02
מרץ
11

אי הגדרת Group Policy

אני מניח שכולם מכירים את היכולות של Active Directory.
AD לא רק מהווה מאגר זהויות/משתמשים ארגוני ומספק שירותי הזדהות מאובטחים לרשת, אלא גם מאפשר להחיל הגדרות אבטחה על משתמשים בניהול מרכזי. Group Policy מכיל אוסף חוקים והגדרות אבטחה על משתמשים ב – AD. אפשר להחיל GP על כל המשתמשים (דומיין) ב – AD או על קבוצה היררכית (Organizational Unit) של משתמשים. בארגון טיפוסי תמצאו עשרות ואפילו מאות OU. מי שלא מכיר את המושגים האלה, גם לא יצליח להבין אותם מההסבר העקום שלי. ומי שמכיר, כנראה דילג על הפסקה הזו. עברית קשה שפה. אז למה בכל זאת?

מקום מאוד מעניין לבחון ב – AD הוא OU שלא מוגדר עליו GP. מה זה אומר? אם מוגדרים משתמשים ב – OU הזה, יתכן והם לא כפופים למדיניות אבטחה של הזדהות לרשת. הם לא נדרשים להחליף סיסמאות כל X ימים, הסיסמא שלהם בכלל לא עומדת במדיניות החברה ועוד.

אני ממליץ בחום לאתר את ה – OU שלא כפופים ל – GP ולעבור על שמות המשתמשים. אל תהיו מופתעים אם תגלו שם לא רק את אנשי הסיסטם, אלא גם 'מקורבים' שלהם. אני גיליתי עוד משהו מעניין. הרבה חשבונות טסטים של הסיסטם הוגדרו שם. אפילו על שמם של עובדי הסיסטם.

תדרשו להסיר את כל החשבונות שאינם נדרשים. נסו גם לכפות על הסיסטם שהיוזרים שלהם לא יהיו ב – OU הזה. כנראה שלא תצליחו להוציא משם חשבונות אפליקטיביים שמריצים מערכות, אבל זה בסדר.

אז קדימה, צאו ואתרו את אותם OU ללא GP.

מודעות פרסומת

2 Responses to “אי הגדרת Group Policy”


  1. 1 Kahero
    09/03/2011 ב- 12:27

    עד Windows Server 2008 מדיניות הסיסמאות היא ברמת הדומיין בכלל, ללא תלות בOU זה או אחר.
    גם ב2008 שינוי מדיניות הסיסמאות לקבוצות ספציפיות היא לא עניין טריויאלי, בדיוק מהסיבות שגרמו לך לכתוב את הטקסט הזה.

    • 2 חיים
      24/12/2015 ב- 18:34

      בדיוק מה שחשבתי – מה שמוגדר ב- default domain policy תופס על כל ה-OUים ללא אפשרות לנטרל.


להשאיר תגובה

הזינו את פרטיכם בטופס, או לחצו על אחד מהאייקונים כדי להשתמש בחשבון קיים:

הלוגו של WordPress.com

אתה מגיב באמצעות חשבון WordPress.com שלך. לצאת מהמערכת / לשנות )

תמונת Twitter

אתה מגיב באמצעות חשבון Twitter שלך. לצאת מהמערכת / לשנות )

תמונת Facebook

אתה מגיב באמצעות חשבון Facebook שלך. לצאת מהמערכת / לשנות )

תמונת גוגל פלוס

אתה מגיב באמצעות חשבון Google+ שלך. לצאת מהמערכת / לשנות )

מתחבר ל-%s


מרץ 2011
א ב ג ד ה ו ש
« פבר   אפר »
 12345
6789101112
13141516171819
20212223242526
2728293031  

%d בלוגרים אהבו את זה: