Poznámka

Vztahy důvěryhodnosti doménové struktury poskytují největší flexibilitu z hlediska ověřování. Jsou také jednodušší vytvářet, udržovat a spravovat než samostatné vztahy důvěryhodnosti mezi externími vztahy důvěryhodnosti na úrovni domény a jednotlivými doménami napříč těmito dvěma doménovými strukturami.

 Poznámka

Při použití selektivního ověřování kromě práva k ověření potřebují uživatelé z důvěryhodné doménové struktury i nadále oprávnění systému souborů a složek ke sdíleným složkám pro přístup ke svému obsahu.

Implementace doménových struktur ESAE

Vzhledem k tomu, že it prostředí se rozšiřují nad hranicemi interních sítí, je role identity v rámci hraniční sítě stále důležitější. Jedním ze způsobů, jak vylepšit své možnosti zabezpečení, je implementovat model doménové struktury ESAE, což společnost Contoso plánuje v nadcházejících měsících.

Co je doménová struktura ESAE?

Doménové struktury ESAE představují přístup architektury, ve kterém vyhrazená doménová struktura služby Active Directory hostuje privilegované účty, privilegované skupiny a pracovní stanice s privilegovaným přístupem. Tato doménová struktura ESAE je nakonfigurovaná s jednosměrným vztahem důvěryhodnosti s produkční doménovou strukturou. Jednosměrný vztah důvěryhodnosti znamená, že účty z doménové struktury ESAE je možné použít v produkční doménové struktuře, ale účty v produkční doménové struktuře se nedají použít v doménové struktuře ESAE. Produkční doménová struktura je doménová struktura, ve které správci provádějí každodenní aktivity organizace. Produkční doménová struktura se pak nakonfiguruje tak, aby úlohy správy v produkční doménové struktuře bylo možné provádět pouze pomocí účtů, které jsou hostiteli doménové struktury ESAE.

Doménové struktury ESAE mají následující výhody:

• Uzamčené účty Standardní neprivilegované uživatelské účty v doménové struktuře ESAE je možné nakonfigurovat jako vysoce privilegované v produkční doménové struktuře. Například standardní uživatelský účet v doménové struktuře ESAE je členem skupiny Domain Admins v doméně v produkční doménové struktuře. Standardní uživatelský účet hostovaný v doménové struktuře ESAE je možné uzamknout, aby se nemohl přihlásit k hostitelům v doménové struktuře ESAE a dá se použít jenom k přihlášení k hostitelům v produkční doménové struktuře. Tento návrh je bezpečnější, pokud dojde k ohrožení zabezpečení účtu v produkční doménové struktuře, protože hacker se zlými úmysly nemůže tento účet použít k provádění úloh správy v doménové struktuře ESAE.
• Selektivní ověřování. Návrh doménové struktury ESAE umožňuje organizacím využívat funkci selektivního ověřování vztahu důvěryhodnosti. Například přihlášení z doménové struktury ESAE se omezí na konkrétní hostitele v produkční doménové struktuře. Toto je další metoda, která pomáhá omezit vystavení přihlašovacích údajů. Můžete například omezit vystavení přihlašovacích údajů při konfiguraci selektivního ověřování tak, aby se privilegované účty v produkční doménové struktuře mohly používat jenom na pracovních stanicích s privilegovaným přístupem nebo na jump serverech.
• Jednoduchý způsob, jak zlepšit zabezpečení. Návrh doménové struktury ESAE poskytuje podstatné zlepšení zabezpečení stávajících produkčních doménových struktur bez nutnosti kompletního opětovného sestavení produkčního prostředí. Přístup k doménové struktuře ESAE má malé nároky na hardware a software a ovlivňuje pouze uživatele it provozního týmu. V tomto návrhu zůstanou standardní uživatelské účty hostované v produkční doménové struktuře. V doménové struktuře ESAE se hostují jenom privilegované účty pro správu. Vzhledem k tomu, že jsou hostované v samostatné doménové struktuře, privilegované účty pro správu můžou podléhat přísnějším požadavkům na zabezpečení než standardní uživatelské účty v produkční doménové struktuře.

Co je princip čistého zdroje?

Princip čistého zdroje určuje, že všechny závislosti zabezpečení jsou stejně důvěryhodné jako zabezpečené položky. V kontextu doménových struktur ESAE se princip čistého zdroje týká zajištění důvěryhodnosti všech účtů zabezpečení a pracovních stanic, které se používají k provádění úloh správy.

Princip čistého zdroje je důležitým aspektem zabezpečení, protože pokud hacker se zlými úmysly může řídit závislost zabezpečení, hacker může také řídit položku, která je zabezpečená. Jedním z důvodů použití přístupu k návrhu doménové struktury ESAE je to, že pomáhá zabezpečit privilegované účty, které spravují produkční prostředí.

Při zabezpečení doménové struktury ESAE se ujistěte, že řadiče domény ESAE běží na zabezpečené virtualizační prostředcích infrastruktury a že se používají technologie zabezpečení, jako je ochrana zařízení, ochrana přihlašovacích údajů a BitLocker. Princip čistého zdroje platí také pro instalační médium. Pokud je instalační médium napadené, jsou všechny softwarové a operační systémy nasazené z instalačního média nedůvěryhodné a ohrožené pro kontrolu hackerem. Software získaný od dodavatelů prostřednictvím fyzických médií je potřeba ověřit. Software stažený z internetu by měl být zkontrolován proti hodnotám hash souborů od dodavatele, aby se zajistilo, že s ním neoprávněně manipulovali třetí strany.

Implementace doménových struktur ESAE

Při implementaci doménové struktury ESAE byste měli zvážit několik faktorů. Doménová struktura ESAE by měla mít následující vlastnosti:

• Omezte funkci doménové struktury ESAE na hostování účtů správců pro produkční doménovou strukturu. Aby byl hacker minimalizovaný, nenasazujte aplikace ani další prostředky v doménové struktuře ESAE.
• Doménová struktura ESAE by měla být doménová struktura služby Active Directory s jednou doménou. V doménové struktuře ESAE není potřeba používat více domén. Doménová struktura ESAE hostuje pouze několik účtů, na které se musí použít přísné zásady zabezpečení.
• Používejte jenom jednosměrné vztahy důvěryhodnosti. Měli byste nakonfigurovat jenom jednosměrný vztah důvěryhodnosti, kdy produkční doménová struktura důvěřuje doménové struktuře ESAE. To znamená, že účty z doménové struktury ESAE je možné použít v produkční doménové struktuře, ale účty z produkční doménové struktury se nedají použít v doménové struktuře ESAE. Účty používané pro úlohy správy v produkční doménové struktuře by měly být standardními uživatelskými účty v doménové struktuře ESAE. Pokud dojde k ohrožení zabezpečení účtu v produkční doménové struktuře, nejde ho použít ke zvýšení oprávnění v doménové struktuře ESAE.

Servery doménové struktury ESAE je potřeba nakonfigurovat následujícími způsoby:

• Instalační médium by mělo být ověřeno.
• Servery by měly používat nejnovější verzi operačního systému Windows Server.
• Servery by se měly automaticky aktualizovat o aktualizace zabezpečení.
• Standardní hodnoty Správce dodržování předpisů zabezpečení by se měly používat jako výchozí bod pro konfiguraci serveru.
• Servery by měly být nakonfigurované se zabezpečeným spouštěním, šifrováním svazků BitLockeru, sadou Credential Guard a Device Guard.
• Servery by měly být nakonfigurované tak, aby blokovaly úložiště USB.
• Servery by měly být v izolovaných sítích. Příchozí a odchozí internetová připojení by měla být blokovaná.

Monitorování a řešení potíží se službou AD DS

Problémy s výkonem a provozem jsou běžné v reálných prostředích. K analýze, vyhodnocení a nápravě takových problémů, které ovlivňují řadič domény služby AD DS, je základní dovedností všech IT odborníků zodpovědných za zajištění stability a dostupnosti prostředí SLUŽBY AD DS.

Monitorování provozního stavu služby AD DS

Nedostatek systémových prostředků může vést k nízkému výkonu systému řadiče domény. Čtyři klíčové systémové prostředky jsou jednotka centrálního zpracování (CPU), subsystém disku, paměť a síť. Identifikace a náprava kritických bodů zahrnuje úzkou kontrolu systémových protokolů a čítačů výkonu, abyste zjistili, který prostředek je aktuálně omezený. Po rozšíření prostředku se výkon zlepší, ale pokud dojde k novému kritickému bodu v jiném systémovém prostředku, může dojít k poklesu výkonu.

Pro různé typy monitorování můžete ve Windows Serveru použít několik nástrojů. Většina těchto nástrojů je ve výchozím nastavení dostupná jako součásti systému Windows Server a můžete je použít k monitorování služby AD DS a dalších služeb v reálném čase. Nejčastěji používané nástroje jsou Správce úloh, Monitorování prostředků, Prohlížeč událostí a Sledování výkonu. Pomocí Sledování výkonu můžete zkontrolovat aktuální statistiky výkonu nebo historická data shromážděná pomocí sad kolektoru dat.

Existuje mnoho čítačů, které můžete zkontrolovat a analyzovat, abyste vyřešili konkrétní požadavky, včetně čítačů specifických pro procesor, paměť, disk a síť. Na řadiči domény byste také měli monitorovat čítače objektů NT Directory Service (NTDS).

• Statistika pro celý systém zabezpečení\Ověřování protokolem Kerberos/s. Tento čítač sleduje počet ověřování Kerberos za sekundu.
• Statistika pro celý systém zabezpečení\Ověřování NTLM. Tento čítač sleduje počet zpracovaných ověřování Windows Network LAN Manager (NTLM) za sekundu.

Pokud ve svém prostředí používáte System Center Operations Manager, máte také možnost nasadit sadu Management Pack Doména služby Active Directory Services Pro Operations Manager k monitorování a analýze operací řadičů domény. Tato sada Management Pack obsahuje mnoho výstrah, zobrazení, úloh a sestav pro různé funkce služby AD DS.

Nástroje pro monitorování a řešení potíží s replikací

V jakémkoli doménovém prostředí služby AD DS obsahujícím více řadičů domény je nezbytné monitorovat replikaci služby AD DS a v případě jakýchkoli problémů je řešit a řešit. Monitorování výkonu umožňuje zachytit a analyzovat čítače agenta replikace adresáře (DRA), včetně:

• NTDS\DRA Příchozí bajty Celkem/s. Tento čítač znázorňuje celkový počet bajtů replikovaných do databáze služby AD DS.
• NtDS\DRA – příchozí objekt. Tento čítač znázorňuje počet objektů služby Active Directory přijatých od sousedů prostřednictvím příchozí replikace.
• NTDS\DRA Odchozí bajty Celkem/s. Tento čítač znázorňuje celkový počet bajtů replikovaných.
• Synchronizace čekající replikace NTDS\DRA Jedná se o počet synchronizací adresářů, které jsou ve frontě tohoto serveru a čekají na zpracování.

Pro vytváření sestav a analýzu replikace jsou užitečné dva další nástroje: Nástroj pro diagnostiku replikace (Repadmin.exe) a nástroj pro diagnostiku řadiče domény (Dcdiag.exe).

Repadmin.exe

Repadmin.exe je nástroj příkazového řádku, který umožňuje hlásit stav replikace na každém řadiči domény. Informace, které Repadmin.exe produkují, vám můžou pomoct odhalit potenciální problém replikace v doménové struktuře. Úrovně podrobností najdete v metadatech replikace pro konkrétní objekty a atributy, abyste zjistili, kde a kdy byla v AD DS provedena problematická změna. Můžete dokonce použít Repadmin.exe ke správě topologie replikace a vynucení replikace mezi řadiči domény.

Repadmin.exe podporuje několik příkazů, které provádějí konkrétní úlohy. O každém příkazu se můžete dozvědět spuštěním repadmin /? z příkazového řádku. Většina příkazů používá parametr DC_LIST, což je jednoduše síťový popisek (DNS, název NetBIOS nebo IP adresa) řadiče domény. Mezi úlohy monitorování replikace, které můžete provádět pomocí Repadmin.exe patří:

• Zobrazení partnerů replikace pro řadič domény Chcete-li zobrazit připojení replikace řadiče domény, zadejte repadmin /showrepl DC_LIST . Ve výchozím nastavení Repadmin.exe seznam připojení mezi lokalitami. Přidejte také argument /repsto pro výpis připojení mezi lokalitami.
• Zobrazení objektů připojení pro řadič domény Zadejte repadmin /showconn DC_LIST seznam objektů připojení pro řadič domény.
• Zobrazení metadat o objektu, jeho atributech a replikaci O replikaci se můžete dozvědět hodně tím, že prozkoumáte objekt na dvou různých řadičích domény a zjistíte, které atributy mají nebo se nereplikovaly. Zadejte repadmin /showobjmeta DC_LIST Object, kde DC_LIST označuje řadič domény nebo řadiče k dotazování. Hvězdičku můžete použít k označení všech řadičů domény. Objekt představuje identifikátor GUID objektu, což je jeho jedinečný identifikátor.

Dcdiag.exe

Dcdiag.exe provádí několik testů a hlásí celkový stav replikace a provozního stavu služby AD DS. Spustit samostatně, Dcdiag.exe provádět souhrnné testy a poté hlásí výsledky. V opačném extrémním případě Dcdiag.exe /c spustí komplexní seznam testů. Výstup můžete přesměrovat na soubory různých typů, včetně XML. Pomocí parametru /test:Test Name můžete také zadat jeden nebo více testů, které se mají provést. Mezi testy, které se vztahují přímo k replikaci, patří:

• DFSREvent. Hlásí všechny chyby operací v systému souborů DFS (Distributed File System).
• Mezi lokalitami. Kontroluje chyby, které by zabránily replikaci uvnitř lokalit nebo zpozdily.
• KccEvent. Identifikuje chyby v nástroji Pro kontrolu konzistence znalostí.
• Replikace. Kontroluje včasnou replikaci mezi řadiči domény.
• Topologie. Zkontroluje, jestli je topologie replikace plně připojená pro všechny řadiče domény.
• VerifyReplicas. Ověřuje, že všechny oddíly adresáře aplikací jsou plně vytvořena na všech řadičích domény, které hostují repliky.

Monitorování replikace pomocí nástroje Microsoft System Center Operations Manager

sada Management Pack služby Doména služby Active Directory Services pro Operations Manager zahrnuje funkce monitorování replikace, které shromažďují výstrahy replikace služby AD DS spolu s daty o výkonu představujícími latenci replikace a objem příchozích i odchozích přenosů replikace. Sada Management Pack nabízí řídicí panely topologie replikace, které zobrazují propojení lokality, objekty připojení a poškozené objekty připojení. Umožňuje také generovat sestavy o objektech připojení replikace, propojeních lokality replikace, šířce pásma replikace a latenci replikace.

Rutiny replikace služby AD DS prostředí Windows PowerShell

Windows Server podporuje rutiny Windows PowerShellu, které usnadňují monitorování replikace služby AD DS a kontrolu jeho konfigurace. Některé z nich jsou popsané v následujícím seznamu.

• Get-ADReplicationConnection. Poskytuje konkrétní připojení replikace služby AD DS nebo sadu objektů připojení replikace služby AD DS na základě zadaného filtru.
• Get-ADReplicationFailure. Obsahuje popis selhání replikace služby AD DS.
• Get-ADReplicationPartnerMetadata. Poskytuje metadata replikace pro sadu jednoho nebo více partnerů replikace.
• Get-ADReplicationSite. Poskytuje konkrétní lokalitu replikace služby AD DS nebo sadu objektů replikační lokality na základě zadaného filtru.
• Get-ADReplicationSiteLink. Poskytuje konkrétní odkaz na lokalitu služby Active Directory nebo sadu odkazů lokalit na základě zadaného filtru.
• Get-ADReplicationSiteLinkBridge. Poskytuje konkrétní most propojení lokality služby Active Directory nebo sadu objektů mostu propojení lokality na základě zadaného filtru.
• Get-ADReplicationSubnet. Poskytuje podsíť služby Active Directory nebo sadu podsítí služby Active Directory na základě zadaného filtru.

Vytvoření vlastních oddílů služby AD DS

Vlastní aplikace můžou potřebovat ukládat data do databáze služby AD DS. Některé z nich jsou pro tento účel závislé na rozšíření schématu, ale existují i jiné, které vyžadují vytvoření vlastních oddílů SLUŽBY AD DS. Stává se to u nové interní sady aplikací, které potřebujete k nasazení, vyvinutou interní sadou aplikací společnosti Contoso.

Co jsou oddíly služby AD DS?

Oddíl neboli kontext pojmenování je část databáze SLUŽBY AD DS. Přestože je databáze jedním souborem s názvem NTDS.dit, různé oddíly obsahují různá data. Každý oddíl je jednotka replikace a každý oddíl má vlastní topologii replikace. Mezi výchozí oddíly patří:

• Oddíl konfigurace. Konfigurační oddíl se vytvoří automaticky při vytváření prvního řadiče domény v doménové struktuře. Konfigurační oddíl obsahuje informace o struktuře služby AD DS pro celou doménovou strukturu, včetně domén a lokalit a toho, které řadiče domény existují v každé doméně. Tento oddíl se replikuje do všech řadičů domény v doménové struktuře.
• Oddíl schématu Oddíl schématu obsahuje definice všech objektů a atributů, které můžete vytvořit v úložišti dat, a pravidla pro jejich vytváření a manipulaci s nimi. Informace o schématu se replikují do všech řadičů domény v doménové struktuře.
• Oddíl domény. Když vytvoříte novou doménu, služba AD DS automaticky vytvoří instanci oddílu domény. Tento oddíl se následně automaticky replikuje do každého nového řadiče domény ve stejné doméně. Oddíl domény obsahuje informace o všechobjektch
• Oddíl aplikace Oddíl aplikace ukládá nedoménu, informace související s aplikacemi, které se obvykle aktualizují s vyšší frekvencí nebo mají přizpůsobitelnou životnost, například oddíl DNS (Domain Name System), když je povolená služba ACTIVE Directory integrovaná služba DNS. Obvykle máte flexibilitu určit rozsah replikace oddílů aplikace tak, že určíte, které řadiče domény v doménové struktuře budou hostovat jeho kopie.

Vytvoření oddílů služby AD DS

Oddíly služby AD DS můžete vytvářet a spravovat pomocí nástroje příkazového řádku NtdsUtil.exe. NtdsUtil.exe také umožňuje provádět několik dalších úloh správy souvisejících se službou AD DS, například:

• Údržba databáze NTDS, včetně vytváření snímků, přemístění databáze, souborů a defragmentace offline
• Vyčištění metadat řadiče domény po neopravitelném selhání.
• Resetování hesla použitého k přihlášení do režimu obnovení adresářových služeb (DSRM).