Kontrola dostępu na podstawie AD

Kontrola dostępu na podstawie AD to przyznawanie uprawnień w oparciu o członkostwo w grupach usługi katalogowej.

Mechanizm kontroli dostępu w Active Directory

Kontrola dostępu na podstawie AD, czyli Active Directory, polega na podejmowaniu decyzji o uprawnieniach na podstawie tożsamości użytkownika oraz jego członkostwa w grupach usługi katalogowej Active Directory Domain Services. Konto użytkownika jest rozpoznawane w domenie za pomocą nazwy logowania, identyfikatora SID oraz innych atrybutów zapisanych w katalogu. Administrator nie musi przypisywać praw każdej osobie oddzielnie. Zamiast tego może utworzyć grupę odpowiadającą określonej funkcji, dodać do niej właściwe konta, a następnie nadać uprawnienia tej grupie.

W systemie Windows uprawnienia do plików i katalogów są zazwyczaj zapisane na liście kontroli dostępu ACL. Lista ta zawiera wpisy ACE określające, czy dany użytkownik lub grupa może odczytywać, zapisywać, modyfikować albo usuwać obiekt. Podczas logowania system domenowy tworzy dla użytkownika token dostępu zawierający między innymi jego SID oraz identyfikatory SID grup, do których należy. System operacyjny porównuje zawartość tokenu z wpisami ACL i na tej podstawie ocenia żądanie dostępu. Sama obecność konta w domenie nie oznacza więc automatycznie prawa do każdego zasobu.

Grupy zabezpieczeń, zagnieżdżanie i zakres uprawnień

Najczęściej stosowanym elementem takiego modelu są grupy zabezpieczeń. Mogą one reprezentować stanowisko, dział, projekt albo konkretny zasób, na przykład katalog przeznaczony dla księgowości. Dobre rozdzielenie grup użytkowników od grup zasobów ułatwia późniejszą zmianę składu zespołu bez modyfikowania każdej listy ACL. Konto pracownika może zostać usunięte z jednej grupy, a jego uprawnienia do wielu zasobów zostaną zmienione zgodnie z regułami przypisanymi do tej grupy.

Active Directory obsługuje także grupy zagnieżdżone, czyli grupy zawierające inne grupy. Dzięki temu członkostwo może być budowane warstwowo, jednak zagnieżdżenia wymagają kontroli, ponieważ trudniej wtedy ustalić rzeczywiste źródło przyznanego prawa. Znaczenie ma również zakres grupy, między innymi lokalny dla domeny, globalny lub uniwersalny. Zakres określa, gdzie grupa może być używana i jakie typy członków mogą się w niej znajdować. Niepoprawnie zaprojektowany model grup może doprowadzić do nadmiarowych uprawnień, konfliktów wpisów ACL albo sytuacji, w której użytkownik zachowuje dostęp mimo zmiany stanowiska.

Ocena praw nie sprowadza się wyłącznie do znalezienia pierwszego wpisu ze słowem „zezwól”. Wpływ mogą mieć uprawnienia dziedziczone z katalogu nadrzędnego, jawne odmowy oraz prawa wynikające z kilku grup jednocześnie. Wpis „odmów” może mieć pierwszeństwo przed wpisem „zezwól”, dlatego jego używanie wymaga ostrożności. Przy analizie problemu należy ustalić pełną ścieżkę dziedziczenia, członkostwo użytkownika w grupach oraz to, czy zmiana grupy została już uwzględniona w aktualnym tokenie dostępu.

Logowanie domenowe i weryfikacja tożsamości

Kontrola dostępu zależy od prawidłowego uwierzytelnienia w domenie. W typowej instalacji Active Directory za obsługę logowania domenowego odpowiadają kontrolery domeny, a protokół Kerberos służy do potwierdzania tożsamości i uzyskiwania biletów do usług. Kerberos wymaga poprawnej synchronizacji czasu oraz prawidłowego rozpoznawania nazw kontrolerów domeny. Problemy z DNS, niedostępnością kontrolera domeny albo znaczną różnicą czasu mogą skutkować nieudanym logowaniem lub brakiem dostępu do zasobów sieciowych.

Po zmianie członkostwa w grupie użytkownik może nadal korzystać ze starego tokenu dostępu do czasu ponownego logowania. Samo zamknięcie okna programu nie zawsze wystarcza, ponieważ token jest związany z sesją systemu Windows. Diagnostyka powinna dlatego obejmować sprawdzenie bieżącego konta, grup zabezpieczeń oraz kontrolera domeny, który obsłużył logowanie. Przydatne są wbudowane polecenia systemu Windows, takie jak whoami /user, whoami /groups i klist. Pierwsze pokazuje identyfikator użytkownika, drugie grupy obecne w tokenie, a trzecie informacje o biletach Kerberos zapisanych w pamięci sesji.

Ważne jest odróżnienie uwierzytelnienia od autoryzacji. Uwierzytelnienie odpowiada na pytanie, czy użytkownik jest tym, za kogo się podaje. Autoryzacja określa natomiast, jakie działania może wykonać po poprawnym zalogowaniu. Konto może więc logować się bez błędów, a mimo to nie mieć prawa do określonego udziału sieciowego. W przypadku zasobu udostępnionego przez SMB końcowy dostęp zależy zarówno od uprawnień udziału, jak i od uprawnień systemu plików NTFS. Bardziej ograniczający wynik obu mechanizmów wyznacza faktyczny poziom dostępu.

Analiza reguł dostępu i typowych niespójności

Sprawdzanie kontroli dostępu rozpoczyna się od ustalenia konkretnego zasobu, konta i oczekiwanego działania. Odczyt pliku, utworzenie nowego pliku, modyfikacja istniejącego obiektu oraz usunięcie katalogu mogą wymagać innych praw. Następnie należy zweryfikować, czy komputer jest przyłączony do właściwej domeny, czy użytkownik loguje się kontem domenowym oraz czy stacja może skontaktować się z kontrolerem domeny. W systemie Windows można wykorzystać między innymi polecenie gpresult do analizy zastosowanych zasad grupy, a także właściwości zabezpieczeń badanego katalogu i udziału sieciowego.

Typową niespójnością jest usunięcie użytkownika z grupy bez zakończenia wcześniejszej sesji, przez co stary token nadal zawiera poprzednie członkostwo. Innym problemem bywa nadanie praw bezpośrednio kontu, mimo że organizacja stosuje model oparty na grupach. Utrudnia to audyt i zwiększa ryzyko pozostawienia dostępu po zmianie roli. Błędy mogą również wynikać z niezamierzonego dziedziczenia ACL, nieaktualnej replikacji katalogu między kontrolerami domeny albo rozbieżności między uprawnieniami udziału SMB i NTFS. Każdy z tych przypadków wymaga osobnego sprawdzenia, ponieważ podobny komunikat „odmowa dostępu” może mieć różne przyczyny.

Przywracanie prawidłowego działania powinno polegać na uporządkowaniu członkostwa w grupach, usunięciu zbędnych wpisów bezpośrednich, sprawdzeniu dziedziczenia oraz ponownym zalogowaniu użytkownika po zmianach. Nie należy przyznawać pełnej kontroli tylko po to, aby ominąć niejasny błąd, ponieważ takie działanie zaciera przyczynę i może rozszerzyć dostęp do niepotrzebnych zasobów. W środowisku domenowym istotne jest także dokumentowanie tego, która grupa odpowiada za dane uprawnienie i jaki zasób jest przez nią chroniony. Pozwala to później odtworzyć logikę decyzji systemu na podstawie konfiguracji Active Directory, tokenu użytkownika oraz ACL badanego obiektu.