डायनेमिक एक्सेस कंट्रोल: केंद्रीकृत एक्सेस नियमों और नीतियों के साथ काम करना

इस तरह की तकनीक को गतिशील पहुंच नियंत्रण के रूप में मेरे लेखों में लंबे समय से माना जाता है, लेकिन, ईमानदार होने के लिए, मैं उन सभी विषयों के आधे हिस्से तक भी नहीं पहुंच पाया हूं, जिन पर मैं विचार करना चाहता हूं। लेकिन, फिर भी, यह आलेख आपको इस तकनीक को बेहतर बनाने और अगले ईंट के बारे में जानने की अनुमति देगा, जो गतिशील नियंत्रण नियंत्रण की पूरी नींव से जुड़ा हुआ है। बोलचाल की भाषा में, डायनेमिक एक्सेस कंट्रोल की इस ईंट को केंद्रीकृत एक्सेस से ज्यादा कुछ नहीं होने के लिए जिम्मेदार ठहराया जा सकता है। केंद्रीय पहुंच, संक्षेप में, आपको संबंधित प्राधिकरण नीतियों के लिए एक केंद्रीकृत तंत्र को लागू करने की अनुमति देता है, धन्यवाद जिससे आप अपनी कंपनी में अधिकारों के "स्मार्ट" वितरण को स्वचालित कर सकते हैं। वास्तव में, यदि आप अपने दावों को ठीक से उत्पन्न करते हैं, योजना बनाते हैं और अपने व्यवसाय के लिए तैयार सभी संसाधन संपत्ति वस्तुओं को बनाते हैं, तो आवश्यक संसाधन संपत्ति सूचियों को कॉन्फ़िगर करें और सुंदर और सही वर्गीकरण को लागू करें, लेकिन केंद्रीकृत नियमों या पहुंच नीतियों, आपके सभी कार्यों के साथ काम करते समय अनजाने तुच्छ गलतियां करें। tartarara के लिए उड़ान भर सकते हैं।
यह इस कारण से है कि आपके अद्वितीय केंद्रीकृत अभिगम नियमों और नीतियों के निर्माण पर ध्यान देना बेहद आवश्यक है और इस पर अधिक से अधिक समय बिताना होगा क्योंकि गतिशील नियंत्रण प्रौद्योगिकी को लागू करने के बाद होने वाली सभी संभावित स्थितियों का पूरी तरह से अनुमान लगाना आवश्यक होगा। आपके उत्पादन वातावरण तक पहुँच। यहां यह बहुत महत्वपूर्ण है कि आप शुरू में प्रयोगशाला में सभी परीक्षण करते हैं और यदि संभव हो तो पायलट समूह के साथ, अन्यथा परिणाम सबसे अप्रत्याशित हो सकता है। सिद्धांत रूप में, हम इस श्रृंखला के अंतिम लेखों में से एक में डायनेमिक एक्सेस नियंत्रण की योजना पर लौटेंगे, इसलिए इस विषय पर इस चरण में बसना व्यर्थ है।
आज हम इस तरह के मुद्दों पर विचार करेंगे जैसे कि केंद्रीकृत अभिगम नियमों की नियुक्ति स्वयं और केंद्रीकृत पहुंच नीतियां। आप सीखेंगे कि ऐसे नियम और नीतियां कैसे बनाएं, संपादित करें और हटाएं। इसके अलावा, इस लेख में आप केंद्रीकृत पहुंच नीतियों के वितरण और अनुप्रयोग के बारे में जानेंगे। यह पता चला है, जैसा कि इस चक्र के चौथे लेख के मामले में, इस लेख में बहुत सारी सामग्री होगी, इस कारण से हम पहले खंड पर आगे बढ़ेंगे।

केंद्रीयकृत प्रवेश नियम

इससे पहले कि हम केंद्रीकृत पहुंच नियम बनाना शुरू करें, हमें यह तय करने की आवश्यकता है कि यह वास्तव में क्या है और ऐसी वस्तुएं किस लिए हैं। परिभाषा के अनुसार, एक सेंट्रल एक्सेस नियम प्राधिकरण नियमों की एक अभिव्यक्ति है जिसमें उपयोगकर्ता समूहों, उपयोगकर्ता और डिवाइस की आवश्यकताओं और संसाधन गुणों को प्रभावित करने वाली एक या अधिक शर्तें शामिल हो सकती हैं। यह पता चला है कि उत्पन्न केंद्रीकृत अभिगम नियम यह निर्धारित करता है कि संसाधनों के एक निश्चित क्षेत्र तक पहुंच किसको दी जाएगी। गतिशील अभिगम नियंत्रण की तकनीक की सभी वस्तुओं की तरह, इस तरह के नियमों में अद्वितीय नाम और निश्चित रूप से, वैकल्पिक रूप से, स्पष्ट विवरण शामिल होना चाहिए। इसके अलावा, जैसा कि मैंने पहले ही बताया है, इन नियमों में कुछ अभिव्यक्तियाँ भी शामिल हैं, जो एसडीडीएल भाषा (सुरक्षा डिस्क्रिप्टिव डेफिनिशन लैंग्वेज) की सशर्त अभिव्यक्तियाँ हैं।
यह भी ध्यान दिया जा सकता है कि कई केंद्रीकृत एक्सेस नियमों को एक केंद्रीकृत एक्सेस पॉलिसी में जोड़ा जा सकता है। सामान्य तौर पर, यदि एक डोमेन के लिए एक या अधिक केंद्रीकृत पहुंच नियम परिभाषित किए गए हैं, तो उनकी सुविधा के लिए, फ़ाइल संसाधन व्यवस्थापक, विशिष्ट संसाधनों और व्यावसायिक आवश्यकताओं के लिए विशिष्ट नियमों को मैप कर सकते हैं।
सैद्धांतिक रूप से, केंद्रीकृत पहुंच नियमों के संबंध में सैद्धांतिक भाग के संदर्भ में, कहने के लिए पहले से ही अनिवार्य रूप से कुछ नहीं है, इसलिए आइए अधिक दिलचस्प भाग पर जाएं: व्यावहारिक एक। अगला, मैं केंद्रीकृत एक्सेस नियमों को बनाने, संपादित करने और हटाने के बारे में बात करूंगा। हम स्वाभाविक रूप से शुरुआत करेंगे

एक केंद्रीय पहुँच नियम बनाएँ

सबसे पहले, आपको पता होना चाहिए कि डिफ़ॉल्ट रूप से सर्वरों पर कोई केंद्रीकृत नियम नहीं बनाया गया है। इसलिए, केंद्रीकृत एक्सेस नियमों के आगे उपयोग के लिए, और इससे भी अधिक केंद्रीकृत एक्सेस नीतियों के लिए, आपको निश्चित रूप से उन्हें स्वयं बनाने की आवश्यकता होगी। अपने आप में अद्वितीय केंद्रीकृत पहुँच नियमों का निर्माण कोई कठिन काम नहीं है। यह प्रक्रिया आपको उन सभी वस्तुओं को बनाने की याद दिला सकती है, जिनके बारे में हमने इस श्रृंखला के पिछले लेखों में बात की थी, क्योंकि आप इस कार्य को सक्रिय निर्देशिका केंद्रीय प्रशासन का उपयोग करके, या Windows PowerShell जैसे उपकरण का उपयोग करके कर सकते हैं। बेशक, हम सक्रिय निर्देशिका केंद्रीय प्रशासन केंद्र के कंसोल से शुरू करेंगे। पूरी प्रक्रिया इस प्रकार है:

1. डोमेन नियंत्रक पर, आपको "सक्रिय निर्देशिका प्रशासनिक केंद्र" कंसोल खोलना चाहिए, जहां संक्रमण नोड्स क्षेत्र में आपको "डायनेमिक एक्सेस कंट्रोल" नोड का चयन करना होगा और फिर "सेंट्रल एक्सेस रूल्स" ( डायनेमिक एक्सेस कंट्रोल> सेंट्रल एक्सेस रूल्स ) का चयन करना होगा। आप इस कंसोल की प्रारंभिक स्क्रीन पर डायनेमिक एक्सेस कंट्रोल टाइल पर विकल्प नंबर 3 - "एक केंद्रीकृत अभिगम नियम बनाएँ" का चयन करके इस नोड पर जा सकते हैं;
2. इस प्रक्रिया के दूसरे चरण में, आपको या तो विवरण फलक के संदर्भ मेनू से या निम्न फलक में दिखाए गए विवरण मेनू से केंद्रीय विकल्प नियम या केंद्रीय प्रवेश नियम ( नया> केंद्रीय प्रवेश नियम ) का चयन करने की आवश्यकता है। :
   
   
   अंजीर। 1. एक नया केंद्रीय एक्सेस नियम बनाएं
3. जैसा कि आप नंबर 2 पर चित्रण में देख सकते हैं, जो संवाद बॉक्स में दिखाई देता है, आपको तीन अलग-अलग समूहों में आवश्यक नियंत्रण तत्वों के मूल्यों को निर्धारित करना चाहिए, और एक नया नियम बनाने के लिए, यहां तक ​​कि बड़े और आपके द्वारा ऊपरी समूह के केवल पहले नियंत्रण को भरने के लिए पर्याप्त होगा। लेकिन पहली चीजें पहले:
   
   • समूह "सामान्य" ( सामान्य )। इस समूह में डायनामिक एक्सेस कंट्रोल तकनीक की अधिकांश निर्मित वस्तुओं के लिए लगभग एक मानक मानक है। इस समूह में, आपको निम्नलिखित तीन मुख्य मापदंडों को परिभाषित करने की अनुमति है:
     
     • नाम (नाम)। यहां सब कुछ स्पष्ट है: ऐसे प्रत्येक नियम की पहचान करने के लिए, आपको निश्चित रूप से इसके नाम का संकेत देना चाहिए। नाम अद्वितीय होना चाहिए, अल्फ़ान्यूमेरिक प्रारूप में इंगित किया गया है, और इस पैरामीटर को भरना एक एक्सेस नियम बनाने के लिए एक शर्त माना जाता है। वैसे, अपने केंद्रीय एक्सेस नियमों की योजना बनाते समय, ध्यान रखें कि आपके नियम के नाम के लिए अधिकतम वर्ण 64 वर्ण हैं। यही है, आपको इस सीमा से अधिक नहीं होने की आवश्यकता है। उदाहरण के लिए, इस उदाहरण में, नियम को " केंद्रीय बाजार में सहयोगी कंपनियों के संसाधनों को पढ़ने की अनुमति " कहा जाता है । कार्यालय ";
     • वर्णन । एक वैकल्पिक टेक्स्ट फ़ील्ड, लेकिन विवरण होने से आपको मदद मिल सकती है यदि आपके लिए दर्जनों या इससे अधिक केंद्रीकृत एक्सेस नियम उत्पन्न होते हैं। नाम के साथ, इस क्षेत्र में वर्णों की संख्या भी सीमित है। आपको अपने शासन के विवरण को अधिकतम 1024 वर्णों में फिट करना होगा, क्योंकि अन्यथा आप ऐसा नियम नहीं बना सकते। विवरण में, हम लिखते हैं कि " कंपनी की शाखाओं के लक्ष्य संसाधन के लिए मुख्य कार्यालय के विपणन संसाधनों तक पहुंच को पढ़ने की अनुमति देता है ";
     • आकस्मिक विलोपन से सुरक्षा (आकस्मिक विलोपन से सुरक्षा) । एक्टिव डायरेक्ट्री सेंट्रल एडमिनिस्ट्रेशन ऑब्जेक्ट्स के लिए मानक चेक बॉक्स, जो नियम निर्माता को छोड़कर सभी को वर्तमान नियम को हटाने से रोकता है, यहां तक ​​कि यह विचार करते हुए कि डोमेन प्रशासक और एंटरप्राइज़ एडमिनिस्ट्रेटर के सुरक्षा समूहों में केवल व्यवस्थापक ही ऐसे नियमों को बना, संशोधित या हटा सकते हैं।
   • लक्ष्य संसाधन समूह इस संवाद बॉक्स के दूसरे समूह का उपयोग एक केंद्रीकृत एक्सेस नियम के तथाकथित दायरे को निर्धारित करने के लिए किया जाता है। इस तरह के दायरे को पहले से बनाई गई संसाधन संपत्ति वस्तुओं को तथाकथित सशर्त अभिव्यक्तियों के रूप में परिभाषित करके बनाया गया है। इस प्रकार, आपके द्वारा बनाए गए नियम के लिए, आप लगभग किसी भी संभावित दायरे को निर्धारित कर सकते हैं। इस तथ्य के बावजूद कि यह अक्सर एक ही डिस्क स्थान के छोटे समूहों के लिए विशेष रूप से केंद्रीकृत एक्सेस नियमों को लागू करने के लिए स्वीकार किया जाता है, आप डिफ़ॉल्ट मान छोड़ सकते हैं, इसलिए नियम सभी संभव लक्ष्य संसाधनों पर लागू किया जाएगा। आप मानक और या या ऑपरेटर्स का उपयोग करके ऐसे सशर्त अभिव्यक्तियों को समूहित कर सकते हैं। इसके अलावा, अधिक जटिल परिदृश्य बनाने के लिए, आप एक साथ कई सशर्त अभिव्यक्तियों को जोड़ सकते हैं, ऐसे परिणामों के दायरे को जोड़ सकते हैं। दूसरे शब्दों में, यदि आप अपने नियम का डिफ़ॉल्ट दायरा बदलना चाहते हैं, तो "संपादित करें" बटन पर क्लिक करें।
   • अनुमतियाँ समूह । मापदंडों के इस अंतिम समूह के लिए धन्यवाद, आप उस नियम के लिए अनुमतियों को पूर्वनिर्धारित कर सकते हैं जिसे आप दो अलग-अलग कार्यात्मकताओं का उपयोग करके बनाते हैं:
     
     • प्रस्तावित अनुमतियों के रूप में निम्न अनुमतियों का उपयोग करें । आधिकारिक परिभाषा के अनुसार, यह पैरामीटर आपको सिस्टम के संचालन को प्रभावित किए बिना लक्ष्य वस्तुओं तक पहुंच के अनुरोधों के परिणामों का ऑडिट करने की अनुमति देता है। दूसरे शब्दों में, इस विकल्प को चुनकर, आप इसी सूची से अनुमति प्राप्त प्रविष्टियों को केंद्रीयकृत एक्सेस नियम के लिए प्रस्तावित अनुमति प्रविष्टियों की सूची में जोड़ सकते हैं। प्रस्तावित अनुमतियों की सूची को प्रभावी अनुमतियों का अनुकरण करने के लिए ऑडिट फ़ाइल सिस्टम के साथ जोड़ा जा सकता है, जो उपयोगकर्ताओं को वर्तमान अनुमतियों की सूची में अनुमतियों को बदलने के बिना संसाधन को प्राप्त होगा। प्रस्तावित अनुमतियाँ एक विशेष ऑडिट इवेंट उत्पन्न करती हैं, जो ईवेंट लॉग में पाया जा सकता है, जहां आप पहले से ही अपने उपयोगकर्ताओं द्वारा किए गए सभी एक्सेस प्रयासों की अधिक विस्तार से जांच कर सकते हैं;
     • वर्तमान अनुमति के रूप में निम्नलिखित अनुमतियों का उपयोग करें । इस विकल्प को चुनकर, आप एक केंद्रीकृत एक्सेस पॉलिसी के प्रकाशन के बाद लक्ष्य संसाधनों तक पहुंच प्रदान कर सकते हैं, जहां ऐसा नियम दिखाई देगा। दूसरे शब्दों में, अनुमतियों की वर्तमान सूची अतिरिक्त अनुमतियों का प्रतिनिधित्व करती है जो कि विंडोज ऑपरेटिंग सिस्टम एक फाइल सर्वर पर केंद्रीय एक्सेस नियम को तैनात करते समय पढ़ेगा। जैसा कि मैंने पहले कहा, केंद्रीकृत एक्सेस नियम मौजूदा सुरक्षा सेटिंग्स को प्रतिस्थापित नहीं करते हैं, और जब प्राधिकरण पर निर्णय लेते हैं, तो Windows आवश्यक रूप से केंद्रीकृत एक्सेस नियम, NTFS अनुमतियों की वर्तमान सूची और साझा संसाधन के लिए अनुमतियों की सूची का भी मूल्यांकन करेगा।
     
     इस स्थिति में, आपको दूसरे विकल्प पर रुकना चाहिए और संवाद में "संपादित करें" बटन पर क्लिक करने के बाद जो पहले से ही कई सुरक्षा विकल्पों से परिचित है, आवश्यक समूह जोड़ें, उदाहरण के लिए, लॉस एंजिल्स मार्केटर्स , जिसके लिए "पढ़ें और निष्पादित करें" अधिकार असाइन किए जाएंगे। , साथ ही सामान्य "पढ़ना" ।
     
     
     अंजीर। 2. एक नया केंद्रीय एक्सेस नियम बनाने के लिए डायलॉग बॉक्स
4. सभी सेटिंग्स परिभाषित होने के बाद, आप अपने एक्सेस नियम को सुरक्षित रूप से सहेज सकते हैं।

जैसा कि आप देख सकते हैं, कुछ भी जटिल नहीं है। अब, शायद, हम इस तरह के एक पल पर विचार करेंगे कि थोड़ा अलग विधि का उपयोग करके केंद्रीकृत एक्सेस नियमों का निर्माण किया जाए, या अधिक सटीक रूप से, विंडोज पावरस्ले जैसे शक्तिशाली प्रशासनिक उपकरण का उपयोग किया जाए। यदि हम ऐसी नीतियों के प्रबंधन के लिए जिम्मेदार PowerShell cmdlets को पूरी तरह से सारांशित करते हैं, तो, जैसा कि संसाधन श्रंखला सूची के प्रबंधन के मामले में होता है, जिसकी चर्चा इस श्रृंखला के पिछले लेख में की गई थी, यहाँ हम तीन अलग-अलग cmdlets को अलग कर सकते हैं, जिनका नाम है: New-ADCentralAccessRule , जिसके कारण आप नई सेंट्रलाइज्ड एक्सेस पॉलिसी बना सकते हैं, सेट-एडीसेंट्रालैसट्रेल , जो आपको मौजूदा नियमों को संपादित करने की अनुमति देता है, साथ ही साथ -एडिट-एड्रिट्रलएक्वायररेल , जो क्रमशः, बाद के को हटाने के लिए जिम्मेदार है। इस तथ्य के कारण कि PowerShell का उपयोग करके मौजूदा एक्सेस नियमों का संपादन और हटाना काफी सरल है, ये ऑपरेशन वर्तमान लेख में बस छोड़ दिए जाएंगे। और अब हम एक नई केंद्रीकृत पहुँच नीति बनाना शुरू करेंगे।
उदाहरण के लिए, अब आपको एक ऐसी नीति बनाने की आवश्यकता है, जिसे " लॉस एंजेलिस मार्केटर्स एक्सेस टू मार्केटिंग रिसोर्स " कहा जाएगा, जिसमें "ए पॉलिसी है जो मार्केटिंग यूनिट के लिए वर्गीकृत सभी संसाधनों का उपयोग करने की अनुमति देती है, " जो उचित समूह को सभी संसाधनों को सही तरीके से एक्सेस करने की अनुमति देता है। वर्गीकरण। इस स्थिति में, PowerShell कमांड इस तरह दिखाई देगी:

New-ADCentralAccessRule -CurrentAcl:"O:SYG:SYD:AR(A;;FA;;;S-1-5-21-3046794806-2660339953-3139999740-1107)" -description:", , Marketing" -Name:" - " -ProposedAcl:$null -ProtectedFromAccidentalDeletion:$true -ResourceCondition:"(@RESOURCE.Department_MS == `"Marketing`")" -Server:"DC.biopharmaceutic.local"

जहां:

• नाम पैरामीटर निर्मित ऑब्जेक्ट के नाम के लिए जिम्मेदार है। इस सेटिंग का उद्देश्य और सीमाएं पूरी तरह से केंद्रीय प्रशासन कंसोल की क्षमताओं के अनुरूप हैं;
• विवरण पैरामीटर आपके द्वारा बनाए जा रहे नियम के विवरण को इंगित करने के लिए है;
• करंटएसीएल पैरामीटर आपको आपके द्वारा बनाए जा रहे एक्सेस नियम के लिए अनुमतियों की वर्तमान सूची को परिभाषित करने की अनुमति देता है। इस पैरामीटर के मूल्य में सबसे कठिन हिस्सा यह है कि यहां आपको एसडीडीएल में लिखे गए संक्षिप्त रूप में अपनी सभी अनुमतियों को निर्दिष्ट करने की आवश्यकता है। इस विकल्प के साथ, सबसे महत्वपूर्ण बात यह है कि एसीई स्ट्रिंग्स और एसआईडी स्ट्रिंग्स दस्तावेजों का सावधानीपूर्वक अध्ययन करें। सामान्य तौर पर, हमेशा इस पैरामीटर के संकेत की शुद्धता की दोबारा जांच करें, क्योंकि इस पैरामीटर से जुड़ी त्रुटियां निर्णायक हो सकती हैं;
• ProposedAcl पैरामीटर प्रस्तावित अनुमतियों को परिभाषित करता है, जो पिछले पैरामीटर के समान प्रारूप में निर्दिष्ट होते हैं, और जिस पर हम इस लेख के अगले उप-संस्करण में अधिक विस्तार से चर्चा करेंगे;
• ProtectedFromAccidentalDeletion पैरामीटर केंद्रीयकृत एक्सेस नियम बनाने के लिए संवाद बॉक्स के सामान्य समूह का एक मानक पैरामीटर है, जो आकस्मिक विलोपन से बचाने के लिए जिम्मेदार है;
• रिसोर्सकंडिशन पैरामीटर एक पैरामीटर है जिसका मान इस नियम की शर्त होना चाहिए। इस उदाहरण में ( @ RESOURCE.Department_MS == `` Marketing` " ) सब कुछ उसी तरह से निर्दिष्ट किया जाता है जैसे यह उच्चारित किया जाता है, अर्थात, विभाग (Department_MS) का संसाधन (@RESOURCE) समान है (==) मूल्य विपणन (` `मार्केटिंग) के लिए ")। यह जानने के लिए कि इस तरह की स्थितियों को सही तरीके से कैसे तैयार किया जाए, इसके लिए बहुत अधिक अभ्यास की आवश्यकता होती है, और यदि वांछित है, तो आप समय-समय पर नियम बनाकर मैन्युअल रूप से विंडोज पॉवरशेल लॉग का अध्ययन कर सकते हैं;
• सर्वर पैरामीटर बस उस सर्वर का नाम है जिस पर नियम बनाया जाना चाहिए। चूँकि इस विशेष मामले में सर्वर नाम डोमेन डायफ्रामेसेक्निकल.लोक का डीसी है, इसलिए हमें इस पैरामीटर के लिए संबंधित मान मिलता है।

इस कमांड का आउटपुट बहुत सरल है: यदि आपने त्रुटि नहीं देखी, तो सब कुछ ठीक था और आपके लिए एक केंद्रीकृत एक्सेस नियम बनाया गया था। इस कमांड के आउटपुट का एक उदाहरण नीचे देखा जा सकता है:


अंजीर। 3. Windows PowerShell का उपयोग करके एक केंद्रीकृत एक्सेस नियम बनाएं

मौजूदा सेंट्रल एक्सेस नियम को संशोधित करें

हमेशा ऐसी परिस्थितियाँ होती हैं, जब कोई नई वस्तु बनाने के बाद उसे बदलना आवश्यक हो जाता है। शायद निर्माण के दौरान एक गलती की गई थी, हो सकता है कि आप केवल आवश्यक संकल्प जोड़ना भूल गए थे, शायद दी गई स्थिति पर्याप्त व्यापक नहीं थी ... कई विकल्प हो सकते हैं। लेकिन सबसे महत्वपूर्ण बात यह है कि आवश्यक जानकारी की कमी के मामले में, बनाई गई वस्तु को संशोधित करना होगा। बेशक, केंद्रीकृत पहुंच नियम आमतौर पर ऐसी स्थिति पर लागू होते हैं, और किसी मौजूदा वस्तु को बदलने के लिए आपसे कोई अलौकिक क्रिया की आवश्यकता नहीं होती है। मोटे तौर पर, आप उसी नोड पर जाते हैं जिसमें नियम स्वयं बनाया गया था ( डायनेमिक एक्सेस कंट्रोल> सेंट्रल एक्सेस रूल्स ), विवरण फलक की सूची में ऐसा नियम खोजें, और फिर " चुनें " गुण ” ( गुण )।
आपके द्वारा बनाए गए नियमों को बदलने के लिए प्रदर्शित संवाद बॉक्स में, आपको लगभग समान अवसर प्रदान किए जाते हैं जैसे कि तीन नियम के अपवाद के साथ, ऐसा नियम बनाते समय:

• सबसे पहले, आप अपने नियम का नाम नहीं बदल सकते। आपके पास ऐसा कोई अवसर नहीं है और यह सब;
• दूसरे, वर्तमान अनुमतियों को संपादित करने के अलावा, आपको प्रस्तावित अनुमतियों को कॉन्फ़िगर करने का अवसर भी दिया जाता है, जिसका उल्लेख मैंने विंडोज पॉवरशेल का उपयोग करके केंद्रीकृत एक्सेस नियम के निर्माण के दौरान किया था। ये प्रस्तावित अनुमति क्या हैं? सबसे पहले, आपको वर्तमान और प्रस्तावित अनुमतियों के बीच के अंतर को समझने की आवश्यकता है। अनुमतियों की वर्तमान सूची प्रविष्टियां हैं जो आपके केंद्रीय एक्सेस नियम के लिए संसाधनों तक पहुंच को परिभाषित करती हैं। केंद्रीकृत पहुंच नीति का उपयोग करके आप अपने केंद्रीकृत एक्सेस नियम को लागू करने के बाद ये अनुमतियाँ प्रभावी होंगी, जो आप इस लेख में बाद में जानेंगे। बदले में, प्रस्तावित अनुमतियों का केवल तभी पता लगाया जा सकता है यदि आप गुणों को देखना चाहते हैं या अपने मौजूदा एक्सेस नियम को बदलना चाहते हैं। प्रस्तावित अनुमतियों की सूची में, आप प्रस्तावित अनुमतियों की सूची के साथ वर्तमान सुरक्षा प्रतिभागियों के बीच अनुमतियों में सभी संभावित बदलाव देख सकते हैं। लेकिन, इसके बावजूद, यह इस तथ्य पर ध्यान देने योग्य है कि प्रस्तावित अनुमतियों की ऐसी सूची किसी भी तरह से उपयोगकर्ताओं की वर्तमान अनुमतियों को प्रभावित नहीं करेगी। इसके अलावा, इस तथ्य पर ध्यान देना सुनिश्चित करें कि यदि आप ऐसी मध्यवर्ती अनुमतियों को देखना और उनका विश्लेषण करना चाहते हैं, तो आपको " सक्षम स्टेजिंग कॉन्फ़िगरेशन सक्षम करें " चेकबॉक्स को सक्रिय करने की आवश्यकता है। इसके अलावा, प्रस्तावित अनुमतियों के साथ काम करते समय, निम्नलिखित विशेषताओं पर ध्यान देना सुनिश्चित करें:
  
  • पैरामीटर "बदलें" (संपादित करें) । जैसा कि स्पष्ट है, यह बटन अतिरिक्त सुरक्षा सेटिंग्स के लिए एक संवाद बॉक्स लाता है, जिससे आप प्रस्तावित अनुमतियों के समूह में परिवर्तन या अनुमतियाँ जोड़ सकते हैं;
  • प्रस्तावित प्रस्ताव लागू करें । यह विकल्प आपको उन अनुमतियों के साथ वर्तमान अनुमतियों को बदलने की अनुमति देता है जिन्हें आपने प्रस्तावित अनुमतियों के समूह में परिभाषित किया था;
  • करंट ऑप्शन से कॉपी करें । बदले में, यह पैरामीटर आपको विपरीत कार्रवाई करने की अनुमति देता है, अर्थात, यह कार्रवाई केवल अनुमतियों की वर्तमान सूची से अनुमतियों के साथ प्रस्तावित अनुमतियों की सूची में अनुमतियों को बदल देती है।
• तीसरा, जब आप उन अनुमतियों को बदल देते हैं जो मूल रूप से एक बार सेट हो जाती हैं, तो हर बार जब आप अपने लिए परिवर्तित केंद्रीय एक्सेस नियम के गुण संवाद बॉक्स को खोलते हैं, तो दूसरे समूह की क्षमताएं आपके लिए उपलब्ध हो जाएंगी - पिछला अनुमतियाँ समूह । आपके द्वारा अपना नियम बदलने के बाद क्या होता है? केंद्रीकृत पहुंच नियम की अनुमतियों को बदलने के बाद, ऑपरेटिंग सिस्टम प्रारंभिक अनुमतियों को पिछली अनुमतियों के समूह की सूची में कॉपी करता है, और फिर प्रस्तावित अनुमतियों से अद्यतन वर्तमान अनुमतियों की सूची, साथ ही पिछली अनुमतियों की सूची को बचाता है। याद रखने वाली मुख्य बात यह है कि इस सूची में पिछली अनुमतियों के रिकॉर्ड की केवल एक प्रति शामिल है। दूसरे शब्दों में, सक्रिय निर्देशिका केंद्रीय प्रशासन की कार्यक्षमता अनुमतियों की वर्तमान सूची की अनुमतियों में आपके सभी परिवर्तनों के पूर्ण इतिहास का समर्थन नहीं करती है।

आप निम्न चित्रण में संशोधित केंद्रीकृत पहुँच नियम के लिए गुण संवाद बॉक्स देख सकते हैं:


अंजीर। 4. संशोधित केंद्रीकृत पहुंच नियम के गुण संवाद बॉक्स

मौजूदा केंद्रीय एक्सेस नियम को हटाएं

मौजूदा केंद्रीकृत एक्सेस नियमों को हटाने के लिए ऑपरेशन सबसे सरल ऑपरेशन हैं जो संभव हो सकते हैं। ऐसा करने के लिए, सक्रिय एक्सेस व्यवस्थापक केंद्र के डायनेमिक एक्सेस कंट्रोल> सेंट्रल एक्सेस रूल्स नोड में, अनावश्यक एक्सेस नियम का चयन करें, और फिर संदर्भ मेनू या टास्कबार से निकालें कमांड का चयन करें। दिखाई देने वाले पुष्टिकरण संवाद बॉक्स में, आपको "हां" बटन पर क्लिक करना होगा, जिसका अर्थ है कि आपने अपनी पसंद पर फैसला किया है। और यह नियम तुरंत हटा दिया जाएगा।
इस घटना में कि एक डायलॉग बॉक्स प्रदर्शित होता है जो अधिकारों की कमी को दर्शाता है, उस नियम के गुण संवाद बॉक्स को खोलें जिसे आप हटा रहे हैं और फिर आकस्मिक विलोपन विकल्प से प्रोटेक्ट को अनचेक करें। उसके बाद, नियम को हटाने के लिए चरणों को दोहराएं।

केंद्रीय एक्सेस नीतियां प्रबंधित करें

हमने पहले से ही केंद्रीकृत पहुंच नियमों के साथ काम किया है, इसलिए यह इस लेख के अगले विषय पर आगे बढ़ने के लायक है, जो केंद्रीय पहुँच नीतियों के लिए समर्पित है। केंद्रीकृत पहुंच नीतियां प्राधिकरण नीतियां हैं जो पहली बार विंडोज सर्वर 2012 सर्वर ऑपरेटिंग सिस्टम में दिखाई दीं और इसमें सशर्त अभिव्यक्तियां शामिल हैं। सिद्धांत रूप में, ऐसी नीतियां केंद्रीकृत पहुंच नियमों की वस्तुओं का संग्रह हैं। आप सक्रिय निर्देशिका केंद्रीय व्यवस्थापन केंद्र का उपयोग करके इन नीतियों को बना सकते हैं, और उसके बाद आप समूह नीति कार्यक्षमता का उपयोग करके उन्हें वितरित कर सकते हैं । उदाहरण के लिए, यदि संगठन की व्यावसायिक आवश्यकताओं में फ़ाइल के स्वामी द्वारा फ़ाइलों की व्यक्तिगत जानकारी तक पहुँच को रोकना और कुछ विभाग के सदस्यों का कहना है कि कार्मिक विभाग, जिन्हें व्यक्तिगत जानकारी देखने की अनुमति है, तो यह एक सामान्य संगठन नीति है जो व्यक्तिगत जानकारी फ़ाइलों पर लागू होती है, किस पर संगठन फ़ाइल सर्वर वे स्थित थे। जैसा कि मैंने कहा, केंद्रीकृत पहुँच नीतियों में एक या एक से अधिक केंद्रीकृत पहुँच नियम शामिल हो सकते हैं, और केंद्रीकृत पहुँच नियम, बदले में, कई अलग-अलग केंद्रीकृत पहुँच नीतियों के सदस्य हो सकते हैं।
यहां, जैसा कि मैंने पहले उल्लेख किया है, आपको निश्चित रूप से इस तथ्य पर ध्यान देना चाहिए कि केंद्रीकृत पहुंच नीतियां समर्पित फ़ाइल सर्वर पर स्थित फ़ाइलों और फ़ोल्डरों तक पहुंच की सुरक्षा को बढ़ाती हैं , लेकिन किसी भी स्थानीय एक्सेस नीतियों या चयनात्मक प्रबंधन तालिकाओं को प्रतिस्थापित नहीं करती हैं एक्सेस (DACL), जो पहले से एक ही फाइल या फोल्डर में लागू होती है। दूसरे शब्दों में, वे सामंजस्यपूर्ण और एक साथ काम करते हैं। सबसे सरल उदाहरण लें: केंद्रीकृत पहुंच नीति स्पष्ट रूप से बताती है कि उपयोगकर्ता फ़ाइल सर्वर पर स्थित एक विशिष्ट दस्तावेज़ का उपयोग कर सकता है, लेकिन डीएसीएल निर्धारित करता है कि फ़ाइल तक पहुंच से इनकार किया गया है। इस प्रकार, उपयोगकर्ता इस तरह के दस्तावेज़ तक पहुंचने में सक्षम नहीं होगा। इस तरह के प्रतिबंध का इस कारण से सामना किया जा सकता है कि प्रतिबंध नियम हमेशा अनुमति देने वाले नियमों पर हावी होंगे, भले ही उस तकनीक की परवाह किए बिना जिसके साथ आपने निषिद्ध या फ़ाइल या फ़ोल्डर तक पहुंच की अनुमति दी हो।
केंद्रीकृत पहुंच नीतियों की नियुक्ति के साथ, हमने इसे थोड़ा सा समझ लिया, लेकिन कुछ और प्रारंभिक आवश्यकताओं को जानना भी उचित है, जिन्हें आपके संगठन में केंद्रीकृत पहुंच नीतियों को लागू करने से पहले आपको पूरा करना होगा। इन आवश्यकताओं में यह तथ्य शामिल है कि:

1. आपको ऐसे दावे बनाने होंगे जो उचित विशेषताओं का उपयोग करके उपयोगकर्ता खातों या कंप्यूटर की वस्तुओं से जुड़े होंगे;
2. आपको फ़ाइल संपत्ति परिभाषाएँ बनाने की भी आवश्यकता होगी;
3. आपको अपनी व्यावसायिक आवश्यकताओं के आधार पर, एक या एक से अधिक केंद्रीकृत पहुँच नियम बनाने होंगे;
4. कम से कम एक केंद्रीकृत पहुंच नीति ऑब्जेक्ट बनाया जाना चाहिए और, इसके मापदंडों के रूप में परिभाषित;
5. समूह नीति की कार्यक्षमता का उपयोग करते हुए, आपको इन नीतियों को फ़ाइल सर्वर में विस्तारित करना चाहिए। इस प्रकार, विंडोज़ सर्वर 2012/2012 R2 ऑपरेटिंग सिस्टम पर चलने वाले आपके फ़ाइल सर्वर को पहले से ही डायनेमिक एक्सेस कंट्रोल के अस्तित्व के बारे में पता चल जाएगा और आपके संगठन में केंद्रीकृत एक्सेस नीतियां बनाई गई हैं;
6. अंत में, गंतव्य सर्वरों पर, आपको अपनी पसंद के सार्वजनिक फ़ोल्डरों में इन नीतियों को लागू करना चाहिए।

अब इस खंड के व्यावहारिक भाग पर चलते हैं और देखते हैं कि आप इस तरह के ऑब्जेक्ट में केंद्रीकृत एक्सेस नियमों को कैसे बना सकते हैं, संपादित कर सकते हैं, जोड़ सकते हैं या हटा सकते हैं, और यह भी केंद्रीकृत एक्सेस पॉलिसी ऑब्जेक्ट्स को कैसे निकाल सकते हैं, दोनों सक्रिय निर्देशिका केंद्रीय प्रशासन कंसोल का उपयोग कर और टूल का उपयोग कर विंडोज पॉवरशेल

केंद्रीय पहुँच नीति बनाएँ

केंद्रीयकृत पहुंच नीतियों के प्रबंधन से जुड़े कार्य केंद्रीयकृत पहुँच नियमों को लागू करने से जुड़े लोगों के समान हैं। निम्नलिखित उदाहरण इस लेख में बनाए गए पहले पहुंच नियम के आधार पर एक केंद्रीकृत पहुंच नीति के निर्माण को प्रदर्शित करेगा। इसलिए, ऐसी नीति बनाने के लिए, आपको निम्नलिखित कदम उठाने होंगे:

1. सक्रिय निर्देशिका केंद्रीय प्रशासन कंसोल में, इस समय आपको डायनामिक एक्सेस कंट्रोल> सेंट्रल एक्सेस पॉलिसी नोड ( डायनामिक एक्सेस कंट्रोल> सेंट्रल एक्सेस पॉलिसी ) पर जाने की जरूरत है, या आप टाइल पर "सेंट्रलाइज्ड एक्सेस पॉलिसी बनाएं" नामक विकल्प 4 का चयन कर सकते हैं। वर्तमान कंसोल के होम स्क्रीन पर डायनेमिक एक्सेस कंट्रोल। इस नोड से, विवरण फलक से संदर्भ मेनू पर कॉल करें या विवरण फलक से नई और केंद्रीय एक्सेस नीति विकल्प चुनें, जैसा कि निम्नलिखित चित्र में दिखाया गया है:
   
   
   अंजीर। 5. एक केंद्रीकृत पहुँच नीति बनाना
2. उसके बाद, " केंद्रीय पहुंच नीति बनाएँ " संवाद बॉक्स में होने के नाते, आप भविष्य की पहुँच नीति के लिए सभी आवश्यक मापदंडों को परिभाषित कर सकते हैं। केंद्रीकृत एक्सेस नियमों को बनाने या बदलने के लिए संवाद बॉक्स के विपरीत, ऐसी नीतियां बनाते समय, आपको केवल दो समूहों के मापदंडों को संपादित करने का अवसर दिया जाता है, जैसे:
   
   • समूह "सामान्य" ( सामान्य )। पिछले मामले में, ये सामान्य पैरामीटर हैं जो आपको अपनी नीति को ठीक से चिह्नित करने की अनुमति देते हैं। यहां आप तीन मापदंडों को परिभाषित कर सकते हैं जिन्हें लंबे समय से जाना जाता है और समझा जाता है:
     
     • नाम (नाम)। आपके द्वारा बनाई जा रही नीति के लिए एक पठनीय नाम निर्दिष्ट करें। हमारे उदाहरण में, इस नियम को " लॉस एंजिल्स मार्केटर्स " कहा जाएगा;
     • वर्णन । डायनेमिक एक्सेस कंट्रोल ऑब्जेक्ट के लिए एक परिचित विवरण बनाया जा रहा है। यह क्षेत्र " लॉस एंजिल्स मार्केटर्स एक्सेस रूल्स के साथ संचयी नीति " को इंगित करेगा;
     • आकस्मिक विलोपन से सुरक्षा (आकस्मिक विलोपन से सुरक्षा) । पैरामीटर जो आपके ज्ञान के बिना आपके द्वारा बनाई गई केंद्रीकृत पहुंच नीति को हटाने पर रोक लगाता है। पिछले सभी मामलों की तरह, हम इस बॉक्स को अनचेक नहीं करेंगे और निम्नलिखित मापदंडों के समूह पर विचार करेंगे।
   • समूह "सदस्य" । बनाई गई केंद्रीकृत पहुँच नीति के इस समूह में, आप केंद्रीकृत पहुँच नियमों को निर्दिष्ट कर सकते हैं जो इस नीति के सदस्य बनेंगे। "जोड़ें" बटन पर क्लिक करके, केंद्रीकृत एक्सेस नियमों को जोड़ने के लिए एक संवाद बॉक्स आपके सामने दिखाई देगा, जहां आपको बाईं ओर संबंधित सूची से एक या अधिक नियमों का चयन करना होगा (नीचे चित्रण देखें)। आपके द्वारा आवश्यक नियमों का चयन करने के बाद, इस तरह के नियमों को अतिरिक्त एक्सेस नियमों की सूची में स्थानांतरित करने के लिए डबल एंगल ब्रैकेट के साथ शीर्ष बटन पर क्लिक करें। वैसे, इस डायलॉग बॉक्स से सीधे, आप नए केंद्रीय एक्सेस नियम को जोड़ने के लिए विज़ार्ड (अधिक सटीक रूप से, डायलॉग बॉक्स) को कॉल कर सकते हैं।
   
   वैसे, परमिशन स्टेट कॉलम में प्रतिभागियों के लिए केंद्रीकृत एक्सेस नियमों के समूह में, आप केंद्रीकृत एक्सेस नियम द्वारा उपयोग की जाने वाली अनुमतियों की सूची पा सकते हैं जो इस नियम पर लागू होंगी। जैसा कि आप निम्नलिखित चित्रण में देख सकते हैं, "अनुमत" और " वर्तमान " ( प्रस्तावित, वर्तमान ) के मूल्य ऐसी अनुमतियों के लिए मान्य मूल्यों के रूप में कार्य करते हैं।
   
   
   अंजीर। 6. केंद्रीकृत पहुंच नीति बनाने के लिए डायलॉग बॉक्स
3. "ओके" बटन पर क्लिक करें , जिससे बनाई गई केंद्रीकृत पहुंच नीति को बचाया जा सके।

जीयूआई विधि के साथ, सब कुछ स्पष्ट है, इसलिए आइए विंडोज पावरहेल का उपयोग करके एक केंद्रीकृत एक्सेस पॉलिसी बनाने के लिए, एक और अधिक जटिल विधि पर जाएं। अनिवार्य रूप से, cmdlets जो कि केंद्रीकृत पहुंच नीतियों की क्षमताओं के साथ काम करते हैं, विंडोज पावरहेल का उपयोग करके संसाधन संपत्ति सूचियों के प्रबंधन के लिए कुछ तरीकों की याद दिलाते हैं। अर्थात्, आप ऐसा नहीं कर सकते, एक cmdlet की मदद से, अपने सभी सदस्यों के साथ एक केंद्रीकृत पहुँच नीति बनाएँ। सबसे पहले, आपको ऑब्जेक्ट स्वयं बनाना होगा, और फिर बनाई गई नीति में आवश्यक एक्सेस नियमों को जोड़ने के लिए दूसरे cmdlet का उपयोग करना होगा।
यह पता चलता है कि आप इन ऑब्जेक्ट्स के साथ काम करने के लिए निम्न पांच विंडोज पावरशेल्ड cmdlets का उपयोग कर सकते हैं: New-ADCentralAccessPolicy , जिसके साथ आप केंद्रीकृत एक्सेस पॉलिसी ऑब्जेक्ट बनाते हैं; मौजूदा नीतियों को बदलने के लिए ज़िम्मेदार सेट- ADCentralAccessPolicy ; निकालें-ADCentralAccessPolicy , जिसके लिए धन्यवाद, वास्तव में, आप अनावश्यक पहुँच नीतियों को हटाते हैं, साथ ही Add-ADCentralAccessPolicyMember और Remove-ADCentralAccessPolicyMember cmdletsअपनी चयनित नीतियों में केंद्रीकृत पहुंच नियमों को जोड़ने या हटाने के लिए डिज़ाइन किया गया है। निम्नलिखित उदाहरण में, केवल दो cmdlets पर विचार किया जाएगा जो आपको एक नई केंद्रीकृत पहुंच नीति जोड़ने की अनुमति देते हैं और इसके लिए एक एक्सेस नियम भी जोड़ते हैं। इसलिए, शुरुआत के लिए, आपको निम्नलिखित cmdlet का उपयोग करने की आवश्यकता होगी: जैसा कि आप देख सकते हैं, इस cmdlet के साथ कोई समस्या नहीं होनी चाहिए। यहां, नाम पैरामीटर नियम के नाम के लिए ज़िम्मेदार है, विवरण - इसके विवरण के लिए, सर्वर पैरामीटर का उपयोग करके आप बनाए गए नियम के लिए लक्ष्य सर्वर निर्दिष्ट कर सकते हैं, और ProtectedFromAccidentalDeletion पैरामीटर का उपयोग करके - आपके द्वारा बनाई गई वस्तु को और हटाने पर रोक लगा सकते हैं।

New-ADCentralAccessPolicy -description:"Just another CAP" -Name:"Test CAP" -Server:"DC.biopharmaceutic.local" -ProtectedFromAccidentalDeletion:$true


सबसे दिलचस्प हिस्सा आपके द्वारा बनाए गए नियम में केंद्रीकृत एक्सेस नियमों को जोड़ने के चरण में शुरू होता है। दूसरी कमांड के साथ, आपको केंद्रीय एक्सेस नियमों को निर्दिष्ट करना होगा जो आपकी पॉलिसी में जोड़े जाएंगे। ऐसा कमांड इस तरह दिखेगा: केवल दो पैरामीटर यहां दिखाई देते हैं, अर्थात्: पहचान पैरामीटर , जो आपको पहले बनाए गए नियम को निर्दिष्ट करने की अनुमति देता है, साथ ही सदस्य पैरामीटर , जहां आपको कॉमा द्वारा अलग किए गए सभी आवश्यक केंद्रीकृत एक्सेस नियमों को निर्दिष्ट करने की आवश्यकता होगी। हमेशा की तरह, यदि आदेशों को निष्पादित करने के बाद आपको कोई चेतावनी नहीं दिखती है, तो सब कुछ सही तरीके से बनाया गया था। इन आदेशों के आउटपुट का एक उदाहरण नीचे दिया गया है:

Add-ADCentralAccessPolicyMember -Identity:"CN=Test CAP,CN=Central Access Policies,CN=Claims Configuration,CN=Services,CN=Configuration,DC=biopharmaceutic,DC=local" -Members:"CN= - ,CN=Central Access Rules,CN=Claims Configuration,CN=Services,CN=Configuration,DC=biopharmaceutic,DC=local" -Server:"DC.biopharmaceutic.local"




अंजीर। 7. Windows PowerShell का उपयोग करके एक केंद्रीकृत एक्सेस नियम बनाएं

मौजूदा केंद्रीकृत पहुंच नीतियों को संशोधित और हटाना इस लेख में चर्चा किए गए सभी कार्यों के बीच सबसे सरल ऑपरेशन होने की संभावना है। यह निष्कर्ष इस कारण से किया जा सकता है कि संपत्ति परिवर्तन आदेश की मदद से और नीतियों को हटाने के दौरान आप किसी भी नए मापदंडों या गुणों का सामना नहीं करेंगे। संपादित एक मौजूदा पहुँच नीति के लिए, आप सक्रिय निर्देशिका प्रशासन केंद्र की जरूरत है, साइट पर जाने के गतिशील अभिगम नियंत्रण> सेंट्रल पहुंच नीतियां , संदर्भ मेनू से या पैनल से या तो वांछित पहुँच नीति का चयन करें, और उसके बाद "चुनौतियां" ( कार्य ) का चयन करें आदेश "गुण" ( गुण )।
इसके अलावा, अगर आप मौजूदा केंद्रीकृत नई पहुंच नियम का उपयोग एक ही संदर्भ मेनू या टास्कबार से नीति को जोड़ने की जरूरत है, क्लिक करें "केंद्रीकृत पहुँच नियम जोड़ें» ( ऐड सेंट्रल पहुंच नियम )। इस विकल्प का चयन करने के बाद, केंद्रीकृत पहुंच नियमों को जोड़ने के लिए एक संवाद बॉक्स प्रदर्शित किया जाएगा, जिसे केंद्रीयकृत पहुंच नीति बनाने के लिए प्रक्रिया के दूसरे चरण में चर्चा की गई थी।
अधिक अनावश्यक केंद्रीकृत पहुँच नीतियों को हटाने के साथ, आपको कोई कठिनाई भी नहीं होनी चाहिए। एक ही नोड में ऐसा करने के लिए सेंट्रल पहुंच नीतियां , वांछित वस्तु का चयन करें, और तब आदेश पर अमल "हटाएँ» ( हटाएँ संदर्भ मेनू से)।

केंद्रीय पहुंच नीतियां वितरित करें

बेशक, केंद्रीकृत राजनेता आपको कुछ भी नहीं देंगे। अपने उत्पादन फ़ाइल सर्वर पर उनका उपयोग शुरू करने के लिए, आपको पहले उन्हें केंद्रीय रूप से वितरित करना होगा। विंडोज ऑपरेटिंग सिस्टम के लिए लगभग किसी भी सेटिंग्स के वितरण को स्वचालित करने का सबसे अच्छा तरीका समूह नीतियों की कार्यक्षमता का उपयोग करना है। फिलहाल, समूह नीति की सहायता से, आप सिस्टम को कस्टमाइज़ करने के संदर्भ में लगभग सब कुछ कर सकते हैं जिसकी आप कल्पना कर सकते हैं। यदि ये कुछ विशिष्ट सिस्टम पैरामीटर हैं, जिन्हें ग्राफिकल इंटरफ़ेस में पाया जा सकता है, तो कृपया, आपके लिए हजारों प्रशासनिक टेम्पलेट विकसित किए गए हैं । आपको एप्लिकेशन इंस्टॉल करने की आवश्यकता है - इसके लिए CSE GPSI एक्सटेंशन है, पासवर्ड नीतियों को परिभाषित करें, सिस्टम सेवाओं को कॉन्फ़िगर करें, सिस्टम रजिस्ट्री तक पहुंच को प्रतिबंधित करें या कहें, कार्यक्रमों तक पहुंच को प्रतिबंधित करने के लिए नीतियों को कॉन्फ़िगर करें, विंडोज फ़ायरवॉल या IPSEC के नियम - विंडोज कॉन्फ़िगरेशन नोड से मौजूदा पैरामीटर मदद करेंगे । यदि आपको किसी विशिष्ट सॉफ़्टवेयर उत्पाद का केंद्रीकृत कॉन्फ़िगरेशन करने की आवश्यकता है, तो हो सकता है कि विक्रेता ने आपके उत्पाद के लिए पहले ही प्रशासनिक खाका जारी करके आपके लिए बहुत काम किया हो । यहां तक ​​कि अगर आप अपने लिए वांछित नीति सेटिंग नहीं खोज पाए, तो आप हमेशा समूह नीति वरीयताओं का लाभ उठा सकते हैं , जो आपको बोझिल स्क्रिप्ट लिखने से बचा सकती है जिसमें गलती करना इतना आसान है।
और एक तकनीक जैसे कि डायनेमिक एक्सेस कंट्रोल , निश्चित रूप से, समूह नीति के लिए अपने विस्तारित ग्राहक पक्ष के बिना नहीं कर सकती थी। चूंकि आपके द्वारा बनाए गए सभी नियम और नीतियां सक्रिय निर्देशिका डोमेन सेवाओं में संग्रहीत हैं, द्वारा और बड़े, यह केवल आवश्यक कंटेनरों से ऐसी वस्तुओं को हटाने के लिए बनी हुई है, और फिर उन्हें विशिष्ट मशीनों में निर्दिष्ट मापदंडों को वितरित करें। शब्दों में, यह बहुत सरल लगता है, लेकिन आइए देखें कि ऐसी प्रक्रिया क्या है।
इसलिए, सर्वर बनाने के लिए अपनी पहले से बनाई गई केंद्रीकृत पहुँच नीतियों को वितरित करने के लिए, आपको निम्न चरणों का पालन करना होगा:

1. « » ( Group Policy Management ), , « Dynamic Access Control 01 », ;
2. CSE . \\ Windows\ \ ( Computer Configuration \ Policies\Windows Settings \ Security Settings\File System ). Microsoft, , , « . 6: , , ». , Windows Server 2012, , « » ( Central Access Policy ) . , , , , « » ( Manage Central Access Policies… ):
   
   
   अंजीर। 8. GPME
3. « » ( Central Access Policies Configuration ), . , , « » ( Available Central Access Policies ) ( , CTRL ), , « » ( Add ), « » ( Applicable Central Access Policies ):
   
   
   अंजीर। 9.
4. , .

सिद्धांत रूप में, चूंकि क्लाइंट साइड एक्सटेंशन को ग्रुप पॉलिसी की कार्यक्षमता के रैंकों में जोड़ा गया है जो आपको केंद्रीकृत पहुंच नीतियों का प्रबंधन करने की अनुमति देता है, आपके द्वारा कॉन्फ़िगर की गई नीतियों को प्रतिकृति में भाग लेने वाले सभी डोमेन नियंत्रकों पर SYSVOL फ़ोल्डर में किसी न किसी रूप में संग्रहीत किया जाना चाहिए। उदाहरण के लिए, किसी डोमेन नियंत्रक पर, जनरेट की गई नीति सेटिंग्स को स्थानीय बनाने के लिए, आपको फ़ोल्डर C: \ Windows \ SYSVOL \ domain \ नीतियाँ \ {6DF180BA-22E3-4D52-A34F-153433E56956} \ मशीन \ Microsoft \ Windows NT \ Cap , जहां C जाना चाहिए : \ Windows \ SYSVOL \ डोमेन \ नीतियां निर्देशिका में सभी GPO के साथ निर्देशिका का मार्ग है, {6DF180BA-22E3-4D52-A34F-158633E56956}क्या GPO का GUID स्वयं है, जिसे अभी-अभी बनाया और कॉन्फ़िगर किया गया है (आप समूह नीति प्रबंधन संपादक से सीधे शीर्ष नोड के लिए गुण संवाद कॉल करके यह पता लगा सकते हैं), और मशीन \ Microsoft \ Windows NT \ Cap पहले से ही तरीका है वह फ़ोल्डर जहां फ़ाइल स्थित है, जिसमें निर्दिष्ट नीति सेटिंग्स निर्धारित की जाएंगी।
इस निर्देशिका में, आप एक .inf फ़ाइल जिसे cap.inf (सेंट्रल एक्सेस पॉलिसी के लिए संक्षिप्त) कहा जाता है, पा सकते हैं। यह फ़ाइल एन्क्रिप्टेड नहीं है, और यदि आप चाहें तो इसकी सामग्री देख सकते हैं। उदाहरण के लिए, मेरे मामले में, ऐसी फ़ाइल में निम्नलिखित पंक्तियाँ शामिल होंगी:

[संस्करण]
हस्ताक्षर = "$ Windows NT $"
[CAPS]
"CN = टेस्ट कैप, CN = सेंट्रल एक्सेस नीतियां, CN = दावे कॉन्फ़िगरेशन, CN = सेवाएँ, CN = कॉन्फ़िगरेशन, DC = बायोफार्मास्यूटिकल, DC = स्थानीय"
"CN = लॉस एंजिल्स मार्केटर्स, CN = सेंट्रल एक्सेस नीतियां, CN = दावे कॉन्फ़िगरेशन, CN = सेवाएँ, CN = कॉन्फ़िगरेशन, DC = biopharmaceutic, DC = स्थानीय »

मेरा मानना ​​है कि ऐसी फ़ाइल की सामग्री से सब कुछ स्पष्ट है और इसे अधिक विस्तार से नहीं माना जाना चाहिए। मोटे तौर पर, जैसा कि आप देख सकते हैं, यहां आप विशिष्ट नाम पा सकते हैं जो सक्रिय निर्देशिका डोमेन सेवाओं में संग्रहीत केंद्रीकृत पहुंच नीति का नाम और स्थान निर्धारित करते हैं।
यह पता चला है कि इस INF फ़ाइल में आप केवल पॉलिसी का नाम और उसका स्थान पा सकते हैं। यही है, अगर ऐसी फाइल प्राप्त करने के बाद कोई कार्रवाई नहीं की जाती है, तो इस मामले में ग्राहक को यह नहीं पता होगा कि ऐसी नीतियां क्या हैं, नियमों का उल्लेख नहीं करना। यह इस कारण से है कि ऑपरेटिंग सिस्टम को कुछ क्रियाएं करने और तंत्र को सही ढंग से लागू करने की आवश्यकता है "यह समझें कि ये नीतियां क्या हैं और उनके साथ क्या किया जा सकता है।" सौभाग्य से, विंडोज सर्वर 2012/2012 R2 में सब कुछ पहले से ही बॉक्स से बाहर लागू किया गया है। समूह नीति सेटिंग्स को अपडेट करने के बाद, ऑडिटसे.सॉल सिस्टम लाइब्रेरी, इंफो फ़ाइल से केंद्रीकृत एक्सेस नीतियों के बारे में आवश्यक जानकारी पढ़ती है,और फिर, LDAP प्रश्नों के माध्यम से, सिस्टम के लिए आवश्यक सभी डेटा क्लाइंट साइड के विस्तार और लक्ष्य कंप्यूटर की सिस्टम रजिस्ट्री को लिखे जाने के कारण डोमेन सेवाओं से प्राप्त किया जाएगा।
यदि आप ऐसे मापदंडों का स्थानीयकरण और अध्ययन करना चाहते हैं, तो आपको रजिस्ट्री संपादक का उपयोग करने की आवश्यकता होगी और, regddit विंडो में होने के नाते, HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Control \ Lsa / CentralizedAccessPolatics अनुभाग पर जाएँ। और इस तथ्य पर ध्यान दें कि CAPEs सेक्शन में आप केंद्रीकृत एक्सेस नियम पा सकते हैं, और CAPs सेक्शन में ऐसे पैरामीटर होंगे जो केंद्रीकृत एक्सेस पॉलिसियों के लिए जिम्मेदार हैं। उदाहरण के लिए, दोनों नियमों और पहुंच नीतियों के लिए, आप नाम और विवरण पैरामीटर पा सकते हैं, जो एक विशेष वस्तु के नाम और विवरण के लिए क्रमशः जिम्मेदार हैं। जैसा कि आप निम्नलिखित चित्रण में देख सकते हैं, रजिस्ट्री के इस खंड में आप उन उपकुंजियों को पा सकते हैं जिनमें सभी केंद्रीकृत पहुंच नीतियां शामिल हैं जिन्हें आप उनके मापदंडों के साथ वितरित करते हैं:


अंजीर। 10. केंद्रीकृत पहुंच नीतियों और नियमों के कुछ मापदंडों के साथ एक रजिस्ट्री कुंजी
। सिद्धांत रूप में, मैं इन दो वर्गों के प्रत्येक पैरामीटर के बारे में विस्तार से देखने के लिए अधिक बिंदु नहीं देखता हूं, इसलिए हम इस लेख में उनकी चर्चा नहीं करेंगे।

केंद्रीय एक्सेस नीतियां लागू करना

उपरोक्त सभी प्रक्रियाएँ पूरी हो जाने के बाद, जिसमें केंद्रीकृत पहुँच नियम बनाना, केंद्रीकृत पहुँच नीतियाँ बनाना और अपने नियम जोड़ना, साथ ही समूह नीति कार्यक्षमता का उपयोग करके केंद्रीकृत पहुँच नीतियाँ वितरित करना शामिल हैं, आप इस चरण के अंतिम भाग को पूरा कर सकते हैं। अर्थात्, फ़ाइल सर्वर पर होस्ट किए गए फ़ोल्डर या फ़ाइलों को लक्षित करने के लिए केंद्रीकृत एक्सेस नीतियों का अनुप्रयोग। रजिस्ट्री में पैरामीटर बनाने के तुरंत बाद, ऑपरेटिंग सिस्टम स्थानीय सुरक्षा प्रणाली के लिए कुछ केंद्रीकृत एक्सेस नियमों और नीतियों को वितरित करता है।
एक केंद्रीकृत पहुंच नीति लागू करने के लिए, आपको निम्नलिखित चरणों को पूरा करना होगा:

1. Windows , . « » ( Properties );
2. «» ( Security ), , , «» ( Advanced );
3. , «» , «» « » ( Permissions, Auditing, Effective Access ) « » ( Central Policy ), . .
   , . , . , « -», , . , , , Active Directory . , . :
   
   
   अंजीर। 11.
4. , . , , SACL . , S-1-17, , , .

निष्कर्ष

इसलिए, इस लेख में हम गतिशील अभिगम नियंत्रण पर चर्चा करते रहे। आप सीख चुके हैं कि केंद्रीकृत पहुंच नियम क्या हैं और आप ऐसे नियमों को कैसे प्रबंधित कर सकते हैं, दोनों सक्रिय निर्देशिका केंद्रीय प्रशासन कंसोल का उपयोग करके और विंडोज पॉवरशेल की क्षमताओं का उपयोग करके। इसके अलावा, इस लेख में एक्सेस नियमों के भाग्य का विस्तार से वर्णन किया गया है, जो कि केंद्रीकृत पहुंच नीतियों में उनकी सदस्यता है। आपने यह भी सीखा कि इन नीतियों का प्रबंधन कैसे किया जाता है। आप समूह नीति का उपयोग करके ऐसी एक्सेस नीतियों के वितरण के बारे में भी जान सकते हैं, और इस लेख के अंतिम, छोटे, अनुभाग में इस बारे में बात की गई है कि आप फ़ाइल सर्वर पर होस्ट किए गए फ़ोल्डर और फ़ाइलों को लक्षित करने के लिए कैसे और वितरित केंद्रीकृत एक्सेस नीतियों को लागू कर सकते हैं।
इस श्रृंखला के अगले लेख में, हम डायनेमिक एक्सेस कंट्रोल टेक्नोलॉजी के बारे में अधिक विस्तार से जाँच करते रहेंगे और सशर्त अभिव्यक्तियों और प्रस्तावित अनुमतियों पर ध्यान केंद्रित करेंगे, केंद्रीकृत एक्सेस नीतियों का उपयोग करने के कई "लाइव" उदाहरणों के साथ-साथ कई अन्य दिलचस्प बिंदुओं पर चर्चा करने के लिए मेरे पास समय नहीं था। इस चक्र के पहले पाँच लेखों में उल्लेख है।