Użytkownik AD w roli sysadmin

Użytkownik AD w roli sysadmin uzyskuje pełne uprawnienia administracyjne dziedziczone z konta domenowego.

Jak działa rola sysadmin w Active Directory

Określenie „Użytkownik AD w roli sysadmin” nie jest nazwą jednej, wbudowanej roli Active Directory Domain Services. W praktyce oznacza użytkownika domenowego, któremu administratorzy przypisali uprawnienia administracyjne przez członkostwo w określonych grupach zabezpieczeń, delegowanie uprawnień lub reguły zapisane w zasadach grupy. Konto użytkownika pozostaje zwykłym obiektem domenowym, natomiast zakres jego możliwości wynika z tokenu dostępu tworzonego podczas logowania. Token zawiera identyfikator użytkownika SID, identyfikatory grup oraz dodatkowe informacje potrzebne do sprawdzania dostępu do zasobów.

Najszerszy zakres uprawnień w typowej domenie zapewnia członkostwo w grupie Domain Admins. Członkowie tej grupy mają domyślnie uprawnienia administracyjne na kontrolerach domeny i komputerach przyłączonych do domeny, a sama grupa jest powiązana z grupą lokalnych administratorów w modelu uprawnień domenowych. Nie oznacza to jednak, że każda osoba opisana jako sysadmin automatycznie jest członkiem Domain Admins. Organizacja może używać własnej grupy, na przykład „AD-Sysadmins”, z precyzyjnie delegowanymi prawami do jednostek organizacyjnych, kont użytkowników, komputerów, grup lub konkretnych usług.

Dziedziczenie uprawnień i granice administracji

W Active Directory uprawnienia mogą być dziedziczone z grup nadrzędnych i zagnieżdżonych. Użytkownik może należeć do grupy bezpośrednio albo przez inną grupę, a efektywne uprawnienia są obliczane na podstawie całego łańcucha członkostwa. Przykładowo konto może należeć do grupy „AD-Sysadmins”, ta grupa do grupy delegowanej dla konkretnej jednostki organizacyjnej, a dostęp do obiektu może dodatkowo zależeć od wpisów kontroli dostępu zapisanych na tym obiekcie. Z tego powodu sama nazwa grupy nie wystarcza do określenia rzeczywistego zakresu administracji.

Uprawnienia administracyjne domenowe nie są równoznaczne z nieograniczonym dostępem do każdego systemu. Zakres działania może ograniczać delegowanie uprawnień, członkostwo w grupach, zasady grupy, lokalna konfiguracja komputera, kontrola konta użytkownika oraz poświadczenia używane w danej sesji. Na kontrolerze domeny konto administracyjne może wykonywać operacje związane z katalogiem, natomiast na komputerze członkowskim dostęp do konkretnego programu może wymagać dodatkowych praw lokalnych. Mechanizm User Account Control może uruchamiać proces administracyjny z podwyższonym tokenem dopiero po zatwierdzeniu operacji, nawet gdy konto należy do lokalnej grupy Administratorzy.

Weryfikacja członkostwa, tokenu i zasad domenowych

Podstawową kontrolę można wykonać na komputerze użytkownika za pomocą polecenia whoami /groups. Wynik pokazuje grupy uwzględnione w bieżącym tokenie logowania, ale nie zastępuje analizy konfiguracji domeny. Do sprawdzenia bezpośredniego członkostwa użytkownika w Active Directory służy moduł PowerShell ActiveDirectory, na przykład polecenie Get-ADUser -Identity nazwa_użytkownika -Properties MemberOf. Członków konkretnej grupy można odczytać poleceniem Get-ADGroupMember -Identity "AD-Sysadmins". Przy grupach zagnieżdżonych trzeba przeanalizować także grupy pośrednie, a nie tylko właściwość MemberOf jednego obiektu.

Ważne jest również sprawdzenie, jakie zasady grupy zostały zastosowane na danym komputerze. Polecenie gpresult /h C:\Temp\gpresult.html tworzy raport wynikowego zestawu zasad, w którym można znaleźć między innymi ustawienia praw użytkownika, członkostwo w grupach lokalnych, reguły ograniczające logowanie oraz konfigurację UAC. Po zmianie członkostwa w grupie użytkownik zwykle musi wylogować się i zalogować ponownie, ponieważ istniejący token dostępu nie zawsze zawiera nowe członkostwo. W przypadku problemów należy również sprawdzić, czy komputer korzysta z właściwego kontrolera domeny, czy działa rozwiązywanie nazw DNS oraz czy replikacja Active Directory zakończyła się poprawnie.

Bezpieczne używanie konta domenowego sysadmin

Konto o szerokich uprawnieniach powinno być używane tylko do czynności administracyjnych. Do codziennej pracy, przeglądania internetu i uruchamiania zwykłych aplikacji lepiej stosować oddzielne konto bez praw administracyjnych. Ogranicza to skutki przypadkowego uruchomienia złośliwego programu i ułatwia ustalenie, która operacja wymagała podwyższonych uprawnień. W środowiskach domenowych warto rozdzielać administrację użytkownikami, komputerami, zasadami grupy i kontrolerami domeny, jeżeli model uprawnień organizacji na to pozwala.

Przy diagnostyce problemu z rolą sysadmin należy zebrać nazwę konta, komputer, rodzaj wykonywanej operacji, komunikat odmowy dostępu oraz wynik członkostwa w grupach. Trzeba odróżnić brak uprawnienia w Active Directory od braku uprawnienia lokalnego, błędu UAC, nieaktualnego tokenu lub problemu z komunikacją z domeną. W przypadku laptopa albo komputera PC analiza może obejmować logowanie domenowe, dostęp do udziałów sieciowych, działanie zasad grupy i poprawność lokalnych grup administratorów. Naprawa powinna polegać na usunięciu konkretnej przyczyny, bez nadawania pełnych praw domenowych tam, gdzie wystarcza ograniczone delegowanie.