Active Directory Etki Alanı Hizmetleri: Nedir ve Nasıl Çalışır?

Bugün Active Directory Etki Alanı Hizmetleri hakkında aklınıza gelebilecek tüm önemli soruları yanıtlayacağım.

Active Directory Etki Alanı Hizmetleri Nedir? Active Directory'den farklı mı?

Active Directory Etki Alanı Hizmetleri (AD DS) ve Active Directory (AD) aynı şeydir: sahip olduğunuz çeşitli kullanıcılar ve bilgisayarlar gibi kritik bilgilerin ve devam eden etkinliklerin çoğunu kontrol eden ilişkili hizmetlerin bulunduğu bir veritabanı (veya dizin). BT ortamınızda.

Bir Redmond Magazine makalesinde belirtildiği gibi, "Active Directory ortamı, Active Directory Etki Alanı Hizmetlerinin yüklü olduğu en az bir sunucunuzun olması gerektiği anlamına gelir. ”

Active Directory Etki Alanı Hizmetleri gerçekte ne yapar?

AD DS'nin iki temel işlevi vardır:

Kimlik Doğrulama— Genellikle sağladıkları kullanıcı kimliğini ve şifreyi kontrol ederek her kullanıcının iddia ettiği kişi olduğundan emin olmak
Yetkilendirme — Her kullanıcının yalnızca kullanmasına izin verilen verilere erişmesine izin vermek

Burada “kullanıcı” kelimesini genel anlamda kullandığımı unutmayın; AD DS, yalnızca bireyler için değil aynı zamanda cihazlar, uygulamalar, işlemler vb. için de kimlik doğrulama ve yetkilendirme sağlar.

Active Directory Etki Alanı Hizmetlerini nasıl yüklerim?

AD DS'yi tek başına yüklemezsiniz. Daha doğrusu, Microsoft Windows Server işletim sisteminde yer alan sunucu rollerinden biridir. Windows Server'ı bir makineye kurduğunuzda, o sunucunun hangi rolü veya rolleri oynayacağını belirtmeniz gerekir: dosya sunucusu, web sunucusu, DNS sunucusu vb. (bkz. Şekil 1).

Şekil1. Windows Server'ı bir makineye kurduğunuzda, o sunucunun hangi rolleri oynayacağını belirtmeniz gerekir.

Bir sunucuya AD DS rolünü atayarak onu bir etki alanı denetleyicisi (DC) haline getirirsiniz. Windows'un normal sürümünü çalıştıran masaüstü bilgisayarların, dizüstü bilgisayarların ve diğer sistemlerin AD DS'yi çalıştırmadığını ve DC olamayacağını unutmayın.

Şekilde görebileceğiniz gibi, bir sunucuya atayabileceğiniz çeşitli başka roller de vardır:

Active Directory Sertifika Hizmetleri (AD CS)— DC'nin dijital sertifikalar, imzalar ve ortak anahtar şifrelemesi sunmasını sağlar
Active Directory Federasyon Hizmetleri (AD FS) — Tek oturum açma (SSO) sağlar, böylece kullanıcıların aynı kimlik bilgilerini sağlamaya devam etmesine gerek kalmaz
Active Directory Basit Dizin Hizmetleri— Ağınızdaki herhangi bir Linux bilgisayar gibi diğer dizin hizmetleri sunucularıyla iletişim kurmak için LDAP kullanımını etkinleştirir
Active Directory Rights Management Services (RMS)— Nereye taşınırsa taşınsın içerikte kalan kalıcı kullanım politikaları aracılığıyla bilgilerin korunmasına yardımcı olur

Active Directory Etki Alanı Hizmetlerini çalıştıran birden fazla sunucuya sahip olabilir miyim?

Evet! Aslında norm budur: Organizasyonlarda yedeklilik ve ölçeklenebilirlik için neredeyse her zaman birden fazla etki alanı denetleyicisi bulunur. Bir DC arızalanırsa, aynı hizmetleri sağlamak için başka bir DC devreye girebilir.

Active Directory çoğaltma hizmeti, ağdaki tüm etki alanı denetleyicilerinin senkronize kalmasını sağlar. Özellikle, dizininizdeki kullanıcılar ve bilgisayarlarda yapılan herhangi bir değişiklik (kullanıcının şifresinin değiştirilmesi gibi) ve tüm nesne sınıflarını (kullanıcılar, gruplar, vb.) tanımlayan şemanızdaki değişiklikler konusunda hepsini güncel tutar. dizininizde saklanabilecek bilgisayarlar, etki alanları ve kuruluş birimleri).

Etki alanı denetleyicilerini korumaya yönelik en iyi uygulamalar nelerdir?

Sorduğuna sevindim! AD DS çalıştıran herhangi bir sunucunun siber saldırılar için en büyük hedef olduğunu unutmamak önemlidir. Etki alanı denetleyicilerinizden birinin güvenliğini ihlal eden bir bilgisayar korsanı, en değerli verilerinizi çalmaktan kritik iş süreçlerini sabote etmeye kadar, sahip olduğu hain hedefleri gerçekleştirmek için iyi bir konumdadır. Microsoft'un da işaret ettiği gibi, "Saldırganın hazırlığına, kullandığı araçlara ve becerisine bağlı olarak, AD DS veritabanında değişiklik yapılması ve hatta onarılamaz bir hasar oluşması, günler veya haftalar değil, dakikalar veya saatler içinde tamamlanabilir. ”

Bu nedenle Fort Knox gibi etki alanı denetleyicilerinizi korumanız önemlidir. Özellikle:

Her DC'de kimin yerel yönetim haklarına sahip olduğunu sınırlayın.
Yalnızca işlevsellik ve güvenlik açısından gerekli olan uygulamaları ve hizmetleri yükleyin. Bir DC yalnızca DC olarak hareket etmelidir.
Bir etki alanı denetleyicisinin internete erişmesine asla izin vermeyin. DC'lerinizde web tarayıcılarının kullanımını yalnızca politikayla değil, teknik kontrollerle de yasaklayın. Bir DC'nin siteler arasında çoğaltılması gerekiyorsa bu siteler arasında güvenli bağlantılar uygulayın.
Etkileşimli olarak oturum açabilen hesapları sınırlayın ve bu hesaplar için parola karmaşıklığı ve geçerlilik süresinin sona ermesiyle ilgili en iyi uygulamalara sıkı sıkıya bağlı kalın. Sunucu Operatörleri gibi çeşitli grupların üyelere etkileşimli olarak oturum açma yetkisi verdiğini unutmayın.
Tüm etki alanı denetleyicilerinize ağ erişimini en aza indirin.
Tüm DC'lere fiziksel erişimi sıkı bir şekilde kontrol edin. Sanal DC'ler kullanıyorsanız sanallaştırma yöneticilerinizin kim olduğunu öğrenin ve ayrıcalıklarını yükseltebilecekleri için etkinliklerini takip edin.
Windows Server'ı yamalarla güncel tutun ve mümkün olan en güncel sürümü kullanın.
Tüm DC'lerdeki etkinliği denetleyin ve şüpheli davranışlarla ilgili uyarı aldığınızdan emin olun.
DC'lerinizi yedekleyin. (Bir şirketin bu en iyi uygulamayı uygulamada nasıl başarısız olduğu ve yaşayan son DC'sini fiziksel olarak Gana'dan Birleşik Krallık'a taşımak zorunda kaldığına dair eğlenceli ama uyarıcı bir hikaye için bu teknoloji özetine göz atın.)

Çözüm

AD DS'ye teknik incelemem bu kadar. Daha pratik bir yaklaşım için aşağıdaki konuların tamamını kapsayan beş bölümlük blog serimizi şiddetle tavsiye ediyorum:

Aktif Dizin Nedir?
Aktif Dizin yönetimi
Aktif Dizin güvenliği
Active Directory geçişi
Active Directory raporlaması