Rola Active Directory

Rola Active Directory to zestaw uprawnień w usłudze katalogowej, wykorzystywany m.in. do delegowania administracji.

Rola Active Directory w architekturze Windows Server

Active Directory to usługa katalogowa firmy Microsoft, której podstawowym składnikiem jest Active Directory Domain Services, w skrócie AD DS. W systemie Windows Server AD DS przechowuje informacje o obiektach domeny, takich jak konta użytkowników, grupy, komputery, jednostki organizacyjne i zasady konfiguracji. Kontroler domeny udostępnia te dane innym komputerom oraz uczestniczy w uwierzytelnianiu użytkowników i urządzeń. Dzięki temu konto domenowe może być używane na wielu komputerach bez tworzenia niezależnego konta lokalnego na każdym z nich.

Określenie „rola Active Directory” może odnosić się do zainstalowanej roli serwera AD DS, ale w praktyce bywa również używane w znaczeniu zakresu uprawnień przydzielonych administratorowi. Te dwa pojęcia należy rozróżnić. Rola AD DS oznacza funkcję systemu Windows Server, natomiast rola administracyjna określa, jakie operacje dana osoba może wykonywać w katalogu. Uprawnienia nie wynikają wyłącznie z samego faktu posiadania konta w domenie. Są ustalane przez członkostwo w grupach, listy kontroli dostępu oraz delegowanie zadań do określonych obiektów katalogowych.

Delegowanie administracji przez uprawnienia katalogowe

Delegowanie administracji w Active Directory pozwala przyznać wybranemu użytkownikowi lub grupie ograniczony zakres czynności bez nadawania pełnych praw administratora domeny. Przykładowo, administrator może zezwolić zespołowi pomocy technicznej na resetowanie haseł użytkowników znajdujących się w konkretnej jednostce organizacyjnej. Taki zespół może otrzymać również prawo odblokowywania kont, odczytywania wybranych właściwości albo tworzenia określonych obiektów. Zakres delegowania powinien być związany z konkretną jednostką organizacyjną i konkretnymi typami operacji.

Podstawą kontroli dostępu są listy ACL, czyli Access Control Lists, zapisane przy obiektach katalogowych. Wpisy ACE, czyli Access Control Entries, określają, jaki podmiot ma prawo do odczytu, zapisu, tworzenia, usuwania lub modyfikowania danego obiektu. Uprawnienia mogą być dziedziczone przez obiekty znajdujące się niżej w hierarchii. Dziedziczenie upraszcza konfigurację, ale może także spowodować niezamierzone rozszerzenie dostępu, dlatego podczas analizy należy sprawdzić zarówno wpisy bezpośrednie, jak i odziedziczone. Istotne jest również rozróżnienie uprawnień do samego obiektu od praw do jego właściwości, ponieważ możliwość odczytu konta nie oznacza automatycznie prawa do zmiany jego hasła.

Obiekty, grupy i jednostki organizacyjne

Active Directory przechowuje obiekty w strukturze hierarchicznej. Jednostka organizacyjna, czyli Organizational Unit, służy do porządkowania użytkowników, komputerów i grup, a także do przypisywania zasad grupy oraz delegowania administracji. Jednostka organizacyjna nie jest tym samym co grupa zabezpieczeń. Grupa służy przede wszystkim do zbiorczego nadawania uprawnień, natomiast jednostka organizacyjna jest kontenerem organizacyjnym, na którym można stosować określone ustawienia i zakresy administracyjne.

W typowym modelu uprawnienia przydziela się grupie, a użytkowników dodaje do tej grupy zgodnie z ich obowiązkami. Takie rozwiązanie ułatwia kontrolę zmian, ponieważ modyfikacja członkostwa w grupie może zmienić dostęp wielu osób bez edytowania każdego wpisu ACL osobno. Należy jednak kontrolować członkostwa grup zagnieżdżonych, ponieważ uprawnienia mogą być uzyskane pośrednio. Szczególnej uwagi wymagają grupy uprzywilejowane, w tym Domain Admins, Enterprise Admins i Schema Admins. Ich członkostwo zapewnia szerokie możliwości administracyjne i powinno być ograniczone do niezbędnych kont.

Weryfikacja roli i typowe problemy z dostępem

Analiza problemu z rolą Active Directory powinna rozpocząć się od ustalenia, na czym dokładnie polega oczekiwane działanie. Inaczej diagnozuje się brak możliwości zalogowania do domeny, inaczej odmowę zmiany właściwości użytkownika, a jeszcze inaczej brak dostępu do jednostki organizacyjnej. Należy sprawdzić, czy konto znajduje się w odpowiednich grupach, czy obiekt jest umieszczony w prawidłowej jednostce organizacyjnej oraz czy na drodze dziedziczenia nie występuje wpis Deny. Jawna odmowa ma szczególne znaczenie, ponieważ może mieć pierwszeństwo przed zezwoleniem wynikającym z innego wpisu.

Przydatne informacje diagnostyczne można uzyskać za pomocą konsoli Active Directory Users and Computers, przystawki Active Directory Administrative Center oraz narzędzi wiersza poleceń systemu Windows, takich jak whoami /groups do wyświetlenia tokenu grup użytkownika i gpresult do sprawdzenia zastosowanych zasad grupy. Do oceny uprawnień obiektu można użyć karty zabezpieczeń w jego właściwościach, po włączeniu widoku zaawansowanego. Trzeba także uwzględnić replikację katalogu między kontrolerami domeny, ponieważ zmiana członkostwa grupy lub ACL może nie być natychmiast widoczna w każdym miejscu. Jeżeli problem dotyczy komputera używanego przez pracownika, warto oddzielić usterkę lokalnego systemu Windows od błędu konfiguracji domeny, ponieważ podobny komunikat o odmowie dostępu może mieć różne przyczyny techniczne.