विंडोज सर्वर 8 में सक्रिय निर्देशिका: आगे बढ़ना

मैं सिर्फ वार्षिक Microsoft एमवीपी शिखर सम्मेलन से लौटा, जहां पुरस्कार प्राप्त करने वालों ने डेवलपर्स और वक्ताओं के साथ संवाद किया। खंड "निर्देशिका सेवाओं" में - जिस श्रेणी में मैं विशेषज्ञ हूं - बहुत कम ही कट्टरपंथी परिवर्तनों के बारे में सुना गया था। आमतौर पर, एक नया ऑपरेटिंग सिस्टम जारी करना और ब्याज के कारण कितना बड़ा होना चाहिए। लेकिन इस साल, "नई रिलीज़" और "बड़ी रिलीज़" की परिभाषाओं को सुरक्षित रूप से AD के लिए जिम्मेदार ठहराया जा सकता है। मैं प्रमाणीकरण और सुरक्षा में बड़े बदलावों की समीक्षा करने जा रहा हूं जो विंडोज सर्वर 8 में निर्मित हैं।

ध्यान रखें कि ये परिवर्तन क्रांतिकारी के रूप में योग्य हैं, क्रांतिकारी नहीं। वे सक्रिय निर्देशिका में हम जो अच्छी तरह से जानते हैं उसका विस्तार करते हैं। Microsoft प्रोग्राम मैनेजर नाथन मुगली ने एक बार कहा था: "सक्रिय निर्देशिका में परिवर्तन लागू करना - जैसे कि एक मिलियन लोगों के लिए पिज्जा बनाना - वे कुछ विशेष चाहते हैं।" स्वाभाविक रूप से, कोई भी नाव को रोकना नहीं चाहता है, जिसमें दुनिया की 75% कंपनियां स्थित हैं। लेकिन निश्चित रूप से विकासवादी परिवर्तन आवश्यक हैं, और वे भविष्य के उत्पाद सुधार की दिशा का संकेत कर सकते हैं। Windows 8 पहचान और सुरक्षा में, इन परिवर्तनों में डेटा प्रबंधन, AD और वर्चुअलाइजेशन शामिल हैं।

डेटा प्रबंधन

इससे पहले कि मैं विंडोज सर्वर 8 में प्रमाणीकरण प्रणाली में परिवर्तन के विवरण में तल्लीन करूं, मैं एक बदलाव को इंगित करना चाहूंगा जो माइक्रोसॉफ्ट ने विंडोज सर्वर 2008 आर 2: फाइल क्लासिफिकेशन इंफ्रास्ट्रक्चर (एफसीआई) में जोड़ा है। इस नई सुविधा ने मुझे, जैसा कि शायद आप को भी हटा दिया है, क्योंकि यह एक पहचान प्रणाली के बजाय फाइल सिस्टम का एक कार्य है। आप देखेंगे कि एफसीआई पहचान प्रणाली के साथ कुछ समय बाद कैसे जुड़ा है, लेकिन पहले मैं यह बताना चाहता हूं कि एफसीआई क्या है।
FCI आपके फ़ाइल सर्वर के लिए फ़ाइल-वर्गीकरण गुणों को निर्धारित करना संभव बनाता है, स्वचालित रूप से फ़ाइलों को उस फ़ोल्डर के अनुसार वर्गीकृत करता है जिसमें वे स्थित हैं या इस फ़ाइल की सामग्री, फ़ाइलों का प्रबंधन, उदाहरण के लिए, एक अवधि निर्धारित करें जिसके लिए पहुंच संभव है। फ़ाइल में, फ़ाइलों के वर्गीकरण के आधार पर मानक कमांड सेट करें, और रिपोर्ट तैयार करें जो फ़ाइल सर्वर पर वर्गीकरण गुणों के वितरण को दर्शाती हैं। एफसीआई के बिना, अंतिम उपयोगकर्ता (सामग्री के मालिक) फ़ाइलों को मैन्युअल रूप से वर्गीकृत कर सकते हैं या कई एप्लिकेशन (व्यवसाय की लाइन) स्वचालित रूप से फाइलों के वर्गीकरण गुणों को निर्धारित कर सकते हैं। यहां तक ​​कि आप गोपनीय कीवर्ड या पैटर्न के लिए फ़ाइलों की सामग्री को खोजने के लिए FCI का उपयोग कर सकते हैं, जैसे कि सामाजिक सुरक्षा नंबर, और स्वचालित रूप से फ़ाइल को गोपनीय और व्यक्तिगत डेटा के रूप में वर्गीकृत करते हैं।

इसमें क्या उपयोगी है? एफसीआई के साथ, प्रशासक, उदाहरण के लिए, स्वचालित रूप से महंगे ऑनलाइन स्टोरेज से फाइल वर्गीकरण और आपके द्वारा निर्दिष्ट नीतियों के आधार पर कम महंगे स्टोरेज तक डेटा ले जा सकते हैं। या आप एक निश्चित अवधि के बाद फाइलों को दुर्गम बना सकते हैं। आप फ़ाइल सर्वर संसाधन प्रबंधक (FSRM) उपयोगिता के माध्यम से पहले इस सुविधा को स्थापित करके और फिर इसे प्रशासनिक उपकरणों के माध्यम से चलाकर FCI सेटिंग्स के साथ खेल सकते हैं। यह वही उपयोगिता है जो आपको कोटा, स्क्रीनिंग और भंडारण रिपोर्ट को नियंत्रित करने की अनुमति देती है। इस चर्चा के लिए प्रासंगिक बात यह है कि FCI विंडोज सर्वर 8 की सही मायने में प्रमुख पहचान और सुरक्षा सुविधा: डायनेमिक एक्सेस कंट्रोल में से एक है।

DAC सर्वर 8. में सबसे शक्तिशाली नई विशेषताओं में से एक है। सबसे सामान्य स्तर पर, यह सूचना प्रबंधन से संबंधित है: आपके फ़ाइल सर्वर पर स्थित डेटा का वर्गीकरण, इस डेटा पर एक उच्च डिग्री प्राप्त करना, एक ऑडिट के दौरान प्रदर्शित करने की क्षमता (उदाहरण के लिए,) कि आप इस तरह के नियंत्रण का प्रयोग करें। यह अब आईटी अवसंरचना के लिए एक महत्वपूर्ण जरूरत है, जो डेटा की विस्फोटक वृद्धि, बाहरी खतरों के विकास और सुरक्षा अंतराल बनाने में कंपनी द्वारा की गई लागत से उत्पन्न होती है। FCI एक DAC तत्व है क्योंकि यह फ़ाइलों को वर्गीकृत करने और उन्हें टैग असाइन करने के लिए एक तंत्र प्रदान करता है, जो DAC नीतियों के अनुप्रयोग को प्रभावित करता है।

सक्रिय निर्देशिका

साथ ही डीएसी परियोजना से लाभान्वित होने वाले ई.डी. फ़ाइल सर्वर पर डेटा को टैग करना और वर्गीकृत करना, निश्चित रूप से अच्छा है, लेकिन यह बहुत उपयोगी नहीं है यदि आप इस डेटा की पहुंच को उस नए स्तर के आधार पर नियंत्रित नहीं कर सकते हैं जो आपके पास है। इस स्तर पर पहुंच को नियंत्रित करने के लिए, आपको फ़ाइल सर्वर पर और AD में स्थानीय सुरक्षा प्राधिकरण (LSA) में महत्वपूर्ण बदलाव करने की आवश्यकता है। आइए हम बाद के लिए परिवर्तनों को छोड़ दें, और AD में परिवर्तनों पर विचार करें, क्योंकि वे मौलिक रूप से महत्वपूर्ण हैं, और वे AD के भविष्य का संकेत देते हैं।

फ़ाइल सर्वर पर पहुँच नियंत्रण के उच्च स्तर का समर्थन करने के लिए - और भविष्य के OS रिलीज़ में एक्सेस कंट्रोल सूचियों (ACLs) का समर्थन करने वाले अन्य सभी संसाधनों पर - AD को दावों का समर्थन करना चाहिए। यदि आप अनुप्रयोगों से परिचित नहीं हैं, तो वे बस प्रमाणीकरण के दूसरे पक्ष का प्रतिनिधित्व करते हैं, आवेदन जानकारी (उदाहरण के लिए, ईमेल) है कि एक विश्वसनीय स्रोत (उदाहरण के लिए, आपका स्थानीय प्रमाण पत्र प्राधिकरण (CA) रिकॉर्ड के बारे में प्रसारित करता है (उदाहरण के लिए, आपका खाता) । एप्लिकेशन पहले से ही लिंगुआ फ्रैंका "क्लाउड आइडेंटिफिकेशन" हैं और वे फेडरेशन तकनीक का एक बुनियादी घटक हैं, जो हमें क्लाउड सेवाओं में स्थानीय पहचान को सुरक्षित रूप से विस्तारित करने की अनुमति देता है। लेकिन AD में सर्वर 8 से पहले, एप्लिकेशन नहीं सुने गए थे; हमें अनुप्रयोगों में विशेषताओं को बदलने के लिए केवल सक्रिय निर्देशिका फेडरेशन सर्विसेज (AD FS) पर निर्भर रहना पड़ा था। इनमें से अधिकांश अनुप्रयोगों को बाहरी सेवाओं द्वारा खपत किया गया था क्योंकि पारंपरिक संगठनात्मक अनुप्रयोगों ने उन्हें नहीं समझा था। अब वह बदल गया है, और एडी भी उनके अनुकूल होने के लिए बदल रहा है। AD में यह परिवर्तन बहुत महत्वपूर्ण है, और प्रत्येक AD व्यवस्थापक को यह समझना चाहिए कि क्लाउड-आधारित पहचान उसके भविष्य के काम का हिस्सा बन जाएगी।

AD से संबंधित सर्वर 8 में वृद्धि के लिए, सबसे बड़ी सुधार जो AD विकास टीम ने की थी, वह AD को तैनात करने में समय और प्रयास को बचाने के लिए थी। कोई भी व्यक्ति जिसने AD मंचों पर समय बिताया है, वह जानता है कि Adprep, Dcpromo, डोमेन नियंत्रक दोहराव और वर्चुअलाइज़ेशन के बारे में परिनियोजन समस्याएँ और DNS परिनियोजन से संबंधित समाधान सबसे आम हैं। ये परिवर्तन निश्चित रूप से विकासवादी श्रेणी में आते हैं, और इन्हें वर्तमान AD सुविधाओं के लिए बढ़ाया जाता है।

डोमेन नियंत्रकों की भूमिका को अद्यतन करने और बढ़ाने में भी बहुत सुधार हुआ है। AD टीम ने इकट्ठे MVP के लिए घोषणा की कि "Adprep और Dcpromo मर चुके हैं।" Dcpromo अब एक सक्रिय निर्देशिका डोमेन सेवा कॉन्फ़िगरेशन विज़ार्ड है जो सर्वर प्रबंधक के साथ पूरी तरह से एकीकृत होता है। विज़ार्ड का उपयोग करना आसान है, लेकिन इससे भी महत्वपूर्ण बात, कॉन्फ़िगरेशन विज़ार्ड प्रचार को यथासंभव दर्दनाक बनाने के लिए काम के थोक को अदृश्य बनाता है।

विज़ार्ड स्वचालित रूप से Adprep / forestprep और / domainprep प्रक्रियाओं का ध्यान रखता है (हालाँकि आप चाहें तो उन्हें मैन्युअल रूप से शुरू कर सकते हैं)। डीन वेल्स, एक पूर्व प्रमुख विज्ञापन सलाहकार, जो अब Microsoft AD टीम का सदस्य है, ने उल्लेख किया कि प्रशासकों के लिए Adprep प्रक्रिया को खोलना एक गलती थी, क्योंकि भय और समर्थन कॉल की बाढ़ ने इस प्रक्रिया के कारण उत्पन्न वास्तविक समस्याओं को हल कर दिया। गंभीर विश्लेषण को बढ़ाने की प्रक्रिया (प्रश्न का उत्तर देने के लिए: "क्या यह आवश्यक है?") इसके कार्यान्वयन को शुरू करने से पहले, इसलिए यदि आपको अपने AD वातावरण में समस्याएं हैं, तो वृद्धि को समाप्त करने के बारे में भी नहीं सोचा। यह अस्थायी नेटवर्क समस्याओं के प्रति अधिक सहिष्णु हो गया है, कुछ सुधारित IFM विकल्प हैं, और आप पूरी तरह से दूरस्थ रूप से बातचीत कर सकते हैं।

वर्चुअलाइजेशन

AD की तैनाती को सरल बनाने का एक अन्य पहलू एक प्रकार के "बॉडी आर्मर" के साथ वर्चुअल डोमेन नियंत्रकों का निर्माण था, जो एक डोमेन नियंत्रक की क्लोनिंग की सुरक्षा सुनिश्चित करता है। डोमेन या फ़ॉरेस्ट में संपूर्ण वितरित डेटाबेस की लिंक अखंडता के लिए छवि बैकअप या पिछले स्नैपशॉट से वर्चुअल डोमेन नियंत्रक को पुनर्स्थापित करने से नुकसान (USN वापसी) का जोखिम होता है, क्योंकि मानक पुनर्प्राप्ति प्रक्रियाओं के विपरीत, बहाल डोमेन नियंत्रक के बारे में जानकारी नहीं थी यह बहाल किया गया था। Windows Server 8 में सक्रिय निर्देशिका डोमेन सेवाओं ने VM-Gen आईडी, एक हाइपरविजर के साथ जुड़ा हुआ एक अद्वितीय 64-बिट पहचानकर्ता (एक GUID के समान) पेश किया। VM-Gen ID का उद्देश्य स्नैपशॉट को कैप्चर करना और उन्हें वर्चुअल मशीन में स्थानांतरित करना है। इस अधिसूचना के साथ, यूएसएन की वापसी को रोकने के लिए डोमेन नियंत्रक (जैसे पहचानकर्ता को रिकॉर्ड करने में विफलता - आरआईडी - और अपील आईडी को रीसेट करना) पर सुरक्षात्मक उपाय किए जाएंगे। एक शब्द में, वसूली आसान हो गई है।

एक डोमेन नियंत्रक क्लोनिंग कि इन वर्चुअलाइजेशन-सुरक्षित संवर्द्धन एक सुरक्षित और समर्थित विकल्प बनाया है अपने फायदे हैं। क्लोनिंग आपको डोमेन की भूमिका बढ़ाने की प्रक्रिया को कम से कम करने की अनुमति देता है, क्योंकि क्यों आप एक नया पदोन्नति शुरू करने की समस्या से परेशान होते हैं, जब आप बस वर्तमान से एक नए डोमेन नियंत्रक को क्लोन कर सकते हैं। इसके अलावा, यह करने के लिए बहुत जल्दी है।

एक डोमेन नियंत्रक का क्लोनिंग भी एक क्षेत्र में इसके बड़े फायदे हैं जो अभी तक समझ में नहीं आया है: विनाश की स्थिति में पुनर्वितरण। वर्तमान समर्थित कॉन्फ़िगरेशन में, फ़ॉरेस्ट को पुनर्स्थापित करते हुए, आप डोमेन नियंत्रकों (एक डोमेन प्रति) के फ़ॉरेस्ट बीज को पुनर्स्थापित करते हैं, फिर अन्य डोमेन नियंत्रकों पर Dcpromo चलाते हैं जब तक कि आपके पास उपयोगकर्ताओं का समर्थन करने के लिए वातावरण में पर्याप्त डोमेन नियंत्रक होते हैं। समस्या यह है कि Dcpromo समय लेने वाली है, भले ही आप IFM से नेटवर्क रोल प्रमोशन करने के बजाय इंस्टॉल करें। जंगल का गिरना प्रशासक के लिए एक दुःस्वप्न है (अगर ऐसी घटना नहीं जो आपको फिर से लिखना शुरू कर दे), और हर पल आप बहाली पर खर्च करते हैं जिसका अर्थ है हजारों या लाखों डॉलर का नुकसान। एक डोमेन नियंत्रक क्लोनिंग आप बस बीज वन डोमेन नियंत्रकों के क्लोन बनाने के लिए अनुमति देता है - IFM या नेटवर्क वृद्धि की तुलना में बहुत तेज संचालन। हम केवल सर्वर 8 AD में संक्रमण को सही ठहरा सकते हैं कि इसे सहेजना संभव है।