डायनेमिक एक्सेस कंट्रोल: दावों के साथ कैसे काम करें

इस श्रृंखला के पिछले लेख में, मैंने आपको थोड़ा सा पाठ्यक्रम में पेश किया और बताया कि डायनेमिक एक्सेस कंट्रोल क्या है, यह ACLs के आधार पर एक्सेस प्रदान करने से कैसे भिन्न होता है, इसके फायदे और सबसे आम परिदृश्यों के बारे में भी संक्षेप में, जब इस कार्यक्षमता को लागू करने की सलाह दी जाती है। लेख थोड़ा बोझिल था, विशेष रूप से सैद्धांतिक सामग्री से भरा हुआ था, और वास्तव में समझना मुश्किल था, क्योंकि इसमें किसी भी चरण-दर-चरण प्रक्रियाओं का वर्णन नहीं था।
इस लेख के साथ शुरुआत करते हुए, मैं खुद को सही करने की कोशिश करूंगा और आपको बताऊंगा कि इस तकनीक से परिचित कैसे शुरू करें। और शुरू करने के लिए, जैसा कि लेख के शीर्षक से देखा जा सकता है, इसे बयानों से ज्यादा कुछ नहीं किया जाना चाहिए (वे, जैसा कि मैंने पहले से ही पिछले लेख में लिखा था, उन्हें एप्लिकेशन, कलीमा और अन्य शब्दों को भी कहा जा सकता है), जिन्हें सुरक्षित रूप से जिम्मेदार ठहराया जा सकता है। गतिशील अभिगम नियंत्रण के मुख्य घटकों में से एक। अब मैं यथासंभव कम से कम सैद्धांतिक सामग्री देने की कोशिश करूंगा और चरण-दर-चरण प्रक्रिया पर लगभग तुरंत आगे बढ़ूंगा। तो, आप इस अपेक्षाकृत छोटे लेख से क्या सीख सकते हैं?
और इस लेख में मैं आपको बताऊंगा:

• क्या कथन हैं और उनके लाभ क्या होंगे;
• आप बयानों के प्रकारों के बारे में जानेंगे;
• सशर्त अभिव्यक्तियों और ऑपरेटरों के बारे में;
• और, सबसे महत्वपूर्ण बात, आप सीखेंगे कि सक्रिय निर्देशिका केंद्रीय प्रशासन और Windows PowerShell के साथ दावों का प्रबंधन कैसे करें।

इस लेख के परिचयात्मक भाग में अत्यधिक देरी न करने के लिए, हम पहले खंड की ओर मुड़ते हैं, जिसे कहा जाता है:

कथन क्या हैं और उनका क्या उपयोग होगा?

मुझे गलती करने से डर लगता है, लेकिन सबसे अधिक संभावना है, हमारे समय में, अब कोई भी उपयोगकर्ता नहीं है जो कम से कम एक बार अपने कुछ सार्वजनिक फ़ोल्डर तक पहुंच प्रदान नहीं करता है। विशेष रूप से इस उद्देश्य के लिए, विंडोज एनटी के दूर के दिनों में, Microsoft ने पहचान की अवधारणा को ऑपरेटिंग सिस्टम में पहचान के रूप में पेश किया, जो कई वर्षों से मजबूती से उलझा हुआ है। यहां सब कुछ स्पष्ट है: जैसा कि मैंने अपने एक लेख में उल्लेख किया है, फाइलों और संसाधनों तक पहुंच सीधे सुरक्षा पहचानकर्ताओं पर आधारित थी। यह पता चलता है कि सार्वजनिक फाइल संसाधनों तक पहुंच प्रदान की गई थी, इस आधार पर कि क्या उपयोगकर्ता को उसकी प्रमाणिकता के अनुसार सफलतापूर्वक प्रमाणित किया गया था। बेशक, ज्यादातर मामलों में, इस तरह के क्रेडेंशियल खाते और उसके पासवर्ड या किसी विशिष्ट समूह में उपयोगकर्ता की सदस्यता का नाम था। आप सभी पहचान की अवधारणा को अच्छी तरह से जानते हैं और, मेरा मानना ​​है कि इस पर फिर से रहने का कोई मतलब नहीं है।
लेकिन अभ्यास से पता चलता है कि कुछ मामलों में (और इस तरह के बहुत सारे मामले हैं), विभिन्न समूहों में सदस्यता के कारण, उपयोगकर्ताओं को गलती से संसाधनों तक पहुंच प्रदान की जा सकती है जो उन्हें बस उपयोग करने की अनुमति नहीं है। ऐसे मामलों से छुटकारा पाने के लिए, Microsoft से नवीनतम ऑपरेटिंग सिस्टम में एक नई अवधारणा पेश की गई, जिसे कहा जाता है, आपने यह अनुमान लगाया, एक बयान । गौर कीजिए कि यह क्या है।
अब आबादी का वह कौन सा हिस्सा है जो एक नया या अयोग्य शब्द सुनता है? वे विकिपीडिया को देखते हैं। इस विषय पर वहां क्या लिखा गया है? "भाषाविज्ञान में एक प्रतिज्ञान वाक्य का एक विशेष रूप है, जो सकारात्मक रूप में एक निश्चित घटना के बारे में एक परिकल्पना को सामने रखता है।" यह निश्चित रूप से ऐसा नहीं है।
और क्या मिल सकता है? "एक तार्किक कथन एक कथन है जो तार्किक संयोजनों का उपयोग करते हुए अन्य कथनों से बनता है।" इसके अलावा फिट नहीं है। "प्रोग्रामिंग में एक बयान एक कार्यक्रम में रखा गया एक विधेय है और यह दर्शाता है कि डेवलपर का अर्थ है कि यह विधेय हमेशा कार्यक्रम में इस बिंदु पर सच है।" लेकिन फिर भी, ऐसा लगता है कि यह सब वर्तमान संदर्भ में निहित नहीं है।
वास्तव में, आधिकारिक शब्दावली के अनुसार, दावे इस खाते की विशेषताओं में प्रदान किए गए प्राधिकरण को निष्पादित करने के प्रयास के बारे में जानकारी का एक विश्वसनीय स्रोत है, जिसे सक्रिय निर्देशिका डोमेन सेवाओं में संग्रहीत किया जाता है। विभिन्न सिद्धांतों में कई गुण शामिल हैं, जैसे उपयोगकर्ता या उसके कंप्यूटर की सुरक्षा पहचानकर्ता, वह इकाई जिसमें उपयोगकर्ता काम कर सकता है, उसका कमरा नंबर, वह शहर जिसमें वह रहता है। इसके अलावा, यह इस तथ्य पर ध्यान देने योग्य है कि कई बयानों को एक रिकॉर्ड में संग्रहीत किया जा सकता है, जो आपको लगभग किसी भी संभावित आवश्यकता को पूरा करने के लिए गतिशील पहुंच नियंत्रण नीतियों को लचीला बनाने की अनुमति देता है।
इस स्तर पर, आपके पास एक बहुत ही तार्किक प्रश्न हो सकता है: ये कथन हमें क्या देंगे और उनमें क्या बिंदु है? दावों का उपयोग करते हुए, आप दोनों फ़ाइलों और फ़ोल्डरों तक पहुंच को प्रतिबंधित कर सकते हैं। और दावों के बारे में सबसे अधिक मूल्यवान यह है कि सभी निर्मित दावे सीधे सक्रिय निर्देशिका में प्रकाशित किए जाएंगे। इसके अलावा, जैसा कि मैंने इस तकनीक पर पिछले लेख में उल्लेख किया है, सामान्य रूप से और विशेष रूप से बयानों में गतिशील अभिगम नियंत्रण के पूर्ण कामकाज के लिए, आपके संगठन के डोमेन या वन के कार्यात्मक स्तर पर कोई प्रतिबंध नहीं है।
चूंकि मैंने केर्बोस नेटवर्क प्रमाणीकरण प्रोटोकॉल पर लेखों में से एक में दावों के साथ केर्बोस के संबंध के बारे में विस्तार से बात की है, इस लिंक के पिछले लेख में मैंने जो लिंक दिया था, हम तुरंत इस तरह के विषय पर आगे बढ़ेंगे:

दावा प्रकार

आधिकारिक परिभाषा के अनुसार, विंडोज सर्वर 2012 में दावा का प्रकार उस वस्तु के बारे में सत्यापन विवरण है जिसके साथ वह जुड़ा हुआ है। जैसा कि आप शायद पहले ही अनुमान लगा चुके हैं, अनुमोदन प्रकार सक्रिय निर्देशिका विशेषता पर आधारित है और इसका उपयोग केंद्रीकृत एक्सेस नियमों को विकसित करते समय अनुमतियों को निर्धारित करने के लिए किया जाता है। Windows Server 2012 में, आप निम्न तीन प्रकार के दावों में से किसी का भी उपयोग कर सकते हैं:

• उपयोगकर्ता के बयान । इस प्रकार का दावा उपयोगकर्ता खातों से संबंधित विशेषता मानों के साथ जुड़ा हुआ है। स्वाभाविक रूप से, विंडोज सर्वर 2012 चलाने वाले डोमेन नियंत्रक आपको इस प्रकार के दावे के लिए सक्रिय निर्देशिका में उपलब्ध उपयोगकर्ता खाता विशेषताओं का अधिकतम उपयोग करने की अनुमति देते हैं;
• डिवाइस की मंजूरी । बदले में, इस प्रकार के दावे दावों में दी गई जानकारी के लिए जिम्मेदार हैं, जो कंप्यूटर खातों के लिए सक्रिय निर्देशिका डोमेन सेवाओं में प्रतिनिधित्व करने वाले उपकरणों से संबंधित है। स्वाभाविक रूप से, इस प्रकार का बयान आपको इस प्रकार के सुरक्षा प्रिंसिपल के लिए उपलब्ध विशेषताओं में से अधिकांश का उपयोग करने की अनुमति देता है;
• रूपांतरण कथन । अंतिम प्रकार का दावा एक डोमेन नियंत्रक द्वारा अनुमोदन परिवर्तन नीति का उपयोग करके जारी किया गया दावा है। जैसा कि इस श्रृंखला के पहले लेख में उल्लेख किया गया है, विंडोज सर्वर 2012 चलाने वाले डोमेन नियंत्रक आपको विश्वसनीय जंगल से उत्पन्न होने वाले दावों या एक भरोसेमंद जंगल में प्रवेश करने वाले दावों को परिवर्तित करने की अनुमति देते हैं। इस प्रकार के दावे पर इस तकनीक पर भविष्य के लेख में चर्चा की जाएगी।

सशर्त अभिव्यक्ति और ऑपरेटरों

धीरे-धीरे हम अधिक दिलचस्प हिस्से की ओर बढ़ेंगे। अधिक सटीक होने के लिए, अब हम सशर्त अभिव्यक्तियों पर विचार करेंगे जो ओएस सुरक्षा सबसिस्टम से संबंधित हैं जो विशेष रूप से दावों के आधार पर प्राधिकरण समर्थन को लागू करने में सक्षम होने के लिए विशेष रूप से विंडोज सर्वर 2012 ऑपरेटिंग सिस्टम में दिखाई देते हैं।
बयानों से संबंधित ये सशर्त अभिव्यक्ति क्या हैं? वास्तव में, ये सशर्त अभिव्यक्तियाँ बूलियन या तार्किक अभिव्यक्ति हैं, जो एक नियम के रूप में, एक विशेष ऑपरेटर द्वारा अलग किए गए दो ऑपरेंड में शामिल हैं। सशर्त अभिव्यक्तियों का परिणाम हमेशा केवल दो मान हो सकता है, या अधिक सटीक रूप से, ये TRUE और FALSE हो सकते हैं। यह इस तथ्य पर भी ध्यान देने योग्य है कि प्राधिकरण के मामले में और एक्सेस ऑडिटिंग के दौरान एसीई अभिव्यक्तियों का मूल्यांकन किया जाता है, इसलिए, पहले और दूसरे मामलों में, समान अभिव्यक्तियों का उपयोग किया जा सकता है।
लेकिन इन भावों का क्या होता है? मैंने पहले लिखा था कि एलएसए सबसिस्टम पीएसी से आवश्यक जानकारी पढ़ता है और पहुंच टोकन बनाता है। उसके बाद, उपयोगकर्ता द्वारा प्रदान की गई जानकारी के आधार पर, एक एक्सेस चेक किया जाता है और, सुरक्षा टोकन में निर्दिष्ट अनुमतियों के आधार पर, यह निर्धारित किया जाता है कि संसाधन तक पहुंच की अनुमति दी जाएगी या अंतिम उपयोगकर्ता को अस्वीकार कर दिया जाएगा। यह सब स्पष्ट है। हालाँकि, सुरक्षा प्रिंसिपल के SID के अलावा, Kerberos प्रमाणीकरण जानकारी में जोर देने के साथ, अतिरिक्त जानकारी शामिल करना संभव है जो इन सशर्त अभिव्यक्तियों में पाया जा सकता है।
कथन स्वयं संस्थाओं का एक संग्रह है, जैसे कि कथन का प्रकार और कथन का नाम, और उन्हें एक अवधि के द्वारा अलग किया जाना चाहिए (आप नीचे देखेंगे)। पहला भाग, जो स्पष्ट रूप से कथन के प्रकार को निर्धारित करने के लिए सीधे उपयोग किया जाता है, जो, जैसा कि आप और मैं पिछले अनुभाग में पाए गए थे, उपयोगकर्ता या उपकरण के रूप में कार्य कर सकते हैं। कथन के प्रकार का उल्लेख करने से पहले, @ प्रतीक को संकेत दिया जाना चाहिए, उसके बाद ही प्रकार। बयान के नाम के साथ हिस्सा बस नाम है जो आप इस तरह के बयान को दे सकते हैं जब आप इसे बनाते हैं।
बयान के बाएं और दाएं हिस्सों की तुलना एक विशेष ऑपरेटर द्वारा की जानी चाहिए, और दायां ऑपरेंड एक शाब्दिक मूल्य हो सकता है, जो बाएं ऑपरेंड के मूल्य का एक टुकड़ा हो सकता है।
कुल में, 13 ऑपरेटरों को प्रतिष्ठित किया जा सकता है, जो सबसे अधिक संभावना है, आपको पहले से ही अन्य सॉफ्टवेयर उत्पादों के साथ काम करने से परिचित होना चाहिए। मैं इस तरह के प्रत्येक ऑपरेटर के बारे में विस्तार से बात नहीं करूंगा, लेकिन बस उनके अर्थ बताएंगे। यह ऑपरेटर ( == ) के बराबर है , न के बराबर ( =! ), से अधिक ( > ), से कम ( < ), से अधिक या इसके बराबर ( > = ), से कम या इसके बराबर ( <= ), नहीं ! ( ! ), और ( && )। , या (()), समाहित करता है ( जिसमें शामिल है ), अर्थात् , जब इस तरह के एक ऑपरेटर का उपयोग करते हुए, बाएं ऑपरेंड में सही ऑपरेंड का टुकड़ा होना चाहिए; कोई भी ( Any_Of ), जिसका उद्देश्य कुछ हद तक पिछले ऑपरेटर के समान है, सिवाय इसके कि सही ऑपरेटर के मूल्य का केवल एक टुकड़ा मूल्य के रूप में कार्य कर सकता है; ग्रुप मेंबर ( मेंबरऑफ ) - इसमें लगभग वही होता है , जिसमें केवल ऑपरेंड SID होता है, साथ ही किसी भी मेंबर ग्रुप ऑपरेटर ( मेंबरऑफ_एनी ), जिसकी तुलना किसी भी ऑपरेटर से की जा सकती है।
अब आइए सशर्त अभिव्यक्तियों के एक उदाहरण पर विचार करने की कोशिश करें, जिन्हें डायनेमिक एक्सेस कंट्रोल परिदृश्यों को लागू करते समय बयानों के साथ इस्तेमाल किया जा सकता है। उदाहरण के लिए, निम्नलिखित अभिव्यक्ति लें:

 @ उपयोगकर्ता। बॉक्स == "मार्केटिंग" && (@ User.Title == "फाइनेंसर" || @ उपयोगकर्ता। शीर्षक == "मार्केटिंग")

इस अभिव्यक्ति को सशर्त रूप से तीन भागों में विभाजित किया जा सकता है, और ऐसा प्रत्येक भाग बयानों का उपयोग करता है, और यहां तक ​​कि दूसरे और तीसरे भाग जो ब्रैकेट में हैं, उन्हें एक साथ संसाधित किया जाएगा। अब थोड़ा और विस्तृत और भागों में।
सशर्त अभिव्यक्तियों की प्राथमिकताओं के आधार पर, पहले निष्पादित किए जाने वाले भाव हैं जो कोष्ठक में स्थित हैं। यहां कोष्ठक में आप दो ऑपरेटर पा सकते हैं: == और || फिर, यदि आप प्राथमिकताओं को देखते हैं, तो == ऑपरेटर को हमेशा पहले संसाधित किया जाना चाहिए। इसलिए, अभिव्यक्ति को बाएं से दाएं संसाधित किया जाता है।
यहां, उपयोगकर्ता .Title, जो आपके कर्मचारी की स्थिति के लिए जिम्मेदार है, उपयोगकर्ता की स्वीकृति का प्रकार है। इसका मतलब है कि हम जांचते हैं कि "फाइनेंसर" की स्थिति उपयोगकर्ता की स्थिति है या नहीं। मान लें कि हमारा उपयोगकर्ता एक बाज़ारिया है, जिसका अर्थ है कि पहली अभिव्यक्ति में, मूल्य FALSE होगा, अर्थात गलत। हालाँकि, हमारे पास दो संक्रियाओं के बीच का संचालक है, जिसका अर्थ है तार्किक "OR"। इसका मतलब यह है कि अगर दूसरी अभिव्यक्ति सच है, तो बाईं ओर की सशर्त अभिव्यक्ति की जाँच की जाएगी।
हमारे मामले में, चूंकि उपयोगकर्ता एक बाज़ारिया है, इसलिए कोष्ठक में दूसरी सशर्त अभिव्यक्ति मूल्य TRUE लेगी, और इसका मतलब है कि आप आगे की स्थितियों की जांच कर सकते हैं। इस स्तर पर, हमारे पास निम्नलिखित अभिव्यक्ति है:

 @ उपयोगकर्ता। बॉक्स == "मार्केटिंग" और& (FALSE || TRUE)

इसका मतलब है कि अभिव्यक्ति को और भी कम किया जा सकता है:

 @ उपयोगकर्ता। बॉक्स == "विपणन" और & TRUE

उसके बाद, सबसे बाईं सशर्त अभिव्यक्ति की जाँच की जाती है। यहाँ, मुझे लगता है, सब कुछ स्पष्ट है। यह जांचा जाता है कि हमारे उपयोगकर्ता का विभाग "मार्केटिंग" है या नहीं । चूंकि हमारा उपयोगकर्ता एक बाज़ारिया है, इसलिए मान लीजिए कि उसका विभाग ठीक विपणन विभाग है, और इसका अर्थ है कि अभिव्यक्ति सही है। हम निम्नलिखित प्राप्त करते हैं:

 TRUE && TRUE

चूंकि && ऑपरेटर एक तार्किक है और इसका मतलब है कि दोनों ही स्थितियां सही होनी चाहिए। हमारे मामले में, यह है। नतीजतन, हालत सच है और पहुंच प्रदान की जाएगी। यदि FALSE यहां कहीं दिखाई देता है, तो && ऑपरेटर के साथ यह प्रबल होगा, और अंततः हमें FALSE परिणाम प्राप्त होगा।
दूसरे शब्दों में, हमें एक अभिव्यक्ति मिलती है जिसे निम्न चित्रण में दर्शाया गया है:


अंजीर। 1. एक फ़ोल्डर के लिए एक अनुमति बॉक्स में एक सशर्त अभिव्यक्ति का एक उदाहरण
चौकस पाठक के लिए प्रश्न: निम्नलिखित सशर्त अभिव्यक्ति क्या है, और चेक कैसे किया जाएगा, यह देखते हुए कि हम उसी उपयोगकर्ता के साथ काम कर रहे हैं, जो ऊपर चर्चा की गई थी:

 (@ User.Title == "एकाउंटेंट" || @ User.Title == "फाइनेंसर") ||  @ User.Depbox! = "ग्राहक सहायता"

और स्वयं बयान की वस्तुएं क्या हैं?

जैसा कि आप जानते हैं, एक्टिव डायरेक्टरी स्कीमा में, आप उन सभी ऑब्जेक्ट्स का विवरण पा सकते हैं, जिन्हें आप एक्टिव डायरेक्ट्री डोमेन सर्विसेज में काम कर सकते हैं। और डायनेमिक एक्सेस कंट्रोल टेक्नोलॉजी की वस्तुएं किसी भी तरह से अपवाद नहीं हैं। अब तक, इस स्तर पर, मुझे उन सभी वस्तुओं का वर्णन करने का कोई कारण नहीं दिखाई देता है जिनका वर्तमान तकनीक से एक या कोई अन्य संबंध है, लेकिन ध्यान दें कि ऐसी 9 वस्तुएं हैं (बेशक, लगभग तीन गुना अधिक विशेषताएँ हैं), लेकिन इस अवस्था में दिए गए कथनों के साथ , केवल दो वस्तुओं को अलग किया जा सकता है, अर्थात्:

• msDS-ClaimTypePropertyBase । यह सक्रिय निर्देशिका वर्ग एक अमूर्त वर्ग ऑब्जेक्ट है जो अक्सर msDS-ClaimType क्लास ऑब्जेक्ट्स के साथ-साथ msDS-ResourceProperty के लिए सामान्य विशेषताओं को पूर्वनिर्धारित करने के लिए उपयोग किया जाता है, जिसके बारे में आप अगले लेख में जानेंगे। इस ऑब्जेक्ट से जुड़ी तीन विशेषताएँ हैं: सक्षम (सब कुछ बिना किसी स्पष्टीकरण के), MSDS-ClaimPossibleValues (एक स्ट्रिंग यूनिकोड मान जो उपयोगकर्ता इंटरफ़ेस में अपेक्षित मान को परिभाषित करता है। यह मान आमतौर पर एक XML फ़ाइल और msDS-ClaimsSharesPossibleValuesWith () में संग्रहीत होता है। msDS-ClaimType ऑब्जेक्ट के विशिष्ट नाम को स्वीकार करता है और इसे एक विशेषता के रूप में उपयोग किया जाता है जो msDS-ResourceProperty ऑब्जेक्ट के लिए msDS-ClaimPossibleValues ​​का मान निर्धारित करता है);
• एमएसडीएस-दावा । लेकिन यह सक्रिय निर्देशिका वर्ग ऑब्जेक्ट के लिए एक संरचनात्मक वर्ग के रूप में कार्य करता है जिसका उपयोग संगठन सुरक्षा प्राचार्यों द्वारा उपयोग किए गए बयानों का प्रतिनिधित्व करने के लिए किया जाता है। इस ऑब्जेक्ट में पहले से बड़ी संख्या में विशेषताएँ शामिल हैं, जिनमें शामिल हैं: msDS-ClaimAttributeSource (इसमें अनुमोदन स्रोत के रूप में उपयोग की जाने वाली विशेषता परिभाषा योजना का विशिष्ट नाम शामिल है), msDS-ClaimIsSingleValued (बूलियन मान का प्रतिनिधित्व करता है जो यह निर्धारित करता है कि क्या कथन शामिल है या कथन प्रकार केवल एक मान है), msDS-ClaimIsValueSpaceRestricted (फिर से, एक बूलियन मान शामिल है जो निर्धारित करता है कि वर्तमान वर्ग ऑब्जेक्ट msDS-ClaPPossibleValues ​​विशेषता में परिभाषित मूल्य से अलग मान स्वीकार कर सकता है), msDS- दावा imSource (ऐसी विशेषता msDS-ClaimType ऑब्जेक्ट के लिए गैर-विशेषता स्रोत के लिए ज़िम्मेदार है, जिसका एक उदाहरण, कहते हैं, एक प्रमाण पत्र है), msDS-ClaimSourceType (एक विशेषता जो अनुमोदन प्रकार के स्रोत के लिए ज़िम्मेदार है), msDS-ClaimTypeAppliesToClass (एक विशेषता जो वर्ग योजना को परिभाषित करती है) सुरक्षा प्रमुख वस्तु, जिस पर वक्तव्य जारी किया गया है), msDS-ClaimValueType (एक विशेषता जो एक लंबे पूर्णांक के रूप में अद्वितीय मानों को बांधती है)।

MsDS-ClaimType क्लास ऑब्जेक्ट्स को निम्न चित्र में दिखाया गया है:


अंजीर। 2. कक्षा msDS-ClaimType की वस्तुएँ

दावा प्रबंधन

इस तथ्य के कारण कि Microsoft से नवीनतम सर्वर ऑपरेटिंग सिस्टम में, डेवलपर्स ने सीधे सक्रिय निर्देशिका प्रशासनिक केंद्र , और साथ ही विंडोज पॉवरशेल कमांड शेल जैसे टूल पर विशेष ध्यान देने की कोशिश की, आप पहले या दूसरे का उपयोग करके अपने दावे प्रकारों का प्रबंधन कर सकते हैं। साधन। चूंकि केवल एक उपकरण पर विचार करना अनुचित होगा, इसलिए निम्नलिखित अनुभागों में मैं दिखाऊंगा कि आप इन दोनों प्रशासनिक साधनों का उपयोग करके दावों के साथ कैसे काम कर सकते हैं। और हम शुरू करेंगे, स्वाभाविक रूप से, साथ

सक्रिय निर्देशिका केंद्रीय प्रशासन का दावा प्रबंधन

सिद्धांत रूप में, विशुद्ध रूप से सैद्धांतिक भाग को लंबे समय तक बाहर खींच लिया गया है, इसलिए, अनावश्यक प्रस्तावना के बिना, मैं शायद इस बिंदु पर गुजरूंगा। इसलिए, सक्रिय निर्देशिका केंद्रीय प्रशासन का उपयोग करते हुए बाद में केंद्रीकृत पहुंच नीतियों के लिए उपयोग किया जाने वाला अभिकथन बनाने के लिए, आपको निम्नलिखित चरण करने होंगे:

1. डोमेन नियंत्रक पर, सक्रिय निर्देशिका केंद्रीय प्रशासन विंडो खोलें, जहां सूची क्षेत्र में डायनामिक एक्सेस कंट्रोल नोड का चयन करें और फिर दावा प्रकार नोड ( डायनामिक एक्सेस कंट्रोल > दावा प्रकार ) का चयन करें;
2. «» « » ( New > Claim Type ), , Active Directory Active Directory , . , , .
   
   
   अंजीर। 3.
3. « » , « » ( Source Attribute ) , . , , , , « » ( Source Attribute ), , . , User , Computer , inetOrgPerson , ManagerServiceAccount , GroupManagerServiceAccount , . , , , , , , , OID SID. , , , , , ( RODC). , department , , , .
   
   
   अंजीर। 4. « »
4. , , :
   
   • ( Display Name ). , , . , , . , ;
   • ( Description ). . – 1024 . ;
   • ( Claims of this type can be issued for the following classes ). , , (, ), , , ;
   • , , ( Set ID to a semantically identical claim type in a trusted forest ). , . , Active Directory . वह कैसा दिखता है? ad , , , ext ( ad://ext/ ). . , - GUID. , , :
     ad://ext/department:88d0094e632018a6
     , , , , , , . , . , . , , , . , , ext/ 32 , . . , , , ;
   • ( Protect from accidental deletion ). , , Active Directory, . , , , .
5. « » ( Suggested Values ) , . , :
   
   
   अंजीर। 5. « »
   
   • ( No values are suggested ). , . , , ;
   • ( The following values are suggested ). , . , «» , «» «» ( Add , Edit Remove ), . ?
     «» « » , : « » ( Value ), , « » ( Display Name ) – , , « » ( Description ), .
     :
     
     
     अंजीर। 6.
6. . हो गया।

इसके अलावा, दावों के साथ काम करते समय, याद रखें कि उनके दो राज्य हो सकते हैं: चालू और बंद। अक्षम दावे उनके अद्वितीय पहचानकर्ताओं के साथ अनुकूलित रहते हैं, हालाँकि आप भविष्य में उनका उपयोग नहीं कर सकते। प्रकार अनुमोदन, सिर्फ पर्याप्त एक वस्तु पर प्रकाश डाला करने के लिए "संदर्भ मेनू से अक्षम करें और चयन करने के लिए आदेश में डिस्कनेक्ट » ( अक्षम )।

Windows PowerShell प्रबंधन का दावा करता है

PowerShell के बिना, जैसा कि वे कहते हैं, कहीं नहीं। और अगर हम इस तथ्य को भी ध्यान में रखते हैं कि उस समय में Microsoft से सर्वर ऑपरेटिंग सिस्टम, लगभग किसी भी कार्रवाई के लिए cmdlets विकसित किए गए थे, तो यह स्पष्ट है कि डायनेमिक एक्सेस कंट्रोल तकनीक के मामले में, आप इस आधुनिक कंप्यूटर शेल की समृद्ध कार्यक्षमता का लाभ उठा सकते हैं।
आपको इस तथ्य पर तुरंत ध्यान देना चाहिए कि दोनों प्रकार के दावों के साथ और विशेष रूप से डायनेमिक एक्सेस कंट्रोल तकनीक के साथ काम करने के लिए, आपको Windows PowerShell के लिए सक्रिय निर्देशिका मॉड्यूल का उपयोग करने की आवश्यकता होगी। समृद्ध PowerShell सुविधा का उपयोग करके, आप दावे प्रकारों को बना सकते हैं, संशोधित कर सकते हैं, हटा सकते हैं, सक्षम कर सकते हैं और अक्षम कर सकते हैं। यही है, मोटे तौर पर बोलते हुए, आप सभी समान कार्य कर सकते हैं जो सक्रिय निर्देशिका व्यवस्थापक केंद्र में चित्रमय इंटरफ़ेस के माध्यम से सुलभ हैं।
चूंकि यह लेख वजनदार निकला, हम केवल दो प्रकार के बयानों के निर्माण (पूर्वनिर्धारित मूल्यों के साथ और बिना) पर विचार करेंगे, साथ ही साथ उस प्रकार के बयान को अक्षम कर सकते हैं जिसके लिए मूल्यों को परिभाषित नहीं किया गया है। साधन:
एक नया दावा प्रकार बनाने के लिए, नए-ADClaimType cmdlet का उपयोग करें। इस cmdlet के साथ, आप 21 मापदंडों तक का उपयोग कर सकते हैं, जिसका उद्देश्य नाम से ही स्पष्ट है। इसलिए, मैं प्रत्येक पैरामीटर पर विस्तार से ध्यान नहीं दूंगा, लेकिन तुरंत एक नए प्रकार के बयान बनाने के एक उदाहरण पर विचार करने का प्रस्ताव करता हूं। हम निम्नलिखित cmdlet का उपयोग करते हैं:

New-ADClaimType –AppliesToClasses: @ ('user') -Description: "डिवीजन विशेषता परिभाषा" -DisplayName: "डिवीजन" -IssingkeValued: $ true -Server: "DC.biopharmaceutic.local" -ProtectedFromAccedentialDeletion: $ true CN = डिवीजन, CN = स्कीमा, CN = कॉन्फ़िगरेशन, DC = बायोफार्मास्यूटिकल, DC = स्थानीय ”

यहां, कुछ बिंदुओं पर ध्यान देना सुनिश्चित करें। सबसे पहले, –AppliesToClasses पैरामीटर सिंटैक्स निम्नानुसार है: आप @ प्रतीक निर्दिष्ट करते हैं, और फिर कोष्ठक और उद्धरण चिह्नों में कथन का प्रकार इंगित करते हैं। यदि आप कई प्रकार निर्दिष्ट करना चाहते हैं, तो उन्हें अल्पविराम से अलग करें। विशेषता का पथ पूरी तरह से निर्दिष्ट किया जाना चाहिए, जैसा कि पिछले कमांड से देखा जा सकता है। यदि आपको पहचानकर्ता को निर्धारित करने की आवश्यकता है, तो -आईडी पैरामीटर का उपयोग करें और पहचानकर्ता को एक वैध प्रारूप में निर्दिष्ट करें, उदाहरण के लिए, -ID: विज्ञापन: // ext / विभाजन: 88d00962e3d07cd1 ।
अब आइए एक और अधिक जटिल उदाहरण देखें, जिसमें, एक साथ कथन के प्रकार के साथ, हम कई मूल्यों को पूर्वनिर्धारित करने का भी प्रयास करेंगे। आइए एक पोस्ट के लिए अनुमोदन प्रकार बनाने का प्रयास करें जहां मान सेट किए जाएंगेविपणक , एकाउंटेंट और फाइनेंसर :

New-ADClaimType -AppliesToClasses:@('user') -Description:" " -DisplayName:"title" -IsSingleValued:$true -Server:"DC.biopharmaceutic.local" -ProtectedFromAccidentalDeletion:$true -SourceAttribute:"CN=Title,CN=Schema,CN=Configuration,DC=biopharmaceutic,DC=local" -SuggestedValues:@((New-Object Microsoft.ActiveDirectory.Management.ADSuggestedValueEntry("", "", "   ")), (New-Object Microsoft.ActiveDirectory.Management.ADSuggestedValueEntry("", "", "   ")), (New-Object Microsoft.ActiveDirectory.Management.ADSuggestedValueEntry("", "", "   ")))

जैसा कि आप नोटिस नहीं कर सके, स्क्रिप्ट बहुत अधिक व्यापक रूप से सामने आई। यहां, पहले पैरामीटर लगभग समान हैं, इसलिए यह उन्हें अलग करने के लिए कोई मतलब नहीं है। लेकिन -SuggestedValues पैरामीटर , जो प्रस्तावित मूल्यों के लिए जिम्मेदार है, काफी डरावना लग सकता है। वास्तव में, उसके साथ सब कुछ बहुत सरल है। पैरामीटर निर्दिष्ट किया गया है, बृहदान्त्र के बाद, आपको @ प्रतीक और कोष्ठक में निर्दिष्ट करना होगा, न्यू-ऑब्जेक्ट cmdlet का उपयोग करके , आपको Microsoft सक्रिय निर्देशिका प्रबंधन ADSuggestedValueEntry ऑब्जेक्ट को कोष्ठक में परिभाषित तीन मानों और कॉमा द्वारा अलग करने के साथ जोड़ना होगा । प्रत्येक नई वस्तु को जोड़ने से पहले, एक अल्पविराम लगाएं और अंतिम को अतिरिक्त कोष्ठक में जोड़ें। यानी सब कुछ कमोबेश पारदर्शी है।
और अब तीसरा उदाहरण, जो मूल्यों के बिना पहले से बनाए गए प्रकार के बयान को अक्षम कर देगा। यह कथन के प्रकार को बदलने के लिए डिज़ाइन किए गए cmdlet का उपयोग करके लागू किया जा सकता है। यही है, अब हम सेट-ADClaimType cmdlet का उपयोग करेंगे , निश्चित रूप से - सक्षम पैरामीटर के साथ । यह पता चला है कि आपको निम्नलिखित कमांड चलाना चाहिए:

सेट-ADClaimType -Identity "CN = ad: // ext / Division: 88d00968ab6e025f, CN = दावा प्रकार, CN = दावे कॉन्फ़िगरेशन, CN = सेवाएँ, CN = कॉन्फ़िगरेशन, DC / बायोफार्मास्यूटिकल, DC = स्थानीय" -Enabled: $ false

यहां इस तथ्य पर ध्यान देना आवश्यक है कि पैरामीटर का मान - पहचान आवश्यक रूप से इस प्रकार के बयान के मूल्य के साथ बयान प्रकार के ऑब्जेक्ट की प्रतिष्ठित विशेषता से मेल खाना चाहिए । फिर, जैसा कि आप देखते हैं, कुछ भी जटिल नहीं है।
Windows PowerShell विंडो में कमांड आउटपुट निम्न चित्रण में दिखाया गया है:


अंजीर। 7. Cmdlets, जिसका निष्पादन पहले लिखा गया था
, इसलिए, उपरोक्त सभी कार्यों को पूरा करने के बाद, सक्रिय निर्देशिका केंद्रीय प्रशासन विंडो में अनुमोदन प्रकार की तीन वस्तुओं को प्रदर्शित किया जाना चाहिए, और उनमें से एक को अक्षम किया जाना चाहिए। इसे निम्नलिखित दृष्टांत में देखा जा सकता है:


अंजीर। 8. सक्रिय निर्देशिका केंद्रीय प्रशासन विंडो

और फिर?

असल में, यहाँ इस लेख की सामग्री समाप्त हो गई है। मैंने आपको बताया कि दावे क्या हैं, दावे किस प्रकार के हैं, सशर्त अभिव्यक्ति क्या हैं, और आपने यह भी सीखा कि सक्रिय निर्देशिका प्रशासनिक केंद्र और विंडोज पॉवरशेल जैसे टूल का उपयोग करके दावों के प्रकार कैसे प्रबंधित करें । स्वाभाविक रूप से, यह तकनीक के साथ परिचित को समाप्त नहीं करता है जैसे कि गतिशील अभिगम नियंत्रण, क्योंकि बहुत सारी दिलचस्प बारीकियों, प्रक्रियाओं, क्षमताओं और परिदृश्यों पर विचार किया जाएगा। उदाहरण के लिए, अगले लेख में हम संसाधन गुणों के बारे में बात करेंगे।