AD Windows सर्वर 2012 में परिवर्तन। भाग 2. AD टोकरी, FGPP, gMSA, प्राथमिक कंप्यूटर

Windows Server 2012 में सक्रिय निर्देशिका के लिए महत्वपूर्ण परिवर्तनों पर एक दिलचस्प विंडोज सर्वर 2012 सक्रिय निर्देशिका सुरक्षा परिवर्तन लेख WindowsITPro पर प्रकाशित किया गया था। पहला भाग कल डायनेमिक एक्सेस कंट्रोल पर प्रकाशित किया गया था।
आज हम Windows Server 2012 में AD सुरक्षा में नवाचारों के संबंध में शेष प्रश्नों पर नज़र डालते हैं:

• ADAC (GUI GUI और बारीक पासवर्ड नीतियों) में नई सुरक्षा प्रबंधन सुविधाएँ
• समूह प्रबंधित सेवा खाते
• प्राथमिक कंप्यूटर।

मैं यह नोट करना चाहता हूं कि लेख की भाषा काफी जटिल है, इसलिए अनुवाद स्थानों में लंगड़ा हो सकता है। मैं इसके लिए पहले से माफी मांगता हूं।

ADAC में नई सुरक्षा प्रबंधन सुविधाएँ

सर्वर 2012 में ADAC मुख्य AD व्यवस्थापन इंटरफ़ेस बन गया है। व्यवस्थापकीय स्तर पर, ADAC ने अपने पूर्ववर्ती - Microsoft प्रबंधन कंसोल (MMC) में सक्रिय निर्देशिका उपयोगकर्ता और कंप्यूटर स्नैप-इन को भी छोड़ दिया है। ADAC में दो नई सुविधाएँ, जो कि अधिकांश प्रशासक संभवतः हटाए गए AD ऑब्जेक्ट को पुनर्प्राप्त करने के संदर्भ में ADAC GUI हैं ( AD टोकरी में नवाचारों के बारे में हमारी पोस्ट देखें - अनुवादक का नोट ) और दानेदार पासवर्ड नीतियों (ठीक-ठीक पासवर्ड) को कॉन्फ़िगर करने के लिए नीति - FGPP)।

AD रीसायकल बिन विंडोज सर्वर 2012 में

AD Recycle Bin को सर्वप्रथम सर्वर 2008 R2 में पेश किया गया था और विशेषताओं के साथ हटाए गए AD ऑब्जेक्ट को पुनर्प्राप्त करने की अनुमति दी गई थी। हालांकि, एडी टोकरी का बड़ा दोष एक ग्राफिकल इंटरफ़ेस की कमी था। व्यवस्थापकों को ldp.exe का उपयोग करने के लिए मजबूर किया गया था या PowerShell cmdlets का उपयोग किया गया था, दो उपकरण जो AD ऑब्जेक्ट को पुनर्स्थापित करना और पुनर्प्राप्ति प्रक्रिया को धीमा करना मुश्किल बनाते हैं। (हमारी पोस्ट में पढ़ें " हटाए गए विज्ञापन ऑब्जेक्ट पुनर्प्राप्त करना: स्क्रिप्ट का संग्रह ")



जैसा कि ऊपर चित्र में दिखाया गया है, Microsoft ने हटाए गए ऑब्जेक्ट कंटेनर के प्रदर्शन को ADAC सर्वर 2012 इंटरफ़ेस में जोड़ा है। आप ADAC दाएँ फलक में लिंक को पुनर्स्थापित या पुनर्स्थापित करें का उपयोग करके आसानी से हटाए गए ऑब्जेक्ट को पुनर्स्थापित कर सकते हैं। सर्वर 2012 में, रीसायकल बिन के लिए प्रतिबंध समान रहे:

• ट्रैश डिफ़ॉल्ट रूप से अक्षम है (ADAC के माध्यम से सक्षम किया जा सकता है)।
• सर्वर 2008 R2 के कार्यात्मक स्तर पर आपका AD फ़ॉरेस्ट कम से कम होना चाहिए।
• आप केवल उनके हटाए गए ऑब्जेक्ट लाइफटाइम (DOL) के दौरान ऑब्जेक्ट्स को पुनर्स्थापित कर सकते हैं, जो 180 दिनों तक डिफॉल्ट करता है।

AD टोकरी पर अधिक जानकारी के लिए Microsoft सक्रिय निर्देशिका रीसायकल बिन चरण-दर-चरण मार्गदर्शिका देखें।

दानेदार पासवर्ड नीतियां

इंटरफ़ेस के बारे में ADAC के लिए दूसरा उपयोगी जोड़ दानेदार पासवर्ड नीति कॉन्फ़िगरेशन (FGPP) से संबंधित है। Microsoft ने FGPP को सर्वर 2008 में पेश किया ताकि आप कई विंडोज डोमेन पासवर्ड सेट कर सकें और लॉकआउट पॉलिसियाँ जो विभिन्न AD उपयोगकर्ता या व्यवस्थापक समूहों से संबद्ध हों। इससे पहले, विंडोज सर्वर ने केवल एक डोमेन पासवर्ड नीति का समर्थन किया था। दानेदार पासवर्ड नीतियों का समर्थन करने के लिए, Microsoft ने एक नया प्रकार का AD ऑब्जेक्ट पेश किया जिसे पासवर्ड सेटिंग्स ऑब्जेक्ट (PSO) कहा जाता है ( कार्रवाई में PSO पर पोस्ट देखें )।

सर्वर 2008 में AD बास्केट के साथ, Microsoft ने FGPPs को कॉन्फ़िगर करने के लिए GUI के साथ डिस्पेंस करने का निर्णय लिया। PSOs को निर्दिष्ट करने के लिए व्यवस्थापकों को PowerShell cmdlets, ADSI Editor, या LDIFDE जैसे उपकरणों पर भरोसा करने की आवश्यकता है। सर्वर 2012 में, नए पासवर्ड सेटिंग्स कंटेनर से नए FGPPs और PSO बनाने के लिए ADAC GUI का उपयोग करना संभव हो गया, जो सिस्टम कंटेनर के नीचे स्थित है, जैसा कि चित्र 6 में दिखाया गया है। पहले की तरह, आपका डोमेन कम से कम सर्वर के कार्यात्मक स्तर पर होना चाहिए FGPP का उपयोग करें। विवरण इस AD DS ललित-कूटशब्द नीति और खाता लॉकआउट चरण-दर-चरण मार्गदर्शिका में पाया जा सकता है।

समूह प्रबंधित सेवा खाते

प्रबंधित सेवा खाते (MSAs), एक विशेष प्रकार का डोमेन खाता, AD सर्वर 2008 R2 में दिखाई दिया। MSA सेवा प्रमाणीकरण के लिए कस्टम डोमेन खाते सेट करते समय पासवर्ड प्रबंधन समस्याओं को हल करने में मदद करता है। व्यवस्थापक कस्टम खातों को परिभाषित करना पसंद करते हैं जो उन्हें अंतर्निहित विशेषाधिकार प्राप्त स्थानीय खातों (उदाहरण के लिए, स्थानीय प्रणाली, स्थानीय सेवा, स्थानीय सिस्टम नेटवर्क सेवा, स्थानीय सेवा, नेटवर्क सेवा) को सेवा के रूप में उपयोग करने की तुलना में अधिक सटीक रूप से सेट अप करने की अनुमति देता है। लेकिन इन अंतर्निहित स्थानीय खातों के विपरीत, कस्टम लोगों के लिए कोई स्वचालित पासवर्ड प्रबंधन नहीं है। इसलिए, जब आप कस्टम सेवा खातों का उपयोग करते हैं, तो आपको अपने पासवर्ड को मैन्युअल रूप से प्रबंधित करने की आवश्यकता होती है।

एमएसए, बदले में, पासवर्ड को स्वचालित रूप से प्रबंधित करने के लिए डिज़ाइन किया गया है। प्रबंधित सेवा खाते सेवा के लिए सेवा प्रधान नाम (SPN) की स्थापना को भी आसान बनाते हैं। दुर्भाग्यवश, सर्वर 2008 आर 2 में जिन MSAs को पेश किया गया था, उनका उपयोग क्लस्टर या लोड-संतुलित सेवाओं (उदाहरण के लिए, वेब फ़ार्म में सेवाएँ) द्वारा नहीं किया जा सकता है जो समान सेवा खाता और पासवर्ड साझा करना चाहते हैं। इन मामलों में, व्यवस्थापकों को मैन्युअल रूप से सेवा इंस्टेंस के पासवर्ड को सिंक्रनाइज़ करने या स्वचालित पासवर्ड सिंक्रनाइज़ेशन के लिए कस्टम समाधान लागू करने की आवश्यकता होती है।

सर्वर 2012 समूह खाते (gMSAs) वेब फार्मों में लोड-संतुलित सेवाओं के साथ इस समस्या को हल करते हैं। दुर्भाग्य से, इस लेखन के समय, एमएसए ने अभी तक उन सेवाओं के साथ काम नहीं किया है जो एक विफलता क्लस्टर का हिस्सा हैं।

GMSA के अलावा, प्रत्येक सर्वर 2012 डोमेन नियंत्रक पर एक नई सेवा (अर्थात Microsoft कुंजी वितरण सेवा) शुरू की गई है। यह सेवा सुनिश्चित करती है कि वेब सेवा का उपयोग करने वाले एकल सेवा खाते का पासवर्ड इंस्टेंस के बीच सिंक्रनाइज़ किया गया हो। GMSA का उपयोग करने के लिए, आपके AD स्कीमा को सर्वर 2012 में अपग्रेड किया जाना चाहिए और आपको Microsoft सॉफ़्टवेयर वितरण सेवा चलाने वाले एक या अधिक सर्वर 2012 डोमेन नियंत्रकों की आवश्यकता होगी। सेवा स्वचालित रूप से प्रत्येक डोमेन नियंत्रक पर स्थापित होती है, लेकिन डिफ़ॉल्ट रूप से इसे मैन्युअल रूप से शुरू किया जाता है। केवल सर्वर 2012 पर चलने वाली सेवाएं gMSA का उपयोग कर सकती हैं। आप PowerShell cmdlets का उपयोग करके gMSA बना और प्रबंधित कर सकते हैं। GMSA के बारे में अधिक जानकारी के लिए, " समूह प्रबंधित सेवा खातों के साथ शुरुआत करना " देखें।

फ़ोल्डर पुनर्निर्देशन और रोमिंग प्रोफाइल के लिए प्राथमिक कंप्यूटर

अंतिम महत्वपूर्ण विशेषता जो मैं इस लेख में चर्चा करना चाहता हूं वह विशिष्ट डोमेन उपयोगकर्ताओं के लिए प्राथमिक रूप में AD में व्यक्तिगत कंप्यूटरों को निर्दिष्ट करने की क्षमता है। आप इस फ़ंक्शन का उपयोग उन कंप्यूटरों को नियंत्रित करने के लिए कर सकते हैं, जिन पर रोमिंग उपयोगकर्ता प्रोफ़ाइल डाउनलोड की गई हैं और जो उपयोगकर्ता अपने रीडायरेक्ट किए गए फ़ोल्डरों तक पहुँच प्राप्त करते हैं। उन कंप्यूटरों पर जिन्हें प्राथमिक कंप्यूटर के रूप में चिह्नित नहीं किया गया था, उपयोगकर्ताओं के पास उनकी स्थानीय प्रोफ़ाइल होगी और वे अपने पुनर्निर्देशित फ़ोल्डरों तक पहुंच प्राप्त नहीं करेंगे।

IT और BYOD रुझानों के उपभोक्ताकरण के युग में, यह विधि एक तरफ डेटा और उपयोगकर्ता खाता सेटिंग्स के बीच लिंक स्थापित करने के लिए एक शक्तिशाली उपकरण है, और दूसरी तरफ विशिष्ट कंप्यूटर या डिवाइस; यह कॉर्पोरेट डेटा सुरक्षा बढ़ाने के लिए किया जाता है।

प्राथमिक कंप्यूटर फ़ंक्शन GPOs के लिए नई सेटिंग्स और AD स्कीमा के विस्तार पर आधारित है। जब कोई उपयोगकर्ता विंडोज 8 या सर्वर 2012 चलाने वाले कंप्यूटर पर लॉग ऑन करता है, तो जीपीओ द्वारा नियंत्रित दो सेटिंग्स की स्थिति की जांच की जाती है: प्राथमिक कंप्यूटर पर केवल रोमिंग प्रोफाइल डाउनलोड करें और प्राथमिक कंप्यूटर पर रीडायरेक्ट फ़ोल्डर । यह जाँच की जाती है कि क्या AD में उपयोगकर्ता ऑब्जेक्ट के लिए बाध्य msDS-PrimaryComputer विशेषता उपयोगकर्ता प्रोफ़ाइल के घूमने या फ़ोल्डर पुनर्निर्देशन के आवेदन को प्रभावित करना चाहिए। नई GPO सेटिंग्स \ User कॉन्फ़िगरेशन \ नीतियाँ \ व्यवस्थापकीय टेम्पलेट \ System \ Folder पुनर्निर्देशन और \ उपयोगकर्ता कॉन्फ़िगरेशन \ नीतियाँ \ व्यवस्थापकीय टेम्पलेट \ System \ उपयोगकर्ता प्रोफ़ाइल GPO कंटेनर में स्थित हैं ।

आप ADAC और PowerShell के साथ cmdlets का उपयोग एमएसडीएस-प्राइमरीकंप्यूटर विशेषता को कंप्यूटर खातों की विशिष्ट सूची से डेटा के साथ पॉप्युलेट करने के लिए कर सकते हैं जिन्हें प्राथमिक उपयोगकर्ता कंप्यूटर के रूप में चिह्नित किया जाना चाहिए। चित्र 7 दिखाता है कि आप जैक नामक उपयोगकर्ता के लिए msDS-PrimaryComputer विशेषता सेट करने के लिए ADAC और इसके अंतर्निहित विशेषता संपादक का उपयोग कैसे कर सकते हैं।



प्राथमिक कंप्यूटर फ़ंक्शन का समर्थन करने के लिए, आपके AD स्कीमा को सर्वर 2012 के साथ अपडेट किया जाना चाहिए। फ़ंक्शन का उपयोग डोमेन कंप्यूटर पर सर्वर 2012 विंडोज 8 चलाने में किया जा सकता है। अधिक जानकारी के लिए, भंडारण टीम ब्लॉग " फ़ोल्डर पुनर्निर्देशन और रोमिंग प्रोफाइल के लिए प्राथमिक कंप्यूटर को कॉन्फ़िगर करना " देखें। विंडोज सर्वर 8 बीटा । "

संक्षेप में कहना

डायनेमिक एक्सेस कंट्रोल, AD के परिचय के बाद से और शायद NTFS के रिलीज़ होने के बाद से विंडोज में फाइलों और फ़ोल्डरों के प्राधिकरण और ऑडिट के मॉडल में एक बड़ा कदम है। डायनेमिक एक्सेस कंट्रोल सपोर्ट सर्वर 2012 और AD की सुरक्षा में महत्वपूर्ण बदलाव है, न केवल माइक्रोसॉफ्ट के इंजीनियरों के लिए जो इसे विकसित कर रहे हैं, बल्कि हर कोई जो इसका इस्तेमाल करेगा। यदि आप एक विंडोज एडी एडमिनिस्ट्रेटर या सिस्टम आर्किटेक्ट हैं, तो मेरा सुझाव है कि आप डायनेमिक एक्सेस कंट्रोल का अच्छी तरह से परीक्षण करें और इसे इस्तेमाल करने से पहले अच्छी तरह से जान लें।

ADAC और PowerShell भी AD 2012 में AD प्रबंधन से संबंधित सुरक्षा मुद्दों में सर्वोपरि रहे हैं। डायनेमिक एक्सेस कंट्रोल, ADAC और PowerShell दैनिक प्रशासन को सरल बनाने और AD के कॉन्फ़िगरेशन में अधिक लचीलेपन से जुड़े हैं।