Diferència entre revisions de la pàgina «Active Directory»

De Cacauet Wiki
Salta a la navegació Salta a la cerca
Línia 77: Línia 77:
  
 
L''''herència''' permet administrar accés a recursos de forma implícita. Per defecte el fill hereta del pare. L'herència es pot bloquejar i així donar nous permisos als fills.
 
L''''herència''' permet administrar accés a recursos de forma implícita. Per defecte el fill hereta del pare. L'herència es pot bloquejar i així donar nous permisos als fills.
 +
 +
<br>
 +
 +
== Polítiques de grup (GPOs) ==
 +
Una administració eficient necessita l'ús dels grups i de les '''polítiques de grup''', ''group policies'' o [https://technet.microsoft.com/en-us/windowsserver/bb310732.aspx GPO (Group Policy Object)].
 +
 +
Les GPOs s'apliquen sobre:
 +
* Usuaris : HKCU
 +
* Equips : HKLM
 +
* '''Les GPOs NO s'apliquen sobre grups!''' (?)
 +
 +
S'enllacen sobre:
 +
* Local
 +
* Domini
 +
* Lloc
 +
* Unitat Organitzativa
 +
 +
Actualitzacions de les GPOs:
 +
* Domini: cada 5 minuts, inici
 +
* Equip: cada 90 minuts, inici
 +
* Usuari: cada 90 minuts, inici
 +
* Excepcions:
 +
** connexions lentes
 +
** credencials en caché
 +
** connexions d'accés remot

Revisió del 20:01, 29 nov 2015

Active Directory (AD) és un sistema d'administració integrada dels recursos d'informació i serveis d'una xarxa Microsoft.

AD DS és Active Directory Domain Services


Objectes AD

AD utilitza el standard de directori LDAP per gestionar la informació de:

  • Usuaris
  • Màquines
    • PCs
    • Impressores
  • Grups
  • UO : Unitats Organitzatives


GUIDs vs GIDs

Quan es crea un objecte AD DS:

  • GUID: Global Unique IDentifier. Identificador global mundial únic.
  • SID: Security IDentifier. Identificador dintre d'un organització. Un objecte pot canviar de SID en cas que es canvii d'ubicació organitzativa (per exemple, un perfil d'usuari que canvia de departament).
    SIDs coneguts (Everyone, Creator, etc.)


Control d'accés

Es distingeixen 2 parts en el procés:

  • Autenticació: demostració que l'usuari és qui diu ser.
  • Autorització: un cop autenticat, permís d'accés o denegació dels recursos.


Conceptes:

  • Security Principal: entitat AD DS que pot ser autenticada (usuaris, grups, equips). Al generar l'objecte se'ls crea un SID.
  • Token d'accés: identificador temporal a mode de certificat utilitzat per concedir accés a recursos.
  • Permisos: regles per permetre o denegar l'accés a objectes.
    • ACL: Access Control List
      • DACL: Discretionary ACL
      • SACL: System ACL. Utilitzades per enregistrar accessos a un recurs (auditoria).
    • ACE: Acces Control Entry. Cadascun dels elements d'una ACL.


Carpetes

AD utilitza el protocol privatiu SMB/CIFS inicialment establert per IBM però desenvolupat a fons per Microsoft. La versió Linux ha pres el nom de Samba i ha estat una enginyeria inversa del protocol privatiu.


Permisos de carpetes:

  • Lectura: llegir, executar
  • Canvi: llegir, generar arxiu/carpeta, modificar arxiu/carpeta, esborrar
  • Control total: canvi, canviar permisos NTFS en arxius i carpetes
Permisos NTFS
Permís per arxiu Permís per carpeta
Lectura
Escriptura
Lectura
Escriptura
Lectura i execució
Canvi
 
Lectura i execució
Canvi
Veure continguts
Control total Control total

La denegació té prioritat sobre els permisos d'accés.

Hi ha uns permisos especials NTFS que permeten un control més granulat. Per exemple, el permís de lectura inclou llistar carpeta, llegir dades, llegir atributs, llegir atributs extensos, llegir permisos, etc.

L'herència permet administrar accés a recursos de forma implícita. Per defecte el fill hereta del pare. L'herència es pot bloquejar i així donar nous permisos als fills.


Polítiques de grup (GPOs)

Una administració eficient necessita l'ús dels grups i de les polítiques de grup, group policies o GPO (Group Policy Object).

Les GPOs s'apliquen sobre:

  • Usuaris : HKCU
  • Equips : HKLM
  • Les GPOs NO s'apliquen sobre grups! (?)

S'enllacen sobre:

  • Local
  • Domini
  • Lloc
  • Unitat Organitzativa

Actualitzacions de les GPOs:

  • Domini: cada 5 minuts, inici
  • Equip: cada 90 minuts, inici
  • Usuari: cada 90 minuts, inici
  • Excepcions:
    • connexions lentes
    • credencials en caché
    • connexions d'accés remot