חברות בקבוצה מבוססת זמן (זמנית) ב- Active Directory

גירסת Active Directory ב- Windows Server 2016 מציגה תכונה מעניינת המאפשרת לך להוסיף באופן זמני משתמש לקבוצת אבטחה של AD. תכונה זו נקראת חברות זמנית בקבוצה (מבוססת זמן). ניתן להשתמש בתכונה זו כאשר עליך להעניק למשתמש באופן זמני סמכות מסוימת בהתבסס על חברות בקבוצת אבטחה של AD. לאחר חלוף הזמן שצוין, המשתמש יוסר באופן אוטומטי מקבוצת האבטחה (ללא התערבות מנהל).

כדי להשתמש בחברות בקבוצה זמנית, עליך להפעיל את התכונה ניהול גישה מורשית ביער Active Directory שלך. בדומה לסל המיחזור של AD (המאפשר לך לשחזר אובייקטים שנמחקו), לא ניתן להשבית את PAM לאחר הפעלתו.

ודא שיער AD שלך פועל ברמת פונקציית היער של Windows Server 2016 (ומעלה):

(Get-ADForest).ForestMode

בדוק אם התכונה Privileged Access Management זמינה ביער הנוכחי באמצעות הפקודה ממודול AD PowerShell:

Get-ADOptionalFeature -filter "name -eq 'privileged access management feature'"

אנו זקוקים לערך של הפרמטר EnableScopes. הוא ריק בדוגמה שלנו. משמעות הדבר היא שתכונת ניהול גישה מורשית אינה זמינה עבור יער זה.

כדי להפעיל אותו, השתמש בפקודה Enable-ADOptionalFeature וציין את שם היער שלך כאחד הארגומנטים:

Enable-ADOptionalFeature 'Privileged Access Management Feature' -Scope ForestOrConfigurationSet -Target contoso.com

Enable-ADOptionalFeature: The SMO role ownership could not be verified because its directory partition has not replicated successfully with at least one replication partner

הפעל את הפקודה

Get-ADOptionalFeature -filter "name -eq 'privileged access management feature'" | select EnabledScopes

וודא שהשדה EnableScopes אינו ריק.

dsa.msc

לאחר הפעלת PAM, באפשרותך לנסות להוסיף משתמש לקבוצת AD באמצעות ארגומנט מיוחד MemberTimeToLive של cmdlet Add-ADGroupMember. נוח להגדיר את מרווח הזמן (TTL) באמצעות cmdlet New-TimeSpan. נניח שברצונך להוסיף את בדיקת המשתמש1 לקבוצה Domain Admins למשך 15 דקות:

$ttl = New-TimeSpan -Minutes 5
Add-ADGroupMember -Identity "Domain Admins" -Members test1 -MemberTimeToLive $ttl

באפשרותך לבדוק כמה זמן משתמש יהיה חבר בקבוצה באמצעות ה- cmdlet Get-ADGroup:

Get-ADGroup 'Domain Admins' -Property member -ShowMemberTimeToLive

בתוצאות הפקודה ניתן לראות ערך כגון

<TTL=187,CN=test1,CN=Users,DC=a-d,DC=loc>

לחברי הקבוצה. ערך TTL מוצג תוך שניות. משמעות הדבר היא שמשתמש זה נוסף לקבוצה Domain Admins באופן זמני. לאחר 187 שניות, הוא יוסר אוטומטית מהקבוצה

פג תוקפו של כרטיס Kerberos של המשתמש. זה מיושם בשל העובדה כי KDC מנפיק כרטיס עם החיים שווה לפחות של ערך TTL עבור המשתמש שיש חברות זמנית בקבוצות AD.

באפשרותך לבדוק את מועד חידוש כרטיס Kerberos הבא באמצעות הפקודה:

klist

מועד החידוש הבא של כרטיס TGT מוצג בפרמטר Renew Time.

גם ב- AD (עם Windows2003Fores ברמה פונקציונלית יער או חדשה יותר), באפשרותך ליצור קבוצות AD זמניות. עבור קבוצות כאלה, המחלקה dynamicObject משמש. מחיקה אוטומטית של קבוצות כאלה מתבצעת על-ידי תהליך איסוף האשפה של Active Directory.

לדוגמה, כדי ליצור קבוצה זמנית שתימחק באופן אוטומטי לאחר חודש (

2592000 = 31 * 24 * 60 * 60

), השתמש בקובץ ה-script הבא של PowerShell:

$OU = [adsi]"LDAP://OU=Groups,OU=Munich,OU=DE,DC=a-d,DC=loc"
$Group = $OU.Create("group","cn=MUN-FS01_Public_tmp")
$Group.PutEx(2,"objectClass",@("dynamicObject","group"))
$Group.Put("entryTTL","2678400")
$Group.SetInfo()

פתח את תכונות הקבוצה במסוף ADUC. שים לב לתכונה entryTTL. הוא מציין בכמה שניות קבוצת AD זו תוסר.

מוקדם יותר, כדי ליישם חברות זמנית בקבוצת AD, היית צריך להשתמש באובייקטים דינמיים, סקריפטים שונים ומשימות מתוזמנות, או במערכות מורכבות למדי (Microsoft Forefront Identity Manager וכו '). כעת, ב- Windows Server 2016/2019, תכונה שימושית זו זמינה היישר מהאריזה.