Kuruluş Birimi Yetkilendirmesi Nasıl Belgelenir?

Active Directory OU'larınız üzerindeki hakların devredilmesi tüm AD'lerde standart uygulamadır. Yetki verme, çeşitli senaryolarda sınırlı erişim vermenize olanak tanır:

  • Şifreleri sıfırlamak için birinci düzey yardım masanızı etkinleştirin (yalnızca)
  • İK hizmet hesabınızın sınırlı sayıda kullanıcı özelliğini değiştirmesine izin verin (yalnızca)
  • Dinamik Grup hizmetinizin grup üyeliğini değiştirmesine izin verin (yalnızca)
  • vesaire…

İyi tanımlanmış bir strateji olmadan, kuruluş birimi delegasyonu bir süre sonra karmaşaya dönüşebilir.

Bu makale size kuruluş birimi delegasyonunun başına nasıl geri döneceğinizi gösterecek. Basit bir PowerShell betiğiyle temsilcinize genel bir bakış çıkarabilir ve belki de bazı temizleme adaylarını tanımlayabilirsiniz.

(GPO güvenlik filtrelemesi hakkında bilgi arıyorsanız bu makaleye göz atın)

PowerShell ile Kuruluş Delegasyonunu Çıkarın

Bir PowerShell istemini başlatın! Öncelikle Active Directory PowerShell modülünün mevcut olduğundan emin olun (bir DC kullanın veya Uzak Sunucu Yönetim Araçlarını yükleyin).

Kuruluş birimleri aşağıdaki komut kullanılarak kolaylıkla "yakalanabilir":

$OUs = Get-ADOrganizationalUnit -Filter *

Belirli bir kuruluş biriminin ACL'sini (Erişim Kontrol Listesi) almak için aşağıdaki komutu kullanabilirsiniz:

(Get-Acl -Path $OU.DistinguishedName).Access

Her kuruluş biriminde çok sayıda ACL bulunur ancak bunların çoğu devralınmıştır. Bu nedenle, AD'nizde hangi özel yetkilendirmenin yapıldığını belirlemek için yalnızca devralmayan ACL'lere odaklanmalısınız.

Aşağıdaki komut dosyası yukarıdaki komutları aşağıdakileri yapmak için kullanır:

  • AD'nizdeki tüm kuruluş birimlerini alın
  • Tüm ACL'lerin tüm kuruluş birimlerinde kurulumunu sağlayın
  • Devralınmayan tüm ACL'leri listeleyin

Bu işler böyle yürür:

# Set up output file
$File = "OU_Delegation.txt"
"Path;ID;Rights;Type" | Out-File $File
# Import AD module
Import-Module ActiveDirectory
# Get all OU's in the domain
$OUs = Get-ADOrganizationalUnit -Filter *
$Result = @()
ForEach($OU In $OUs){
    # Get ACL of OU
    $Path = "AD:\" + $OU.DistinguishedName
    $ACLs = (Get-Acl -Path $Path).Access
    ForEach($ACL in $ACLs){
        # Only examine non-inherited ACL's
        If ($ACL.IsInherited -eq $False){
            # Objectify the result for easier handling
            $Properties = @{
                ACL = $ACL
                OU = $OU.DistinguishedName
                }
            $Result += New-Object psobject -Property $Properties
        }
    }
}
ForEach ($Item In $Result){
    $Output = $Item.OU + ";" + $Item.ACL.IdentityReference + ";" + $Item.ACL.ActiveDirectoryRights + ";" + $Item.ACL.AccessControlType
    $Output | Out-File $File -Append
    Write-Host $Output
}

Asıl işi yapan yalnızca birkaç satır koddur. Gerisi, Excel'e kolay içe aktarma için sonucun biçimlendirilmesiyle ilgilidir.

Çıktınız buna benzer görünebilir (ancak çok daha büyük):

OU=Admins,DC=gigacorp,DC=local;Everyone;DeleteChild, DeleteTree, Delete;Deny
OU=Admins,DC=gigacorp,DC=local;NT AUTHORITY\ENTERPRISE DOMAIN CONTROLLERS;GenericRead;Allow
OU=Admins,DC=gigacorp,DC=local;NT AUTHORITY\Authenticated Users;GenericRead;Allow
OU=Admins,DC=gigacorp,DC=local;NT AUTHORITY\SYSTEM;GenericAll;Allow
OU=Admins,DC=gigacorp,DC=local;GIGACORP\Domain Admins;GenericAll;Allow
OU=Admins,DC=gigacorp,DC=local;BUILTIN\Account Operators;CreateChild, DeleteChild;Allow
OU=Admins,DC=gigacorp,DC=local;BUILTIN\Account Operators;CreateChild, DeleteChild;Allow
OU=Admins,DC=gigacorp,DC=local;BUILTIN\Account Operators;CreateChild, DeleteChild;Allow
OU=Admins,DC=gigacorp,DC=local;BUILTIN\Account Operators;CreateChild, DeleteChild;Allow
OU=Admins,DC=gigacorp,DC=local;BUILTIN\Print Operators;CreateChild, DeleteChild;Allow
OU=Serveradmins,OU=Admins,DC=gigacorp,DC=local;Everyone;DeleteTree, Delete;Deny
OU=Serveradmins,OU=Admins,DC=gigacorp,DC=local;NT AUTHORITY\ENTERPRISE DOMAIN CONTROLLERS;GenericRead;Allow
OU=Serveradmins,OU=Admins,DC=gigacorp,DC=local;NT AUTHORITY\Authenticated Users;GenericRead;Allow
OU=Serveradmins,OU=Admins,DC=gigacorp,DC=local;NT AUTHORITY\SYSTEM;GenericAll;Allow
OU=Serveradmins,OU=Admins,DC=gigacorp,DC=local;GIGACORP\Domain Admins;GenericAll;Allow
OU=Serveradmins,OU=Admins,DC=gigacorp,DC=local;BUILTIN\Account Operators;CreateChild, DeleteChild;Allow
OU=Serveradmins,OU=Admins,DC=gigacorp,DC=local;BUILTIN\Account Operators;CreateChild, DeleteChild;Allow
OU=Serveradmins,OU=Admins,DC=gigacorp,DC=local;BUILTIN\Account Operators;CreateChild, DeleteChild;Allow
OU=Serveradmins,OU=Admins,DC=gigacorp,DC=local;BUILTIN\Account Operators;CreateChild, DeleteChild;Allow
OU=Serveradmins,OU=Admins,DC=gigacorp,DC=local;BUILTIN\Print Operators;CreateChild, DeleteChild;Allow
OU=GlobalAdmins,OU=Admins,DC=gigacorp,DC=local;Everyone;DeleteTree, Delete;Deny
OU=GlobalAdmins,OU=Admins,DC=gigacorp,DC=local;NT AUTHORITY\ENTERPRISE DOMAIN CONTROLLERS;GenericRead;Allow
OU=GlobalAdmins,OU=Admins,DC=gigacorp,DC=local;NT AUTHORITY\Authenticated Users;GenericRead;Allow
OU=GlobalAdmins,OU=Admins,DC=gigacorp,DC=local;NT AUTHORITY\SYSTEM;GenericAll;Allow
OU=GlobalAdmins,OU=Admins,DC=gigacorp,DC=local;GIGACORP\Domain Admins;GenericAll;Allow
OU=GlobalAdmins,OU=Admins,DC=gigacorp,DC=local;BUILTIN\Account Operators;CreateChild, DeleteChild;Allow
OU=GlobalAdmins,OU=Admins,DC=gigacorp,DC=local;BUILTIN\Account Operators;CreateChild, DeleteChild;Allow
OU=GlobalAdmins,OU=Admins,DC=gigacorp,DC=local;BUILTIN\Account Operators;CreateChild, DeleteChild;Allow
OU=GlobalAdmins,OU=Admins,DC=gigacorp,DC=local;BUILTIN\Account Operators;CreateChild, DeleteChild;Allow
OU=GlobalAdmins,OU=Admins,DC=gigacorp,DC=local;BUILTIN\Print Operators;CreateChild, DeleteChild;Allow

OU Yetkilendirmesini Excel ile Analiz Edin

Verileri önceki komut dosyasıyla dışarı aktardıktan sonra, Excel'i kullanarak ona daha yakından bakmanın zamanı geldi.

“OU_Delegation.txt” çıktı dosyasının içeriğini Excel'e kopyalayın, sütun ayırıcı olarak noktalı virgül kullanın ve üst satırda bir filtre oluşturun:

Şu ana kadar bu dosyanın ana içeriği standart kuruluş birimi yetkisi olacaktır. Standart delegasyon, standart işlevsel bir Active Directory sağlamak için sistem tarafından verilen varsayılan erişimdir.

Özel yetkilendirmeyi tanımlamak için, NT AUTHORITY, BUILTIN, EXCHANGE ve iyi bilinen SID'leri kaldırmak üzere kimlik sütununda bir filtre yapmalısınız. Buna aşağıdakiler dahildir (ve muhtemelen kurulumunuza bağlı olarak daha fazlası):

  • NT AUTHORITY\Kimliği Doğrulanmış Kullanıcılar
  • NT AUTHORITY\KURUMSAL ALAN DENETLEYİCİLERİ
  • NT YETKİSİ\SİSTEM
  • BUILTIN\Hesap Operatörleri
  • BUILTIN\Yazdırma Operatörleri
  • GIGACORP\Alan Adı Yöneticileri
  • GIGACORP\Exchange Güvenilir Alt Sistemi
  • GIGACORP\Organizasyon Yönetimi

Ayrıca kuruluş birimlerinin yanlışlıkla silinmesini önlemek için varsayılan olarak Herkes'e verilen Reddet girişlerini de filtrelemelisiniz.

Filtreleme ayarlandıktan sonra geri kalan girişlere dikkatlice bakın. Böylece alan adınızdaki özel yetkilendirmenin mükemmel bir resmini elde edeceksiniz!

Küçük test kurulumumda şu girişi buldum:

Belki bu özel delegasyon benim istediğim bir şeydir, belki de bir temizlik adayıdır.

Yapılandırılmış erişimle ilgili daha fazla ayrıntı için kuruluş birimi özelliklerinin güvenlik sekmesini kontrol edebilirsiniz:

Ve "Gelişmiş"i tıklarsanız, kuruluş biriminde hangi nesne türlerine hangi erişimin verildiğini özellikle görebileceksiniz:

Özet

İşte buyur. Active Directory'nizdeki kuruluş birimlerindeki özel yetkilendirmeye ilişkin genel bir bakış elde etmek göz korkutucu bir görev gibi görünebilir. Ancak bunu başarmak aslında nispeten kolaydır.

Active Directory OU'larına erişim haklarının devredilmesi her zaman En Az Ayrıcalık İlkesine uygun olmalıdır. PowerShell ve Excel'i kullanarak kurulumunuzu hızlı bir şekilde derinlemesine inceleyebilirsiniz.

AD'niz Office 365 ile senkronize edilmişse ve onu mümkün olan en kolay şekilde yönetmek istiyorsanız lütfen Easy365Manager'a bir göz atın.

Easy365Manager, e-posta özelliklerini, Office 365 lisanslarını ve AD kullanıcı özellikleri içindeki posta kutularını yönetmenize olanak tanıyan, AD Kullanıcıları ve Bilgisayarlarına yönelik küçük ama güçlü bir eklentidir:

Easy365Manager ile tüm günlük Office 365 yönetiminizi AD Kullanıcıları ve Bilgisayarları içinden yapabilirsiniz. Artık Exchange Online Yönetim Merkezi'ne, Microsoft 365 Yönetim Merkezi'ne veya Azure Portal'a gitmenize gerek yok.

Easy365Manager tüm posta özelliklerini yönetmenize izin verdiği için şirket içi Exchange Sunucunuzu bile kaldırabilirsiniz. Bu size şirket içi Exchange'in 0 günlük istismarlarına karşı %100 koruma sağlar.

30 günlük ücretsiz deneme sürümü için Easy365Manager'ı indirin. Easy365Manager'ı yalnızca birkaç dakika içinde indirebilir, kurabilir ve yapılandırabilirsiniz:

İlgili makaleler