AD Windows सर्वर 2012 में परिवर्तन। भाग 1। डायनेमिक एक्सेस कंट्रोल

Windows Server 2012 में महत्वपूर्ण सक्रिय निर्देशिका परिवर्तन पर एक दिलचस्प विंडोज सर्वर 2012 सक्रिय निर्देशिका सुरक्षा परिवर्तन लेख WindowsITPro पर प्रकाशित किया गया है।
लेख बड़ा है, इसलिए मैंने इसे दो भागों में तोड़ने का फैसला किया। पहले भाग में, हम डायनेमिक एक्सेस कंट्रोल पर ध्यान केंद्रित करेंगे, जो विंडोज और एक्टिव डायरेक्टरी में प्राधिकरण मॉडल में एक बड़े कदम का प्रतिनिधित्व करता है। दूसरा भाग AD सर्वर 2012 में अन्य परिवर्तनों पर चर्चा करेगा, जो सुरक्षा मुद्दों से संबंधित हैं:

• ADAC (GUI GUI और बारीक पासवर्ड नीतियों) में नई सुरक्षा प्रबंधन सुविधाएँ
• समूह प्रबंधित सेवा खाते
• प्राथमिक कंप्यूटर।

मैं यह नोट करना चाहता हूं कि लेख की भाषा काफी जटिल है, इसलिए अनुवाद स्थानों में लंगड़ा हो सकता है। मैं इसके लिए पहले से माफी मांगता हूं।

गतिशील अभिगम नियंत्रण: यह सभी अनुप्रयोगों के बारे में है

डायनेमिक एक्सेस कंट्रोल सबसे बुनियादी सुरक्षा परिवर्तन है जो सर्वर 2012 में शामिल है। डायनेमिक एक्सेस कंट्रोल विंडोज और एडी मॉडल के साथ दावे-आधारित एक्सेस कंट्रोल (CBAC) एक्सेस मॉडल को एकीकृत करता है। दावे उपयोगकर्ताओं या उपकरणों के बारे में दावा करते हैं (उदाहरण के लिए, "मेरा JanDC खाता नाम", "मैं बिक्री विभाग में हूं", आदि), जो विश्वसनीय स्रोतों द्वारा जारी किए जाते हैं। Microsoft ने पहली बार सक्रिय निर्देशिका महासंघ सेवा v 1.0 (ADFS v1) में CBAC को Windows Server 2003 में पेश किया।

दावे ADFS सर्वरों के बीच विश्वसनीय पहचान विशेषताओं के आदान-प्रदान के लिए एक लचीला तंत्र प्रदान कर सकते हैं। संगठन अब विंडोज सर्वर 2012 के तहत डोमेन-ज्वाइन मशीनों पर संग्रहीत फ़ाइल और फ़ोल्डर में डेटा की सुरक्षा के लिए दावों का उपयोग कर सकते हैं या सर्वर 2012 में डोमेन नियंत्रक उपयोगकर्ता या मशीन प्रमाणीकरण के दौरान दावे के बयान जारी कर सकते हैं; यह उपयोगकर्ता या मशीन के प्रमाणीकरण टिकट में आवेदन को शामिल करके किया जाता है। (अनुप्रयोगों के बारे में अधिक जानकारी के लिए और Microsoft उनका उपयोग कैसे करता है, एमएसडीएन ए गाइड टू क्लेम्स-बेस्ड आइडेंटिटी एंड एक्सेस कंटोक एल देखें।)

डायनेमिक एक्सेस कंट्रोल कई नए और बेहतर विंडोज डेटा ऑथराइजेशन फीचर्स पर आधारित है जो इसके लिए डिज़ाइन किए गए हैं:

• डेटा वर्गीकरण और टैगिंग
• एप्लिकेशन-आधारित एक्सेस कंट्रोल सेटिंग्स (CBAC) लागू करें
• डेटा एक्सेस ऑडिट
• डेटा एन्क्रिप्शन।

डेवलपर्स के दृष्टिकोण से, विंडोज के प्रमुख घटकों, सेवाओं और प्रोटोकॉल में कई परिवर्तन गतिशील अभिगम नियंत्रण के लिए किए गए हैं। वे AD, समूह नीति ऑब्जेक्ट्स, DNS, Kerberos, स्थानीय सुरक्षा प्राधिकरण (LSA), और ब्रेटन प्रक्रियाओं के साथ-साथ सर्वर संदेश ब्लॉक (SMB), LDAP और दूरस्थ प्रक्रिया कॉल (RPC) जैसे नेटवर्क प्रोटोकॉल की चिंता करते हैं। Microsoft ने सर्वर 2012 में कई परिवर्तन पेश किए जो गतिशील अभिगम नियंत्रण के आगमन से प्रेरित थे:

• एप्लिकेशन और प्रमाणीकरण टोकन जारी करने के लिए डोमेन नियंत्रक और केर्बरोस कुंजी वितरण केंद्र (KDC) तर्क का विस्तार
• अनुरोध परिवहन के लिए Kerberos टोकन प्रारूप बदलना
• वैकल्पिक डेटा स्ट्रीम (ADS) NTFS में जोड़े जाते हैं, फ़ाइलों और फ़ोल्डरों के लिए कस्टम गुणों का समर्थन जोड़ा जाता है
• एसीएल फ़ाइल और फ़ोल्डरों में गोपनीय अभिव्यक्तियों का संग्रहण लचीला अभिगम नियंत्रण और ऑडिट सेटिंग्स के लिए शामिल किया गया है
• AD योजना का विस्तार किया गया है, जो अब गतिशील अभिगम नियंत्रण की संपत्तियों और नीतियों के केंद्रीकृत भंडारण की अनुमति देता है।

सेंट्रल एक्सेस नीतियां

डायनेमिक एक्सेस कंट्रोल केंद्रीय एक्सेस पॉलिसियों (CAP) को संग्रहीत करने के लिए AD का उपयोग कर सकता है; ऐसा इन नीतियों को डोमेन के सदस्यों पर लागू करने के लिए किया जाता है। फ़ोल्डरों के लिए उन्नत सुरक्षा सेटिंग्स संवाद बॉक्स में, केंद्रीय नीति टैब जोड़ा गया है (चित्र 1 में दिखाया गया है)। इस टैब से, व्यवस्थापक केंद्रीय एक्सेस पॉलिसी (CAP) का चयन कर सकते हैं जिसे वे निर्दिष्ट फ़ोल्डर में असाइन करना चाहते हैं। अब आप अपने डोमेन या फ़ॉरेस्ट में फ़ाइलों और फ़ोल्डरों के लिए एक्सेस पॉलिसी सेट कर सकते हैं, जो आपके AD ऑब्जेक्ट्स (उपयोगकर्ता या कंप्यूटर) के मानक और कस्टम विशेषताओं के मूल्यों पर आधारित है। उदाहरण के लिए, आप किसी फ़ाइल सर्वर पर किसी नेटवर्क फ़ोल्डर में उपयोगकर्ता की पहुंच से इनकार कर सकते हैं यदि AD उपयोगकर्ता विभाग की विशेषता में "बिक्री" या "मार्केटिंग" का मूल्य नहीं है। यह लचीला प्राधिकरण तर्क उस तर्क से बहुत अलग है जो प्रयोग किया जाता था (उपयोगकर्ता और समूह SID) )।



केंद्रीय एक्सेस नीतियां (CAPs) डायनेमिक एक्सेस कंट्रोल (DAC) कंटेनर से सेट की जा सकती हैं, जिसे अपडेटेड एक्टिव डायरेक्टरी एडमिनिस्ट्रेटिव सेंटर (ADAC) में प्रस्तुत किया जाता है, जैसा कि चित्र 2 में दिखाया गया है, या PowerShell cmdlets का उपयोग कर रहा है। समान टूल का उपयोग करके, आप AD ऑब्जेक्ट्स (उपयोगकर्ता और कंप्यूटर) के लिए दावा स्टेटमेंट को सक्रिय कर सकते हैं और इन विशेषताओं में मान जोड़ सकते हैं। सर्वर 2012 डोमेन नियंत्रक उपयोगकर्ता और कंप्यूटर प्राधिकरण टोकन के लिए दावा विवरण जोड़ देगा तभी इन वस्तुओं की विशेषताओं में वास्तव में जानकारी होगी और सक्रिय प्रकार के आवेदन से जुड़े हैं। Windows Server 2012 में आपके डोमेन नियंत्रक से पहले अनुप्रयोग जारी कर सकते हैं, यह फ़ंक्शन सक्षम होना चाहिए; ध्यान रखें कि सर्वर 2012 में सीडी सीबीएसी का उपयोग करने के लिए डिफ़ॉल्ट रूप से सक्रिय नहीं हैं। सीबीएसी को सक्षम करने के लिए, डायनेमिक एक्सेस कंट्रोल और केर्बरोस जीपीओ की स्थापना के लिए डोमेन कंट्रोलर सपोर्ट का उपयोग \ कम्प्यूटर कॉन्फ़िगरेशन \ नीतियां \ प्रशासनिक टेम्प्लेट \ सिस्टम \ केडीसी कंटेनर में करें। अपनी मशीनों में CAP वितरित करने के लिए GPOs का उपयोग करने के लिए, आप केंद्रीय एक्सेस पॉलिसी GPO विकल्प का उपयोग \ Computer कॉन्फ़िगरेशन \ नीतियाँ \ Windows सेटिंग्स \ सुरक्षा सेटिंग्स \ फ़ाइल सिस्टम कंटेनर में कर सकते हैं।

Windows Server 2012 में फ़ाइल और फ़ोल्डर एक्सेस की ऑडिटिंग

डायनेमिक एक्सेस कंट्रोल की शुरूआत के साथ, एप्लिकेशन को फ्लेक्सिबल तरीके से न केवल फाइलों और फ़ोल्डरों तक पहुंच को सौंपने के लिए उपयोग किया जा सकता है, बल्कि उन तक पहुंच का ऑडिट भी किया जा सकता है। उदाहरण के लिए, सर्वर 2012 में, हम उन सभी उपयोगकर्ताओं को ट्रैक करने के लिए एक ऑडिट नियम को कॉन्फ़िगर कर सकते हैं, जिन्हें "गोपनीय" (संपत्ति "गोपनीय") के रूप में चिह्नित किए गए फ़ोल्डरों तक पहुंच से वंचित किया गया है। अनुरोधों के आधार पर फ़ाइलों और फ़ोल्डरों के लिए ऑडिट सेटिंग सेट करने के लिए, ग्लोबल ऑब्जेक्ट एक्सेस ऑडिटिंग जीपीओ का उपयोग करें, जिसे माइक्रोसॉफ्ट ने विंडोज सर्वर 2008 आर 2 में पेश किया था और जिसे अब डायनेमिक एक्सेस कंट्रोल के साथ विस्तारित किया गया है।

व्यवस्थापक पहुंच नियंत्रण और फ़ाइलों और फ़ोल्डरों तक पहुंच के ऑडिट के लिए लचीली सेटिंग्स सेट कर सकते हैं; यह दोनों ऐड-ऑन के रूप में और स्वतंत्र रूप से परिभाषित सीएपी के रूप में किया जाता है। विंडोज 8 और सर्वर 2012 में उन्नत सुरक्षा सेटिंग्स में संवाद बॉक्स को बदल दिया गया है ताकि आप फ़ाइलों और फ़ोल्डरों के प्राधिकरण और ऑडिट की स्थापना करते समय सशर्त अभिव्यक्ति सेट कर सकें। चित्र 3 इस नए इंटरफ़ेस को दिखाता है, जिससे अनुमति की परिभाषा को स्पष्ट किया जा सकता है कि एक सशर्त अभिव्यक्ति को SharedData नामक फ़ोल्डर में शामिल किया गया है।

डेटा वर्गीकरण

ऑडिटिंग और एक्सेस कंट्रोल के अलावा, डायनेमिक एक्सेस कंट्रोल नए लचीले डेटा वर्गीकरण तंत्र भी प्रदान करता है। अब आप फ़ाइल या फ़ोल्डर में कस्टम गुण जोड़ सकते हैं, जिसे वैश्विक संसाधन गुण कहा जाता है; यह ऑडिट और एक्सेस कंट्रोल सेटिंग्स डायलॉग बॉक्स के माध्यम से किया जाता है। फिर, आप ADAC या PowerShell cmdlets के साथ भी ऐसा कर सकते हैं। अपने डोमेन कंप्यूटरों में इन कस्टम गुणों को प्रचारित करने के लिए, Microsoft ने विंडोज 8 और सर्वर 2012 क्लाइंट को विशेष एक्सटेंशन के साथ सुसज्जित किया है जो ADAP से कनेक्ट करने और इन गुणों को पुनः प्राप्त करने के लिए LDAP का उपयोग करते हैं। यह नया वर्गीकरण फ़ंक्शन आपको अपने चुने हुए विशेषताओं के आधार पर डेटा को लचीले ढंग से वर्गीकृत करने की अनुमति देता है और, तदनुसार, सुरक्षा लागू करता है।

आप फ़ाइल या फ़ोल्डर गुणों में वर्गीकृत टैब का उपयोग करके मैन्युअल रूप से फ़ाइलों और फ़ोल्डरों को वर्गीकृत कर सकते हैं, जैसा कि चित्र 4 में दिखाया गया है। यह टैब केवल उन प्रणालियों पर दिखाई देता है जिनमें डेस्कटॉप अनुभव सुविधा स्थापित है और जो फ़ाइल सर्वर संसाधन प्रबंधक भूमिका सेवा की मेजबानी करता है

फ़ाइल वर्गीकरण प्रक्रिया को स्वचालित करना

फ़ाइल वर्गीकरण प्रक्रिया को फ़ाइल वर्गीकरण इन्फ्रास्ट्रक्चर (FCI) सुविधा का उपयोग करके स्वचालित किया जा सकता है। FCI सर्वर 2008 R2 में पेश किया गया था और प्रशासकों को कस्टम वर्गीकरण लेबल (टैग) को परिभाषित करने, वर्गीकरण नियमों और समाप्ति तिथियों को स्थापित करने और वर्गीकरण रिपोर्ट की अनुमति देता है। व्यवस्थापक फ़ाइल सर्वर संसाधन प्रबंधक (FSRM) से सीधे FCI का प्रबंधन कर सकते हैं। एफसीआई का उपयोग आरएमएस बल्क प्रोटेक्शन टूल के साथ फाइलों में आरएमएस सुरक्षा को स्वचालित रूप से लागू करने के लिए किया जा सकता है।

यह डायनेमिक एक्सेस कंट्रोल के लिए काफी संक्षिप्त परिचय है। विस्तृत जानकारी (सेटअप, कॉन्फ़िगरेशन, समस्या को हल करना) Microsoft से श्वेत पत्र में पाया जा सकता है (" विंडोज सर्वर 8 बीटा में डायनेमिक एक्सेस कंट्रोल को समझें और उसका निवारण करें ।"