Поиск по сайту:

Делегирование управления в Active Directory (пошаговое руководство)

Нужно ли предоставить сотрудникам службы поддержки права на сброс паролей и разблокировку учетных записей пользователей?

Вы хотите разрешить определённым пользователям изменять состав группы?

Нет проблем.

В этом руководстве вы узнаете, как использовать мастер управления делегированием в Active Directory, чтобы предоставить пользователям очень конкретные разрешения.

Важно знать, как правильно использовать делегирование контроля в Active Directory, чтобы избежать предоставления пользователям больше прав, чем им необходимо. Что бы вы ни делали, не добавляйте пользователей в группы с высокими привилегиями, такие как Администраторы домена.

Содержание:

  • Делегирование контроля: лучшие практики
  • Делегировать сброс пароля и разблокировку разрешений
  • Делегировать права на изменение номера телефона
  • Делегировать права на изменение членства в группе
  • Делегировать права на удаление учетных записей компьютеров
  • Как провести аудит прав доступа (ACL) в Active Directory

Делегирование контроля: лучшие практики

Вот мои рекомендации и советы по делегированию прав в Active Directory.

✔️Хороший дизайн OU

Делегирование прав в Active Directory осуществляется с помощью организационных единиц (OU), поэтому критически важно иметь хорошую структуру OU. Структура OU будет разной для каждой организации, но простая структура заключается в том, чтобы помещать все подобные ресурсы в их собственную OU.

  • Компьютер ОУ - Все компьютеры находятся здесь
  • Пользователи OU — Все учетные записи пользователей находятся здесь
  • Серверы OU — Все учетные записи серверов идут сюда
  • Группы - Все группы идут сюда.

Затем вы можете создать под-OU для более тщательной организации ваших ресурсов.

На приведенном выше скриншоте у меня есть "OU пользователей ADPRO" для всех моих учетных записей. Затем я создал под-OU для каждого отдела, чтобы еще больше организовать учетные записи пользователей. С этим дизайном я могу легко делегировать управление всеми ресурсами или ресурсами в конкретном под-OU. Например, HR наняли своего собственного IT специалиста, и они хотят сбросить пароли для всех пользователей HR. Я могу делегировать права на сброс паролей только для OU HR.

Вы можете структурировать под-организационные единицы любым удобным для вас способом. Например, вы можете создать их на основе географических местоположений или по типу пользователей, например, обычные, привилегированные и т.д.

С хорошим дизайном организационной единицы делегирование прав становится простым и помогает избежать делегирования большего количества прав, чем необходимо.

Чтобы прочитать больше о структуре OU, смотрите руководство Microsoft по проектированию эффективных структур OU.

✔️Не используйте встроенные группы безопасности

При делегировании управления лучше создавать новые группы безопасности, а не использовать встроенные группы AD. Например, не используйте «Операторы учетных записей» или «Операторы резервного копирования» при делегировании прав. Эти встроенные группы AD имеют специальные права, которые могут предоставить пользователям больше прав, чем необходимо.

✔️Делегируйте контроль группам, а не пользователям

Не делегируйте контроль учетной записи пользователя. Это станет кошмаром для безопасности, поскольку будет очень трудно проводить аудит и управлять. Назначение прав группам упрощает добавление и удаление прав.

✔️Используйте описательные названия групп

Вы когда-нибудь сталкивались с группой в Active Directory и не имели представления, для чего она нужна? Это бывает очень часто и сводит меня с ума. Создание описательного имени поможет вам и другим администраторам понять её назначение.

Например, если служба поддержки хочет сбросить пароли пользователей, я бы создал группу, как эту:

Сброс пароля службы поддержки

Если группе пользователей необходимо изменить конкретный атрибут AD, такой как поле телефона, я бы создал группу, подобную этой:

IT_изменить_телефон

Вы можете видеть это на скриншоте выше, название группы и описание облегчает любому понять, для чего используется эта группа.

Совет: Я также добавляю детали в описание группы. Затем я могу использовать PowerShell для поиска всех групп, в описании которых есть «делегировать управление».

get-adgroup -Properties * -filter {Description -like 'Delegate*'} | select name, description

✔️Аудит делегированных контролей AD ежегодно

Вам следует проверять права доступа ACL в Active Directory каждый год. Права доступа AD могут легко выйти из-под контроля, и единственный способ узнать, у кого есть какие права — это провести аудит прав доступа ACL.

Смотрите последний раздел этого руководства для получения подробной информации об аудитории прав доступа Active Directory.

✔️Не перепоручайте контроль (Используйте аренду привилегий)

Делегируйте контроль только тому, что необходимо.

Если другой отдел хочет сбросить свои пароли, не предоставляйте им это разрешение для всех объектов пользователей, а предоставьте его только для их группы или отдела.

Если служба поддержки нуждается в правах на удаление учетных записей компьютеров, не предоставляйте это разрешение всем объектам компьютеров, а только тем, которыми управляет служба поддержки (наводка... не серверам).

Избыточная делегация контроля может быть легко предотвращена благодаря хорошему дизайну организационной единицы.

Теперь давайте посмотрим на несколько примеров того, как делегировать разрешения.

Делегировать сброс пароля и разблокировку разрешений

В этом примере я использую мастер управления делегированием, чтобы предоставить пользователям службы поддержки разрешения на сброс паролей и разблокировку учетных записей пользователей. Я также продемонстрирую, как ограничить это определенной группой пользователей (отделом).

Шаг 1: Создайте новую группу Active Directory

Я собираюсь создать новую группу и назвать ее "Helpdesk_password_reset". Используйте любую схемы именования, которая имеет смысл для вас, я просто рекомендую, чтобы она была описательной. Я также рекомендую использовать поле описания, чтобы предоставить точные детали о том, для чего используется эта группа. С описательным названием и заполненным описанием не должно быть путаницы относительно того, для чего эта группа предназначена, это поможет вам и другим системным администраторам.

Затем я добавлю сотрудников службы поддержки в эту группу. Когда делегация будет завершена, вы сможете легко добавлять или удалять права, изменяя состав этой группы.

Шаг 2: Используйте Мастер делегирования контроля

Здесь важно хорошее проектирование организационных единиц (OU). Я хочу предоставить этой группе разрешение на изменение пароля для всех пользователей в домене, и поскольку у меня есть все пользователи в "OU ADPro Users", это может быть легко осуществлено. Делегированные права будут применяться к корню и ко всем под-OU.

Щелкните правой кнопкой мыши на OU и выберите «Делегировать управление».

Нажмите «Далее»

Выберите группу, которой вы хотите делегировать контроль.

Нажмите «Далее»

Выберите «Создать настраиваемую задачу для делегирования»

Выберите «Только следующие объекты в папке», затем выберите «Объекты пользователей».

Нажмите «Далее»

Выберите «Общие» и «Специфические для объекта»

Затем включите следующие разрешения:

  • Сменить пароль
  • Сбросить пароль
  • Читать lockoutTime
  • Запишите lockoutTime

Нажмите «Далее»

Нажмите «Завершить»

Теперь любой член группы «Helpdesk_password_reset» может изменять/сбрасывать пароли и разблокировать учетные записи пользователей для всех пользователей в организационном unit «ADPRO Users».

Что если у вас есть отдел, который хочет сбросить/разблокировать свои собственные аккаунты? Например, отдел кадров хочет сбросить/разблокировать свои собственные аккаунты, не обращаясь в службу IT-поддержки.

Вот шаги: (Шаги в основном такие же, как выше, вы просто запускаете управление делегированием для конкретного OU)

  1. Создайте новую группу для пользователей HR (например, HR_password_reset).
  2. Используйте мастер контроля делегирования в OU отдела кадров.
  3. Выберите группу HR (например, HR_password_reset).
  4. Установите разрешения (изменение пароля, сброс пароля, чтение lockoutTime, запись lockoutTime). См. приведенные выше скриншоты для получения дополнительной информации.

Если вы делегировали управление всему домену или организационному подразделению со всеми пользователями, то вы дали сотрудникам HR больше прав, чем им необходимо. Они могли бы сбрасывать/разблокировать пользователей для всего домена, чего вам следует избегать.

Делегировать права на изменение номера телефона

В этом примере я хочу предоставить группе пользователей разрешение только на изменение номера телефона в Active Directory. Вы увидите в мастере делегирования управления, что вы можете предоставить разрешения на изменение других полей пользователя (адрес, почтовый индекс, штат и так далее).

Шаг 1: Создайте группу.

Я создал группу под названием «IT_Modify_Telephone».

Шаг 2: Запустите Мастер управления делегированием.

Запустите мастер контроля делегирования для целевого OU.

Выберите группу.

Выберите «создать настраиваемую задачу для делегирования»

Выберите «Только следующие объекты в папке», затем выберите «Объект пользователя».

Выберите «Специфические для собственности»

Включите «Читать номер телефона» и «Записать номер телефона»

Нажмите «Далее», а затем «Завершить», чтобы закончить.

Теперь любой участник группы может изменять поле "Номер телефона" в Active Directory. Все остальные поля доступны только для чтения.

Делегировать права на изменение членства в группе

В этом примере я дам группе пользователей разрешение изменять участие в группе (добавлять/удалять пользователей из групп).

Этот пример проще, чем предыдущие, так как у Microsoft есть общая задача для этого.

Шаг 1: Создать группу AD

Шаг 2: Запустите Мастер управления делегированием

Если у вас есть все группы в определенном OU, то запустите мастер делегирования для этого OU. Например, все мои группы находятся в OU под названием "ADPRO Groups".

Выберите группу, которой вы хотите делегировать контроль.

Нажмите «Далее»

Выберите «Изменить состав группы»

Нажмите «Далее», а затем нажмите «Готово».

Делегировать права на удаление учетных записей компьютеров

Служба поддержки или другие сотрудники ИТ часто нуждаются в правах для удаления учетных записей компьютеров в Active Directory. Вот как делегировать эти права.

Шаг 1: Создать группу AD

Например, «IT_удалить_компьютеры».

Шаг 2: Запустите мастер управления делегированием на OU.

Убедитесь, что вы запускаете мастер на организационном подразделении, содержащем объекты компьютеров.

Выберите группу для делегирования контроля

Нажмите «Далее»

Выберите «Создать настраиваемую задачу для делегирования»

Выберите «Эта папка, существующие объекты в этой папке и создание новых объектов в этой папке».

Нажмите «Далее»

Выберите «создание/удаление конкретных дочерних объектов»

Затем выберите «Удалить объекты компьютера»

Теперь члены выбранной группы могут удалять объекты компьютеров.

Как провести аудит разрешений Active Directory (ACL)

Со временем разрешения Active Directory могут легко выйти из-под контроля. Рекомендуется проводить аудит ваших разрешений AD как минимум раз в год. Как еще вы узнаете, если кто-то предоставил ненужные права пользователю или группе?

Возможно, кто-то использовал мастер делегирования управления и случайно дал службе поддержки права на удаление серверов. Единственный способ определить это - проверить разрешения ACL в Active Directory.

Вы можете просмотреть ACL для OU, щелкнув правой кнопкой мыши по OU, выбрав свойства и вкладку Безопасность. Но это займет слишком много времени, если у вас много OU.

Лучший вариант, который я нашел, это инструмент AD ACL Scanner для PowerShell. Этот инструмент позволяет выбрать, что сканировать, и создает легкий для чтения отчет о разрешениях в Active Directory.

В этом примере я собираюсь просканировать свой OU пользователей ADPRO и просканировать каждую под-OU.

Когда инструмент завершит сканирование, вы получите отчет, как ниже.

В отчете я вижу группы AD, которым я делегировал управление, и какие у них права. Очень удобно в использовании и экономит кучу времени.

Резюме

В этом руководстве я провел вас через несколько примеров делегирования управления в Active Directory. Мастер делегирования управления может быть запутанным, поскольку не всегда ясно, где найти конкретные разрешения. Лучше всего использовать группы для делегирования управления и устанавливать очень специфические разрешения. Наконец, я показал вам, как проводить аудит разрешений ACL Active Directory с помощью инструмента сканирования ACL AD. Не забудьте проводить аудит разрешений ACL хотя бы раз в год.