Database Akun
Direktori Aktif menyediakan database akun yang digunakanPusat Distribusi Kunci (KDC)untuk mendapatkan informasi tentang prinsip keamanan yang di domain. Setiap prinsipal diwakili oleh objek akun dalam direktori. Kuncienkripsiyang digunakan dalam berkomunikasi dengan pengguna, komputer, atau layanan disimpan sebagai atribut objek akun dari prinsip keamanan tersebut.
Hanya pengendali domain yang merupakan server Direktori Aktif. Setiap pengendali domain menyimpan salinan direktori yang dapat ditulis, sehingga akun dapat dibuat, pengaturan ulang kata sandi, dan keanggotaan grup dimodifikasi di pengendali domain apa pun. Perubahan yang dilakukan pada satu replika direktori secara otomatis disebarluaskan ke semua replika lainnya. Windows mereplikasi penyimpanan informasi untuk Direktori Aktif menggunakan protokol replikasi multi-master eksklusif yang menggunakan koneksi panggilan prosedur jarak jauh yang aman antara mitra replikasi. Koneksi menggunakan protokol autentikasi Kerberos untuk menyediakandan enkripsi autentikasibersama.
Penyimpanan fisik data akun dikelola oleh Directory System Agent, proses terlindungi yang terintegrasi dengan Local Security Authority (LSA) pada pengendali domain. Klien layanan direktori tidak pernah diberi akses langsung ke penyimpanan data. Setiap klien yang menginginkan akses ke informasi direktori harus terhubung ke Agen Sistem Direktori lalu mencari, membaca, dan menulis objek direktori dan atributnya.
Permintaan untuk mengakses objek atau atribut dalam direktori tunduk pada validasi oleh mekanisme kontrol akses Windows. Seperti objek file dan folder dalam sistem file NTFS, objek di Direktori Aktif dilindungi oleh daftar kontrol akses (ACL) yang menentukan siapa yang dapat mengakses objek dan dengan cara apa. Namun, tidak seperti file dan folder, objek Direktori Aktif memiliki ACL untuk setiap atributnya. Dengan demikian atribut untuk informasi akun sensitif dapat dilindungi oleh izin yang lebih ketat daripada yang diberikan untuk atribut akun lainnya.
Informasi yang paling sensitif tentang akun tentu saja kata sandinya. Meskipun atribut kata sandi objek akun menyimpan kunci enkripsi yang berasal dari kata sandi, bukan kata sandi itu sendiri, kunci ini sama bergunanya dengan penyusup. Oleh karena itu, akses ke atribut kata sandi objek akun hanya diberikan kepada pemegang akun, tidak pernah kepada orang lain, bahkan administrator. Hanya proses dengan hak istimewa Basis Komputasi Tepercaya—proses yang berjalan dalam konteks keamanan LSA—yang diizinkan untuk membaca atau mengubah informasi kata sandi.
Untuk menghambat serangan offline oleh seseorang dengan akses ke pita cadangan pengendali domain, atribut kata sandi objek akun dilindungi lebih lanjut oleh enkripsi kedua menggunakan kunci sistem. Kunci enkripsi ini dapat disimpan pada media yang dapat dilepas sehingga dapat dijaga secara terpisah, atau dapat disimpan di pengendali domain tetapi dilindungi oleh mekanisme dispersal. Administrator diberi opsi untuk memilih di mana kunci sistem disimpan dan mana dari beberapa algoritma yang digunakan untuk mengenkripsi atribut kata sandi.