staan domeinen die via trusts met elkaar verbonden zijn. Elke domeincontroller draait de volledige directoryservice en repliceert wijzigingen naar andere domeincontrollers via een multi-master replicatiemodel. DNS is essentieel: domeincontrollers registreren SRV-records die clients gebruiken om de juiste domeincontroller te vinden.

Group Policy werkt via GPO's (Group Policy Objects) die gekoppeld zijn aan sites, domeinen of organisatie-eenheden. Beheerders kunnen daarmee wachtwoordbeleid, software-installatie, scriptuitvoering en honderden andere instellingen centraal afdwingen. Dit maakt Active Directory tot een van de meest gebruikte systemen voor grootschalig Windows-configuratiebeheer.

BEVEILIGING EN IDENTITEIT

Kerberos is het standaard authenticatieprotocol in Active Directory. Het systeem gebruikt ook NTLM voor backward compatibility, maar Microsoft raadt dat af vanwege de zwakheden. Sinds Windows Server 2012 biedt Active Directory privileged access management via een administratieve forest-architectuur. Dit isoleert accounts met hoge rechten van de rest van het netwerk.

In 2025 blijft Active Directory een kritieke component in de meeste Windows-gebaseerde netwerken. Het systeem heeft zich aangepast van fysieke servers naar virtuele omgevingen en nu naar de cloud. De integratie met Intune en Conditional Access zorgt ervoor dat Active Directory of Microsoft Entra ID centraal blijft staan in modern identiteits- en toegangsbeheer.

VERIFICATIE

Controleer of een domeincontroller correct functioneert:

Get-ADDomainController -Filter * | Select-Object Name, Domain, OperationMasterRole

Dit commando vereist de Active Directory-module voor Windows PowerShell, beschikbaar op systemen met RSAT (Remote Server Administration Tools) geïnstalleerd.

VEELGESTELDE PROBLEMEN

1. NTDS.DIT groeit onbeperkt: De database bevat verwijderde objecten tot de tombstones verlopen (standaard 180 dagen). Voer offline defragmentatie uit met `ntdsutil` om de database te verkleinen. Dit vereist een offline domeincontroller.

2. Replicatieproblemen: Controleer met `repadmin /replsummary` of alle domeincontrollers correct repliceren. DNS-fouten zijn de meest voorkomende oorzaak; controleer of alle domeincontrollers de juiste SRV-records registreren.

3. RODC-wachtwoordcaching: Een RODC slaat standaard geen wachtwoordhashes op. Als gebruikers op een filiaal zich niet kunnen aanmelden, voeg ze dan toe aan de `Allowed RODC Password Replication Group` om caching voor die accounts in te schakelen.

De oorspronkelijke NTDS-architectuur uit de jaren negentig vormt nog steeds de basis van het systeem, en de vraag is hoe lang Microsoft de on-premises variant blijft ondersteunen naast de groeiende focus op Entra ID.