Gál Tamás
[email protected] MCT RL IQSOFT-John Bryce Oktatóközpont
Biztonság és távelérés
AD DS bevezetés • Soha nem volt még ilyen
egyszerű...
• A DCPromo nincs többé, helyette: Server •
•
• •
Manager / PowerShell Alapos ellenőrzés: feltételek, hiányosságok, még a tényleges műveletek előtt Az összes előkészítő feladat beépült (séma/erdő/tartomány preparálás, működési szint emelés, stb.) Másik gépről is > egyetlen WS12 vagy W8 + RSAT elég mindenhez Az IFM preparálás (ntdsutil) közben az offline defrag elhagyható
AD Administrative Center • Az ADAC határozottan tör előre • Az ADUC pedig határozottan gyengül
• Régi/új elemek az új ADAC-ban • Recycle Bin • Windows Server 2008 R2 forest functional level szükséges + be kell kapcsolni • Fine Grained Password Policy • Jelszó objektumok elkészítése, szerkesztése és hozzárendelése
• Teljesen új megoldások • PowerShell History Online Viewer • Mindent látunk „Powershell-ül” az ADAC-ban • Dynamic Access Control • Lásd később, külön
ADAC demó DC telepítés / RB / FGPP / PS OHV
Active Directory virtualizáció Safeguard • A háttér • A pillanatképek használata vagy a VM/VHD másolás problémás • Egy rollback miatt árva (hátrahagyott) objektumok, inkonzisztens jelszavak és attribútumok,
duplikált SID-ek és esetleg séma kavarodás is előfordulhat
• A megoldás: a biztonságos AD virtualizáció • Amikor megszületik, minden virtuális WS12 DC kap egy ún. VM-Generation ID értéket • A hypervisorban és az adott DC címtárpéldányában is tárolódik • Menetközben a Hyper-V figyeli a problémás műveleteket (pl. snapshot) és változtat a saját értékén • Minden adatbázis változás előtt (és a DC indításakor) összehasonlítás történik • Ha a két érték passzol, akkor nincs probléma • Ha nem, akkor egy korábbi állapot van, tehát egy Invocation ID + RID Pool reset művelet jön • Minden adat megmarad és nem lesz árva objektum • Megjegyzések: • Csak Windows Server 2012 DC és Hyper-V esetén
Active Directory virtualizáció - klónozás • Mikor? • Gyors plusz tartományvezérlő igény, pl. egy katasztrófa utáni sürgős helyreállításkor • Telephely, tesztkörnyezet • Vagy éppen eltérő AD és Hyper-V jogosultsági kör esetén
• Mi kell hozzá? • • • •
A VM-Generation ID miatt > WS12 DC + WS12 Hyper-V A PDC Emulator FSMO is WS12 kell, hogy legyen Speciális csoporttagság a forrás DC esetén > Cloneable Domain Controllers A konfigurációs és kivétel fájlok (.xml) generálása > PowerShell
• Egyéb tudnivalók • Van offline üzemmód is, ha pl. több DC-t szeretnénk egyetlen vhd-ból • AD LDS, AD CS, DHCP szerepkörök esetén nem támogatott
AD klónozás Offline demó
Először Powershell-lel preparáljuk...
...majd jön a Hyper-V export és import...
...aztán elindítjuk...
...és végül örülünk.
AD Based Activation • KMS szerver helyett /
mellett
• Volume licence (Windows/Office) • • • • •
esetén AD alapú aktíválást nyújt De a KMS-ként is működik illetve azzal együtt is RPC helyett LDAP-pal RODC-ken is Az ADBA-t csak a WS12/W8 tudja használni WS12 Active Directory séma kell hozzá (de DC nem!)
Off-Premises Domain Join • Offline Domain Join • Kliens gépfiók beléptetése aktív tartományvezérlő kapcsolat nélkül – a WS08R2/W7 páros esetén
• Off-Premises Domain Join • A blob kiegészülhet a következő Direct Access követelményekkel • Tanúsítványok • Csoportházirend objektumok • Az eredmény • Ha van DirectAccess-ünk, akkor a gépek offline állapotában beléptethetjük • Majd használhatjuk is rendeltetésszerűen a tartományban – távolból is • Windows To Go-val is működik • Feltételek • Windows Server 2012 DC
Dynamic Access Control • Háttér • Kérdés: Kinek van 100-nál több biztonsági csoportja az AD-ban? • Kérdés: Hány biztonsági csoport kell 25 telephely, 10 csoport és 2 kategória (érzékeny/nem
érzékeny) esetén?
• A DAC lényege • Alternatív jogosultsági rendszer az NTFS mellett / helyett – de a meglévő AD-val • Kevesebb biztonsági csoport, központosított és rugalmasabb jogosultság kezelés
• Feltételek • • • •
Windows Server 2012 DC Windows Server 2012 fájlszerver Windows 7/8 kliensek Windows Server 2012 Active Directory Administrative Center
Dynamic Access Control • A koncepció Adat osztályozás Az adatok automatikus vagy manuális besorolása – az ADban tárolt erőforrás tulajdonságok alapján
Kifejezés alapú hozzáférés
Kifejezés alapú auditálás
Rugalmas hozzáférési lista a dokumentum besorolása és /vagy a felhasználó / eszköz adatai alapján
Célzott hozzáférési audit a dokumentum besorolása vagy a felhasználó/eszköz adatai alapján
Központilag tárolt hozzáférési konfiguráció segítségével
Központilag tárolt hozzáférési konfiguráció segítségével
Titkosítás Automatikus RMS titkosítás a dokumentum besorolása alapján
Dynamic Access Control Az építőkockák Felhasználói / eszköz claim-ek Kifejezés alapú ACE Besorolás javítása
Központi hozzáférési és audit szabályok Access-Denied segéd
• Felhasználó és eszköz tulajdonságok, amelyek használhatók az ACE-ben
• Feltétel alapú ACE, boolean logikával illetve egyéb operátorokkal • Az engedélyezés során használható a besorolás kondícióként • Folyamatos és automatikus osztályozás • Besorolás alapú automatizált RMS titkosítás • Központi szabályok az AD-ban tárolva és akár több fájlszerverre alkalmazva
• A felhasználó jogosultságot kérhet ezen keresztül • Az üzemeltető számára részletes információkat nyújt a hibaelhárításhoz
Dynamic Access Control Eddig: csak Security Principal objektumok
Kizárólag a csoporttagságra korlátózódik Sok esetben az ún. árnyékcsoportok létrehozására van szükség Csoportok egymásba ágyazhatósága régóta probléma Nem lehet a hozzáférést aszerint szabályozni, hogy a felhasználó milyen eszközről éri el az erőforrást
WS12: Security Principal, User Claim, Device Claim
Kiválasztott AD felhasználói/számítógép tulajdonságok bekerülnek az Access Token-be A claim direktben használható a fájlszerveren a jogok kiosztására Konzisztens állapot az erdőn belül, minden felhasználó kap claim-et Új típusú házirendek kialakítását teszi lehetővé Engedjük az írást ha User.MemberOf(Finance) és User.EmployeeType=FullTime és Device.Managed=True
Dynamic Access Control • Kifejezés alapú ACE használata • Korábban csak az „OR” csoportok alkalmazására volt lehetőség • Képzeljük el: 500 project, 100 ország, 10 osztály • Minden kombináció leírásához összesen 500e csoport kell • ProjectZ UK Engineering Users • ProjectZ Canada Engineering Users [stb.] • Windows Server 2012 • ACE Boolean logika • Allow modify IF MemberOf(ProjectZ) AND MemberOf(UK) AND MemberOf(Engineering) • 610 csoport az 500e helyett
• Windows Server 2012 - Central Access Policies és Classification • Gyakorlatilag 3 db user claim
Expression-based Dynamic Access Control access policy • A szabályok AD DS
Felhasználó claim-ek
User.Department = Finance User.Clearance = High
Fájlszerver
Eszköz claim-ek
Device.Department = Finance Device.Managed = True
Erőforrás tulajdonságok
Resource.Department = Finance Resource.Impact = High
Hozzáférési szabály Alkalmazva: Resource.Impact = High Allow | Read,Write | if (User.Department = Resource.Department) AND (Device.Managed = True)
DAC + ADA demó
DirectAccess • Egyszerű bevezetés • A telepítő varázsló akár összesen • • • • • • • •
2 lépésből is állhat Lehet tűzfal / NAT mögött a DirectAccess szerver Nem kell a 2 db publikus IPv4-es, sőt akár egy sem Lehet egyetlen hálózati interfésszel is DA szervert építeni Nem kötelező a PKI infrastruktúra kiépítése sem Nem szükséges az IPv6 infrastruktúra sem (!) Az egyetlen tunnel is egy rendelkezére álló lehetőség Választhatunk: távoli elérés és/vagy távoli felügyelet? Windows 7 kompatibilitás, de 1-2 feltétellel, pl. PKI infrastruktúra
DirectAccess • További előnyök, újdonságok • Hitelesítés változások • TPM alapú virtuális smartcard támogatás • One-time password (OTP) hitelesítés (eddig csak a Forefront UAG-gal működött) • IP-HTTPS proxy mögött • Kötelező proxy hitelesítés esetén egy idegen hálózatban is működik, IP-HTTPS-sel is • IP-HTTPS NULL encryption • Az IP-HTTPS mindig is izmosabb erőforrást követelt a dupla titkosítás miatt • WS12-ben a felesleges redundáns SSL titkosítás megszűnt • A Teredo-val összevethető, lényegesen nagyobb a teljesítmény az eredmény • Windows To Go kompatibilitás • NAP támogatás (eddig csak a Forefront UAG-gal működött) • Egyszerű migráció a Forefront UAG DA-ról
DirectAccess • Load Balancing • Terheléselosztás több DA szerver között • Eddig csak a Forefront UAG-gal volt
elérhető
• Multisite • Földrajzi vagy failover okokból • Több, pl. telephelyenként különböző DA
szerver elérése • Automatikus belépési pont választás Windows 8 kliensek esetén • Windows 7 kliensek – rögzítés egy adott belépési ponthoz
DirectAccess • Integrált kliens • A Windows 8-ban • Automatikusan és gyorsan kapcsolódik • Rugalmas hitelesítés: Kerberos, PKI, OTP,
smartcard, virtuális smartcard + TPM • Egyszerű a kliens állapotának nyomonkövetése, a beépített hálózati UI-n keresztül • Kézzel válthatunk a DirectAccess belépési pontok között • A kliens tulajdonság panelből összegyűjthetjük és elküldhetjük a részletes naplófájlokat pl. emailben
DirectAccess demó
