บริการโดเมน Active Directory: คืออะไรและทำงานอย่างไร

วันนี้ ฉันจะตอบคำถามสำคัญทั้งหมดที่คุณอาจมีเกี่ยวกับบริการโดเมน Active Directory

บริการโดเมน Active Directory คืออะไร มันแตกต่างจาก Active Directory หรือไม่?

Active Directory Domain Services (AD DS) และ Active Directory (AD) เป็นสิ่งเดียวกัน นั่นคือ ฐานข้อมูล (หรือไดเรกทอรี) ที่มีข้อมูลสำคัญ เช่น ผู้ใช้และคอมพิวเตอร์ทั้งหมดที่คุณมี และบริการที่เกี่ยวข้องซึ่งควบคุมกิจกรรมส่วนใหญ่ที่เกิดขึ้น ในสภาพแวดล้อมด้านไอทีของคุณ

ดังที่บทความใน Redmond Magazine ฉบับหนึ่งกล่าวไว้ “สภาพแวดล้อม Active Directory หมายความว่าคุณต้องมีเซิร์ฟเวอร์อย่างน้อยหนึ่งเครื่องที่ติดตั้ง Active Directory Domain Services ”

Active Directory Domain Services ทำหน้าที่อะไรจริงๆ

AD DS มีหน้าที่หลัก 2 ประการ:

• การตรวจสอบสิทธิ์— ตรวจสอบให้แน่ใจว่าผู้ใช้แต่ละคนคือบุคคลที่พวกเขาอ้างว่าเป็น โดยปกติโดยการตรวจสอบ ID ผู้ใช้และรหัสผ่านที่พวกเขาให้ไว้
• การอนุญาต — การอนุญาตให้ผู้ใช้แต่ละรายเข้าถึงเฉพาะข้อมูลที่พวกเขาได้รับอนุญาตให้ใช้เท่านั้น

โปรดทราบว่าฉันใช้คำว่า "ผู้ใช้" ในความหมายทั่วไปที่นี่ AD DS ให้การรับรองความถูกต้องและการอนุญาตไม่เพียงแต่สำหรับบุคคลเท่านั้น แต่ยังรวมถึงอุปกรณ์ แอปพลิเคชัน กระบวนการ และอื่นๆ ด้วย

ฉันจะติดตั้งบริการโดเมน Active Directory ได้อย่างไร

คุณไม่ได้ติดตั้ง AD DS ต่อตัว แต่เป็นบทบาทของเซิร์ฟเวอร์อย่างหนึ่งที่รวมอยู่ในระบบปฏิบัติการ Microsoft Windows Server เมื่อคุณติดตั้ง Windows Server บนเครื่อง คุณจะต้องระบุบทบาทหรือบทบาทที่เซิร์ฟเวอร์จะเล่น: ไฟล์เซิร์ฟเวอร์ เว็บเซิร์ฟเวอร์ เซิร์ฟเวอร์ DNS และอื่นๆ (ดูรูปที่ 1)

รูป1 เมื่อคุณติดตั้ง Windows Server บนเครื่อง คุณจะต้องระบุบทบาทของเซิร์ฟเวอร์

โดยการกำหนดบทบาท AD DS ให้กับเซิร์ฟเวอร์ คุณจะกำหนดให้เป็นตัวควบคุมโดเมน (DC) โปรดทราบว่าเดสก์ท็อป แล็ปท็อป และระบบอื่นๆ ที่ใช้ Windows เวอร์ชันปกติจะไม่เรียกใช้ AD DS และไม่สามารถเป็น DC ได้

ดังที่คุณเห็นในภาพ มีบทบาทอื่นๆ มากมายที่คุณสามารถมอบหมายให้กับเซิร์ฟเวอร์ได้ รวมไปถึง:

• บริการใบรับรอง Active Directory (AD CS) — ช่วยให้ DC สามารถให้บริการใบรับรองดิจิทัล ลายเซ็น และการเข้ารหัสคีย์สาธารณะ
• Active Directory Federation Services (AD FS) — ให้การลงชื่อเพียงครั้งเดียว (SSO) เพื่อให้ผู้ใช้ไม่จำเป็นต้องให้ข้อมูลประจำตัวเดิมต่อไป
• Active Directory Lightweight Directory Services— เปิดใช้งานการใช้ LDAP สำหรับการสื่อสารกับเซิร์ฟเวอร์บริการไดเรกทอรีอื่น ๆ เช่นคอมพิวเตอร์ Linux ในเครือข่ายของคุณ
• บริการการจัดการสิทธิ์ Active Directory (RMS) — ช่วยปกป้องข้อมูลผ่านนโยบายการใช้งานถาวรที่ยังคงอยู่กับเนื้อหาไม่ว่าจะย้ายไปอยู่ที่ใด

ฉันสามารถมีเซิร์ฟเวอร์หลายเครื่องที่ใช้งาน Active Directory Domain Services ได้หรือไม่

ใช่! ในความเป็นจริง นั่นเป็นบรรทัดฐาน: องค์กรมักจะมีตัวควบคุมโดเมนหลายตัวเพื่อความซ้ำซ้อนและความสามารถในการปรับขนาด หาก DC แห่งหนึ่งล้มเหลว อีกแห่งหนึ่งสามารถเข้ามาให้บริการเดียวกันได้

บริการการจำลองแบบ Active Directory ทำให้แน่ใจว่า ตัวควบคุมโดเมนทั้งหมดบนเครือข่ายอยู่ในซิงค์ โดยเฉพาะอย่างยิ่ง จะช่วยอัปเดตทั้งหมดเกี่ยวกับการแก้ไขผู้ใช้และคอมพิวเตอร์ในไดเร็กทอรีของคุณ (เช่น การเปลี่ยนรหัสผ่านของผู้ใช้) และการเปลี่ยนแปลงใดๆ ในสคีมาของคุณ ซึ่งกำหนดคลาสอ็อบเจ็กต์ทั้งหมด (เช่น ผู้ใช้ กลุ่ม คอมพิวเตอร์ โดเมน และหน่วยองค์กร) ที่สามารถจัดเก็บไว้ในไดเรกทอรีของคุณได้

แนวทางปฏิบัติที่ดีที่สุดในการปกป้องตัวควบคุมโดเมนคืออะไร

ดีใจที่คุณถาม! สิ่งสำคัญคือต้องจำไว้ว่าเซิร์ฟเวอร์ที่ใช้ AD DS นั้นเป็นเป้าหมายสูงสุดสำหรับการโจมตีทางไซเบอร์ แฮกเกอร์ที่โจมตีตัวควบคุมโดเมนตัวใดตัวหนึ่งของคุณนั้นอยู่ในตำแหน่งที่ดีที่จะบรรลุเป้าหมายชั่วร้ายใดๆ ที่พวกเขามี ตั้งแต่การขโมยข้อมูลที่มีค่าที่สุดของคุณไปจนถึงการทำลายกระบวนการทางธุรกิจที่สำคัญ และตามที่ Microsoft ชี้ให้เห็นว่า “ขึ้นอยู่กับการเตรียมการ เครื่องมือ และทักษะของผู้โจมตี การปรับเปลี่ยนหรือแม้แต่ความเสียหายที่แก้ไขไม่ได้ต่อฐานข้อมูล AD DS สามารถทำได้ภายในไม่กี่นาทีถึงชั่วโมง ไม่ใช่หลายวันหรือหลายสัปดาห์ ”

ดังนั้นจึงจำเป็นอย่างยิ่งที่จะต้องปกป้องตัวควบคุมโดเมนของคุณเช่น Fort Knox โดยเฉพาะอย่างยิ่ง:

• จำกัดผู้ที่มีสิทธิ์ในการบริหารท้องถิ่นในแต่ละ DC
• ติดตั้งเฉพาะแอปพลิเคชันและบริการที่จำเป็นสำหรับฟังก์ชันการทำงานและความปลอดภัย DC ควรทำหน้าที่เป็น DC โดยเฉพาะ
• อย่าอนุญาตให้ตัวควบคุมโดเมนเข้าถึงอินเทอร์เน็ต ห้ามใช้เว็บเบราว์เซอร์บน DC ของคุณ ไม่เพียงแต่ตามนโยบายเท่านั้น แต่ยังรวมถึงการควบคุมทางเทคนิคด้วย หาก DC จำเป็นต้องจำลองแบบข้ามไซต์ ให้ใช้การเชื่อมต่อที่ปลอดภัยระหว่างไซต์เหล่านั้น
• จำกัดบัญชีที่สามารถเข้าสู่ระบบแบบโต้ตอบได้และปฏิบัติตามแนวทางปฏิบัติที่ดีที่สุดสำหรับความซับซ้อนของรหัสผ่านและการหมดอายุของบัญชีเหล่านั้นอย่างเคร่งครัด โปรดจำไว้ว่ากลุ่มต่างๆ เช่น ผู้ให้บริการเซิร์ฟเวอร์ ช่วยให้สมาชิกเข้าสู่ระบบแบบโต้ตอบได้
• ลดการเข้าถึงเครือข่ายไปยังตัวควบคุมโดเมนทั้งหมดของคุณ
• ควบคุมการเข้าถึงทางกายภาพของ DC ทั้งหมดอย่างเข้มงวด หากคุณใช้ DC เสมือน ให้รู้ว่าผู้ดูแลระบบการจำลองเสมือนของคุณคือใคร และคอยดูกิจกรรมของพวกเขา เนื่องจากพวกเขาสามารถยกระดับสิทธิ์ของพวกเขาได้
• อัปเดต Windows Server ให้ทันสมัยอยู่เสมอและใช้เวอร์ชันล่าสุดเท่าที่จะเป็นไปได้
• ตรวจสอบกิจกรรมใน DC ทั้งหมดและให้แน่ใจว่าคุณได้รับการแจ้งเตือนถึงพฤติกรรมที่น่าสงสัย
• สำรองข้อมูล DC ของคุณ (สำหรับเรื่องราวที่ให้ความบันเทิงแต่เป็นการเตือนใจว่าบริษัทแห่งหนึ่งล้มเหลวในการดำเนินการตามแนวทางปฏิบัติที่ดีที่สุดนี้ และต้องขนส่ง DC แห่งสุดท้ายที่มีชีวิตจากกานาไปยังสหราชอาณาจักร โปรดดูสรุปทางเทคนิคนี้)

บทสรุป

เพียงเท่านี้สำหรับการดำน้ำทางเทคนิคของฉันเกี่ยวกับ AD DS เพื่อความเอนเอียงที่เป็นประโยชน์มากขึ้น ฉันขอแนะนำชุดบล็อกห้าตอนของเราซึ่งครอบคลุมหัวข้อทั้งหมดต่อไปนี้:

• Active Directory คืออะไร?
• การจัดการไดเรกทอรีที่ใช้งานอยู่
• การรักษาความปลอดภัยไดเรกทอรีที่ใช้งานอยู่
• การโยกย้าย Active Directory
• การรายงาน Active Directory