डायनेमिक एक्सेस कंट्रोल: संसाधन प्रबंधन एक नए तरीके से

जैसा कि हर विंडोज सिस्टम एडमिनिस्ट्रेटर जानता है, विंडोज सर्वर 2008 सर्वर ऑपरेटिंग सिस्टम से शुरू होकर, ऐसी महत्वपूर्ण एकीकृत भूमिका जो आपको सक्रिय निर्देशिका डोमेन सेवाओं जैसे संगठनों में पहचान और पहुंच को प्रभावी ढंग से प्रबंधित करने की अनुमति देती है, उन्हें पांच भूमिकाओं में विभाजित किया गया है। अधिक सटीक होने के लिए, हर कोई समझता है कि सक्रिय निर्देशिका डोमेन सेवा भूमिका का मुख्य कार्य पहचान और पहुंच से संबंधित संचालन करना है। यही है, यहाँ आपके पास प्रमाणीकरण और प्राधिकरण से संबंधित कार्य हैं, सुरक्षा प्राचार्यों, साइटों, सेवाओं के साथ-साथ विश्वास संबंधों को बनाने और प्रबंधित करने के अवसर भी हैं। इस भूमिका को समूह नीति की कार्यक्षमता के माध्यम से कार्यान्वित कार्यस्थलों की केंद्रीकृत सेटिंग, और भी बहुत कुछ करने के लिए सुरक्षित रूप से जिम्मेदार ठहराया जा सकता है। इसके अलावा, निर्देशिका सेवाओं की सभी समृद्ध सुविधाओं का लाभ उठाने के लिए, आप अन्य सर्वर भूमिकाओं के साथ भी काम कर सकते हैं।
SPOILER : यह लेख विशुद्ध रूप से सैद्धांतिक सामग्री प्रदान करता है, और इस लेख में कोई भी चरणबद्ध प्रक्रिया शामिल नहीं है।
ऐसी भूमिकाओं पर विचार करें। जैसा कि मैंने ऊपर कहा, उनमें से चार हैं, अर्थात्:

• सक्रिय निर्देशिका प्रमाणपत्र सेवाएँ, अर्थात् सक्रिय निर्देशिका प्रमाणन सेवाएँ, AD CS । मध्यम और बड़े संगठन पीकेआई के सार्वजनिक कुंजी बुनियादी ढांचे में AD CS प्रमाणन सेवाओं की मेजबानी कर सकते हैं ताकि संबंधित निजी कुंजी के लिए उपयोगकर्ता, डिवाइस, या सेवा पहचान को बाध्य करने वाले डिजिटल प्रमाणपत्र जारी करने के लिए प्रमाणन प्राधिकरण बनाया जा सके। दूसरे शब्दों में, एडी सीएस स्वतंत्र रूप से प्रमाणपत्र जारी करने के लिए एक कुशल, सुरक्षित तरीका प्रदान करता है और परिणामस्वरूप, उन्हें प्रबंधित करता है;
• सक्रिय निर्देशिका अधिकार प्रबंधन सेवाएँ - सक्रिय निर्देशिका अधिकार प्रबंधन सेवाएँ , अर्थात AD RMS । इस सर्वर भूमिका की क्षमताएं, जो कि, कई द्वारा उपेक्षित हैं, सूचना सुरक्षा प्रौद्योगिकी प्रदान करती हैं, जिनका उपयोग टिकाऊ उपयोग नीतियों के पैटर्न को लागू करने के लिए किया जा सकता है जो नेटवर्क और इसके बाहर और इसके साथ-साथ फ़ायरवॉल की परिधि में अनुमत और अनधिकृत उपयोग निर्दिष्ट करते हैं;
• सक्रिय निर्देशिका फ़ेडरेशन सेवाएँ , जो अंग्रेज़ी में ऐक्टिव डायरेक्ट्री फ़ेडरेशन सर्विसेज़ या केवल AD FS की तरह लगती हैं। इन सेवाओं के साथ, एक संगठन कुछ तरीकों से कई प्लेटफार्मों में पहचान और पहुंच के बुनियादी ढांचे का विस्तार कर सकता है, जिसमें केवल विंडोज वातावरण शामिल है, और सुरक्षा परिधि के बाहर आईडीए सुरक्षा के साथ विश्वसनीय भागीदार प्रदान करते हैं। एक महासंघ के वातावरण में, संगठनों को अपनी पहचान की वस्तुओं का समर्थन करने और नियंत्रित करने का अवसर दिया जाता है;
• लाइटवेट डायरेक्टरी सर्विसेज , यानी एक्टिव डायरेक्टरी लाइटवेट डायरेक्टरी सर्विसेज या बस AD LDS । यह भूमिका, मोटे तौर पर, एक एलडीएपी निर्देशिका है जो केवल एप्लिकेशन डेटा को संग्रहीत करती है जिसे निर्देशिका रिपॉजिटरी तक पहुंच की आवश्यकता होती है, लेकिन इसके बारे में जानकारी सभी डोमेन नियंत्रकों को दोहराई नहीं जानी चाहिए।

और अगर हम इसमें केवल पढ़ने के लिए डोमेन नियंत्रक परिनियोजन क्षमताओं को जोड़ते हैं, तो डोमेन नियंत्रकों का वर्चुअलाइजेशन, साथ ही सक्रिय निर्देशिका के माध्यम से ऑपरेटिंग सिस्टम की सक्रियता और विंडोज पॉवरशेल cmdlets के इतिहास जैसी नई विशेषताएं, हम यह निष्कर्ष निकाल सकते हैं कि सक्रिय निर्देशिका की संभावनाएं लगभग अंतहीन हैं। । हालांकि, यदि आप देखते हैं कि सूचना तक पहुंच कैसे प्रदान की जाती है, तो हम कह सकते हैं कि सब कुछ पूरी तरह से दुखद है। दरअसल, एनटीएफएस-आधारित अधिकार आपको कुछ सख्त फ़ाइल वर्गीकरण के अनुसार दस्तावेजों तक पहुंच को नियंत्रित करने की अनुमति नहीं देते हैं, किसी भी विशिष्ट नीतियों के अनुसार दानेदार ऑडिट की अनुमति नहीं देते हैं, "एक्सेस अनुरोध" उत्पन्न करने की संभावना प्रदान नहीं करते हैं और अभी भी कुछ सीमाएं हैं।
लेकिन अब, Microsoft से विंडोज सर्वर 2012 के रूप में इस तरह के एक सर्वर ऑपरेटिंग सिस्टम की रिहाई के साथ, आप एक्सेस कंट्रोल लिस्ट के माध्यम से इन सभी फ़ाइल एक्सेस प्रतिबंधों के बारे में भूल सकते हैं, अर्थात्, ACLs, एक तकनीक के रूप में जिसे डायनेमिक एक्सेस कंट्रोल ( डायनामिक एक्सेस) कहा गया है। नियंत्रण ), जो आपको विशिष्ट विशेषताओं या विशिष्ट मानदंडों के आधार पर जानकारी तक पहुंच को नियंत्रित करने की अनुमति देता है। इस लेख के साथ शुरुआत करते हुए, मैं आपको इस अद्भुत तकनीक के बारे में बताऊंगा, आप सीखेंगे कि आप इसका उपयोग कैसे कर सकते हैं, विभिन्न परिदृश्यों के बारे में, कथन क्या हैं (कुछ मामलों में इसे अनुप्रयोगों या कलीमा के रूप में भी जाना जाता है, क्योंकि यह अंग्रेजी में लगता है। एक दावे के रूप में) क्या संसाधन गुण मौजूद हैं। आप केंद्रीकृत पहुंच नीतियों और नियमों के बारे में भी जानेंगे, कि इस तरह की केंद्रीकृत पहुँच नीतियां कैसे प्रकाशित और लागू की जा सकती हैं, आप ऑडिटिंग, विभिन्न फ़ाइलों और फ़ोल्डरों के वर्गीकरण, डायनेमिक एक्सेस कंट्रोल समस्याओं का निवारण करने के बारे में कुछ सीखेंगे, और कई अन्य चीजों के बारे में।
स्वाभाविक रूप से, इन सभी बिंदुओं को देखकर, जिनके बारे में मैंने बस लिखा था, यह तुरंत स्पष्ट है कि इस तकनीक के बारे में एक लेख के साथ प्राप्त करना असंभव है, इसलिए, आलंकारिक रूप से, मैं 6-6 लेखों के पाठ्यक्रम पर इस तकनीक का पूरी तरह से खुलासा करने की कोशिश करूंगा, सबसे अधिक माना जाता है। संभावित परिदृश्य, इस तकनीक की सूक्ष्मता, साथ ही सक्रिय निर्देशिका केंद्रीय प्रशासन और Windows PowerShell उपकरण के उपयोग के आधार पर दोनों उदाहरण, जो भी महत्वपूर्ण है।
डायनामिक एक्सेस कंट्रोल जैसी तकनीक के इस पहले लेख से आप वास्तव में क्या सीखेंगे? और इस लेख से आप निम्नलिखित बिंदुओं के बारे में अधिक जानेंगे:

• इस तकनीक के बारे में क्या इरादा है;
• इस तकनीक के बारे में एसीएल के आधार पर पहुँच प्रदान करने से बेहतर क्यों है;
• वर्तमान प्रौद्योगिकी के लाभों और सीमाओं के बारे में जानें;
• और साथ ही मैं कई परिदृश्यों के बारे में बात करूंगा जिसमें डायनेमिक एक्सेस कंट्रोल और सेंट्रलाइज्ड एक्सेस पॉलिसी का उपयोग करना उचित होगा।

अच्छा, चलिए शुरू करते हैं।

उद्देश्य और ACLs से गतिशील अभिगम नियंत्रण के अंतर

जैसा कि मैंने इस तकनीक पर पहले लेख के एक बड़े परिचयात्मक हिस्से में पहले ही उल्लेख किया है, डायनेमिक एक्सेस कंट्रोल आपको मुख्य रूप से डोमेन नियंत्रकों और फ़ाइल सर्वरों पर विंडोज सर्वर 2012 चलाने वाले कॉरपोरेट संसाधनों तक साझा पहुंच प्रदान करने के लिए तंत्र पर नए सिरे से विचार करने की अनुमति देता है। तो हम पहुँच प्रदान करने पर एक नया नज़र क्यों डाल सकते हैं और अभिगम नियंत्रण सूचियाँ इतनी अप्रिय क्यों हैं?
सबसे पहले, आइए याद करते हैं कि इस अभी भी रहस्यमय तकनीक की रिहाई से पहले संसाधनों तक पहुंच कैसे प्रदान की गई थी।

पहुँच अनुमतियाँ पहले कैसे सौंपी गई थीं?

सामान्य शब्दों में, एक्सेस कंट्रोल की अनुमति साझा ऑब्जेक्ट्स और एक्टिव डायरेक्ट्री ऑब्जेक्ट्स को यह निर्धारित करने के लिए दी जाती है कि विभिन्न उपयोगकर्ता प्रत्येक ऑब्जेक्ट का उपयोग कैसे कर सकते हैं। जैसा कि सभी जानते हैं - न केवल व्यवस्थापक, बल्कि नियमित पीसी उपयोगकर्ता भी, - एक साझा वस्तु या साझा संसाधन एक ऐसी वस्तु है जिसमें नेटवर्क पर एक या अधिक उपयोगकर्ताओं का उपयोग शामिल है। ऐसी वस्तुएं, निश्चित रूप से, फ़ाइलें, प्रिंटर, फ़ोल्डर और सेवाएं हो सकती हैं। सक्रिय निर्देशिका में, एक्सेस कंट्रोल को ऑब्जेक्ट एक्सेस स्तर पर पूर्ण एक्सेस, राइट, रीड, या नो एक्सेस जैसे विभिन्न एक्सेस स्तर या अनुमतियों की सेटिंग के द्वारा किया गया था। साझा किए गए ऑब्जेक्ट और सक्रिय निर्देशिका ऑब्जेक्ट दोनों के लिए एक्सेस कंट्रोल अनुमतियां उनके सुरक्षा विवरणकों में संग्रहीत की जाती हैं।
सुरक्षा विवरणक में दो एक्सेस कंट्रोल लिस्ट (ACL) होते हैं जिनका उपयोग प्रत्येक वस्तु के लिए सुरक्षा जानकारी को असाइन करने और नियंत्रित करने के लिए किया जाता है। बेशक, यह एक चयनात्मक एक्सेस कंट्रोल टेबल (DACL) और सिस्टम एक्सेस कंट्रोल टेबल (SACL) है।

• विवेकाधीन अभिगम नियंत्रण सूची (DACL) । जैसा कि आप आधिकारिक स्रोतों से जानते हैं, DACL उन उपयोगकर्ताओं और समूहों को सूचीबद्ध करता है जिन्हें ऑब्जेक्ट के लिए स्पष्ट रूप से अनुमति दी जाती है या उन्हें एक्सेस से वंचित किया जाता है। स्पष्ट कारणों के लिए, यदि कोई विशिष्ट उपयोगकर्ता या समूह जिसमें वह सदस्य है, वह स्पष्ट रूप से डीएसीएल में निर्दिष्ट नहीं है, तो उस उपयोगकर्ता को ऑब्जेक्ट तक पहुंच से वंचित कर दिया जाएगा। डिफ़ॉल्ट रूप से, DACL ऑब्जेक्ट के स्वामी द्वारा या ऑब्जेक्ट को बनाने वाले उपयोगकर्ता द्वारा नियंत्रित किया जाता है और इसमें एक्सेस कंट्रोल एंट्रीज़ ( ACE ) होते हैं जो ऑब्जेक्ट तक उपयोगकर्ता की पहुँच को परिभाषित करते हैं;
• सिस्टम एक्सेस कंट्रोल लिस्ट (SACL)। बदले में, SACL उन उपयोगकर्ताओं और समूहों को सूचीबद्ध करता है जिनके लिए आप ऑब्जेक्ट तक पहुँचने के सफल और असफल प्रयासों का ऑडिट करना चाहते हैं। एक ऑडिट का उपयोग किसी सिस्टम या नेटवर्क की सुरक्षा से संबंधित घटनाओं की निगरानी करने के लिए किया जाता है, साथ ही सुरक्षा प्रणाली में कमियों का पता लगाने और किसी भी क्षति की सीमा और स्थान का निर्धारण करने के लिए किया जाता है। डिफ़ॉल्ट रूप से, DACL के साथ के रूप में, SACL को ऑब्जेक्ट के मालिक या उपयोगकर्ता द्वारा प्रबंधित किया जाता है जिसने इसे बनाया है। SACL में अभिगम नियंत्रण रिकॉर्ड होते हैं जो यह निर्धारित करते हैं कि इस अनुमति का उपयोग करके उपयोगकर्ता द्वारा ऑब्जेक्ट तक पहुंचने के सफल या असफल प्रयास, उदाहरण के लिए, पूर्ण नियंत्रण या पढ़ें, को रिकॉर्ड करने की आवश्यकता है।

डिफ़ॉल्ट रूप से, DACL और SACL प्रत्येक सक्रिय निर्देशिका ऑब्जेक्ट से जुड़े होते हैं, जो साइबर अपराधियों और यादृच्छिक डोमेन उपयोगकर्ता त्रुटियों द्वारा नेटवर्क हमलों की संभावना को कम करता है। हालाँकि, अगर किसी हमलावर के पास सक्रिय निर्देशिका प्रशासनिक अधिकारों वाले किसी भी खाते का नाम और पासवर्ड पता चलता है, तो यह जंगल हमलों के लिए असुरक्षित होगा।
यह भी याद रखें कि डिफ़ॉल्ट सक्रिय निर्देशिका ऑब्जेक्ट्स को पैरेंट कंटेनर ऑब्जेक्ट के सुरक्षा डिस्क्रिप्टर से ACE विरासत में मिलते हैं। वंशानुक्रम आपको किसी भी अधीनस्थ वस्तु के सुरक्षा विवरणकों के लिए एक सक्रिय निर्देशिका कंटेनर ऑब्जेक्ट के लिए एक्सेस कंट्रोल जानकारी को लागू करने की अनुमति देता है, जिसमें अन्य कंटेनर और उनके ऑब्जेक्ट शामिल हैं। यह प्रत्येक नए चाइल्ड ऑब्जेक्ट पर अनुमतियाँ लागू करने की आवश्यकता को समाप्त करता है। यदि आवश्यक हो, तो आप विरासत में मिली अनुमतियों को बदल सकते हैं। हालाँकि, यह अनुशंसा की जाती है कि आप सक्रिय निर्देशिका ऑब्जेक्ट्स की डिफ़ॉल्ट अनुमतियाँ और इनहेरिटेंस सेटिंग्स नहीं बदलते हैं।
यद्यपि प्राधिकरण प्रक्रिया उपयोगकर्ता को एक एकल घटना की तरह लगती है, इसमें दो भाग होते हैं:
उपयोगकर्ता एक्सेस पैरामीटर प्रदान करता है, आमतौर पर उपयोगकर्ता नाम और पासवर्ड, जो तब AD DS डेटाबेस में सत्यापित होते हैं। यदि उपयोगकर्ता नाम और पासवर्ड डेटाबेस में संग्रहीत जानकारी से मेल खाते हैं, तो उपयोगकर्ता अधिकृत हो जाता है, और डोमेन नियंत्रक द्वारा टिकट प्राप्त करने के लिए उसके लिए एक टिकट जारी किया जाता है। इस बिंदु पर, उपयोगकर्ता के पास नेटवर्क संसाधनों तक पहुंच नहीं है।
सेकंडरी बैकग्राउंड प्रोसेस रिव्यू के लिए डोमेन कंट्रोलर को टिकट देता है और लोकल मशीन तक पहुंच का अनुरोध करता है। डोमेन नियंत्रक उपयोगकर्ता के लिए एक सेवा टिकट जारी करता है, जो तब स्थानीय कंप्यूटर के साथ बातचीत कर सकता है। इस बिंदु पर प्रक्रिया में, उपयोगकर्ता AD DS में अधिकृत है और स्थानीय मशीन पर पंजीकृत है।
जब कोई उपयोगकर्ता बाद में नेटवर्क पर किसी अन्य कंप्यूटर के साथ एक कनेक्शन स्थापित करने का प्रयास करता है, तो द्वितीयक प्रक्रिया फिर से शुरू होती है, और टिकट प्राप्त करने के लिए टिकट को विचार के लिए निकटतम डोमेन नियंत्रक को पास किया जाता है। जब डोमेन नियंत्रक एक सेवा टिकट लौटाता है, तो उपयोगकर्ता उस कंप्यूटर पर एक कंप्यूटर तक पहुंच प्राप्त करता है जो उस कंप्यूटर पर एक प्राधिकरण घटना उत्पन्न करता है।
एक डोमेन से जुड़ा एक कंप्यूटर स्टार्टअप पर AD DS में भी प्रवेश करता है - एक ऐसा तथ्य जो अक्सर अनदेखा किया जाता है। जब आप सक्रिय निर्देशिका डोमेन सेवाओं में प्राधिकरण के लिए कंप्यूटर अपने खाते के नाम और पासवर्ड का उपयोग करता है, तो आप लेन-देन नहीं देखेंगे। प्रमाणीकरण के बाद, कंप्यूटर अधिकृत उपयोगकर्ताओं के समूह का सदस्य बन जाता है। यद्यपि कंप्यूटर प्राधिकरण प्रक्रिया में ग्राफिकल यूजर इंटरफेस में दृश्य पुष्टि नहीं है, लेकिन यह याद रखने योग्य है कि इस गतिविधि को रिकॉर्ड करने वाले इवेंट प्रोटोकॉल हैं। इसके अलावा, यदि ऑडिटिंग सक्रिय है, तो इवेंट व्यूअर सुरक्षा लॉग में देखने के लिए अधिक इवेंट उपलब्ध हैं।

और डायनेमिक एक्सेस कंट्रोल से बेहतर क्या है?

दरअसल, एक्सेस कंट्रोल लिस्ट के आधार पर एक्सेस देने के आधार पर, हम इस निष्कर्ष पर पहुंच सकते हैं कि इस पद्धति का उपयोग करते समय, किसी विशेष समूह में लक्ष्य की सदस्यता के आधार पर अनुमति दी जाती है। आप सीमित या इसके विपरीत, कुछ तृतीय-पक्ष विशेषताओं के आधार पर किसी विशिष्ट उपयोगकर्ता डिवाइस के लिए उपयोग की अनुमति नहीं दे सकते हैं, और निश्चित रूप से, आप किसी भी गैर-मानक परिदृश्य के बारे में तुरंत भूल सकते हैं।
डायनेमिक एक्सेस कंट्रोल , बदले में, इन प्रतिबंधों को हटा देता है और आपको अधिक दानेदार नियम बनाने की अनुमति देता है जिसके आधार पर आप विभिन्न मानदंडों के अनुसार पहुंच प्रदान कर सकते हैं। दूसरे शब्दों में, सबसे पहले, यह इस तथ्य पर ध्यान देने योग्य है कि यह तकनीक केंद्रीय सुरक्षा नीतियों का निर्माण करके फ़ाइलों और डेटा तक पहुंच को नियंत्रित करने की क्षमता प्रदान करती है, जिससे आप सबसे विस्तृत तरीके से यह निर्धारित कर सकते हैं कि इस या उस जानकारी का उपयोग करने का हकदार कौन है। दूसरे शब्दों में, आप ऐसी नीतियां बना सकते हैं जो आपके व्यवसाय की रणनीति को अच्छी तरह से प्रतिबिंबित करें और किसी भी नियामक आवश्यकताओं का पूरी तरह से पालन करें। इसके अलावा, आप मैन्युअल और स्वचालित मोड दोनों में, फ़ाइल वर्गीकरण का उपयोग करते समय ऐसी जानकारी की पहचान कर सकते हैं। ACL का उपयोग करते समय केवल ये दो विकल्प नियंत्रण का उपयोग कर सकते हैं।
हालाँकि, यह सब नहीं है। सबसे आम डेटा प्रकार जो एक्सेस किए जाते हैं, वे कार्यालय दस्तावेज़ हैं, अर्थात, फ़ाइलें जो Microsoft Office उत्पादों का उपयोग करके प्रबंधित की जा सकती हैं। इससे पहले, विशिष्ट उपयोगकर्ताओं या समूहों को दस्तावेज़ एन्क्रिप्शन के साथ अद्वितीय अनुमतियाँ देने के लिए, सक्रिय निर्देशिका अधिकार प्रबंधन सेवाएँ, अर्थात AD RMS, का उपयोग ऐसे प्रत्येक दस्तावेज़ के लिए किया गया था। इस तकनीक ने खुद को अच्छी तरह से साबित कर दिया है और अब, गतिशील एक्सेस कंट्रोल के आगमन के साथ, आपको विशिष्ट मानदंडों के आधार पर स्वचालित एन्क्रिप्शन का उपयोग करके आरएमएस सुरक्षा को लागू करने का अवसर दिया जाता है।
आजकल, कई कंपनियों में से एक सबसे मूल्यवान संपत्ति कुछ भी नहीं है, बल्कि स्वयं जानकारी है, जिसे संगठन से परे नहीं जाना चाहिए। ऐसी जानकारी का दुरुपयोग पूरी कंपनी के भाग्य पर प्रतिकूल प्रभाव डाल सकता है। इस तकनीक की केंद्रीकृत ऑडिट नीतियों के लिए धन्यवाद, आप आपातकालीन, फोरेंसिक विश्लेषण के मामले में, फाइलों तक पहुंच के ऑडिट या के लिए रिपोर्ट बना सकते हैं। दूसरे शब्दों में, आपको किसी भी तृतीय-पक्ष एप्लिकेशन और सॉफ़्टवेयर उत्पादों का उपयोग करने का सहारा लेने की आवश्यकता नहीं होगी।
इसके अलावा और क्या उजागर किया जा सकता है? और आप इस तथ्य को उजागर कर सकते हैं कि आप सक्रिय निर्देशिका योजना में परिवर्तन किए बिना वर्तमान तकनीक का उपयोग कर सकते हैं, बिना अतिरिक्त भूमिकाएं या किसी विशिष्ट सॉफ़्टवेयर को तैनात किए बिना, और, आमतौर पर, जैसा कि वे कहते हैं, "बॉक्स से बाहर"। इसके अलावा, विशेष रूप से डायनेमिक एक्सेस कंट्रोल का उपयोग करने की संभावना के लिए, विंडोज ऑपरेटिंग सिस्टम के लिए एक नया प्राधिकरण और ऑडिट तंत्र विकसित किया गया था, साथ ही केर्बरोस प्रमाणीकरण क्षमताओं के लिए कुछ नई विशेषताओं को लागू किया गया था, जो मैंने पहले से ही केर्बेरोस के बारे में लेख के तीसरे भाग में लिखा था, जिसे "कहा जाता था" करबरोस नेटवर्क प्रमाणीकरण प्रोटोकॉल या दावे की आवश्यकता क्यों है । ”

क्या उसके पास कोई प्रतिबंध है?

दुर्भाग्य से, जैसा कि एक की उम्मीद होगी, इस तकनीक की कुछ सीमाएं भी हैं। सबसे पहले, संगठन के पास सक्रिय निर्देशिका डोमेन सेवाएँ होनी चाहिए। यही है, यदि आप कंप्यूटर के लिए डायनेमिक एक्सेस कंट्रोल का उपयोग करना चाहते हैं जो कार्यसमूह का हिस्सा हैं, तो आप सफल नहीं होंगे। दूसरे, गतिशील पहुंच नियंत्रण केवल एक अलग कार्यक्षमता नहीं है। यह तकनीक एक फ़ाइल सर्वर समाधान है, जो कि विंडोज सर्वर 2012 के बुनियादी ढांचे के आधार पर बनाया गया है, जिसमें प्रत्यक्ष केर्बरोस दावों के लिए समर्थन, विशेष रूप से संसाधन गुणों को संग्रहीत करने के लिए सक्रिय निर्देशिका समर्थन, साथ ही उपयोगकर्ता और कंप्यूटर के दावे, सक्रिय निर्देशिका समर्थन विशेष रूप से केंद्रीकृत पहुंच नीतियों के कार्यान्वयन के लिए शामिल हैं समूह नीतियों की कार्यक्षमता के माध्यम से ऐसी केंद्रीकृत पहुंच नीतियों का वितरण, साथ ही साथ और भी बहुत कुछ।
इसलिए, इन सभी आवश्यकताओं के अनुसार, हम निम्नलिखित निष्कर्ष निकाल सकते हैं: कम से कम एक डोमेन नियंत्रक विंडोज सर्वर 2012 चलाने वाले को आपके संगठन में तैनात किया जाना चाहिए, और यह भी, यदि आपके जंगल में कई डोमेन तैनात हैं, तो प्रत्येक इस तरह के डोमेन को विंडोज सर्वर 2012 के तहत कम से कम एक डोमेन नियंत्रक के साथ तैनात किया जाना चाहिए। यह विशेष रूप से उन डोमेन के बीच दावों का उपयोग करने की संभावना के लिए किया जाता है जिनके लिए विश्वास संबंध स्थापित होते हैं। और इसके अलावा, जैसा कि मैंने पहले कहा, विंडोज सर्वर 2012 में, केडीसी सेवा में विशेष रूप से केरोसीन टिकट के दावों के साथ काम करने के लिए काफी सुधार किया गया है।
फ़ाइल सर्वर पर ऑपरेटिंग सिस्टम स्वाभाविक रूप से विंडोज सेवर 2012 होना चाहिए। जब ​​कोई उपयोगकर्ता किसी साझा फ़ोल्डर से जुड़ता है, तो फ़ाइल सर्वर आने वाले कनेक्शन के क्रेडेंशियल्स का उपयोग करके संसाधन तक पहुंच की जांच करता है। इसका मतलब है कि फ़ाइल सर्वर साझा संसाधन तक पहुंच निर्धारित करता है। इसका यह भी अर्थ है कि फ़ाइल सर्वर पर विभिन्न घटकों को दावों का समर्थन करना चाहिए, जैसे एलएसए और केर्बरोस एप्लिकेशन सर्वर। यह पता चलता है कि फाइल सर्वर जिस पर उपयोगकर्ताओं द्वारा डेटा एक्सेस किया जाएगा, केर्बरोस टिकट से डिवाइस के दावों और प्राधिकरण डेटा को पढ़ने में सक्षम होना चाहिए, इन सुरक्षा पहचानकर्ताओं (SID) का अनुवाद करें और टिकट अनुमोदन को प्रमाणीकरण में बदल दें और प्राधिकरण डेटा की तुलना करें सुरक्षा विवरणक में शामिल शर्तों के साथ एक टोकन।यही है, ओएस के पुराने संस्करण, परिणामस्वरूप, काम नहीं करेगा।
खैर, उस स्थिति में जब आपके पास निर्दिष्ट उपकरणों के लिए दावे होंगे, केवल विंडोज 8 या विंडोज सर्वर 2012 पर चलने वाले कंप्यूटरों को क्लाइंट के रूप में उपयोग किया जा सकता है। दूसरे शब्दों में, यह सीमा ग्राहकों को आठ में स्थानांतरित करने के लिए एक अच्छा कारण कहा जा सकता है।

डायनेमिक एक्सेस कंट्रोल का उपयोग करने के लिए प्रमुख परिदृश्य

अब अधिक जीवंत क्षणों के बारे में - परिदृश्य स्वयं, जिसमें डायनेमिक एक्सेस कंट्रोल लागू करना उचित है। द्वारा और बड़े, बहुत सारे परिदृश्यों का अनुकरण किया जा सकता है, हालाँकि, सात मुख्य लोगों को अलग किया जा सकता है, अर्थात्:

• . , , , , , . , . :
  
  1. , , . , , , , . , . , , - , , , ;
  2. Windows Server , . ? , . , , , , , . , , . ;
  3. , , , . , , ;
  4. , , , . , , , .
• . Windows Server 2012 , , Active Directory. , , - .
  , , , Active Directory . . :
  , , . , , .
  , , .
  , , , : , . , , .
• , . , : N , - , , . : N , , : « ». , , , , , .
  ? , , , .
  . , , . . Microsoft? , , :
  
  1. , . , , , . , - . , ;
  2. , , , ;
  3. , ;
  4. , . , , ;
  5. , . - .
• . , – , , , , . , - , , . , , ( DFS-R), , . , , - , .
  Windows Server 2012 , , , , . , , , . , , . :
  
  1. , . ? , , ;
  2. , , - , . , , , , , , , . .
• Microsoft Office . AD RMS… . , , . . Active Directory. , Windows Server 2012, , Microsoft Office, , , . :
  
  1. , , . , , . - , . , . , . , , , , , ;
  2. , . , , , , AD RMS. , . -, , , . , , . ;
  3. , , , , - .
• . , : ? , « , , ». , . , , . , -, - , . , , , , , Microsoft. , , , - . , , :
  
  1. , , , , . , ;
  2. उसके बाद, अपने आप, आप अपने फ़ाइल संसाधनों पर इस तरह के संग्रहीत डेटा का प्रकार निर्धारित करते हैं। आप गुण सेट करते हैं जिसके अनुसार फ़ाइलें अंतिम उपयोगकर्ताओं द्वारा गलती से नहीं हटाई जा सकती हैं, और वर्गीकरण गुणों को भी परिभाषित करती हैं।
• ऑडिट फ़ाइल का उपयोग । अंत में, एक बहुत ही महत्वपूर्ण परिदृश्य एक सुरक्षा ऑडिट है, जो आपके वातावरण में व्यवस्था और कल्याण बनाए रखने में मदद करता है। मुख्य कार्य क्या है? स्वाभाविक रूप से, यह कंपनी में आदेश का पालन है और आपके पर्यावरण में होने वाली गैरकानूनी कृत्यों का उन्मूलन हो सकता है। फिर निम्नलिखित प्रश्न उठ सकता है: क्या आप इस नस में सुरक्षा ऑडिट करने की अनुमति देता है? यहां यह अनुमान लगाना मुश्किल नहीं है कि एक सुरक्षा ऑडिट आपको स्थापित की गई नीतियों के अनुपालन की निगरानी करने की अनुमति देता है, और आपको संभाव्य कमजोरियों को पहचानने और रोकने की अनुमति भी देता है, और यदि आवश्यक हो, जैसा कि अब आमतौर पर व्यक्त किया गया है, तो आप तथाकथित फोरेंसिक विश्लेषण करने की अनुमति देते हैं।
  सुरक्षा ऑडिट लागू करने के लिए डायनेमिक एक्सेस कंट्रोल के साथ क्या किया जा सकता है? सबसे पहले, आप विशिष्ट अभिव्यक्तियों के आधार पर ऑडिट नीतियों को अनुकूलित कर सकते हैं। इसका क्या अर्थ है: आप संसाधनों, उपयोगकर्ताओं या उनके उपकरणों की आवश्यकताओं के आधार पर तथाकथित लक्षित ऑडिट नीतियां बना सकते हैं। दूसरे, लक्ष्य फ़ाइलों तक पहुंचने के किसी भी प्रयास के लिए ऑडिट ईवेंट उत्पन्न करना संभव है, और फिर संभावित भेद्यता बिंदुओं के लिए ईवेंट लॉग को फ़िल्टर करें। इसके अलावा, आप, निश्चित रूप से, विशिष्ट फ़ाइलों की विशेषताओं में परिवर्तन के आधार पर परिवर्तन निर्धारित कर सकते हैं, जो एक्सेस प्रतिबंध को प्रभावित कर सकते हैं, अंतिम उपयोगकर्ताओं और कंप्यूटरों की विशेषताओं को बदल सकते हैं, जो बदले में, महत्वपूर्ण फ़ाइलों तक पहुंच के साथ समस्याएं पैदा कर सकते हैं, और उपयोगकर्ताओं को अत्यधिक अधिकार देते हैं। आप दावों की परिभाषाओं में परिवर्तन को भी परिभाषित कर सकते हैं, जिसमें नाम, विवरण या कोई अतिरिक्त संपत्ति मूल्य, केंद्रित नीतियों से जुड़े परिवर्तन और संसाधनों तक किसी भी एक्सेस अधिकार शामिल हैं जो यह निर्धारित करते हैं कि कौन आवश्यक संसाधनों का उपयोग कर सकता है, साथ ही साथ। बहुत अधिक।
  स्वाभाविक रूप से, इन सभी बिंदुओं पर, साथ ही साथ पिछले सभी परिदृश्यों की संभावनाओं पर, मैं लाइव उदाहरण और ट्यूनिंग प्रक्रियाओं के साथ अधिक विस्तार से रहूंगा।

और जानना चाहते हैं?

मैं खुद अच्छी तरह से जानता हूं कि कभी-कभी एक विशुद्ध रूप से सैद्धांतिक हिस्सा बहुत सुस्त हो सकता है, खासकर अगर बहुत सारी सामग्री तुरंत प्रस्तुत की जाती है। हालांकि, सैद्धांतिक आधार के बिना कोई भी अभ्यास सामग्री के अध्ययन के लिए गलत दृष्टिकोण है। इस चक्र के निम्नलिखित लेखों में, जैसा कि मैंने पहले उल्लेख किया था, आप इस बारे में जानेंगे कि इस प्रक्रिया के दौरान क्या कथन हैं, कैसे बनाए जाते हैं और क्या नुकसान होते हैं; संसाधन के गुणों के बारे में जानें। मैं केंद्रीकृत पहुंच नीतियों और नियमों को बनाने में विभिन्न बारीकियों पर अधिक विस्तार से ध्यान केंद्रित करूंगा, और निश्चित रूप से, हम इस बारे में बात करेंगे कि इस तरह की केंद्रीकृत पहुंच नीतियां कैसे प्रकाशित और लागू की जा सकती हैं। उपरोक्त सभी कुछ पैराग्राफ में संक्षेप में उल्लिखित सभी परिदृश्यों पर विचार किया जाएगा। आप ऑडिटिंग के बारे में कुछ सीखेंगे और हम विभिन्न फाइलों और फ़ोल्डरों के वर्गीकरण को भी देखेंगे। इसके अलावा, मैं निश्चित रूप से डायनेमिक एक्सेस कंट्रोल से जुड़ी संभावित समस्याओं के निवारण के लिए एक अलग लेख समर्पित करूंगा।
सामान्य तौर पर, मुझे आशा है कि यह लेख आपके लिए बहुत थकाऊ नहीं था और आपने इस तकनीक का उपयोग करने के बारे में अधिक जानने की इच्छा नहीं खोई है। बदले में, निम्नलिखित लेखों में, स्वाभाविक रूप से, सैद्धांतिक सामग्री की प्रचुर मात्रा नहीं होगी, और वे मुख्य रूप से इस तकनीक का उपयोग करने के लिए परिदृश्यों, विभिन्न प्रक्रियाओं और चरण-दर-चरण उदाहरणों पर विचार करेंगे।