Материал: Книга Active directory

Проверка ПОДЛИННОСТИ

Когда пользователь входит в домен Active Directory, он вводит свое имя и пароль, а клиент применяет эти учетные данные для проверки подлинности пользователя, то есть подтверждения идентификации объекта пользователя в соответствии с его учетной записью в Active Directory. В главе 3 рассказывается, как создавать учетные записи пользователей, как управлять ими и их свойствами, в частности паролями. В этой главе речь пойдет о компонентах для проверки подлинности на стороне домена, в том числе о политиках, определяющих требования к паролям, об аудите операций, связанных с проверкой подлинности. Мы также рассмотрим такие новые элементы, как объекты параметров пароля PSO (Password Settings Object) и контроллеры домена только для чтения RODC (Read-Only Domain Controller).

Темы экзамена:

•Создание и поддержка объектов Active Directory.

•Настройка политики учетных записей.

•Конфигурирование политики аудита с помощью объектов GPO .

•Настройка инфраструктуры Active Directory.

о Конфигурирование репликации Active Directory.

• Настройка дополнительных ролей сервера Active Directory,

оКонфигурирование контроллера R O D C .

Прежде всего

Для выполнения упражнений этой главы в домене contoso.com должен быть установлен контроллер домена SERVER01.

История из ж и з н и

Дэн Холме

Работая с клиентами, реализующими доменные службы Active Directory (AD DS), я должен постоянно соблюдать баланс между необходимостью в высоких уровнях безопасности и требованиями быстрого решения бизнес-задач. В версиях Windows до Windows Server 2008 я все время оказывался в одной из двух ситуаций, когда такой баланс было довольно сложно установить. Первая ситуация относится к безопасности учетных записей пользователей с высокими уровнями привилегий на предприятии. Такие учетные записи представляют интерес для хакеров, поэтому их нужно хорошо защищать, в частности, задавая длинные и сложные пароли. В предыдущих версиях Windows только политика паролей могла применяться ко всем учетным записям в домене. Поэтому мне приходилось задействовать строгие ограничения паролей для всех пользователей в домене, что никогда не приветствовалось, или просить администраторов реализовать более строгую политику, но без возможности согласования. В Windows Server 2008 появились гранулированные политики паролей, с помощью которых можно назначать пароли с различными уровнями сложности и применять их к группам или пользователям в домене.

В филиалах также возникали проблемы: нужно было найти баланс между быстрой и надежной проверкой подлинности пользователя и требованием централизовать управление физической безопасностью контроллеров доменов. Размещение контроллера домена в филиале может значительно повысить производительность для пользователей филиала, но такой контроллер физически будет менее защищен, чем в центре данных компании. Система Windows Server 2008 может функционировать как контроллер домена только для чтения, выполняя проверку подлинности пользователей, но не храня все их учетные данные; так уменьшается угроза безопасности при хищении контроллера домена в филиале.

Если вы достаточно долго работаете с Active Directory, то наверняка по достоинству оцените гранулированные политики паролей и контроллеры домена только для чтения. Если же вы новичок в Active Directory, то оцените удобство работы с этими новыми компонентами.

Занятие 1. Настройка политики паролей и блокировки учетных записей

В домене Windows Server 2008 пользователям необходимо изменять свои пароли каждые 42 дня, а пароль должен содержать как минимум семь символов и соответствовать требованиям сложности, включая использование трех из четырех элементов написания: верхнего регистра, нижнего регистра, цифр и особых символов. Эти политики максимального срока действия, длины и сложности паролей — первые, с которыми администраторы и пользователи сталкиваются в домене Active Directory. Параметры по умолчанию редко настраиваются точно по требованиям безопасности в организации. Ваше предприятие может

'366 Проверка подлинности Глава 8

требовать изменять пароли чаще или реже. На данном занятии мы рассмотрим, как реализовать политики паролей и блокировки на предприятии путем модификации объекта групповой политики Default Domain Controller.

Из каждого правила есть исключения, и в вашей п о л и т и к е паролей также могут предполагаться исключения. Ч т о б ы п о в ы с и т ь уровень безопасности домена, можно задать более строгие требования к п а р о л я м д л я учетных записей, назначаемых администраторам, записей, используемых такими службами, как Microsoft SQL Server, или для учетных записей, применяемых утилитой резервного копирования. В предыдущих версиях W i n d o w s эти возможности отсутствовали: ко всем учетным записям в домене п р и м е н я л а с ь одна политика паролей. На этом занятии мы обсудим принципы настройки нового компонента гранулированных политик паролей в Windows Server 2008, который позволяет задавать различные политики паролей д л я пользователей и групп в домене.

Изучив материал этого занятия, вы сможете:

/Реализовать политику паролей домена.

/Настроить и назначить гранулированные политики паролей.

Продолжительность занятия — около 45 мин.

Политики паролей

Политика паролей домена конфигурируется объектом G P O , в область действия которого попадает домен. В узле К о н ф и г у р а ц и я к о м п ы о т е р а \ П о л и т и к и \ Конфигурация Windows\napaMeTpbi безопасности\Политики учетных записей\ Политика паролей (Computer Configuration\Policies\ Windows Settings\Security Settings\Account Policies\Password Policy) этого объекта G P O можно отконфигурировать параметры политики, определяющие требования к паролям. Узел Политика паролей (Password Policy) показан на рис. 8-1.

; Ж|«п£Л событм)

д Суп&тъ* службы

3 гдоовмсмаеяа

£ Гслггм* гооеодмеД сри СЕЙ Браидиамэр V/odcv.t в pew*

Пымп«л д.»лет черв амол сетей

4 Пымпжи беслроводхм сегн (TFFF {

3 Пслт«М СТкртТОГО КЛОЧв

Пс/Mi «метра-»»**»*-» лаюлвил j Nrtnor Аосе* Protection

g, Усгылм V -6екл»огти на "Qi |Г»йу|

Рис. 8-1. Политика паролей в объекте GPO