A Domain Controller üzembe helyezése és beállítása – legjobb gyakorlatok

Az informatikai rendszergazdák a technológia Windows 2000 Server rendszerben történő bevezetése óta dolgoznak az Active Directoryval és annak közelében. A Windows 2000 Servert 2000. február 17-én adták ki, de sok rendszergazda 1999 végén kezdett dolgozni az Active Directoryval, amikor azt 1999. december 15-én kiadták a gyártási (RTM) kiadásnak.

A DC-k telepítésekor be kell tartani néhány jó gyakorlatot. Ezen gyakorlatok közül sok dokumentált. De nem sok szervezet alkalmazza ezeket a gyakorlatokat.

A Domain Controller üzembe helyezése és beállítása

Átugorjuk azokat a jól ismert jó gyakorlatokat, mint az Active Directory adatbázis karbantartása egy lemezorsón, a naplófájlok külön lemezorsókon, és az operációs rendszer a saját lemezorsóin.

A tartományvezérlőkre vonatkozó, kevésbé bevált gyakorlatok közül néhány:

• Futtassa az operációs rendszer Server Core telepítését.

Sok rendszergazda kerüli a változtatásokat, különösen az olyan rendszerek esetében, mint például az AD DS, amelyek hihetetlenül stabilak. Így amikor egy új adminisztrátor azt javasolja, hogy váltson át a Server Core telepítésére, gyakran jeges pillantásokkal találkozik. A valóság azonban az, hogy a legtöbb rendszergazda távolról adminisztrálja az AD DS-t az ADUC vagy a PowerShell elindításával az ügyfél- vagy adminisztratív számítógépén. Az összes alapvető felügyeleti eszköz, beleértve az Active Directory felügyeleti központot (ADAC) és a Windows PowerShellt, szinte azonosan működik, ha helyileg egyenáramú egységen vagy távolról kliensszámítógépről vagy adminisztratív számítógépről használják. Így a Server Core telepítésre való áttérés nem rontja az adminisztrációs élményt. Ezenkívül biztonsági fejlesztéseket és néhány kisebb teljesítménynövekedést kap.

• Ne futtasson más szoftvert vagy szolgáltatásokat DC-n.

A régi időkben, például 10 évvel ezelőtt, a legtöbb szervezet fizikai szervereket használt, mert a virtualizáció még gyerekcipőben járt. Így amikor eljött az ideje egy új fájlszerver, DHCP-szerver vagy nyomtatószerver létrehozásának, a rendszergazdák gyakran csak megérintettek egy meglévő szervert. Gyakran használtak DC-t is. Gyorsan előre 2015-re, amikor a virtualizáció a de facto szabvány, és az automatizált kiépítés percek alatt segít egy új virtuális gép létrehozásában, és a dolgok régi módja közel sem olyan vonzó. Most, amikor egy fájlkiszolgáló, DHCP-kiszolgáló, nyomtatószerver vagy más alkalmazáskiszolgáló számára van szüksége, létrehozhat egy új virtuális gépet. Vagy ami még jobb, kiépíthet egy új virtuális gépet segédkiszolgálóként. A segédkiszolgáló olyan kiszolgáló, amely minden olyan alkalmazást és szolgáltatást tartalmaz, amely túl kicsi ahhoz, hogy dedikált kiszolgálót biztosítson. Ez lehetővé teszi a DC-k számára, hogy ragaszkodjanak egy dedikált szolgáltatáshoz, amely nagyobb stabilitást biztosít.

• Módosítsa az indítási sorrendet, és állítson be BIOS-jelszót.

Bár az összes írható-olvasható DC-nek biztonságos adatközpontban kell lennie, rengeteg informatikus és nem informatikus fér hozzá az adatközponthoz. Például a hűtési rendszeren dolgozó szerződött villanyszerelők adatközponti hozzáféréssel rendelkeznek. Ezen kívül valószínűleg hálózati srácok, kábelezési srácok és IT-menedzsment adatközpont-hozzáféréssel. Bárki, akinek fizikai hozzáférése van egy DC-hez, néhány perc alatt hozzáférhet egy fizikai DC-hez az adatközpont konzolján. Rendelkezésre állnak speciális ingyenes rendszerindító képek, amelyek segítségével rendszerindításra és jelszavak visszaállítására, rosszindulatú programok telepítésére vagy a lemezadatokhoz való hozzáférésre használható, feltéve, hogy a lemez nincs titkosítva. Ennek elkerülése érdekében hajtsa végre a következő konfigurációkat:

• Győződjön meg arról, hogy az összes cserélhető adathordozó nem része a BIOS rendszerindítási sorrendjének. Ehelyett csak az a merevlemez legyen a rendszerindítási sorrend része, amelyre az operációs rendszer telepítve van. Ez igaz a virtualizációs gazdagép kiszolgálóira is, ha vannak virtuális DC-jei.

• Állítson be erős BIOS-jelszót. Ha nem állít be BIOS-jelszót, valaki frissítheti a rendszerindítási sorrendet, elindíthatja a Windows Server telepítési adathordozóját vagy számos ingyenes eszközkészletet, és végrehajthatja a javítást a parancssor eléréséhez. A parancssorba jutva némi pusztítást végezhetnek, és gyorsan visszaállíthatják a tartományfiókok jelszavait.

• Tartsa a DC-ket egy zárt szekrényben. Míg a BIOS-jelszó egy biztonsági réteg, ha a támadó félig képes, akkor valószínűleg tudni fogja, hogyan állítsa vissza a BIOS-t úgy, hogy a konfiguráció visszaálljon és a jelszó eltávolításra kerüljön. Ez gyakran megköveteli az alaplaphoz való hozzáférést. Csökkentheti az ilyen támadások kockázatát, ha a DC-ket zárt szekrényben tartja. Egyes szerverek lehetővé teszik a ház zárolását is. Magas biztonsági környezetekben érdemes mindkettőt választani.

• Az összes tartományvezérlő konfigurációjának szabványosítása.

Meg kell próbálnia minden DC konfigurációs beállításait egyeztetni. Ennek egy részét megvalósíthatja az összeépítés automatizálásával olyan telepítési eszközökön keresztül, mint a System Center Configuration Manager. A DC-k számára érdekes elemek az eseménynapló méretbeállításai, amelyek biztosítják, hogy nagy méretűek legyenek az auditálási és biztonsági információk rögzítéséhez, a rendszerindítási beállítások, például az operációs rendszer kiválasztására váró időtúllépés a fizikai szervereken, a firmware- és BIOS-verziók és beállítások, valamint a hardverkonfiguráció. . Természetesen sok más konfigurációs elem is szabványosítható a csoportházirend használatával. Az elsődleges cél a DC-k azonos konfigurálása.

Az Active Directory basicc-ről további információkat találhat kezdőknek szóló AD oktatóanyagunkban.