如果没有适当的 Active Directory 管理工具，系统管理员会发现很难专业地管理复杂的 Microsoft AD 环境。
一、什么是活动目录 (AD)？
全球大约72%的企业使用 Microsoft Windows 服务器操作系统 (OS)，每台服务器都使用 Active Directory 将用户相关数据和网络资源存储在域中。
Active Directory (AD) 是任何具有 Windows 域的网络的重要组成部分，它是微软为服务器操作系统设计和开发的，运行 AD 的服务器称为 AD DS（Active Directory 域服务）。
Active Directory 以对象的形式存储数据，包括用户、组、应用程序和设备，这些对象按其名称和属性进行分类。
AD 的主要作用是确保经过身份验证的用户和计算机可以加入域或连接到网络资源，它使用组策略来确保将适当的安全策略应用于所有网络资源，包括计算机、用户和其他对象。
托管 AD DS 的服务器称为域控制器 (DC)。
域控制器还可用于对其他 MS 产品进行身份验证，例如 Exchange Server、SharePoint Server、SQL Server、文件服务器等。
二、Active Directory (AD) 框架
每当在服务器上安装 AD 时，都会在 Active Directory 域服务器上创建一个独特的框架，该框架以层次结构组织对象，包括：
域：由用户、组和设备等对象组成，
树：这是一个或多个组合在一起的域
Forest：这是 AD 中最顶层的结构，包含一组树。
组织单位：组织用户、组和计算机
它还为提供其他相关服务创建了一个框架，包括：
Active Directory 证书服务 (AD CS)：出于安全原因，用于创建和管理加密证书
Active Directory 联合身份验证服务 (ADFS)：为访问多个应用程序提供单点登录 (SSO) 多点登录解决方案
轻量级目录服务 (AD LDS)：这是 AD 的一个子集，对于不需要完整 AD 部署的独立服务器很有用。
权限管理服务 (AD RMS)：支持加密、认证和身份验证等安全管理，帮助组织保护其数据。
三、为什么监视 Active Directory 很重要？
监控是识别 Active Directory 数据库中的瓶颈和错误的第一步，因此管理员可以在发生重大中断、崩溃或业务影响之前修复它们。
当一家公司想要维护 Microsoft 域控制器、域或物理站点时，不管市值如何、正常、稳定且没有延迟，监控 AD 是一项日常活动。
因为 Active Directory 是 Windows 服务器网络的核心，所以它必须始终受到保护并且不受篡改。手动监控和维护，特别是如果您的网络地理位置分散，则很困难并且容易出现人为错误。
管理 Active Directory 的一些手动任务包括域控制器复制、健康检查、DNS设置、域同步、事件日志监控、SYSVOL 复制、安全更新、归档、监控和跟踪瓶颈等等。
如果您想克服手动活动并减少活动目录和域控制器中的错误，强烈建议使用工具和软件来维护和管理活动目录和域控制器。
现在我们将研究可用于监控 Active Directory 运行状况的最佳软件或工具。
1、Paessler PRTG
官网链接
https://www.paessler.com/active-directory-monitoring
Paessler PRTG Network Monitor 提供实时连续的 Active Directory 监控。软件立即检测到复制错误，用户退出并发送提示警报。主要构建模块是传感器；传感器监控网络或 Active Directory 上的指标。它提供了一个集中的仪表板来查看整个活动目录架构。
AD 的主要功能之一是跨林的域控制器的复制和同步，该软件使用八个传感器来监控和警告此过程中的偏差。
AD 中的另一个挑战是维护用户数据，例如已注销的用户、禁用的用户、注册域管理员等。所有这些基本指标都通过该软件进行监控，并配置为通知信号。
特征
防止域控制器之间的目录复制失败
使用端口覆盖传感器监控 Active Directory 端口
可以过滤和监控重要的 AD 审计事件
监视 Active Directory 中的组成员身份更改
如果您正在寻找完整的广告监控和通知软件，Paessler PRTG将满足您的需求，该软件受到全球 50 万用户的信任，可免费使用 30 天，服务器许可证起价为 1,750 美元。该软件也可以按月订阅。
2、卓豪 ADAudit
官网链接
https://www.manageengine.cn/products/active-directory-audit/?utm_source=aly
管理引擎 ADAudit提供对作为 AD 一部分的所有内容的完整可见性，包括用户、计算机、组、OU、GPO、架构和站点。
它监控 AD 及其属性、组策略、权限滥用和其他指示安全威胁的指标中发生的所有更改。它的独特之处之一是它满足各种合规性要求，例如 HIPAA、PCI DSS、FISMA 等。
借助此软件，组织可以通过监控何时从设备中添加或删除新用户来跟踪多个云应用程序（包括 Office 365、BYOD）来保护 IT 环境。
其强大的引擎会关闭受感染的设备并立即通过电子邮件或短信通知您。可以根据公司的需要定制报告，也可以使用预定义的报告。
特征
实时跟踪更改，例如用户管理操作、安全组、组策略设置和 FSMO 角色更改
观察 Azure 云环境
指示对组策略设置进行不合理的更改以防止攻击
主动监控用户行为分析 (UBA) 以识别隐藏的威胁
思科、赛门铁克、IBM、迪士尼、东芝等世界知名公司和许多其他公司都信任该软件，寻求端到端跟踪和监控 AD、Azure、组策略、文件服务器、Windows 服务器、域名服务、工作站以及最重要的是合规性的组织可以选择此软件，价格可在报价请求中获得。
3、SolarWinds
官网链接
https://www.solarwinds.com/server-application-monitor/use-cases/active-directory-monitor
该SolarWinds的应用程序监控和服务器软件是用来监控，优化和故障排除AD和AD Azure的平台。
它提供了一个集中控制台，用于查看域控制器 (DC) 之间的目录复制状态。可以细化每个 DC 等详细信息，以显示有助于分析 Active Directory 运行状况的DNS 配置、架构和设置的详细信息。
该平台包括用于故障排除的内置错误检测，并且该软件会提前主动发送错误检测通知，以避免将来出现重大中断。
该软件还通过查找站点、子网和 IP 范围的链接名称来帮助远程定位问题。AppInsight 工具有助于识别物理和虚拟 AD 环境中的问题。它还监视 Windows 事件日志性能计数器。
特征
检测过期密码并监控与用户帐户相关的其他指标
使用 Active Directory 复制监视器确定哪个域控制器存在复制问题
能够计划和生成自定义绩效报告
监控 Active Directory 中的登录失败事件、创建的用户、重置密码的尝试、删除帐户等
它是一款用于 AD 监控、跟踪和故障排除的综合软件，起价为 1,622 美元，许可模型在订阅和永久许可选项中可用。您可以在购买前免费试用 30 天。
4、Quest AD
官网链接
https://www.quest.com/products/active-administrator/
Quest AD提供完整的 AD 管理解决方案，有助于填补空白并满足审计和安全要求。使用此 AD 软件，您可以在一个中央控制台中轻松查看和跟踪 AD 和相关事件，无需任何实验室设置即可评估 AD 中的 GPO。
只需单击几下即可完成授权等基本任务，备份和恢复 AD 架构有助于解决安全威胁或停机问题。
可以从单个控制台执行基本的故障排除活动，例如监控所有 DC、复制、重新启动、连接远程 DC 等等。
特征
根据身份验证事件、用户和活动快速监控和报告更改。
安排自动备份和恢复 AD 详细信息
在将组策略目标 (GPO) 部署到实时环境中之前对其进行脱机测试
域名服务监控和管理
Quest AD 软件提供 AD 管理、授权管理和委派，以便于域控制器的操作，这些功能对于保持业务连续性和最大程度地降低安全风险至关重要。该软件可以免费试用 30 天，永久许可证的起价为 22 美元。
5、Semperis DSP
官网链接
https://www.semperis.com/ds-protector/
该Semperis目录服务保护提供了屡获殊荣的软件，它获得了许多奖项，包括德勤最快企业奖、思科身份管理奖和最佳初创公司邓奖。
Semperis DSP 是用于 Active Directory 和 Azure Active Directory 的知名威胁检测和响应平台。
大多数 AD 工具依赖域控制器日志和安全代理进行监控和跟踪，相反，DSP 监控 AD 复制流和其他，并将可疑更改转发到您的安全和事件管理信息 (SIEM)系统。
Semperis DSP 可防止对 Active Directory 和 Azure Active Directory 的未知访问，并检测绕过安全协议的更改，并将其突出显示为恶意更改。
特征
捕获绕过基于代理或基于日志的检测的与 AD 和 Azure AD 相关的更改
自动修复恶意更改并回滚风险太大的可疑更改。
更快地从 DSP 数据库中恢复对 AD 对象和属性的不需要的更改
可以基于 LDAP 和 DSP 数据库生成自定义报告，以获得准确的运营洞察力。
2000 多家全球企业和政府组织已使用 Semperis DSP 来保护其 AD 基础设施免受网络攻击，如果您正在寻找对 Active Directory 和对象和属性级别的相关更改的持续监控，并希望防止主服务器和网络受到网络威胁，那么 DSP 足以满足您的需求。
6、Whatsupgold
官网链接
https://www.whatsupgold.com/free-network-monitoring-tools/free-active-directory-monitor
Whatsupgold提供免费平台，该软件易于安装，可以在用户受到影响之前立即开始监控 AD 服务器性能并检测错误。
在屡获殊荣的软件Whatsupgold屡获还提供其他免费工具，其中包括Exchange Server的监控，网络带宽管理，SQL Server和IIS服务器监控，虚拟机管理器，等等。
寻找基本 AD 监控的小型组织可以选择这个免费工具。
7、eG Enterprise
官网链接
https://www.eginnovations.com/active-directory-monitoring
eG Enterprise是一个综合工具，可跟踪性能、复制问题、服务中断、Kerberos 问题、DNS 错误等。
其主动警报系统有助于在性能问题影响系统和应用程序之前对其进行故障排除。
该软件可在任何业务影响之前深入了解 DC 复制状态和时间同步问题。
它提供有关 AD 可用性和响应时间、LDAP 连接时间、FSMO 网络延迟、ATQ 延迟和延迟等的重要更新。
特征
检测用户身份验证问题，如登录缓慢、锁定等。
使用内置工具远程检测和修复关键 AD 问题
监控和跟踪 DNS 并主动检测 DNS 问题
在重复登录错误的情况下收到有关安全漏洞的警告
AD Monitor 是 eG Enterprise 的 IT 基础设施监控和数据中心管理软件的一部分。
非常适合本地、云甚至混合云设置，该软件可以在复杂的 IT 实施中实施。这对 IT 团队来说是一个优势，可以确保 AD 顺利运行而不会中断业务，并减少流向支持部门的工单。
该软件可免费使用 30 天，定价结构基于实施方法，起价为 100 美元/月。
如何选择最好的 Active Directory 工具或软件？
随着当今网络或域控制器的复杂配置，IT 管理员或系统管理员在维护服务器、网络和 Active Directory 方面面临着真正的挑战。
因此，寻找可以让管理员更轻松地完成工作的工具或软件，例如自动执行重复性任务、轻松跟踪 AD 活动以及帮助进行故障排除。
该软件应显示中央仪表板、图表、报告和可视化，包括相关统计数据。
部署第三方AD软件的主要目的是保证性能优化、异常行为检测、未授权访问和即时预警机制。
由于每个组织都有不同的需求，因此强烈建议在购买前试用完整的评估软件。
结论
AD 软件提供对 AD 数据库、其对象和属性、组策略和相关服务的所有更改的清晰可见性。
AD 工具有助于识别和响应威胁、管理不善和其他有助于识别 AD 环境中的安全漏洞的指标。
对于复杂的跨站点基础架构，建议使用经过验证的专业工具，例如 Paessler、Solarwinds 和 卓豪。
*以上内容来源于网络，如有侵权请联系删除。
