บทบาท FSMO 5 บทบาทใน Active Directory: บทบาทเหล่านี้คืออะไรและทำอะไร

Active Directory (AD) เป็นบริการตรวจสอบความถูกต้องของโดเมนแบบ go-to สำหรับองค์กรต่างๆ ทั่วโลก และนับตั้งแต่เริ่มก่อตั้งใน Windows Server 2000

ในตอนนั้น AD ค่อนข้างไม่ปลอดภัยและมีข้อบกพร่องบางประการที่ทำให้ใช้งานยากเป็นพิเศษ ตัวอย่างเช่น หากคุณมีตัวควบคุมโดเมนหลายตัว (DC) พวกเขาจะแข่งขันกันเพื่อสิทธิ์เพื่อทำการเปลี่ยนแปลง ซึ่งหมายความว่าคุณอาจทำการเปลี่ยนแปลงได้และบางครั้งอาจไม่สำเร็จ

บทบาท FSMO ใน Active Directory คืออะไร

ในช่วงสองสามทศวรรษที่ผ่านมา Microsoft ได้เปิดตัวการปรับปรุง แพตช์ และการอัปเดตมากมายที่ได้ปรับปรุงฟังก์ชันการทำงานของ AD ความน่าเชื่อถือ และความปลอดภัยอย่างมาก การเปลี่ยนแปลงอย่างหนึ่งคือการมุ่งสู่ "โมเดลต้นแบบเดี่ยว" สำหรับ AD โดยที่ DC หนึ่งรายสามารถทำการเปลี่ยนแปลงโดเมนได้ DC อื่นๆ ตอบสนองคำขออัตโนมัติ

อย่างไรก็ตาม ผู้คนตระหนักได้อย่างรวดเร็วว่าหาก DC หลักหยุดทำงาน จะไม่สามารถเปลี่ยนแปลงใดๆ ได้เลยจนกว่าจะมีการสำรองข้อมูลอีกครั้ง Microsoft จึงต้องคิดใหม่

วิธีแก้ปัญหาที่พวกเขาคิดขึ้นมาคือแยกความรับผิดชอบของ DC ออกเป็นหลายๆ บทบาท ด้วยวิธีนี้ หาก DC ตัวใดตัวหนึ่งล่ม อีกตัวก็สามารถเข้ามารับหน้าที่ที่ขาดหายไปได้ สิ่งนี้เรียกว่า การดำเนินการหลักเดี่ยวแบบยืดหยุ่น (หรือที่เรียกว่า บทบาท FSMO หรือ FSMO)

บทบาท FSMO 5 บทบาทใน Active Directory

ระบบ Active Directory เต็มรูปแบบแบ่งออกเป็นห้าบทบาท FSMO แยกกัน บทบาท FSMO ทั้ง 5 บทบาทมีดังนี้:

1. ID ญาติ (RID) ปริญญาโท
2. ตัวจำลองตัวควบคุมโดเมนหลัก (PDC)
3. ปริญญาโทโครงสร้างพื้นฐาน
4. ต้นแบบการตั้งชื่อโดเมน
5. สคีมามาสเตอร์

Schema Master และ Domain Naming Masters ถูกจำกัดไว้หนึ่งรายการต่อฟอเรสต์ ในขณะที่ส่วนที่เหลือจะจำกัดไว้ที่หนึ่งรายการต่อโดเมน

1. รหัสญาติ (RID) ปริญญาโท

หากคุณต้องการสร้างหลักการรักษาความปลอดภัย คุณอาจต้องการเพิ่มสิทธิ์การเข้าถึง คุณไม่สามารถให้สิทธิ์เหล่านี้ตามชื่อผู้ใช้หรือกลุ่มได้เนื่องจากสามารถเปลี่ยนแปลงได้ แต่คุณเชื่อมโยงกับรหัสความปลอดภัยเฉพาะ (SID) แทน ส่วนหนึ่งของตัวระบุเฉพาะนั้นเรียกว่า Relative ID (RID) เพื่อป้องกันไม่ให้สองอ็อบเจ็กต์มี SID เดียวกัน RID Master จะประมวลผลคำขอพูล RID จาก DC ภายในโดเมนเดียว และตรวจสอบให้แน่ใจว่า SID แต่ละรายการไม่ซ้ำกัน

2. ตัวจำลองตัวควบคุมโดเมนหลัก (PDC)

นี่คือ DC ที่น่าเชื่อถือที่สุดในโดเมน บทบาทของ DC นี้คือการตอบสนองต่อคำขอตรวจสอบสิทธิ์ จัดการการเปลี่ยนแปลงรหัสผ่าน และจัดการ Group Policy Objects (GPO) ผู้ใช้ไม่สามารถเปลี่ยนรหัสผ่านได้หากไม่ได้รับอนุมัติจาก PDC Emulator เป็นตำแหน่งที่แข็งแกร่ง!

3. ปริญญาโทโครงสร้างพื้นฐาน

ตัวควบคุมนี้เข้าใจโครงสร้างพื้นฐานด้านไอทีโดยรวมในองค์กร รวมถึงออบเจ็กต์ที่มีอยู่ด้วย โครงสร้างพื้นฐานหลักจะอัปเดตการอ้างอิงออบเจ็กต์ในระดับท้องถิ่น และยังช่วยให้แน่ใจว่าเป็นข้อมูลล่าสุดในสำเนาของโดเมนอื่นๆ โดยดำเนินการผ่านตัวระบุเฉพาะ เช่น SID

4. ต้นแบบการตั้งชื่อโดเมน

DC นี้เพียงทำให้แน่ใจว่าคุณไม่สามารถสร้างโดเมนที่สองในฟอเรสต์เดียวกันด้วยชื่อเดียวกันได้

5. สคีมามาสเตอร์

DC นี้เก็บสำเนาแบบอ่าน-เขียนของสคีมา AD ของคุณ โดยพื้นฐานแล้วสคีมาคือคุณลักษณะทั้งหมดที่เกี่ยวข้องกับออบเจ็กต์ (รหัสผ่าน บทบาท การกำหนด ฯลฯ) ดังนั้น หากคุณต้องการเปลี่ยนบทบาทในออบเจ็กต์ผู้ใช้ คุณจะต้องดำเนินการผ่าน Schema Master

บทบาท FSMO: ความน่าเชื่อถือและความพร้อมใช้งาน

บทบาท FSMO ทั้ง 5 บทบาทมีความสำคัญอย่างยิ่งเนื่องจากมีบทบาทควบคู่ไปกับความปลอดภัยของ Active Directory ของคุณ ดังนั้นตัวควบคุมโดเมนจึงต้องออนไลน์ในเวลาที่ต้องการบริการ โชคดีที่ขึ้นอยู่กับบทบาทของ FSMO สิ่งนี้อาจไม่บ่อยนัก ตัวอย่างเช่น สำหรับสคีมามาสเตอร์ DC จะต้องออนไลน์ในระหว่างการอัพเดตเท่านั้น อย่างไรก็ตาม PDC จะต้องออนไลน์และเข้าถึงได้ตลอดเวลา ด้วยเหตุผลดังกล่าว คุณต้องทำตามขั้นตอนที่จำเป็นเพื่อให้แน่ใจว่าโปรแกรมจำลอง PDC จะไม่ล้มลง

หากคุณพบว่าตัวเองอยู่ในสถานการณ์ที่บทบาท FSMO ใดบทบาทหนึ่งไม่พร้อมใช้งาน (เช่น ตัวจำลอง PDC) คุณต้องดำเนินการอย่างรวดเร็วเพื่อให้บทบาท FSMO ทั้งหมดของคุณสำรองและทำงานอีกครั้ง หากคุณทราบว่าบทบาท FSMO ใดโดยเฉพาะจะต้องได้รับการบำรุงรักษาตามกำหนดการ คุณควรโอนบทบาท FSMO ไปยัง DC อื่น หากสิ่งที่เลวร้ายที่สุดควรเกิดขึ้น และบทบาท FSMO ของคุณล้มเหลว คุณสามารถยึดบทบาท FSMO ไปยังตัวควบคุมโดเมนอื่นเป็นทางเลือกสุดท้ายได้เสมอ

บทสรุป

จำเป็นอย่างยิ่งที่คุณจะต้องติดตามการเปลี่ยนแปลง Active Directory ในเชิงรุกและอย่างต่อเนื่อง เพื่อป้องกันภัยคุกคามจากภายใน การใช้สิทธิ์ในทางที่ผิด และการโจมตีแบบ Brute Force ไม่แน่ใจเกี่ยวกับวิธีการทำเช่นนี้? นัดหมายการสาธิตกับวิศวกรของเราวันนี้ และดูว่า Lepide Active Directory Auditor ช่วยตรวจสอบและรักษาความปลอดภัยโฆษณาได้อย่างไร

ตรวจสอบและรักษาความปลอดภัยโฆษณาด้วย Lepide Active Directory Auditor