Active Directory tartományi szolgáltatások: mi ez és hogyan működik

Ma minden kulcsfontosságú kérdésre válaszolok az Active Directory tartományi szolgáltatásokkal kapcsolatban.

Mi az Active Directory tartományi szolgáltatások? Különbözik az Active Directorytól?

Az Active Directory Domain Services (AD DS) és az Active Directory (AD) ugyanaz: egy olyan adatbázis (vagy címtár), amely olyan kritikus információkat tartalmaz, mint a különféle felhasználók és számítógépek, valamint a kapcsolódó szolgáltatások, amelyek irányítják a folyamatban lévő tevékenységek nagy részét. informatikai környezetében.

Ahogy a Redmond Magazine egyik cikke mondja: „Az Active Directory-környezet azt jelenti, hogy legalább egy szerverrel kell rendelkeznie az Active Directory tartományi szolgáltatásokkal. ”

Mit csinál valójában az Active Directory tartományi szolgáltatások?

Az AD DS két alapvető funkcióval rendelkezik:

• Hitelesítés - Győződjön meg arról, hogy minden felhasználó az, akinek állítja magát, általában az általuk megadott felhasználói azonosító és jelszó ellenőrzésével
• Engedélyezés - Minden felhasználónak csak azokhoz az adatokhoz férhet hozzá, amelyeket használhat

Vegye figyelembe, hogy a „felhasználó” szót itt általános értelemben használom; Az AD DS nemcsak egyének, hanem eszközök, alkalmazások, folyamatok stb. számára is biztosít hitelesítést és engedélyezést.

Hogyan telepíthetem az Active Directory tartományi szolgáltatásokat?

Önmagában nem telepíti az AD DS-t. Inkább a Microsoft Windows Server operációs rendszerben található kiszolgálói szerepkörök egyike. Amikor telepíti a Windows Servert egy gépre, meg kell adnia, hogy a kiszolgáló milyen szerepet fog játszani: fájlszerver, webszerver, DNS-kiszolgáló és így tovább (lásd az 1. ábrát).

Ábra 1. Amikor telepíti a Windows Servert egy gépre, meg kell adnia, hogy a kiszolgáló milyen szerepeket töltsön be.

Az AD DS szerepkör hozzárendelésével egy kiszolgálóhoz tartományvezérlővé (DC) válik. Vegye figyelembe, hogy a Windows normál verzióját futtató asztali számítógépek, laptopok és egyéb rendszerek nem futtatnak AD DS-t, és nem lehetnek DC-k.

Amint az az ábrán is látható, számos más szerepkör is hozzárendelhető egy szerverhez, többek között:

• Active Directory Certificate Services (AD CS) - Lehetővé teszi a DC számára digitális tanúsítványok, aláírások és nyilvános kulcsú titkosítások kiszolgálását
• Active Directory összevonási szolgáltatások (AD FS) - Egyszeri bejelentkezést (SSO) biztosít, így a felhasználóknak nem kell folyamatosan ugyanazokat a hitelesítési adatokat megadniuk
• Active Directory Lightweight Directory Services - Lehetővé teszi az LDAP használatát más címtárszolgáltatás-kiszolgálókkal, például a hálózaton lévő Linux-számítógépekkel való kommunikációhoz.
• Active Directory Rights Management Services (RMS) - segít megvédeni az információkat az állandó használati szabályzatok révén, amelyek a tartalommal együtt maradnak, függetlenül attól, hogy hova kerül

Lehet több kiszolgálóm is, amelyen az Active Directory tartományi szolgáltatások futnak?

Igen! Valójában ez a norma: a szervezetek szinte mindig több tartományvezérlővel rendelkeznek a redundancia és a méretezhetőség érdekében. Ha az egyik DC meghibásodik, egy másik léphet be, hogy ugyanazokat a szolgáltatásokat nyújtsa.

Az Active Directory replikációs szolgáltatás gondoskodik arról, hogy a hálózat összes tartományvezérlője szinkronban maradjon. Különösen naprakészen tartja őket a címtárban lévő felhasználók és számítógépek módosításairól (például a felhasználó jelszavának módosítása), valamint a séma minden olyan változásáról, amely meghatározza az összes objektumosztályt (például felhasználók, csoportok, számítógépek, tartományok és szervezeti egységek), amelyek a címtárban tárolhatók.

Melyek a legjobb módszerek a tartományvezérlők védelmére?

Örülök, hogy megkérdezted! Fontos megjegyezni, hogy minden AD DS-t futtató szerver a kibertámadások legfőbb célpontja. Az egyik tartományvezérlőt feltörő hacker jó helyzetben van ahhoz, hogy bármilyen aljas céljait elérje, a legértékesebb adatok ellopásától a kritikus üzleti folyamatok szabotálásáig. És ahogy a Microsoft rámutat: „A támadó felkészültségétől, szerszámaitól és készségeitől függően az AD DS-adatbázis módosítása vagy akár helyrehozhatatlan károsodása percek vagy órák alatt elvégezhető, nem napok vagy hetek alatt. ”

Ezért elengedhetetlen a tartományvezérlők, például a Fort Knox védelme. Különösen:

• Korlátozza, hogy ki rendelkezik helyi rendszergazdai jogokkal az egyes DC-ken.
• Csak olyan alkalmazásokat és szolgáltatásokat telepítsen, amelyek elengedhetetlenek a működéshez és a biztonsághoz. A DC-nek kizárólag DC-ként kell működnie.
• Soha ne engedje meg, hogy egy tartományvezérlő hozzáférjen az internethez. Tiltsa meg a webböngészők használatát a DC-ken, nem csak a szabályzat, hanem a műszaki ellenőrzések miatt is. Ha egy DC-nek replikálnia kell több helyen, hozzon létre biztonságos kapcsolatokat e helyek között.
• Korlátozza az interaktívan bejelentkezni képes fiókok számát, és szigorúan tartsa be a jelszavak bonyolultságára és a fiókok lejáratára vonatkozó bevált módszereket. Ne feledje, hogy a különböző csoportok, például a szerverüzemeltetők, feljogosítják a tagokat az interaktív bejelentkezésre.
• Csökkentse minimálisra az összes tartományvezérlő hálózati hozzáférését.
• Szorosan szabályozza a fizikai hozzáférést az összes DC-hez. Ha virtuális DC-ket használ, ismerje meg, kik a virtualizációs adminisztrátorai, és kövesse nyomon a tevékenységeiket, mivel ők növelhetik jogosultságaikat.
• Tartsa naprakészen a Windows Servert a javításokon, és használja a lehető legfrissebb verziót.
• Vizsgálja meg a tevékenységeket az összes DC-n, és győződjön meg róla, hogy figyelmeztetést kap minden gyanús viselkedésre.
• Készítsen biztonsági másolatot a DC-kről. (Ha egy szórakoztató, de figyelmeztető történetet szeretne találni arról, hogy az egyik vállalatnak nem sikerült megvalósítania ezt a bevált gyakorlatot, és fizikailag kellett átszállítania utolsó élő DC-jét Ghánából az Egyesült Királyságba, tekintse meg ezt a műszaki ismertetőt.)

Következtetés

Ennyi az AD DS-be való technikai merülésem. A gyakorlatiasabb látásmód érdekében nagyon ajánlom ötrészes blogsorozatunkat, amely a következő témák mindegyikét felöleli:

• Mi az Active Directory?
• Active Directory kezelés
• Active Directory biztonság
• Az Active Directory áttelepítése
• Active Directory jelentéskészítés